CN101185309A - 主机标识协议方法和设备 - Google Patents

主机标识协议方法和设备 Download PDF

Info

Publication number
CN101185309A
CN101185309A CNA2006800184668A CN200680018466A CN101185309A CN 101185309 A CN101185309 A CN 101185309A CN A2006800184668 A CNA2006800184668 A CN A2006800184668A CN 200680018466 A CN200680018466 A CN 200680018466A CN 101185309 A CN101185309 A CN 101185309A
Authority
CN
China
Prior art keywords
association
tube
hip
host
connection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2006800184668A
Other languages
English (en)
Other versions
CN101185309B (zh
Inventor
P·A·乔克拉
J·M·梅伦
R·武皮翁佩拉
S·皮雷尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Clastres LLC
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN101185309A publication Critical patent/CN101185309A/zh
Application granted granted Critical
Publication of CN101185309B publication Critical patent/CN101185309B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/04—Protocols specially adapted for terminals or networks with limited capabilities; specially adapted for terminal portability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Communication Control (AREA)

Abstract

提供一种使用主机标识协议HIP在第二主机(32)与第一主机(10)上的应用套接字(42)之间建立连接的方法，该方法包括如下步骤：在第一和第二主机(30、32)之间建立新的HIP安全关联(46)或选择现有的HIP安全关联(46)，在应用套接字(42)与安全关联(46)之间建立新Tube关联(44)或选择现有的Tube关联(44)，所述Tube关联由Tube标识符标识，为应用套接字(42)、安全关联(46)与Tube关联(44)之间的连接构成关联(43、45)，由此经由安全关联(46)和Tube关联(44)在第二主机(32)与第一主机(30)上的应用套接字(42)之间建立连接。

