CN101123614A

CN101123614A - 一种处理地址解析协议报文的方法及通信装置

Info

Publication number: CN101123614A
Application number: CNA2007101458905A
Authority: CN
Inventors: 杨自鹏
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2007-09-04
Filing date: 2007-09-04
Publication date: 2008-02-13
Anticipated expiration: 2027-09-04
Also published as: CN101123614B

Abstract

一种处理地址解析协议ARP报文的通信装置，包括一CPU及一ARP报文处理模块。使用该装置处理ARP报文的方法，包括：a.ARP报文处理模块如判断其收到的数据帧类型为ARP请求报文，执行b；如为ARP应答报文，执行d；b.如在设置在该模块中的网关ARP表中查找到与数据帧中的目的IP地址相对应的目的网关MAC地址，执行c；c.组装一个ARP应答报文，组装好后将其发送出去，结束；d.该模块如判断数据帧中的目的MAC地址为本网关的MAC地址，则将数据帧中的源IP地址和源MAC地址组成ARP信息后，在网关ARP表中查找是否存在与其相同的ARP信息，如果是则结束。采用本发明，可提高处理ARP报文的效率。

Description

一种处理地址解析协议报文的方法及通信装置

技术领域

本发明涉及以太网通信技术，尤其涉及一种处理地址解析协议报文的方法及通信装置。

背景技术

随着因特网的高速发展，以太网网络逐渐成为人们日常工作和生活中必不可少的工具。而以太网交换机或者路由器等作为组成以太网网络必不可少的通信设备，在网络中的数量与日俱增。同时，IP数据包常通过以太网发送，但以太网通信设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成48位的以太网目的地址。在这两种地址之间存在着某种静态的或算法的映射，常常需要查看一张表以完成转换。ARP(Address Resolution Protocol，地址解析协议)就是用来确定这些映象的协议。随着以太网通信设备数量的增多，在网络中组网越来越复杂，规模越来越大，这样就导致网络中的ARP协议报文越来越多，这些协议报文均需要由以太网交换机或者路由器等通信设备的CPU软件进行处理，CPU的负担越来越重。

同时，由于成本和设计上的需要，目前以太网通信设备的CPU的处理能力渐渐弱化，通信设备的主要工作数据包的路由和转发基本上都是由高性能的NP(Network Processor，网络处理器)或ASIC(Application SpecificIntegrated Circuits，专用集成电路)芯片来完成的，而CPU只是作为NP或ASIC芯片的旁挂设备，运行协议和处理协议报文，以及其他的控制和管理工作等等。但只要是配置了IP地址的通信设备，基本上CPU都需要运行ARP协议，且ARP协议的一个最大的特点是定时老化刷新，可想而知，网络上充斥的众多ARP协议报文都需要CPU进行处理，这就对CPU的处理能力提出了很高的要求。

更进一步的，网络上各种病毒繁多，ARP病毒中就有一种不停的伪造各种ARP协议报文以发向网络或者以太网通信设备，或者有用户恶意或着无意的发送大量的ARP协议报文，这些协议报文会大量的占用以太网通信设备中CPU的处理时间，造成以太网通信设备不能及时的处理其他重要协议或者控制消息，造成网络故障，后果严重。这些非法的ARP报文和正常的ARP报文一模一样，无法区分，所以解决这种问题的方法只有在尽可能降低成本的前提下，提高以太网通信设备的ARP协议报文的处理能力。但现有技术中还没有相关技术以解决此问题。

发明内容

本发明的目的在于，提供一种处理地址解析协议报文的方法及通信装置，采用软件和硬件相结合，共同处理，以达到提高以太网通信设备的地址解析协议报文处理能力的目的。

本发明提供了一种处理地址解析协议ARP报文的方法，包括以下步骤：

a、ARP报文处理模块如判断其收到的数据帧类型为ARP请求报文，执行b；如为ARP应答报文，执行d；

b、如在设置在ARP报文处理模块中的网关ARP表中查找到与数据帧中的目的IP地址相对应的目的网关MAC地址，执行c；

c、组装一个ARP应答报文，将目的网关MAC地址和目的IP地址分别作为该报文的源MAC地址和源IP地址，将数据帧中包含的源MAC地址和源IP地址作为该报文的目的MAC地址和目的IP地址；组装好后，将该报文发送出去，结束；

d、ARP报文处理模块如判断数据帧中的目的MAC地址为本网关的MAC地址，则将数据帧中的源IP地址和源MAC地址组成ARP信息后，在网关ARP表中查找是否存在与其相同的ARP信息，如果是则结束。

