專利名稱：一種網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法及其裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種在二層網(wǎng)絡(luò)設(shè)備中，生成樹協(xié)議的BPDU(bridge protocoldata unit，網(wǎng)橋協(xié)議數(shù)據(jù)單元)報(bào)文的傳輸方法及其裝置，及支持生成樹協(xié)議的二層以太網(wǎng)設(shè)備，主要是以太網(wǎng)交換機(jī)設(shè)備。
背景技術(shù)：
使用生成樹協(xié)議(Spanning Tree Protocol，STP)可以消除交換機(jī)之間的冗余鏈路，如果協(xié)議將回路中的某個(gè)端口暫時(shí)阻塞，則到每個(gè)目的地的無回路路徑就形成了。
生成樹協(xié)議執(zhí)行一個(gè)稱為STA(spanning tree algorithm，生成樹)的算法進(jìn)行計(jì)算。通過STA計(jì)算，網(wǎng)橋就可以知道網(wǎng)絡(luò)上是否存在回路。STA在網(wǎng)路中選擇一個(gè)根網(wǎng)橋作為參考點(diǎn)，然后確定到該參考點(diǎn)的可用路徑。如果存在冗余鏈路。STA就會(huì)選擇最佳的路徑用來轉(zhuǎn)發(fā)數(shù)據(jù)，冗余鏈路會(huì)被切斷。
參與STP(Spanning Tree Protocol，生成樹協(xié)議)的網(wǎng)橋?yàn)榱俗屍渌W(wǎng)橋知道它的存在，會(huì)定時(shí)向其他端口傳送信息包，該信息包稱為BPDU消息。BPDU中包含了很多域，主要有以下內(nèi)容根網(wǎng)橋rD(根網(wǎng)橋的網(wǎng)橋ID)；根路徑開銷；發(fā)送者網(wǎng)橋ID(發(fā)送BPDU的網(wǎng)橋ID)；端口ID(發(fā)送BPDU的端口ID)；一些計(jì)時(shí)器和時(shí)間參數(shù)。
通過上面的分析，生成樹的計(jì)算是基于BPDU報(bào)文進(jìn)行的，對(duì)于沒有認(rèn)證的報(bào)文就參與計(jì)算，可能會(huì)給網(wǎng)絡(luò)安全帶來隱患。網(wǎng)絡(luò)上的主機(jī)可以通過相應(yīng)的網(wǎng)絡(luò)工具軟件輕易地進(jìn)行BPDU欺騙，網(wǎng)絡(luò)設(shè)備根據(jù)接收的BPDU報(bào)文進(jìn)行計(jì)算，可能會(huì)計(jì)算出一個(gè)錯(cuò)誤的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。
現(xiàn)有技術(shù)尚沒有提供解決上述問題的方法。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是提供一種生成樹協(xié)議BPDU報(bào)文認(rèn)證的裝置及方法，以解決現(xiàn)有網(wǎng)絡(luò)中傳輸BPDU報(bào)文中存在的安全隱患，即生成樹協(xié)議中認(rèn)為報(bào)文都是可靠安全的，沒有考慮惡意的BPDU攻擊的問題。
為實(shí)現(xiàn)本發(fā)明的目的，本發(fā)明提出了一種生成樹協(xié)議BPDU報(bào)文認(rèn)證的裝置及方法，通過擴(kuò)充BPDU報(bào)文內(nèi)容，在報(bào)文中增加認(rèn)證方面的內(nèi)容，接收BPDU報(bào)文時(shí)進(jìn)行認(rèn)證，可以有效保證BPDU報(bào)文的安全性。管理員可以在不信任的端口上配置BPDU認(rèn)證和認(rèn)證關(guān)鍵字，從而保護(hù)該端口免受惡意的BPDU欺騙，可以保證拓?fù)浣Y(jié)構(gòu)的正確和安全。
為實(shí)現(xiàn)本發(fā)明的上述目的，本發(fā)明提供了一種BPDU報(bào)文的傳輸方法，用于在端口間傳輸BPDU報(bào)文，其中，通過擴(kuò)充BPDU報(bào)文，在BPDU報(bào)文中增加用于認(rèn)證BPDU報(bào)文的認(rèn)證字段/認(rèn)證字段組來實(shí)現(xiàn)對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證。