Description

主机标识协议方法和设备
技术领域
本发明涉及主机标识协议方法和设备。
背景技术
在最初设想因特网时，主机在位置上是固定的，并且用户之间存在隐含的信任(尽管缺乏真实的安全或主机标识协议)，随着这种技术更广泛地实施和应用，此情况也在延续。因为计算机体积上相对较大且不可移动，所以很少有需要考虑用于处理主机移动性的技术。
随着90年代初期电信和计算机业的发展，较小的通信设备和计算机变得更加广泛普及，万维网的发明以及随机产生的所有服务最终使因特网对于普通人都具有吸引力。网络和移动电信的持续增加使用率的组合构成对因特网中安全移动性管理的需求。
参与方持续增加的数量和某些服务所需的金钱交易也构成对增加的应用级安全的需求。目前，最广泛采用的加密协议(例如SSL/TLS)一直在上层网络层(例如TCP)内运行。
考虑到上文的移动性管理和安全问题，引入了移动IP标准(C.Perkins，″IP Mobility Support for IPv4″，RFC 3220，IETF，2002)和移动IPv6标准(D.Johnson，C.Perkins，J.Arkko，″Mobility Support in IPv6″，RFC3775，IETF，2004)。将这些规范一起规划以提供对下一代因特网的移动性支持。安全工作正在以IPsec以及相关的活动(例如多种密钥交换协议)形式开发，其目标是提供IP层中的安全。但是，经验显示使用目前的标准达到组合起来的安全和移动性非常难。
IP地址描述网络中节点的拓扑位置。使用IP地址将分组从源节点路由到目的地。同时，还使用IP来标识节点，从而在一个实体上提供两种不同的功能。这类似于人们在被问到他们是谁时以他们的家庭地址回应一样。当还要考虑移动性时，情况变得更为复杂：因为IP地址作为此方案中的主机标识符，所以必须不得改变它们；但是，因为IP地址还描述拓扑位置，所以它们在主机更改其在网络中的位置时必定会改变。显然，同时实现稳定性和动态改变是不可能的。
在移动IP的情况中，解决方案是使用提供节点的“归属位置地址”的固定归属位置。归属位置地址同时标识节点和提供它处于归属位置中时的稳定位置。当前位置信息以转交(care-of)地址的形式提供，转交地址在节点离开归属位置时用于路由选择目的。
该问题的另一个解决方案是将标识功能和位置功能彼此分离，这是主机标识协议(HIP)提议(R.Moskowitz，P.Nikander，P.Jokela，″Host Identity Protocol″，因特网草案，工作进行中，draft-ietf-hip-base-05，IETF，2006年)中采取的方法。HIP通过引入新名称空间主机标识(HI)将IP地址的位置和标识作用分离。在HIP中，主机标识基本是公用密钥-私用密钥对的公共加密密钥，它从私用密钥生成并链接到私用密钥。公用密钥标识持有私用密钥的唯一副本的一方。拥有密钥对的私用密钥的主机可以直接证明它“拥有”用于在网络中标识它的公用密钥。这种分离也提供以安全方式处理移动性和多归属(multi-homing)的方式。
下文更详细地论述HIP，但是它不是有关位置与标识分离的设想的唯一提议。FARA(D.Clark，R.Braden，A.Falk，V.Pingali，″FARA：Reorganizing the Addressing Architecture″，ACM SIGCOMM 2003Workshops，August 25&27，2003)是一种提供可以得到实际体系结构的框架的通用化设想模型。FARA可以在验证节点标识时利用HIP，因此HIP可以是特定FARA实例化的一部分。PeefNet提议(J.Eriksson，M.Faloutsos，S.Krishnamurthy，″PeerNet：Pushing Peer-to-Peer Downthe Stack″，IPTPS′03，2003年2月20-21日)也论述了位置与标识的分离。因特网间接基础设施I3(I.Stoica等人所著″Internet IndirectionInfrastructure″，ACM SIGCOMM′02，2002年8月19-23日)也定义了标识与路由选择信息之间的分离。
主机标识协议在IP层引入位置与标识信息之间的分离。除了这种分离外，定义了一种协议以在启用HIP的节点之间协商安全关联(SA)。
利用HIP，每个主机具有一个或多个标识，此一个或多个标识可以是长期的或短期的，可以用于在网络中标识该主机。利用HIP，标识符是公用密钥-私用密钥对的公用密钥。当主机拥有私用密钥时，它可以证明它实际“拥有”公用密钥表示的此标识；这类似于显示ID卡。
每个主机可以生成仅短期使用的短期密钥。这些提议在节点无需在后来利用相同标识进行标识时有用。例如，从书店购买图书可以是长期关系，而联系一次服务器以收集用户简介信息可以被视为短期动作。在后一种情况中，可以创建短期标识来避免长期标识更广泛地散布。
作为公用密钥的HIP主机(HI)可能是非常长时间的，因此并非在所有情况中都是可行的。在HIP中，利用通过对HI散列处理由HI生成的128-位长主机标识标记(HIT)来表示HI。因此，HIT标识HI。因为HIT是128位长，所以由于其刚好与IPv6地址一样长而可以将其直接用于IPv6应用。
主机标识的另一个表示是本地范围标识符(LSI)，它是主机标识的32位表示。LSI的目的是使在现有协议和API中使用主机标识更便利。例如，因为LSI长度与IPv4地址相同，所以可以将其直接用于IPv4应用。虽然本说明书的余下大部分是围绕较长HIT的使用来论述的，但是将认识到相同或相似的考虑适用于备选的LSI表示。
当使用HIP时，上层(包括应用层)不再看到IP地址。相反，它们看到HIT作为目的地主机的“地址”。在新层隐藏位置信息，下文将对此进行描述。IP地址不再标识节点；它们仅用于在网络中路由发送分组。
应用通常对位置信息不感兴趣，但是需要知道它们的对方的标识。该标识由HIT来表示。这意味着IP地址仅对于涉及路由选择的较下层是重要的。在任何分组离开主机之前，可以将应用所采用的HIT映射到对应的IP地址。这在新主机标识层中实现，下文将对此进行描述。
附图中的图1图示HIP中的多个不同层，包括标准传输层4、网络层8和链路层10，其中进程2与其下方的传输层4通信。利用HIP，将新的主机标识层6布置在传输层4与网络层8之间。
