技術領域

本發明涉及局域網技術，特別是涉及一種檢測仿冒網絡設備的方法和裝 置。

背景技術

因特網協議(Internet?Protocol，簡稱IP)規定每個網絡設備的IP地址是 唯一的，且在以太網(Ethernet)中每個網絡設備都有唯一的介質訪問控制 (Media?Access?Control，簡稱MAC)地址，因此，網絡設備可通過IP地址 和MAC地址結合的方式唯一標識。

在基于美國電氣電子工程師學會(Institute?of?Electrical?and?Electronic Engineers，簡稱IEEE)802委員會制定的局域網(Local?Area?Network，簡稱LAN) 標準中的802.1x認證協議，進行用戶接入認證的過程中，需要訪問外部網絡 的第一網絡設備向交換機發送接入認證請求；交換機將接入認證請求轉發給 認證服務器，由認證服務器對該認證請求進行認證；如果認證通過，交換機 可打開相應的交換機端口，在局域網和外部網絡之間放行具有第一網絡設備 的IP地址和MAC地址的報文；以下將已通過接入認證的網絡設備稱為合法 網絡設備。如果有人將其使用的網絡設備(以下稱為第二網絡設備)的IP地 址和MAC地址，分別與合法網絡設備的IP地址和MAC地址設置得完全一 致，第二網絡設備則不需要進行接入認證就可訪問外部網絡。以下將自身的 MAC地址和IP地址設置成與其他網絡設備真實的MAC地址和IP地址的網 絡設備，稱為仿冒網絡設備。如果局域網中存在仿冒網絡設備，交換機則無 法區分已通過接入認證的合法網絡設備還是仿冒網絡設備，仿冒網絡設備無 需認證即可訪問外部網絡并可獲得合法網絡設備相同的權益，從而增加了安 全隱患，也給利用802.1x認證協議進行收費管理的運營商造成經濟損失。

為了檢測局域網中是否存在同時盜用合法網絡設備的IP地址和MAC地 址的仿冒網絡設備，現有技術提供了兩種實現方法?，F有技術一是基于仿冒 網絡設備的特征實現檢測，例如可通過檢測局域網中是否有不同網絡設備存 在完全相同的IP地址和MAC地址，進而判斷局域網中是否存在仿冒網絡設 備。該檢測數據包容易被仿冒網絡設備通過一些過濾機制，如增設防火墻的 方式過濾掉，從而使得仿冒網絡設備躲過檢測。現有技術二可采用交換機和 網絡設備一起配合統計流量的方法實現，例如可通過檢測合法網絡設備上的 網絡流量和交換機上的網絡流量是否一致，進而判斷網絡中是否存在仿冒網 絡設備。但該方法需要相應設備在有限的資源上分出部分資源以進行流量統 計，因而影響了設備性能，此外，由于交換機和合法網絡設備之間在檢測過 程中存在信息交互，因此增加了網絡部署及網絡設備維護的難度，使得該方 法實現的復雜度較高。

通過上述分析可知，檢測局域網中是否存在同時盜用合法網絡設備的IP 地址和MAC地址的仿冒網絡設備的現有技術，至少存在著檢測效率較低的 技術缺陷。

發明內容

本發明提供一種檢測仿冒網絡設備的方法和裝置，用以提高局域網中是 否存在仿冒網絡設備的檢測效率。

本發明提供了一種檢測仿冒網絡設備的方法，包括：

獲取合法網絡設備成功發送的多個第一發送數據包，以及所述合法網絡 設備的網卡偵聽到的多個第二發送數據包，獲取的任一所述第二發送數據包 的源介質訪問控制MAC地址和源因特網協議IP地址，分別與任一所述第一 發送數據包的源MAC和源IP地址相同；

根據獲取的多個所述第一發送數據包和多個所述第二發送數據包，分別 生成第一發送數據包列表和第二發送數據包列表；

匹配所述第一發送數據包列表和所述第二發送數據包列表，在所述第二 發送數據包列表與所述第一發送數據包列表匹配失敗時，確定所述合法網絡 設備當前所在的局域網中，存在與所述合法網絡設備相關的仿冒網絡設備。

本發明還提供了一種檢測仿冒網絡設備的裝置，包括：

發送數據包信息獲取模塊，用于獲取合法網絡設備成功發送的多個第一 發送數據包，以及所述合法網絡設備的網卡偵聽到的多個第二發送數據包， 獲取的任一所述第二發送數據包的源介質訪問控制MAC地址和源因特網協 議IP地址，分別與任一所述第一發送數據包的源MAC和源IP地址相同；

列表生成模塊，用于根據獲取的多個所述第一發送數據包和多個所述第 二發送數據包，分別生成第一發送數據包列表和第二發送數據包列表；