所述的BPDU報(bào)文的傳輸方法，其中，所述對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證的步驟進(jìn)一步包括步驟一，在發(fā)送端口和/或接收端口配置BPDU認(rèn)證功能及認(rèn)證關(guān)鍵字；步驟二，發(fā)送端口根據(jù)其上配置的BPDU認(rèn)證關(guān)鍵字及要發(fā)送的BPDU報(bào)文生成發(fā)送端的認(rèn)證字段/認(rèn)證字段組，所述認(rèn)證字段/認(rèn)證字段組與所述BPDU報(bào)文構(gòu)成一擴(kuò)充的BPDU報(bào)文；發(fā)送端口發(fā)送所述擴(kuò)充的BPDU報(bào)文；步驟三，接收端口接收所述擴(kuò)充的BPDU報(bào)文，并根據(jù)所述擴(kuò)充的BPDU報(bào)文中的BPDU報(bào)文部分及其上配置的BPDU認(rèn)證關(guān)鍵字生成接收端的認(rèn)證字段/認(rèn)證字段組，并判斷所述發(fā)送端的認(rèn)證字段/認(rèn)證字段組與所述接收端的認(rèn)證字段/認(rèn)證字段組是否相一致；如是，則接收所述BPDU報(bào)文；如否，則丟棄所述BPDU報(bào)文。
所述的BPDU報(bào)文的傳輸方法，其中，進(jìn)一步包括判斷所述發(fā)送端口和/或接收端口是否配置了BPDU認(rèn)證功能的步驟，如否，則發(fā)送和/或接收正常未擴(kuò)充的BPDU報(bào)文。
所述的BPDU報(bào)文的傳輸方法，其中，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括發(fā)送端口或接收端口根據(jù)其上配置的認(rèn)證關(guān)鍵字對(duì)要發(fā)送或接收的BPDU報(bào)文進(jìn)行加密處理生成的加密值。
所述的BPDU報(bào)文的傳輸方法，其中，所述加密處理為進(jìn)行MD5加密處理；所述認(rèn)證字段/認(rèn)證字段組包含對(duì)發(fā)送或接收的BPDU報(bào)文進(jìn)行MD5加密處理得出的MD5值。
所述的BPDU報(bào)文的傳輸方法，其中，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括一類型字段和/或長(zhǎng)度字段，用于標(biāo)識(shí)認(rèn)證字段/認(rèn)證字段組的類型及長(zhǎng)度。
所述的BPDU報(bào)文的傳輸方法，其中，所述認(rèn)證字段/認(rèn)證字段組設(shè)置在所述BPDU報(bào)文的尾部。
本發(fā)明還提供了一種BPDU報(bào)文傳輸裝置，包括一BPDU報(bào)文認(rèn)證模塊，用于擴(kuò)充BPDU報(bào)文，在BPDU報(bào)文中增加用于認(rèn)證BPDU報(bào)文的認(rèn)證字段/認(rèn)證字段組來實(shí)現(xiàn)對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證。
所述的報(bào)文傳輸裝置，其中，所述BPDU報(bào)文認(rèn)證模塊進(jìn)一步包括BPDU報(bào)文認(rèn)證配置模塊，用于配置發(fā)送端口和/或接收端口的BPDU認(rèn)證功能及認(rèn)證關(guān)鍵字；BPDU報(bào)文發(fā)送模塊，用于生成并發(fā)送擴(kuò)充的BPDU報(bào)文；所述擴(kuò)充的BPDU報(bào)文包括要發(fā)送的BPDU報(bào)文及發(fā)送端認(rèn)證字段/認(rèn)證字段組；所述發(fā)送端認(rèn)證字段/認(rèn)證字段組由發(fā)送端口根據(jù)其上配置的BPDU認(rèn)證關(guān)鍵字及要發(fā)送的BPDU報(bào)文生成；BPDU報(bào)文接收模塊，用于接收所述擴(kuò)充的BPDU報(bào)文，及根據(jù)所述擴(kuò)充的BPDU報(bào)文中的BPDU報(bào)文部分及接收端口上配置的BPDU認(rèn)證關(guān)鍵字生成接收端認(rèn)證字段/認(rèn)證字段組，并通過判斷所述發(fā)送端認(rèn)證認(rèn)證字段/認(rèn)證字段組與所述接收端認(rèn)證字段/認(rèn)證字段組是否相一致來對(duì)判斷所述BPDU報(bào)文是否通過認(rèn)證；如BPDU報(bào)文通過認(rèn)證，則接收所述BPDU報(bào)文；如否，則丟棄所述BPDU報(bào)文。
