[发明专利]报文处理方法及装置

说明书

本申请提供一种报文处理方法及装置，应用于VTEP设备上，该方法包括：接收ARP报文，判断该ARP报文的发送端IP地址和预设的网关IP地址以及该ARP报文的发送端MAC地址和预设的网关MAC地址是否均匹配；若二者均匹配，则检查ARP报文的转发方向是否正确，若转发方向错误，则丢弃ARP报文；若发送端IP地址和预设的网关IP地址不匹配，或者发送端MAC地址和预设的网关MAC地址不匹配，则丢弃ARP报文。本申请通过将ARP报文的发送端IP地址和预设的网关IP地址以及所述ARP报文的发送端MAC地址和预设的网关MAC地址进行匹配，并根据匹配结果识别出攻击报文，并丢弃ARP报文，从而可以避免将攻击报文发往网关，减少网络故障。

技术领域

本申请涉及通信技术，尤其涉及一种报文处理方法及装置。

背景技术

VXLAN(Virtual eXtensible LAN，可扩展虚拟局域网络)是基于因特网互联协议(IP)网络、采用“媒体访问控制在用户数据报协议中(MAC in UDP)”封装形式的二层虚拟专用网络(VPN)技术。VXLAN主要应用于数据中心网络。

其中，VXLAN的无状态网关组网是非常广泛的一种应用，如图1所示，VXLAN的无状态网关组网包括多个VXLAN网关(GW)，且所有VXLAN网关都是无状态网关，即所有VXLAN网关的IP地址和媒体访问控制(Media Access Control，MAC)地址完全相同，这样，对于VXLAN隧道端点(VXLAN Tunneling End Point，VTEP)设备来说，所有VXLAN网关就相当于一台设备，VTEP设备不用区分各VXLAN网关。

但是，在图1所示的无状态网关组网中，如果某个虚拟机(VM)受到攻击，发出冒充网关的地址解析协议(ARP)广播，则所有其它VM都会收到该ARP广播，导致所有发往网关的报文封装错误，致使整个网络故障。

发明内容

有鉴于此，本申请提供一种报文处理方法及装置。

具体地，本申请是通过如下技术方案实现的：

根据本发明实施例的第一方面，提供一种报文处理方法，应用于VTEP设备上，所述方法包括：

接收ARP报文；

判断所述ARP报文的发送端IP地址和预设的网关IP地址以及所述ARP报文的发送端MAC地址和预设的网关MAC地址是否均匹配；

若二者均匹配，则检查所述ARP报文的转发方向是否正确，若所述转发方向错误，则丢弃所述ARP报文；

若所述发送端IP地址和预设的网关IP地址不匹配，或者所述发送端MAC地址和预设的网关MAC地址不匹配，则丢弃所述ARP报文。

根据本发明实施例的第二方面，提供一种报文处理装置，应用于可扩展虚拟局域网隧道端点VTEP设备上，所述装置包括：

接收模块，用于接收ARP报文；

匹配模块，用于判断所述接收模块接收的所述ARP报文的发送端IP地址和预设的网关IP地址以及所述ARP报文的发送端MAC地址和预设的网关MAC地址是否均匹配；

检查丢弃模块，用于若所述匹配模块的匹配结果为二者均匹配，则检查所述ARP报文的转发方向是否正确，若所述转发方向错误，则丢弃所述ARP报文；

丢弃模块，用于若所述匹配模块的匹配结果为所述发送端IP地址和预设的网关IP地址不匹配，或者所述发送端MAC地址和预设的网关MAC地址不匹配，则丢弃所述ARP报文。

在本申请实施例中，通过将ARP报文的发送端IP地址和预设的网关IP地址以及所述ARP报文的发送端MAC地址和预设的网关MAC地址进行匹配，并根据匹配结果识别出攻击报文，并丢弃属于攻击报文的ARP报文，从而可以避免将攻击报文发往网关，减少了网络故障。