[发明专利]一种实现单播反向路径转发URPF检查的方法及装置

说明书

技术领域

本发明涉及计算机网络通讯领域，具体涉及一种实现单播反向路径转发URPF检查的方法及装置。

背景技术

单播反向路径转发(Unicast Reverse Path Forwarding，简称URPF)，是网络设备检查数据包源地址合法性的一种方法。传统URPF检查的处理方法，通过获取报文的源IP地址和入端口，以源IP地址为目的地址在路由转发表中查找该源IP地址对应的出端口是否与报文入端口匹配，如果没有匹配表项将丢弃该数据包，否则认为该报文是一个正常报文，通过这种方式，URPF就能有效地防范网络中通过修改源地址而进行的恶意攻击行为的发生。

但是，传统的这种URPF检查只是针对普通报文来源端口(通常为报文的源物理端口)的，不能提供报文来源端口为链路聚合组端口时的URPF检查，或者，报文来源端口为ECMP组时的URPF检查，其适用的范围小，不能满足越来越复杂的应用场景需求。

链路聚合就是把多条链路聚合成一条链路进行管理，通过内部的控制，将数据分配在被聚合的多条链路上，实现负载分担，用于提高带宽，增强连接可靠性。

ECMP(Equal-Cost Multipath Routing)等价多路径，存在多条不同链路到达同一目的地址的网络环境中，如果使用传统的路由技术，发往该目的地址的数据包只能利用其中的一条链路，其它链路处于备份状态或无效状态；而等价多路径路由协议可以在该网络环境下同时使用多条链路，通过特定的算法，将负载分担到多条链路上，从而增加了传输带宽，提高了传输可靠性。

当报文来源为链路聚合组时，因为端口是聚合端口，则链路聚合组内的多个物理端口都是有效端口。当报文来源为ECMP组时，由于来源路径是等价的，则ECMP组内的多个物理端口都是有效端口。在这两种场景下，如果按照原有的URPF检查方法，需要将多个物理端口依次进行检查，处理上很复杂，检查效率低，影响网络性能。

综上所述，现有技术中没有对“链路聚合组端口”以及“ECMP组”采用URPF检查的处理方式，所以，不能有效地防范网络中通过修改源地址而进行的恶意攻击行为的发生。

发明内容

本发明需要解决的技术问题是提供一种实现单播反向路径转发URPF检查的方法及装置，有效地防范网络中通过修改源地址而进行的恶意攻击行为的发生。

为了解决上述技术问题，本发明提供了一种实现单播反向路径转发URPF检查的方法，包括：

获取报文的源IP地址及入端口；

根据所述源IP地址在路由转发表中查找到匹配路由后进行URPF检查时，在所述路由转发表中查询IP地址对应的索引标识及索引，如所述源IP地址对应的索引标识为等价多路径ECMP组索引标识，则根据查询到的ECMP组索引到配置的ECMP组索引与端口的映射信息中查询所述源IP地址对应的出端口，并判断查询到的所述出端口是否与所述入端口匹配。

进一步地，所述IP地址对应的索引标识包括：下一跳索引标识和ECMP组索引标识；所述方法还包括：

如具有某一IP地址的节点与本节点之间通过ECMP连接，则在所述路由转发表中配置所述IP地址对应的ECMP组索引，并将所述IP地址对应的索引标识置为ECMP组索引标识；

否则，在所述路由转发表中配置所述IP地址对应的下一跳索引，并将所述IP地址对应的索引标识置为下一跳索引标识。

进一步地，所述配置的ECMP组索引与端口的映射信息中，一个ECMP组索引对应多个等价路由出端口；

判断查询到的所述出端口是否与所述入端口匹配，包括：在ECMP组索引与端口的映射信息中查找到所述源IP地址对应的多个等价路由出端口中，只要有一个等价路由出端口与所述入端口匹配，则通过URPF检查。

进一步地，所述获取报文的入端口包括：如接收到所述报文的物理端口为链路聚合组物理端口，则将所述链路聚合组物理端口对应的链路聚合组逻辑端口作为所述报文的入端口。

进一步地，所述方法还包括：

如具有某一IP地址的节点与本节点之间通过链路聚合组连接，则在路由转发表中配置所述IP地址对应的下一跳索引，并在下一跳索引与端口的映射信息中，将该链路聚合组的逻辑端口作为该下一跳索引对应的出端口；