CN101540715B - 一种保护快速切换的方法、系统及设备 - Google Patents

Abstract

本发明实施例公开了一种保护快速切换的方法、系统及设备，该方法包括以下步骤：新接入路由器接收切换发起消息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数；新接入路由器进行地址冲突检测，当检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址，并通知所述移动终端。本发明在NCoA地址存在地址冲突时，NAR基于CGA方法为MN重新分配NCoA地址，完善了SeND协议保护快速切换。

Description

一种保护快速切换的方法、系统及设备

技术领域

本发明涉及通信技术领域，尤其涉及一种保护快速切换的方法、系统及设备。 

背景技术

FMIPv6(Fast Handovers for Mobile IPv6，移动IPv6快速切换)对移动IPv6进行了扩展，以减小切换时延。其中RtSolPr(Router Solicitation for ProxyAdvertisement，路由器请求代理通告)、PrRtAdv(Proxy Router Advertisement，代理路由器通告)消息用于在MN(Mobile Node，移动节点)即将发生切换前向PAR(Previous Access Router，前接入路由器)请求获取新接入链路的相关参数，包括新接入链路的子网前缀信息。MN使用新接入链路的子网前缀，预先配置好在新接入链路上的NcoA(New CoA，新转交地址)。随后，MN向PAR发送一个FBU(Fast Binding Update，快速绑定更新)消息，用来指示PAR建立绑定关系；PAR将收到发往目的地址为PCoA(Previous CoA，前转交地址)的MN的报文隧道发送到NcoA；PAR返回FBack(Fast BindingAcknowledgment，快速绑定更新确认)消息至MN，确定PCoA到NCoA的绑定关系。在确定PCoA到NCoA的绑定关系之前，PAR还应该发送HI(HandoverInititate，切换发起)消息到NAR(New Access Router，新接入路由器)，由NAR检测NCoA在新接入链路上是否存在地址冲突、是否可用，如果NCoA存在地址冲突，则NAR需要为MN在新接入链路上重新分配一个NCoA，并且通过HAck(Handover Acknowledge，切换确认)响应消息返回给PAR，PAR更新PCoA到新NCoA的绑定关系，并返回新NCoA给MN使用。 

在FMIPv6中，如果FBU消息没有得到安全保护，攻击者可以发送一个伪造的FBU消息，来窃取移动节点的流量或者将其流量重定向到一个其它的地址。因此，现有技术提出了一种通过SeND(Secure Neighbor Discovery，安全邻居发现)协议保护，由PAR向MN分发一个共享切换密钥，MN和PAR使用这一切换密钥来保护FBU消息，具体过程如下：MN首先产生一对公私密钥：切换密钥加密公钥、切换密钥解密私钥，用来在切换密钥分发时进行加、解密保护。MN在发送RtSolPr消息时，携带切换密钥请求选项，该选项还包含切换密钥加密公钥，PAR在收到RtSolPr消息后，使用切换密钥加密公钥来加密一个切换密钥，并通过PrRtAdv消息发送给MN。MN收到PAR的PrRtAdv消息后，使用切换密钥解密私钥解密出切换密钥，当MN向PAR送FBU消息时，可以使用该切换密钥生成其授权的MAC(Message Authentication Code，消息认证码)，供PAR进行验证。

另外，为了验证MN和PAR间RtSolPr、PrRtAdv消息的真实性、完整性以及防重放攻击等，SeND协议要求RtSolPr消息的源地址PCoA是基于CGA方法生成的转交地址，并且在MN发送RtSolPr消息时携带生成PCoA的CGA参数选项(包括：随机数、子网前缀、冲突计数、产生此CGA地址的MN的公钥、扩展字段)，PAR使用生成PCoA的CGA参数选项来验证RtSolPr消息；同样，要求PAR地址也是基于CGA方法生成，MN以此来验证PrRtAdv消息。 

在实现本发明的过程中，发明人发现现有技术仍然存在以下缺点： 

现有技术中，当此次切换完成，MN不断移动，进入下次切换时，NAR变换成为了前接入路由器，NCoA也相应的变换成为了前转交地址，为了能继续进行SeND协议保护，要求MN在新接入链路上的转交地址NCoA也需要基于CGA方法生成。但当NAR收到HI消息进行NCoA地址冲突检测时，如果NCoA在新接入链路上存在地址冲突，NAR由于缺少生成NCoA的CGA参数选项，而无法按照CGA方法重新生成NCoA，导致基于SeND协议保护快速切换将无法再继续进行。 

