CN100395997C - 一种保护接入用户安全的方法 - Google Patents

Abstract

本发明公开了一种保护接入用户安全的方法，所述接入用户通过接入网关和防火墙接入外部网络，所述防火墙在用户接入外部网络过程中，执行以下步骤：A.对从接入网关接收的报文进行过滤，获得消息报文，并判断该消息是否为远程认证拨号接入计费消息的计费结束请求消息，如果是则执行步骤B，否则仍按照防火墙正常的流程处理；B.获得该结束请求消息中的用户地址信息；C.删除防火墙中与步骤B获得的地址信息所对应的会话。本发明修补了防火墙同接入网关配合组网时所造成的安全漏洞，使新接入用户减少遭受攻击的可能，提高了接入用户的安全性。而且本发明实现简单，对现有网络设备影响小。

Description

一种保护接入用户安全的方法

技术领域

本发明涉及网络安全技术，尤指一种保护接入用户安全的方法。

背景技术

接入网关是接入用户采用不同接入技术接入IP网络的网关设备，如x数字用户线(x Digital Subscriber Line，xDSL)用户的接入设备宽带接入服务器(Broadband Access Server，BAS)，无线局域网(Wireless Local AreaNetwork，WLAN)用户的接入设备接入控制(Access Control，AC)网关，宽带码分多址(Wideband CDMA，WCDMA)、通用移动通讯系统(GeneralPacket Radio Service，GPRS)、通用分组无线业务(Universal MobileTelecommunications System，UMTS)用户的接入设备网关GPRS支持节点(Gateway GPRS Support Node，GGSN)，码分多址(Code Division MultipleAccess，CDMA)用户的接入设备分组数据业务节点(Packet Data ServingNode，PDSN)等等。

图1为接入用户通过接入网关访问外部IP网络示意图。如图1所示，接入用户11通过接入网络12访问接入网关13，由于接入网关13连接的是外部非安全区的IP网络15，为保证安全区内的接入网络12和接入用户11的安全，接入网关13通过防火墙14与外部IP网络15连接。如图1所示，接入用户11可以通过接入网关12、外部IP网络15访问远程认证拨号接入服务(Remote Authentication Dial In User Service，Radius)服务器16实现计费和接入认证功能。

其中，防火墙使用的防护方式为目前流行的应用层包过滤(ApplicationSpecific Packet Filter，ASPF)，它的主要工作是记录安全区传入非安全区的IP报文五元组，并生成管理该报文对应五元组的会话。防火墙记录的IP报文五元组包括IP报文的源IP地址、目的IP地址、协议类型、源端口号、以及目的端口号。当IP报文从非安全区向安全区传送时，防火墙会根据传入安全区报文的五元组，在会话表中查找是否有匹配的会话，如果有则允许报文通过，如果没有对应的会话则丢弃该报文。ASPF功能可以检测的应用层协议主要有FTP、HTTP、SMTP、RSTP、H.323、TCP、UDP等。但对于Radius消息，由于是UDP承载，防火墙只把Radius消息当做普通UDP报文处理，而不是Radius协议消息进行处理。

如图2所示为现有技术中Radius服务器为接入用户提供计费服务，接入用户通过接入网关访问外部IP网络的流程图，步骤详细介绍如下：

步骤201～202：接入用户向接入网关发送用户接入请求消息，接入网关接受接入用户接入外部IP网络，并为接入用户分配IP地址，该用户与该IP地址绑定。

步骤203～204：接入网关在接受接入用户接入外部IP网络后，向Radius服务器发送该接入用户的计费开始请求消息，Radius服务器在接收到接入网关发送来的计费开始请求消息后，为该接入用户开始计费，并给接入网关返回计费开始请求响应。其中，防火墙对Radius计费消息报文直接进行转发，不记录此报文的五元组，相应的，返回的响应消息也不需要查找是否存在匹配的五元组会话。

