[发明专利]一种防止邻居学习攻击的方法和系统

权利要求书

1.一种防止邻居学习攻击的方法，其特征在于，包括如下步骤：

A、设置汇聚交换机允许的不完整(Incomplete)状态邻居表项的阈值；

B、接入交换机通过动态主机配置协议的IPv6版本(DHCPv6)侦听(SNOOPING)来监听客户端的DHCPv6请求过程，创建和保存绑定信息，并将该绑定信息发送至所述汇聚交换机；

C、汇聚交换机接收绑定信息，并将其保存到绑定信息表中；

D、汇聚交换机在转发IPv6报文时，如果该报文的目的地址对应的链路层地址不存在，则检测邻居表中不完整状态邻居表项的数量是否达到所述阈值，如果未达到，则向邻居节点发送邻居请求报文；如果达到，则查询该邻居节点的地址是否在所述绑定信息表中，若存在，则发送邻居请求报文，若不存在，则不发送邻居请求报文；

E、汇聚交换机收到与所述邻居请求报文对应的邻居通告报文后，将其邻居表中不完整状态邻居表项的数量减1。

2.根据权利要求1所述的防止邻居学习攻击的方法，其特征在于，所述步骤B还包括：

接入交换机向交换芯片下发DHCPv6报文重定向至该交换机处理器的规则，在交换芯片收到DHCPv6报文后，不执行硬件转发行为，而是将所述报文重定向至接入交换机处理器，由处理器进行软件解析和转发。

3.根据权利要求2所述的防止邻居学习攻击的方法，其特征在于，所述步骤B进一步包括：

接入交换机将所述绑定信息加入到DHCPv6侦听绑定报文中，并对所述绑定报文进行加密和散列处理，然后，根据接入交换机配置的接收绑定信息的汇聚交换机的地址，将所述绑定信息发送至汇聚交换机。

4.根据权利要求3所述的防止邻居学习攻击的方法，其特征在于，所步骤C具体包括：

汇聚交换机解析出DHCPv6侦听绑定报文中的绑定信息，并将该绑定信息保存到本地的绑定信息表中，其中，所述绑定报文是指与所述汇聚交换机连接的所有接入交换机传入的绑定报文。

5.根据权利要求4所述的防止邻居学习攻击的方法，其特征在于，所述步骤D中，如果邻居表中不完整状态邻居表项的数量没有达到阈值，则向邻居节点发送邻居请求报文，并在所述邻居表中插入一个邻居表项，状态设置为不完整状态，将邻居表中不完整状态邻居表项的数量加1。

6.根据权利要求5所述的防止邻居学习攻击的方法，其特征在于，所述步骤E具体还包括：

汇聚交换机根据邻居通告报文的IPv6首部的目的地址的查询邻居表，如果查到与该目的地址对应的邻居表项，则将所述邻居表项的链路层地址更新为邻居通告报文中携带的链路层地址，并将该邻居表项的状态设置为可达(Reachable)状态，将邻居表中不完整状态邻居表项的数量减1。

7.一种防止邻居学习攻击的系统，其特征在于，包括：

接入交换机，与客户端连接，通过DHCPv6侦听来监听客户端的DHCPv6请求过程，创建和保存绑定信息，并将该绑定信息发送至汇聚交换机；

汇聚交换机，与接入交换机连接，在其上设置允许的不完整状态邻居表项的阈值，将收到的绑定信息保存至绑定信息表中；并在转发IPv6报文时，如果该报文的目的地址对应的链路层地址不存在，则检测邻居表中不完整状态邻居表项的数量是否达到所述阈值，如果未达到，则向邻居节点发送邻居请求报文，并在所述邻居表中插入一个邻居表项，状态设置为不完整状态，将邻居表中不完整状态邻居表项的数量加1；如果达到，则查询该邻居节点的地址是否在所述绑定信息表中，若不存在，则不发送邻居请求报文，若存在，则发送邻居请求报文。

8.根据权利要求7所述的防止邻居学习攻击的系统，其特征在于，所述接入交换机具体还用于

向交换芯片下发DHCPv6报文重定向至该交换机处理器的规则，在交换芯片收到DHCPv6报文后，不执行硬件转发行为，而是将所述报文重定向至接入交换机处理器，由处理器进行软件解析和转发；将所述绑定信息加入到DHCPv6侦听绑定报文中，并对所述绑定报文进行加密和散列处理，然后，根据接入交换机配置的接收绑定信息的汇聚交换机的地址，将所述绑定信息发送至汇聚交换机。