发明内容

本发明实施例提供了一种保护快速切换的方法、系统及设备，保证SeND协议保护快速切换的安全。 

本发明实施例提供了一种保护快速切换的方法，包括以下步骤： 

新接入路由器接收切换发起消息，所述消息中携带移动终端生成新转交  地址的密码学生成地址参数； 

新接入路由器进行地址冲突检测，当检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址，并通知所述移动终端； 

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥以及新接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段重新计算转交地址。 

本发明实施例提供了一种保护快速切换的系统，包括以下步骤： 

移动终端，用于将携带移动终端生成新转交地址的密码学生成地址参数的消息发送给前接入路由器； 

前接入路由器，用于将移动终端发送的新转交地址的密码学生成地址参数通过切换发起消息转发给新接入路由器； 

新接入路由器，用于接收切换发起消息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数；进行地址冲突检测，当检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址，并通知所述移动终端； 

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥以及新接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段重新计算转交地址。 

本发明实施例提供了一种移动终端，包括： 

参数传送单元，用于将携带移动终端生成新转交地址的密码学生成地址参数通过路由器请求代理通告或快速绑定更新消息发送给接入路由器，其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，新接入路由器使用所述公钥以及所述新接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段重新计算转交地址。 

本发明实施例提供了一种接入路由器，包括： 

接收单元，用于接收切换发起消息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数； 

检测单元，用于检测预先配置的新转交地址是否存在冲突； 

计算单元，用于检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址； 

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥以及新接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段重新计算转交地址。 

本发明的实施例中，在NCoA地址存在地址冲突时，NAR基于CGA方法为MN重新分配NCoA地址，完善了SeND协议保护快速切换。 

附图说明

图1是本发明实施例一中保护快速切换的方法流程图； 

图2是本发明实施例二中保护快速切换的方法流程图； 

图3是本发明实施例三中保护快速切换的方法流程图； 

图4是本发明实施例四中保护快速切换的方法流程图； 

图5是本发明实施例中一种保护快速切换的系统结构图。 

具体实施方式

本发明实施例一中一种保护快速切换的方法如图1所示，包括以下步骤： 

步骤101，MN向PAR发送RtSolPr消息。 

步骤102，PAR向MN发送PrRtAdv消息。 

步骤103，MN基于CGA方法生成NcoA。其中，CGA地址生成方法包括以下步骤： 

1)随机设置随机数值； 

2)从左到右连接随机数、9个字节长的零值、生成地址的公钥、扩展字段，对此连接执行SHA-1哈希运算，运算结果的左112比特位值记录为Hash2； 

3)比较Hash2的左16*Sec(Sec为安全参数，取值范围为0～7)比特位是否都为0，如果都是，那么继续步骤4)，否则，将随机数值加1，重回步骤2)； 

4)设置冲突计数为0； 

5)从左到右连接随机数、子网前缀、冲突计数、生成地址的公钥、扩展字段，对此连接执行SHA-1哈希运算，运算结果的左64比特位值记录为Hash1； 

6)将Sec写入Hash1值的bits 0～bits 2，设置Hash1值的bits 6、bits 7为0(从Hash1的左边开始标识为bits 0)，即形成了IPv6地址的接口标识符； 

7)由“子网前缀+接口标识符”合成IPv6地址； 

8)执行地址冲突检测时，如果存在地址冲突，那么将冲突计数加1，并回到步骤5)重新计算，如果存在三次冲突，则停止CGA地址的生成，并报告错误。 

步骤104，MN向PAR发送FBU消息。 

步骤105，PAR建立PcoA与NcoA的初始绑定关系。 

步骤106，PAR向NAR发送HI消息，该消息中携带MN生成NCoA的CGA参数选项，包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段。 

步骤107，NAR代理NCoA执行DAD(重复地址检测)，当NAR检测到MN预先配置的NCoA在新接入链路上存在地址冲突时，由NAR使用生成NCoA的CGA参数选项基于CGA方法重新计算NCoA(CGA参数选项中含有冲突计数字段，当使用CGA方法计算出的地址在网络中存在地址冲突时，可以修改冲突计数字段值，重新计算一个新的地址，冲突计数字段值取值范围为0、1、2，初始值为0)，并进行冲突检测，如果NCoA还存在地址冲突，则继续使用CGA方法重新计算NCoA，直到计算的NCoA不存在地址冲突。 

步骤108，NAR通过HAck消息将重新计算的NCoA地址、以及计算NCoA地址时的CGA参数选项响应发给PAR。HAck消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段，如果NAR只修改了冲突计数字段，也可以只携带冲突计数字段值返回给PAR。 

