CN101163002A - 一种高效组播认证方法 - Google Patents

Abstract

本发明公开一种高效组播认证方法，涉及组播通信技术，为解决现有技术中当用户请求报文较多时，现有设备的认证能力不强的问题而发明。本发明接入设备接收用户的加入或离开IGMP报文，转发给认证设备；认证设备收到用户的加入或离开IGMP报文并进行认证，然后将认证后的报文合并为认证类型IGMP报文返回给接入设备；接入设备根据接收到的认证类型IGMP报文形成转发表。通过合并用户的IGMP报文，分别进行认证，将认证后的报文再合并，减少了报文，提高了组播认证能力。

Description

一种高效组播认证方法

技术领域

本发明涉及组播通信技术，尤其涉及一种用来实现提高组播认证能力的方法。

背景技术

目前的数据网络上开展的组播视频业务一般采用如图1所示的组网模型：网络系统包括视频业务系统、IP城域网、宽带接入网和用户网络四个组成部分。

视频业务系统实现视频用户管理和视频编码等功能，将视频业务流送入城域网；IP城域网通过IP组播功能将视频业务流送到宽带接入网；宽带接入网实现用户宽带上网接入认证管理、视频组加入/离开控制功能，并将用户所需的视频流发送给用户；用户网络包含CPE(用户驻地设备)、PC、视频STB(机顶盒)等设备，这些设备内部互联形成一个家庭局域网，用户如果需要加入或离开某一个频道，那么就需要发送IGMP(互联网组播成员管理协议)加入或离开报文。

宽带接入网一般包括汇聚交换机和边缘设备如DSLAM(数字用户线接入复用器)。当用户比较多时，就需要汇聚交换机有很强的对IGMP报文的处理能力。虽然在边缘设备上可以采用IGMP PROXY(代理)功能，当用户可以选择的频道比较多时，抑制的报文是有限的。

PC或者STB点播组播节目时，采用发送IGMP REPORT加入报文的方式。IGMP有三个版本，分别为V1，V2，V3，目前一般采用IGMPV2。当IP报头的协议号为2时，表明是IGMP报文。IGMPV2报文内容格式如图2所示：

Type：表示IGMP报文类型。

0x16成员报告报文，表示加入一个组；

0x17离开报文，表示离开一个组；

0x11成员查询，组播路由器用来查询是否有用户存在，分为通用查询和特定查询。特定查询是查询某个组是否存在用户；通用查询是查询哪个组有用户。

Max Response Time最大响应时间，缺省值为10秒，即收到查询报文后，在此时间内响应发送REPORT报文。

Group Address组地址，表示要加入或者离开或者特定查询的组地址。

即当一个用户加入一个频道，需要发送一个加入报文；是否允许用户加入，那么就需要认证。当接入设备收到加入报文，转发到认证设备；认证通过以后，再把认证通过消息发给接入设备，接入设备据此形成转发表。当认证在汇聚设备上进行时，如果用户比较多和可选择的频道比较多时，处理的报文比较多，就需要汇聚设备比较大的处理能力。

发明内容

为了克服上述缺陷，本发明的目的在于提供一种提高组播认证能力的方法。

为达到上述目的，本发明一种高效组播认证方法，包括如下步骤：

(1)接入设备接收用户的加入或离开IGMP报文，转发给认证设备；

(2)认证设备收到用户的加入或离开IGMP报文并进行认证，然后将认证后的报文合并为认证类型IGMP报文返回给接入设备；

(3)接入设备根据接收到的认证类型IGMP报文形成转发表。

优选的，所述步骤(1)中：接入设备接收到多用户的加入或离开IGMP报文，先合并所述多用户的IGMP报文形成多用户IGMP报文，再转发给认证设备；

所述步骤(2)具体为：认证设备收到所述的多用户IGMP报文，正确分解成加入报文或/和离开报文，并分别进行认证，将认证结果再进行合并形成新的认证类型IGMP报文，返回给接入设备。

优选的，用户的加入或离开IGMP报文如果是单用户报文，认证设备对该用户的IGMP报文认证通过后进行合并，并将合并后的认证类型IGMP报文返回给接入设备。

优选的，认证设备对其收到的多用户IGMP报文进行认证时，判断该用户的IGMP报文是加入报文，则将不允许加入的用户报文从合并的报文中扣除；判断该用户的IGMP报文是离开报文且该用户没有加入，则将该用户的报文从所述的多用户IGMP报文中扣除。

