CN100483997C - 基于自治系统互联关系的真实IPv6源地址验证方法 - Google Patents

Abstract

本发明属于互联网技术领域，是一种基于自治系统互联关系的IPv6网络下真实源地址验证方法。本发明的特征在于：所述方法是在由验证规则生成引擎、验证引擎和自治系统号到IPv6地址前缀映射服务器组成的系统上实现的，利用自治系统互联关系，在自治系统边界路由器上生成和每一个路由器接口关联的真实IPv6源地址验证规则表，并利用其在自治系统边界路由器上对伪造IPv6源地址的的分组进行验证检查。该方法配置简单，可以在分组转发的过程中实时验证分组源IP地址的真实性，便于运营商部署，并且适用于复杂拓扑结构下的IPv6网络。

Description

基于自治系统互联关系的真实IPv6源地址验证方法

技术领域

基于自治系统互联关系的真实IPv6源地址验证方法属于互联网技术领域，尤其涉及IPv6网络下自治系统间的真实源地址验证技术。

背景技术

现有互联网的路由转发基于目的IP地址，对于转发分组的源IP地址不做检查，这使得伪造源地址的分组难以追踪，伪造源地址的攻击轻易而频繁。实现真实IP源地址验证，确保网络中每一台主机都使用合法的真实IP地址来访问网络，可以带来以下好处：首先，互联网中的流量更加容易追踪，伪造源地址的攻击易于控制；第二，网络精细管理和基于用户地址的计费可以更加方便的实现；第三，身份认证可以基于真实IP地址得到简化。

现有源地址验证方案可以分为加密认证方法，基于事前预防的过滤验证方法和基于事后追查的回溯方法三类。加密认证方法增加了独立的密钥分发和管理开销，基于事后追查的回溯方法所采用的回溯算法复杂，并且是事后措施，而基于事前预防的过滤验证方法可以实时的在分组转发过程中对真实地址进行验证，在实际应用中最为合理。

互联网由很多自治系统组成，各个自治系统决定自己的路由策略和管理机制，各个自治系统有自己的地址前缀范围，负责管理该地址前缀范围的管理和使用。自治系统间的真实IP源地址验证是一个非常重要的问题，它的目标是确保在网络中的分组应该来自拥有该分组源地址所有权的自治系统。

本发明采用事前预防的过滤验证策略，是一种基于自治系统互联关系的自治系统间真实IPv6源地址验证方法。该方法具有配置简单和可以在分组转发的过程中实时验证分组源IP地址的真实性的特点，便于运营商部署，适用于复杂拓扑结构下的IPv6网络，实现自治系统间的真实IP地址访问，为可信任的下一代互联网安全服务和应用提供支持，是高可信下一代互联网整体技术框架中的重要组成部分。

发明内容

本发明的目的在于提供一种IPv6网络上基于自治系统互联关系的真实源地址验证方法。

本发明所提出的方法的思路在于利用自治系统互联关系，在自治系统边界路由器上生成和每一个路由器接口关联的真实IPv6源地址验证规则表，并利用其在自治系统边界路由器上对伪造IPv6源地址的的分组进行验证检查。

本发明的特征在于所述方法是在由验证规则生成引擎、验证引擎和自治系统号到IPv6地址前缀映射服务器组成的系统中依次按以下步骤实现：

步骤(1)，每个自治系统有一个专用服务器，称为验证规则生成引擎，其上拥有两个数据表，一个是与该自治系统相邻接的自治系统列表，一个是该自治系统所拥有的验证引擎的IP地址列表，每个自治系统的验证规则生成引擎初始化，读邻接自治系统表和本自治系统的验证引擎表，分别与邻接自治系统的验证规则生成引擎和本自治系统的各个验证引擎建立TCP连接；

步骤(2)，各个自治系统的验证规则生成引擎生成验证规则更新，目的是把该自治系统的源地址空间信息发给邻居，这一信息用自治系统号表示；

步骤(3)，一个自治系统的验证规则生成引擎收到来自邻居自治系统的验证规则生成引擎发来的更新，查导出规则表来判断是否接受这一地址空间和判断是否将其转发给其他邻居自治系统，这里导出规则表按照如下规则确定是否将自己所收到的来自其他自治系统的合法真实地址前缀集合向其他相邻自治系统传递：

