一種下線報文的處理方法和設備的製作方法

2023-05-28 10:03:51 2

一種下線報文的處理方法和設備的製作方法
【專利摘要】本發明公開了一種下線報文的處理方法和設備，該方法包括：接入交換機對下線報文進行偵聽，並在偵聽到下線報文時，判斷所述下線報文是否將觸發MAC地址表項的遷移；如果所述下線報文將觸發MAC地址表項的遷移，則所述接入交換機丟棄所述下線報文，且禁止所述下線報文觸發MAC地址表項的遷移；否則所述接入交換機轉發所述下線報文。
【專利說明】一種下線報文的處理方法和設備
【技術領域】
[0001]本發明涉及通信【技術領域】，尤其是涉及一種下線報文的處理方法和設備。
【背景技術】
[0002]如圖1所示，為PPPoE(Point to Point over Ethernet,乙太網上的點到點協議)網絡的組網示意圖，各用戶終端通過接入交換機接入到BRAS (Broadband Remote AccessServer,寬帶遠端接入伺服器)上，並由該BRAS為各用戶終端提供網際網路接入服務，並對各用戶終端實現控制、認證、計費等功能。
[0003]在PPPoE網絡中，用戶終端與BRAS的會話建立過程包括:用戶終端廣播PADI (PPPoE Active Discovery Initiat1n, PPPoE 主動發現起始)報文；BRAS 在收到PADI報文之後，向用戶終端回應PADO(PPPoE Active Discovery Offer, PPPoE主動發現提議)報文；用戶終端在收到PADO報文後，單播向BRAS發送PADR (PPPoE ActiveDiscovery Request, PPPoE主動發現請求)報文；BRAS在收到PADR報文後，向用戶終端回應 PADS (PPPoE Active Discovery Sess1n, PPPoE 主動發現會話)報文,該 PADS 報文中會攜帶一個分配的會話ID。至此，用戶終端與BRAS的會話建立過程結束，二者可以用該會話ID進行會話。
[0004]現有技術中，當用戶終端需要下線時，則:(1)用戶終端向BRAS發送PPPoE下線報文，該PPPoE下線報文中攜帶了會話ID,並且其源MAC (Media Access Control,介質訪問控制)地址為用戶終端的MAC地址，目的MAC地址為BRAS的MAC地址；BRAS在收到PPPoE下線報文之後，拆除用戶終端與BRAS之間的會話，用戶終端下線成功；或者，(2)BRAS向用戶終端發送PPPoE下線報文，該PPPoE下線報文中攜帶了會話ID，並且其源MAC地址為BRAS的MAC地址，目的MAC地址為用戶終端的MAC地址；用戶終端在收到PPPoE下線報文之後，拆除用戶終端與BRAS之間的會話，用戶終端下線成功。
[0005]但是，攻擊者只要獲知會話ID、BRAS的MAC地址、用戶終端的MAC地址，即可以假冒用戶終端向BRAS發送PPPoE下線報文，或者假冒BRAS向用戶終端發送PPPoE下線報文，從而導致合法用戶被下線。因此，現有PPPoE網絡中會存在合法用戶被非法下線的風險，其PPPoE網絡存在嚴重的安全威脅。

【發明內容】

[0006]本發明實施例提供一種下線報文的處理方法，該方法應用於連接於用戶終端與寬帶遠端接入伺服器BRAS之間的接入交換機上，所述方法包括:所述接入交換機對下線報文進行偵聽，並在偵聽到下線報文時，判斷所述下線報文是否將觸發介質訪問控制MAC地址表項的遷移；如果所述下線報文將觸發MAC地址表項的遷移，則所述接入交換機丟棄所述下線報文，且禁止所述下線報文觸發MAC地址表項的遷移；否則所述接入交換機轉發所述下線報文。
[0007]所述接入交換機判斷所述下線報文是否將觸發介質訪問控制MAC地址表項的遷移，具體包括:如果所述下線報文的源MAC地址在本地MAC表項中對應的埠與所述接入交換機上收到所述下線報文的埠不同，則所述接入交換機確定所述下線報文將觸發MAC地址表項的遷移。
[0008]所述下線報文包括:基於乙太網上的點到點協議PPPoE的PPPoE主動發現終止PADT報文；或者，基於點到點協議PPP的鏈路控制協議期限請求LCP TermReq報文；或者，PPP的網際互聯控制協議期限請求IPCP TermReq報文。
[0009]本發明實施例提供一種接入交換機，所述接入交換機具體包括:
[0010]幀聽模塊，用於對下線報文進行偵聽；判斷模塊，用於在偵聽到下線報文時，判斷所述下線報文是否將觸發介質訪問控制MAC地址表項的遷移；處理模塊，用於當所述下線報文將觸發MAC地址表項的遷移時，丟棄所述下線報文，且禁止所述下線報文觸發MAC地址表項的遷移；否則轉發所述下線報文。
[0011]所述判斷模塊，具體用於當所述下線報文的源MAC地址在本地MAC表項中對應的埠與接入交換機上收到所述下線報文的埠不同時，確定所述下線報文將觸發MAC地址表項的遷移。
[0012]所述下線報文包括:基於乙太網上的點到點協議PPPoE的PPPoE主動發現終止PADT報文；或者，基於點到點協議PPP的鏈路控制協議期限請求LCP TermReq報文；或者，PPP的網際互聯控制協議期限請求IPCP TermReq報文。
[0013]基於上述技術方案，本發明實施例中，接入交換機在收到下線報文時，判斷下線報文是否將觸發MAC地址表項的遷移，如果下線報文將觸發MAC地址表項的遷移，則直接丟棄下線報文，且禁止下線報文觸發MAC地址表項的遷移，從而避免合法用戶被非法下線(即避免攻擊者假冒用戶終端向BRAS發送下線報文導致的合法用戶被下線，並避免攻擊者假冒BRAS向用戶終端發送下線報文導致的合法用戶被下線)，並且可以提高PPPoE網絡的安全性。
【專利附圖】

