CN101242403B - 流标签分配方法和系统以及流标签请求装置和分配装置 - Google Patents

Abstract

本发明公开了一种流标签分配方法，包括：设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别；设于网络侧的流标签分配装置根据所述流量类别生成对应的流标签，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置。本发明还公开了一种流标签分配系统、一种流标签请求装置以及一种流标签分配装置。本发明能够使网络侧设备对流标签的生成和分配进行有效地控制。

Description

流标签分配方法和系统以及流标签请求装置和分配装置

技术领域

本发明涉及通信技术领域，尤其是一种流标签分配方法、流标签分配系统、流标签请求装置及流标签分配装置。 

背景技术

随着网络融合、Triple-play(三重播放业务)、All in IP等概念的提出，IP网络正日益成为下一代信息网络的基础设施。但是由于IP网络本身的开放性、自由性和尽力而为等固有特征，使IP网络离可运营、可管理的电信网络还有一定距离。 

目前IP网络普遍使用IPv4(Internet Protocol Version 4，因特网协议版本4)协议作为网络层协议。而VoIP(IP语音业务)、IPTV等新兴实时业务对IP网络的提供的QoS(Qulity of Service，服务质量)提出了更高的要求，用户已不再满足于能够简单地将数据包送达目的地，而是希望在传送过程中得到更好的服务，诸如支持为用户提供专用带宽、减少数据包的丢失率、管理和避免网络拥塞、调控网络的流量、设置数据包的优先级等。所有这些，都要求网络应当具备更为完善的服务能力。 

对QoS进行改进需要进行流分类，所谓流分类就是利用数据包的一些特定域组成的规则(Rule)，将数据包区分成不同的流。针对IPv4中出现的一系列问题，IPv6协议中对于IP数据包头格式进行了一些改进，如图1和图2所示，分别为IPv4和IPv6报文头格式的示意图，给出了IPv4版本和IPv6版本的数据包头格式对比。相对于IPv4数据包头，IPv6数据包头中有两个字段与QoS有关，分别为流量类别(Traffic Class，TC)和流标签(Flow Label， FL)字段。流量类别字段有8位，和I Pv4的服务类型(ToS)字段功能相同，用于对数据包的业务类别进行标识；流标签字段有20位，用于标识属于同一业务流的包。当主机需要发送数据包时，如果需要标识数据包属于特定的流，只需在流标签域里填入相应的流编号。流标签域值为0的数据包不属于任何流。IPv6节点根据报头中的源地址、目的地址和流标签组成的三元组识别流，根据已建立的流状态处理该流的数据包。在IPv6网络中，由于IPv6扩展头长度和位置的不固定，而传输控制协议/用户数据报协议(TCP/UDP)端口号位于IPv6负荷中，由于分片或加密不易得到，因此使用三元组比IPv4中使用的由源地址、目的地址、协议类型、TCP/UDP源端口、TCP/UDP目的端口组成的五元组可以更有效地加快流分类的速度。另外，由于数据包分类器仅仅依赖于网际协议(IP)头的信息，使得以后在IPv6上易于引入新的上层协议。 

现有技术中对流标签的分配方法是由用户设备分配流标签。这种方法的不足之处在于： 

1、由于用户设备自己分配流标签，因此网络侧设备无法对流标签的分配进行有效地控制； 

2、由于用户设备自己分配流标签，网络侧设备无法获知用户设备所分配的流标签的状态信息，因此网络侧设备很难区分哪些流标签是有效的，哪些是恶意欺骗的，从而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务(DoS)攻击(DoS攻击是窃取服务攻击的特例，当窃取服务耗尽了转发资源时就造成了DoS攻击)。 

发明内容

本发明实施例的目的是提供一种流标签分配方法、流标签分配系统、流标签请求装置及流标签分配装置，能够使网络侧设备对流标签的分配进行有效地控制。 

为实现上述目的，本发明实施例提供了一种流标签分配方法，包括： 

设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别、流源地址和流目的地址； 

设于网络侧的流标签分配装置根据所述流量类别生成对应的流标签，并保存该流标签对应的状态信息，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置； 

网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作。 

其中，所述用户设备包括但不限于个人电脑、机顶盒、移动终端、个人数字助理、应用服务器以及用户驻地设备。 

在上述技术方案中，通过设于网络侧的流标签分配装置分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。进一步地，为了有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，在上述技术方案中，网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置获取对应的所述状态信息，判断该状态信息是否与该数据包中携带的流标签的对应信息一致，是则转发该数据包，否则丢弃该数据包。同时，通过上述操作还可以使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。其中，所述状态信息可包括所述流源地址和流目的地址；或者所述状态信息包括所述流源地址、流目的地址以及流量类别；或者所述状态信息包括所述流源地址、流目的地址、流量类别以及流标签分配时间。 

