[发明专利]一种调整安全接入的方法及交换机

说明书

技术领域

本发明涉及计算机网络数据通信技术领域，尤其涉及一种调整安全接入的方法及交换机。

背景技术

DHCP(Dynamic Host Configuration Protocol，动态地址解析协议)是一种自动为用户分配IP（Internet Protocol，网络之间互连的协议）地址以及其他选项（如网关、域名系统）的协议，广泛应用于局域网中，DHCP简化了网络的部署、也易于网络的维护。DHCP SNOOPING是一种监听DHCP请求过程的私有协议，它在交换装置中使用，将每一个成功获取IP的用户生成一个DHCP绑定信息。

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。设备通过对外发送免费ARP报文来确定其它设备的IP地址是否与本机的IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

ACL（Access Control List，访问控制列表）是一或多条规则的集合，用于识别报文流。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。网络设备依照这些规则识别出特定的报文，并根据预先设定的策略对其进行处理。

为了防止用户私自接入网络，便于网络的维护和管理，可结合DHCP SNOOPING来实施接入控制策略，通过DHCP方式获取IP的主机可以访问网络，而私设IP的主机将不允许访问网络。这种接入策略需要结合交换机硬件ACL来实现，每一个DHCP用户需要下发一条允许访问网络的ACL规则。由于交换设备ACL表项容量有限，因此，当DHCP绑定表项数目大于设备的ACL表项数目时，一些DHCP绑定表项对应的ACL无法下发，则这些DHCP用户无法访问网络。

在现有技术中，交换设备的ACL表项容量有限，因此，当DHCP绑定表项数目大于设备的ACL表项的容量的数目时，一些DHCP绑定表项对应的ACL表项将无法下发，这些DHCP用户设备就无法访问网络，访问控制列表的利用率较低。

发明内容

有鉴于此，本发明实施例提供了一种调整安全接入的方法及交换机，以解决以上背景技术部分提到的交换机访问控制列表的利用率的技术问题。

一方面，本发明实施例提供了一种调整安全接入的方法，包括：

根据动态主机配置协议DHCP绑定表中用户设备的DHCP表项，依据所述DHCP表项下发ACL表项，判断所述ACL表项是否已满；

当所述ACL表项已满时，广播地址解析协议ARP请求报文，其中，所述ARP请求报文的发送端的IP地址和目标端的IP地址为所述DHCP表项中所述用户设备的IP地址，所述ARP请求报文的发送端的媒体访问控制MAC地址为所述DHCP表项中所述用户设备的MAC地址，所述ARP请求报文的目标端的MAC地址为广播地址；

监听是否接收到ARP回应，如果未接收到所述ARP回应，则将所述DHCP表项在硬件访问控制列表ACL中ACL规则对应的ACL表项删除。

优选地，在所述根据动态主机配置协议DHCP绑定表中用户设备的DHCP表项，依据所述DHCP表项下发ACL表项，判断所述ACL表项是否已满之前，还包括：

接收用户设备的DHCP请求报文和DHCP服务器的回应报文，其中，所述DHCP请求报文包括DHCP探听过程的MAC地址、接入端口号和虚拟局域网VLAN号，所述DHCP服务器的回应报文包括DHCP探听过程的IP地址、租期、网关和域名系统DNS号；

根据所述用户设备的DHCP请求报文和所述DHCP服务器的回应报文，在DHCP绑定表中创建DHCP表项；

根据所述DHCP表项，生成ACL表项。

优选地，在所述接收用户设备的DHCP请求报文和DHCP服务器的回应报文之前，还包括：

使能交换机的DHCP探听的监听功能；

下发一条DHCP报文重定向至交换机CPU的ACL规则，同时下发一条默认不转发所有报文的ACL规则。

优选地，所述根据所述用户设备的DHCP请求报文和所述DHCP服务器的回应报文，在DHCP绑定表中创建DHCP表项，包括：

将所述DHCP请求报文中的MAC地址、接入端口和VLAN号信息保存到所述用户设备的绑定表的DHCP表项中；