[实用新型]实现安全访问的接入设备

说明书

技术领域

本实用新型涉及一种网络接入设备，具体说，涉及一种实现安全访问的接入设备。

背景技术

IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网网目的地址。在这两种地址之间存在着某种静态的或算法的映射，常常需要查看一张表。地址解析协议(Address Resolution Protocol，ARP)就是用来确定这些映象的协议。

虚拟局域网(VLAN)不仅有利于网络安全和防止网络风暴，而且可以提高网络运行的效率，第三层交换机的普及为VLAN的应用创造了条件。VLAN是由位于不同物理局域网段的设备组成，虽然VLAN所连接的设备来自不同的网段，但是相互之间可以进行直接通信。

ARP工作时，送出一个含有所希望的IP地址的以太网广播数据包。目的地主机，或另一个代表该主机的系统，以一个含有IP和以太网地址对的数据包作为应答。发送者将这个地址对高速缓存起来，以节约不必要的ARP通信。如果有一个不被信任的节点对本地网络具有写访问许可权，那么也会有某种风险。这样一台机器可以发布虚假的ARP报文并将所有通信都转向它自己，然后它就可以扮演某些机器，或者顺便对数据流进行简单的修改。ARP机制常常是自动起作用的。在特别安全的网络上，ARP映射可以用固件，并且具有自动抑制协议达到防止干扰的目的。

动态主机配置协议(Dynamic Host Configuration Protocol，DHCP)的前身是BOOTP。DHCP可以说是BOOTP的增强版本，它分为两个部份：一个是伺服器端，而另一个是客户端。所有的IP网路设定资料都由DHCP伺服器集中管理，并负责处理客户端的DHCP要求；而客户端则会使用从伺服器分配下来的IP环境资料。比较起BOOTP，DHCP透过″租约″的概念，有效且动态的分配客户端的TCP/IP设定，而且，作为兼容考量，DHCP也完全照顾了BOOTP Client的需求。

安全ARP功能一般实现在三层设备上，如BRAS、路由器、三层交换等，其原理就是只是对合法的IP地址进行ARP应答，以便防止IP地址欺骗攻击。在以二层以太网交换为核心的宽带接入网上，也存在这个问题，当BRAS在对用户进行ARP解析的时候，和合法用户同一个虚拟局域网(VLAN)的非法用户，可以通过伪造一个合法用户ARP应答(IP相同但是MAC地址不同)，从而截取用户的数据。在这种情况下，BRAS即使有安全ARP功能也无法解决这个问题。

实用新型内容

本实用新型所解决的技术问题是提供一种实现安全访问的接入设备，有效地避免了IP地址欺骗攻击。

技术方案如下：

实现安全访问的接入设备包括相互连接的控制平面模块和数据平面模块，所述控制平面模块包括安全ARP模块、绑定数据库、DHCP模块，其中，安全ARP模块和数据平面模块相连接，用于上下行ARP的合法性检查，对宽带远程接入服务器和ARP的请求进行应答；绑定数据库和安全ARP模块、DHCP模块相连接，存储有DHCP模块提取的DHCP包内容；所述数据平面模块用于完成上下行ARP的截取和发送，把ARP提交给控制平面模块的安全ARP模块。

优选的，所述绑定数据库存储有用户IP、用户MAC、VLAN、用户端口号。

优选的，所述数据平面模块设置有交换芯片，该交换芯片用于完成上下行ARP的截取和发送，把ARP提交给控制平面模块的安全ARP模块。

优选的，DHCP模块用于DHCP监听，建立绑定数据库。

本实用新型通过在接入设备代理用户ARP请求应答，从而有效地避免了IP地址欺骗攻击。

附图说明

图1是本实用新型的结构框图；

图2是本实用新型的安全ARP上行处理流程图；

图3是本实用新型的安全ARP下行处理流程图。

具体实施方式

下面参照附图对本实用新型的优选实施例作详细描述。