优选的，认证设备对其收到的用户的IGMP报文进行认证时：如果是加入报文，判断是否允许加入，若允许加入，则记录合法用户；若不允许加入，记录非法用户；如果是离开报文，判断是否已经加入，若已经加入，记录用户离开；若没有加入，则记录非法用户。

优选的，认证设备可以对原来合并过的报文再次进行合并。

优选的，在认证设备侧设定一个定时器，如果定时周期到达时或认证设备认证后的认证类型IGMP报文达到最大传输单位时，认证设备将该认证类型IGMP报文立即返回给接入设备。

优选的，所述步骤(3)具体为：接入设备接收的认证类型IGMP报文如果是加入报文，记录用户信息，判断此用户是否已经加入组播转发表，如果没有，在组播转发中增加此用户所在端口，如果已经加入，更新用户的老化时间；

接入设备接收的认证类型IGMP报文如果是离开报文，判断此用户是否已经加入组播转发表，如果已经加入，从组播转发表中删除此用户所在端口，如果没有，退出。

优选的，在接入设备侧设定一个定时器，如果定时周期到达时或接入设备合并后的多用户IGMP报文达到最大传输单位时，接入设备将该多用户IGMP报文立即发送给认证设备；

如果定时周期未到且合并后的多用户IGMP报文尚未发送，又收到相同用户的IGMP报文，则以覆盖方式将该用户的IGMP报文合并到尚未发送多用户IGMP报文中。

优选的，步骤(1)中，接入设备接收多用户的加入或离开IGMP报文时，需要记录下用户的IP地址、用户多媒体访问控制地址、用户所在端口号；之后在接入设备给认证设备发送合并后的多用户IGMP报文时，同时携带所述用户自身的多媒体访问控制地址。

本发明通过合并用户IGMP报文，形成一个新的类型IGMP报文，然后再分别认证，形成合并的认证报文，从而减少报文，提高组播认证的能力。

附图说明

图1是组播视频系统的组网结构示意图；

图2是IGMPV2报文格式；

图3是本发明的用户合并IGMP报文格式；

图4是本发明的一个用户的具体填充格式；

图5是本发明的设备间流程；

图6是汇聚设备收到通用查询报文的情况下的流程；

图7是本发明的多用户IGMP报文到认证报文的转化(用户3加入G4没有被认证通过)；

图8是认证功能在汇聚设备上的部分组网结构示意图；

图9是认证设备独立的部分组网结构示意图。

具体实施方式

下面结合附图对本发明技术方案作进一步地说明：为了保证一旦用户提出申请，就可以直接从上游路由器收到数据流，从而保证IPTV业务流的延迟和切换频道时间问题，往往采用配置静态组播的方法，建立业务接入控制点到组播源间的组播数据透明通道。

图5所示的是本发明的设备间流程，合并的多用户IGMP报文类型为0xef，认证后合并形成的认证类型IGMP报文的类型为0xee；认证设备是指对用户IGMP报文进行认证，判断用户是否能够加入组，以及对用户进行管理的设备。如汇聚交换机或者专门的服务器。其在实施过程中具有如下特征：

1、认证设备收到用户终端的加入或离开IGMP报文，进行认证，认证结果能够进行合并，并形成新的认证类型IGMP报文，并能够发回接入设备；

2、收到合并的多用户IGMP报文，能正确的分解成加入报文和离开报文，并分别进行认证，认证完成后，发回接入设备。

多用户IGMP报文是合并多个用户IGMP报文后形成一种新的类型的IGMP报文。其格式可以如图3，图4所示；

认证类型IGMP报文，是指对多用户IGMP报文认证通过以后形成的一种新的类型的IGMP报文。格式与多用户IGMP报文相同。

在特征1中，认证设备收到用户终端的报文如果是加入报文，进行认证，判断是否可以加入，如果允许加入，记录合法用户；如果不允许加入，记录非法用户，如果属于合并的报文，从合并的IGMP报文中扣除；如果是离开报文，判断是否已经加入，如果没有加入，记录非法用户，如果已经加入，记录用户离开，如果属于合并的报文，从合并的IGMP报文中扣除。

