[发明专利]一种防止邻居学习攻击的方法和系统

说明书

技术领域

本发明涉及计算机数据通信领域，尤其涉及一种防止邻居学习攻击的方法和系统。

背景技术

目前，病毒和互联网蠕虫是最让人头疼的网络攻击行为。然而，这种传播方式在IPV6(Internet Protocol Version 6，版本号为6的互联网协议)的网络中就不再适用了，因为IPv6地址主机部分通常是64比特，这意味着一个IPv6网段可以容纳的主机数量远远大于IPv4(Internet Protocol Version 4，版本号为4的互联网协议)网段，使得以地址扫描为手段的病毒和互联网蠕虫在IPv6网络中难有作为。

但是，IPv6地址空间比较大的特点可能被远程恶意攻击者利用。远程恶意攻击者恶意发送大量的目的地址属于一个IPv6网段，但这些地址在该IPv6网络中实际上并不存在数据包，这样将导致这些数据包在到达最后一跳路由器时，使该路由器发生大量的邻居学习行为，生成大量的无效邻居表项，不仅加大了路由器处理器(CPU)的负担，而且使正常的邻居表项也无法生成，这实际上是一种拒绝服务攻击，但该攻击只针对全局单播地址，不适用链路本地地址。其中，邻居学习行为是指：节点将自身的链路层地址(Link-Layer Address)、完整IP地址、节点名称等地址配置信息通过邻居发现协议中的邻居请求报文发送给网络内的其他节点，而接收到该邻居请求报文的节点将自身的链路层地址、完整IP地址、节点名称等配置信息通过邻居发现协议中的邻居通告报文返回给发送邻居请求报文的节点，这样，发送邻居请求报文的节点以及网络内的其他节点就可以知道对方节点的地址配置信息，从而根据地址配置信息进行正常的邻居表操作，例如，将对方节点的地址配置信息加入自己的邻居表中建立新的邻居表项，或修改原有邻居表项等，完成邻居学习。

发明内容

针对上述技术问题，本发明的目的在于提供一种防止邻居学习攻击的方法和系统，其有效的解决了IPv6网络中存在的邻居学习攻击的问题。

为达到上述目的，本发明是通过以下技术方案来实现的：

一种防止邻居学习攻击的方法，所述方法包括如下步骤：

A、设置汇聚交换机允许的不完整状态邻居表项的阈值；

B、接入交换机通过DHCPv6侦听来监听客户端的DHCPv6请求过程，创建和保存绑定信息，并将该绑定信息发送至所述汇聚交换机；

C、汇聚交换机接收绑定信息，并将其保存到绑定信息表中；

D、汇聚交换机在转发IPv6报文时，如果该报文的目的地址对应的链路层地址不存在，则检测邻居表中不完整状态邻居表项的数量是否达到所述阈值，如果未达到，则向邻居节点发送邻居请求报文；如果达到，则查询该邻居节点的地址是否在所述绑定信息表中，若存在，则发送邻居请求报文，若不存在，则不发送邻居请求报文；

E、汇聚交换机收到与所述邻居请求报文对应的邻居通告报文后，将其邻居表中不完整状态邻居表项的数量减1。

特别的，所述步骤B还包括：

接入交换机向交换芯片下发DHCPv6报文重定向至该交换机处理器的规则，在交换芯片收到DHCPv6报文后，不执行硬件转发行为，而是将所述报文重定向至接入交换机处理器，由处理器进行软件解析和转发。

特别的，所述步骤B进一步包括：

接入交换机将所述绑定信息加入到DHCPv6侦听绑定报文中，并对所述绑定报文进行加密和散列处理，然后，根据接入交换机配置的接收绑定信息的汇聚交换机的地址，将所述绑定信息发送至汇聚交换机。

特别的，所步骤C具体包括：

汇聚交换机解析出DHCPv6侦听绑定报文中的绑定信息，并将该绑定信息保存到本地的绑定信息表中，其中，所述绑定报文是指与所述汇聚交换机连接的所有接入交换机传入的绑定报文。

特别的，所述步骤D中，如果邻居表中不完整状态邻居表项的数量没有达到阈值，则向邻居节点发送邻居请求报文，并在所述邻居表中插入一个邻居表项，状态设置为不完整状态，将邻居表中不完整状态邻居表项的数量加1。

特别的，所述步骤E具体还包括：

汇聚交换机根据邻居通告报文的IPv6首部的目的地址的查询邻居表，如果查到与该目的地址对应的邻居表项，则将所述邻居表项的链路层地址更新为邻居通告报文中携带的链路层地址，并将该邻居表项的状态设置为可达状态，将邻居表中不完整状态邻居表项的数量减1。

本发明还公开了一种防止邻居学习攻击的系统，所述系统包括：