CN101567891A - 源地址验证方法、装置及系统 - Google Patents

Abstract

本发明实施例提供了一种源地址验证方法，包括：接收网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址。本发明实施例还提供一种源地址验证装置、一种报文转发方法及装置、一种源地址验证系统。本发明实施例在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

Description

源地址验证方法、装置及系统

技术领域

本发明涉及通信领域，特别涉及一种源地址验证方法、装置及系统。

背景技术

在通信系统中，网关设备接收到从内部网络发送的数据后，一般需要验证数据的源地址，以防止攻击者利用伪造IP地址发送数据。

现有的验证源地址的方法一般有两种。一种是入口过滤法，由于网关设备中存储了内部网络主机的网络层地址，即互联网协议(Internet Protocol；以下简称：IP)地址，因此当接收到从内部网络发送的数据后，若检测到该数据的源地址不是内部网络主机的IP地址，则认为该数据是攻击者利用伪造IP地址发送的数据，将其丢弃而不予转发。

另一种是链路层地址绑定法，由于网络主机具有唯一的且相互对应的IP地址和链路层地址，因此，网关设备首次接收到从内部网络发送的数据时，将其IP地址和链路层地址进行绑定并存储，当接收到从内部网络发送的数据后，网关设备检测该数据的IP地址和链路层地址，若其对应关系与已存储的绑定关系不一致，则认为该数据是攻击者利用伪造IP地址发送的数据，将其丢弃而不予转发。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：采用入口过滤法，只能检测出采用外部网络IP地址，若攻击者利用本网内部其他网络主机的IP地址发送数据，则网关设备无法检测出这种攻击；对于采用链路层地址绑定法，如果首次接收到从内部网络发送的数据就被攻击者伪造IP地址，那么绑定时就采用了错误的绑定关系，则后续也无法检测出正确的绑定关系，另外当采用移动互联网协议版本6(Mobile Internet Protocolversion 6；以下简称MIPv6)时，由于节点频繁移动，绑定关系难以维持，也无法检测出伪造源地址的攻击。

发明内容

本发明实施例提供了一种源地址验证方法、装置及系统，以提高报文伪造源地址检测的准确性。

本发明实施例提供了一种源地址验证方法，包括：

接收网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；

将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；

在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址。

本发明实施例提供了一种报文转发方法，包括：

获取接收到的报文的第二报文特征及所述报文的源地址；

向所述源地址对应的网络主机发送检测消息，所述检测消息包括所述接收到的报文的第二报文特征；

若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是真实地址的信息，则转发所述报文。

本发明实施例提供了一种源地址验证装置，包括：

接收模块，用于接收网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；

匹配模块，用于将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；

第一处理模块，用于在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址。

本发明实施例提供了一种报文转发装置，包括：

获取模块，用于获取接收到的报文的第二报文特征及所述报文的源地址；

发送模块，用于向所述获取模块获取的所述源地址对应的网络主机发送检测消息，所述检测消息包括所述接收到的报文的第二报文特征；

第二处理模块，用于若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是真实地址的信息，则转发所述报文。

本发明实施例提供了一种源地址验证系统，包括：网络主机和网关设备；

所述网络主机，用于接收所述网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址；

所述网关设备，用于获取接收到的报文的第二报文特征及所述报文的源地址；向所述源地址对应的网络主机发送检测消息，所述检测消息包括所述接收到的报文的第二报文特征；若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是真实地址的信息，则转发所述报文。

本发明实施例通过提供一种源地址验证方法、装置及系统，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明源地址验证方法第一实施例的流程图；

图2为本发明报文转发方法第一实施例的流程图；

图3为本发明源地址验证方法具体实施例的流程图；

图4为本发明源地址验证装置第一实施例的结构示意图；

图5为本发明源地址验证装置第二实施例的结构示意图；

图6为本发明报文转发装置第一实施例的结构示意图；

图7为本发明源地址验证系统实施例的系统框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施方式，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不用于限定本发明。

