防范MIPv6源地址欺騙攻擊的方法、設(shè)備和系統(tǒng)的制作方法
【專利摘要】本發(fā)明實施例公開了一種防范MIPv6源地址欺騙攻擊的方法、設(shè)備和系統(tǒng)，其中，方法包括：接入設(shè)備接收接入終端發(fā)送的接入請求；接入設(shè)備根據(jù)接入終端的IP地址對綁定信息表進行查詢，若未查詢到接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有接入終端的IP地址的查詢請求，若接收到匯聚設(shè)備發(fā)送的接入終端的IP地址對應(yīng)的綁定信息，則檢查接入終端的IP地址、MAC地址和端口與綁定信息是否匹配，若匹配，則允許接入終端接入，若不匹配，則拒絕接入終端接入。本發(fā)明實施例可以有效防范MIPv6源地址欺騙攻擊，提升了MIPv6的安全性。
【專利說明】防范MIPv6源地址欺騙攻擊的方法、設(shè)備和系統(tǒng)

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及MIPv6 (Mobile Internet Protocol Vers1n6,移動互聯(lián)網(wǎng)協(xié)議版本6)終端接入安全領(lǐng)域，尤其涉及一種防范MIPv6源地址欺騙攻擊的方法、設(shè)備和系統(tǒng)。

【背景技術(shù)】
[0002]在IPv6 (Internet Protocol Vers1n6,互聯(lián)網(wǎng)協(xié)議版本6)環(huán)境下，當新接入設(shè)備采用靜態(tài)或者自配置方式配置地址時，需要先采用DAD(Duplicate Address Detect1n,重復(fù)地址檢測)協(xié)議來檢測地址沖突。由于DAD檢測耗時較長，在終端移動時，為保證切換的無縫性，針對 MIPv6 米用了 0DAD(Optimistic Duplicate Address Detect1n,樂觀的重復(fù)地址檢測)協(xié)議，使終端從一個接入設(shè)備移動到另一個接入設(shè)備時，在完成DAD檢測之前，可繼續(xù)使用原有IP地址進行通信。但這也給黑客發(fā)起源地址欺騙攻擊帶來便利，若黑客假冒在其他接入設(shè)備接入的IP地址在另一個接入設(shè)備接入時，可在DAD檢測之前接入網(wǎng)絡(luò)。
[0003]目前為防止源地址欺騙攻擊，通常采用在接入設(shè)備上進行端口 -MAC (MediaAccess Control，介質(zhì)訪問控制)地址-1P地址綁定的方式，在接收到假冒源地址數(shù)據(jù)包時，接入設(shè)備查找所存儲的端口 -MAC-1P綁定信息表，如不符，則判定為假冒IP地址，丟棄該數(shù)據(jù)包。但在支持ODAD協(xié)議的MIPv6接入環(huán)境下，當黑客在其他接入設(shè)備上仿冒同一 IP地址進行通信時，現(xiàn)有在接入設(shè)備層進行“端口+MAC+IP”綁定的源地址欺騙防范技術(shù)將失效，亟需提出一種解決方案，以避免基于MIPv6協(xié)議的終端接入時進行源地址欺騙攻擊。


【發(fā)明內(nèi)容】

[0004]本發(fā)明實施例所要解決的技術(shù)問題是采用MIPv6的終端在不同接入設(shè)備間移動時所帶來的源地址欺騙問題，提供一種防范MIPv6源地址欺騙攻擊的方法、設(shè)備和系統(tǒng)。
[0005]本發(fā)明實施例提供一種防范MIPv6源地址欺騙攻擊的方法，包括:
[0006]接入設(shè)備接收接入終端發(fā)送的接入請求，其中，所述接入請求中攜帶有所述接入終端的互聯(lián)網(wǎng)協(xié)議IP地址、介質(zhì)訪問控制MAC地址和端口 ；
[0007]所述接入設(shè)備根據(jù)所述接入終端的IP地址對綁定信息表進行查詢，若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求，若接收到所述匯聚設(shè)備發(fā)送的所述接入終端的IP地址對應(yīng)的綁定信息，則檢查所述接入終端的IP地址、MAC地址和端口與所述綁定信息是否匹配，若匹配，則允許所述接入終端接入，若不匹配，則拒絕所述接入終端接入，其中，所述綁定信息表用以記錄IP地址、MAC地址和端口的綁定信息。
[0008]進一步地，所述接入設(shè)備向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求之后，所述方法還包括:
[0009]所述接入設(shè)備若從所述匯聚設(shè)備接收到的消息為空消息，則將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中，并允許所述接入終端接入。
[0010]進一步地，所述接入設(shè)備將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中之后，所述方法還包括:
[0011]所述接入設(shè)備將所述接入終端的IP地址、MAC地址和端口的綁定信息同步給所述匯聚設(shè)備。
[0012]進一步地,所述方法還包括:
[0013]所述接入設(shè)備根據(jù)接收到的所述匯聚設(shè)備發(fā)送的信息同步指令，將所述綁定信息表同步給所述匯聚設(shè)備。
[0014]本發(fā)明實施例提供一種防范MIPv6源地址欺騙攻擊的方法，包括:
[0015]匯聚設(shè)備接收接入設(shè)備發(fā)送的攜帶有接入終端的互聯(lián)網(wǎng)協(xié)議IP地址的查詢請求；
