CN101222513B - 一种防止重复地址检测攻击的方法及网络设备 - Google Patents

Abstract

本发明公开了一种防止重复地址检测攻击的方法，通过记录第一个收到检测第一IPv6地址的DAD NS报文的第一端口；然后依据记录的第一端口，丢弃从其他端口收到的对应第一IPv6地址的DAD NS报文以及DAD NA报文，由于丢弃了影响第一IPv6地址生效的DAD NA报文以及DAD NS报文，因此有效的阻止攻击者发起的DAD攻击，使用户节点能够顺利配置IPv6地址。另外，本发明还公开了一种防止重复地址检测攻击的网络设备。

Description

一种防止重复地址检测攻击的方法及网络设备

技术领域

本发明涉及IPv6技术，尤指一种防止重复地址检测(DAD，DuplicatedAddress Detection)攻击的方法及网络设备。

背景技术

互联网工程任务组(IETF，Internet Engineering Task Force)在20世纪90年代提出了下一代互联网协议——IPv6，目前IPv6已经被公认为是IPv4的未来升级版本。其中，IPv6技术最为本质的改进就是将原来的地址长度由32位增加到了128位，从而带来了几乎无限的地址空间。同时，用基于网间控制报文协议第六版(ICMPv6，Internet Control Messages Protocol version6)的邻居发现(ND，Neighbor Discovery)协议替代了地址解析协议(ARP，Address Resolution Protocol)来实现重复地址检测、地址解析、路由器发现等功能。

重复地址检测是节点在配置IPv6地址时执行的操作。参见图1，图1所示为用户节点1做DAD检测的情况。当用户节点1要配置IPv6地址2000::1时，发送目的地址为被请求节点组播地址的DAD NS报文，该目的地址对应共享同一前缀空间的子网，用来检测当前要配置的地址是否已被使用。其中，请求配置的目标IPv6地址2000::1携带在报文中。同时，用户节点1在发送DAD NS报文时启动定时器。按照协议的规定，收到该DAD NS报文的用户节点如果已经配置了2000::1，则回复DAD NA报文，目的地址为所有节点组播地址，如图1所示的用户节点2。如果发送DAD NS报文的用户节点在定时器到时之前，收到其他节点发送的DAD NA报文或者针对同一目标地址的DAD NS报文，图1中所示的用户节点3发送了针对同一目标地址的DAD NS报文，则认为地址出现冲突，将目标地址标记成重用(Duplicated)而不生效。如果在定时器到时之后，均未收到对应的DAD NA报文或者DAD NS报文，则目标地址有效，配置该目标地址。

DAD攻击是攻击节点在收到合法用户发送的DAD NS报文后，恶意返回DAD NA报文或者将收到的DAD NS再发送出去，使得作DAD检测的合法用户节点认为当前请求配置的目标地址已经被其他用户配置或者请求，而放弃生效该IPv6地址的情况。众所周知，节点只有在配置地址之后，才能正常通信，如果用户节点一直不能成功配置地址，则该用户节点也将始终无法正常通信，这样将极大的影响用户节点的正常业务以及网络的正常运行。如果攻击节点对收到的所有DAD NS报文都做应答，就会导致整个子网内各节点配置IPv6地址失败，这样整个子网陷于瘫痪，极大的影响了网络的正常运行。

发明内容

有鉴于此，本发明提供了一种防止重复地址检测攻击的方法及网络设备，应用本发明所提供的方法及网络设备能够有效的阻止重复地址检测攻击。

为达到上述目的，本发明的技术方案是这样实现的：

一种防止重复地址检测攻击的方法，该方法包括：

网络设备在收到针对第一IPv6地址的重复地址检测DAD邻居请求NS报文或DAD邻居公告NA报文时，判断当前是否存在记录有所述第一IPv6地址对应的表项，

如果是，在当前收到报文的端口与所述表项中记录的端口不同、并且该表项标注了临时状态时，丢弃当前收到的报文；在接收的是DAD NA报文、并且该DAD NA报文的端口与所述表项中记录的端口相同时，删除为所述表项标注的临时状态；

如果不是，在收到DAD NS报文时，创建记录有所述第一IPv6地址和接收当前DAD NS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文。

一种防止重复地址检测攻击的网络设备，该网络设备包括：

接收单元，用于接收重复地址检测DAD邻居请求NS报文以及DAD邻居公告NA报文，并发送收到的报文；

控制单元，在从接收单元收到报文后，根据报文对应的第一IPv6地址，判断当前是否存在记录有所述第一IPv6地址对应的表项，如果是，在当前收到报文的端口与所述表项中记录的端口不同、并且该表项标注了临时状态时，丢弃当前收到的报文；在接收的是DAD NA报文、并且该DAD NA报文端口与该表项中记录的端口相同的情况下，删除为所述表项标注的临时状态；如果不是，在收到DAD NS报文时，创建记录有所述第一IPv6地址和接收当前DAD NS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文；

