CN101127717A - 一种报文转发的方法和交换机 - Google Patents

Abstract

本发明公开了一种报文转发的方法，涉及工业通信技术领域，包括：预先设置允许转发的报文类型列表，预先设置各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表；从所述端口接收到报文后，判断发送所述报文的源地址，如果判断出所述源地址不属于所述授权设备地址列表、未授权设备地址列表中的地址，则将所述报文通过预设的特定地址转发；如果判断出所述源地址为所述授权设备地址列表中的地址，并判断出所述报文类型为所述允许转发报文类型列表中的类型，则按照所述报文的目的地址转发。本发明还公开了一种交换机。本发明的方法和交换机能够避免未授权设备发送报文和非法类型的报文时影响正常工作设备的影响。

Description

一种报文转发的方法和交换机

技术领域

本发明涉及工业通信技术领域，特别是指一种报文转发的方法和工业交换机。

背景技术

在工业网络***中，为保证实时性的要求，很多服务器都采用用户数据报协议(UDP)广播报文，现场总线***中，用于周期数据发送和调度的广播报文非常多，相应的，其网络负荷也非常大。所以对于工业控制网络和监控网络需要通过代理或者网桥分开，对于不同的工业控制网络也需要通过代理或者网桥分开，这样能够比较好地隔离不同的控制网络，但是如果两个不同的控制网络需要数据交换的时候，由于所述代理或者网桥的存在，数据传输的时间就会延长。

在工业通信发展的历程中，交换机越来越占据重要地位，一般地，交换机处于核心交换的位置，网桥、代理和路由器都处于网络交换的边缘，处于补充的作用。但是由于目前的交换机构成网络的都是以交互数据为目的，并且由于工业控制网络自身应用环境的限制，交换机对于工业通信中所要求的响应时间、数据有效性认证等要求不能很好的满足。

传统意义上的交换机，都是工作在第二层的设备，转发单播数据是是通过点对点的传输实现的，而转发广播数据则会扩散到所有端口，一些加入虚拟局域网(VLAN)功能的交换机，能够将组播数据控制在固定的几个端口。随着网络技术的发展，目前的交换机技术能够完成第三层甚至第四层的转发，并且完成一部分的路由工作，这样使得从网络层划分各个网段就变得相对容易起来。

但是，目前工业控制网络中的交换机都会受到限制，主要是网络上如果出现未经过授权的设备，其发送的数据(特别是广播数据)将会扩散到所有端口，其他端口的设备就会受到其干扰，影响其他端口上的设备对生产的正常控制。

发明内容

有鉴于此，本发明在于提供一种报文转发的方法和交换机，以解决上述工业控制网络中未授权设备通过交换机发送数据时影响其他已经授权并工作设备问题。

如上所述，本发明提供一种控制交换机报文转发的方法，详细描述如下：

预先设置允许转发的报文类型列表，预先设置各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表；

从所述端口接收到报文后，判断发送所述报文的源地址，如果判断出所述源地址不属于所述授权设备地址列表、未授权设备地址列表中的地址，则将所述报文通过预设的特定地址转发；