本发明实施例还提供了一种流标签请求装置，所述流标签请求装置设于用户设备中，包括第一发送模块、第一接收模块和第一协商模块；第一发送模块用于向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别；第一接收模块用于接收所述流标签分配装置返回的包括流标签的第一响应消息；第一协商模块，与所述第一接收 模块和第一发送模块连接，用于在第一接收模块接收到所述流标签分配装置发送的、包括该流标签分配装置所分配的流量类别的第二响应消息后，第一协商模块根据预设策略判断是否接受所述分配的流量类别，是则通知第一发送模块向所述流标签分配装置返回包括所述分配的流量类别的第二请求消息，否则结束本次流标签分配流程。 

上述技术方案中，通过设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求，由设于网络侧的流标签分配装置分配流标签而非现有技术中的由用户设备自己分配流标签，从而使网络侧设备能够对流标签的分配进行有效地控制。 

本发明实施例还提供了一种流标签分配装置，所述流标签分配装置设于网络侧，包括第二发送模块、第二接收模块、流标签生成模块以及存储模块；所述第二接收模块与流标签生成模块连接，用于接收设于用户设备中的流标签请求装置发送的用于请求生成流标签的第一请求消息并通知流标签生成模块，该第一请求消息中包括流量类别；所述流标签生成模块与所述第二发送模块连接，用于根据所述流量类别生成对应的流标签并通知第二发送模块；所述第二发送模块用于将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置；所述存储模块，与所述流标签生成模块连接，用于在流标签生成模块生成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作。 

在上述技术方案中，通过设于网络侧的流标签分配装置分配流标签，而非现有技术中的由用户设备自己分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。 

进一步地，为了有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，在上述技术方案中，所述存储模块具体用于在流标签生成模块生成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，判断该状态信息是否与该数据包中携带的流标签的对应 信息一致，是则转发该数据包，否则丢弃该数据包。通过增设所述存储模块以保存所分配的流标签对应的状态信息，能够避免现有技术中网络侧设备无法获知用户设备所分配的流标签的状态信息，因而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务攻击的缺陷，并使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。 

本发明实施例还提供了一种流标签分配系统，包括设于用户设备中的流标签请求装置以及设于网络侧的流标签分配装置；所述流标签请求装置用于向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别，以及接收所述流标签分配装置返回的包括流标签的第一响应消息；所述流标签分配装置包括流标签生成模块和存储模块，所述流标签生成模块用于根据所述第一请求消息中包括的流量类别生成对应的流标签，根据预设的规则保存该流标签对应的状态信息，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置；所述存储模块，与所述流标签生成模块连接，用于在流标签生成模块生成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作。 

在上述技术方案中，通过设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求，由设于网络侧的流标签分配装置分配流标签而非现有技术中的由用户设备自己分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。 

进一步地，为了有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，在上述技术方案中，所述流标签分配装置的存储模块具体用于在流标签生成模块生成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，判断该状态信息是否与该数据包中携 带的流标签的对应信息一致，是则转发该数据包，否则丢弃该数据包。通过增设所述存储模块以保存所分配的流标签对应的状态信息，能够避免现有技术中网络侧设备无法获知用户设备所分配的流标签的状态信息，因而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务攻击的缺陷，并使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。 

综上所述，本发明实施例通过设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求，由设于网络侧的流标签分配装置分配流标签而非现有技术中的由用户设备自己分配流标签，从而使网络侧设备能够对流标签的分配进行有效地控制。进一步地，通过在设于网络侧的流标签分配装置分配流标签之后保存流标签对应的状态信息，能够避免现有技术中网络侧设备无法获知用户设备所分配的流标签的状态信息，因而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务攻击的缺陷，并使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。 

下面通过附图和实施例，对本发明实施例的技术方案做进一步的详细描述。 

附图说明

图1为现有的IPv4报文头格式的示意图； 

图2为现有的IPv6报文头格式的示意图； 

图3为本发明流标签分配方法的实施例一的流程示意图； 

图4为本发明流标签分配方法的实施例二的流程示意图； 

图5为本发明流标签分配方法的实施例三的流程示意图； 

图6为本发明流标签分配方法的实施例四的流程示意图； 

图7为本发明流标签分配方法的实施例五的流程示意图； 

图8为本发明流标签请求装置的实施例一的结构示意图； 

图9为本发明流标签分配装置的实施例一的结构示意图； 

图10为本发明流标签分配装置的实施例二的结构示意图； 

图11为本发明流标签分配系统的实施例一的结构示意图； 

图12为本发明流标签分配系统的实施例二的结构示意图； 

图13为本发明流标签分配系统的实施例三的结构示意图。 

具体实施方式

本发明的基本构思为： 

针对现有技术中由于用户设备自己分配流标签，因此网络侧设备无法对流标签的分配进行有效地控制的缺陷，通过设于网络侧的流标签分配装置分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。 

