防止伪造报文攻击的方法及其适用的上游设备和下游设备

摘要

本发明提供了一种防止伪造报文攻击的方法，用于包括下游设备和上游设备的系统中，所送下游设备创建并发送特定报文给所述上游设备，所述特定报文可以使该上游设备进行表项删除的操作，所述方法包括以下步骤：所述上游设备判断其接收的所述特定报文是否带有安全信息，如果是则所述上游设备对所述特定报文进行安全认证，如果通过安全认证则所述上游设备进行表项删除的操作，如果没有通过安全认证则所述上游设备丢弃所述特定报文。本发明的防止伪造报文攻击的方法，其通过报文中预设字段以及判断方法的设置，可以做到对报文进行安全控制，从而提高了上游设备的稳定性。

说明书

技术领域

本发明涉及一种防止网络攻击的方法，具体涉及一种防止非法的、可以使 设备进行表项删除的操作的、伪造报文攻击的方法以及其适用的上游设备和下 游设备。

背景技术

在灵活链路组中有四个状态机，分别是每端口的端口信息状态机(PIM，port information machine)、每端口的定时器状态机(TMR，TIMER STATE MACHINE)、每个SMART-LINK组的端口状态选择状态机(PSS，port state selection machine)和每端口的端口状态迁移状态机(PST，port state transition machine)。当PIM收到需要响应的事件后，如果是抢占模式，则触发TMR状态 机开始倒计时，用于进行抢占延时，超时后，由TMR调用PSS状态机重新计算 组内端口的状态，否则直接调用PSS状态机重新计算组内端口的状态。如果端 口的SMART-LINK状态发生了变化，则再调用PST状态机修改状态并下发硬件。 Flush报文的填充和触发由PSS状态机来完成。端口状态发生变化或链路状态发 生变化时，各状态机转换关系如图1所示。

在现有技术中，清理报文(Flush报文)的作用是通知设备更新表项。目前 Flush报文采用IEEE802.3封装，包括Destination MAC、Source MAC、Control VLAN ID、VLAN Bitmap、Auth-mode以及Password等信息字段。其中： Destination MAC为未知组播地址；Source MAC表示发送Flush报文的设备的桥 MAC地址；Control VLAN ID表示发送控制VLAN的ID号；VLAN Bitmap表 示VLAN位图，用于携带需要刷新地址表的VLAN列表；Auth-mode和Password 目前未使用。

具体的说，如图2所示，在其中的上游设备，Switch B 202、Switch C 203 和Switch D 204都能够识别Flush报文的情况下，灵活链路组的工作机制为： Switch A 201的端口GigabitEthernet1/0/1(GE1/0/1)为主端口，端口 GigabitEthernet1/0/2(GE1/0/2)为副端口。双上行链路都正常的情况下，主端口 处于转发状态，其所在的链路是主用链路；副端口处于待命状态，其所在链路 是备用链路。由主机205中所发出的数据沿着实线所表示的链路进行传输，网 络中不存在环路，避免产生广播风暴。

当灵活链路组(Smart Link组)发生链路切换时，原有的转发表项已经不再 适用于新的拓扑网络，需要对整网进行MAC地址转发表项和ARP表项的更新。 Smart Link通过Flush报文来通知其他设备进行表项的刷新操作。

当Switch A 201(交换机A 201)的主用链路发生故障时，主端口 GigabitEthernet1/0/1切换到待命状态，副端口GigabitEthernet1/0/2切换到转发状 态。此时，网络中各设备上的MAC地址转发表项和ARP表项可能已经错误， 需要提供一种MAC及ARP更新的机制，完成流量的快速切换，以免造成流量 丢失。

为了实现快速链路切换，需要在Switch A 201上开启Flush报文发送功能， 在上游设备所有处于双上行网络上的端口开启接收处理Flush报文功能。具体的 说，在Flush报文的发送和接收过程中：Switch A 201发生链路切换后，会从新 的主用链路(虚线显示链路、原备用链路)上发送Flush报文，即从 GigabitEthernet1/0/2端口发送Flush报文。Flush报文的VLAN Bitmap字段填充 链路切换前组内处于转发状态的GigabitEthernet1/0/1端口所在Smart Link组的 保护VLAN ID，Control VLAN ID字段填充Smart Link组配置的发送控制VLAN ID。当上游设备收到Flush报文时，判断该Flush报文的发送控制VLAN是否在 收到报文的端口配置的接收控制VLAN列表中。如果不在接收控制VLAN列表 中，设备对该Flush报文不做处理，直接转发；如果在接收控制VLAN列表中， 设备将提取Flush报文中的VLAN Bitmap数据，将设备在这些VLAN内学习到 的MAC及ARP表项删除。