如果判断出所述源地址为所述授权设备地址列表中的地址，并判断出所述报文类型为所述允许转发报文类型列表中的类型，则按照所述报文的目的地址转发。

其中，该方法还包括：

预先设置禁止转发的报文类型列表；

如果判断出所述源地址为所述未授权设备地址列表中的地址，或判断出所述报文类型为所述禁止转发报文类型列表中的类型，则将所述报文屏蔽。

其中，将所述报文通过预设的特定地址转发为：

将所述报文通过预设的特定地址转发至上位机；

所述上位机接收到所述报文后，通过所述特定地址回复所述报文的源地址所属设备的权限信息，或将所述端口屏蔽。

其中，该方法还包括：

接收到所述权限信息后，判断权限信息中的标识，将所述源地址存储到授权设备地址列表或未授权设备地址列表。

其中，所述地址列表包括单播列表、组播和广播的域列表。

其中，所述地址列表中的地址包括：

源媒体接入控制MAC地址、源互联网IP地址、目的MAC地址、目的IP地址、设备连接的交换机端口号。

其中，判断出所述源地址为所述授权设备地址列表中的地址过程包括：

在所述授权设备地址列表中查找出所述报文的源和目的MAC地址；

按照所述报文目的地址转发为：

按照所述目的MAC地址转发。

其中，该方法之前还包括：

将交换机内的路由功能设置为开；

判断出所述源地址为所述授权设备地址列表中的地址过程包括：

在所述授权设备地址列表中查找出所述报文的源和目的MAC、IP地址；

按照所述报文目的地址转发为：

按照所述目的MAC、IP地址转发。

其中，还包括，定期从各个端口接收来自设备的ARP、ICMP、IGMP或DHCP报文，分析从所述端口接收报文的子网掩码，判断所述报文所属的组播和广播的域地址，记录在所述域列表中。

其中，该方法还包括：

定期将监控到交换机的通信数据与用户设定的通信数据进行比较，如果不相同，则判断出所述端口出现故障，关闭所述端口，通过所述特定地址下载授权设备地址并更新所述授权设备地址列表中。

本发明还提供一种交换机，包括：收发单元、地址判断单元、授权判断单元、存储单元；

所述收发单元，用于接收或发送报文；

所述存储单元，用于存储允许转发的报文类型列表，各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表；

所述地址判断单元，用于判断所述接收单元接收到报文的源地址，如果判断出所述源地址不属于所述授权设备地址列表、未授权设备地址列表中的地址，则通知所述收发单元将所述报文通过预设的特定地址转发；

所述授权判断单元，用于判断所述报文的源地址和报文类型，如果判断出所述源地址为所述授权设备地址列表中的地址，并判断出所述报文类型为所述允许转发报文类型列表中的类型，则通知所述收发单元将所述报文按照该报文的目的地址转发。

其中，所述存储单元还可存储禁止转发的报文类型列表；

所述交换机还包括：

屏蔽单元，用于判断所述报文的源地址和报文类型，如果判断出所述源地址为所述未授权设备地址列表中的地址，或判断出所述报文类型为所述禁止转发报文类型列表中的类型，则将所述报文屏蔽。

其中，还包括：

地址更新单元，用于接收到所述源地址所属设备的权限信息后，判断权限信息中的标识，将所述源地址存储到授权设备地址列表或未授权设备地址列表。

其中，

所述存储单元中的地址列表包括单播列表、组播和广播的域列表；

还包括：

分析单元，用于通知收发单元定期从各个端口接收来自设备的ARP、ICMP、IGMP或DHCP报文，分析从所述端口接收报文的子网掩码，判断所述报文所属的组播和广播的域地址，记录在所述域列表中。

其中，还包括：

自动更新单元，定期将监控到交换机的通信数据与用户设定的通信数据进行比较，如果不相同，则判断出所述端口出现故障，关闭所述端口，通过所述特定地址下载授权设备地址并更新到所述授权设备地址列表中。

通过上述技术方案可知，本发明通过本发明报文转发的方法和交换机，建立地址列表、类型列表，并设置特定地址，当接收到报文后，如果发送该报文地址不属于列表中的地址，通过特定地址转发，从而避免未经过授权的设备发送报文和出现非法类型的报文时影响正常工作的设备。并且，对于首次出现的设备报文，通过特定地址发送至上位机，由用户授权后进行转发。在工作过程中，不断更新地址列表，并通过对报文数据的自动分析，关闭故障端口，减少对正常工作设备的影响，从而保证了正常的工业生产，提高了生产效率。