在本地，将每个HI及其关联的HIT映射到节点的IP地址。当分组离开主机时，(通过任何方式)选择正确的路由和将对应的IP地址作为源地址和目的地地址置于分组中。从上层到达的每个分组包含对方的HIT以作为目的地地址。可以在HI层6发现HIT与位置信息之间的映射。因此，将目的地地址转换成映射的IP地址，并将源HIT转换成源IP地址。
可以采用多种方式检索对方HIT与IP地址之间的映射，其中一种是从DNS服务器进行检索。可以通过对方节点在任何时候更新位置信息。下文将此更新过程进行更详细的论述。
HIP定义包含四个消息、四程握手的基础消息交互，这用于创建启用HIP的主机之间的安全关联(SA)。在消息交换期间，Diffie-Hellman过程用于创建会话密钥，并建立一对节点之间的IPscc封装安全有效负载(ESP)安全关联(SA)。
附图中的图2图示四程握手的操作。协商各方称为开始连接的发起方和响应方。发起方通过发送I1分组以开始协商，其中I1分组包含参与协商的节点的HIT。如果发起方不知道响应方的HIT，也可以将目的地HIT置零。
当响应方获得I1分组时，它回送R1分组，其中R1分组包含要由发起方解答的疑问。该协议设计为在疑问解答期间发起方必须执行大多数计算。这提供了针对DoS攻击的某种防护。R1还启动Diffie-Hellman过程，将响应方的公用密钥与Diffie-Hellman参数包含在一起。
一旦接收到R1分组，发起方解答疑问，并在I2分组中将响应cookie与IPsec SPI值以及它的加密的公用密钥一起发送到响应方。响应方验证疑问已经得到解答，验证发起方，并创建IPsec ESP SA。最后的R2消息包含响应方的SPI值。
将主机之间的SA绑定到HIT表示的主机标识。但是，网络中传输的分组不包含实际的HI信息，但是在IPsec头中使用安全参数索引(SPI)值来标识到达的分组，并将其映射到正确的SA。附图中的图3示出分组在网络中传输时的逻辑和实际的分组结构。
根据上文，显而易见的是更改分组中的位置信息不会对IPsec处理产生任何问题。仍使用SPI来正确地标识分组。如果出于某种原因，将分组路由到错误的目的地，则接收方无法打开该分组，因为它没有正确的密钥。
当外发的分组从上层到达HI层时，从IPsec SADB验证目的地HIT。如果找出与目的地HIT匹配的SA，使用与该SA关联的会话密钥将分组加密。
HIT不能用于路由分组。因此必须更改目的地(和源)地址以与节点的IP地址匹配。如前文所提到的，这些映射被存储在HI层。更改了地址之后，可以将分组发送到网络中，在网络中使用IP地址信息将其路由到目的地。
在接收主机处，使用SPI值从IPsec SADB找出正确的SA。如果发现相应的项，则可以将该IP地址更改成对应的HIT，并可以使用会话密钥将该分组解密。
移动性被定义成如下情况：主机移动，同时将其通信上下文保持为活动状态，或换言之，主机更改了IP地址描述的其拓扑位置，而仍将所有现存的连接维持活动状态。主机上运行的进程看不到该移动性，除非在可能的情况下所感受的服务质量改变了。
移动主机可能在一个接入网内的不同接入技术之间或甚至在不同的IP地址域(例如IPv4和Ipv6网络之间)更改位置。在HTP中，应用未注意IP地址版本中的变化。HI层完全对上层隐藏该变化。当然，对方节点必须能够处理变更IP版本的位置更新，并且分组必须能够使用某个兼容的地址路由。如果节点不具有IPv4连接也不具有IPv6连接，则它可以使用代理节点，该代理节点执行地址版本转换并代节点提供连接。
多归属系指端点具有多个它可以使用的并行通信路径的情况。通常多归属是由于主机具有多个网络接口(端主机多归属)或由于主机与网络的其余节点之间的网络具有冗余路径(站点多归属)的结果。
利用HIP，位置与标识信息之间的分离明确了可以将分组的标识与路由选择彼此清晰地分离开。接收到分组的主机通过首先获取正确的密钥然后将分组解密来标识发送方。因此，分组中的IP地址是不相关的。
在网络中移动的HIP移动节点(HMN)可以不断地更改至因特网的附着点(point of attachment)。当连接点更改时，同样也更改了IP地址。必须将此更改的位置信息发送到对方节点，即HIP对应节点(HCN)，并且在附图的图4中图示了这一点。还可以将相同的地址发送到HMN的转发代理(FA)，以便可以经更稳定的点达到HMN。DNS系统太慢以致于无法用于不断地更改位置信息。因此，必须要有更稳定的地址可用于联系HMN。此地址是FA提供的地址。
HIP移动性和多归属协议(P.Nikander，J.Arkko，P.Jokela，″End-Host Mobility and Multihoming with Host Identity Protocol″，因特网草案，工作进行中，draft-ietf-hip-mm-03，IETF，2006年)定义了一组更新(UPDATE)分组，该分组承载“定位器参数”(在较早的因特网草案中公知为再寻址(REA)参数)，该定位器参数包含HMN的当前IP地址。当HMN更改位置和IP地址时，它生成UPDATE分组，并利用与所使用的HI匹配的私用密钥对分组签名，并将分组发送到对方节点和发送到FA。
当对方节点接收到UPDATE分组时，它必须对UPDATE分组中包含的IP地址启动地址验证进程。需要此地址验证来避免从HMN接收到误更新。它将更新确认(UPDATE-ACK)分组发送到位于UPDATE分组中的地址。当HMN接收到与较早发送的UPDATE匹配的UPDATE-ACK时，它就可以开始使用新IP地址来向HCN发送数据。在对方节点从新地址接收到第一个数据分组之后，地址验证完成，并且它可以将此IP地址作为HMN的位置信息来添加。
因为HMN可以在使用不同IP地址版本的网络之间移动，所以HCN接收到的地址也可能来自与先前地址不同的地址族。
HCN仅可以支持地址版本的其中一种。在此情况中，HCN必须使用某个其他代理节点，该代理节点可用于将分组路由到其他IP地址版本的网络。
多归属HIP主机具有在连接到不同接入网的不同接口上配置的多个IP地址，该多归属HIP主机具有更多可能性来处理发往对方节点的业务。因为它具有呈示它在网络中的当前位置的多个IP地址，所以它可能希望将这些地址全部告知它的对方。为此，多归属HIP节点创建包含它能够使用发往特定节点的所有地址的UPDATE分组。该地址集可以包含它具有的全部地址或这些地址的一些子集。当对方节点接收到具有多个地址的UPDTE分组时，它必须对这些地址执行地址验证以避免可能的误更新。