经过上述的Flush报文的发送和接收过程后，如果Switch D 204收到目的设 备为Switch A 201的数据报文，对于需要进行二层转发(数据层转发)的报文， Switch D 204会通过二层广播方式进行转发；对于需要进行三层转发(网络层转 发)的报文，设备会通过ARP探测方式先更新ARP表项，然后将报文转发出去。 这样，数据流量就可以正确地进行发送。

根据以上的Smart Link工作机制可以得出，对于需要进行三层转发的报文 的情况，如果上游设备收到Flush报文，Flush报文的发送控制VLAN在收到报 文的端口配置的接收控制VLAN列表中，设备将提取Flush报文中的VLAN Bitmap数据，将设备在这些VLAN内学习到的MAC及ARP表项进行删除。如 果有攻击者仿冒设备发送伪造的Flush报文，使上游设备对伪造的Flush报文进 行处理，从而使得ARP、MAC表项进行不必要的清空操作，进而影响流量的转 发和灵活链路组链路的稳定性。

类似地，在当前的网络设备上，除了灵活链路组技术，还有其他技术也 是依据收到某个报文就会去删除表项，比如DHCP中的RELEASE报文，服 务器收到RELEASE报文会清除租约表项。又比如组播中的离开报文，服务 器收到离开报文删除组播表项。可以使设备删除表项的伪造报文的危害非常 的严重。

发明内容

有鉴于此，本发明的主要目的是针对现有技术中的网络设备会收到伪造报 文攻击的问题，提供一种防止伪造的伪造报文攻击的方法。

进一步的，本发明提供了一种上述防止伪造的伪造报文攻击的方法所适用 的上游设备和下游设备。

为达到上述目的，本发明提供的技术方案如下：

一种防止伪造报文攻击的方法，用于包括下游设备和上游设备的系统中，所 送下游设备创建并发送特定报文给所述上游设备，所述特定报文可以使该上游 设备进行表项删除的操作，所述方法包括以下步骤：所述上游设备判断其接收 的所述特定报文是否带有安全信息，如果是则所述上游设备对所述特定报文进 行安全认证，如果通过安全认证则所述上游设备进行表项删除的操作，如果没 有通过安全认证则所述上游设备丢弃所述特定报文。

在上述技术方案中，所述上游设备判断所述特定报文带有安全信息之后，且 所述上游设备对所述特定报文进行安全认证之前，所述方法进一步包括：所述 上游设备判断所述特定报文是安全信息传递报文还是通知报文；

所述上游设备对所述特定报文进行安全认证，所述上游设备根据安全认证的 结果表项删除的操作或者丢弃所述特定报文的具体方法为：

如果是所述安全信息传递报文，则所述上游设备对所述安全信息传递报文进 行安全认证，如果认证成功则所述上游设备保存所述安全信息传递报文带有的 安全信息，供所述上游设备对以后的所述特定报文进行安全认证使用，否则所 述上游设备丢弃该报文；

如果是所述通知报文，所述上游设备对所述通知报文进行安全认证，如果认 证成功，则所述上游设备进行表项删除的操作，否则所述上游设备丢弃该报文。

在上述技术方案中，所述特定报文包括第一字段和第二字段；所述第一字段 含有的值可以区分所述特定报文是否带有安全信息以及在带有安全信息的情况 下区分所述特定报文是安全信息传递报文还是带有安全信息的通知报文；所述 第二字段含有安全信息；所述方法具体包括以下步骤：

步骤A：所述上游设备提取所述特定报文中的所述第一字段含有的值；

步骤B：所述上游设备根据所述第一字段含有的值判断所述特定报文是否带 有安全信息，如果否则丢弃所述特定报文，如果是是则转到步骤C；

步骤C：所述上游设备根据所述第一字段含有的值判断所述特定报文是所述 安全信息传递报文还是所述通知报文，如果是所述安全信息传递报文则转到步 骤D，如果是所述通知报文否则转到步骤E；

