CN102271085A

CN102271085A - 报文交互方法及装置

Info

Publication number: CN102271085A
Application number: CN2011102064678A
Authority: CN
Inventors: 郭三军; 徐本崇
Original assignee: ZTE Corp
Current assignee: Nanjing Zhongxing Software Co Ltd
Priority date: 2011-07-22
Filing date: 2011-07-22
Publication date: 2011-12-07
Anticipated expiration: 2031-07-22
Also published as: CN102271085B

Abstract

本发明公开了一种报文交互方法及装置，该方法包括：使用扩展的PIM协议报文进行认证协商；使用与认证协商对应的数据进行报文交互。本发明可以解决相关技术中需要提前在有可能进行报文交互的所有DR和所有RP之间配置IPSec业务，从而会大幅增加RP的业务负担的问题，进而可以消除使用IPSec方法带来的额外通信开销。

Description

报文交互方法及装置

技术领域

本发明涉及通信领域，具体而言，涉及一种报文交互方法及装置。

背景技术

目前，PIM-SM是域内组播的公认标准，随着网络和组播业务的发展，其安全可靠性越来越受公众的关注。现有的PIM-SM安全策略主要是通过IPSec提供协议报文的数据完整性和数据源身份认证。

相关技术中，IPSec对本链路的报文(如Hello、Join/Prune、Assert)需要配置一个SA和SPI。例如，对于注册报文，RFC4601中建议域内所有PIM路由器使用同种认证算法和参数，包括所有DR和所有RP。

由此可见，IPSec的配置需要感知到报文收发两端的组网，即需要提前在有可能进行报文交互的所有DR和所有RP之间配置IPSec业务。显然，这将大幅增加RP的业务负担。

发明内容

针对相关技术中需要提前在有可能进行报文交互的所有DR和所有RP之间配置IPSec业务，从而会大幅增加RP的业务负担的问题而提出本发明，为此，本发明的主要目的在于提供一种报文交互方法及装置，以解决上述问题。

为了实现上述目的，根据本发明的一个方面，提供了一种报文交互方法。

根据本发明的报文交互方法包括：使用扩展的PIM协议报文进行认证协商；使用与认证协商对应的数据，进行报文交互。

优选地，对于链路内多个路由器之间的报文交互，扩展的PIM协议报文包括：定义有认证选项的Hello报文；定义有认证数据的PIM报文。

优选地，Hello报文中定义的认证选项包括以下至少之一：认证选项的选项类型；认证选项中的认证数据的长度；认证选项中的认证数据的值。

优选地，认证数据的值包括以下至少之一：认证数据的值的认证类型；认证数据的值的密钥标识号；认证数据的值的加密序列号；认证数据的值的密钥。

优选地，使用与认证协商对应的认证数据，进行报文交互包括：多个路由器中的任一路由器发送携带有认证数据的Hello报文，其中，认证数据中携带有密钥以及与密钥对应的密钥标识号；多个路由器中的其它路由器接收到该Hello报文；其它路由器根据本地认证配置以及密钥标识号验证接收的Hello报文；其它路由器根据验证结果，对接收的Hello报文进行协议处理或者丢弃。

优选地，使用与认证协商对应的认证数据，进行报文交互还包括：其它路由器判断接收收的Hello报文中的加密序列号是否大于上次保存的收到发送报文路由器的加密序列号；如果判断结果为是，则对接收的PIM报文进行协议处理，否则丢弃接收的PIM报文。

优选地，使用加密序列号，对PIM协议报文中的PIM-LAN部分和PIM协议报文中的PIM-UNICAST部分统一排序，每发送一次PIM协议报文加密序列号递增。

优选地，在使用扩展的PIM协议报文进行认证协商之前，上述方法还包括：在PIM协议报文中增加PA标记，其中PA标记用于指示接收报文具有认证字段。

优选地，对于域内DR与RP之间的单播报文交互，扩展的PIM协议报文包括：定义有认证选项的Register和Register-Stop报文；对于域内C-RP与BSR之间的单播报文交互，扩展的PIM协议报文包括：定义有认证选项的Candidate-RP-Adv报文；对于域内BSR泛洪的组播报文交互，扩展的PIM协议报文包括：定义有认证选项的BSM报文。