导致UPDATE分组中的错误地址或不可路由地址可能是由于HMN是恶意节点，它在堆栈实现中有错误，或HMN可能在使用不可在因特网中路由的私用地址的网络内。
多归属HIP节点能够使用全部可用的连接，但是有效率地利用连接需要一种了解底层接入网并可以控制它们的使用的策略系统。这种策略系统可以使用不同类型的信息：用户偏好、运营商偏好、来自网络连接的输入(例如QoS)等。
为了启动与移动节点的HIP交换，发起方节点需要知道如何到达该移动节点。虽然可以使用动态DNS来对不频繁移动的节点实现此功能，但是作为以此方式使用DNS的备选方式是使用上文介绍的静态基础设施的小部分，转发代理(也称为HIP汇集服务器)。并不向DNS服务器注册它的当前动态地址，而是移动节点注册它的转发代理的地址。移动节点持续利用它的当前IP地址更新转发代理。转发代理仅将初始HIP分组从发起方转发到位于其当前位置的移动节点。所有后续分组在发起方与移动节点之间流动。通常在转发代理上有非常小的活动性，主要是地址更新和初始HIP分组转发。因此，一个转发代理可以支持大量潜在的移动节点。移动节点必须信任转发代理以便正确地维护它们的HIT与IP地址的映射。甚至可以对位置上固定的节点来使用转发代理，因为通常的情况是固定的节点可能频繁地更改它们的IP地址，例如每次服务提供商为该节点建立因特网连接时为它分配IP地址。
如果节点都是移动的并且发生同时移动的情况，则也需要转发代理。在该情况中，这些HIP再寻址分组将在网络中彼此交叉，并且永远不会到达对方节点。为了解决这种问题，节点应该记住转发代理地址，并在未接收到回复的情况下将HIP再寻址分组重发到转发代理。
移动节点通过建立与转发代理的MTP关联并将包含再寻址的HIP更新分组发送到转发代理以在转发代理上保持其地址为当前地址。如果两个移动系统具有非DNS查询的方法来获取彼此的HI和HIT，则转发代理将允许两个移动系统在没有包括DNS的任何额外基础设施(除了转发代理本身)的情况下使用HIP。
在旧式设备中，主机可能不是启用HIP的主机，并且唯一的选择是使用IP地址标识主机之间的连接。这不是安全的。可以通过定位启用HIP的主机与无法使用HIP的主机之间的HIP代理来改善此情况。一个典型的情况是其中客户终端不是启用HIP的终端的小企业LAN。业务经由HIP代理路由到对应的主机(它们是启用HIP的主机)。
附图的图5中图示了这种布置。在图5中，旧式主机12图示为经由HIP代理16来与启用HIP的节点14(具有域名“hip.foo.com”)通信。旧式主机12通过接入网15访问HIP服务器16，同时HIP代理16通过因特网20访问HIP节点14。为了局部性地确保旧式主机12与HIP节点14之间连接的安全，HIP代理16与HIP节点14之间的所有通信都以与参考图3描述的方式相似的方式经由在HIP代理16与HIP节点14之间建立的安全关联来实现。
但是，甚至在可以建立图5所示的安全关联22以使旧式主机12与HIP节点14之间能够通信之前，如上文描述的，HIP节点14位于转发代理26之后时而旧式主机12通过向DNS服务器24-1(接着是DNS服务器24-2)发送查询来尝试解析HIP节点14的IP地址时会产生问题。DNS服务器24-1将返回HIP节点14的HIT和转发代理26的IP地址。因为旧式主机12不是启用HIP的主机，所以它将忽略HIT，并开始向转发代理26发送消息。没有HIT，转发代理26将无法解析这些消息的目的地地址，因为多个HIP节点将使用相同的转发代理26是极可能的。同样地，由于旧式主机12废弃HIT并在启动连接时仅使用HIP节点14的IP地址，所以HIP代理16无法启动其本身与HIP节点14的HIP协商，因为它不知道HIP节点14的HIT。此问题在我们的PCT申请号PCT/EP04/050129中得到解决。
当在第三代(3G)移动通信网络中实现HIP而3G环境中并非全部用户设备(UE)都是启用HIP的时会产生其他技术方面的考虑。在此上下文中，通用移动电信系统(UMTS)是全球移动通信系统(GSM)的3G后续技术。GSM到UMTS的最重要的发展步骤是通用分组无线电业务(GPRS)。GPRS将分组交换引入到GSM核心网络中，并允许直接访问分组数据网络(PDN)。这使得高数据速率分组交换传输较好地超过ISDN经由GSM核心网络的64kbps极限，这对于高达2Mbps的UMTS数据传输速率来说是必不可少的。GPRS是UMTS引入的先决条件。与可应用于GPRS一样，相似的原理同样可应用于UMTS。GPRS最初被设计为对现有GSM网络基础设施的扩充，其目标是提供无连接的分组数据业务。GPRS引入许多优于GSM的新功能元素，这些新功能元素支持端到端传输基于IP的分组数据。
目前一些技术难题已经阻碍了基于流的移动性的使用，因此期望克服这些技术难题的至少其中一些技术难题。
发明内容
根据本发明的第一方面，提供一种使用主机标识协议HIP以在第二主机与第一主机上的应用套接字(socket)之间建立连接的方法，该方法包括如下步骤：在第一和第二主机之间建立新的HIP安全关联或选择现有的HIP安全关联，在应用套接字与安全关联之间建立新Tube(管)关联或选择现有的Tube关联，所述Tube关联由Tube标识符标识，为应用套接字、安全关联与Tube关联之间的连接构成关联，由此经由安全关联和Tube关联在第二主机与第一主机上的应用套接字之间建立连接。
该应用套接字可以包括端口。
该应用套接字可以包括HIT或LSI。
该应用套接字可以包括IP地址。
该方法可以包括将信息传送到与连接关联相关的第二主机。
可以在HIP UPDATE消息中传送该连接关联信息。
可以在第一和第二主机之间的HIP协商期间传送该连接关联信息以建立新安全关联。
该连接关联信息可以包括与Tube标识符和套接字之间的关联或映射相关的第一信息。
该连接关联信息可以包括与Tube标识符和SPI之间的关联相关的第二信息。
可以将第一和第二信息作为单独的HIP参数来发送。
与第一和第二信息相关的HIP参数可以分别是TUPO_INFO和SATU_INFO参数。
该方法可以包括响应活动连接的策略中的改变来发送连接关联信息。
该方法可以包括响应上层策略管理的策略中的改变来发送连接关联信息。
第一主机可以是多归属的，包括多个可用于建立至第二主机的安全关联的网络接口。