步骤D：所述上游设备提取所述第二字段中的安全信息，并在本地查找已经 储存的安全信息：如查找成功则将本步骤中提取到的安全信息与本地储存的安 全信息进行比对，如比对结果一致则保存该本步骤中提取到的安全信息，如比 对结果不一致则丢弃所述特定报文；如查找不成功，则将该本步骤中提取到的 安全信息储存在本地；

步骤E：所述上游设备提取所述第二字段中的安全信息，判断本步骤中提取 到的安全信息与本地储存的安全信息进行比对，如果如比对结果一致则所述上 游设备进行表项删除的操作，否则所述上游设备丢弃该报文。

一种上游设备，其可以接收由下游设备发送过来的特定报文，所述特定报文 可以使该上游设备进行表项删除的操作，所述上游设备包括判断模块和认证模 块：所述判断模块，与所述认证模块相连接，用于判断所述特定报文是否带有 安全信息；所述认证模块，与所述判断模块相连接，如果所述特定报文带有安 全信息，则所述认证模块用于对所述安全信息进行安全认证；该安全认证通过 后，所述上游设备进行表项删除的操作。

在上述技术方案中，所述上游设备还包括存储模块，所述存储模块与所述认 证模块相连接；

所述判断模块还用于：判断所述特定报文是安全信息传递报文还是通知报 文；

所述认证模块还用于：如果所述特定报文是所述安全信息传递报文，则所述 认证模块对所述安全信息传递报文进行安全认证；如果所述特定报文是所述通 知报文，所述认证模块对所述通知报文进行安全认证，如果认证成功，则所述 上游设备进行表项删除的操作，否则所述上游设备丢弃该报文；

所述存储模块用于：如果所述安全信息传递报文被所述认证模块认证成功， 则所述存储模块保存所述安全信息传递报文带有的安全信息，供所述认证模块 对以后的所述特定报文进行安全认证使用，否则所述上游设备丢弃该报文。

在上述技术方案中，所述特定报文包括第一字段和第二字段；所述第一字段 含有的值可以区分所述特定报文是否带有安全信息以及在带有安全信息的情况 下区分所述特定报文是安全信息传递报文还是带有安全信息的通知报文；所述 第二字段含有安全信息；

所述上游设备还包括提取模块和查找模块，所数提取模块分别与所述判断模 块和所述认证模块相连接，用于提取所述特定报文中的所述第一字段含有的值 和所述第二字段含有的安全信息；所述查找模块与所述存储模块和所述认证模 块分别相连接，用于在所述存储模块上查找已经储存的安全信息；

所述判断模块还用于：根据所述第一字段含有的值判断所述特定报文是否带 有安全信息，如果否则丢弃所述特定报文，如果是则所述判断模块根据所述第 一字段含有的值判断所述特定报文是所述安全信息传递报文还是所述通知报 文；

所述认证模块还用于：

如果所述特定报文是所述安全信息传递报文：如所述查找模块在所述存储模 块上查找到所述安全信息，则所述认证模块将所述提取模块提取到的安全信息 与所述存储模块储存的安全信息进行比对，如果比对结果一致则所述存储模块 保存所述提取模块提取到的安全信息，如比对结果不一致则所述上游设备丢弃 该报文；如所述查找模块不能在所述存储模块上查找到所述安全信息，则所述 存储模块保存所述提取模块提取到的安全信息；

如果所述特定报文是所述通知报文：如所述查找模块在所述存储模块上查找 到所述安全信息，则所述认证模块将所述提取模块提取到的安全信息与所述存 储模块储存的安全信息进行比对，如比对结果一致则所述上游设备进行表项删 除的操作，如比对结果不一致则所述上游设备丢弃该报文；如所述查找模块不 能在所述存储模块上查找到所述安全信息，则所述上游设备丢弃该报文。

一种下游设备，其可以向上游设备发送特定报文，所述特定报文可以使所述 上游设备进行表项删除的操作；所述下游设备包括：

报文创建模块，与报文发送模块相连接，用于创建带有安全认证的所述特定 报文；

报文发送模块，与报文创建模块相连接，用于发送带有安全认证的所述特定 报文。

在上述技术方案中，所述特定报文为灵活链路组中的Flush报文，或者动态 主机设置协议中的RELEASE报文，或者组播中的离开报文；所述上游设备为灵 活链路组中的上游交换机，或者动态主机设置协议中的服务器，或者组播中的 服务器。