进一步地，针对现有技术中由于用户设备自己分配流标签，因此网络侧设备无法获知用户设备所分配的流标签的状态信息，很难区分哪些流标签是有效的，哪些是恶意欺骗的，从而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务攻击的缺陷；通过设于网络侧的流标签分配装置分配流标签并保存所分配的流标签对应的状态信息，从而能够使网络侧设备对流标签的分配进行有效地控制，并使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。例如在生成流标签后保存流标签对应的源地址、目的地址、分配时间等状态信息，这样当带有流标签的数据包到达时，接入设备能根据所保存的状态信息区分流标签是否有效，并做出相应处理(如：丢弃包或者按照普通包进行转发等)。 

基于上述发明构思，本发明实施例提供了一种流标签分配方法，如图3所示，为本发明流标签分配方法的实施例一的流程示意图，具体包括以下步骤： 

步骤1为设于用户设备中的流标签请求装置向设于网络侧的流标签分配 装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别； 

步骤2为设于网络侧的流标签分配装置根据所述流量类别生成对应的流标签，根据预设的规则保存该流标签对应的状态信息，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置。 

在上述实施例一中，通过设于网络侧的流标签分配装置分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。 

进一步地，为了有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，在上述实施例一中，所述请求生成流标签的第一请求消息中可包括流源地址和流目的地址；在所述流标签分配装置根据所述流量类别生成对应的流标签之后还可包括：所述流标签分配装置保存该流标签对应的状态信息；网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置获取对应的所述状态信息，判断该状态信息是否与该数据包中携带的流标签的对应信息一致，是则转发该数据包，否则丢弃该数据包。通过上述操作保存所分配的流标签对应的状态信息，使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。 

其中，所述状态信息可包括所述流源地址和流目的地址；或者所述状态信息包括所述流源地址、流目的地址以及流量类别；或者所述状态信息包括所述流源地址、流目的地址、流量类别以及流标签分配时间。本领域的普通技术人员应当理解，其可以根据具体应用场景，选取适当的所述状态信息的内容，例如，可在生成流标签后保存流标签对应的源地址、目的地址、分配时间、流量类型等状态信息，这样当带有流标签的数据包到达时，接入设备能能根据所保存的状态信息区分流标签是否有效，并做出相应处理(如：丢弃包或者按照普通包进行转发等)。本领域的普通技术人员可根据后续的接入设备对流标签进行区分鉴别的具体参数需求情况，来预先设定本发明技术 方案中保存流标签对应的状态信息的具体内容，以便使后续的接入设备对流标签进行区分鉴别时能够根据所保存的状态信息的内容有效地判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，其均为本发明技术方案的具体实施方式，均属于本发明技术方案所要求保护的范围之内。 

优选地，流标签分配装置也可根据预设的流量类别分配策略判断是否接受流标签请求装置发送的流量类别，从而能够对流标签的分配进行有效地控制。所述预设的流量类别分配策略可为网络侧的流标签分配装置预先设定可接受的流量类别类型，也可为网络侧的流标签分配装置预先设定每个用户对应的流量类别类型，并在收到第一请求消息后判断该第一请求消息中包括的流量类别是否符合发送该第一请求消息的用户对应的流量类别类型。本领域的普通技术人员可根据具体应用场景来具体设定所述流量类别分配策略，其均为本发明技术方案的具体实施方式，均属于本发明技术方案所要求保护的范围之内。 

参见图4，为本发明流标签分配方法的实施例二的流程示意图，本实施例二包括以下步骤： 

步骤1为设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别； 

步骤20为所述设于网络侧的流标签分配装置根据预设的流量类别分配策略判断是否接受所述流量类别，是则执行步骤21，否则执行步骤22； 

在步骤21中根据所述流量类别生成对应的流标签，然后执行步骤23； 

在步骤22中根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并根据所分配的流量类别生成对应的流标签，然后执行步骤23； 

在步骤23中根据预设的规则保存该流标签对应的状态信息，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置。 

在本实施例二中，采用了强制分配的方式，流标签分配装置根据预设的 流量类别分配策略判断是否接受所述流标签请求装置发送的流量类别，如果不接受则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并根据所分配的流量类别生成对应的流标签。通过这种强制分配的方式，流标签分配装置能够根据预设的流量类别分配策略有效地控制流标签的分配。 

