一種下線報文的處理方法和設(shè)備的制作方法
【專利摘要】本發(fā)明公開了一種下線報文的處理方法和設(shè)備，該方法包括：接入交換機(jī)對下線報文進(jìn)行偵聽，并在偵聽到下線報文時，判斷所述下線報文是否將觸發(fā)MAC地址表項的遷移；如果所述下線報文將觸發(fā)MAC地址表項的遷移，則所述接入交換機(jī)丟棄所述下線報文，且禁止所述下線報文觸發(fā)MAC地址表項的遷移；否則所述接入交換機(jī)轉(zhuǎn)發(fā)所述下線報文。
【專利說明】一種下線報文的處理方法和設(shè)備
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及通信【技術(shù)領(lǐng)域】，尤其是涉及一種下線報文的處理方法和設(shè)備。
【背景技術(shù)】
[0002]如圖1所示，為PPPoE(Point to Point over Ethernet,以太網(wǎng)上的點到點協(xié)議)網(wǎng)絡(luò)的組網(wǎng)示意圖，各用戶終端通過接入交換機(jī)接入到BRAS (Broadband Remote AccessServer,寬帶遠(yuǎn)端接入服務(wù)器)上，并由該BRAS為各用戶終端提供互聯(lián)網(wǎng)接入服務(wù)，并對各用戶終端實現(xiàn)控制、認(rèn)證、計費(fèi)等功能。
[0003]在PPPoE網(wǎng)絡(luò)中，用戶終端與BRAS的會話建立過程包括:用戶終端廣播PADI (PPPoE Active Discovery Initiat1n, PPPoE 主動發(fā)現(xiàn)起始)報文；BRAS 在收到PADI報文之后，向用戶終端回應(yīng)PADO(PPPoE Active Discovery Offer, PPPoE主動發(fā)現(xiàn)提議)報文；用戶終端在收到PADO報文后，單播向BRAS發(fā)送PADR (PPPoE ActiveDiscovery Request, PPPoE主動發(fā)現(xiàn)請求)報文；BRAS在收到PADR報文后，向用戶終端回應(yīng) PADS (PPPoE Active Discovery Sess1n, PPPoE 主動發(fā)現(xiàn)會話)報文,該 PADS 報文中會攜帶一個分配的會話ID。至此，用戶終端與BRAS的會話建立過程結(jié)束，二者可以用該會話ID進(jìn)行會話。
[0004]現(xiàn)有技術(shù)中，當(dāng)用戶終端需要下線時，則:(1)用戶終端向BRAS發(fā)送PPPoE下線報文，該P(yáng)PPoE下線報文中攜帶了會話ID,并且其源MAC (Media Access Control,介質(zhì)訪問控制)地址為用戶終端的MAC地址，目的MAC地址為BRAS的MAC地址；BRAS在收到PPPoE下線報文之后，拆除用戶終端與BRAS之間的會話，用戶終端下線成功；或者，(2)BRAS向用戶終端發(fā)送PPPoE下線報文，該P(yáng)PPoE下線報文中攜帶了會話ID，并且其源MAC地址為BRAS的MAC地址，目的MAC地址為用戶終端的MAC地址；用戶終端在收到PPPoE下線報文之后，拆除用戶終端與BRAS之間的會話，用戶終端下線成功。
[0005]但是，攻擊者只要獲知會話ID、BRAS的MAC地址、用戶終端的MAC地址，即可以假冒用戶終端向BRAS發(fā)送PPPoE下線報文，或者假冒BRAS向用戶終端發(fā)送PPPoE下線報文，從而導(dǎo)致合法用戶被下線。因此，現(xiàn)有PPPoE網(wǎng)絡(luò)中會存在合法用戶被非法下線的風(fēng)險，其PPPoE網(wǎng)絡(luò)存在嚴(yán)重的安全威脅。

【發(fā)明內(nèi)容】