本发明的防止伪造报文攻击的方法及其适用的上游设备和下游设备具有以 下的有益效果：

本发明的防止伪造报文攻击的方法，其通过报文中预设字段以及判断方法的 设置，可以做到对报文进行安全控制，从而提高了上游设备的稳定性。

将本发明的防止伪造报文攻击的方法应用在灵活链路组中，可以防止伪造 Flush报文的攻击，具体的说该方法利用Flush报文中对Auth-mode和Password 字段的定义和判断，实现设备间安全信息的传递，而且操作简单，兼容性强。

将本发明的防止伪造报文攻击的方法应用在灵活链路组中，可以扩充现有的 Flush报文的作用，具体的说，在链路切换时设备会发送Flush报文，指示上游 交换机进行MAC、ARP表项更新；链路稳定时设备可以通过定时发送Flush报 文，来传递安全认证信息。

附图说明

图1是灵活链路组中状态机关系图；

图2是灵活链路组中的设备连接示意图；

图3a是本发明的防止伪造报文攻击的方法的中心发明思想的流程示意图；

图3b是本发明的防止伪造报文攻击的方法中加入步骤311后的流程示意 图；

图3c是本发明的防止伪造报文攻击的方法在灵活链路组中对Flush报文进 行处理的流程示意图；

图4a、4b分别为一种本发明的上游设备的结构示意图；

图4c是适用本发明的防止伪造报文攻击的方法的、应用在灵活链路组中的 一种本发明的上游交换机的结构示意图；

图5是适用本发明的防止伪造报文攻击的方法的、应用在灵活链路组中的一 种本发明的下游交换机的结构示意图；

其中的附图标记表示为：

201-Switch A；202-Switch B；203-Switch C；204-Switch D；205-主机；

400-上游设备；401-灵活链路组中的上游交换机；402-判断模块；403-认证 模块；404-存储模块；405-提取模块；406-查找模块；

501-灵活链路组中的下游交换机；502-报文创建模块；503-报文发送模块。

具体实施方式

本发明的防止伪造报文攻击的方法的中心构思是：在由上、下游设备组成的 系统中，当上游设备接收到由下游设备发送来的可以使该上游设备进行表项删 除的操作的特定报文时，该方法包括以下步骤：

步骤310：所述上游设备判断其接收的所述特定报文是否带有安全信息；

步骤320：步骤310中判断结果为是则所述上游设备对所述特定报文进行安 全认证；

步骤330：如果通过步骤320中的安全认证，则所述上游设备进行表项删除 的操作；

步骤340：如果没有通过步骤320中的安全认证，则所述上游设备丢弃所述 特定报文。

从而该方法做到了对报文进行安全控制，从而提高了上游设备的稳定性。

进一步的，所述上游设备判断所述特定报文带有安全信息之后，且所述上游 设备对所述特定报文进行安全认证之前，所述方法进一步包括：

步骤311：所述上游设备判断所述特定报文是安全信息传递报文还是通知报 文；

在步骤311基础上，上述的步骤320至步骤340具体替换为：

步骤312：如果是所述安全信息传递报文，则所述上游设备对所述安全信息 传递报文进行安全认证，如果认证成功则所述上游设备保存所述安全信息传递 报文带有的安全信息，供所述上游设备对以后的所述特定报文进行安全认证使 用，否则所述上游设备丢弃该报文；以及

步骤313：如果是所述通知报文，所述上游设备对所述通知报文进行安全认 证，如果认证成功，则所述上游设备进行表项删除的操作，否则所述上游设备 丢弃该报文。

本发明的防止伪造报文攻击的方法的改进方案可以通过对所述特定报文是 安全信息传递报文还是通知报文进行判断，进而分别以步骤312或者步骤313 对该报文做出相应的处理，从而使得上游设备可以更清楚的处理特定报文，利 于该上游设备的稳定性。