图5为本发明流标签分配方法的实施例三的流程示意图，本实施例三包括以下步骤： 

步骤1为设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别； 

步骤200为所述设于网络侧的流标签分配装置根据预设的流量类别分配策略判断是否接受所述流量类别，是则执行步骤201，否则执行步骤202； 

步骤201为根据所述流量类别生成对应的流标签，然后执行步骤205； 

步骤202为根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并向所述设于用户设备中的流标签请求装置发送包括所分配的流量类别的第二响应消息，然后执行步骤203； 

步骤203为判断所述流标签请求装置是否返回包括所述分配的流量类别的第二请求消息，是则执行步骤204，否则结束本次流标签分配流程； 

步骤204为所述流标签分配装置收到该请求消息后根据所分配的流量类别生成对应的流标签，然后执行步骤205； 

在步骤205中根据预设的规则保存该流标签对应的状态信息，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置。 

在本实施例三中，采用了协商分配的方式，流标签分配装置根据预设的流量类别分配策略判断是否接受所述流标签请求装置发送的流量类别，如果不接受则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并通过步骤202、步骤203及步骤204，与流标签请求装置进行流量类别的协商，如果协商成功则根据所分配的流量类别生成对应的流标签。通过这种协商分配的方式，流标签分配装置能够根据预设的流量类别分配策略有效地控 制流标签的分配，并能够兼顾流标签请求装置所在的用户设备的需求。 

在上述实施例一至三中可在网络侧的接入设备中设置所述流标签分配装置，所述接入设备包括宽带远程接入(BRAS)服务器、多业务控制网关、边缘路由器、接入路由器，当接入设备实现了服务器的功能(比如动态主机配置服务器即DHCP服务器)时也属于这种情况。这种设置方式能够提高流标签分配装置与流标签请求装置的交互效率，并且在后续接入设备根据流标签分配装置保存的流标签的状态信息来对流标签进行鉴别时，能够大大提高效率。 

如图6所示，为本发明流标签分配方法的实施例四的流程示意图，本实施例四中给出了在网络侧的接入设备中设置所述流标签分配装置的应用场景下的流标签分配过程示例，详细过程如下： 

步骤601，设在用户设备中的流标签请求装置向设在网络侧的BRAS设备中的流标签分配装置发送扩展的ICMPv6消息(比如：新增一种消息类型，如199)，请求流标签；消息中包括流量类别； 

步骤602，设在BRAS设备中的流标签分配装置收到ICMPv6消息后，判断出用户设备请求流标签，通过检查本地策略判断是否可以提供相应流量类别； 

可选地，当设在BRAS设备中的流标签分配装置发现无法提供用户设备请求的流量类别，可以和用户设备进行协商； 

步骤603，设在BRAS设备中的流标签分配装置生成流标签； 

步骤604，设在BRAS设备中的流标签分配装置通过ICMPv6消息向设在用户设备中的流标签请求装置返回流标签，消息中还可能包括流标签对应的生命期等信息；如果分配失败，可以在响应消息中返回失败原因。 

优选地，在上述实施例一至三中，也可在网络侧的服务器中设置所述流标签分配装置，并使所述流标签分配装置经由接入设备与所述设于用户设备中的流标签请求装置进行交互。所述服务器包括但不限于认证授权计费服务器、动态主机配置协议服务器、二层隧道传输协议服务器、以及专用于流标签分配的服务器。这种设置方式在后续接入设备根据流标签分配装置保存的 流标签的状态信息来对流标签进行鉴别时，需要接入设备与设置在网络侧的服务器中的流标签分配装置进行交互。 

如图7所示，为本发明流标签分配方法的实施例五的流程示意图，本实施例四中给出了在网络侧的服务器中设置所述流标签分配装置的应用场景下的流标签分配过程示例，具体包括： 

步骤701，用户设备中设置的流标签请求装置向网络侧的DHCP服务器发送扩展的DHCPv6消息(比如：新增一种流标签选项域，在请求消息中指明这种新增的域)，请求流标签；消息中包括流量类别； 

步骤702，所述DHCPv6消息由BRAS设备进行中转，BRAS设备收到该DHCPv6请求消息后，将消息发送给网络侧的DHCP服务器； 

步骤703，DHCP服务器中设置的流标签分配装置判断出用户设备请求流标签，通过检查本地策略判断是否可以提供相应流量类别； 

可选地，当DHCP服务器中设置的流标签分配装置发现无法提供用户设备请求的流量类别，可以和用户设备进行协商； 

步骤704，DHCP服务器中设置的流标签分配装置生成流标签； 

步骤705，DHCP服务器中设置的流标签分配装置向用户设备发送DHCPv6响应消息，该消息中包括流标签，还可能包括流标签对应的生命期等信息；如果分配失败，可以在响应消息中返回失败原因； 