附图说明

图1是本发明实施例的流程图；

图2是本发明实施例中授权设备地址更新的流程图；

图3是本发明实施例中数据链路层报文转发的流程图；

图4是本发明实施例中网络层报文转发的流程图；

图5是本发明实施例中监控设备和交换机之间报文处理的流程图；

图6是本发明实施例中用户通过监控设备进行设置示意图；

图7是本发明实施例中交换机定期更新授权设备地址列表的流程图；

图8是本发明实施例中交换机监控端口数据的流程图；

图9是本发明实施例中交换机结构的示意图；

图10是本发明实施例中交换机相互连接的示意图。

具体实施方式

本发明的基本思想是：建立地址列表、类型列表，并设置特定地址，当接收到报文后，如果发送该报文地址不属于列表中的地址，通过特定地址转发，以避免未经过授权的设备发送报文和出现非法类型的报文时影响正常工作的设备。

为了本领域技术人员对本发明的技术方案有更好的理解，下面结合附图和实施例对本发明进行详细描述。

请参考图1，为本发明一种报文转发方法的实施例一的流程图。

包括以下步骤：

步骤S101：设置允许转发的报文类型列表，并设置各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表。

步骤S102：从所述端口接收到报文后，对源地址执行判断操作。

步骤S103：判断所述源地址不属于所述授权设备地址列表或未授权设备地址列表中的地址，若是，进入步骤S104；否则结束。

步骤S104：将所述报文通过预设的特定地址转发。

步骤S105：判断所述源地址是否为所述授权设备地址列表中的地址，并且所述报文类型是否为所述允许转发报文类型列表中的类型，若是，则进入步骤105；否则结束；

步骤S106：按照所述报文的目的地址转发。

在该实施例中，步骤S103与步骤S105没有先后的顺序关系。可根据具体情况，先后执行判断也可，也可以同时进行判断。

在该实施例中，还可将一些非法地址的报文进行屏蔽，以避免对网络中工作的其它设备造成不必要的影响。因此，该实施例还可包括以下步骤，

预先设置禁止转发的报文类型列表；

可在执行步骤S103、步骤S105执行判断操作之前设置禁止转发的报文类型列表。

当执行判断发送所述报文的源地址的过程中，如果判断出所述源地址为所述未授权设备地址列表中的地址，或判断出所述报文类型为所述禁止转发报文类型列表中的类型，则将所述报文屏蔽。这样可将这些非法的报文屏蔽。

在该实施例中，如果工程人员对交换机执行错误的连接操作，或连接的设备没有经过授权，则此时交换机收到未授权设备发送的报文或因误连接而收到非法类型报文，对于这类报文，交换机收到后，会将报文屏蔽；或执行步骤S104，将这些报文通过特定地址转发。

当通过特定地址转发时，如果连接有上级交换机，则发送至上级交换机，直至发送至上位机；上位机收到后，会以各种形式通知用户，通常会通过显示器将报文的信息展示给用户。用户收到后，为发送报文的源地址所属设备进行授权，将源地址所属设备的权限信息通过特定地址发送至交换机，或直接向交换机发送命令，将收到该报文的端口屏蔽。

交换机通过特定地址收到权限信息后，可通过判断权限信息中的标识，将发送该报文的源地址存储到授权设备地址列表或未授权地址列表中。下次再收到该源地址发送的报文后，通过判断执行相应的操作。

对于特定地址的功能，不仅包括上述的应用，还可用于对交换机内的各种地址列表进行定期或非定期的更新。对于这些列表的更新，可同时进行，也可先后进行，下面以授权设备地址列表为例描述该实施例中授权设备地址更新的过程。

更新的过程可参见图2，包括以下步骤：

步骤S201：用户设置组态信息。

步骤S202：用户组态配置软件通过特定地址将授权设备地址下载到交换机中。

其中，特定地址是交换机上的一个端口，授权设备地址包括：源媒体接入控制MAC地址、源互联网IP地址、目的MAC地址、目的IP地址、设备连接的交换机端口号等。

步骤S203：交换机更新授权设备地址列表。

交换机接收到授权设备地址后，判断授权设备地址列表中是否存在所下载的地址，如果存在，则进行更新，即将列表中没有的地址加入到列表中，加入时，按照源媒体接入控制MAC地址、源互联网IP地址、目的MAC地址、目的IP地址、设备连接的交换机端口号作为一个记录加入到列表中；如果交换机没有列表，则创建授权设备地址列表，并将下载的地址全部加入到列表中。