存储单元，用于保存控制单元记录的表项。

本发明所提供的一种防止重复地址检测攻击的技术方案，通过记录第一个收到检测第一IPv6地址的DAD NS报文的第一端口；然后依据记录的第一端口，丢弃从其他端口收到的对应第一IPv6地址的DAD NS报文以及DAD NA报文，由于丢弃了影响第一IPv6地址生效的DAD NA报文以及DAD NS报文，因此有效的阻止了攻击者发起的DAD攻击，使用户节点能够顺利配置IPv6地址。另外，本发明技术方案的实现不需要对用户节点进行修改、更新，仅对网络设备进行了相应改进，实现代价小，是一种简便而有效的方法。

附图说明

图1为现有技术中进行DAD检测的应用场景；

图2为本发明较佳实施例的方法流程图；

图3为本发明较佳实施例的应用场景；

图4为本发明较佳实施例的网络设备结构图。

具体实施方式

分析攻击节点发动DAD攻击的过程，可知在发动DAD攻击时，攻击节点必须先收到其他用户节点发送的DAD NS报文，针对报文中携带的目标地址实施攻击。可见，攻击节点所攻击的目标地址在发送DAD NS报文之前必然不会出现在子网内。这样，可以确定在一个子网内第一个发送DAD NS报文的用户必为合法用户。

利用在子网内第一个发送DAD NS报文的用户为合法用户，本发明的技术方案是这样实现的：由子网内负责用户节点之间报文交互的网络设备对收到的报文进行监听，记录第一个收到检测第一IPv6地址的DAD NS报文的第一端口；然后依据记录的第一端口，丢弃从其他端口收到的对应第一IPv6地址的DAD NS报文以及DAD NA报文。由于网络设备丢弃了影响第一IPv6地址生效的DAD NA报文以及DAD NS报文，进而第一个发送DADNS报文的合法用户节点将在定时器超时后将生效请求的地址，有效的阻止了攻击者发起的DAD攻击。具体可以通过如下流程实现：

网络设备在收到针对第一IPv6地址的重复地址检测DAD邻居请求NS报文或DAD邻居公告NA报文时，判断当前是否存在记录有所述第一IPv6地址的表项，如果是，在当前收到报文的端口与所述表项中记录的端口不同、并该表项标注了临时状态时，丢弃当前收到的报文；如果不是，在收到DADNS报文时，创建记录有所述第一IPv6地址和接收当前DAD NS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文。

另外，用户节点在配置的地址生效后，再收到对应生效地址的DAD NS报文时，则返回DAD NA报文，告之检测该地址的用户节点该目标地址已被使用；并在收到DAD NA报文时，不做处理。可见，用户节点在配置的地址生效后，即使收到DAD NS报文或者DAD NA报文，也不会对生效的地址产生影响。因此，在请求配置的第一IPv6地址生效后，网络设备可以正常转发收到的DAD NA报文，以及DAD NS报文。另外，由于用户节点对于收到的DAD NA报文不做处理，因此网络设备在配置地址生效后，也可以丢弃收到DAD NA报文。

这里，考虑到用户节点在地址生效时，会发送主动DAD NA报文，因此在本发明的技术方案中，网络设备可以在从用户节点对应的端口收到DAD NA报文时，确定用户节点请求配置的地址生效，删除为端口标注的临时状态。

网络设备在将端口和第一IPv6地址记录至表项时，可以网络设备进一步将当前收到DAD NS报文的源介质访问控制(MAC)地址记录至所述第一IPv6地址对应的表项。网络设备在删除为所述表项标注的临时状态后，则可将该表项作为邻居表项，转发报文。这样，在用户节点配置的第一IPv6地址生效后，网络设备可以直接根据建立的表项转发发往该用户节点的报文，免去了在转发报文过程中创建邻居表项的操作，加快了报文转发的速度。

现以列举较佳实施例，对本发明的技术方案进行详细介绍。

参见图2，图2为本发明较佳实施例的方法流程图。本实施例所对应的场景如图3所示。在图3中，用户节点1、2和3位于同一局域网内，分别连接在网络设备的端口A、B和C上。这里，假设用户节点1要配置地址2000::1，且用户节点1为第一个配置地址2000::1的用户节点；用户节点2为攻击节点，并在用户节点1进行DAD的过程进行DAD攻击；用户节点3为在用户节点1生效地址后新加入的节点，并配置相同的地址2000::1。本发明实施例方法的具体流程如下：

在步骤201中，用户节点1配置地址2000::1，在此称为第一IPv6地址，并针对该第一IPv6地址做DAD检测。具体为：发送DAD NS报文，其中携带请求配置的第一IPv6地址；同时启动定时器。

