[发明专利]防止IPv6数据报文攻击的方法、装置和交换路由设备

权利要求书

1.一种防止IPv6数据报文攻击的方法，其特征在于，交换路由设备对于接收到的数据报文，在进行转发处理时执行以下步骤：

步骤SA1、对于直连网段路由匹配成功的数据报文，基于所述直连网段统计接收的数据报文数目；

步骤SA2、当一网段在单位时间内的统计结果未超出预设阈值时，将学习到的该网段下的ND主机路由下发到转发表中，从而使后续接收到的、匹配所述ND主机路由的数据报文在转发表查找过程中得以直接转发；

步骤SA3、当一网段在单位时间内的统计结果超出预设阈值时，确定所述网段对应的数据报文为攻击报文，为转发表中相应的网段路由设置禁止策略使其成为被禁止的网段路由，从而使后续接收到的、匹配所述被禁止的网段路由的数据报文在转发表查找过程中得以直接丢弃。

2.根据权利要求1所述的防止IPv6数据报文攻击的方法，其特征在于，所述步骤SA3还包括：为所述被禁止的网段路由设置老化周期，当老化周期到达时，自动删除所述被禁止的网段路由的禁止策略，使其恢复为正常的直连网段路由。

3.根据权利要求1或2所述的防止IPv6数据报文攻击的方法，其特征在于，所述步骤SA3中的禁止策略为BLACKHOLE策略。

4.一种防止IPv6数据报文攻击的方法，其特征在于，交换路由设备对于接收到的数据报文，在进行转发处理时执行以下步骤：

步骤SB1、对于触发ND学习的数据报文，如果解析成功，则将对应的ND主机路由下发到转发表中，从而使后续接收到的、匹配所述ND主机路由的数据报文在转发表查找过程中得以直接转发；

步骤SB2、对于触发ND学习的数据报文，如果解析失败，则基于直连网段统计学习失败的数据报文数目；

步骤SB3、当一网段在单位时间内的统计数目超出预设阈值时，确定所述网段对应的数据报文为攻击报文，为转发表中相应的网段路由设置禁止策略使其成为被禁止的网段路由，从而使后续接收到的、匹配所述被禁止的网段路由的数据报文在转发表查找过程中得以直接丢弃。

5.一种IPv6数据报文转发方法，其特征在于，交换路由设备对于接收到的数据报文按照最长匹配原则执行与转发表的匹配，包括以下步骤：

步骤S1、如果与下发到转发表的ND主机路由匹配成功，则根据所述ND主机路由直接转发所述数据报文；

步骤S2、如果与转发表中被禁止的网段路由匹配成功，则丢弃所述数据报文；

步骤S3、如果与转发表中的直连网段路由匹配成功，则对所述数据报文进行转发后期处理，并执行权利要求1-4任一所述的防止IPv6数据报文攻击的方法，以向转发表下发ND主机路由或设置被禁止的网段路由。

6.根据权利要求5所述的IPv6数据报文转发方法，其特征在于，所述步骤S3中对数据报文进行转发后期处理的步骤包括：

步骤S31、根据数据报文下一跳地址执行与ND表项的匹配，匹配失败则执行步骤S32；

步骤S32、进行地址解析，解析成功则学习到新的ND表项，并按照所述新的ND表项转发所述数据报文；否则向数据报文的源地址返回ICMPv6不可达报文，并丢弃所述数据报文。

7.一种防止IPv6数据报文攻击的装置，设置于交换路由设备中，所述交换路由设备设有转发表；其特征在于，包括：

数据报文统计单元，用于对于直连网段路由匹配成功的数据报文，基于所述直连网段统计接收的数据报文数目；

统计结果监控单元，与所述数据报文统计单元连接，用于监控任一网段在单位时间内的统计结果是否超出预设阈值；

ND主机路由学习监控单元，用于监控交换路由设备中数据报文的ND主机路由学习情况；

ND主机路由下发单元，与所述统计结果监控单元、ND主机路由学习监控单元和转发表连接，用于当一网段在单位时间内的统计结果未超出预设阈值时，将学习到的该网段下的ND主机路由下发到转发表中，从而使后续接收到的、匹配所述ND主机路由的数据报文在转发表查找过程中得以直接转发；

网段路由禁止单元，与所述统计结果监控单元和转发表连接，用于当一网段在单位时间内的统计结果超出预设阈值时，确定所述网段对应的数据报文为攻击报文，为转发表中相应的网段路由设置禁止策略使其成为被禁止的网段路由，从而使后续接收到的、匹配所述被禁止的网段路由的数据报文在转发表查找过程中得以直接丢弃。