【附圖說明】
[0014]圖1是現有技術中提出的一種PPPoE網絡的組網示意圖；
[0015]圖2是本發明實施例提出的一種下線報文的處理方法流程示意圖；
[0016]圖3是本發明實施例提出的一種接入交換機的結構示意圖。
【具體實施方式】
[0017]針對現有技術中存在的問題，本發明實施例提供一種下線報文的處理方法，應用於連接於用戶終端與BRAS之間的接入交換機。以圖1為本發明實施例的應用場景，PPPoE網絡中包括用戶終端，BRAS，及連接於用戶終端與BRAS之間的接入交換機，且PPPoE網絡的組網適用於小區等寬帶接入場景。假設用戶終端A為合法用戶，用戶終端B為攻擊者，接入交換機與用戶終端A相連的埠是埠 I，接入交換機與BRAS相連的埠是埠 2，接入交換機與用戶終端B相連的埠是埠 3，用戶終端A的MAC地址是00-00-00-00-00-01，BRAS的MAC地址是00-00-00-00-00-02。如表I所示，為接入交換機的本地MAC表項，用戶終端A在上線後，接入交換機上學習到的用戶終端A的MAC表項和BRAS的MAC表項如表I所示。[0018]表1本地MAC表項
[0019]
【權利要求】
1.一種下線報文的處理方法，該方法應用於連接於用戶終端與寬帶遠端接入伺服器BRAS之間的接入交換機上，其特徵在於，所述方法包括: 所述接入交換機對下線報文進行偵聽，並在偵聽到下線報文時，判斷所述下線報文是否將觸發介質訪問控制MAC地址表項的遷移； 如果所述下線報文將觸發MAC地址表項的遷移，則所述接入交換機丟棄所述下線報文，且禁止所述下線報文觸發MAC地址表項的遷移；否則所述接入交換機轉發所述下線報文。
2.如權利要求1所述的方法，其特徵在於，所述接入交換機判斷所述下線報文是否將觸發介質訪問控制MAC地址表項的遷移，具體包括: 如果所述下線報文的源MAC地址在本地MAC表項中對應的埠與所述接入交換機上收到所述下線報文的埠不同，則所述接入交換機確定所述下線報文將觸發MAC地址表項的遷移。
3.如權利要求1或2所述的方法，其特徵在於，所述下線報文具體包括:基於乙太網上的點到點協議PPPoE的PPPoE主動發現終止PADT報文；或者，基於點到點協議PPP的鏈路控制協議期限請求LCP TermReq報文；或者，PPP的網際互聯控制協議期限請求IPCP TermReq報文。
4.一種接入交換機，其特徵在於，所述接入交換機具體包括: 幀聽模塊，用於對下線報文進行偵聽； 判斷模塊，用於在偵聽到下線報文時，判斷所述下線報文是否將觸發介質訪問控制MAC地址表項的遷移； 處理模塊，用於當所述下線報文將觸發MAC地址表項的遷移時，丟棄所述下線報文，且禁止所述下線報文觸發MAC地址表項的遷移；否則轉發所述下線報文。
5.如權利要求4所述的接入交換機，其特徵在於， 所述判斷模塊，具體用於當所述下線報文的源MAC地址在本地MAC表項中對應的埠與接入交換機上收到所述下線報文的埠不同時，確定所述下線報文將觸發MAC地址表項的遷移。
6.如權利要求4或5所述的接入交換機，其特徵在於，所述下線報文具體包括:基於乙太網上的點到點協議PPPoE的PPPoE主動發現終止PADT報文；或者，基於點到點協議PPP的鏈路控制協議期限請求LCP TermReq報文；或者，PPP的網際互聯控制協議期限請求IPCPTermReq 報文。
【文檔編號】H04L12/935GK104038424SQ201410245395
【公開日】2014年9月10日 申請日期:2014年6月3日 優先權日:2014年6月3日
【發明者】任曉軍 申請人:杭州華三通信技術有限公司