[发明专利]一种伪造IP数据包的处理方法及装置

权利要求书

1.一种IP数据包的处理方法，其特征在于，包括步骤：

接收待处理的IP数据包，其中该IP数据包中包含TTL生存时间数值；

判断该IP数据包中的TTL生存时间数值是否在可信范围，当该IP数据包中的TTL生存时间数值不在可信范围内时，将所述IP数据包丢弃；

当在可信范围内时，根据该IP数据包中的源IP地址，查找得到相应的TTL对照记录信息；

当相应记录中的实际TTL与该IP数据包的TTL不一致，且确定已有效探测过时，将该IP数据包丢弃；

当相应记录中的实际TTL与该IP数据包的TTL不一致，且确定未有效探测过时，向所述源IP地址对应的设备发送探测包，在接收到回应的数据包后，根据探测的结果至少更新探测标记；

其中，当相应记录中的探测标记表示已经探测过，则确定已有效探测过，当相应记录中的探测标记表示未进行探测过，则确定未有效探测过。

2.根据权利要求1所述的方法，其特征在于，所述TTL对照记录信息至少包括：源IP地址、实际TTL生存时间、探测标记三者之间的关联信息。

3.根据权利要求1所述的方法，其特征在于，所述根据探测的结果至少更新探测标记包括：

从接收的回应数据包中提取得到TTL数值；

判断所述提取得到的TTL数值与源IP地址关联的记录中的实际TTL的内容是否相同，当相同时，更新探测标记；当不相同时，用提取得到的TTL数值更新源IP地址关联的记录中的实际TTL，并且更新探测标记，所述更新后的探测标记表示已探测过。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据该IP数据包中的源IP地址，确定不存在相应的TTL对照记录信息时，将该IP数据包发送下一节点设备；

或者，当相应记录中的实际TTL与该IP数据包的TTL一致时，将该IP数据包发送下一节点设备；

或者，当相应记录中的实际TTL与该IP数据包的TTL不一致，且确定未有效探测过时，将该IP数据包发送下一节点设备。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据与源节点设备的三次握手，从三次握手成功的数据中提取源IP地址和相应的TTL数值；

根据所述提取得到的源IP地址和TTL数值，建立或更新相应的TTL对照记录信息。

6.根据权利要求1所述的方法，其特征在于，所述方法包括：

如果TTL对照记录信息中进一步包括老化记时，则当相应记录中的探测标记表示已经探测过，且老化记时表示该探测未老化时，确定已有效探测过；

如果TTL对照记录信息中进一步包括老化记时，则当相应记录中的探测标记表示已经探测过，且老化记时表示该探测已老化时，确定未有效探测过。

7.一种伪造IP数据包的处理装置，其特征在于，包括：

TTL学习单元，用于管理和维护TTL对照记录信息；

TTL检测单元，用于接收到IP数据包后，判断该IP数据包中的TTL是否在可信范围内，当不在可信范围内时，将该IP数据包丢弃；当在该可信范围内时，根据该IP数据包的源IP地址查找所述TTL学习单元所维护的TTL对照记录信息，当相应记录中的实际TTL与该IP数据包的TTL数值不一致，且确定已有效探测过时，将该IP数据包丢弃；

所述装置进一步包括：源探测单元，用于在所述TTL检测单元确定未有效探测过时，向所述源IP地址对应的设备发送探测信息，接收与该探测信息对应的回应数据包，并输出给所述TTL学习单元。

8.根据权利要求7所述的装置，其特征在于，所述TTL学习单元为第二TTL学习单元，用于根据与源节点设备的三次握手，从三次握手成功的数据中提取源IP地址和相应的TTL数值；根据所述提取得到的源IP地址和TTL数值，建立或更新相应的TTL对照记录信息，其中，所述TTL对照记录信息至少包 括：括：源IP地址、实际TTL生存时间、探测标记三者之间的关联信息。