[0016]所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0017]進一步地，所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備，包括:
[0018]所述匯聚設(shè)備根據(jù)所述接入終端的IP地址對本地存儲的IP地址、MAC地址和端口的綁定信息進行查詢，若在本地查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0019]進一步地，所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備，還包括:
[0020]所述匯聚設(shè)備若在本地未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則對所述匯聚設(shè)備所轄的接入設(shè)備分別進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給發(fā)送所述查詢請求的所述接入設(shè)備。
[0021]進一步地,所述方法還包括:
[0022]所述匯聚設(shè)備若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向所述接入設(shè)備發(fā)送空消息。
[0023]進一步地,所述方法還包括:
[0024]所述匯聚設(shè)備根據(jù)接收到的所述接入設(shè)備發(fā)送的所述接入終端的IP地址、MAC地址和端口的綁定信息進行同步；或者，
[0025]所述匯聚設(shè)備向所述接入設(shè)備發(fā)送信息同步指令，根據(jù)接收到的所述接入設(shè)備發(fā)送的綁定信息表進行同步。
[0026]本發(fā)明實施例提供一種接入設(shè)備，包括:
[0027]傳輸模塊，用于接收接入終端發(fā)送的接入請求，其中，所述接入請求中攜帶有所述接入終端的互聯(lián)網(wǎng)協(xié)議IP地址、介質(zhì)訪問控制MAC地址和端口 ；
[0028]虛假地址防范模塊，用于根據(jù)所述接入終端的IP地址對綁定信息表進行查詢，若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求，若接收到所述匯聚設(shè)備發(fā)送的所述接入終端的IP地址對應(yīng)的綁定信息，則檢查所述接入終端的IP地址、MAC地址和端口與所述綁定信息是否匹配，若匹配，則允許所述接入終端接入，若不匹配，則拒絕所述接入終端接入，其中，所述綁定信息表用以記錄IP地址、MAC地址和端口的綁定信息。
[0029]進一步地，所述虛假地址防范模塊還用于，若從所述匯聚設(shè)備接收到的消息為空消息，則將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中，并允許所述接入終端接入。
[0030]進一步地，所述虛假地址防范模塊還用于，將所述接入終端的IP地址、MAC地址和端口的綁定信息同步給所述匯聚設(shè)備。
[0031]進一步地，所述虛假地址防范模塊還用于，根據(jù)接收到的所述匯聚設(shè)備發(fā)送的信息同步指令，將所述綁定信息表同步給所述匯聚設(shè)備。
[0032]本發(fā)明實施例提供一種匯聚設(shè)備，包括:
[0033]傳輸模塊，用于接收接入設(shè)備發(fā)送的攜帶有接入終端的互聯(lián)網(wǎng)協(xié)議IP地址的查詢請求；
[0034]信息處理模塊，用于根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0035]進一步地，所述信息處理模塊包括:
[0036]本地查詢單元,用于根據(jù)所述接入終端的IP地址對本地存儲的IP地址、MAC地址和端口的綁定信息進行查詢，若在本地查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0037]進一步地，所述信息處理模塊還包括:
[0038]異地查詢單元，用于若在本地未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則對所述匯聚設(shè)備所轄的接入設(shè)備分別進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給發(fā)送所述查詢請求的所述接入設(shè)備。
[0039]進一步地，所述信息處理模塊，還用于若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向所述接入設(shè)備發(fā)送空消息。
[0040]進一步地，所述信息處理模塊，還用于根據(jù)接收到的所述接入設(shè)備發(fā)送的所述接入終端的IP地址、MAC地址和端口的綁定信息進行同步；或者，向所述接入設(shè)備發(fā)送信息同步指令，根據(jù)接收到的所述接入設(shè)備發(fā)送的綁定信息表進行同步。
[0041]本發(fā)明實施例提供一種防范MIPv6源地址欺騙攻擊的系統(tǒng)，包括:
[0042]接入終端；
[0043]本發(fā)明任意實施例提供的接入設(shè)備；以及
[0044]本發(fā)明任意實施例提供的匯聚設(shè)備。