优选地，在使用扩展的PIM协议报文进行认证协商之前，上述方法还包括：在PIM协议报文中增加DA标记，其中DA标记用于指示发送报文的设备具备认证协商功能。

为了实现上述目的，根据本发明的另一个方面，提供了一种报文交互装置。

根据本发明的报文交互装置包括：认证协商模块，用于使用扩展的PIM协议报文进行认证协商；报文交互模块，用于使用与认证协商对应的数据，进行报文交互。

通过本发明，把认证协商流程附带于报文交互过程中，从而可以消除使用IPSec方法带来的额外通信开销。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的报文交互方法的流程图；

图2是根据本发明实施例的扩展后的PIM报文格式的示意图；

图3是根据本发明优选实施例的Hello报文中的认证选项的示意图；

图4是根据本发明优选实施例的认证数据的格式的示意图；

图5是根据本发明优选实施例的PA标记和DA标记的示意图；

图6是根据本发明实施例的BSM中A标记位置的示意图；

图7是根据本发明优选实施例的报文交互系统的示意图；

图8是根据本发明实施例的报文交互装置的结构框图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

图1是根据本发明实施例的报文交互方法的流程图，如图1所示，包括如下的步骤S102至步骤S104。

步骤S102，使用扩展的PIM协议报文进行认证协商。

步骤S104，使用与认证协商对应的认证数据，进行报文交互。

相关技术中，需要提前在有可能进行报文交互的所有DR和所有RP之间配置IPSec业务，从而会大幅增加RP的业务负担。本发明实施例中，把认证协商流程附带于报文交互过程中，从而可以消除使用IPSec方法带来的额外通信开销。

图2是根据本发明实施例的扩展后的PIM报文格式的示意图，其描述了在PIM报文尾部追加认证数据，其在PIM报文的位置如图2所示。

优选地，Hello报文中定义的认证选项包括以下至少之一：认证选项的选项类型；认证选项中的认证数据的长度；认证选项中的认证数据的值。图3是根据本发明优选实施例的Hello报文中的认证选项的示意图，如图3所示，选项类型(OptionType)为24，OptionLength用于指示认证数据的长度，OptionValue用于指示认证数据的值。进一步地，图4是根据本发明优选实施例的认证数据的格式的示意图，如图4所示，本地设备的PIM邻居发送Hello报文时按照此认证数据的格式携带认证数据。

本优选实施例中验证认证数据的值所用的认证算法由本地策略决定，其计算步骤如下：

首先，输入如下的参数：

H：特定的Hash算法，比如MD5和SHA-256

K：PIM-SM的认证密钥

Ko：Hash算法的密钥

B：H的内部块大小，单位为字节，比如SHA-256，其B＝64

L：Hash的长度，单位为字节

XOR：异或操作

Opad：循环B次的0x5c

Ipad：循环B次的0x36

Apad：长度等同于Hash输入或者摘要长度的值，其前4或16个字节为PIM-SM的源地址，后面填补(L-4)/4或者(L-16)/4个0x878FE1F3。

其次，按照如下的步骤(1)至步骤(3)进行计算。

(1)、准备Key值，Ko长度为L，若K的长度等于L，则Ko＝K，若K长度大于L，Ko＝H(K)，若K的长度小于L，则K后补0至L长然后赋值给Ko

(2)、一次Hash

First-Hash＝H(Ko XOR Ipad||(PIM Packet))

(3)、二次Hash

Second-Hash＝H(Ko XOR Opad||First-Hash)

其中，上述PIM Packet根据特定加密算法来决定的，本文以MD5为例步骤如下：将16字节的MD5密码追加到PIM报文尾部；按照MD5长度需求先追加尾部填充(先填1后全部填0)，然后追加报文长度。

相关技术中，PIM-SM报文通常分为PIM-LAN和PIM-UNICAST两大部分。其中，PIM-LAN是共享网段内的组播报文，主要包括Hello，Join/Prune，Bootstrap、Assert等。此类报文的交互是在共享网段内传递的，接收报文时是否要进行认证是根据本地接口下策略来决定的，如果本地配置认证，接收报文时需要进行认证处理，否则按无认证正常处理。PIM-UNICAST在特定路由器与RP或BSR之间的单播报文，接收报文时是否需要认证是根据本地全局策略来决定的，发送报文时，是否需要添加认证是根据BSM中BSR和C-RP是否指定了本地认证能力来决定的。本优选实施例中通过统一排序，可以选择到最近时间的密码，从而保证认证协商过程的正确性。