步骤205：接入用户在收到接入网关分配的IP地址后，用此IP地址访问外部IP网络，向外部网络发送IP报文。

步骤206：防火墙获得接入用户发往外部IP网络的IP报文，记录该IP报文的五元组，生成管理该五元组的会话。

步骤207～208：防火墙向外部IP网络转发接入用户的IP报文，外部IP网络收到并向接入用户返回响应报文。

步骤209：防火墙获得外部IP网络向接入用户返回的响应报文，将返回IP报文五元组中的源IP地址和目的IP地址对调，然后在防火墙中的会话表里查找是否有匹配的会话，如果有匹配的会话则进行步骤210，防火墙根据收到IP报文的目的地址向接入用户转发该报文；如果没有匹配的会话，则不转发报文。

步骤211：接入用户在访问网络一段时间后，向接入网关发送用户退出请求消息，表示此时不再需要访问外部IP网络。

步骤212～213：接入网关在接收到接入用户的退出请求后，向Radius服务器发送用户计费结束请求消息，指示对该接入用户结束计费。Radius服务器响应该计费结束消息，停止对该用户的计费，并向接入网关返回计费结束请求响应。

步骤214：接入网关在接收到Radius返回的计费结束请求响应之后，接受用户退出，并释放接入用户的IP地址，用户与该IP地址解开绑定。

接入网关为接入用户分配的IP地址一般都采用动态分配的方式。也就是说，用户下线时，该用户所使用的IP地址就会被释放，因此当其他用户向接入网关请求接入时，前一用户刚刚释放的IP地址很有可能被接入网关分配给新申请接入网络的接入用户。这样，IP地址同一时刻只能分配给一个接入用户，不会造成接入用户之间的地址混乱，提高IP了地址的利用率。

在现有技术中，当接入用户退出网络，并且释放了与它绑定的IP地址时，并没有通知防火墙，此时，防火墙还保留着与该IP地址对应的五元组的会话。通常情况下，会话只会等待超时后被防火墙删除，目前防火墙默认的超时时间一般在几十秒到数百秒之间。在这段时间内，当有新用户向接入网关发送接入请求时，可能会由于接入网络访问IP网络的数量增多，造成动态地址池的剩余地址减少，在这种情况下，接入网关很有可能将刚刚释放的IP地址分配给新用户。此时防火墙并未释放原用户拥有这个IP地址时所产生IP报文五元组的会话，如果外部IP网络仍对原用户发送IP报文，由于防火墙能找到与此IP报文匹配的会话，因此不会过滤该报文，该报文会进入接入网络，到达拥有原IP地址的新用户。如果外部IP网络持续不断的发送报文，防火墙则会一直保持该会话，而不会因此超时删除此会话。因此，对于新接入的用户来说，他不得不为不属于他的垃圾流量付费。不仅如此，大量不属于接入网络的IP流量涌入接入网络，严重地影响了接入用户的接入带宽，接入网络设备的性能，如果这种IP地址的流动被外部IP网络中的不良用户所利用，则可直接对新接入的用户进行攻击。

现有技术中也可以采用DHCP服务器为接入用户分配IP地址。在接入网关收到用户的接入请求后，由接入网关向DHCP服务器提出为该用户分配IP地址的请求，DHCP服务器在接收到请求后则为该接入用户分配IP地址并通过接入网关通知给接入用户，完成IP地址的分配。

发明内容

有鉴于此，本发明的主要目的在于提供一种保护接入用户安全的方法，应用该方法能够提高用户接入的安全性。

为达到上述目的，本发明的技术方案是这样实现的：

一种保护接入用户安全的方法，所述接入用户通过接入网关和防火墙接入外部网络，所述防火墙在用户接入外部网络过程中，执行以下步骤：

A、对从接入网关接收的报文进行过滤，获得消息报文，并判断该消息是否为远程认证拨号接入计费消息的计费结束请求消息，如果是则执行步骤B，否则仍按照防火墙正常的流程处理；

