[发明专利]安全控制方法、装置，交换机，服务器及网络系统

说明书

本申请提供一种安全控制方法、装置，交换机，服务器及网络系统。该方法包括：对第一交换机预先配置的系统MAC地址进行加密，得到第一加密地址；构建携带第一加密地址的第一LACPDU报文；将第一LACPDU报文发送至服务器，以使服务器在同一聚合链路的不同端口接收到第一LACPDU报文及第二交换机发送的第二LACPDU报文时，对第一LACPDU报文及第二LACPDU报文进行聚合验证。通过该方式，使得即使攻击者预先获取到了原始的系统MAC地址，由于无法获取配置的加密方式，因此也无法采用相同加密方式进行加密伪造，通过该方式可以提高两台交换机与服务器之间聚合的安全性。

技术领域

本申请涉及通信技术领域，具体而言，涉及一种安全控制方法、装置，交换机，服务器及网络系统。

背景技术

MLAG-Lite(也称为轻量型MLAG)是近两年在原跨设备链路聚合(Multi-ChassisLink Aggregation Group，MLAG)技术框架的基础上衍生的一种更为简单纯粹的去堆叠化技术方案。该方案在原有MLAG去堆叠化方案的基础上，取消了MLAG两个交换机之间的Peer-link控制链路。该方案通过将MLAG-Lite两个交换机的系统MAC(Media Access Control，媒体存取控制)地址配置为相同，端口ID(Identity document，身份标识号)配置为两边差异化，以达到对端服务器不感知本端多台设备，形成异构汇聚组的效果。

然而，MLAG-Lite技术存在一个重大的隐患，即MLAG-Lite系统的交换机之间无任何感知和交互，系统中的交换机很容易被攻击者进行仿冒欺骗。具体的，攻击者截取到MLAG-Lite系统的交换机所配置的系统MAC地址后，将自己的交换机也配置上相同的系统MAC地址，然后通过换线或者使用MLAG-Lite系统的服务器上冗余的端口接入自己的交换机上，服务器就会通过上述负载的方式，将流量负载到攻击者的交换机上，从而达到截取流量的目的。

发明内容

本申请实施例的目的在于提供一种安全控制方法、装置，交换机，服务器及网络系统，以提高网络系统通信的安全性。

本发明是这样实现的：

第一方面，本申请实施例提供一种安全控制方法，应用于网络系统中的第一交换机，所述网络系统还包括第二交换机和服务器，所述服务器分别与所述第一交换机及所述第二交换机通信连接，所述方法包括：对所述第一交换机预先配置的系统MAC地址进行加密，得到第一加密地址；构建携带所述第一加密地址的第一链路汇聚控制协议数据单元LACPDU报文；将所述第一LACPDU报文发送至所述服务器，以使所述服务器在同一聚合链路的不同端口接收到所述第一LACPDU报文及所述第二交换机发送的携带第二加密地址的第二LACPDU报文时，对所述第一LACPDU报文及所述第二LACPDU报文进行聚合验证。

在本申请实施例中，第一交换机会对预先配置的系统MAC地址进行加密，进而使得报文中传输的为加密后的系统MAC地址。通过该方式，使得即使攻击者预先获取到了原始的系统MAC地址，由于无法获取配置的加密方式，因此也无法采用相同加密方式进行加密伪造，通过该方式可以提高两台交换机与服务器之间聚合的安全性。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，所述对所述第一交换机预先配置的系统MAC地址进行加密，得到第一加密地址，包括：基于第一加密算法及第一加密密钥对所述系统MAC地址进行加密，得到第一加密地址；所述构建携带所述第一加密地址的第一LACPDU报文，包括：将所述第一加密地址填充至所述第一LACPDU报文中的Actor_System字段；基于第二加密算法及第二加密密钥对所述第一LACPDU报文中的Actor_System字段进行加密，得到加密字符串；基于所述加密字符串构建所述第一LACPDU报文。