步骤109，PAR确定PCoA到NcoA的绑定关系。 

步骤110，PAR通过FBack消息转发给MN使用。FBack消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段，如果NAR只修改了冲突计数字段，也可以只携带冲突计数字段值返回给MN。 

本发明实施例二中，MN生成NCoA的CGA参数选项由FBU消息携带给PAR，具体过程如图2所示，包括以下步骤： 

步骤201，MN向PAR发送RtSolPr消息。 

步骤202，PAR向MN发送PrRtAdv消息。 

步骤203，MN基于CGA方法生成NcoA。 

步骤204，MN向PAR发送FBU消息。其中，FBU消息携带MN生成NCoA的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的  MN的公钥、扩展字段。 

步骤205，PAR初始绑定PCoA到NcoA。 

步骤206，PAR向NAR发送HI消息，该消息中携带MN生成NCoA的CGA参数选项，包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段。 

步骤207，NAR代理NCoA执行DAD(重复地址检测)，当NAR检测到MN预先配置的NCoA在新接入链路上存在地址冲突时，由NAR使用生成NCoA的CGA参数选项基于CGA方法重新计算NCoA(CGA参数选项中含有冲突计数字段，当使用CGA方法计算出的地址在网络中存在地址冲突时，可以修改冲突计数字段值，重新计算一个新的地址，冲突计数字段值取值范围为0、1、2，初始值为0)，并进行冲突检测，如果NCoA还存在地址冲突，则继续使用CGA方法重新计算NCoA，直到计算的NCoA不存在地址冲突。 

步骤208，NAR通过HAck消息将重新计算的NCoA地址、以及计算NCoA地址时的CGA参数选项响应发给PAR。HAck消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段，如果NAR只修改了冲突计数字段，也可以只携带冲突计数字段值返回给PAR。 

步骤209，PAR确定PCoA到NcoA的绑定关系。 

步骤210，PAR通过FBack消息转发给MN使用。FBack消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段，如果NAR只修改了冲突计数字段，也可以只携带冲突计数字段值返回给MN。 

本发明实施例三中，HI消息可以只提供MN生成NCoA地址的MN的公钥，NAR根据自身配置的部分CGA参数选项来计算NCoA，具体过程如图3所示，包括以下步骤： 

步骤301，MN向PAR发送RtSolPr消息。 

步骤302，PAR向MN发送PrRtAdv消息。 

步骤303，MN基于CGA方法生成NcoA。 

步骤304，MN向PAR发送FBU消息。其中，FBU消息携带MN生成NCoA地址的MN的公钥。 

步骤305，PAR初始绑定PCoA到NcoA。 

步骤306，PAR向NAR发送HI消息，该消息中携带MN生成NCoA地址的MN的公钥。 

步骤307，当NAR检测到MN预先配置的NCoA在新接入链路上存在地址冲突时，由NAR使用生成NCoA的MN的公钥以及NAR自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段使用CGA方法重新计算NCoA，并进行冲突检测。如果NCoA还存在地址冲突，则继续使用CGA方法重新计算NCoA，直到计算的NCoA不存在地址冲突。 

步骤308，NAR通过HAck消息将重新计算的NCoA地址、以及计算NCoA地址时的CGA参数选项响应发给PAR。HAck消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段。 

步骤309，PAR确定PCoA到NcoA的绑定关系。 

步骤310，PAR通过FBack消息转发给MN使用。FBack消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段。 

本发明实施例四中，HI消息可以只提供MN生成NCoA地址的MN的公钥，NAR根据自身配置的部分CGA参数选项来计算NCoA，如图4所示，包括以下步骤： 

步骤401，MN向PAR发送RtSolPr消息。其中RtSolPr消息携带MN生成NCoA地址的MN的公钥，PAR收到RtSolPr消息后，将RtSolPr消息携带MN生成NCoA地址的MN的公钥进行缓存，在随后的HI消息中透传给NAR。 

步骤402，PAR向MN发送PrRtAdv消息。 

步骤403，MN基于CGA方法生成NcoA。 

步骤404，MN向PAR发送FBU消息。 

步骤405，PAR初始绑定PCoA到NcoA。 

步骤406，PAR向NAR发送HI消息，该消息中携带MN生成NCoA地址的MN的公钥。 

步骤407，当NAR检测到MN预先配置的NCoA在新接入链路上存在地址冲突时，由NAR使用生成NCoA的MN的公钥以及NAR自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段使用CGA方法重新计算NCoA，并进行冲突检测。如果NCoA还存在地址冲突，则继续使用CGA方法重新计算NCoA，直到计算的NCoA不存在地址冲突。 