优选地，在使用扩展的PIM协议报文进行认证协商之前，上述方法还包括：在PIM协议报文中增加PA标记，其中PA标记用于指示接收报文具有认证字段。需要说明的是，本优选实施例中的认证协商功能可以仅仅设置在本地设备接口下生效，也可以通过全局配置设置在所有接口下生效。

图5是根据本发明优选实施例的PA标记和DA标记的示意图，为支持认证功能，PIM报文增加PA标记和DA标记，分别表示发送的报文使用认证机制和发送报文的设备需要认证，各标记在报文中的位置如图5所示，如果本地使能了认证，发送报文时需要设置PA标记。

下面以在BSM中增加A标记为例进行描述。图6是根据本发明实施例的BSM中A标记位置的示意图，如图6所示，A标记可以用于表示BSM中相应的C-RP路由器需要认证。

优选地，在使用扩展的PIM协议报文进行认证协商之前，上述方法还包括：在PIM协议报文中增加DA标记，其中DA标记用于指示发送报文的设备具备认证协商功能。BSM报文中含有DA标记用于指示BSR具备认证协商能力。需要说明的是，本优选实施例中的认证协商功能可以仅仅设置在本地设备接口下生效，也可以通过全局配置设置在所有接口下生效。进而，参照图4，如果本地配置了域内单播报文认证，需要使用DA标记来通告其他路由器本地需要认证。

下面将结合实例对本发明实施例的实现过程进行详细描述。

图7是根据本发明优选实施例的报文交互系统的示意图，如图7所示，在一个组播网络，R1为CRP，R4为BSR，R5和R6 IGMP组加入。

步骤1：假设R5加入RP的方向是R5-R2-R1，R6建立RPT方向是R6-R3-R1，有源S1和S2的分别向这些组发送流量，所有设备配置认证且密码为PIM，采用MD5加密认证。

步骤2：发送报文时，把密码PIM扩充0至16字节长添加到报文尾部，填充至整个报文长度为64K+56(其中K＝报文长度/64)，其填充方法为一个1后面全为0，然后继续追加需要发送的报文长度(64位二进制长度)。以扩展填充后的报文为输入运行第一次Hash和第二次Hash，得到信息摘要，然后填充信息摘要到需要发送的报文尾部。

步骤3：接收报文，若携带了PA选项，则先找到认证数据，进行认证流程。认证时，先保存摘要信息，然后按上述步骤2中方式计算摘要信息，若收到的摘要信息和本地计算的摘要信息相同则认为认证通过，否则丢弃报文。

步骤4：R1至R6的所有设备中的PIM接口发送携带认证选项的Hello报文，报文中PA置1，携带密码序列号选取为1开始；相互收到Hello报文后验证通过建立新邻居，验证不通过的Hello报文拒绝建立邻居关系。

步骤5：BSR向网络中的所有路由器发送BSM报文，报文格式按照图4的报文格式填写，并且将DA位置1。

步骤6：RP获取BSR信息之后向RP单播C-RP报文，报文格式按照图2的方式填写，报文附带认证选项，并且将DA位置1。

步骤7：BSR收到C-RP通告之后，将对应的C-RP信息加入到BSM报文中，将DA位置1的设备RP地址对应的A位置1，并向网络中所有设备发送BSM报文。

步骤8：当网络中的源S1发送流量，R1查找C-RP后，判断C-RP对应的A标记发送携带认证数据的Register报文。

步骤9：C-RP收到Register报文时，判断PA选项并对认证数据进行验证，若认证通过则处理注册报文，第一次收到注册生成(S，G)条目，并记录DR地址和密码序列号。再次收到时，判断密码序列号是否严格递增。

步骤10：当C-RP需要发送Register-Stop时，发现Register报文中有DA标记，需要追加认证数据。

经过以上步骤，在网络中路由器之间PIM报文交互都必须通过本地认证，使得共享网段中路由器建立邻居之间、C-RP和BSR之间、源第一跳和C-RP报文交互时安全信任度增高，大大提高了网络的安全性。