该第二主机也可以是多归属的。
可以在也选择现有安全关联的情况中选择现有Tube关联。
该方法可以包括通过选择和复制现有Tube关联来创建新的Tube关联。
该方法可以包括为Tube关联建立与第二主机上建立的策略兼容的策略。
该方法可以包括创建重复Tube关联。
重复Tube关联可以分别用于进入业务和外发业务。
可以将单个安全关联与Tube关联相关联。
可以将多个安全关联与Tube关联相关联。
可以预先创建多个安全关联和Tube关联，并且可以从它们中选择安全关联和Tube关联。
可以在第一主机上管理与Tube关联相关的至少一些信息。
根据本发明的第二方面，提供一种设备，用于使用主机标识协议HIP以在远程主机与本设备上的应用套接字之间建立连接，该设备包括：用于在本设备与远程主机之间建立新的HIP安全关联或选择现有的HIP安全关联的部件，用于在应用套接字与安全关联之间建立新Tube关联或选择现有的Tube关联的部件，所述Tube关联由Tube标识符标识，用于为应用套接字、安全关联与Tube关联之间的连接构成关联的部件，由此经由安全关联和Tube关联在远程主机与本设备上的应用套接字之间建立连接。
根据本发明的第三方面，提供一种操作程序，当该操作程序被加载到设备中时使该设备成为根据本发明第二方面的设备。
根据本发明的第四方面，提供一种操作程序，当该操作程序在设备上运行时使该设备执行根据本发明第一方面的方法。
该操作程序可以被承载于承载媒体上。该承载媒体可以是传输媒体。该承载媒体可以是存储媒体。
附图说明
前文论述的图1图示主机标识协议中的多个层；
前文也论述的图2图示HIP协议中的四程握手的操作；
前文也论述的图3示出HIP中的逻辑和实际分组结构；
前文也论述的图4图示IPv6与IPv4之间的切换；
前文也论述的图5是图示旧式主机与HIP模式之间经由HIP代理的通信的一般性网络建立的示意图；
图6图示在解释本发明的实施例时使用的网络中的两个主机位置的一个示例；
图7图示在解释本发明的实施例时使用的网络中的两个主机位置的另一个示例；
图8以示意图形式图示本发明的实施例；
图9图示本发明的实施例中UPDATE消息中使用的附加参数；
图10图示本发明的实施例中UPDATE消息中使用的附加参数；以及
幻灯片1至25包含与本发明实施例相关的主题内容。
如上文提到的，HIP中的移动性支持基于UPDATE消息，其中移动主机向对方主机发送位置信息更新。该更新包含新的HIT至IP的地址映射，对方主机使用该HIT至IP的地址映射用于进一步使用此HIT与本主机通信。
本发明的实施例提出对此协议的扩充，并在端主机上引入Tube的概念，其中每个端口映射到某个Tube。特定Tube也映射到通过特定连接路径(即两端上的某个接口)在主机之间创建的某个ESP安全关联对。(目前，当HIP主机丢失一个接口并将所有连接更改到另一个接口时，旧的ESP SA对被移除，并通过新接口创建一个新的。)
在本发明的实施例中，以还用于承载与某个TubeID关联的端口号的参数来扩充先前承载IP地址信息的UPDATE分组。
图6图示网络中两个主机位置的一个示例，其中该网络包括第一主机30和第二主机32。第一主机30是多归属MN，而第二主机是HIP CN。多归属MN30具有经由不同接入网18-1和18-2至因特网20并上至HIP CN 32的两个单独的连接。下文进一步解释SIMA域。
基本HIP实现处理节点30和32之间的ESP SA协商，以及实现会话密钥生成，以在节点30与32之间创建SA。HIP精灵程序(HIPD)在相关的IPsec数据库中创建ESP SA。
图7图示网络中两个主机位置的另一个示例，其中该网络包括第一主机30和第二主机32。与图6中第二主机32是HIP CN相对比，第一主机30是多归属MN，第二主机32也是多归属MN。第一多归属MN30具有经由不同接入网18-1和18-2至因特网20的两个单独的连接(定义第一多归属MN 30的访问范围)，以及第二多归属MN32也具有经由不同接入网18-3和18-4至因特网20的两个单独的连接(定义第二多归属MN32的访问范围)。
在图7的情形中，主机30和32可以定义有关网络使用的各自偏好(即定义TubeID和发送UPDATE消息)。这比图6的情形更复杂，因为将端口42连接到Tube44(例如将三个应用40归组以使用相同的Tube44)对于另一个主机32可能是不可接受的，这样可能需要这些应用的其中一些在它这一端使用不同的路径，在这种情况下不能以MN30提出的方式将它们归组。一种解决方案是允许主机“协商”Tube连接的断开，并允许一个主机创建两个相似的Tube44，并将各应用32连接到它们，以便也与对方32的要求匹配。协商可以仅是在一个方向上设置端口-Tube ID 43，而以具有Tube44的所需副本的一组新端口-Tube ID 43予以响应。在更复杂的解决方案中，一个Tube44可以具有至底层ESP SA 32的多个连接。
如上文所提到的，在本发明的实施例中，引入一个新的抽象层：Tube。现在将参考图8更详细地对此进行描述，它对应于多归属MN30与CN(对方主机)32通信的图6的情形，但是这里的描述等效地可应用于图7的情形。
图8以示意图形式图示与CN(对方主机)32通信的多归属MN30。MN30包括多个应用40，因为MN30是多归属的，所以有至因特网(未示出)和CN32的多个网络接口48。图8还示出与应用40关联的端口(或套接字)42、Tube44和ESP SA 46之间的关联。
Tube44位于ESP SA 46与应用端口或套接字42之间。端口或套接字42与Tube44之间的链路是动态的，与Tube44与ESP SA 46之间的链路一样。对每个Tube分配一个TubeID。
端节点30和32对应于一组给定连接共享相同TubeID；因此TubeID由发起方创建并发送到对方节点。就HIP的意义而言，Tube44的发起方不一定是连接的发起方。HIP响应方还可以具有有多个连接，在此情况中，HIP响应方可以在R2消息中或稍后在UPDATE消息中发送该组的端口-tube-SA连接43、45。Tube关联一般是主机专用的，或与节点之间的一个HIP关联46相关的主机-主机专用的，因此通常仅存储在端主机处。TubeID通常在主机对之间是唯一的。TubeID的有效性的域称为“SIMA域”(SIMA，同时多访问)，如图6和图7所示。