所述的報(bào)文傳輸裝置，其中，所述BPDU報(bào)文認(rèn)證配置模塊進(jìn)一步用于提供一人機(jī)界面，用于供用戶輸入命令配置端口的BPDU認(rèn)證功能和認(rèn)證關(guān)鍵字。
所述的報(bào)文傳輸裝置，其中，進(jìn)一步包括判斷模塊，用于判斷所述發(fā)送端口和/或接收端口是否配置了BPDU認(rèn)證功能；如否，則發(fā)送和/或接收正常未擴(kuò)充的BPDU報(bào)文。
所述的BPDU報(bào)文的傳輸裝置，其中，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括發(fā)送端口或接收端口根據(jù)其上配置的認(rèn)證關(guān)鍵字對(duì)要發(fā)送或接收的BPDU報(bào)文進(jìn)行MD5加密處理生成的MD5加密值。
所述的報(bào)文的傳輸裝置，其中，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括一類型字段及長(zhǎng)度字段，用于標(biāo)識(shí)認(rèn)證字段/認(rèn)證字段組的類型及長(zhǎng)度。
本發(fā)明的有益效果在于與現(xiàn)有的生成樹協(xié)議BPDU報(bào)文相比，本發(fā)明在遵循生成樹協(xié)議的基礎(chǔ)上，擴(kuò)充了BPDU報(bào)文內(nèi)容，網(wǎng)絡(luò)設(shè)備處理通過認(rèn)證的BPDU報(bào)文，增強(qiáng)了網(wǎng)絡(luò)的穩(wěn)定性，方便網(wǎng)絡(luò)設(shè)備管理員對(duì)網(wǎng)絡(luò)中不可靠BPDU報(bào)文的管理，具有實(shí)際應(yīng)用的意義。


圖1示出了擴(kuò)充前后的BPDU報(bào)文格式；圖2是本網(wǎng)絡(luò)設(shè)備的生成樹模塊組成圖；圖3是利用本發(fā)明一實(shí)施例的方法，端口BPDU報(bào)文發(fā)送處理流程圖；圖4是利用本發(fā)明一實(shí)施例的方法，端口BPDU報(bào)文接收處理流程圖；圖5是利用本發(fā)明一實(shí)施例的方法的組網(wǎng)圖。
具體實(shí)施例方式
圖1中顯示了標(biāo)準(zhǔn)的BPDU報(bào)文格式和擴(kuò)充后的BPDU報(bào)文格式，從圖1中可以看出，擴(kuò)充后的BPDU報(bào)文格式是在標(biāo)準(zhǔn)的報(bào)文的尾部增加一個(gè)TLV組，其包括3個(gè)字段，分別是類型字段(TYPE，T)，長(zhǎng)度字段(LENGTH，L)，表示該類型的內(nèi)容的字段(V)，當(dāng)類型為0時(shí)，說明是BPDU MD5認(rèn)證選項(xiàng)，長(zhǎng)度為1個(gè)字節(jié)，此時(shí)對(duì)應(yīng)的V字段為MD5值。長(zhǎng)度字段的長(zhǎng)度為一個(gè)字節(jié)，長(zhǎng)度字段的內(nèi)容為18，是由類型字段長(zhǎng)度1，長(zhǎng)度字段長(zhǎng)度1和內(nèi)容字段的長(zhǎng)度16相加得出的。值字段長(zhǎng)度為16字節(jié)，內(nèi)容為BPDU報(bào)文和配置的KEY值進(jìn)行MD5計(jì)算得出的值。類型字段不為0的字段為保留字段，為今后的擴(kuò)充留下余地。