其一，一个自治系统将它自己的，它客户自治系统的，以及它兄弟自治系统的真实地址空间集合传递给它的服务者自治系统和对等互联自治系统；

其二，一个自治系统将它自己的，它客户自治系统的，它兄弟自治系统的，它服务者自治系统的，它对等互联自治系统的真实地址空间集合传递给它的客户自治系统和兄弟自治系统；

步骤(4)，如果这一次的验证规则更新被该自治系统的验证规则生成引擎接受，查自治系统号到IPv6地址前缀映射表，将以自治系统号形式表达的验证规则转换为以IPv6地址前缀形式表达的验证规则；

步骤(5)，该验证规则生成引擎将新生成的以IPv6地址前缀形式表示的验证规则下装到本自治系统的各个边界路由器上的验证引擎；

步骤(6)，该自治系统边界路由器上的验证引擎利用生成的验证规则验证检查转发的IP分组是否具有真实地址，如果真实则转发分组，如果不真实则丢弃分组。

本发明所提出的基于自治系统互联关系的IPv6网络下自治系统间真实源地址验证方法，具有配置简单和可以在分组转发的过程中实时验证分组源IP地址的真实性的特点，便于运营商部署，适用于复杂拓扑结构下的IPv6网络，目前清华大学已经将该项研究成果运用在下一代互联网实验床和CNGI—CERNET2上，以此为基础，构建可信任下一代互联网。我们计划在下一代网络建设中，进一步验证推广本发明。

附图说明

图1.基于自治系统互联关系的真实IPv6源地址验证方法原理图；

图2.基于自治系统互联关系的真实IPv6源地址验证方法导出规则表；

图3.基于自治系统互联关系的真实IPv6源地址验证方法协议流程图；

图4.基于自治系统互联关系的真实IPv6源地址验证方法部署实例。

具体实施方式

本发明的实现系统由三个部分组成，如图1所示，验证规则生成引擎，验证引擎，和自治系统号到IPv6地址映射服务器。而验证规则的表现形式是IPv6地址前缀的集合。

●验证规则生成引擎生成验证规则，一个自治系统一台，采用Linux服务器实现；

●验证引擎则利用验证规则生成引擎下装的验证规则，验证转发的IP分组的源地址的真实性，采用Linux主机模拟数据链路层设备，部署于自治系统边界路由器的每一个接口上；

●而自治系统号到IPv6地址映射服务器维护一个从自治系统号映射到属于该自治系统的一组IPv6地址前缀的目录服务。

依据自治系统是否提供流量穿越和自治系统与其他自治系统的连接情况，可以将自治系统划分为多连接非穿越自治系统，多连接穿越自治系统和单连接非穿越自治系统三类。

而自治系统互联关系则具有以下四类：

●客户到服务者关系和服务者到客户关系，其中服务者自治系统为客户自治系统提供穿越服务；

●兄弟关系，两个自治系统互相提供穿越服务；

●对等互联关系，两个自治系统互相提供到对方内部的访问。

图3指出了本发明所提出的基于自治系统互联关系的IPv6网络下自治系统间真实源地址验证方法的的具体协议交互流程。

首先，每个自治系统的验证规则生成引擎初始化，读邻接自治系统表和本自治系统的验证引擎表，分别与邻接自治系统的验证规则生成引擎和本自治系统的各个验证引擎建立TCP连接；

然后，各个自治系统的验证规则生成引擎生成验证规则更新，目的是把该自治系统的源地址空间信息发给邻居，这一信息用自治系统号表示；

其三，一个自治系统的验证规则生成引擎收到来自邻居自治系统的验证规则生成引擎发来的更新，查导出规则表来判断是否接受这一地址空间和判断是否将其转发给其他邻居自治系统。