B、获得该结束请求消息中的用户地址信息；

C、删除防火墙中与步骤B获得的地址信息所对应的会话。

其中，步骤A中获得的消息报文为远程认证拨号接入计费消息报文；所述步骤B为：获得计费结束请求消息对应的接入用户的地址信息。

其中，步骤A所述对从接入网关接收的报文进行过滤，获得消息报文的方法为：预先设置过滤规则，防火墙根据过滤规则对报文进行过滤，获得远程认证拨号接入计费消息报文。

其中，所述过滤规则为：根据接收的报文的端口号是否与接入网关发送远程认证拨号接入计费消息的端口号相同，判断是否为远程认证拨号接入计费消息。

其中，步骤A所述判断其是否为远程认证拨号接入计费消息的计费结束请求消息的方法为：对远程认证拨号接入计费消息进行解析，获得其中消息类型单元的内容，根据该内容判断该消息是否为远程认证拨号接入计费的计费结束请求消息。

其中，所述步骤B包括：B1、继续对远程认证拨号接入计费消息的计费结束请求消息进行解析，获得该请求消息内容的地址参数；B2、根据该地址参数获得计费结束请求消息对应的接入用户的地址信息。

其中，步骤A中所述对从接入网关接收的报文进行过滤，获得消息报文的方法为：在防火墙中配置远程认证拨号接入服务终结地址；防火墙接收到报文后，根据其中的目标地址是否为远程认证拨号接入计费终结地址来对报文进行过滤，直接代理接收远程认证拨号接入计费消息，获得远程认证拨号接入计费消息。

本发明所提出的这种保护接入用户安全的方法，依靠防火墙对报文进行过滤，获得消息报文，如果获得的消息报文是包含用户地址信息的结束消息，就根据该地址信息删除防火墙中对应的会话。这样，使防火墙管理的会话状态和接入用户在接入网关中的状态一致。也就是说，当接入用户退出网络时，防火墙能及时删除与该接入用户对应的会话。因此，本方法修补了防火墙同接入网关配合组网时所造成的安全漏洞，也使新接入用户在使用原接入用户的IP地址时，不会使新接入用户接收自身不需要的流量，避免遭受攻击，提高了用户接入的安全性。由于本发明只需在防火墙处进行过滤和删除等简单操作，因此对现有网络设备影响小，而且对不同类型的接入用户和接入网关不需任何修改即可使用。

附图说明

图1为接入用户通过接入网关访问外部网络示意图；

图2为现有技术流程图；

图3为本发明一实施例流程图；

图4为本发明又一实施例流程图。

具体实施方式

本发明这种保护接入用户安全的方法的核心思想是：由防火墙对报文进行过滤，获得消息报文，如果获得的消息报文是包含用户地址信息的结束消息，就根据该地址信息删除防火墙中对应的会话。

也就是说本发明利用了包含用户地址信息的结束消息，确定要求结束业务的用户，根据该结束消息，及时地将防火墙中对应的对话删除。实际应用中，可以利用Radius计费结束请求消息或其他包含地址信息的结束消息，删除防火墙中与该消息中的地址信息对应的五元组会话，使防火墙管理的会话状态和接入用户在接入网关中的状态保持一致。

在实际应用过程中存在以下两种情况：一种情况是：接入用户需要Radius提供计费服务，接入网关向Radius服务器发送Radius计费消息；另一种情况是：接入用户不需要Radius提供计费服务的情况，接入网关不向Radius服务器发送Radius计费消息。以下分别列举实施例，说明这两种情况的具体实施过程。

实施例一

本实施例针对接入用户需要Radius提供计费服务，接入网关向Radius服务器发送Radius计费消息的情况。防火墙根据接入网关发送Radius计费消息所使用的端口号，设置Radius计费报文过滤规则。例如：目前协议规定的Radius计费消息的端口号为1813，因此防火墙过滤目的端口号为1813的报文，获得对应的Radius计费消息，以及其他过滤规则。当防火墙获得Radius计费消息后，根据该消息中的消息类型单元的内容判断是否为Radius计费结束请求消息，如果是Radius计费结束请求消息，解析该消息获得该消息的内容，根据消息的内容查找得到Framed-IP-Address参数，删除防火墙中与该参数匹配的五元组会话；如果不是，则不对该Radius计费消息进行处理。具体过程如图3所示：