图1为本发明源地址验证方法第一实施例的流程图。如图1所示，本发明实施例提供了一种源地址验证方法，包括：

步骤101、接收网关设备发送的检测消息，该检测消息包括网关设备接收到的报文的第二报文特征；

步骤102、将该第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；

步骤103、在第二报文特征与第一报文特征匹配成功时，确认网关设备接收到的报文的源地址是真实地址。

在本实施例中，上述步骤可以由网络主机或手机等终端执行。例如，网络主机向网关设备发送报文时，预先存储该报文的第一报文特征。当网关设备接收到报文时，会将包括接收到的报文的第二报文特征的检测消息发送到该报文的源地址对应的网络主机，网络主机接收到网关设备发送的检测消息时，将该第二报文特征与预先存储的已发送报文的第一报文特征进行匹配，在该第二报文特征与第一报文特征匹配成功时，表明第二报文特征对应的报文为网络主机已发送的报文，则确认网关设备接收到的报文的源地址是真实地址。

本发明实施例中的网关设备具体可以为与网络主机直接连接的第一跳路由器或者防火墙。

另外，本发明实施例中的第一报文特征和第二报文特征均能够唯一标识其对应的报文，如，可以为报文的校验和(Checksum)等。

本发明实施例通过提供一种源地址验证方法，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

在上述技术方案的基础上，本发明方法第一实施例还可以包括：在第二报文特征与第一报文特征匹配不成功时，确认网关设备接收到的报文的源地址是伪造地址。

进一步地，本发明源地址验证方法第一实施例还可以包括：确认网关设备接收到的报文的源地址是真实地址之后，删除与第二报文特征匹配的第一报文特征。或者，网络主机发送报文并预先存储该报文的第一报文特征，当等待时间即第一报文特征的存储时间大于第一预设时间时还未收到网关设备发送的检测消息时，则删除存储在网络主机中的第一报文特征，以释放空间。

上述步骤同样可以由网络主机或手机等终端执行。

本发明实施例通过提供一种源地址验证方法，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

图2为本发明报文转发方法第一实施例的流程图。如图2所示，本发明实施例提供了一种报文转发方法，包括：

步骤201、获取接收到的报文的第二报文特征及该报文的源地址；

步骤202、向该源地址对应的网络主机发送检测消息，该检测消息包括接收到的报文的第二报文特征；

步骤203、若接收到来自该源地址对应的网络主机发送的确认网关设备接收到的报文的源地址是真实地址的信息，则转发该报文。

在本实施例中，上述步骤可以由网关设备执行。例如，当网关设备接收到报文时，获取该报文的第二报文特征以及该报文的源地址，将包括第二报文特征的检测消息发送到该源地址对应的网络主机，若网关设备接收到来自该源地址对应的网络主机发送的信息，该信息确认网关设备接收到的报文的源地址是真实地址，则转发该报文。

本发明实施例通过提供一种报文转发方法，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，如果验证出报文的源地址是真实的，则进行转发，保证了网络安全。

在上述技术方案的基础上，本发明报文转发方法第一实施例还可以包括：若接收到来自该源地址对应的网络主机发送的确认网关设备接收到的报文的源地址是伪造地址的信息，则丢弃该报文。

上述步骤同样可以由网关设备执行。当网关设备将第二报文特征发送到源地址对应的网络主机后等待的时间大于第二预设时间时，为了不阻断可能的正常通信，通常认为该源地址是真实地址；或者用户可以提前定制当等待时间大于第二预设时间时的后续转发或丢弃操作，网关设备根据用于定制，确认该源地址是真实地址或伪造地址。

本发明实施例通过提供一种报文转发方法，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，如果验证出报文的源地址是真实的，则进行转发，否则丢弃该报文，保证了网络安全。

图3为本发明源地址验证方法具体实施例的流程图。如图3所示，本发明源地址验证方法提供了一种具体实施例，包括：

步骤301、网络主机存储报文的第一报文特征；

步骤302、网络主机通过网关设备发送该报文；

步骤303、网关设备接收到报文后，存储该报文，并获取该报文的第二报文特征及其源地址；

步骤304、网关设备向获取到的源地址对应的网络主机发送包括第二报文特征的检测消息，并等待；

步骤305、该源地址对应的网络主机接收到检测消息后，将该第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；