[0006]本發(fā)明實施例提供一種下線報文的處理方法，該方法應(yīng)用于連接于用戶終端與寬帶遠(yuǎn)端接入服務(wù)器BRAS之間的接入交換機(jī)上，所述方法包括:所述接入交換機(jī)對下線報文進(jìn)行偵聽，并在偵聽到下線報文時，判斷所述下線報文是否將觸發(fā)介質(zhì)訪問控制MAC地址表項的遷移；如果所述下線報文將觸發(fā)MAC地址表項的遷移，則所述接入交換機(jī)丟棄所述下線報文，且禁止所述下線報文觸發(fā)MAC地址表項的遷移；否則所述接入交換機(jī)轉(zhuǎn)發(fā)所述下線報文。
[0007]所述接入交換機(jī)判斷所述下線報文是否將觸發(fā)介質(zhì)訪問控制MAC地址表項的遷移，具體包括:如果所述下線報文的源MAC地址在本地MAC表項中對應(yīng)的端口與所述接入交換機(jī)上收到所述下線報文的端口不同，則所述接入交換機(jī)確定所述下線報文將觸發(fā)MAC地址表項的遷移。
[0008]所述下線報文包括:基于以太網(wǎng)上的點到點協(xié)議PPPoE的PPPoE主動發(fā)現(xiàn)終止PADT報文；或者，基于點到點協(xié)議PPP的鏈路控制協(xié)議期限請求LCP TermReq報文；或者，PPP的網(wǎng)際互聯(lián)控制協(xié)議期限請求IPCP TermReq報文。
[0009]本發(fā)明實施例提供一種接入交換機(jī)，所述接入交換機(jī)具體包括:
[0010]幀聽模塊，用于對下線報文進(jìn)行偵聽；判斷模塊，用于在偵聽到下線報文時，判斷所述下線報文是否將觸發(fā)介質(zhì)訪問控制MAC地址表項的遷移；處理模塊，用于當(dāng)所述下線報文將觸發(fā)MAC地址表項的遷移時，丟棄所述下線報文，且禁止所述下線報文觸發(fā)MAC地址表項的遷移；否則轉(zhuǎn)發(fā)所述下線報文。
[0011]所述判斷模塊，具體用于當(dāng)所述下線報文的源MAC地址在本地MAC表項中對應(yīng)的端口與接入交換機(jī)上收到所述下線報文的端口不同時，確定所述下線報文將觸發(fā)MAC地址表項的遷移。
[0012]所述下線報文包括:基于以太網(wǎng)上的點到點協(xié)議PPPoE的PPPoE主動發(fā)現(xiàn)終止PADT報文；或者，基于點到點協(xié)議PPP的鏈路控制協(xié)議期限請求LCP TermReq報文；或者，PPP的網(wǎng)際互聯(lián)控制協(xié)議期限請求IPCP TermReq報文。
[0013]基于上述技術(shù)方案，本發(fā)明實施例中，接入交換機(jī)在收到下線報文時，判斷下線報文是否將觸發(fā)MAC地址表項的遷移，如果下線報文將觸發(fā)MAC地址表項的遷移，則直接丟棄下線報文，且禁止下線報文觸發(fā)MAC地址表項的遷移，從而避免合法用戶被非法下線(即避免攻擊者假冒用戶終端向BRAS發(fā)送下線報文導(dǎo)致的合法用戶被下線，并避免攻擊者假冒BRAS向用戶終端發(fā)送下線報文導(dǎo)致的合法用戶被下線)，并且可以提高PPPoE網(wǎng)絡(luò)的安全性。
【專利附圖】

【附圖說明】
[0014]圖1是現(xiàn)有技術(shù)中提出的一種PPPoE網(wǎng)絡(luò)的組網(wǎng)示意圖；
[0015]圖2是本發(fā)明實施例提出的一種下線報文的處理方法流程示意圖；
[0016]圖3是本發(fā)明實施例提出的一種接入交換機(jī)的結(jié)構(gòu)示意圖。
【具體實施方式】
