[发明专利]一种预防恶意邻居学习攻击的方法及装置

权利要求书

1.一种预防恶意邻居学习攻击的方法，其特征在于，包括如下步骤：

A、设置汇聚交换机允许的不完整(Incomplete)状态邻居表项的阈值；

B、汇聚交换机监听IPv6主机利用全球单播地址，进行重复地址检测(Duplicate Address Detection，DAD)的过程，创建和保存IPv6主机记录，并将该记录保存到IPv6主机表中；

C、汇聚交换机在转发IPv6报文时，如果该报文的目的地址对应的链路层地址不存在，则检测邻居表中不完整状态邻居表项的数量是否达到所述阈值，如果未达到，则向邻居节点发送邻居请求(Neighbor Solicitation)报文；如果达到，则查询该邻居节点的地址是否在所述IPv6主机表中，若存在，则发送邻居请求报文，若不存在，则不发送邻居请求报文；

D、汇聚交换机收到与所述邻居请求报文对应的邻居公告(Neighbor Advertisement)报文后，将其邻居表中不完整状态邻居表项的数量减1。

2.根据权利要求1所述的预防恶意邻居学习攻击的方法，其特征在于，所述步骤B还包括：

汇聚交换机向交换芯片下发邻居请求报文和邻居通告报文重定向至汇聚交换机处理器(CPU)的规则，在交换芯片收到邻居请求报文和邻居通告报文后，均将其复制一份发送给汇聚交换机处理器进行软件解析，但是，所述邻居请求报文和邻居通告报文由交换芯片执行硬件转发。

3.根据权利要求2所述的预防恶意邻居学习攻击的方法，其特征在于，所述步骤B中，IPv6主机记录包括：IPv6主机地址和汇聚交换机接收邻居请求报文的三层接口号。

4.根据权利要求3所述的预防恶意邻居学习攻击的方法，其特征在于，所步骤C中，如果邻居表中不完整状态邻居表项的数量没有达到阈值，则向邻居节点发送邻居请求报文，并在所述邻居表中插入一个邻居表项，状态设置为不完整状态，将邻居表中不完整状态邻居表项的数量加1。

5.根据权利要求6所述的预防恶意邻居学习攻击的方法，其特征在于，所述步骤D具体还包括：

汇聚交换机根据邻居通告报文的IPv6首部的目的地址的查询邻居表，如果查到与该目的地址对应的邻居表项，则将所述邻居表项的链路层地址更新为邻居通告报文中携带的链路层地址，并将该邻居表项的状态设置为可达(Reachable)状态，将邻居表中不完整状态邻居表项的数量减1。

6.一种预防恶意邻居学习攻击的装置，其特征在于，所述装置为汇聚交换机，包括：

阈值设置单元，用于设置汇聚交换机允许的不完整状态邻居表项的阈值；

主机记录创建单元，用于通过监听IPv6主机利用全球单播地址进行重复地址检测的过程，创建和保存IPv6主机记录，并将该记录保存到IPv6主机表中；

邻居表项检测单元，与阈值设置单元连接，用于检测邻居表中不完整状态邻居表项的数量是否达到所述阈值；

第一处理单元，与邻居表项检测单元及主机记录创建单元连接，用于根据邻居表项检测单元的检测结果，如果检测结果为否，则向邻居节点发送邻居请求报文；如果检测结果为是，则查询该邻居节点的地址是否在所述IPv6主机表中，若存在，则发送邻居请求报文，若不存在，则不发送邻居请求报文；

第二处理单元，与第一处理单元连接，用于在收到与邻居请求报文对应的邻居公告报文后，将其邻居表中不完整状态邻居表项的数量减1。

7.根据权利要求6所述的预防邻居恶意学习攻击的装置，其特征在于，所述汇聚交换机还包括：

规则下发单元，与阈值设置单元连接，用于向交换芯片下发邻居请求报文和邻居通告报文重定向至汇聚交换机处理器的规则，在交换芯片收到邻居请求报文和邻居通告报文后，均将其复制一份发送给汇聚交换机处理器进行软件解析，但是，所述邻居请求报文和邻居通告报文由交换芯片执行硬件转发。

8.根据权利要求7所述的预防邻居恶意学习攻击的装置，其特征在于，所述IPv6主机记录包括：IPv6主机地址和汇聚交换机接收邻居请求报文的三层接口号。

9.根据权利要求8所述的预防邻居恶意学习攻击的装置，其特征在于，所述第一处理单元具体还用于

在邻居表中不完整状态邻居表项的数量没有达到阈值时，向邻居节点发送邻居请求报文，并在所述邻居表中插入一个邻居表项，状态设置为不完整状态，将邻居表中不完整状态邻居表项的数量加1。

10.根据权利要求9所述的预防邻居恶意学习攻击的装置，其特征在于，所述第二处理单元具体还用

根据邻居通告报文的IPv6首部的目的地址的查询邻居表，如果查到与该目的地址对应的邻居表项，则将所述邻居表项的链路层地址更新为邻居通告报文中携带的链路层地址，并将该邻居表项的状态设置为可达状态，将邻居表中不完整状态邻居表项的数量减1。