在步骤202中，网络设备从端口A接收用户节点1发送的DAD NS报文，在确定该DAD NS报文为第一个检测第一IPv6地址的报文时，根据收到的DAD NS报文，将源MAC地址、请求配置的第一IPv6地址和端口A记录在邻居表项，并将该表项标注为临时(Tentative)状态，将该DAD NS报文做2层转发。

其中，确定收到的DAD NS报文为第一个检测第一IPv6地址的报文的具体方法可以是，判断网络设备中是否已经存在了与第一IPv6地址对应的邻居表项，没有则说明该DAD NS报文为第一个检测第一IPv6地址的报文。这里，将邻居表项标注为临时状态除了可以用来确定用户节点1是否生效了配置的第一IPv6地址，还可以用来标识对应的邻居表项是否可以做三层转发。

在步骤203中，攻击节点接收网络设备发送的DAD NS报文，发送对应的DAD NS报文或DAD NA报文，进行DAD攻击。

在步骤204中，网络设备从攻击节点所在的端口B收到攻击节点发送的DAD NS报文或DAD NA报文，根据其对应的第一IPv6地址查找邻居表项，得到在邻居表项中与第一IPv6地址对应的端口为端口A、并且该邻居表项标注为临时状态，网络设备丢弃收到的DAD NS报文或者DAD NA报文。

这里，由于网络设备丢弃了攻击节点用于攻击的DAD NS报文或者DAD NA报文，因此该报文就不再会转发至用户节点1。进而，用户节点1将在定时器超时后，生效配置的地址。

其中，网络设备收到的DAD NS报文还有可能是另外一个合法用户节点检测第一IPv6地址的DAD NS报文，此时网络设备丢弃收到的DAD NS报文能够避免两个用户节点同时报冲突而导致配置的IPv6地址均不能生效的问题。因此，本发明的技术方案不但能够有效阻止DAD攻击，还能够避免两个用户节点同时做DAD检测，导致两个用户节点均不能生效IPv6地址的情况。

在步骤205中，用户节点1定时器超时，生效配置的第一IPv6地址，并主动发送DAD NA报文。

在步骤206中，网络设备从端口A接收DAD NA报文，根据其对应的第一IPv6地址查找邻居表项，得到邻居表项与第一IPv6地址对应的端口为端口A，正是当前接收DAD NA报文的端口，则将该DAD NA报文做二层转发，并删除其对应邻居表项的临时状态。

在删除邻居表项的临时状态标注后，网络设备则可将该邻居表项用于三层转发。

在步骤207中，用户节点1配置第一IPv6地址生效后，局域网中新增用户节点3，同样配置第一IPv6地址，做DAD检测。具体为：发送DAD NS报文，其中携带请求配置的第一IPv6地址；同时启动定时器。

在步骤208中，网络设备从端口C收到用户节点3发送的DAD NS报文，根据其对应的第一IPv6地址查找邻居表项，得到邻居表项与第一IPv6地址对应的端口为端口A，在确定该邻居表项没有标注临时状态后，二层转发收到的DAD NS报文。

这里，邻居表项没有标注临时状态表明原先第一IPv6地址在用户节点上已经生效。此时转发DAD NS报文不会对已经生效的地址产生影响，更不会造成DAD攻击，故可正常转发收到的DAD NS报文。同样，在用户节点1的第一IPv6生效后，网络设备也可以转发从其他用户节点收到的DAD NA报文，其具体处理的过程与DAD NS报文的过程相同，在此不再详述。

在步骤209中，用户节点1通过网络设备收到从用户节点3发送的DADNS报文，回复DAD NA报文。由于网络设备从端口A收到DAD NA报文，因此网络设备转发收到的DAD NA报文。

在步骤210中，用户节点3收到网络设备转发的DAD NA报文，得知自身当前配置的第一IPv6地址已经被其他用户节点配置，此时将第一IPv6地址标记为Duplicated而不生效。

在本实施例的介绍中，主要描述的是用户节点对第一IPv6地址仅检测一次的场景。在一些情况下，为了避免网络环境而造成的不利因素，用户节点可能会根据配置周期性的发送多次DAD NS报文，用来检测IPv6地址。这里，需要指出的是本发明的技术方案也能很好的处理这种用户节点多次发送DAD NS报文的情况，因为本发明实施例的技术方案在记录端口A之后，将会丢弃从其他端口收到的DAD NS报文及DAD NA报文，而不会丢弃从端口A收到的DAD NS及DAD NA报文。

另外，在网络设备检测到端口失效时，可以删除与该端口对应的邻居表项。这里所指的失效包括：用户节点更换网卡或更换端口导致端口发生Down事件的情况。用户节点在更换网卡或者更换端口后，也会重新做上述DAD的过程。