如果合并报文中的所有认证完毕，把合并的报文类型修改为认证类型，并重新计算检验和，发送给接入设备。

如果是单个用户的报文，可以将认证通过的报文进行合并。

为了达到合并的效果，可以对原来合并的认证完的报文再次进行合并。

认证设备只能对来源于同一个接入设备的用户报文才能合并到同一个报文。

在认证设备侧设置一定时器，认证设备合并的报文，如果定时器周期时间到，或者达到MTU(最大传输单元)，就发回接入设备。

接入设备是指与用户终端设备或者用户网络相连的，能够处理IGMP报文的通信设备，包括DSLAM(Digital Subscriber Line Access Multiplexer，数字用户接入服务端)，二层交换机等。接入设备在实施过程中具有如下特征：

1、接入设备收到多用户认证报文，能够正确的接收认证报文并分解成加入报文和离开报文。

如果是加入报文，接入设备记录用户信息，判断此用户是否已经加入组播转发表，如果没有，在组播转发中增加此用户所在端口；如果已经加入，更新用户的老化时间；

如果是离开报文，判断此用户是否已经加入组播转发表，如果已经加入，从组播转发表中删除此用户所在端口；如果没有则退出。

2、接入设备能够正确接收用户的IGMP报文，并且能够对IGMP报文进行合并，合并后发向认证设备。

但接入设备需要记录下用户的特征信息：用户IP地址，用户MAC地址，用户所在的端口号等，以便合并IGMP报文。

为了能够及时发送合并后的IGMP报文，需要在接入设备侧设定一个定时器，其定时周期缺省为20毫秒，大小可以调节。

如果定时周期没有到，而合并后的报文已经达到MTU(最大传输单位)，可以立即发送给认证设备。

如果合并后的报文还没有发送，又收到一个用户的IGMP报文，尚未发送的合并后的报文中有此用户的IGMP报文内容，可以清除此用户的内容，合并最新的此用户的IGMP报文。

为使认证设备能够知道属于哪一个接入设备的用户，发送合并报文的源MAC地址为接入设备的MAC地址。

本发明主要是通过在认证设备上合并认证通过以后的消息，形成新的IGMP报文类型，从而减少接入设备，认证设备间的通信量，降低认证设备CPU处理时间，提高认证组播处理能力；为进一步减低通信量，可以在接入设备事先就合并用户IGMP报文，减低认证设备的处理时间。

如图8所示的组网图，认证功能就在汇聚设备上。

三个视频终端，其MAC地址分别为MAC1，MAC2，MAC3，IP地址分别为IP1，IP2，IP3，接在用户汇聚设备的端口1，2，3；网络中有4个组播频道，分别为G1，G2，G3，G4；视频终端用户可以加入不同的组播频道。

接入设备上启动定时发送多用户IGMP加入离开报文的定时器，其周期时长可以根据网络实际情况来设置，缺省为20毫秒。

视频终端1发送IGMP REPORT(IGMP请求加入)，请求加入组播频道G1，接入设备上收到了加入报文，按照图3，图4的格式组织IGMP新的报文类型。用户记录Host Records为1，用户的IP地址，MAC地址从报文中取，并且在TLV中记录用户在本线卡上的端口号。如果定时到，计算形成新的报文的检验和，同时新的IGMP报文就发送给认证设备；如果定时周期没到，第二个视频终端2请求加入组播频道G2，将终端2的信息合并到新的IGMP中，用户记录Host Records加1为2，同样IP2，MAC2从报文中取，在TLV中记录端口号。如果定时器到，计算检验和，把记录着两个用户信息的报文发送到认证设备。第三个视频终端从组播频道G3切换到组播频道G4，最终Host Records为4，第3个Host Records是第3个视频终端离开组播频道G3的报文，而第4个Host Records是第3个视频终端加入组播频道G4的报文。

认证设备收到合并的IGMP报文：

步骤811：检验IGMP报文检验和是否出错，如果出错，丢弃。如果正确，执行步骤812；

步骤812：解析出4个IGMP报文，并且取出各用户信息。区分是何种报文类型，如果是加入报文，执行步骤813，如果是离开报文，执行步骤814；

步骤813：对第一个视频终端信息IP1，MAC1是否能够加入到接入设备相对应的端口和组播频道G1进行认证，如果不允许加入，把用户1从合并报文中删除；如果认证设备就是组播复制点，那么需要形成G1的组播转发表。对视频终端2同样处理；