本发明的上游设备的中心构思是：利用判断模块和认证模块相互配合， 对上游设备受到的特定报文进行认证，以避免该特定报文对其造成攻击。

具体的说，如图4a所示，上游设备包括判断模块和认证模块：所述判断 模块，与所述认证模块相连接，用于判断所述特定报文是否带有安全信息； 所述认证模块，与所述判断模块相连接，如果所述特定报文带有安全信息， 则所述认证模块用于对所述安全信息进行安全认证；该安全认证通过后，所 述上游设备进行表项删除的操作。

进一步的，根据图4b所示，本发明的上游设备还可以包括有与所述认证 模块相连接的存储模块。此时的所述上游设备中：

所述判断模块还用于：判断所述特定报文是安全信息传递报文还是通知 报文；

所述认证模块还用于：如果所述特定报文是所述安全信息传递报文，则 所述认证模块对所述安全信息传递报文进行安全认证；如果所述特定报文是 所述通知报文，所述认证模块对所述通知报文进行安全认证，如果认证成功， 则所述上游设备进行表项删除的操作，否则所述上游设备丢弃该报文；

所述存储模块用于：如果所述安全信息传递报文被所述认证模块认证成 功，则所述存储模块保存所述安全信息传递报文带有的安全信息，供所述认 证模块对以后的所述特定报文进行安全认证使用，否则所述上游设备丢弃该 报文

为使本发明的目的、技术方案、及优点更加清楚明白，以下参照附图并 举实施例，对本发明进一步详细说明。

实施例1

下面在一个图2所示的灵活链路组系统中，结合图3c，以灵活链路组和Flush 报文为例，对本发明的方法做以详细说明。在灵活链路组中，参见图2，链路切 换时设备会发送Flush报文，指示上游设备Switch D 204进行MAC、ARP表项 的更新。链路稳定时，设备会定时发送Flush报文，用来传递安全认证信息。在 灵活链路组中，本发明的防止伪造报文攻击的方法利用Auth-mode和Password 字段实现安全信息的传递。

具体的说，对于Auth-mode字段来说，约定Auth-mode长度1字节，可以 取值0、1、2。取值为0时，表示不带安全认证的Smartlink组。取值为1时， 表示此Flush报文的作用是传递安全信息，而非通知设备进行清空表项的，同时 需要在Password字段中填入密码信息。取值为2时，表示此Flush报文的作用 是通知设备进行清空MAC、ARP表项的操作。

对于Password字段来说，创建灵活链路组时，用户可以手工设置密码。 Password字段长度16字节，前8字节用来表示新密码，后8字节表示旧密码。 当完成初始设定灵活链路组的密码后，Flush报文中Auth-mode字段取值为1， Password字段前8字节为初始设定的新密码，后8字节取值为0。当用户要修改 密码时，Flush报文的Password字段前8字节填充新密码，后8字节填充旧密码。

上述内容中Auth-mode、Password字段的具体含义信息见表1。

表1

  Auth-mode   Password   含义   0   0   不带安全认证的报文   1   密码信息   带安全认证的安全信息传输报文，用来   传输安全信息   2   密码信息   带安全认证的通知报文，用来通知设备   进行清空MAC、ARP表项的操作   其他值   其他值   伪造报文，需要丢弃

在上游交换机收到Flush报文时，参见图3c，将做出以下步骤301-307的 判断过程：

步骤301：所述上游交换机提取Auth-mode字段含有的值；

步骤302：所述上游交换机根据所述Auth-mode字段含有的值判断所述Flush 报文是否带有安全信息，如果否则转到步骤307，如果是则转到步骤303；

步骤303：所述上游交换机判断所述Flush报文为安全信息传递报文还是所 述通知报文，如果是所述安全信息传递报文则转步骤304，如果是所述通知报文 则转步骤305；

步骤304：所述上游交换机提取Password字段中携带的安全信息，并在本 地查找已经储存的安全信息：如查找成功则将本步骤中提取到的安全信息与本 地储存的安全信息进行比对，如比对结果一致则保存该本步骤中提取到的安全 信息，如比对结果不一致则丢弃所述Flush报文；如查找不成功，则将该本步骤 中提取到的安全信息储存在本地；

步骤305：所述上游交换机提取Password字段中携带的安全信息，将本步 骤中提取到的安全信息与本地储存的安全信息进行比对，如比对结果一致则转 步骤306，如果比对结果不一致则转步骤307；