圖2顯示了本交換機(jī)設(shè)備生成樹協(xié)議的BPDU報(bào)文傳輸裝置的模塊構(gòu)成，其中包括BPDU接收?qǐng)?bào)文模塊1，端口協(xié)議遷移模塊2，端口信息模塊3，端口權(quán)限選擇模塊4，端口狀態(tài)轉(zhuǎn)變模塊6，端口權(quán)限轉(zhuǎn)變模塊5，拓?fù)渥兓刂颇K7和BPDU發(fā)送模塊8構(gòu)成。其中BPDU接收?qǐng)?bào)文模塊1處理BPDU報(bào)文，端口協(xié)議遷移模塊2根據(jù)接收的BPDU報(bào)文決定發(fā)送報(bào)文的類型，是RSTP(快速生成樹)報(bào)文還是STP(經(jīng)典生成樹)報(bào)文，端口狀態(tài)轉(zhuǎn)變模塊6控制端口的快速切換，端口權(quán)限轉(zhuǎn)變模塊5主要控制端口狀態(tài)，拓?fù)渥兓刂颇K7控制當(dāng)端口發(fā)生拓?fù)渥兓臅r(shí)候處理的流程，BPDU發(fā)送模塊8控制BPD報(bào)文的發(fā)送。
其中，本發(fā)明一實(shí)施例的BPDU報(bào)文傳輸裝置進(jìn)一步包括一BPDU報(bào)文認(rèn)證模塊，該認(rèn)證模塊通過擴(kuò)充BPDU報(bào)文內(nèi)容，在報(bào)文中增加認(rèn)證方面的內(nèi)容，接收BPDU報(bào)文時(shí)進(jìn)行認(rèn)證，可以有效保證BPDU報(bào)文的安全性。該認(rèn)證模塊進(jìn)一步包括一BPDU報(bào)文認(rèn)證配置模塊，用于配置發(fā)送端口和/或接收端口的BPDU認(rèn)證功能及認(rèn)證關(guān)鍵字，具體地，可通過提供一人機(jī)界面，供用戶輸入配置BPDU認(rèn)證和認(rèn)證關(guān)鍵字的命令。本發(fā)明一實(shí)施例的報(bào)文傳輸裝置中的BPDU報(bào)文發(fā)送模塊，在報(bào)文發(fā)送前進(jìn)一步判斷如果該端口配置了BPDU認(rèn)證，在發(fā)送BPDU報(bào)文時(shí)需要根據(jù)配置的KEY值和發(fā)送的BPDU報(bào)文進(jìn)行MD5計(jì)算，計(jì)算出的結(jié)果添加到BPDU報(bào)文的認(rèn)證字段內(nèi)。本發(fā)明一實(shí)施例的BPDU報(bào)文接收模塊，在收到報(bào)文時(shí)進(jìn)一步判斷如果當(dāng)前設(shè)備的端口配置了端口BPDU認(rèn)證，需要對(duì)接收的BPDU報(bào)文和端口配置的KEY(關(guān)鍵字)值進(jìn)行MD5計(jì)算，如果計(jì)算出來的值和報(bào)文中的認(rèn)證字段值是一致的，認(rèn)為該BPDU報(bào)文是合法的，否則認(rèn)為是一個(gè)非法的BPDU報(bào)文，丟棄該BPDU報(bào)文。
圖3為本發(fā)明一實(shí)施例方法的端口BPDU報(bào)文發(fā)送處理流程示意圖。如圖3所示，端口在發(fā)送BPDU報(bào)文時(shí)，先生成正常的BPDU報(bào)文(步驟301)；判斷端口是否配置了認(rèn)證(步驟302)；如果端口配置了BPDU認(rèn)證，則根據(jù)配置的關(guān)鍵字對(duì)報(bào)文進(jìn)行MD5(Message-Digest Algorithm version.5，消息摘要算法5)加密處理，將計(jì)算出來的MD5值作為認(rèn)證字段內(nèi)容填入擴(kuò)充BPDU報(bào)文中(步驟303)，然后再將擴(kuò)充后的BPDU進(jìn)行發(fā)送；如果端口沒有配置BPDU認(rèn)證，則正常發(fā)送未擴(kuò)充的BPDU報(bào)文(步驟304)。
圖4是端口BPDU報(bào)文接收處理流程圖，接收到BPDU報(bào)文后，判斷端口是否配置了認(rèn)證(步驟401)；如是，對(duì)于配置了端口BPDU認(rèn)證，需要判斷是否通過了認(rèn)證(步驟402)，具體需要對(duì)報(bào)文中的MD5值和本端口計(jì)算出來的MD5值相比較，如果一致，說明MD5的KEY值配置是一致的，對(duì)端的交換機(jī)是可信任，通過認(rèn)證，正常接收?qǐng)?bào)文(步驟403)；如果MD5值比較不一致，說明MD5的KEY值配置不一致，丟棄該BPDU報(bào)文(步驟404)。