通过引入Tube的概念从而能够使用更简单的策略，因为每个端口或套接字42(连接)无需具有它们自己的策略。
策略是定义要应用于一组连接的网络使用偏好的一组规则。这些策略可以具有不同方面，具体取决于从系统的不同部分来看的角度。统一这一点是策略引擎的作用。从应用的角度来看，应用将创建要应用于特定套接字的策略。该策略将套接字绑定到如下所列中的一个偏好列表：
*知道接口的列表
*CN位置
*网络特性：
*技术(GPRS、WLAN...)
*带宽？
*运营商？
*IP版本？
当“使用”策略时，例如在网络环境中有了变化而利用策略来测试新建立的情况下，从该点来看，结果是将用于外发数据的一个接口。
在永久性策略和临时性策略之间进行区分。临时性策略是只要将其应用于一组连接就存在的策略。因此当使用该策略的最后一个连接被关闭时，销毁该策略。通常，对于应用为特定套接字创建的策略就是这种情况。另一方面，即使没有活动连接利用永久性策略，永久性策略仍将保留在策略数据库中。缺省策略是在未对连接创建任何特定策略的情况下使用的一组永久性策略。由于永久性策略通常具有宽泛的范围，所以连接可能与多个策略匹配，从而导致潜在的策略冲突。因此需要在策略彼此间设置优先级。覆盖永久性策略可以是被允许的或可以是不被允许的。
在图8中，示出端口或套接字42、Tube44与ESP SA 46之间的关联43、45。每个端口或套接字42与一个Tube44相关联，而每个Tube44与一个ESP SA 46相关联。Tube44的每一个具有它自己的策略，并且该策略定义要在不同情况中使用的接口。因此，在应用级上，Tube策略可以是已知的，可以利用适于这些应用需求的策略将应用40连接到Tube44。
对于其中尚未存在供其使用的HIP关联46的情况下与新主机32实施连接建立，首先利用通常HIP基本交换来创建新的HIP关联46。在创建ESP SA 46之后，还创建新的Tube44。现在为应用40打开的端口或套接字42连接到此新的Tube44。
还可能的是通过不同的接口44协商多个ESP SA 46，并预先创建相关的Tube44。
在基本交换期间或稍后利用UPDATE HIP消息(SATU_INFO，TUPO_INFO)在新HIP参数中将端口-Tube43和Tube-SA 45信息传送到对方节点。
对于已经存在HIP关联46情况下与主机32实施连接建立，策略系统识别并选择要用于这种类型的连接的优选的Tube44。将新打开的端口42连接到Tube44。使用新的HIP参数(TUPO_INFO)将更新的端口-Tube信息传送到对方32。
在双多归属情况中，当主机30和32都是多归属的主机时，可能发生的是一个主机30提出的端口-Tube设置43不适于对方主机32(例如对方主机32对于这些应用需要可能不同的接口)。在第一阶段中，可以进行处理以使第一主机30创建Tube44的副本，将为两个Tube44复制相同的策略，并利用此方法实现与对方节点32的兼容。还可能的是，可以将Tube44同时连接到多个ESP SA 46(称为多Tube或MuTu)；这需要分组映射策略来处理如何确定正确的目的地IP地址。
还可以使用重复的Tube44同时处理非对称链路(经由不同接口发送和接收)。其差异在于将本地端口42连接到两个Tube44；一个用于外发业务而另一个用于进入业务。对于对方32来说，只需要传送进入Tube-端口对43(其中对方32发送数据)，对方32不需要另一对45。至对方32的分组可能看上去像是来自不同的源地址，但是在HIP中，这不是问题，因为分组标识是基于HIT的。
现在将论述与新HIP参数相关的更多信息。
HIP UPDATE分组定义为将更改的IP地址信息传输到对方节点32，以使主机能够为移动主机30设置新的HTT至IP地址映射。本实施例对于UPDATE消息使用两个非常相似的附加参数。首先，使用将本地端口号连接到某个TubeID的参数，其次使用将TubeID连接某个SPI的参数。
将Tube信息包括在新的参数中至少有两种可能的方式。
首先，该参数可以仅包含来自多归属主机30的“有效”策略信息。这意味着，该信息不包含针对一个连接标识符的多个选择，而仅仅活动的一个。可以将此信息直接配置成IPsec策略管理。这或许更易于实现，但是潜在的缺点是每次活动连接的策略中有改变时必须在参数中发送策略信息。
其次，该参数可以包含一组基本策略，包括作为连接标识符的每一个的目的地接口的多个选择。利用此解决方案，仅在上层策略管理中的实际策略中有改变时才需要传输策略信息。潜在的缺点是CN32必须以某种方式获取有关丢失的接口的知识，即使用接收到的ICMP分组。此外，多归属主机30可能仍需要将更新的信息发送到对方节点32，否则错误的Tube-ESP SA绑定45信息仍可能在对方32处(在如果丢失的连接从不再次显示)。
在此实施例中，使用TUPO_INFO参数来将端口-Tube映射43传送到对方主机32。可以将端口42的每一个连接到一个Tube44，并且一个Tube44可以具有至多个端口42的连接。为了支持连接的精细分离，会将端口号和协议号都包括在参数中。图9图示了示范TUPO_INFO参数。
在该实施例中，使用SATU_INFO参数来传输ESP安全关联和Tube关联45。在一个示例中，可以Tube44的每一个连接到SPI值标识的一个ESP SA 46。一个ESP SA 46可以使多个Tube44与之连接。图10中图示了示范SATU_INFO参数。
采用本发明的多归属系统利用具有UPDATE消息的基础HIP系统，并将多个接口使用连接到标识/定位符分离体系结构。本发明的实施例以极好且相对简单的方式使用主机标识协议来提供基于流的移动性管理。通过向HIP UPDATE消息添加有关端口、协议和(新的抽象)Tube的信息，可以创建可用于适合地对数据实现基于流的路由的多组信息。
将认识到可以通过装置或设备上操作的程序来控制上文描述的一个或多个组件的操作。可以将此类操作系统存储在计算机可读的媒体上，或可以例如将其包含在例如从因特网Web网站提供的可下载数据信号的信号。所附权利要求应解释为本身涵盖操作程序，或解释为载体上的记录或解释为信号或采用任何其他形式。
本领域技术人员将认识到本发明的实施例不一定限于例如传输层或网络层中的任何特定的协议或每个层的寻址方案，并且只要围绕着HIP框架内来使用寻址或传输协议，则将在HIP框架内行使其他功能。