[0017]針對現(xiàn)有技術(shù)中存在的問題，本發(fā)明實施例提供一種下線報文的處理方法，應(yīng)用于連接于用戶終端與BRAS之間的接入交換機(jī)。以圖1為本發(fā)明實施例的應(yīng)用場景，PPPoE網(wǎng)絡(luò)中包括用戶終端，BRAS，及連接于用戶終端與BRAS之間的接入交換機(jī)，且PPPoE網(wǎng)絡(luò)的組網(wǎng)適用于小區(qū)等寬帶接入場景。假設(shè)用戶終端A為合法用戶，用戶終端B為攻擊者，接入交換機(jī)與用戶終端A相連的端口是端口 I，接入交換機(jī)與BRAS相連的端口是端口 2，接入交換機(jī)與用戶終端B相連的端口是端口 3，用戶終端A的MAC地址是00-00-00-00-00-01，BRAS的MAC地址是00-00-00-00-00-02。如表I所示，為接入交換機(jī)的本地MAC表項，用戶終端A在上線后，接入交換機(jī)上學(xué)習(xí)到的用戶終端A的MAC表項和BRAS的MAC表項如表I所示。[0018]表1本地MAC表項
[0019]
【權(quán)利要求】
1.一種下線報文的處理方法，該方法應(yīng)用于連接于用戶終端與寬帶遠(yuǎn)端接入服務(wù)器BRAS之間的接入交換機(jī)上，其特征在于，所述方法包括: 所述接入交換機(jī)對下線報文進(jìn)行偵聽，并在偵聽到下線報文時，判斷所述下線報文是否將觸發(fā)介質(zhì)訪問控制MAC地址表項的遷移； 如果所述下線報文將觸發(fā)MAC地址表項的遷移，則所述接入交換機(jī)丟棄所述下線報文，且禁止所述下線報文觸發(fā)MAC地址表項的遷移；否則所述接入交換機(jī)轉(zhuǎn)發(fā)所述下線報文。
2.如權(quán)利要求1所述的方法，其特征在于，所述接入交換機(jī)判斷所述下線報文是否將觸發(fā)介質(zhì)訪問控制MAC地址表項的遷移，具體包括: 如果所述下線報文的源MAC地址在本地MAC表項中對應(yīng)的端口與所述接入交換機(jī)上收到所述下線報文的端口不同，則所述接入交換機(jī)確定所述下線報文將觸發(fā)MAC地址表項的遷移。
3.如權(quán)利要求1或2所述的方法，其特征在于，所述下線報文具體包括:基于以太網(wǎng)上的點到點協(xié)議PPPoE的PPPoE主動發(fā)現(xiàn)終止PADT報文；或者，基于點到點協(xié)議PPP的鏈路控制協(xié)議期限請求LCP TermReq報文；或者，PPP的網(wǎng)際互聯(lián)控制協(xié)議期限請求IPCP TermReq報文。
4.一種接入交換機(jī)，其特征在于，所述接入交換機(jī)具體包括: 幀聽模塊，用于對下線報文進(jìn)行偵聽； 判斷模塊，用于在偵聽到下線報文時，判斷所述下線報文是否將觸發(fā)介質(zhì)訪問控制MAC地址表項的遷移； 處理模塊，用于當(dāng)所述下線報文將觸發(fā)MAC地址表項的遷移時，丟棄所述下線報文，且禁止所述下線報文觸發(fā)MAC地址表項的遷移；否則轉(zhuǎn)發(fā)所述下線報文。
5.如權(quán)利要求4所述的接入交換機(jī)，其特征在于， 所述判斷模塊，具體用于當(dāng)所述下線報文的源MAC地址在本地MAC表項中對應(yīng)的端口與接入交換機(jī)上收到所述下線報文的端口不同時，確定所述下線報文將觸發(fā)MAC地址表項的遷移。
6.如權(quán)利要求4或5所述的接入交換機(jī)，其特征在于，所述下線報文具體包括:基于以太網(wǎng)上的點到點協(xié)議PPPoE的PPPoE主動發(fā)現(xiàn)終止PADT報文；或者，基于點到點協(xié)議PPP的鏈路控制協(xié)議期限請求LCP TermReq報文；或者，PPP的網(wǎng)際互聯(lián)控制協(xié)議期限請求IPCPTermReq 報文。
【文檔編號】H04L12/935GK104038424SQ201410245395
【公開日】2014年9月10日 申請日期:2014年6月3日 優(yōu)先權(quán)日:2014年6月3日
【發(fā)明者】任曉軍 申請人:杭州華三通信技術(shù)有限公司