[发明专利]一种防止报文攻击的处理方法及装置

说明书

技术领域

本发明涉及网络技术领域，尤其涉及一种防止报文攻击的处理方法及装置。

背景技术

在以太网络中，网络交换机、路由器等网络设备多以访问控制列表(英文：accesscontrollist；简称：ACL)筛选设备端口接收到的报文以得到协议报文，并对得到的协议报文设定承诺接入速率(英文：CommittedAccessRate；简称：CAR)以限制协议报文被发送到中央处理器(英文：centralprocessingunit；简称：CPU)的速率，以防止CPU接收过多的报文。

为了节省设置ACL和CAR的硬件资源，网络设备通常采用对多个端口的同一协议类型的协议报文使用相同的ACL以执行相同的CAR操作。但是如果非法用户通过网络设备中不进行网络协议报文交互的端口向网络设备发送大量的一种协议类型的协议报文，由于多个端口使用相同的ACL和CAR，导致进行网络协议报文交互的端口也无法处理该协议类型的正常的协议报文，产生类似拒绝服务(英文：denial-of-service；简称：DOS)攻击的效果。

为了避免类似DOS攻击的效果发生，通常将网络设备的端口配置为信任端口和非信任端口两大类。其中，不进行网络协议报文交互的端口被配置为非信任端口，该非信任端口不接收协议报文，而进行网络协议报文交互的端口被配置为信任端口并设定接收协议报文的CAR，故非信任端口受到攻击的情况下，不影响信任端口对正常协议报文的处理。

目前配置信任端口和非信任端口，需要手工配置，工作量大，而且可能被误配置。

发明内容

本发明实施例提供一种防止报文攻击的处理方法及装置，以减少误配置，达到较佳的防止报文攻击的效果。

第一方面，提供一种防止报文攻击的处理方法，包括：

监测网络设备端口进行网络协议协商的状态；

根据监测到的网络设备端口进行网络协议协商的状态，将进行网络协议协商成功的端口设置为信任端口；

根据第一访问控制列表在所述信任端口接收到的报文中选取协议报文，并根据第一承诺接入速率限制所述协议报文被发送到中央处理器的速率；

根据监测到的网络设备端口进行网络协议协商的状态，将进行网络协议协商失败的端口设置为非信任端口；

根据第二访问控制列表在所述非信任端口接收到的报文中选取协议报文，并根据第二承诺接入速率限制所述协议报文被发送到中央处理器的速率。

结合第一方面，在第一方面的第一种实现方式中，将进行网络协议协商成功的端口设置为信任端口后，所述方法还包括：

监测所述信任端口的报文接收速率；

在所述报文接收速率超过阈值的情况下，将所述信任端口更改为非信任端口。

结合第一方面或者第一方面的第一种实现方式，在第一方面的第二种实现方式中，所述第一访问控制列表与除所述信任端口以外的其它信任端口使用的第一访问控制列表相同；所述第一承诺接入速率与除所述信任端口以外的其它信任端口使用的第一承诺接入速率相同。

结合第一方面、第一方面的第一种实现方式和第一方面的第二种实现方式中的任意一个，在第一方面的第三种实现方式中，所述第二访问控制列表与除所述非信任端口以外的其它非信任端口使用的第二访问控制列表相同；所述第二承诺接入速率与除所述非信任端口以外的其它非信任端口使用的第二承诺接入速率相同。

结合第一方面和第一方面的第一种实现方式至第一方面的第三种实现方式中的任意一个，在第一方面的第四种实现方式中，监测网络设备端口进行网络协议协商的状态之前，所述方法还包括：

设置网络设备的各端口为非信任端口。

第二方面，本发明实施例提供一种防止报文攻击的处理装置，包括：

监测单元，用于监测网络设备端口进行网络协议协商的状态；

设置单元，用于将所述监测单元监测到的进行网络协议协商成功的端口设置为信任端口，并将所述监测单元监测到的进行网络协议协商失败的端口设置为非信任端口；

处理单元，用于根据第一访问控制列表在所述设置单元设置的信任端口接收到的报文中选取协议报文，并根据第一承诺接入速率限制所述协议报文被发送到中央处理器的速率，根据第二访问控制列表在所述设置单元设置的非信任端口接收到的报文中选取协议报文，并根据第二承诺接入速率限制所述协议报文被发送到中央处理器的速率。

结合第二方面，在第二方面的第一种实现方式中，所述监测单元还用于：