步骤301～302：与现有技术中的处理步骤201～202相同，接入网关允许用户接入网络，并为新用户分配IP地址，具体过程不再详述。

步骤303：接入网关向Radius服务器发送计费开始请求消息。

步骤304～305：防火墙根据预先设置的过滤规则，获得该条Radius计费消息。在防火墙接获到Radius计费消息后，根据该消息中的消息类型单元的内容判断是否为Radius计费结束消息，当防火墙判断得到该条消息不是计费结束请求消息，则向Radius服务器转发该报文。也就是说，当防火墙判断该消息不是包含接入用户地址信息的结束消息时，则按照防火墙正常的流程处理。

步骤306：Radius服务器响应接入网关发送的计费开始请求消息，对该接入用户开始计费。

步骤307～312：接入用户使用接入网关分配的IP地址访问外部IP网络，具体步骤与现有技术中的步骤205～210相同。

步骤313～314：接入用户向接入网关发送退出请求消息，接入网关在收到接入用户发送的消息后，向Radius服务器发送Radius计费结束请求消息。

步骤315～316：防火墙对消息按照设置的过滤规则，获得该条Radius计费消息。在防火墙接获到Radius计费消息后，根据该消息中的消息类型单元的内容判断是否为Radius计费结束消息。防火墙判断得到该消息为Radius计费结束请求消息后，对这个Radius计费结束请求消息进行解析，获得该消息的内容，根据消息的内容查找得到Framed-IP-Address参数，此参数为接入网关为接入用户分配的IP地址。因此，防火墙得知拥有此IP地址的接入用户已经准备退出接入网络，所以，防火墙在自身会话表中进行查找，将五元组中源IP地址与Framed-IP-Address相同的会话全部删除。接着，向Radius转发计费结束请求。

步骤317～318：与现有技术中的步骤213～214相同。

防火墙通过设置Radius计费报文过滤规则，获得Radius计费消息，对消息类型为计费结束请求的消息进行解析，得到Framed-IP-Address参数，删除防火墙中与Framed-IP-Address参数匹配的报文五元组会话，实现防火墙管理的会话状态和接入用户在接入网关中的状态一致。

实施例二

实施例二针对接入用户不需要Radius提供计费服务的情况，接入网关不向Radius服务器发送Radius计费消息。

本实施例中，防火墙设置了Radius终结地址，接受并代理处理Radius计费消息，对消息类型为计费结束请求的消息进行解析，得到Framed-IP-Address参数，删除防火墙中与Framed-IP-Address参数匹配的报文五元组会话，实现防火墙管理的会话状态和接入用户在接入网关中的状态一致。

由于接入网关不向Radius服务器发送Radius计费消息，因此本实施例不需要如实施例一中所述在防火墙中设置Radius计费报文过滤规则，但需要在防火墙端配置Radius终结地址，根据接收报文的目标地址是否为Radius终结地址来对报文进行过滤。Radius终结地址是接入网关为接入用户计费以及鉴权时所配置的Radius服务器地址，用来访问Radius服务器。在接入用户访问外部IP网络的时候，接入网关照常为接入用户给Radius服务器发送、并接收Radius计费消息，而此时的目的地址为防火墙配置的Radius终结地址，并且由防火墙代理接收、处理、应答Radius计费消息。当防火墙接收到Radius计费消息时，根据该消息中的消息类型单元中的内容判断该消息的消息类别，如果是Radius计费结束请求消息，则解析该消息中的Framed-IP-Address参数，删除防火墙中与该参数匹配的五元组会话；如果是Radius计费开始请求消息，则响应Radius计费开始请求消息，对其他类型的Radius计费消息，按照防火墙正常流程处理。具体步骤如图4所示：

步骤401～402：与现有技术中的处理步骤201～202相同，接入网关允许用户接入网络，并为新用户分配IP地址，具体过程在此详述。

步骤403：接入网关在接受接入用户访问外部IP网络的请求之后，在接入用户不需要计费服务的情况下，照常发送Radius计费开始请求消息，目的地址为防火墙配置的Radius终结地址。