步骤306、根据匹配结果，在第二报文特征与第一报文特征匹配成功时，网络主机向网关设备发送确认(Acknowledge Character；以下简称：ACK)信息，确认网关设备接收到的报文的源地址是真实地址；在第二报文特征与第一报文特征匹配不成功时，向网关身背发送否认(Deny)信息，确认网关设备接收到的报文的源地址是伪造地址。

步骤307、网关设备根据接收到的ACK信息或者Deny信息进行后续转发或丢弃操作。

本发明实施例通过提供一种源地址验证方法，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

图4为本发明源地址验证装置第一实施例的结构示意图。如图4所示，本发明实施例提供了一种源地址验证装置，包括：接收模块401、匹配模块402和第一处理模块403。其中，接收模块401用于接收网关设备发送的检测消息，该检测消息包括网关设备接收到的报文的第二报文特征；匹配模块402用于将第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；第一处理模块403用于在第二报文特征与第一报文特征匹配成功时，确认网关设备接收到的报文的源地址是真实地址。

在本实施例中，当网关设备接收到报文时，会将包括接收到的报文的第二报文特征的检测消息发送到该报文的源地址对应的网络主机，接收模块401接收到网关设备发送的该检测消息时，获取该第二报文特征，匹配模块402将第二报文特征与预先存储的已发送报文的第一报文特征进行匹配，在第二报文特征与第一报文特征匹配成功时，第一处理模块403确认网关设备接收到的源地址是真实地址。

本发明实施例通过提供一种源地址验证装置，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

在上述技术方案的基础上，第一处理模块403还可以用于在第二报文特征与第一报文特征匹配不成功时，确认网关设备接收到的报文的源地址是伪造地址。

在本实施例中，接收模块401接收到网关设备发送的检测消息时，获取该第二报文特征，匹配模块402将第二报文特征与预先存储的已发送的第一报文特征进行匹配，在第二报文特征与第一报文特征匹配不成功时，第一处理模块403确认网关设备接收到的源地址是伪造地址。

图5为本发明源地址验证装置第二实施例的结构示意图。如图5所示，本发明提供的源地址验证装置还可以包括：删除模块501，该删除模块501用于在确认网关设备接收到的报文的源地址是真实地址之后，删除与第二报文特征匹配的第一报文特征。或者，网络主机发送报文时，预先存储该报文的第一报文特征，当等待时间即第一报文特征的存储时间大于第一预设时间时还未收到网关设备发送的检测消息，删除模块501则删除存储在网络主机中的第一报文特征，以释放空间。

本发明实施例通过提供一种源地址验证装置，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

图6为本发明报文转发装置第一实施例的结构示意图。如图6所示，本发明实施例提供了一种报文转发装置，包括：获取模块601、发送模块602和第二处理模块603。其中，获取模块601用于获取接收到的报文的第二报文特征及该报文的源地址；发送模块602用于向获取模块601获取的源地址对应的网络主机发送检测消息，该检测消息包括接收到的报文的第二报文特征；第二处理模块603用于若接收到来自源地址对应的网络主机发送的确认网关设备接收到的报文的源地址是真实地址的信息，则转发该报文。

在本实施例中，当网关设备接收到报文时，获取模块601获取该报文的第二报文特征以及该报文的源地址，发送模块602将包括该第二报文特征的检测消息发送到该源地址对应的网络主机，若网关设备接收到来自该源地址对应的网络主机的信息，该信息确认网关设备接收到的报文的源地址是真实地址，第二处理模块603转发该报文。

本发明实施例通过提供一种报文转发装置，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，如果验证出报文的源地址是真实的，则进行转发，保证了网络安全。

在上述技术方案的基础上，第二处理模块603还可以用于若接收到来自该源地址对应的网络主机发送的确认网关设备接收到的报文的源地址是伪造地址的信息，则丢弃该报文。

本发明实施例通过提供一种报文转发装置，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，如果验证出报文的源地址是真实的，则进行转发，否则丢弃该报文，保证了网络安全。

图7为本发明源地址验证系统实施例的系统框图。如图7所示，本发明实施例提供了一种源地址验证系统，包括：网络主机701和网关设备702。其中，网络主机701用于接收网关设备702发送的检测消息，该检测消息包括网关设备702接收到的报文的第二报文特征；将该第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；在第二报文特征与第一报文特征匹配成功时，确认网关设备702接收到的报文的源地址是真实地址；网关设备702用于获取接收到的报文的第二报文特征及该报文的源地址；向该源地址对应的网络主机701发送检测消息，该检测消息包括接收到的报文的第二报文特征；若接收到来自该源地址对应的网络主机701发送的确认网关设备702接收到的报文的源地址是真实地址的信息，则转发该报文。