步骤814：判断IP3，MAC3是否已经加入G3，如果没有加入，从合并报文中删除用户3的离开报文。如果认证设备就是组播复制点，那么需要判断在认证设备上组播频道G3，接入设备所在认证设备的端口上是不是最后一个用户，如果是，从转发表中删除出口。IP3，MAC3加入G4同步骤813；

步骤815：把合并报文的类型修改为认证类型，修改Number of Host Records，重新计算检验和，并且发回接入设备。图7是视频终端3加入组播频道G4没有被认证通过的报文。

接入设备收到认证通过报文，进行如下处理：

步骤821：检验IGMP报文检验和是否出错，如果出错，丢弃。如果正确，执行下面步骤；

步骤822：分解出加入报文和离开报文；

步骤823：如果是加入报文，判断此用户是否已经加入，如果没有加入，增加此用户所在的出口到转发表中；

步骤824：如果是离开报文，判断此用户是否已经加入，如果加入，判断此用户所在的端口中所加入的相同组中有没有其他用户，如果没有，从转发表中删除此端口。

如果组播复制点在汇聚设备(如图6所示)，收到汇聚设备的通用查询报文后，需要把所有组的所有在线用户信息合并到多用户IGMP加入报文，并且发送。如果合并后的报文比较多，可以在最大响应时间内均匀发送。如果是特定查询报文，只需要合并特定组的所有在线用户信息就可以。

如果组播复制点在接入设备，收到汇聚设备的查询报文，可以直接退出。

组播复制点：即用户IGMP请求的终结点，在组播复制点，网络设备根据端口是否有IGMP请求向端口复制组播流，组播复制点越接近用户越能节省网络带宽。

图9所示的组网图，是认证功能在专门的设备上，即与汇聚设备分离。也区分组播复制点在接入设备和组播复制点在汇聚设备的情况。

组播复制点在接入设备上且在接入设备上发送多用户IGMP报文的过程如下：

步骤911：接入设备收到用户的IGMP加入报文，判断此用户是否已经加入成功，即是否已经认证通过，如果已经认证通过，只需更新老化时间；如果还没有加入，合并成多用户IGMP报文；

步骤912：收到用户的离开报文，判断此用户是否已经加入，如果已经加入，合并成多用户IGMP报文；

步骤913：合并报文中如果有此用户的以前的相同组的报文，那么删除老的报文，合并新的报文；

步骤914：如果定时器时间到，或者多用户IGMP报文达到MTU，计算检验和，发送给认证设备。

认证设备收到多用户IGMP报文的处理过程：

步骤921：对多用户IGMP报文进行检验，如果错误，退出；如果正确，分解成各IGMP报文；

步骤922：如果是用户加入报文，进行认证判断，是否能够加入，如果不能够加入，从多用户IGMP报文中扣除；

步骤923：如果是离开报文，通知认证；

步骤924：分解的报文都处理完以后，修改报文类型为认证通过类型，重新计算检验和，发回接入设备。

接入设备收到认证通过的报文，进行分解，如果是加入报文，把用户出口加到转发表中；如果是离开报文，从转发表中删除出口。

组播复制点在汇聚设备上的情况，除了与组播复制点在接入设备上完全相同以外，还多了一个向汇聚设备发送多用户IGMP报文的过程，以便把组播流引向接入设备：

下面是向汇聚设备上发送多用户IGMP报文的过程，在起IGMP PROXY代理的情况下：

步骤931：收到用户的IGMP加入报文，判断此用户所加入的组有没有其他用户，如果没有其他用户，合并成多用户IGMP报文，合并时用户MAC地址，用户IP地址可以填0；

步骤932：收到用户的离开报文，首先判断此用户有没有加入，如果没有加入，退出；如果有加入，判断此用户所加入的组有没有其他用户，如果没有，合并成多用户IGMP报文；

步骤933：合并报文中如果有此用户的以前的相同组的报文，那么删除老的报文，合并新的报文；

步骤934：如果定时器时间到，或者多用户IGMP报文达到MTU，计算检验和，发送给汇聚设备；

下面是向汇聚设备上发送多用户IGMP报文的过程，没有起IGMP PROXY代理的情况：

步骤941：收到用户的IGMP加入报文，合并成多用户IGMP报文，合并时用户MAC地址，用户IP地址可以填0；

步骤942：收到用户的离开报文，合并成多用户IGMP报文；

步骤943：合并报文中如果有此用户的以前的相同组的报文，那么删除老的报文，合并新的报文；

步骤944：如果定时器时间到，或者多用户IGMP报文达到MTU，计算检验和，发送给汇聚设备。

如果收到汇聚设备的通用查询报文，把所有组的信息合并成多用户IGMP报文，合并时一个组对应一个用户，发送给汇聚设备。如果合并后的IGMP报文比较多，在最大响应时间内均匀发送。