步骤S204：转发至下级交换机。

如果交换机还连接有下级交换机，则通过特定地址将下载的地址发送至下级交换机。

在上述的实施例中，还可进一步将列表中的地址进行划分，划分出单播列表，组播和广播的域列表，以便于交换机在转发报文的过程中处理。

为实现分层转发，可在交换机内设置路由功能，如果关闭路由功能，则交换机实现以太网的报文发送控制；如果开启路由功能，则实现不同多个网段的转发。下面参见图3，说明当路由功能关闭时，转发报文的过程。

具体包括以下步骤：

步骤S301：接收以太网报文。

步骤S302：判断出所述源地址为所述授权设备地址列表中的地址，并且判断出所述报文类型为所述允许转发报文类型列表中的类型。

由于接收的是以太网报文，交换机在接收到以太网报文后，获得所要转发报文的MAC地址，如果是单播，则在授权设备地址列表中的单播地址列表中进行查找；如果是广播或组播，则在授权设备地址列表中的广播或组播地址域列表中进行比较。将MAC地址与授权设备地址列表中的MAC地址进行匹配，找到相同的MAC地址，执行步骤S303。

步骤S303：按照所述报文的目的MAC地址转发。

所要转发的报文是来自授权设备的报文，交换机将要转发的报文按照该MAC地址转发到相应的设备。

上面详细说明路由功能关闭时的流程，下面详细说明路由功能开启时的流程，参见图4，为本发明实施例的网络层报文转发的流程图。

具体包括以下步骤：

步骤S401：接收以太网报文。

步骤S402：判断出所述源地址为所述授权设备地址列表中的地址，并且判断出所述报文类型为所述允许转发报文类型列表中的类型。

交换机在接收到以太网报文后，获得所要转发报文的MAC地址和IP地址，如果是单播，则在授权设备地址列表中的单播地址列表中进行查找；如果是广播或组播，则在授权设备列表中的广播或组播地址域列表中进行比较。将获得MAC、IP地址与授权设备地址列表中的记录进行匹配，找到相同的MAC、IP地址，并执行步骤S403。

步骤S403：按照所述报文的目的地址转发。

所要转发的报文是来自授权设备的报文，交换机将要转发的报文按照该MAC、IP地址转发到相应的设备。

上面分别描述交换机中路由功能开启或关闭时转发报文的流程，通过设置路由功能，可实现交换机在不同层转发报文。由于工业应用中的交换机所使用的协议较为固定，为加快交换机处理报文的速度，还可对不同层次中的不同类型的报文分别进行屏蔽。在该实施例中，还可包括，交换机接收到报文后执行源地址判断操作，即在步骤S301或步骤S401后，如果判断出所述源地址为所述未授权设备地址列表中的地址，或判断出所述报文类型为所述禁止转发报文类型列表中的类型，则将所述报文屏蔽。

对于所判断的类型，如果交换机没有开启路由功能，仅对第二层源地址和目的地址进行判断，不再判断其第三层报文类型是否为允许转发或禁止转发的报文类型列表中的类型，仅在第二层进行匹配。

如果交换机开启路由功能，不但要对第二层进行匹配判断，而且也要在第三层进行匹配判断，并且能够对于UDP、TCP或ICMP等非第三层的报文，进行类型的匹配判断，从而扩展其转发数据的安全性和合法性。

对于该实施例的步骤S103中，交换机将报文进行转发时，如果连接有上层的交换机，则通过特定地址将报文添加标识发送至上层的交换机，由上层交换机发送至上位机，即监控设备或工作站；如果直接连接到监控设备，则将报文发送至监控设备。