本发明系统实施例中各装置的功能实现如上述装置实施例中的具体描述，在此不再赘述。

本发明实施例通过提供一种源地址验证系统，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

在上述技术方案的基础上，网络主机701还可以用于在第二报文特征与第一报文特征匹配不成功时，确认网关设备702接收到的报文的源地址是伪造地址；在确认网关设备702接收到的报文的源地址是真实地址之后，删除与第二报文特征匹配的第一报文特征，在第一报文特征的存储时间大于第一预设时间、且未收到网关设备702发送的检测消息时，删除预先存储的第一报文特征。

进一步地，网关设备702还可以用于若接收到来自源地址对应的网络主机701发送的确认网关设备702接收到的报文的源地址是伪造地址的信息，则丢弃该报文。

本发明实施例通过提供一种源地址验证系统，在网络主机和网关设备的双向交互中，利用用于标识报文的报文特征对网关设备接收到的报文的源地址进行验证，有效地提高了报文伪造源地址检测的准确性，保证了网络安全。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的硬件平台的方式来实现，当然也可以全部通过硬件来实施，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对其进行限制，尽管参照较佳实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这些修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的精神和范围。

Claims (10)

1、一种源地址验证方法，其特征在于，包括：

接收网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；

将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；

在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址。

2、根据权利要求1所述的源地址验证方法，其特征在于，还包括：在所述第二报文特征与所述第一报文特征匹配不成功时，确认所述网关设备接收到的报文的源地址是伪造地址。

3、根据权利要求1所述的源地址验证方法，其特征在于，还包括：

确认所述网关设备接收到的报文的源地址是真实地址之后，删除与所述第二报文特征匹配的所述第一报文特征。

4、一种报文转发方法，其特征在于，包括：

获取接收到的报文的第二报文特征及所述报文的源地址；

向所述源地址对应的网络主机发送检测消息，所述检测消息包括所述接收到的报文的第二报文特征；

若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是真实地址的信息，则转发所述报文。

5、一种源地址验证装置，其特征在于，包括：

接收模块，用于接收网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；

匹配模块，用于将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；

第一处理模块，用于在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址。

6、根据权利要求5所述的源地址验证装置，其特征在于，所述第一处理模块还用于在所述第二报文特征与所述第一报文特征匹配不成功时，确认所述网关设备接收到的报文的源地址是伪造地址。

7、根据权利要求5所述的源地址验证装置，其特征在于，还包括：

删除模块，用于在确认所述网关设备接收到的报文的源地址是真实地址之后，删除与所述第二报文特征匹配的所述第一报文特征。

8、一种报文转发装置，其特征在于，包括：

获取模块，用于获取接收到的报文的第二报文特征及所述报文的源地址；

发送模块，用于向所述获取模块获取的所述源地址对应的网络主机发送检测消息，所述检测消息包括所述接收到的报文的第二报文特征；

第二处理模块，用于若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是真实地址的信息，则转发所述报文。

9、根据权利要求8所述的报文转发装置，其特征在于，所述第二处理模块还用于若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是伪造地址的信息，则丢弃所述报文。

10、一种源地址验证系统，其特征在于，包括：网络主机和网关设备；

所述网络主机，用于接收所述网关设备发送的检测消息，所述检测消息包括所述网关设备接收到的报文的第二报文特征；将所述第二报文特征与预先存储的已发送报文的第一报文特征进行匹配；在所述第二报文特征与所述第一报文特征匹配成功时，确认所述网关设备接收到的报文的源地址是真实地址；

所述网关设备，用于获取接收到的报文的第二报文特征及所述报文的源地址；向所述源地址对应的网络主机发送检测消息，所述检测消息包括所述接收到的报文的第二报文特征；若接收到来自所述源地址对应的网络主机发送的确认所述网关设备接收到的报文的源地址是真实地址的信息，则转发所述报文。

Images