[发明专利]一种防止重复地址检测攻击的方法和装置

权利要求书

1.一种防止重复地址检测攻击的方法，其特征在于，包括如下步骤：

A、接入交换机通过DHCPv6侦听(SNOOPING)来监听DHCPv6主机的DHCPv6请求过程，创建绑定信息，并将该绑定信息保存到DHCPv6绑定表中，其中，所述绑定信息的内容包括：DHCPv6主机的IP地址、源介质访问控制(MAC)地址、虚拟局域网标识号(VLAN ID)及端口信息；

B、接入交换机使能重复地址检测监听，解析收到的邻居公告报文，获取目标地址、源MAC地址、虚拟局域网标识号及端口信息；

C、接入交换机检测从所述邻居公告报文中解析出的目标地址、源MAC地址、虚拟局域网标识号及端口信息与所述DHCPv6绑定表中的绑定信息是否匹配，如果匹配，则转发所述邻居公告报文，如果不匹配，则丢弃所述邻居公告报文。

2.根据权利要求1所述的防止重复地址检测攻击的方法，其特征在于，所述步骤A中接入交换机通过DHCPv6侦听来监听DHCPv6主机的DHCPv6请求过程包括：

接入交换机向交换芯片下发DHCPv6报文重定向至该交换机处理器的规则，在交换芯片收到DHCPv6报文后，不执行硬件转发行为，而是将所述报文重定向至接入交换机处理器，由处理器进行软件解析和转发。

3.根据权利要求2所述的防止重复地址检测攻击的方法，其特征在于，所述步骤B中接入交换机使能重复地址检测监听包括：

接入交换机将邻居请求报文和邻居公告报文重定向至接入交换机处理器的规则下发至交换芯片，在交换芯片收到邻居请求报文或邻居公告报文后，不执行硬件转发行为，而是将该报文重定向至接入交换机处理器，由处理器进行软件解析和转发。

4.根据权利要求3所述的防止重复地址检测攻击的方法，其特征在于，所述步骤B中接入交换机解析收到的邻居公告报文具体包括：

接入交换机从收到的邻居公告报文的以太网头部获取源MAC地址，从第六版互联网控制信息协议(ICMPv6)消息中获取目标地址，以及所述邻居公告报文的虚拟局域网标识号和端口信息。

5.一种防止重复地址检测攻击的装置，其特征在于，所述装置为接入交换机，包括：

绑定信息创建单元，用于通过DHCPv6侦听来监听DHCPv6主机的DHCPv6请求过程，创建绑定信息，并将该绑定信息保存到DHCPv6绑定表中；

报文解析单元，用于使能重复地址检测监听，解析收到的邻居公告报文，获取目标地址、源MAC地址、虚拟局域网标识号及端口信息；

处理单元，与报文解析单元及绑定信息创建单元连接，用于检测报文解析单元传入的所述目标地址、源MAC地址、虚拟局域网标识号及端口信息与所述DHCPv6绑定表中的绑定信息是否匹配，如果匹配，则转发所述邻居公告报文，如果不匹配，则丢弃所述邻居公告报文。

6.根据权利要求5所述的防止重复地址检测攻击的装置，其特征在于，所述绑定信息创建单元通过DHCPv6侦听来监听DHCPv6主机的DHCPv6请求过程包括：

绑定信息创建单元向交换芯片下发DHCPv6报文重定向至接入交换机处理器的规则，在交换芯片收到DHCPv6报文后，不执行硬件转发行为，而是将所述DHCPv6报文重定向至接入交换机处理器，由处理器进行软件解析和转发。

7.根据权利要求6所述的防止重复地址检测攻击的装置，其特征在于，所述报文解析单元使能重复地址检测监听包括：

报文解析单元将邻居请求报文和邻居公告报文重定向至接入交换机处理器的规则下发至交换芯片，在交换芯片收到邻居请求报文或邻居公告报文后，不执行硬件转发行为，而是将该报文重定向至接入交换机处理器，由处理器进行软件解析和转发。

8.根据权利要求7所述的防止重复地址检测攻击的装置，其特征在于，所述报文解析单元解析收到的邻居公告报文包括：

报文解析单元从收到的邻居公告报文的以太网头部获取源MAC地址，从ICMPv6消息中获取目标地址，以及所述邻居公告报文的虚拟局域网标识号和端口信息。