步骤408，NAR通过HAck消息将重新计算的NCoA地址、以及计算NCoA地址时的CGA参数选项响应发给PAR。HAck消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段。 

步骤409，PAR确定PCoA到NcoA的绑定关系。 

步骤410，PAR通过FBack消息转发给MN使用。FBack消息携带NAR计算NCoA地址后的CGA参数选项包括：随机数、子网前缀、冲突计数、产生此NCoA地址的MN的公钥、扩展字段。 

本发明实施例提供了一种保护快速切换的系统，如图5所示，包括：移动终端100，用于将携带移动终端生成新转交地址的密码学生成地址参数发送给前接入路由器；前接入路由器200，用于将移动终端发送的新转交地址的密码学生成地址参数通过切换发起消息转发给新接入路由器；新接入路由器300，用于接收切换发起消息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数；进行地址冲突检测，当检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址，并通知所述移动终端100。 

其中，移动终端100具体包括：参数传送单元110，用于将携带移动终端生成新转交地址的密码学生成地址参数通过路由器请求代理通告或快速绑定更新消息发送给前接入路由器。 

其中，新接入路由器300具体包括：接收单元310，用于接收切换发起消  息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数；检测单元320，用于检测预先配置的新转交地址是否存在冲突；计算单元330，用于检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址。存储单元340，用于存储自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段。 

本发明的实施例中，在NCoA地址存在地址冲突时，NAR基于CGA方法为MN重新分配NCoA地址，完善了SeND协议保护快速切换。 

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。 

Claims (4)

1.一种保护快速切换的方法，其特征在于，包括以下步骤：

新接入路由器接收切换发起消息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数，其中，新接入路由器接收切换发起消息，所述消息中携带移动终端生成新转交地址的密码学生成地址参数包括：

前接入路由器通过路由器请求代理通告或快速绑定更新消息接收来自移动终端的所述参数，所述前接入路由器通过切换发起消息将所述参数发送给所述新接入路由器；

新接入路由器进行地址冲突检测，当检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址，并通知所述移动终端；

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥以及新接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段，采用加密产生地址CGA方法重新计算转交地址；

或，

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥、随机数、子网前缀、冲突计数、扩展字段；所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥、随机数、子网前缀、冲突计数、扩展字段，采用加密产生地址CGA方法重新计算转交地址。

2.一种保护快速切换的系统，其特征在于，包括以下部件：

移动终端，用于将携带移动终端生成新转交地址的密码学生成地址参数的消息，通过路由器请求代理通告或快速绑定更新消息发送给前接入路由器；

前接入路由器，用于将移动终端发送的新转交地址的密码学生成地址参数通过切换发起消息转发给新接入路由器；

新接入路由器，用于接收切换发起消息，所述切换发起消息中携带移动终端生成新转交地址的密码学生成地址参数；进行地址冲突检测，当检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址，并通知所述移动终端；

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥以及新接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段，采用加密产生地址CGA方法重新计算转交地址；

或，

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥、随机数、子网前缀、冲突计数、扩展字段；所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥、随机数、子网前缀、冲突计数、扩展字段，采用加密产生地址CGA方法重新计算转交地址。

3.一种接入路由器，其特征在于，包括：

接收单元，用于接收前接入路由器发送的切换发起消息，所述切换发起消息中携带移动终端生成新转交地址的密码学生成地址参数，其中，所述前接入路由器通过路由器请求代理通告或快速绑定更新消息接收来自移动终端的所述参数；

检测单元，用于检测预先配置的新转交地址是否存在冲突；

计算单元，用于在检测到存在地址冲突时，使用所述密码学生成地址参数重新生成转交地址；

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥，所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥以及接入路由器自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段，采用加密产生地址CGA方法重新计算转交地址；

或，

其中，所述移动终端生成新转交地址的密码学生成地址参数包括移动终端生成新转交地址的公钥、随机数、子网前缀、冲突计数、扩展字段；所述使用所述密码学生成地址参数重新生成转交地址具体包括：使用所述公钥、随机数、子网前缀、冲突计数、扩展字段，采用加密产生地址CGA方法重新计算转地址。

4.如权利要求3所述接入路由器，其特征在于，还包括：

存储单元，用于存储自身配置的安全参数、随机数、子网前缀、冲突计数、扩展字段。

Images