Claims (30)

1.一种使用主机标识协议HIP在第二主机与第一主机上的应用套接字之间建立连接的方法，所述方法包括如下步骤：在所述第一和第二主机之间建立新的HIP安全关联或选择现有的HIP安全关联，在所述应用套接字与所述安全关联之间建立新Tube关联或选择现有的Tube关联，所述Tube关联由Tube标识符标识，为所述应用套接字、所述安全关联与所述Tube关联之间的连接构成关联，由此经由所述安全关联和Tube关联在所述第二主机与所述第一主机上的所述应用套接字之间建立连接。
2.如权利要求1所述的方法，其特征在于，所述应用套接字包括端口。
3.如权利要求1或2所述的方法，其特征在于，所述应用套接字包括HIT或LSI。
4.如权利要求1、2或3所述的操作程序，其特征在于，所述应用套接字包括IP地址。
5.如前面权利要求中任一项所述的方法，其特征在于，包括将与连接关联相关的信息传送到所述第二主机。
6.如权利要求5所述的方法，其特征在于，在HIP UPDATE消息中传送所述连接关联信息。
7.如权利要求5或6所述的方法，其特征在于，在所述第一和第二主机之间进行HIP协商期间传送所述连接关联信息以建立新安全关联。
8.如权利要求5、6或7所述的方法，其特征在于，所述连接关联信息包括与所述Tube标识符和所述套接字之间的关联或映射相关的第一信息。
9.如权利要求5至8中任一项所述的方法，其特征在于，所述连接关联信息包括与所述Tube标识符和SPI之间的关联相关的第二信息。
10.如权利要求9所述的方法，其特征在于，将所述第一和第二信息作为单独的HIP参数来发送。
11.如权利要求10所述的方法，其特征在于，与所述第一和第二信息相关的HIP参数分别是TUPO_INFO和SATU_INFO参数。
12.如权利要求5至11中任一项所述的方法，其特征在于，包括响应活动连接的策略中的改变来发送所述连接关联信息。
13.如权利要求5至12中任一项所述的方法，其特征在于，包括响应上层策略管理的策略中的改变来发送所述连接关联信息。
14.如前面权利要求中任一项所述的方法，其特征在于，所述第一主机是多归属主机，包括多个可用于建立至所述第二主机的安全关联的网络接口。
15.如权利要求14所述的方法，其特征在于，所述第二主机也是多归属主机。
16.如前面权利要求中任一项所述的方法，其特征在于，在也选择现有安全关联的情况中选择现有Tube关联。
17.如前面权利要求中任一项所述的方法，其特征在于，包括通过选择和复制现有Tube关联来创建新的Tube关联。
18.如前面权利要求中任一项所述的方法，其特征在于，包括为所述Tube关联建立与所述第二主机上建立的策略兼容的策略。
19.如前面权利要求中任一项所述的方法，其特征在于，包括创建重复Tube关联。
20.如权利要求19所述的方法，其特征在于，重复Tube关联分别用于进入业务和外发业务。
21.如前面权利要求中任一项所述的方法，其特征在于，将单个安全关联与所述Tube关联相关联。
22.如权利要求1至20中任一项所述的方法，其特征在于，将多个安全关联与所述Tube关联相关联。
23.如前面权利要求中任一项所述的操作程序，其特征在于，预先创建多个安全关联和Tube关联，并且可以从它们中选择安全关联和Tube关联。
24.如前面权利要求中任一项所述的方法，其特征在于，在所述第一主机上管理与所述Tube关联相关的至少一些信息。
25.一种设备，用于使用主机标识协议HIP在远程主机与所述设备上的应用套接字之间建立连接，所述设备包括用于在所述设备与所述远程主机之间建立新的HIP安全关联或选择现有的HIP安全关联的部件，用于在所述应用套接字与所述安全关联之间建立新Tube关联或选择现有的Tube关联的部件，所述Tube关联由Tube标识符标识，用于为所述应用套接字、所述安全关联与所述Tube关联之间的连接构成关联的部件，由此经由所诉安全关联和Tube关联在所述远程主机与所述设备上的所述应用套接字之间建立连接。
26.一种操作程序，当被加载到设备中时使所述设备成为如权利要求25所述的设备。
27.一种操作程序，当在设备上运行时使所述设备执行如权利要求1至24中任一项所述的方法。
28.如权利要求26或27所述的操作程序，其特征在于，在载体媒体上承载所述操作程序。
29.如权利要求28所述的操作程序，其特征在于，所述载体媒体是传输媒体。
30.如权利要求28所述的操作程序，其特征在于，所述载体媒体是存储媒体。
CN2006800184668A 2005-05-27 2006-05-23 主机标识协议方法和设备 Expired - Fee Related CN101185309B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
GB0510761A GB2426672B (en) 2005-05-27 2005-05-27 Host identity protocol method and apparatus
GB0510761.0 2005-05-27
PCT/EP2006/062549 WO2006125787A1 (en) 2005-05-27 2006-05-23 Host identity protocol method and apparatus