[0045]基于本發(fā)明上述實施例提供的防范MIPv6源地址欺騙攻擊的方法、設(shè)備和系統(tǒng)，與現(xiàn)有技術(shù)相比，通過匯聚設(shè)備進行全局管理，當接入終端假冒MIPv6源地址通過其他接入設(shè)備接入時，該接入設(shè)備也可以通過匯聚設(shè)備獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升了 MIPv6的安全性。
[0046]下面通過附圖和實施例，對本發(fā)明的技術(shù)方案做進一步的詳細描述。

【專利附圖】

【附圖說明】
[0047]構(gòu)成說明書的一部分的附圖描述了本發(fā)明的實施例，并且連同描述一起用于解釋本發(fā)明的原理。
[0048]參照附圖，根據(jù)下面的詳細描述，可以更加清楚地理解本發(fā)明，其中:
[0049]圖1為本發(fā)明防范MIPv6源地址欺騙攻擊的方法一個實施例的流程圖；
[0050]圖2為本發(fā)明防范MIPv6源地址欺騙攻擊的方法另一個實施例的流程圖；
[0051]圖3為本發(fā)明防范MIPv6源地址欺騙攻擊的方法另一個實施例的流程圖；
[0052]圖4為本發(fā)明防范MIPv6源地址欺騙攻擊的方法另一個實施例的流程圖；
[0053]圖5為本發(fā)明接入設(shè)備一個實施例的結(jié)構(gòu)示意圖；
[0054]圖6為本發(fā)明匯聚設(shè)備一個實施例的結(jié)構(gòu)示意圖；
[0055]圖7為本發(fā)明匯聚設(shè)備另一個實施例的結(jié)構(gòu)示意圖；
[0056]圖8為本發(fā)明防范MIPv6源地址欺騙攻擊的系統(tǒng)一個實施例的結(jié)構(gòu)示意圖。

【具體實施方式】
[0057]現(xiàn)在將參照附圖來詳細描述本發(fā)明的各種示例性實施例。應(yīng)注意到:除非另外具體說明，否則在這些實施例中闡述的部件和步驟的相對布置、數(shù)字表達式和數(shù)值不限制本發(fā)明的范圍。
[0058]同時，應(yīng)當明白，為了便于描述，附圖中所示出的各個部分的尺寸并不是按照實際的比例關(guān)系繪制的。
[0059]以下對至少一個示例性實施例的描述實際上僅僅是說明性的，決不作為對本發(fā)明及其應(yīng)用或使用的任何限制。
[0060]對于相關(guān)領(lǐng)域普通技術(shù)人員已知的技術(shù)、方法和設(shè)備可能不作詳細討論，但在適當情況下，所述技術(shù)、方法和設(shè)備應(yīng)當被視為說明書的一部分。
[0061]在這里示出和討論的所有示例中，任何具體值應(yīng)被解釋為僅僅是示例性的，而不是作為限制。因此，示例性實施例的其它示例可以具有不同的值。
[0062]應(yīng)注意到:相似的標號和字母在下面的附圖中表示類似項，因此，一旦某一項在一個附圖中被定義，則在隨后的附圖中不需要對其進行進一步討論。
[0063]圖1為本發(fā)明防范MIPv6源地址欺騙攻擊的方法一個實施例的流程圖。如圖1所示，該實施例的方法包括:
[0064]步驟AlOl，接入設(shè)備接收接入終端發(fā)送的接入請求，其中，所述接入請求中攜帶有所述接入終端的互聯(lián)網(wǎng)協(xié)議IP地址、介質(zhì)訪問控制MAC地址和端口 ；
[0065]步驟A102，所述接入設(shè)備根據(jù)所述接入終端的IP地址對綁定信息表進行查詢，若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求，其中，所述綁定信息表用以記錄IP地址、MAC地址和端口的綁定信息；
[0066]步驟A103，所述接入設(shè)備若接收到所述匯聚設(shè)備發(fā)送的所述接入終端的IP地址對應(yīng)的綁定信息，則檢查所述接入終端的IP地址、MAC地址和端口與所述綁定信息是否匹配，若匹配，則允許所述接入終端接入，若不匹配，則拒絕所述接入終端接入。
[0067]具體地，接入終端具體可以為采用MIPv6協(xié)議、并使用IPv6地址自動配置方式設(shè)置地址的PC (Personal Computer,個人計算機)、筆記本電腦、平板電腦或智能終端等。接入設(shè)備具體可以為接入層交換機，接入終端通過接入設(shè)備接入網(wǎng)絡(luò)。
[0068]當接入終端需要接入網(wǎng)絡(luò)時，向接入設(shè)備發(fā)送接入請求，該接入請求中攜帶有該接入終端的IP地址、MAC地址和端口，該IP地址具體為IPv6地址。接入設(shè)備在本地維護有端口 -MAC-1P綁定信息表，該綁定信息表中記錄IP地址、MAC地址和端口的綁定信息。接入設(shè)備根據(jù)該接入終端的IP地址對綁定信息表進行查詢，如果查詢到該IP地址對應(yīng)的綁定信息條目，則檢查該接入終端的IP地址、MAC地址及端口與查詢到的綁定信息中的內(nèi)容是否匹配，如匹配則允許該接入終端接入，將該接入終端發(fā)送的數(shù)據(jù)包轉(zhuǎn)發(fā)，如不匹配則不允許其接入，將該接入終端發(fā)送的數(shù)據(jù)包丟棄。如果查詢不到相應(yīng)綁定信息，則向匯聚設(shè)備發(fā)起查詢請求，該查詢請求中攜帶有該接入終端的IP地址。
[0069]匯聚設(shè)備具體可以為匯聚層交換機，一個匯聚設(shè)備可以管轄多個接入設(shè)備，匯聚設(shè)備接收到接入設(shè)備發(fā)送的查詢請求時，根據(jù)查詢請求中的IP地址查詢該IP地址對應(yīng)的綁定信息，若能夠查找到，則向接入設(shè)備返回該IP地址對應(yīng)的綁定信息。
[0070]匯聚設(shè)備查詢IP地址對應(yīng)的綁定信息的實現(xiàn)方式可以有多種:
[0071]在一種實現(xiàn)方式中，匯聚設(shè)備可以在本地維護有綁定信息表，該匯聚設(shè)備管轄的接入設(shè)備定期與該匯聚設(shè)備信息同步，該綁定信息表中儲存了該匯聚設(shè)備與所轄的接入設(shè)備同步的IP地址與MAC地址及端口的綁定信息，綁定信息定期更新。則匯聚設(shè)備可以根據(jù)IP地址對本地的綁定信息表進行查詢，若查找到該IP地址對應(yīng)的綁定信息，則將該綁定信息發(fā)送給接入設(shè)備。
[0072]在另一種實現(xiàn)方式中，匯聚設(shè)備在接收到查詢請求后，可以向所轄的所有接入設(shè)備分別發(fā)送信息查詢指令，該信息查詢指令中攜帶有接入終端的IP地址，則接入設(shè)備根據(jù)該IP地址對自己維護的綁定信息表進行查詢，如果查詢到該IP地址對應(yīng)的綁定信息，就將該綁定信息返回給匯聚設(shè)備，匯聚設(shè)備再將該綁定信息發(fā)送給接入設(shè)備。
[0073]在又一種實現(xiàn)方式中，匯聚設(shè)備可以先對本地的綁定信息表進行查詢，若查找到該IP地址對應(yīng)的綁定信息，則將該綁定信息發(fā)送給接入設(shè)備。若沒有查找到該IP地址對應(yīng)的綁定信息，則向所轄的所有接入設(shè)備分別發(fā)送信息查詢指令，接入設(shè)備根據(jù)該IP地址對自己維護的綁定信息表進行查詢，如果查詢到該IP地址對應(yīng)的綁定信息，就將該綁定信息返回給匯聚設(shè)備，匯聚設(shè)備再將該綁定信息發(fā)送給接入設(shè)備。
[0074]接入設(shè)備接收到匯聚設(shè)備發(fā)送的綁定信息后，檢查該接入終端的IP地址、MAC地址及端口與接收到的綁定信息中的內(nèi)容是否匹配，如匹配則允許該接入終端接入，如不匹配則不允許其接入。
[0075]本實施例提供的防范MIPv6源地址欺騙攻擊的方法，接入設(shè)備在接收接入終端發(fā)送的接入請求后，首先在本地查找該接入終端的IP地址對應(yīng)的綁定信息，若沒有查找到，則向匯聚設(shè)備發(fā)送查詢請求，以獲得該IP地址對應(yīng)的綁定信息。通過匯聚設(shè)備進行全局管理，當接入終端假冒MIPV6源地址通過其他接入設(shè)備接入時，該接入設(shè)備也可以通過匯聚設(shè)備獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升了 MIPv6的安全性。
[0076]圖2為本發(fā)明防范MIPv6源地址欺騙攻擊的方法另一個實施例的流程圖。如圖2所示，在本實施例中，步驟A102中的，所述接入設(shè)備向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求之后，所述方法還包括:
[0077]步驟A104，所述接入設(shè)備若從所述匯聚設(shè)備接收到的消息為空消息，則將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中，并允許所述接入終端接入。
[0078]具體地，若匯聚設(shè)備沒有查找到該IP地址對應(yīng)的綁定信息，則向接入設(shè)備返回空消息。接入設(shè)備接收到空消息時，可以判定該接入終端為新設(shè)備，則將該接入終端的IP地址、MAC地址和端口的綁定信息記錄到該接入設(shè)備維護的綁定信息表中。
[0079]在本實施例中，步驟A103，所述接入設(shè)備將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中之后，所述方法還包括:
[0080]步驟A105，所述接入設(shè)備將所述接入終端的IP地址、MAC地址和端口的綁定信息同步給所述匯聚設(shè)備。
[0081]具體地，接入設(shè)備將新紀錄的綁定信息同步給匯聚設(shè)備，可以實現(xiàn)匯聚設(shè)備的信息同步。
[0082]在實際實現(xiàn)過程中，接入設(shè)備也可以定期檢查其綁定信息表中的內(nèi)容是否有更新，如果有更新則將更新的內(nèi)容主動向匯聚設(shè)備上報，以實現(xiàn)匯聚設(shè)備中信息的同步。
[0083]在本實施例中，所述方法還可以包括:
[0084]步驟A106，所述接入設(shè)備根據(jù)接收到的所述匯聚設(shè)備發(fā)送的信息同步指令，將所述綁定信息表同步給所述匯聚設(shè)備。
[0085]具體地，接入設(shè)備還可以通過接收匯聚設(shè)備的信息同步指令，當接收到該信息同步指令時將綁定信息表更新信息發(fā)送給匯聚設(shè)備。
[0086]當其他接入設(shè)備向匯聚設(shè)備發(fā)起查詢，且匯聚設(shè)備中沒有查詢的信息時，匯聚設(shè)備會向所轄的接入設(shè)備發(fā)送信息查詢指令，當該接入設(shè)備接收到匯聚設(shè)備發(fā)送的信息查詢指令時，如本地有相應(yīng)信息則返回給匯聚設(shè)備，否則不予回應(yīng)。
[0087]圖3為本發(fā)明防范MIPv6源地址欺騙攻擊的方法另一個實施例的流程圖。如圖3示，該實施例的方法具體可以與圖1所示實施例的方法配合實現(xiàn)，具體實現(xiàn)過程在此不再贅述。該實施例的方法包括:
[0088]步驟B101，匯聚設(shè)備接收接入設(shè)備發(fā)送的攜帶有接入終端的互聯(lián)網(wǎng)協(xié)議IP地址的查詢請求；