进一步地，ARP报文处理模块为网络处理器或专用集成电路芯片。

进一步地，步骤d中，如果网关ARP表中不存在与由数据帧中的源IP地址和源MAC地址组成的ARP信息相同的ARP信息，则ARP报文处理模块将ARP信息保存到网关ARP表中后，再将该条ARP信息发送给CPU，CPU将该条ARP信息添加到其软件ARP表中。

进一步地，步骤c中，发送ARP应答报文的端口为步骤a中接收数据帧的端口。

本发明还提供了一种处理地址解析协议ARP报文的通信装置，应用于以太网中，包括一CPU及一ARP报文处理模块；

模块用于判断其接收到的数据帧的类型；对于ARP请求报文，其用于从网关ARP表中查找与数据帧中目的IP地址相对应的目的网关MAC地址；找到后，其还用于组装ARP应答报文，将目的网关MAC地址和目的IP地址分别作为该报文的源MAC地址和源IP地址，将数据帧中的源MAC地址和源IP地址作为该报文的目的MAC地址和目的IP地址；组装好后，还用于将该报文发送出去；

对于ARP请求报文，模块用于判断数据帧中的目的MAC是否为本网关的MAC地址；如果是，其还用于将数据帧中的源IP地址和源MAC地址组成ARP信息后，在网关ARP表中查找是否存在与其相同的ARP信息。

进一步地，对于ARP请求报文，如果网关ARP表中不存在与数据帧中的源IP地址和源MAC地址组成的ARP信息相同的ARP信息，则ARP报文处理模块还用于将ARP信息保存到其网关ARP表中后，再将该条ARP信息发送给CPU。

传统方式所有的ARP报文全由CPU处理，可能由于ARP报文多而造成CPU忙，最终使得CPU没有时间处理其它报文或其他任务，导致网络故障。本发明将ARP报文由原来CPU进行处理改成由硬件NP或者ASIC芯片进行处理，因为处理ARP请求报文的方式简单，而且回应的ARP应答报文的格式也是固定的，完全可以由高性能的高处理能力的硬件完成，从而把CPU从这种重复的简单的处理流程中解脱出来，因此大大的降低了CPU处理ARP报文的处理时间，提高了ARP报文的处理效率。而且NP或者ASIC芯片在处理ARP应答报文时，只将学习到的ARP信息报告给CPU，使CPU直接就得到了结果，而不用处理具体的报文，最主要的是对于已经在ARP表中存在的ARP信息，不会再报告给CPU，这就解决了目前ARP协议一大难题--ARP报文攻击问题(即重复的大量的向以太网交换机或路由器发送ARP报文，造成太网交换机的CPU忙的攻击方法)。本发明相当于在硬件上对重复的报文进行了过滤，大大提高了以太网通信设备抗ARP报文攻击的能力，提高了网络安全。

附图说明

图1是本发明实施例中ARP报文处理模块的示意图；

图2是本发明实施例中处理ARP报文的流程图。

具体实施方式

下面将结合附图及实施例对本发明的技术方案进行更详细的说明。

一种应用于以太网中的处理ARP报文的通信装置，如图1所示，包括一CPU和一ARP报文处理模块(即NP或ASIC芯片)；

该模块用于判断其接收到的数据帧的类型；对于ARP请求报文，其用于从网关ARP表中查找与上述数据帧中目的IP地址相对应的目的网关MAC地址；找到后，其还用于组装ARP应答报文，将上述目的网关MAC地址和上述目的IP地址分别作为该报文的源MAC地址和源IP地址，将上述数据帧中的源MAC地址和源IP地址作为该报文的目的MAC地址和目的IP地址；组装好后，还用于将该报文发送出去；

对于ARP请求报文，上述模块用于判断上述数据帧中的目的MAC是否为本网关的MAC地址；如果是，其还用于将上述数据帧中的源IP地址和源MAC地址组成ARP信息后，在上述网关ARP表中查找是否存在与其相同的ARP信息；如果没有，则上述模块还用于将是上述ARP信息保存到其网关ARP表中后，再将该条ARP信息发送给CPU。

下面结合附图对在以太网交换机为例来说明在ARP报文处理模块上实现ARP协议报文的处理流程。

如图2所示，包括以下步骤：

步骤001，数据帧从交换机的端口A进入NP或者ASIC芯片，正常的帧校验等工作完成以后，用匹配规则判断数据帧的以太网类型是否为ARP，即0x0806。如果是，执行步骤002，否则流程结束；