步骤706，所述DHCPv6消息由BRAS设备进行中转，BRAS设备将该DHCPv6响应消息发送给用户设备。 

本发明技术方案不限定使用任何预设的算法生成流标签。此处给出的算法实例如下： 

方法一： 

根据流量类别、流的源地址、流的目的地址(可选)进行哈希运算，生成流标签中和特定源节点相关的部分P1。 

调用随机算法产生一个标识当次请求流的随机值P2(主要是当在同一个 源节点和目的节点对之间存在多个相同流量类别的流时用来区分流，一种随机值的范例是采用接收到生成流标签请求的时间)。 

将上述P1和P2组合成完整的流标签。 

方法二：直接采用流量类别、流的源地址、流的目的地址(可选)和随机值直接产生完整的流标签。 

方法三：直接采用随机算法获取20位的流标签值。 

对于流标签的生命期和撤销流状态等机制：生命期可以由流标签分配装置所在物理设备对流标签设立定时器来实现，撤销流状态可以由流标签请求装置所在物理设备主动发起请求，也可以由流标签分配装置所在物理设备通过LRU(最近最少使用)方法淘汰不用的流标签。 

为避免流标签请求装置利用所述请求生成流标签的第一请求消息对流标签分配装置进行DoS攻击，流标签分配装置应该对流标签请求装置请求流标签的情况(如：请求次数、请求速率等)进行追踪，并对消息进行限速处理。 

对于上述分配过程中交互的消息，可以通过扩展现有的协议(如：ICMP协议、DHCP协议、AAA协议、EAP协议、L2TP协议等)，也可以定义新协议完成，只需要协议能够传送所述生成流标签请求和响应消息中的信息即可。为了方便上层应用扩展，网络层应提供通用接口，上层应用可以通过调用通用接口来获得流标签。 

图8为本发明流标签请求装置的实施例一的结构示意图，所述流标签请求装置设于用户设备中，包括发送模块80和接收模块81；发送模块80用于向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别；接收模块81用于接收所述流标签分配装置返回的包括流标签的第一响应消息。 

上述流标签请求装置的实施例一中，通过设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求，由设于网络侧的流标签分配装置分配流标签而非现有技术中的由用户设备自己分配流标签，从而能够使 网络侧设备能够对流标签的分配进行有效地控制。 

优选地，为了实现流标签分配装置与流标签请求装置对流量类别的协商过程，上述流标签请求装置的实施例一中还可包括第一协商模块，与接收模块81和发送模块80连接，用于在接收模块81接收到所述流标签分配装置发送的、包括该流标签分配装置所分配的流量类别的响应消息后，根据预设策略判断是否接受所述分配的流量类别，是则通知发送模块80向所述流标签分配装置返回包括所述分配的流量类别的第二请求消息，否则结束本次流标签分配流程。 

图9为本发明流标签分配装置的实施例一的结构示意图，所述流标签分配装置设于网络侧，包括发送模块90、接收模块91以及流标签生成模块92；接收模块91与流标签生成模块92连接，用于接收设于用户设备中的流标签请求装置发送的请求生成流标签的第一请求消息并通知流标签生成模块92，该第一请求消息中包括流量类别；流标签生成模块92与发送模块90连接，用于根据所述流量类别生成对应的流标签并通知发送模块90；发送模块90用于将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置。 

上述流标签分配装置的实施例一中，通过设于网络侧的流标签分配装置分配流标签并保存所分配的流标签对应的状态信息，而非现有技术中的由用户设备自己分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。 

进一步地，为了有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，参见图10所示的本发明流标签分配装置的实施例二的结构示意图，与上述本发明流标签分配装置的实施例一的区别在于：还包括存储模块93，与流标签生成模块92连接，用于在流标签生成模块92生成流标签后根据预设的规则保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述存储模块93获取对应的所述状态信 息，判断该状态信息是否与该数据包中携带的流标签的对应信息一致，是则转发该数据包，否则丢弃该数据包。通过增设所述存储模块93以保存所分配的流标签对应的状态信息，从而能够避免现有技术中网络侧设备无法获知用户设备所分配的流标签的状态信息，因而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务攻击的缺陷，使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。 