导出规则表，如图2所示，按照如下四条规则确定是否将自己所收到的来自其他自治系统的合法真实地址前缀集合向其他相邻自治系统传递：

●一个自治系统将它自己的，它客户自治系统的，以及它兄弟自治系统的真实地址空间集合传递给它的服务者自治系统；

●一个自治系统将它自己的，它客户自治系统的，以及它兄弟自治系统的真实地址空间集合传递给它的对等互联自治系统；

●一个自治系统将它自己的，它客户自治系统的，它兄弟自治系统的，它服务者自治系统的，它对等互联自治系统的真实地址空间集合传递给它的客户自治系统；

●一个自治系统将它自己的，它客户自治系统的，它兄弟自治系统的，它服务者自治系统的，它对等互联自治系统的真实地址空间集合传递给它的兄弟自治系统。

其四是验证规则翻译，如果这一次的验证规则更新被该自治系统的验证规则生成引擎接受，查自治系统号到IPv6地址前缀映射表，将以自治系统号形式表达的验证规则转换为以IPv6地址前缀形式表达的验证规则；

最后，该验证规则生成引擎将新生成的以IPv6地址前缀形式表示的验证规则下装到本自治系统的各个边界路由器上的验证引擎；

当分组流通过自治系统的边界路由器时，变该自治系统边界路由器上的验证引擎利用生成的验证规则验证检查转发的IP分组是否具有真实地址，如果真实则转发分组，如果不真实则丢弃分组。

具体的实验环境见图4，我们在实验环境中模拟了四个自治系统。各自治系统全部部署了本方案。从自治系统4发送伪造分组经过自治系统1的时候，可以看到伪造源地址的分组在自治系统1的边界就被验证规则检查然后丢弃了。而当我们从自治系统2发送源地址真实的分组到自治系统3的时候，可以看到分组正常通过。

实验证明，本发明配置简单，可以在分组转发的过程中实时验证分组源IP地址的真实性，而且便于运营商部署。

Claims (1)

1.一种基于自治系统互联关系的真实IPv6源地址验证方法，其特征在于所述方法是在由验证规则生成引擎、验证引擎和自治系统号到IPv6地址前缀映射服务器组成的系统中依次按以下步骤实现：

步骤(1)，每个自治系统有一个专用服务器，称为验证规则生成引擎，其上拥有两个数据表，一个是与该自治系统相邻接的自治系统列表，一个是该自治系统所拥有的验证引擎的IP地址列表，每个自治系统的验证规则生成引擎初始化，读邻接自治系统表和本自治系统的验证引擎表，分别与邻接自治系统的验证规则生成引擎和本自治系统的各个验证引擎建立TCP连接；

步骤(2)，各个自治系统的验证规则生成引擎生成验证规则更新，目的是把该自治系统的源地址空间信息发给邻居，这一信息用自治系统号表示；

步骤(3)，一个自治系统的验证规则生成引擎收到来自邻居自治系统的验证规则生成引擎发来的更新，查找“导出规则表”来判断是否接受这一地址空间和判断是否将其转发给其他邻居自治系统，这里“导出规则表”按照如下规则确定是否将自己所收到的来自其他自治系统的合法真实IPv6地址前缀空间集合向其他相邻自治系统传递：

其一，一个自治系统将它自己的，它客户自治系统的，以及它兄弟自治系统的真实IPv6地址前缀空间集合传递给它的服务者自治系统和对等互联自治系统；

其二，一个自治系统将它自己的，它客户自治系统的，它兄弟自治系统的，它服务者自治系统的，它对等互联自治系统的真实IPv6地址前缀空间集合传递给它的客户自治系统和兄弟自治系统；

步骤(4)，如果这一次的验证规则更新被该自治系统的验证规则生成引擎接受，查自治系统号到IPv6地址前缀映射服务器，将以自治系统号形式表达的验证规则转换为以IPv6地址前缀形式表达的验证规则；

步骤(5)，该验证规则生成引擎将新生成的以IPv6地址前缀形式表示的验证规则下装到本自治系统的各个边界路由器上的验证引擎；

步骤(6)，该自治系统边界路由器上的验证引擎利用生成的验证规则验证检查转发的IP分组是否具有真实地址，如果真实则转发分组，如果不真实则丢弃分组。

Images