如果收到汇聚设备的特定查询报文，发特定组的加入报文就可以了。

本发明通过合并用户IGMP报文，形成一个新的类型的IGMP报文，然后再分别认证，形成合并的认证报文，从而减少报文，提高组播认证的能力。

Claims (10)

1.一种高效组播认证方法，其特征在于，包括如下步骤：

(1)接入设备接收用户的加入或离开IGMP报文，转发给认证设备；

(2)认证设备收到用户的加入或离开IGMP报文并进行认证，然后将认证后的报文合并为认证类型IGMP报文返回给接入设备；

(3)接入设备根据接收到的认证类型IGMP报文形成转发表。

2.根据权利要求1所述的高效组播认证方法，其特征在于，所述步骤(1)中：接入设备接收到多用户的加入或离开IGMP报文，先合并所述多用户的IGMP报文形成多用户IGMP报文，再转发给认证设备；

所述步骤(2)具体为：认证设备收到所述的多用户IGMP报文，正确分解成加入报文或/和离开报文，并分别进行认证，将认证结果再进行合并形成新的认证类型IGMP报文，返回给接入设备。

3.根据权利要求1所述的高效组播认证方法，其特征在于，用户的加入或离开IGMP报文如果是单用户报文，认证设备对该用户的IGMP报文认证通过后进行合并，并将合并后的认证类型IGMP报文返回给接入设备。

4.根据权利要求2所述的高效组播认证方法，其特征在于，认证设备对其收到的多用户IGMP报文进行认证时，判断该用户的IGMP报文是加入报文，则将不允许加入的用户报文从合并的报文中扣除；判断该用户的IGMP报文是离开报文且该用户没有加入，则将该用户的报文从所述的多用户IGMP报文中扣除。

5.根据权利要求2所述的高效组播认证方法，其特征在于，认证设备对其收到的用户的IGMP报文进行认证时：如果是加入报文，判断是否允许加入，若允许加入，则记录合法用户；若不允许加入，记录非法用户；如果是离开报文，判断是否已经加入，若已经加入，记录用户离开；若没有加入，则记录非法用户。

6.根据权利要求1或2所述的高效组播认证方法，其特征在于，认证设备可以对原来合并过的报文再次进行合并。

7.根据权利要求1或2所述的高效组播认证方法，其特征在于，在认证设备侧设定一个定时器，如果定时周期到达时或认证设备认证后的认证类型IGMP报文达到最大传输单位时，认证设备将该认证类型IGMP报文立即返回给接入设备。

8.根据权利要求1或2所述的高效组播认证方法，其特征在于，所述步骤(3)具体为：接入设备接收的认证类型IGMP报文如果是加入报文，记录用户信息，判断此用户是否已经加入组播转发表，如果没有，在组播转发中增加此用户所在端口，如果已经加入，更新用户的老化时间；

接入设备接收的认证类型IGMP报文如果是离开报文，判断此用户是否已经加入组播转发表，如果已经加入，从组播转发表中删除此用户所在端口，如果没有，退出。

9.根据权利要求2所述的高效组播认证方法，其特征在于，在接入设备侧设定一个定时器，如果定时周期到达时或接入设备合并后的多用户IGMP报文达到最大传输单位时，接入设备将该多用户IGMP报文立即发送给认证设备；

如果定时周期未到且合并后的多用户IGMP报文尚未发送，又收到相同用户的IGMP报文，则以覆盖方式将该用户的IGMP报文合并到尚未发送多用户IGMP报文中。

10.根据权利要求2所述的高效组播认证方法，其特征在于，步骤(1)中，接入设备接收多用户的加入或离开IGMP报文时，需要记录下用户的IP地址、用户多媒体访问控制地址、用户所在端口号；之后在接入设备给认证设备发送合并后的多用户IGMP报文时，同时携带所述用户自身的多媒体访问控制地址。

Images