本發(fā)明的實(shí)施例請(qǐng)參考圖5所示，根據(jù)組網(wǎng)圖搭建測(cè)試環(huán)境，端口上沒有配置BPDU認(rèn)證功能，通過在交換機(jī)B上執(zhí)行SHOW SPAN INSTANCE 0命令，該命令顯示出實(shí)例0端口的一些屬性，包括端口角色、端口狀態(tài)，端口值(路徑花費(fèi))等參數(shù)。端口的狀態(tài)如下所示。在下面的例子中STs字段顯示的是端口的狀態(tài)，表示端口是否出于轉(zhuǎn)發(fā)狀態(tài)。Role字段顯示的是端口的角色，根據(jù)生成樹協(xié)議規(guī)定，有根端口(root)、指定端口(Designated)、備份端口和替換端口(Alternate)四種類型。
Interface PortIDName Prio.Nbr CostSts Role LinkType Bound
fei_1/1 128.1 200000 Forward Root p2p MSTPfei_1/2 128.2 200000 Discard Altemate p2p MSTP從上面的打印輸出可以看出，沒有配置BPDU報(bào)文保護(hù)時(shí)，認(rèn)為BPDU報(bào)文都是合法的，計(jì)算出的結(jié)果如上所示，端口1是根端口出于轉(zhuǎn)發(fā)狀態(tài)，端口2是替換端口，處于阻塞狀態(tài)。
在交換機(jī)B的端口FE1_1/2上配置端口BPDU認(rèn)證功能，進(jìn)入接口配置模式，執(zhí)行spanning-tree bpdu auth key zte命令，由于A交換機(jī)上的端口FE1_1/2上沒有配置端口BPDU認(rèn)證，通過在交換機(jī)B上執(zhí)行SHOW SPAN INSTANCE0命令，端口狀態(tài)顯示如下Interface PortIDName Prio.Nbr CostSts RoleLinkType Bound
fei_1/1 128.1 200000 Forward Rootp2p MSTPfei_1/2 128.2 200000 Discard Designated p2p MSTP從上面的例子中可以看出，由于交換機(jī)B的端口2上配置了認(rèn)證字段，認(rèn)證的KEY值為ZTE，所以端口2接收到的bpdu報(bào)文被BPDU接收模塊丟棄了，同時(shí)把該端口設(shè)置為阻塞狀態(tài)。
在交換機(jī)A的端口FEI 1/2上配置端口BPDU認(rèn)證功能，進(jìn)入接口配置模式，執(zhí)行spanning-tree bpdu auth key zte命令，該命令配置本交換機(jī)的MD5認(rèn)證密碼為zte，通過在交換機(jī)B上執(zhí)行SHOW SPAN INSTANCE 0命令，端口狀態(tài)顯示如下Interface Port IDName Prio.Nbr CostSts Role LinkType Bound
fei_1/1 128.1 200000 Forward Root p2p MSTPfei_1/2 128.2 200000 Discard Alternate p2p MSTP從上面的例子中可以看出，由于交換機(jī)A和交換機(jī)B的2號(hào)端口都配置了BPDU認(rèn)證功能，而且配置的KEY值是一致，所以計(jì)算出的端口角色和端口狀態(tài)和例子1的結(jié)果是一致的。
綜上所述，本發(fā)明為了防止惡意的BPDU攻擊，對(duì)于不信任的端口配置BPDU報(bào)文認(rèn)證，只有通過認(rèn)證的報(bào)文，才認(rèn)為相連設(shè)備是一個(gè)可以信賴的設(shè)備，才能參與生成樹的計(jì)算，沒有通過認(rèn)證的報(bào)文，丟棄不參與計(jì)算。本發(fā)明使用靈活簡(jiǎn)單，可以根據(jù)需要在端口上配置認(rèn)證和認(rèn)證關(guān)鍵字，不需要增加額外的硬件成本，對(duì)軟件成本增加也不大，有效地提高BPDU報(bào)文的安全性，增強(qiáng)網(wǎng)絡(luò)的穩(wěn)定性。
當(dāng)然，本發(fā)明還可有其它多種實(shí)施例，在不背離本發(fā)明精神及其實(shí)質(zhì)的情況下，熟悉本領(lǐng)域的技術(shù)人員當(dāng)可根據(jù)本發(fā)明作出各種相應(yīng)的改變和變形，但這些相應(yīng)的改變和變形都應(yīng)屬于本發(fā)明所附的權(quán)利要求的保護(hù)范圍。