[0089]步驟B102，所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0090]本實施例提供的防范MIPv6源地址欺騙攻擊的方法，通過匯聚設(shè)備進行全局管理，當接入終端假冒MIPv6源地址通過其他接入設(shè)備接入時，該接入設(shè)備也可以通過匯聚設(shè)備獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升了 MIPv6的安全性。
[0091]在本實施例中，步驟B102，所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備，可以通過如下方式實現(xiàn):
[0092]所述匯聚設(shè)備根據(jù)所述接入終端的IP地址對本地存儲的IP地址、MAC地址和端口的綁定信息進行查詢，若在本地查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0093]具體地，匯聚設(shè)備在本地維護有綁定信息表，該匯聚設(shè)備管轄的接入設(shè)備定期與該匯聚設(shè)備信息同步，該綁定信息表中儲存了該匯聚設(shè)備與所轄的接入設(shè)備同步的IP地址與MAC地址及接入端口的綁定信息，綁定信息定期更新。在實際實現(xiàn)過程中，該綁定信息表具體可以為定長的，如果記錄的綁定信息大小超過了匯聚設(shè)備的存儲容量，則匯聚設(shè)備會將超出的部分丟棄。
[0094]在本實施例中，步驟B102還可以包括:
[0095]所述匯聚設(shè)備若在本地未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則對所述匯聚設(shè)備所轄的接入設(shè)備分別進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給發(fā)送所述查詢請求的所述接入設(shè)備。
[0096]具體地，匯聚設(shè)備可以采用輪詢的方式對所轄的其他接入設(shè)備進行查詢。匯聚設(shè)備在接收到接入設(shè)備返回的綁定信息時，還可以將該綁定信息記錄在本地的綁定信息表中。
[0097]在本實施例中，所述方法還可以包括:
[0098]步驟B103，所述匯聚設(shè)備若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向所述接入設(shè)備發(fā)送空消息。
[0099]在本實施例中，所述方法還可以包括:
[0100]步驟B104，所述匯聚設(shè)備根據(jù)接收到的所述接入設(shè)備發(fā)送的所述接入終端的IP地址、MAC地址和端口的綁定信息進行同步；或者，
[0101]所述匯聚設(shè)備向所述接入設(shè)備發(fā)送信息同步指令，根據(jù)接收到的所述接入設(shè)備發(fā)送的綁定信息表進行同步。
[0102]通過在匯聚層進行全局信息同步，采用定長的信息表及信息查詢更新機制相結(jié)合的方式，在各接入設(shè)備間同步“端口 -MAC-1P”綁定信息，從而使麗IPv6接入終端使用同一 IP地址通過其他接入設(shè)備接入時，該接入設(shè)備可獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升MIPv6安全性。
[0103]圖4為本發(fā)明防范MIPv6源地址欺騙攻擊的方法另一個實施例的流程。以下結(jié)合圖4，對本發(fā)明方法進行詳細地說明。
[0104]步驟S1、接入設(shè)備接收到MIPv6接入終端發(fā)起的接入請求；
[0105]步驟S2、接入設(shè)備查詢本地端口 -MAC-1P綁定信息表；
[0106]步驟S3、接入設(shè)備判斷是否查詢到對應(yīng)的綁定信息，若是，則執(zhí)行步驟S4，若否，則執(zhí)行步驟S5 ；
[0107]步驟S4、接入設(shè)備檢查該MIPv6接入終端的IP地址、MAC地址及端口與綁定信息是否匹配，如匹配則執(zhí)行步驟S14，如不匹配則執(zhí)行步驟S15 ；
[0108]步驟S5、接入設(shè)備向匯聚設(shè)備發(fā)起查詢請求；
[0109]步驟S6、匯聚設(shè)備接收到接入設(shè)備的查詢請求后，首先查找本地綁定信息表；
[0110]步驟S7、匯聚設(shè)備判斷是否查詢到對應(yīng)的綁定信息，若是，則執(zhí)行步驟S8，若否，則執(zhí)行步驟S1 ；
[0111]步驟S8、匯聚設(shè)備將綁定信息發(fā)送給接入設(shè)備；
[0112]步驟S9、接入設(shè)備根據(jù)接收到的綁定信息，查看該MIPv6接入終端的IP地址、MAC地址及端口與接收到的綁定信息是否匹配，如匹配則執(zhí)行步驟S14，如不匹配則執(zhí)行步驟S15 ；
[0113]步驟S10、匯聚設(shè)備向所轄接入設(shè)備發(fā)起信息查詢；
[0114]步驟S11、匯聚設(shè)備判斷是否接收到接入設(shè)備返回的信息，若是，則跳轉(zhuǎn)步驟S8，若否，則執(zhí)行步驟S12;
[0115]步驟S12、匯聚設(shè)備向接入設(shè)備返回空消息；
[0116]步驟S13、接入設(shè)備將該MIPv6接入終端的IP地址、MAC地址及端口的綁定信息進行記錄，并執(zhí)行步驟S14;
[0117]步驟S14、接入設(shè)備允許該MIPv6接入終端接入；
[0118]步驟S15、接入設(shè)備拒絕該MIPv6接入終端接入。