在该实施例的步骤S103后，还可包括监控设备与交换机之间的报文处理过程。下面结合附图5详细说明监控设备与交换机之间的报文处理过程。参见图5，为本发明实施例中监控设备和交换机之间报文处理的流程图。

具体包括以下步骤：

步骤S501：监控设备接收来自交换机发送的转发报文。

步骤S502：监控设备向用户提示网络上有新设备。

步骤S503：监控设备接收用户所选择的信息并发送至交换机。

步骤S504：交换机判断用户所选择的信息为组态信息时，重新执行用户设置组态信息、并下载到交换机。

步骤S505：交换机判断用户所选择的信息为误接入或非法设备信息时，将接收该转发报文的端口关闭。

用户通过监控设备查看来自交换机的信息，如果是新上电加入到网络中的设备，用户对该设备所发送单播报文的目的地址进行设置，还可对该设备所发送广播或组播报文的域进行设置，通过监控设备进行具体设置的示意图可参见图6。

当有新的设备上电后，监控设备上面显示新上电设备的IP以及发送的目的IP地址，并且预制相应的域设置，这里采用的域设置同子网掩码相同的设置，在添加后提交到下面的已配置列表中。

以一个新设备接入为例，交换机检测到该地址没有在该端口设置过，就将其报文发送到特定地址，监控设备检测到相应的报文，把该报文的基本信息显示出来，并且为其预制相应的域。其中，图6上显示的ALL是代表不限制其发送的范围。用户可以根据需要设置其域的范围，并且下发到其交换机端口，得到授权的该设备就能够在其指定的域中发送数据。这样就保证任何一个设备接入到***中，都是经过了授权后才能够完成其通信功能。

交换机还可定期对各个端口中来自各个设备的报文进行分析，得出各个端口地址所对应设备的单播地址、广播或组播的域地址，并将得出的地址添加到相应的列表中。下面结合图7进行详细说明，参见图7，为本发明实施例中交换机定期更新授权设备地址列表的流程图。

具体包括以下步骤：

步骤S701：进入报文分析周期。

用户可预先设置交换机的报文分析周期，经过预定的时间间隔后，交换机进入分析周期。

步骤S702：接收各个端口的报文。

步骤S703：判断是否存在可分析的报文。

交换机对该端口中是否存在ARP，ICMP，IGMP，DHCP等报文；如果存在，则执行步骤S704；如果不存在，则执行步骤706。

步骤S704：通过报文分析该端口所对应的子网掩码，从而判断该端口所对应的域。

步骤S705：判断是否大于授权设备地址列表的记录；如果大于，则执行步骤S708；如果小于，则结束。

交换机将分析出的域地址与授权设备地址列表中的域地址进行比较，如果存在授权设备地址列表中所没有的域地址，则判断为大于授权设备地址列表的域地址。

步骤S706：判断该端口是否存在广播、组播报文；如果存在，则执行步骤S707；如果不存在，则结束。

步骤S707：通过广播、组播报文得出该端口所在的域，判断是否大于授权设备地址列表的记录；如果大于，则执行步骤S708；如果小于，则结束。

交换机将分析出的域地址与授权设备地址列表中的域地址进行比较，如果存在授权设备地址列表中所没有的域地址，则判断为大于授权设备地址列表的域地址。

步骤S708：更新授权设备地址列表中广播、组播地址域列表。

上述域还可划分为子域，如果分析得出广播、组播的域是一个子域，则在以后的发送中可实现线速转发。

上述的实施例中，交换机还可包括监控操作，交换机在工作过程中，会一直对各个端口进行监控，如果出现通信的异常，则关闭通信端口，下面结合图8详细说明交换机在工作过程中对各个通信端口进行监控及出现问题处理的过程。参见图8，为本发明实施例中交换机监控端口数据的流程图。