步骤002，判断该数据帧的类型，如果其类型为ARP request(ARP请求)，执行步骤101；如果其类型为ARP reply(ARP应答)，则执行步骤201；否则，流程结束；

步骤101，从该数据帧中识别出源主机请求的目的IP地址；

步骤102，根据设置在NP或者ASIC芯片中的网关ARP表，查找包含此目的IP地址的ARP信息是否存在。如果存在，得到目的网关的MAC地址信息后，执行步骤103，否则，流程结束；

步骤103，组装一个ARP reply报文，该报文的源MAC地址和源IP地址分别为步骤102中查到的目的网关的MAC地址和上述数据帧中的目的IP地址，该ARP reply报文的目的MAC地址和目的IP地址分别为发送上述数据帧的源主机的MAC地址和IP地址；

步骤104，将该ARP reply报文发送到交换机的端口A，交换机按正常二层转发流程将该ARP reply报文转发出去后，流程结束。

步骤201，取出该数据帧中的目的MAC地址；

步骤202，判断该目的MAC地址是否为本NP或ASIC芯片的网关的MAC地址，如果是，执行步骤203，否则，流程结束；

步骤203，从该数据帧的ARP协议内容中取出源IP地址和源MAC地址组成ARP信息；

步骤204，根据上述ARP信息查找网关ARP表，如果找到则流程结束，否则执行步骤205；

步骤205，将该ARP信息保存在网关ARP表中，并将该ARP信息发送给CPU；

步骤206，CPU将上述NP或者ASIC芯片学习到的并向其发送的ARP信息添加到其软件ARP表中。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims

1.一种处理地址解析协议ARP报文的方法，其特征在于，包括以下步骤：

b、如在设置在所述ARP报文处理模块中的网关ARP表中查找到与所述数据帧中的目的IP地址相对应的目的网关MAC地址，执行c；

c、组装一个ARP应答报文，将所述目的网关MAC地址和所述目的IP地址分别作为该报文的源MAC地址和源IP地址，将所述数据帧中包含的源MAC地址和源IP地址作为该报文的目的MAC地址和目的IP地址；组装好后，将该报文发送出去，结束；

d、所述ARP报文处理模块如判断所述数据帧中的目的MAC地址为本网关的MAC地址，则将所述数据帧中的源IP地址和源MAC地址组成ARP信息后，在所述网关ARP表中查找是否存在与其相同的ARP信息，如果是则结束。

2.如权利要求1所述的方法，其特征在于，所述ARP报文处理模块为网络处理器或专用集成电路芯片。

3.如权利要求2所述的方法，其特征在于，步骤d中，如果所述网关ARP表中不存在与由所述数据帧中的源IP地址和源MAC地址组成的ARP信息相同的ARP信息，则所述ARP报文处理模块将所述ARP信息保存到所述网关ARP表中后，再将该条ARP信息发送给CPU，所述CPU将该条ARP信息添加到其软件ARP表中。

4.如权利要求1所述的方法，其特征在于，步骤c中，发送ARP应答报文的端口为步骤a中接收所述数据帧的端口。

5.一种处理地址解析协议ARP报文的通信装置，应用于以太网中，包括一CPU，其特征在于，还包括一ARP报文处理模块；

所述模块用于判断其接收到的数据帧的类型；对于ARP请求报文，其用于从网关ARP表中查找与所述数据帧中目的IP地址相对应的目的网关MAC地址；找到后，其还用于组装ARP应答报文，将所述目的网关MAC地址和所述目的IP地址分别作为该报文的源MAC地址和源IP地址，将所述数据帧中的源MAC地址和源IP地址作为该报文的目的MAC地址和目的IP地址；组装好后，还用于将该报文发送出去；

对于ARP请求报文，所述模块用于判断所述数据帧中的目的MAC是否为本网关的MAC地址；如果是，其还用于将所述数据帧中的源IP地址和源MAC地址组成ARP信息后，在所述网关ARP表中查找是否存在与其相同的ARP信息。

6.如权利要求5所述的方法，其特征在于，所述ARP报文处理模块为网络处理器或专用集成电路芯片。

7.如权利要求6所述的装置，其特征在于，对于ARP请求报文，如果所述网关ARP表中不存在与所述数据帧中的源IP地址和源MAC地址组成的ARP信息相同的ARP信息，则所述ARP报文处理模块还用于将所述ARP信息保存到其网关ARP表中后，再将该条ARP信息发送给CPU。