[0119]本說明書中各個實施例均采用遞進的方式描述，每個實施例重點說明的都是與其它實施例的不同之處，各個實施例之間相同或相似的部分相互參見即可。對于系統(tǒng)實施例而言，由于其與方法實施例基本對應(yīng)，所以描述的比較簡單，相關(guān)之處參見方法實施例的部分說明即可。
[0120]本領(lǐng)域普通技術(shù)人員可以理解:實現(xiàn)上述方法實施例的全部或部分步驟可以通過程序指令相關(guān)的硬件來完成，前述的程序可以存儲于一計算機可讀取存儲介質(zhì)中，該程序在執(zhí)行時，執(zhí)行包括上述方法實施例的步驟；而前述的存儲介質(zhì)包括:R0M、RAM、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。
[0121]圖5為本發(fā)明接入設(shè)備一個實施例的結(jié)構(gòu)示意圖。該實施例的接入設(shè)備可用于實現(xiàn)本發(fā)明上述各方法實施例中接入設(shè)備的相應(yīng)功能。如圖5所示，其包括:
[0122]傳輸模塊501，用于接收接入終端發(fā)送的接入請求，其中，所述接入請求中攜帶有所述接入終端的互聯(lián)網(wǎng)協(xié)議IP地址、介質(zhì)訪問控制MAC地址和端口 ；
[0123]虛假地址防范模塊502，用于根據(jù)所述接入終端的IP地址對綁定信息表進行查詢，若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求，若接收到所述匯聚設(shè)備發(fā)送的所述接入終端的IP地址對應(yīng)的綁定信息，則檢查所述接入終端的IP地址、MAC地址和端口與所述綁定信息是否匹配，若匹配，則允許所述接入終端接入，若不匹配，則拒絕所述接入終端接入，其中，所述綁定信息表用以記錄IP地址、MAC地址和端口的綁定信息。
[0124]本實施例提供的接入設(shè)備，在接收接入終端發(fā)送的接入請求后，首先在本地查找該接入終端的IP地址對應(yīng)的綁定信息，若沒有查找到，則向匯聚設(shè)備發(fā)送查詢請求，以獲得該IP地址對應(yīng)的綁定信息。通過匯聚設(shè)備進行全局管理，當接入終端假冒MIPV6源地址通過其他接入設(shè)備接入時，該接入設(shè)備也可以通過匯聚設(shè)備獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升了 MIPv6的安全性。
[0125]在本實施例中，所述虛假地址防范模塊502還可以用于若從所述匯聚設(shè)備接收到的消息為空消息，則將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中，并允許所述接入終端接入。
[0126]在本實施例中，所述虛假地址防范模塊502還可以用于將所述接入終端的IP地址、MAC地址和端口的綁定信息同步給所述匯聚設(shè)備。
[0127]在本實施例中，所述虛假地址防范模塊502還可以用于根據(jù)接收到的所述匯聚設(shè)備發(fā)送的信息同步指令，將所述綁定信息表同步給所述匯聚設(shè)備。
[0128]在實際實現(xiàn)過程中，虛假地址防范模塊502可以實現(xiàn)上述功能，即虛假地址防范模塊502在新接入終端接入時查詢綁定信息表，如查詢到相應(yīng)條目，則判斷是否匹配，如匹配則允許接入終端接入，否則拒絕其接入；如未查詢到相應(yīng)條目，則向匯聚設(shè)備發(fā)起信息查詢請求，并根據(jù)結(jié)果決定是否允許接入終端接入；如果匯聚設(shè)備返回的信息為空，則將該接入終端的IP地址與MAC地址及接入端口的綁定信息記錄到綁定信息表中；接收匯聚設(shè)備的信息同步指令，將綁定信息表與匯聚設(shè)備定期同步；接收匯聚設(shè)備的信息查詢指令，如本地有相應(yīng)信息則返回給匯聚設(shè)備，否則不予回應(yīng)。
[0129]圖6為本發(fā)明匯聚設(shè)備一個實施例的結(jié)構(gòu)示意圖。該實施例的匯聚設(shè)備可用于實現(xiàn)本發(fā)明上述各方法實施例中匯聚設(shè)備的相應(yīng)功能。如圖6所示，其包括:
[0130]傳輸模塊601，用于接收接入設(shè)備發(fā)送的攜帶有接入終端的互聯(lián)網(wǎng)協(xié)議IP地址的查詢請求；
[0131]信息處理模塊602，用于根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0132]本實施例提供的匯聚設(shè)備，實現(xiàn)了接入設(shè)備的全局管理，當接入終端假冒MIPv6源地址通過其他接入設(shè)備接入時，該接入設(shè)備也可以通過匯聚設(shè)備獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升了 MIPv6的安全性。
[0133]圖7為本發(fā)明匯聚設(shè)備另一個實施例的結(jié)構(gòu)示意圖。如圖7所示，在本實施例中，所述信息處理模塊602具體可以包括:
[0134]本地查詢單元612，用于根據(jù)所述接入終端的IP地址對本地存儲的IP地址、MAC地址和端口的綁定信息進行查詢，若在本地查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
[0135]在本實施例中，所述信息處理模塊602還可以包括:
[0136]異地查詢單元622，用于若在本地未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則對所述匯聚設(shè)備所轄的接入設(shè)備分別進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給發(fā)送所述查詢請求的所述接入設(shè)備。
[0137]在本實施例中，所述信息處理模塊602還可以用于若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向所述接入設(shè)備發(fā)送空消息。
[0138]在本實施例中，所述信息處理模塊602還可以用于根據(jù)接收到的所述接入設(shè)備發(fā)送的所述接入終端的IP地址、MAC地址和端口的綁定信息進行同步；或者，向所述接入設(shè)備發(fā)送信息同步指令，根據(jù)接收到的所述接入設(shè)備發(fā)送的綁定信息表進行同步。
[0139]圖8為本發(fā)明防范MIPv6源地址欺騙攻擊的系統(tǒng)一個實施例的結(jié)構(gòu)示意圖。本實施例的系統(tǒng)可用于實現(xiàn)本發(fā)明上述各防范MIPv6源地址欺騙攻擊的方法實施例。如圖8所示，本實施例的系統(tǒng)具體包括:
[0140]接入終端801;
[0141]本發(fā)明任意實施例提供的接入設(shè)備802 ;以及
[0142]本發(fā)明任意實施例提供的匯聚設(shè)備803。
[0143]具體地，匯聚設(shè)備可以采用匯聚層交換機實現(xiàn)，匯聚設(shè)備所轄的接入設(shè)備可以為多個，接入設(shè)備可以采用接入層交換機來實現(xiàn)。通過接入設(shè)備接入的接入終端的類型也可以為多種，例如PC、筆記本電腦、平板電腦或智能終端等。
[0144]本實施例提供的防范MIPv6源地址欺騙攻擊的系統(tǒng)，通過匯聚設(shè)備進行全局管理，當接入終端假冒MIPv6源地址通過其他接入設(shè)備接入時，該接入設(shè)備也可以通過匯聚設(shè)備獲知其原始的綁定信息，從而有效防范MIPv6源地址欺騙攻擊，提升了 MIPv6的安全性。
[0145]本發(fā)明的描述是為了示例和描述起見而給出的，而并不是無遺漏的或者將本發(fā)明限于所公開的形式。很多修改和變化對于本領(lǐng)域的普通技術(shù)人員而言是顯然的。選擇和描述實施例是為了更好說明本發(fā)明的原理和實際應(yīng)用，并且使本領(lǐng)域的普通技術(shù)人員能夠理解本發(fā)明從而設(shè)計適于特定用途的帶有各種修改的各種實施例。
【權(quán)利要求】
1.一種防范MIPV6源地址欺騙攻擊的方法，其特征在于，包括: 接入設(shè)備接收接入終端發(fā)送的接入請求，其中，所述接入請求中攜帶有所述接入終端的互聯(lián)網(wǎng)協(xié)議IP地址、介質(zhì)訪問控制MAC地址和端口 ； 所述接入設(shè)備根據(jù)所述接入終端的IP地址對綁定信息表進行查詢，若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求，若接收到所述匯聚設(shè)備發(fā)送的所述接入終端的IP地址對應(yīng)的綁定信息，則檢查所述接入終端的IP地址、MAC地址和端口與所述綁定信息是否匹配，若匹配，則允許所述接入終端接入，若不匹配，則拒絕所述接入終端接入，其中，所述綁定信息表用以記錄IP地址、MAC地址和端口的綁定信息。
2.根據(jù)權(quán)利要求1所述的防范MIPv6源地址欺騙攻擊的方法，其特征在于，所述接入設(shè)備向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求之后，所述方法還包括: 所述接入設(shè)備若從所述匯聚設(shè)備接收到的消息為空消息，則將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中，并允許所述接入終端接入。
3.根據(jù)權(quán)利要求2所述的防范MIPv6源地址欺騙攻擊的方法，其特征在于，所述接入設(shè)備將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中之后，所述方法還包括: 所述接入設(shè)備將所述接入終端的IP地址、MAC地址和端口的綁定信息同步給所述匯聚設(shè)備。
4.根據(jù)權(quán)利要求1所述的防范MIPv6源地址欺騙攻擊的方法，其特征在于，還包括: 所述接入設(shè)備根據(jù)接收到的所述匯聚設(shè)備發(fā)送的信息同步指令，將所述綁定信息表同步給所述匯聚設(shè)備。
5.一種防范MIPv6源地址欺騙攻擊的方法，其特征在于，包括: 匯聚設(shè)備接收接入設(shè)備發(fā)送的攜帶有接入終端的互聯(lián)網(wǎng)協(xié)議IP地址的查詢請求； 所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
6.根據(jù)權(quán)利要求5所述的防范MIPv6源地址欺騙攻擊的方法，其特征在于，所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備，包括: 所述匯聚設(shè)備根據(jù)所述接入終端的IP地址對本地存儲的IP地址、MAC地址和端口的綁定信息進行查詢，若在本地查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