步骤404～405：由于Radius计费消息中的目的地址填写的是防火墙配置的Radius终结地址，因此防火墙直接接收到该条Radius消息。防火墙根据该消息中的消息类型单元的内容判断该消息是Radius计费开始请求消息，或是Radius计费结束请求消息，经判断为Radius计费开始请求消息，因此创建Radius计费开始请求响应消息，目的地址填写接入网关地址，源地址填写防火墙配置的Radius终结地址，并发送给接入网关。

步骤406～411：接入用户使用接入网关分配的IP地址访问外部IP网络，具体步骤与现有技术中的步骤205～210相同。

步骤412～413：接入用户向接入网关发送退出请求消息，接入网关在接收到接入用户发送的消息后，向Radius服务器发送Radius计费结束请求消息。

步骤414～415：防火墙接收到该条Radius消息，根据该消息中的消息类型单元的内容判断该消息是Radius计费开始请求消息、或是Radius计费结束请求消息，经判断为Radius计费结束请求消息，因此对Radius计费结束请求消息进行解析，获得该消息的内容，根据消息的内容查找得到Framed-IP-Address参数。此时，防火墙得知拥有此IP地址的接入用户已经准备退出接入网络，因此，防火墙在自身会话表中进行查找，将五元组中源IP地址同Framed-IP-Address相同的会话全部删除。接着，创建Radius计费结束请求响应消息，目的地址填写接入网关地址，源地址填写防火墙配置的Radius终结地址，并发送给接入网关。

步骤416：接入网关在接收到防火墙传来的Radius计费结束请求响应消息后，接受接入用户退出网络，并释放其拥有的IP地址。

另外，当实际网络中使用DHCP服务器为接入用户分配IP地址时，由接入网关请求DHCP服务器为接入用户分配IP地址，接入用户获得IP地址后，也可以采用本发明所述方法实现防火墙管理的会话状态和接入用户在接入网关中的状态保持一致，具体实施过程同以上两个实施例。

Claims (7)

1.一种保护接入用户安全的方法，所述接入用户通过接入网关和防火墙接入外部网络，其特征在于，所述防火墙在用户接入外部网络过程中，执行以下步骤：

A、对从接入网关接收的报文进行过滤，获得消息报文，并判断该消息是否为远程认证拨号接入计费消息的计费结束请求消息，如果是则执行步骤B，否则仍按照防火墙正常的流程处理；

B、获得该结束请求消息中的用户地址信息；

C、删除防火墙中与步骤B获得的地址信息所对应的会话。

2.根据权利要求1所述的方法，其特征在于，

步骤A中获得的消息报文为远程认证拨号接入计费消息报文；

所述步骤B为：获得计费结束请求消息对应的接入用户的地址信息。

3.根据权利要求2所述的方法，其特征在于，步骤A所述对从接入网关接收的报文进行过滤，获得消息报文的方法为：

预先设置过滤规则，防火墙根据过滤规则对报文进行过滤，获得远程认证拨号接入计费消息报文。

4.根据权利要求3所述的方法，其特征在于，所述过滤规则为：根据接收的报文的端口号是否与接入网关发送远程认证拨号接入计费消息的端口号相同，判断是否为远程认证拨号接入计费消息。

5.根据权利要求1至4中任一权利要求所述的方法，其特征在于，步骤A所述判断其是否为远程认证拨号接入计费消息的计费结束请求消息的方法为：

对远程认证拨号接入计费消息进行解析，获得其中消息类型单元的内容，根据该内容判断该消息是否为远程认证拨号接入计费的计费结束请求消息。

6.根据权利要求5所述的方法，其特征在于，所述步骤B包括：

B1、继续对远程认证拨号接入计费消息的计费结束请求消息进行解析，获得该请求消息内容的地址参数；

B2、根据该地址参数获得计费结束请求消息对应的接入用户的地址信息。

7.根据权利要求2所述的方法，其特征在于，步骤A中所述对从接入网关接收的报文进行过滤，获得消息报文的方法为：在防火墙中配置远程认证拨号接入服务终结地址；

防火墙接收到报文后，根据其中的目标地址是否为远程认证拨号接入计费终结地址来对报文进行过滤，直接代理接收远程认证拨号接入计费消息，获得远程认证拨号接入计费消息。

Images