[发明专利]一种调整安全接入的方法及交换机

权利要求书

1.一种调整安全接入的方法，其特征在于，包括：

根据动态主机配置协议DHCP绑定表中用户设备的DHCP表项，依据所述DHCP表项下发ACL表项，判断所述ACL表项是否已满；

当所述ACL表项已满时，广播地址解析协议ARP请求报文，其中，所述ARP请求报文的发送端的IP地址和目标端的IP地址为所述DHCP表项中所述用户设备的IP地址，所述ARP请求报文的发送端的媒体访问控制MAC地址为所述DHCP表项中所述用户设备的MAC地址，所述ARP请求报文的目标端的MAC地址为广播地址；

监听是否接收到ARP回应，如果未接收到所述ARP回应，则将所述DHCP表项在硬件访问控制列表ACL中ACL规则对应的ACL表项删除。

2.根据权利要求1所述的调整安全接入的方法，其特征在于，在所述根据动态主机配置协议DHCP绑定表中用户设备的DHCP表项，依据所述DHCP表项下发ACL表项，判断所述ACL表项是否已满之前，还包括：

接收用户设备的DHCP请求报文和DHCP服务器的回应报文，其中，所述DHCP请求报文包括DHCP探听过程的MAC地址、接入端口号和虚拟局域网VLAN号，所述DHCP服务器的回应报文包括DHCP探听过程的IP地址、租期、网关和域名系统DNS号；

根据所述用户设备的DHCP请求报文和所述DHCP服务器的回应报文，在DHCP绑定表中创建DHCP表项；

根据所述DHCP表项，生成ACL表项。

3.根据权利要求2所述的调整安全接入的方法，其特征在于，在所述接收用户设备的DHCP请求报文和DHCP服务器的回应报文之前，还包括：

使能交换机的DHCP探听的监听功能；

下发一条DHCP报文重定向至交换机CPU的ACL规则，同时下发一条默认不转发所有报文的ACL规则。

4.根据权利要求2所述的调整安全接入的方法，其特征在于，所述根据所述用户设备的DHCP请求报文和所述DHCP服务器的回应报文，在DHCP绑定表中创建DHCP表项，包括：

将所述DHCP请求报文中的MAC地址、接入端口和VLAN号信息保存到所述用户设备的绑定表的DHCP表项中；

在收到所述DHCP服务器的回应报文之后，提取所述回应报文中的IP地址和租期，并将所述IP地址和租期添加到所述用户设备的绑定表的DHCP表项中。

5.根据权利要求1所述的调整安全接入的方法，其特征在于，所述ACL表项包括：所述用户设备的IP地址、MAC地址、接入端口和VLAN号。

6.一种交换机，其特征在于，包括：

判断表项模块，用于根据动态主机配置协议DHCP绑定表中用户设备的DHCP表项，依据所述DHCP表项下发ACL表项，判断所述ACL表项是否已满；

报文请求模块，用于当所述ACL表项已满时，广播地址解析协议ARP请求报文，其中，所述ARP请求报文的发送端的IP地址和目标端的IP地址为所述DHCP表项中所述用户设备的IP地址，所述ARP请求报文的发送端的媒体访问控制MAC地址为所述DHCP表项中所述用户设备的MAC地址，所述ARP请求报文的目标端的MAC地址为广播地址；

监听回复模块，用于监听是否接收到ARP回应，如果未接收到所述ARP回应，则将所述DHCP表项在硬件访问控制列表ACL中ACL规则对应的ACL表项删除。

7.根据权利要求6所述的交换机，其特征在于，还包括：

接收报文模块，用于在所述根据动态主机配置协议DHCP绑定表中用户设备的DHCP表项，依据所述DHCP表项下发ACL表项，判断所述ACL表项是否已满之前，接收用户设备的DHCP请求报文和DHCP服务器的回应报文，其中，所述DHCP请求报文包括DHCP探听过程的MAC地址、接入端口号和虚拟局域网VLAN号，所述DHCP服务器的回应报文包括DHCP探听过程的IP地址、租期、网关和域名系统DNS号；

创建表项模块，用于根据所述用户设备的DHCP请求报文和所述DHCP服务器的回应报文，在DHCP绑定表中创建DHCP表项；

生成表项模块，用于根据所述DHCP表项，生成ACL表项。