7.根據(jù)權(quán)利要求6所述的防范MIPv6源地址欺騙攻擊的方法，其特征在于，所述匯聚設(shè)備根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備，還包括: 所述匯聚設(shè)備若在本地未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則對所述匯聚設(shè)備所轄的接入設(shè)備分別進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給發(fā)送所述查詢請求的所述接入設(shè)備。
8.根據(jù)權(quán)利要求5所述的防范MIPV6源地址欺騙攻擊的方法，其特征在于，還包括: 所述匯聚設(shè)備若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向所述接入設(shè)備發(fā)送空消息。
9.根據(jù)權(quán)利要求5所述的防范MIPv6源地址欺騙攻擊的方法，其特征在于，還包括: 所述匯聚設(shè)備根據(jù)接收到的所述接入設(shè)備發(fā)送的所述接入終端的IP地址、MAC地址和端口的綁定信息進行同步；或者， 所述匯聚設(shè)備向所述接入設(shè)備發(fā)送信息同步指令，根據(jù)接收到的所述接入設(shè)備發(fā)送的綁定信息表進行同步。
10.一種接入設(shè)備，其特征在于，包括: 傳輸模塊，用于接收接入終端發(fā)送的接入請求，其中，所述接入請求中攜帶有所述接入終端的互聯(lián)網(wǎng)協(xié)議IP地址、介質(zhì)訪問控制MAC地址和端口 ； 虛假地址防范模塊，用于根據(jù)所述接入終端的IP地址對綁定信息表進行查詢，若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向匯聚設(shè)備發(fā)送攜帶有所述接入終端的IP地址的查詢請求，若接收到所述匯聚設(shè)備發(fā)送的所述接入終端的IP地址對應(yīng)的綁定信息，則檢查所述接入終端的IP地址、MAC地址和端口與所述綁定信息是否匹配，若匹配，則允許所述接入終端接入，若不匹配，則拒絕所述接入終端接入，其中，所述綁定信息表用以記錄IP地址、MAC地址和端口的綁定信息。
11.根據(jù)權(quán)利要求10所述的接入設(shè)備，其特征在于，所述虛假地址防范模塊還用于，若從所述匯聚設(shè)備接收到的消息為空消息，則將所述接入終端的IP地址、MAC地址和端口的綁定信息記錄到所述綁定信息表中，并允許所述接入終端接入。
12.根據(jù)權(quán)利要求11所述的接入設(shè)備，其特征在于，所述虛假地址防范模塊還用于，將所述接入終端的IP地址、MAC地址和端口的綁定信息同步給所述匯聚設(shè)備。
13.根據(jù)權(quán)利要求10所述的接入設(shè)備，其特征在于，所述虛假地址防范模塊還用于，根據(jù)接收到的所述匯聚設(shè)備發(fā)送的信息同步指令，將所述綁定信息表同步給所述匯聚設(shè)備。
14.一種匯聚設(shè)備，其特征在于，包括: 傳輸模塊，用于接收接入設(shè)備發(fā)送的攜帶有接入終端的互聯(lián)網(wǎng)協(xié)議IP地址的查詢請求； 信息處理模塊，用于根據(jù)所述接入終端的IP地址進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
15.根據(jù)權(quán)利要求14所述的匯聚設(shè)備，其特征在于，所述信息處理模塊包括: 本地查詢單元，用于根據(jù)所述接入終端的IP地址對本地存儲的IP地址、MAC地址和端口的綁定信息進行查詢，若在本地查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給所述接入設(shè)備。
16.根據(jù)權(quán)利要求15所述的匯聚設(shè)備，其特征在于，所述信息處理模塊還包括: 異地查詢單元，用于若在本地未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則對所述匯聚設(shè)備所轄的接入設(shè)備分別進行查詢，若查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則將所述接入終端的IP地址對應(yīng)的綁定信息發(fā)送給發(fā)送所述查詢請求的所述接入設(shè)備。
17.根據(jù)權(quán)利要求14所述的匯聚設(shè)備，其特征在于，所述信息處理模塊，還用于若未查詢到所述接入終端的IP地址對應(yīng)的綁定信息，則向所述接入設(shè)備發(fā)送空消息。
18.根據(jù)權(quán)利要求14所述的匯聚設(shè)備，其特征在于，所述信息處理模塊，還用于根據(jù)接收到的所述接入設(shè)備發(fā)送的所述接入終端的IP地址、MAC地址和端口的綁定信息進行同步；或者，向所述接入設(shè)備發(fā)送信息同步指令，根據(jù)接收到的所述接入設(shè)備發(fā)送的綁定信息表進行同步。
19.一種防范MIPv6源地址欺騙攻擊的系統(tǒng)，其特征在于，包括: 接入終端； 如權(quán)利要求10-13任意一項所述的接入設(shè)備；以及 如權(quán)利要求14-18任意一項所述的匯聚設(shè)備。
【文檔編號】H04W12/08GK104519489SQ201310446958
【公開日】2015年4月15日 申請日期:2013年9月26日 優(yōu)先權(quán)日:2013年9月26日
【發(fā)明者】王帥, 金華敏, 沈軍, 羅志強, 史國水 申請人:中國電信股份有限公司