优选地，上述流标签分配装置的实施例一中，所述流标签分配装置可设于网络侧的接入设备中或者网络侧的服务器中，其中，所述接入设备包括但不限于宽带远程接入服务器、多业务控制网关、边缘路由器、接入路由器，当接入设备实现了服务器的功能(比如DHCP服务器)时，也属于这种情况；所述服务器包括但不限于认证授权计费服务器、动态主机配置协议服务器、二层隧道传输协议服务器、以及专用于流标签分配的服务器。流标签分配装置设于网络侧的接入设备中的设置方式能够提高流标签分配装置与流标签请求装置的交互效率，并且在后续接入设备根据流标签分配装置保存的流标签的状态信息来对流标签进行鉴别时，能够大大提高效率。流标签分配装置设于网络侧的服务器中的设置方式在后续接入设备根据流标签分配装置保存的流标签的状态信息来对流标签进行鉴别时，需要接入设备与设置在网络侧的服务器中的流标签分配装置进行交互。 

流标签分配装置也可根据预设的流量类别分配策略判断是否接受流标签请求装置发送的流量类别，从而能够对流标签的分配进行有效地控制，具体而言，可选择强制分配方式或协商分配方式。 

为了实现强制分配方式，流标签生成模块92可用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设 备分配对应的流量类别，并根据所分配的流量类别生成对应的流标签。通过这种强制分配的方式，流标签分配装置能够根据预设的流量类别分配策略有效地控制流标签的分配。 

为了实现协商分配模式，流标签生成模块92也可包括第二协商模块，用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并向所述设于用户设备中的流标签请求装置发送包括所分配的流量类别的第二响应消息，如果所述流标签请求装置接受所述分配的流量类别，则返回包括所述分配的流量类别的第二请求消息，所述流标签分配装置收到该请求消息后根据所分配的流量类别生成对应的流标签；如果所述流标签请求装置不接受所述分配的流量类别则结束本次流标签分配流程。通过这种协商分配的方式，流标签分配装置能够根据预设的流量类别分配策略有效地控制流标签的分配，并能够兼顾流标签请求装置所在的用户设备的需求。 

图11为本发明流标签分配系统的实施例一的结构示意图，本实施例一包括设于用户设备中的流标签请求装置110以及设于网络侧的流标签分配装置111；流标签请求装置110用于向设于网络侧的流标签分配装置111发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别，以及接收所述流标签分配装置返回的包括流标签的第一响应消息；流标签分配装置111用于根据流标签请求装置110发送的请求生成流标签的第一请求消息中包括的流量类别生成对应的流标签，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置110。 

上述流标签分配系统的实施例一中，通过设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求，由设于网络侧的流标签分配装置分配流标签，而非现有技术中的由用户设备自己分配流标签，从而能够使网络侧设备对流标签的分配进行有效地控制。 

进一步地，为了有效地防止非法用户伪造流标签进行服务窃取和DoS攻击，在上述流标签分配系统的实施例一中，所述流标签分配装置还可包括存储模块，与所述流标签生成模块连接，用于在流标签生成模块生成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，判断该状态信息是否与该数据包中携带的流标签的对应信息一致，是则转发该数据包，否则丢弃该数据包。通过增设所述存储模块以保存所分配的流标签对应的状态信息，从而能够避免现有技术中网络侧设备无法获知用户设备所分配的流标签的状态信息，因而无法杜绝非法用户伪造流标签进行服务窃取和拒绝服务攻击的缺陷，并使得网络侧的接入设备在收到带有流标签的数据包时能够根据所述设于网络侧的流标签分配装置所保存的流标签对应的状态信息，判断所收到的数据包中携带的流标签是否有效，从而能够有效地防止非法用户伪造流标签进行服务窃取和DoS攻击。 

优选地，上述流标签分配系统的实施例一中，流标签分配装置111也可根据预设策略判断是否接受流标签请求装置发送的流量类别，从而能够对流标签的分配进行有效地控制，具体而言，可选择强制分配方式或协商分配方式。 

为了实现强制分配方式，上述流标签分配系统的实施例一中，流标签分配装置111还可包括第三协商模块，用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并根据所分配的流量类别生成对应的流标签。通过这种强制分配的方式，流标签分配装置能够根据预设的流量类别分配策略有效地控制流标签的分配。 

为了实现协商分配模式，上述流标签分配系统的实施例一中，流标签请求装置110还可包括第四协商模块，用于在流标签请求装置接收到所述流标 签分配装置发送的、包括该流标签分配装置所分配的流量类别的响应消息后，根据预设策略判断是否接受所述分配的流量类别，是则所述流标签请求装置向所述流标签分配装置返回包括所述分配的流量类别的第二请求消息，否则结束本次流标签分配流程。所述流标签分配装置还可包括第五协商模块，用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并向所述设于用户设备中的流标签请求装置发送包括所分配的流量类别的第二响应消息，如果所述流标签请求装置接受所述分配的流量类别，则返回包括所述分配的流量类别的第二请求消息，所述流标签分配装置收到该请求消息后根据所分配的流量类别生成对应的流标签；如果所述流标签请求装置不接受所述分配的流量类别则结束本次流标签分配流程。通过这种协商分配的方式，流标签分配装置能够根据预设的流量类别分配策略有效地控制流标签的分配，并能够兼顾流标签请求装置所在的用户设备的需求。 

