[发明专利]安全监控服务恢复方法及系统

说明书

技术领域

本发明涉及网络通信领域，尤其是一种适用于网络互连协议(Internet Protocol，简称IP)网络运营商在监听设备故障时快速恢复安全监控服务的方法及其系统。

背景技术

在网络中应用动态主机配置协议(Dynamic Host ConfigurationProtocol，简称DHCP)时，可能会遭遇拒绝服务(Denial of Service，简称DOS)、中间人攻击等安全方面的问题，这通常是由于不良意图的攻击者仿冒IP地址和媒体接入控制(Medium Access Control，简称MAC)地址利用地址转换协议(Address Resolution Protocol，简称ARP)报文或IP报文发起攻击。为了解决这种仿冒攻击，通常在路由设备或交换设备上使能DHCP监听(DHCP Snooping)功能，通过监听DHCP应答(DHCP Reply)报文建立包含IP地址、MAC地址、接口和虚拟局域网络(Virtual Local Area Network，简称VLAN)的安全绑定表，并根据该安全绑定表对来自未建立信任关系的接口的ARP报文或IP报文进行合法性检查，即将IP和MAC作为关键字，在安全绑定表中查找该IP和MAC同时对应的其他信息，例如接口和VLAN，来判断是否匹配，如果不匹配则丢弃该报文，否则正常转发。其中，安全绑定表除了可以根据DHCP Reply报文动态建立，还可以静态配置，但这种方式工作量大，不便于维护，因此应用限制较多。

监听设备在组网时可以采用单机组网或者双归组网(主备用监听设备)，在使能DHCP监听的情况下，如果监听设备发生故障，则会导致业务中断，用户长时间无法通信的情况。对于单机组网，监听设备重启恢复服务，但在重启前动态学习的安全绑定表信息会丢失，客户端的报文也被全部丢弃，客户只能等到续约或者租期满，客户端重新申请地址后才能恢复通信。而对于双归组网，当主用监听设备因故障重启，通过其他功能(二层网络中部署的STP系列协议，三层网络中部署的VRRP协议等)可以重新选路到备用监听设备上，由于备用监听设备上并没有相关的安全绑定表信息，客户端报文也会被全部丢弃，并中断业务，只能等待客户端重新申请地址后才能恢复通信。

为了克服双归组网下通信中断给用户带来不便的问题，现有技术中将客户端的报文都转发到备用监听设备，而不进行安全绑定表的匹配操作，这样虽然实现了业务的不间断，但已无法提供安全监控服务。

发明内容

本发明的目的是提出一种安全监控服务恢复方法及系统，能够在监听设备故障的情况下快速恢复安全监控服务。

为实现上述目的，本发明提供了一种单机组网下安全监控服务恢复方法，包括以下步骤：

监听设备故障重启后，向备份有安全绑定表的备份设备发出故障告警通知；

所述备份设备接收到所述故障告警通知后，向所述监听设备发送所述安全绑定表；

所述监听设备接收所述安全绑定表，并根据所述安全绑定表恢复报文的合法性检查。

在单机组网的场景下，备份设备中备份有监听设备的安全绑定表的信息，虽然监听设备发生故障并重启时会失去原有的安全绑定表信息，但备份设备可以根据监听设备的故障告警通知将备份的安全绑定表发送回监听设备，从而使监听设备较快速的恢复安全监控服务。

在监听设备启动时，可以根据监听到的报文建立安全绑定表，并将所述安全绑定表发送给所述备份设备进行备份；也可以接收外部的配置指令来配置安全绑定表，并将所述安全绑定表发送给所述备份设备进行备份。

在监听设备故障重启之前，监听设备还可以根据监听到的报文更新自身存储的安全绑定表，并在更新后将更新了的安全绑定表发送给备份设备来更新备份的安全绑定表。

将安全绑定表发送给所述备份设备进行备份的方式至少有两种：一种是所述监听设备将所述安全绑定表的一个以上的表项封装在一个报文中，并发送该报文到所述备份设备进行备份，这种方式称为批量备份，主要适用于监听设备启动时安全绑定表的备份；另一种是监听设备将所述安全绑定表中更新的表项实时的发送给所述备份设备，来更新所备份的安全绑定表中的相应表项，这种方式称为实时备份，主要适用于监听设备根据监听到的报文更新安全绑定表时，仅对更新部分进行备份的情况。