步骤306：所述上游交换机清空MAC、ARP表项，并进行扩散；

步骤307：所述上游交换机丢弃该Flush报文。

以下分不同的情形进行说明：

1)在上游交换机初始时，用户创建灵活链路组，指定主端口和从端口。主 端口处于转发状态，从端口处于备用状态(Standby)。下游设备定时发送Flush 报文，填充Auth-mode字段为1，Password字段为密码信息。

上游交换机收到Flush报文，进行以下的判断步骤：

步骤301：所述上游交换机提取Auth-mode字段含有值，该值为1；

步骤302：所述上游交换机判断该Flush报文为带有安全信息，转步骤303；

步骤303：所述上游交换机判断所述Flush报文为传递安全信息传递报文， 转步骤304；

步骤304：提取Password字段携带的安全信息，并在本地查找已经储存的 安全信息：如查找成功则将本步骤中提取到的安全信息与本地储存的安全信息 进行比对，如比对结果一致则保存该本步骤中提取到的安全信息，如比对结果 不一致则丢弃所述Flush报文；如查找不成功，则将该本步骤中提取到的安全信 息储存在本地。

2)当主端口发生故障或者通过CFD联动检测到主链路的上游交换机发生故 障时，由从端口发送Flush报文，填充Auth-mode字段的值为2，Password字段 为密码信息。

上游交换机收到该Flush报文后进行如下步骤的判断：

步骤301：提取Auth-mode字段的值，为2；

步骤302：所述上游交换机判断该Flush报文为带有安全信息，转步骤303；

步骤303：所述上游交换机判断所述Flush报文为通知报文，转步骤305；

步骤305：所述上游交换机提取Password字段中的安全信息，将本步骤中 提取到的安全信息与本地储存的安全信息进行比对，如比对结果一致则转步骤 306，如果比对结果不一致则转步骤307；

步骤306：所述上游交换机清空MAC、ARP表项，并进行扩散；

步骤307：丢弃该Flush报文。

其中步骤306中的“进行扩散”是指：上游交换机按照Flush报文的报 文扩散机制，传播给其他上游交换机，直到Flush报文扩散到所有上游交换 机。从而最终从端口处于转发状态，主端口处于阻塞状态。

下面再次结合图2中灵活链路组Smartlink组中的上、下游交换机，以及上 游交换机对于Flush报文的具体判断过程，对本实施例的方法做以说明。

下游交换机switch A 201处于稳定状态时，GE1/0/1为主端口处于转发状态， 会定时发送Flush报文，填充Auth-mode字段为1，password字段为用户设置的 安全信息。经过逐台设备扩散，直到主从链路设备都收到该安全信息。当主链 路发生故障，GE1/0/2发送Flush报文，填充Auth-mode字段为2，password字 段为安全信息。位于所述下游交换机switch A 201上游的上游交换机Switch C 203收到该报文，经判断认为是通知报文，首先会取出报文中密码信息和本地保 存的进行比较，发现不一致则丢弃，不会进行Flush报文扩散；发现一致，则清 空本地的MAC地址转发表项和ARP表项，并进行Flush报文扩散。直到Flush 报文扩散到所有上游交换机。从而最终GE1/0/2处于转发状态，GE1/0/1处于阻 塞状态。

本实施例通过扩充Flush报文的作用，利用Flush报文中尚未使用的 Auth-mode和Password字段，在灵活链路组中实现安全控制机制，防止攻击者 发送仿冒Flush报文恶意攻击设备，提高设备的稳定性和可靠性。

将本发明的防止伪造报文攻击的方法应用在灵活链路组中，可以扩充Flush 报文的作用，即在链路切换时设备会发送Flush报文，指示上游交换机进行MAC、 ARP表项更新；链路稳定时设备会定时发送Flush报文，用来传递安全认证信息。

实施例2

图4c显示了一种适用本发明的防止伪造报文攻击的方法的灵活链路中的上 游交换机401，该上游交换机401可以接收Flush报文，并进行清空MAC、ARP 表项，以及进行扩散的操作。

