[发明专利]一种适用于DHCPv6服务端的防ND攻击方法与装置

说明书

本发明公开了一种适用于DHCPv6服务端的防ND攻击方法，包括：DHCPv6服务端接收DHCPv6客户端发送的非请求NA报文，所述非请求NA报文由所述DHCPv6客户端在获取IPv6地址后，进行DAD探测并在探测成功后向DHCPv6服务端所发送；DHCPv6服务端根据非请求NA携带的信息和入接口信息首次生成安全策略表项；DHCPv6服务端在DHCPv6客户端上线后进行NUD探测，根据探测结果更新安全策略表项；DHCPv6服务端收到ND报文时根据现网场景选择安全策略模式过滤掉非法攻击报文。本发明解决了OLT设备作为DHCPv6服务端场景下，因收到ND报文攻击，客户端无法上线或者下线后无法再上线的实际问题，为防止ND报文欺骗攻击提供了一种切实可行的方案。本发明还提供了相应的适用于DHCPv6服务端的防ND攻击装置。

技术领域

本发明属于通信技术领域，更具体地，涉及一种适用于DHCPv6服务端的防ND攻击方法与装置。

背景技术

在通信网络中，IPv6(Internet Protocol Version 6，互联网协议第6版)网络十分重要。IPv6协议具有地址空间巨大的特点，但同时长达128比特的IPv6地址又要求高效合理的地址自动分配和管理策略。使用DHCPv6(Dynamic Host Configuration Protocol ForIpv6，动态主机配置协议版本六)技术进行有状态地址自动配置是目前较为流行的IPv6地址自动配置方式。和其他IPv6地址分配方式(手工配置、通过路由器通告消息中的网络前缀无状态自动配置等)相比，DHCPv6具有以下优点：

更好地控制IPv6地址的分配，DHCPv6方式不仅可以记录为IPv6主机分配的地址，还可以为特定的IPv6主机分配特定的地址，以便于网络管理；DHCPv6支持为网络设备分配IPv6前缀，便于全网络的自动配置和网络层次管理；除了为IPv6主机分配IPv6地址/前缀外，还可以分配DNS服务器IPv6地址等网络配置参数。

随着网络应用和业务的不断丰富，在现网中，OLT(Optical Line Terminal，光线路终端)设备常作为DHCPv6服务端，其下挂的主机数量，尤其是DHCPv6客户端数量也快速增长。

当作为DHCPv6客户端的DHCPv6客户端通过DHCPv6协议自动配置方式获取到合法的IPv6地址后，就可以通过ND(Neighbor Discovery，邻居发现)地址解析的方式上线了，此时在OLT设备上会生成对应地址的用户ND表项。此时若网络中存在针对DHCPv6服务端的泛洪攻击，攻击者通过发送大量的NS(Neighbor Solicitation，邻居请求)或者RS(RouterSolicitation，路由器请求)报文，造成ND表项的溢出，就会造成DHCPv6客户端无法正常上线或者下线后无法再次上线。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种适用于DHCPv6服务端的防ND攻击方案，通过非请求NA(Neighbor Advertisement，邻居公告)报文和NUD(NeighborUnreachability Detection，邻居不可达检测)相结合的方式精确生成安全策略表项，并可以通过安全策略模式调整，灵活智能校验ND报文合法性。

为实现上述目的，按照本发明的一个方面，提供了一种适用于DHCPv6服务端的防ND攻击方法，包括：

DHCPv6服务端接收DHCPv6客户端发送的非请求NA报文，所述非请求NA报文由所述DHCPv6客户端在获取IPv6地址后，进行DAD探测并在探测成功后向DHCPv6服务端所发送；

DHCPv6服务端根据非请求NA携带的信息和入接口信息首次生成安全策略表项；

DHCPv6服务端在DHCPv6客户端上线后进行NUD探测，根据探测结果更新安全策略表项；

DHCPv6服务端收到ND报文时根据现网场景选择安全策略模式过滤掉非法攻击报文。