權(quán)利要求
1.一種網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，用于在端口間傳輸BPDU報(bào)文，其特征在于，通過擴(kuò)充BPDU報(bào)文，在BPDU報(bào)文中增加用于認(rèn)證BPDU報(bào)文的認(rèn)證字段/認(rèn)證字段組來實(shí)現(xiàn)對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證。
2.根據(jù)要求1所述的網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，其特征在于，所述對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證的步驟進(jìn)一步包括步驟一，在發(fā)送端口和/或接收端口配置BPDU認(rèn)證功能及認(rèn)證關(guān)鍵字；步驟二，發(fā)送端口根據(jù)其上配置的BPDU認(rèn)證關(guān)鍵字及要發(fā)送的BPDU報(bào)文生成發(fā)送端的認(rèn)證字段/認(rèn)證字段組，所述認(rèn)證字段/認(rèn)證字段組與所述BPDU報(bào)文構(gòu)成一擴(kuò)充的BPDU報(bào)文；發(fā)送端口發(fā)送所述擴(kuò)充的BPDU報(bào)文；步驟三，接收端口接收所述擴(kuò)充的BPDU報(bào)文，并根據(jù)所述擴(kuò)充的BPDU報(bào)文中的BPDU報(bào)文部分及其上配置的BPDU認(rèn)證關(guān)鍵字生成接收端的認(rèn)證字段/認(rèn)證字段組，并判斷所述發(fā)送端的認(rèn)證字段/認(rèn)證字段組與所述接收端的認(rèn)證字段/認(rèn)證字段組是否相一致；如是，則接收所述BPDU報(bào)文；如否，則丟棄所述BPDU報(bào)文。
3.根據(jù)權(quán)利要求2所述的網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，其特征在于，進(jìn)一步包括判斷所述發(fā)送端口和/或接收端口是否配置了BPDU認(rèn)證功能的步驟，如否，則發(fā)送和/或接收正常未擴(kuò)充的BPDU報(bào)文。
4.根據(jù)權(quán)利要求2所述的網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，其特征在于，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括發(fā)送端口或接收端口根據(jù)其上配置的認(rèn)證關(guān)鍵字對(duì)要發(fā)送或接收的BPDU報(bào)文進(jìn)行加密處理生成的加密值。
5.根據(jù)權(quán)利要求4所述的網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，其特征在于，所述加密處理為進(jìn)行MD5加密處理；所述認(rèn)證字段/認(rèn)證字段組包含對(duì)發(fā)送或接收的BPDU報(bào)文進(jìn)行MD5加密處理得出的MD5值。
6.根據(jù)權(quán)利要求4或5中任一權(quán)利要求所述的網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，其特征在于，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括一類型字段和/或長(zhǎng)度字段，用于標(biāo)識(shí)認(rèn)證字段/認(rèn)證字段組的類型及長(zhǎng)度。
7.根據(jù)權(quán)利要求1所述的網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法，其特征在于，所述認(rèn)證字段/認(rèn)證字段組設(shè)置在所述BPDU報(bào)文的尾部。
