[发明专利]一种IPv6网络防止PMTU攻击的方法和装置

说明书

技术领域

本发明涉及计算机数据通信领域，尤其涉及一种IPv6网络防止PMTU攻击的方法和装置。

背景技术

由于IPv6路由器不进行转发数据包的分片，改用路径最大传输单元(PathMaximum Transmission Unit，PMTU)发现(Discovery)机制以互联网控制消息协议第六版(ICMPv6)消息通知数据包源节点重新合理分片。但目前ICMPv6协议并没有对中间路由器发出的ICMP包过大消息进行可靠性验证，攻击者可以伪造过小的PMTU，向源节点发送PMTU消息，使节点以后向该目的地址总是发送过小报文，导致网络性能下降。攻击者也可以伪造过大的PMTU，发送给发包节点，发包节点调整MTU值，发送过大的报文，导致中间路由器丢弃报文，造成报文的丢失，这实际上是一种拒绝服务(Denial-of-Service)攻击。因此，保证ICMPv6报文过大消息的合法，防止恶意用户使用ICMPv6报文过大消息进行攻击，是确保IPv6网络正常运行的一个重要因素。

发明内容

本发明的目的在于提出一种IPv6网络防止PMTU攻击的方法和装置，保证ICMPv6报文过大消息的合法，防止恶意攻击者利用ICMPv6报文过大消息，实施拒绝服务攻击。

为达此目的，本发明采用以下技术方案：

一种IPv6网络防止PMTU攻击的方法，包括以下步骤：

A、交换机开启防止IPv6网络PMTU攻击的功能，为交换机配置信任端口；

B、接收ICMPv6报文过大消息报文；

C、判断ICMPv6报文过大消息报文的接收端口是否属于配置的信任端口，若属于，则转发至IPv6主机，若不属于，则丢弃该报文；

D、所述IPv6主机收到转发的ICMPv6报文过大消息报文，调整发往目标设备的最大传输单元(MTU)值。

步骤A中，配置的信任端口为交换机上连接IPv6路由器的二层端口和/或汇聚端口。

步骤C中，当ICMPv6报文过大消息报文的接收端口属于信任端口时，查询MAC地址表，从连接IPv6主机的端口将ICMPv6报文过大消息报文转发出去。

包括接收模块、端口配置模块、处理模块和转发模块，其中处理模块分别与接收模块、端口配置模块和转发模块连接；

所述接收模块，用于接收ICMPv6报文过大消息报文；

所述端口配置模块，用于为交换机配置信任端口；

所述处理模块，用于读取所述ICMPv6报文过大消息报文的接收端口信息，判断ICMPv6报文过大消息报文的接收端口是否属于配置的信任端口，若属于，则将所述ICMPv6报文过大消息报文发送给转发模块；若不属于，则丢弃所述ICMPv6报文过大消息报文；

所述转发模块，用于将处理模块发来的ICMPv6报文过大消息报文转发至所述ICMPv6报文过大消息报文的目的主机。

所述端口配置模块为交换机配置的信任端口，为交换机上连接IPv6路由器的二层端口和/或汇聚端口。

所述处理模块判断ICMPv6报文过大消息报文的接收端口属于信任端口时，转发模块查询MAC地址表，从连接IPv6主机的端口将ICMPv6报文过大消息报文转发出去。

采用本发明的技术方案，保证了ICMPv6报文过大消息的安全使用，防止恶意ICMPv6报文过大消息的转发，确保网络的正常工作。

附图说明

图1是本发明具体实施方式提供的IPv6网络防止PMTU攻击的方法流程示意图。

图2是本发明具体实施方式提供的IPv6网络防止PMTU攻击方法中的网络设备连接示意图。

图3是本发明具体实施方式提供的IPv6网络防止PMTU攻击的装置结构示意图。

具体实施方式

下面结合附图并通过具体实施方式来进一步说明本发明的技术方案。

图1是本发明具体实施方式提供的IPv6网络防止PMTU攻击的方法流程示意图。如图1所示，该方法包括以下步骤：

步骤S101，交换机开启防止IPv6网络PMTU攻击的功能，为交换机配置信任端口。

交换机开启防止IPv6网络PMTU攻击的功能后，将ICMPv6报文过大消息报文重定向至CPU的规则下发至交换芯片，使交换芯片收到ICMPv6报文过大消息报文时，将报文重定向至交换机的CPU，由CPU进行软件的解析和转发。