所述流标签分配装置可设于网络侧的接入设备中，其中，所述接入设备包括但不限于宽带远程接入服务器、多业务控制网关、边缘路由器、接入路由器，当接入设备实现了服务器的功能(比如DHCP服务器)时，也属于这种情况。如图12所示，为本发明流标签分配系统的实施例二的结构示意图，流标签请求装置设于用户设备120中，流标签分配装置设于网络侧的接入设备BRAS设备121中，用户设备120和BRAS设备121之间使用ICMPv6协议或者其他协议进行通信。这种将流标签分配装置设于网络侧的接入设备中的设置方式能够提高流标签分配装置与流标签请求装置的交互效率，并且在后续接入设备根据流标签分配装置保存的流标签的状态信息来对流标签进行鉴别时，能够大大提高效率。 

或者，所述流标签分配装置也可设于网络侧的服务器中，所述服务器包括但不限于认证授权计费服务器、动态主机配置协议服务器、二层隧道传输 协议服务器、以及专用于流标签分配的服务器。这种将流标签分配装置设于网络侧的服务器中的设置方式在后续接入设备根据流标签分配装置保存的流标签的状态信息来对流标签进行鉴别时，需要接入设备与设置在网络侧的服务器中的流标签分配装置进行交互。如图13所示，为本发明流标签分配系统的实施例三的结构示意图，在用户设备130和网络侧的DHCP服务器131间还存在其他中间设备，流标签请求装置设于用户设备130中，流标签分配装置设于DHCP服务器131中。中间设备132作为用户设备130的代理，BRAS设备132实现设于用户设备130中的流标签请求装置与设于DHCP服务器131中的流标签分配装置之间的通信。 

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围。 

Claims (14)

1.一种流标签分配方法，其特征在于，包括：

设于用户设备中的流标签请求装置向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别、流源地址和流目的地址；

设于网络侧的流标签分配装置根据所述流量类别生成对应的流标签，并保存该流标签对应的状态信息，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置；

网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作。

2.根据权利要求1所述的方法，其特征在于，所述网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作，包括：

所述网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置获取对应的所述状态信息，判断该状态信息是否与该数据包中携带的流标签的对应信息一致，是则转发该数据包，否则丢弃该数据包。

3.根据权利要求2所述的方法，其特征在于：所述状态信息包括所述流源地址和流目的地址；或者所述状态信息包括所述流源地址、流目的地址以及流量类别；或者所述状态信息包括所述流源地址、流目的地址、流量类别以及流标签分配时间。

4.根据权利要求1所述的方法，其特征在于，在所述设于网络侧的流标签分配装置根据所述流量类别生成对应的流标签之前还包括：设于网络侧的流标签分配装置根据预设的流量类别分配策略判断是否接受所述流量类别， 是则执行所述根据所述流量类别生成对应的流标签的操作；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，然后执行所述根据所述流量类别生成对应的流标签的操作。

5.根据权利要求1所述的方法，其特征在于，在所述设于网络侧的流标签分配装置根据所述流量类别生成对应的流标签之前还包括：设于网络侧的流标签分配装置根据预设的流量类别分配策略判断是否接受所述流量类别，是则执行所述根据所述流量类别生成对应的流标签的操作；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并向所述设于用户设备中的流标签请求装置发送包括所分配的流量类别的第二响应消息，如果所述流标签请求装置接受所述分配的流量类别，则返回包括所述分配的流量类别的第二请求消息，所述流标签分配装置收到该第二请求消息后根据所分配的流量类别生成对应的流标签；如果所述流标签请求装置不接受所述分配的流量类别则结束本次流标签分配流程。

6.根据权利要求1-5任一所述的方法，其特征在于：

在网络侧的接入设备中设置所述流标签分配装置；或者

在网络侧的服务器中设置所述流标签分配装置，该设在网络侧的服务器中的流标签分配装置经由接入设备与所述设于用户设备中的流标签请求装置进行交互；

其中，所述接入设备包括宽带远程接入服务器、多业务控制网关、边缘路由器、接入路由器；所述服务器包括认证授权计费服务器、动态主机配置协议服务器、二层隧道传输协议服务器、以及专用于流标签分配的服务器。