具体包括以下步骤：

步骤S801：监控各个端口中的通信数据。

步骤S802：将定期将监控到交换机端口的通信数据与用户设定的通信数据进行比较，如果不相同，则执行步骤S803；如果相同，则执行步骤S801。

步骤S803：判断出所述端口出现故障，自动关闭所述端口；或通过监控设备通知用户，由于用户进行处理。当某一端口被关闭后，用户通过组态配置软件更新授权设备地址列表。即将新的IP地址转发域、各端口号和各端口对应连接的设备的MAC地址和/或IP地址等配置信息通过特定地址下载至所述交换机，所述交换机创建或者更新MAC地址、IP地址、交换机端口号等。

上述是本发明在实现报文转发过程的优选方案，本发明还提供一种交换机，用于实现上述报文转发过程的所有步骤。该交换机的结构图可参见图9，包括：收发单元901、地址判断单元903、授权判断单元904、存储单元902。其中，

所述收发单元901，用于接收或发送报文。

所述存储单元902，用于存储允许转发的报文类型列表，各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表。

所述地址判断单元903，用于判断所述接收单元901接收到报文的源地址，如果判断出所述源地址不属于所述授权设备地址列表、未授权设备地址列表中的地址，则通知所述收发单元将所述报文通过预设的特定地址转发。

所述授权判断单元904，用于判断所述接收单元901接收到报文的源地址和报文类型，如果判断出所述源地址为所述授权设备地址列表中的地址，并判断出所述报文类型为所述允许转发报文类型列表中的类型，则通知所述收发单元将所述报文按照该报文的目的地址转发。

其中，所述存储单元902还可存储禁止转发的报文类型列表。

所述交换机还包括：

屏蔽单元905，用于判断所述接收单元901接收到报文的源地址和报文类型，如果判断出所述源地址为所述未授权设备地址列表中的地址，或判断出所述报文类型为所述禁止转发报文类型列表中的类型，则将所述报文屏蔽。

还包括：

地址更新单元906，用于接收到所述源地址所属设备的权限信息后，判断权限信息中的标识，将所述源地址存储到授权设备地址列表或未授权设备地址列表。

所述存储单元902中的地址列表包括单播列表、组播和广播的域列表。

还包括：

分析单元907，用于通知所述收发单元901定期从各个端口接收来自设备的ARP、ICMP、IGMP或DHCP报文，分析从所述端口接收报文的子网掩码，判断所述报文所属的组播和广播的域地址，记录在所述域列表中。

还包括：

自动更新单元908，定期将监控到交换机的通信数据与用户设定的通信数据进行比较，如果不相同，则判断出所述端口出现故障，关闭所述端口，通过所述特定地址下载授权设备地址并更新到所述授权设备地址列表中。

上述是本发明交换机实施例的结构图，当若干个交换机90和监控设备10相连接的示意图可参见图10，交换机通过外接端口91与上级交换机相连，或直接连接监控设备10，该外接端口91的地址即所述的特定地址。

对于本发明各个实施例中所阐述的方法和装置，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (15)