8.一種利用權(quán)利要求1-5或7中任一權(quán)利要求所述的傳輸方法進(jìn)行網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文傳輸裝置，其特征在于，包括一BPDU報(bào)文認(rèn)證模塊，用于擴(kuò)充BPDU報(bào)文，在BPDU報(bào)文中增加用于認(rèn)證BPDU報(bào)文的認(rèn)證字段/認(rèn)證字段組來實(shí)現(xiàn)對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證。
9.根據(jù)權(quán)利要求8所述的報(bào)文傳輸裝置，其特征在于，所述BPDU報(bào)文認(rèn)證模塊進(jìn)一步包括BPDU報(bào)文認(rèn)證配置模塊，用于配置發(fā)送端口和/或接收端口的BPDU認(rèn)證功能及認(rèn)證關(guān)鍵字；BPDU報(bào)文發(fā)送模塊，用于生成并發(fā)送擴(kuò)充的BPDU報(bào)文；所述擴(kuò)充的BPDU報(bào)文包括要發(fā)送的BPDU報(bào)文及發(fā)送端認(rèn)證字段/認(rèn)證字段組；所述發(fā)送端認(rèn)證字段/認(rèn)證字段組由發(fā)送端口根據(jù)其上配置的BPDU認(rèn)證關(guān)鍵字及要發(fā)送的BPDU報(bào)文生成；BPDU報(bào)文接收模塊，用于接收所述擴(kuò)充的BPDU報(bào)文，及根據(jù)所述擴(kuò)充的BPDU報(bào)文中的BPDU報(bào)文部分及接收端口上配置的BPDU認(rèn)證關(guān)鍵字生成接收端認(rèn)證字段/認(rèn)證字段組，并通過判斷所述發(fā)送端認(rèn)證字段/認(rèn)證字段組與所述接收端認(rèn)證字段/認(rèn)證字段組是否相一致來對(duì)判斷所述BPDU報(bào)文是否通過認(rèn)證；如BPDU報(bào)文通過認(rèn)證，則接收所述BPDU報(bào)文；如否，則丟棄所述BPDU報(bào)文。
10.根據(jù)權(quán)利要求9所述的報(bào)文傳輸裝置，其特征在于，所述BPDU報(bào)文認(rèn)證配置模塊進(jìn)一步用于提供一人機(jī)界面，用于供用戶輸入命令配置端口的BPDU認(rèn)證功能和認(rèn)證關(guān)鍵字。
11.根據(jù)權(quán)利要求9所述的報(bào)文傳輸裝置，其特征在于，進(jìn)一步包括判斷模塊，用于判斷所述發(fā)送端口和/或接收端口是否配置了BPDU認(rèn)證功能。
12.根據(jù)權(quán)利要求9所述的報(bào)文的傳輸裝置，其特征在于，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括發(fā)送端口或接收端口根據(jù)其上配置的認(rèn)證關(guān)鍵字對(duì)要發(fā)送或接收的BPDU報(bào)文進(jìn)行MD5加密處理生成的MD5加密值。
13.根據(jù)權(quán)利要求9所述的報(bào)文傳輸裝置，其特征在于，所述認(rèn)證字段/認(rèn)證字段組進(jìn)一步包括一類型字段及長(zhǎng)度字段，用于標(biāo)識(shí)認(rèn)證字段/認(rèn)證字段組的類型及長(zhǎng)度。
全文摘要
本發(fā)明公開了一種網(wǎng)橋協(xié)議數(shù)據(jù)單元報(bào)文的傳輸方法及裝置，用于在端口間傳輸BPDU報(bào)文，本發(fā)明的方法及裝置通過擴(kuò)充BPDU報(bào)文，在BPDU報(bào)文中增加用于認(rèn)證BPDU報(bào)文的認(rèn)證字段/認(rèn)證字段組來實(shí)現(xiàn)對(duì)在端口間傳輸?shù)腂PDU報(bào)文進(jìn)行認(rèn)證。利用本發(fā)明的方法及裝置，管理員可以在不信任的端口上配置BPDU認(rèn)證和認(rèn)證關(guān)鍵字，從而保護(hù)該端口免受惡意的BPDU欺騙，可以保證拓?fù)浣Y(jié)構(gòu)的正確和安全。
文檔編號(hào)H04L29/06GK101022402SQ20061001133
公開日2007年8月22日 申請(qǐng)日期2006年2月15日 優(yōu)先權(quán)日2006年2月15日
發(fā)明者楊崢, 房海霞 申請(qǐng)人:中興通訊股份有限公司