在本实施例中，灵活链路组中的所述上游交换机401包括判断模块402、认 证模块403、存储模块404、提取模块405以及查找模块406。

所述判断模块402，与所述认证模块403相连接，用于判断所述特定报文是 否带有安全信息。

所述认证模块403，与所述判断模块402相连接，如果所述特定报文带有安 全信息，则所述认证模块403用于对所述安全信息进行安全认证；该安全认证 通过后，所述上游设备进行表项删除的操作。

所述存储模块404用于对安全信息进行储存。

所数提取模块405分别与所述判断模块402和所述认证模块403相连接，用 于提取所述Flush报文中的所述Auth-mode字段含有的值和所述Password字段 含有的安全信息。

所述查找模块406与所述存储模块404和所述认证模块403分别相连接，用 于在所述存储模块404上查找已经储存的安全信息。

具体的说：

所述Flush报文包括Auth-mode字段和Password字段；所述Auth-mode字 段含有的值可以区分所述Flush报文是否带有安全信息以及在带有安全信息的 情况下区分所述Flush报文是安全信息传递报文还是带有安全信息的通知报文； 所述Password字段含有安全信息。

所述判断模块402用于：根据所述Auth-mode字段含有的值判断所述Flush 报文是否带有安全信息，如果否则丢弃所述Flush报文，如果是则所述判断模块 402根据所述Auth-mode字段含有的值判断所述Flush报文是所述安全信息传递 报文还是所述通知报文；

对于所述认证模块403来说：

如果所述Flush报文是所述安全信息传递报文，此时如所述查找模块406 在所述存储模块404上查找到所述安全信息，则所述认证模块403将所述提 取模块405提取到的安全信息与所述存储模块404储存的安全信息进行比对， 如果比对结果一致则所述存储模块404保存所述提取模块405提取到的安全 信息，如比对结果不一致则所述上游交换机丢弃该报文；如所述查找模块406 不能在所述存储模块404上查找到所述安全信息，则所述存储模块404保存 所述提取模块405提取到的安全信息；

如果所述Flush报文是所述通知报文：如所述查找模块406在所述存储 模块404上查找到所述安全信息，则所述认证模块403将所述提取模块405 提取到的安全信息与所述存储模块404储存的安全信息进行比对，如比对结 果一致则所述上游交换机进行表项删除的操作，如比对结果不一致则所述上 游交换机丢弃该报文；如所述查找模块406不能在所述存储模块404上查找 到所述安全信息，则所述上游交换机丢弃该报文。

所述存储模块404用于：如果所述安全信息传递报文被所述认证模块403 认证成功，则所述存储模块404保存所述安全信息传递报文带有的安全信息， 供所述认证模块403对以后的所述Flush报文进行安全认证使用，否则所述 上游交换机丢弃该报文。

本发明的上游设备可以防止伪造Flush报文的攻击，可以稳定、可靠的工作。

实施例3

图5显示了一种适用本发明的防止伪造报文攻击的方法的灵活链路组中的 下游交换机501。该灵活链路组中的下游交换机501可以向上游交换机发送含有 Auth-mode字段和Password字段的Flush报文，所述Flush报文可以使所述上游 交换机进行MAC、ARP表项删除和更新的操作。所述下游交换机包括：相互连 接的报文创建模块502和报文发送模块503。报文创建模块502用于创建带有安 全认证的所述Flush报文。报文发送模块503用于发送带有安全认证的所述Flush 报文。

所述上游交换机接收到所述Flush报文后的处理方式与实施例2中的相同， 这里不再赘述。

在当前的网络设备上，除了灵活链路组技术，还有其他技术也是依据收到某 个报文就会去删除表项，比如动态主机设置协议(Dynamic Host Configuration Protocol，DHCP)中的RELEASE报文，服务器收到RELEASE报文会清除租约表 项。又比如组播中的离开报文，服务器收到离开报文删除组播表项。所以在其 他的具体实施方式中，也可以应用上述实施例中的方式对RELEASE报文或者离 开报文等特定报文进行安全控制，从而提高设备的稳定性。具体的说，例如在 经过判断得到为通知报文的结果后，进行清空MAC、ARP表项并进行扩散的操 作，那么在其他的具体实施方式中上述步骤以及处理方式即对应着进行判断为 合法的、可以触发表项删除操作的安全报文，接下来进行表项删除的操作。在 此不再赘述。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明 的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明 保护的范围之内。