Publications (2)

Publication Number Publication Date
CN101185309A true CN101185309A (zh) 2008-05-21
CN101185309B CN101185309B (zh) 2011-04-20

Family

ID=34834683

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2006800184668A Expired - Fee Related CN101185309B (zh) 2005-05-27 2006-05-23 主机标识协议方法和设备

Country Status (11)

Country Link
US (1) US7849195B2 (zh)
EP (1) EP1884102B8 (zh)
JP (1) JP2008543140A (zh)
CN (1) CN101185309B (zh)
AT (1) ATE483312T1 (zh)
BR (1) BRPI0610269A2 (zh)
CA (1) CA2609657A1 (zh)
DE (1) DE602006017203D1 (zh)
DK (1) DK1884102T3 (zh)
GB (1) GB2426672B (zh)
WO (1) WO2006125787A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888372A (zh) * 2009-05-14 2010-11-17 华为技术有限公司 生成主机标识协议包的方法和设备
CN102714617A (zh) * 2010-10-29 2012-10-03 华为技术有限公司 连接建立方法、装置及通信系统
CN102265563B (zh) * 2008-12-23 2015-06-17 爱立信电话股份有限公司 识别通信网络中的业务流的方法和设备

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2449118A (en) * 2007-05-11 2008-11-12 Ericsson Telefon Ab L M Host Identity Protocol Rendezvous Servers which store information about nodes connected to other servers and forward address requests
EP2168352A1 (en) * 2007-06-14 2010-03-31 Telefonaktiebolaget LM Ericsson (PUBL) Network-based local mobility management
CN101350807B (zh) * 2007-07-20 2012-04-04 华为技术有限公司 多地址空间移动网络架构、主机信息注册及数据发送方法
US8407721B2 (en) * 2008-12-12 2013-03-26 Microsoft Corporation Communication interface selection on multi-homed devices
US9444823B2 (en) * 2008-12-24 2016-09-13 Qualcomm Incorporated Method and apparatus for providing network communication association information to applications and services
JP5147995B2 (ja) * 2009-02-05 2013-02-20 テレフオンアクチーボラゲット エル エム エリクソン（パブル） ホスト・アイデンティティ・プロトコル・サーバ・アドレス構成
CN101895522A (zh) * 2009-05-22 2010-11-24 华为技术有限公司 主机标识标签获取方法及系统
WO2010145709A1 (en) * 2009-06-18 2010-12-23 Telefonaktiebolaget Lm Ericsson (Publ) Data flow in peer-to-peer networks
US8413354B2 (en) * 2009-08-05 2013-04-09 Futurewei Technologies, Inc. System and method for communication handoff

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19818006A1 (de) * 1998-04-22 1999-10-28 Siemens Ag Durchführung von Diensten eines Intelligenten Netzes unter Nutzung eines Datennetzes
GB0311921D0 (en) * 2003-05-23 2003-06-25 Ericsson Telefon Ab L M Mobile security
CN100450000C (zh) * 2003-08-20 2009-01-07 华为技术有限公司 一种实现组安全联盟共享的方法
JP4579934B2 (ja) * 2004-02-13 2010-11-10 テレフオンアクチーボラゲット エル エム エリクソン（パブル） レガシーノードとｈｉｐノード間のホストアイデンティティプロトコル（ｈｉｐ）接続を確立するためのアドレス指定方法及び装置
CA2559076A1 (en) * 2004-04-15 2005-10-27 Petri Aulis Jokela Identification method and apparatus for establishing host identity protocol (hip) connections between legacy and hip nodes

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102265563B (zh) * 2008-12-23 2015-06-17 爱立信电话股份有限公司 识别通信网络中的业务流的方法和设备
CN101888372A (zh) * 2009-05-14 2010-11-17 华为技术有限公司 生成主机标识协议包的方法和设备
CN102714617A (zh) * 2010-10-29 2012-10-03 华为技术有限公司 连接建立方法、装置及通信系统
CN102714617B (zh) * 2010-10-29 2015-10-21 华为技术有限公司 连接建立方法、装置及通信系统

Also Published As

Publication number Publication date
BRPI0610269A2 (pt) 2012-09-25
EP1884102A1 (en) 2008-02-06
ATE483312T1 (de) 2010-10-15
EP1884102B8 (en) 2012-09-05
DK1884102T3 (da) 2011-01-31
WO2006125787A1 (en) 2006-11-30
DE602006017203D1 (de) 2010-11-11
CN101185309B (zh) 2011-04-20
JP2008543140A (ja) 2008-11-27
GB0510761D0 (en) 2005-06-29
EP1884102B1 (en) 2010-09-29
US7849195B2 (en) 2010-12-07
CA2609657A1 (en) 2006-11-30
US20080195737A1 (en) 2008-08-14
GB2426672A (en) 2006-11-29
GB2426672B (en) 2009-12-16

Similar Documents

Publication Publication Date Title
CN101185309B (zh) 主机标识协议方法和设备
CN1939000B (zh) 建立遗留与主机标识协议节点之间的主机标识协议连接的标识方法及设备
CN1938999B (zh) 寻址方法及建立遗留与主机标识协议节点之间的主机标识协议连接的方法和设备
Li Recommendation for a routing architecture
US7333482B2 (en) Route optimization technique for mobile IP
CN101444064B (zh) 用于web服务器集群的寻址和路由机制
EP1849279B1 (en) Host identity protocol method and apparatus
Komu et al. A survey of identifier–locator split addressing architectures
Le et al. A new decentralized mobility management service architecture for ipv6-based networks
McAuley et al. Name and address decoupling in support of dynamic networks
Ylitalo Secure mobility at multiple granularity levels over heterogeneous datacom networks
Cheriton et al. TRIAD: Translating Relaying Internetwork Architecture Integrating Active Directories
Sadio et al. Improving security and mobility for remote access: a wireless sensor network case
Wilterdink Host Identity Protocol: A state of the art research
Tarkoma et al. Understanding Multi-layer Mobility
Li RFC 6115: Recommendation for a Routing Architecture
Dunmore of Deliverable: Report on IETF Multihoming Solutions, version 2
Svensson et al. Independent Local Locator Substrate Indirection Transport
Savola Mobility support in RADIUS and Diameter

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: CLUSTER CO., LTD.

Free format text: FORMER OWNER: TELEFONAKTIEBOLAGET LM ERICSSON (SE) S-126 25 STOCKHOLM, SWEDEN

Effective date: 20150507

Owner name: OPTIS WIRELESS TECHNOLOGY LLC

Free format text: FORMER OWNER: CLUSTER CO., LTD.

Effective date: 20150507

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150507

Address after: Texas, USA

Patentee after: Telefonaktiebolaget LM Ericsson (publ)

Address before: Delaware

Patentee before: Clastres LLC

Effective date of registration: 20150507

Address after: Delaware

Patentee after: Clastres LLC

Address before: Stockholm

Patentee before: Telefonaktiebolaget LM Ericsson

CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110420

Termination date: 20170523

CF01 Termination of patent right due to non-payment of annual fee