7.一种流标签请求装置，其特征在于：

所述流标签请求装置设于用户设备中，包括第一发送模块、第一接收模块和第一协商模块；

第一发送模块用于向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别； 

第一接收模块用于接收所述流标签分配装置返回的包括流标签的第一响应消息；

第一协商模块，与所述第一接收模块和第一发送模块连接，用于在第一接收模块接收到所述流标签分配装置发送的、包括该流标签分配装置所分配的流量类别的第二响应消息后，第一协商模块根据预设策略判断是否接受所述分配的流量类别，是则通知第一发送模块向所述流标签分配装置返回包括所述分配的流量类别的第二请求消息，否则结束本次流标签分配流程。

8.一种流标签分配装置，其特征在于：

所述流标签分配装置设于网络侧，包括第二发送模块、第二接收模块、流标签生成模块以及存储模块；

所述第二接收模块与流标签生成模块连接，用于接收设于用户设备中的流标签请求装置发送的用于请求生成流标签的第一请求消息，并通知流标签生成模块，该第一请求消息中包括流量类别；

所述流标签生成模块与所述第二发送模块连接，用于根据所述流量类别生成对应的流标签并通知第二发送模块；

所述第二发送模块用于将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置；

所述存储模块，与所述流标签生成模块连接，用于在流标签生成模块生成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作。

9.根据权利要求8所述的装置，其特征在于：所述流标签分配装置设于网络侧的接入设备中或者网络侧的服务器中，其中，所述接入设备包括宽带远程接入服务器、多业务控制网关、边缘路由器、接入路由器；所述服务器包括认证授权计费服务器、动态主机配置协议服务器、二层隧道传输协议服 务器、以及专用于流标签分配的服务器。

10.根据权利要求8所述的装置，其特征在于：所述流标签生成模块用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并根据所分配的流量类别生成对应的流标签。

11.根据权利要求8所述的装置，其特征在于：所述流标签生成模块包括第二协商模块，用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并向所述设于用户设备中的流标签请求装置发送包括所分配的流量类别的第二响应消息，如果所述流标签请求装置接受所述分配的流量类别，则返回包括所述分配的流量类别的第二请求消息，所述流标签分配装置收到该请求消息后根据所分配的流量类别生成对应的流标签；如果所述流标签请求装置不接受所述分配的流量类别则结束本次流标签分配流程。

12.一种流标签分配系统，其特征在于：

包括设于用户设备中的流标签请求装置以及设于网络侧的流标签分配装置；

所述流标签请求装置用于向设于网络侧的流标签分配装置发送请求生成流标签的第一请求消息，该第一请求消息中包括流量类别，以及接收所述流标签分配装置返回的包括流标签的第一响应消息；

所述流标签分配装置包括流标签生成模块和存储模块，所述流标签生成模块用于根据所述第一请求消息中包括的流量类别生成对应的流标签，并将包括该流标签的第一响应消息返回给所述设于用户设备中的流标签请求装置；

所述存储模块，与所述流标签生成模块连接，用于在流标签生成模块生 成流标签后保存该流标签对应的状态信息，并且网络侧的接入设备收到所述用户设备发送的携带流标签的数据包后，向所述流标签分配装置的存储模块获取对应的所述状态信息，并根据所述状态信息判断所述流标签是否有效，并执行相应动作。

13.根据权利要求12所述的系统，其特征在于：

所述流标签分配装置还包括第三协商模块，用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并根据所分配的流量类别生成对应的流标签。

14.根据权利要求12所述的系统，其特征在于：

所述流标签请求装置还包括第四协商模块，用于在流标签请求装置接收到所述流标签分配装置发送的、包括该流标签分配装置所分配的流量类别的第二响应消息后，根据预设策略判断是否接受所述分配的流量类别，是则所述流标签请求装置向所述流标签分配装置返回包括所述分配的流量类别的第二请求消息，否则结束本次流标签分配流程；

所述流标签分配装置还包括第五协商模块，用于根据预设的流量类别分配策略判断是否接受所述第一请求消息中包括的流量类别，是则根据所述流量类别生成对应的流标签；否则根据预设的流量类别分配策略为该用户设备分配对应的流量类别，并向所述设于用户设备中的流标签请求装置发送包括所分配的流量类别的第二响应消息，如果流标签请求装置接受所述分配的流量类别，则返回包括所述分配的流量类别的第二请求消息，所述流标签分配装置收到该第二请求消息后根据所分配的流量类别生成对应的流标签；如果流标签请求装置不接受所述分配的流量类别则结束本次流标签分配流程。 

Images