另外，参见图4，图4为本发明实施例提供的一种网络设备的结构图，包括接收单元和执行单元。

接收单元，用于将收到的重复地址检测DAD邻居请求NS报文以及DAD邻居公告NA报文，发送收到的报文；

执行单元，用于在从接收单元收到报文后，根据报文对应的第一IPv6地址，判断当前是否存在记录有所述第一IPv6地址的表项，如果是，在当前收到报文的端口与所述表项中记录的端口不同、并该表项标注了临时状态时，丢弃当前收到的报文；如果不是，在收到DAD NS报文时，创建记录有所述第一IPv6地址和接收当前DAD NS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文。

具体的，所述控制单元，在从接收单元收到报文后，根据报文对应的第一IPv6地址，判断当前是否存在记录有所述第一IPv6地址的表项，如果是，在当前收到报文的端口与所述表项中记录的端口不同、并该表项标注了临时状态时，丢弃当前收到的报文；如果不是，在收到DAD NS报文时，创建记录有所述第一IPv6地址和接收当前DAD NS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文；所述存储单元，用于保存控制单元记录的表项。

所述控制单元，进一步用于判定当前存在记录有所述第一IPv6地址的表项时，在接收DAD NA报文的端口与该表项中记录的端口相同的情况下，删除为所述表项标注的临时状态。

所述控制单元，还可用于将当前收到DAD NS报文的源介质访问控制MAC地址记录至所述第一IPv6地址对应的表项；并在删除为所述表项标注的临时状态后，根据所述表项转发报文。

所述控制单元，还可进一步用于在检测到表项中记录的端口失效时，删除与该端口对应的表项。

在本发明中，所使用的网络设备可以是交换设备，例如三层交换设备

在本发明实施例的技术方案中，通过网络设备对收到的报文进行监听，记录第一个收到检测第一IPv6地址的DAD NS报文的第一端口；然后依据记录的第一端口，丢弃从其他端口收到的对应第一IPv6地址的DAD NS报文以及DAD NA报文，由于网络设备丢弃了影响第一IPv6地址生效的DADNA报文以及DAD NS报文，进而有效的阻止了攻击者发起的DAD攻击。

同时，本发明技术方案的实现不需要对用户节点进行操作，仅对网络设备进行了相应改进，实现代价小，是一种简便而有效的方法。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种防止重复地址检测攻击的方法，其特征在于，该方法包括：

网络设备在收到针对第一IPv6地址的重复地址检测DAD邻居请求NS报文或DAD邻居公告NA报文时，判断当前是否存在记录有所述第一IPv6地址对应的表项，

如果是，在当前收到报文的端口与所述表项中记录的端口不同、并且该表项标注了临时状态时，丢弃当前收到的报文；在接收的是DAD NA报文、并且接收该DAD NA报文的端口与所述表项中记录的端口相同时，删除为所述表项标注的临时状态；

如果不是，在收到DAD NS报文时，创建记录有所述第一IPv6地址和接收当前DAD NS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文。

2.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

网络设备在收到DAD NS报文、并创建对应表项时，进一步将当前收到DAD NS报文的源介质访问控制MAC地址记录至所述第一IPv6地址对应的表项；

网络设备在删除为所述表项标注的临时状态后，根据所述表项转发报文。

3.根据权利要求1所述的方法，其特征在于，该方法进一步包括：网络设备检测到表项中记录的端口失效时，删除与该端口对应的表项。

4.一种防止重复地址检测攻击的网络设备，其特征在于，该网络设备包括：

接收单元，用于接收重复地址检测DAD邻居请求NS报文以及DAD邻居公告NA报文，并发送收到的报文；

控制单元，在从接收单元收到报文后，根据报文对应的第一IPv6地址，判断当前是否存在记录有所述第一IPv6地址对应的表项，如果是，在当前收到报文的端口与所述表项中记录的端口不同、并且该表项标注了临时状态时，丢弃当前收到的报文；在接收的是DAD NA报文、并且接收该DAD NA报文端口与该表项中记录的端口相同的情况下，删除为所述表项标注的临时状态；如果不是，在收到DAD NS报文时，创建记录有所述第一IPv6地址和接收当前DADNS报文的端口号的表项，并为该表项标注临时状态，转发收到的DAD NS报文；

存储单元，用于保存控制单元记录的表项。

5.根据权利要求4所述的网络设备，其特征在于，

所述控制单元在收到DAD NS报文、并创建对应表项时，进一步用于将当前收到DAD NS报文的源介质访问控制MAC地址记录至所述第一IPv6地址对应的表项；并在删除为所述表项标注的临时状态后，根据所述表项转发报文。

6.根据权利要求4所述的网络设备，其特征在于，

所述控制单元，进一步用于在检测到表项中记录的端口失效时，删除与该端口对应的表项。

Images