1.一种报文转发的方法，其特征在于，包括：

预先设置允许转发的报文类型列表，预先设置各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表；

从所述端口接收到报文后，判断发送所述报文的源地址，当判断出所述源地址不属于所述授权设备地址列表或未授权设备地址列表中的地址时，将所述报文通过预设的特定地址转发；

当判断出所述源地址为所述授权设备地址列表中的地址，并且所述报文类型为所述允许转发报文类型列表中的类型时，按照所述报文的目的地址转发。

2.根据权利要求1所述的方法，其特征在于，还包括：

预先设置禁止转发的报文类型列表；

当所述源地址为所述未授权设备地址列表中的地址，或所述报文类型为所述禁止转发报文类型列表中的类型时，将所述报文屏蔽。

3.根据权利要求1所述的方法，其特征在于，将所述报文通过预设的特定地址转发为：

将所述报文通过预设的特定地址转发至上位机；

还包括：

所述上位机接收到所述报文后，通过所述特定地址回复所述报文的源地址所属设备的权限信息，或将所述端口屏蔽。

4.根据权利要求3所述的方法，其特征在于，该方法还包括：

接收到所述权限信息后，判断权限信息中的标识，将所述源地址存储到授权设备地址列表或未授权设备地址列表。

5.根据权利要求1所述的方法，其特征在于，所述地址列表包括单播列表、组播和广播的域列表。

6.根据权利要求1所述的方法，其特征在于，所述地址列表中的地址包括：

源媒体接入控制MAC地址、源互联网IP地址、目的MAC地址、目的IP地址、设备连接的交换机端口号。

7.根据权利要求6所述的方法，其特征在于，判断出所述源地址为所述授权设备地址列表中的地址过程包括：

在所述授权设备地址列表中查找出所述报文的源和目的MAC地址；

按照所述报文目的地址转发为：

按照所述目的MAC地址转发。

8.根据权利要求6所述的方法，其特征在于，该方法之前还包括：

将交换机内的路由功能设置为开；

判断出所述源地址为所述授权设备地址列表中的地址过程包括：

在所述授权设备地址列表中查找出所述报文的源和目的MAC、IP地址；

按照所述报文目的地址转发为：

按照所述目的MAC、IP地址转发。

9.根据权利要求5所述的方法，其特征在于，还包括，定期从各个端口接收来自设备的ARP、ICMP、IGMP或DHCP报文，分析从所述端口接收报文的子网掩码，判断所述报文所属的组播和广播的域地址，记录在所述域列表中。

10.根据权利要求1所述的方法，其特征在于，该方法还包括：

定期将监控到交换机的通信数据与用户设定的通信数据进行比较，如果不相同，则判断出所述端口出现故障，关闭所述端口，通过所述特定地址下载授权设备地址并更新所述授权设备地址列表中。

11.一种交换机，其特征在于，包括：收发单元、地址判断单元、授权判断单元、存储单元；

所述收发单元，用于接收或发送报文；

所述存储单元，用于存储允许转发的报文类型列表，各个端口允许转发报文的授权设备地址列表、禁止转发报文的未授权设备地址列表；

所述地址判断单元，用于判断所述接收单元接收到报文的源地址，如果判断出所述源地址不属于所述授权设备地址列表、未授权设备地址列表中的地址，则通知所述收发单元将所述报文通过预设的特定地址转发；

所述授权判断单元，用于判断所述报文的源地址和报文类型，如果判断出所述源地址为所述授权设备地址列表中的地址，并判断出所述报文类型为所述允许转发报文类型列表中的类型，则通知所述收发单元将所述报文按照该报文的目的地址转发。

12.根据权利要求11所述的交换机，其特征在于，所述存储单元还可存储禁止转发的报文类型列表；

所述交换机还包括：

屏蔽单元，用于判断所述报文的源地址和报文类型，如果判断出所述源地址为所述未授权设备地址列表中的地址，或判断出所述报文类型为所述禁止转发报文类型列表中的类型，则将所述报文屏蔽。

13.根据权利要求11所述的交换机，其特征在于，还包括：

地址更新单元，用于接收到所述源地址所属设备的权限信息后，判断权限信息中的标识，将所述源地址存储到授权设备地址列表或未授权设备地址列表。

14.根据权利要求11所述的交换机，其特征在于，

所述存储单元中的地址列表包括单播列表、组播和广播的域列表；

还包括：

分析单元，用于通知收发单元定期从各个端口接收来自设备的ARP、ICMP、IGMP或DHCP报文，分析从所述端口接收报文的子网掩码，判断所述报文所属的组播和广播的域地址，记录在所述域列表中。

15.根据权利要求11所述的交换机，其特征在于，还包括：

自动更新单元，定期将监控到交换机的通信数据与用户设定的通信数据进行比较，如果不相同，则判断出所述端口出现故障，关闭所述端口，通过所述特定地址下载授权设备地址并更新到所述授权设备地址列表中。

Images