通过上述实施描述了本发明提供的方法，但本发明有许多不同的应用场景。例如可以利用不同的加密方式，比如明文认证、SHA等，只需在认证数据中标识加密算法即可。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本发明实施例提供了一种报文交互装置，该报文交互装置可以用于实现上述报文交互方法。图8是根据本发明实施例的报文交互装置的结构框图，如图8所示，包括认证协商模块82和报文交互模块84。下面对其结构进行详细描述。

认证协商模块82，用于使用扩展的PIM协议报文进行认证协商；报文交互模块84，连接至认证协商模块82，用于使用与认证协商对应的数据进行报文交互。

需要说明的是，装置实施例中描述的报文交互装置对应于上述的方法实施例，其具体的实现过程在方法实施例中已经进行过详细说明，在此不再赘述。

综上所述，根据本发明的上述实施例，提供了一种报文交互方法及装置。本发明把认证协商流程附带于报文交互过程中，从而可以解决相关技术中需要提前在有可能进行报文交互的所有DR和所有RP之间配置IPSec业务，从而会大幅增加RP的业务负担的问题，进而可以消除使用IPSec方法带来的额外通信开销。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种报文交互方法，其特征在于，包括：

使用扩展的PIM协议报文进行认证协商；

使用与所述认证协商对应的数据，进行报文交互。

2.根据权利要求1所述的方法，其特征在于，对于链路内多个路由器之间的报文交互，所述扩展的PIM协议报文包括：

定义有认证选项的Hello报文；

定义有认证数据的PIM报文。

3.根据权利要求2所述的方法，其特征在于，所述Hello报文中定义的认证选项包括以下至少之一：

所述认证选项的选项类型；

所述认证选项中的所述认证数据的长度；

所述认证选项中的所述认证数据的值。

4.根据权利要求3所述的方法，其特征在于，所述认证数据的值包括以下至少之一：

所述认证数据的值的认证类型；

所述认证数据的值的密钥标识号；

所述认证数据的值的加密序列号；

所述认证数据的值的密钥。

5.根据权利要求4所述的方法，其特征在于，使用与所述认证协商对应的认证数据，进行报文交互包括：

所述多个路由器中的任一路由器发送携带有所述认证数据的所述Hello报文，其中，所述认证数据中携带有所述密钥以及与所述密钥对应的密钥标识号；

所述多个路由器中的其它路由器接收到该Hello报文；

所述其它路由器根据本地认证配置以及密钥标识号验证所述接收的Hello报文；

所述其它路由器根据所述验证结果，对所述接收的Hello报文进行协议处理或者丢弃。

6.根据权利要求5所述的方法，其特征在于，使用与所述认证协商对应的认证数据，进行报文交互还包括：

所述其它路由器判断接收收的Hello报文中的所述加密序列号是否大于上次保存的收到发送所述报文路由器的加密序列号；

如果判断结果为是，则对所述接收的PIM报文进行协议处理，否则丢弃所述接收的PIM报文。

7.根据权利要求6所述的方法，其特征在于，使用所述加密序列号，对所述PIM协议报文中的PIM-LAN部分和所述PIM协议报文中的PIM-UNICAST部分统一排序，每发送一次所述PIM协议报文所述加密序列号递增。

8.根据权利要求1至7中任一项所述的方法，其特征在于，在使用扩展的PIM协议报文进行认证协商之前，所述方法还包括：在所述PIM协议报文中增加PA标记，其中所述PA标记用于指示所述接收报文具有认证字段。

9.根据权利要求1至7中任一项所述的方法，其特征在于，

对于域内DR与RP之间的单播报文交互，所述扩展的PIM协议报文包括：定义有认证选项的Register和Register-Stop报文；

对于域内C-RP与BSR之间的单播报文交互，所述扩展的PIM协议报文包括：定义有认证选项的Candidate-RP-Adv报文；

对于域内BSR泛洪的组播报文交互，所述扩展的PIM协议报文包括：定义有认证选项的BSM报文。

10.根据权利要求9所述的方法，其特征在于，在使用扩展的PIM协议报文进行认证协商之前，所述方法还包括：在所述PIM协议报文中增加DA标记，其中所述DA标记用于指示发送报文的设备具备认证协商功能。

11.一种报文交互装置，其特征在于，包括：

认证协商模块，用于使用扩展的PIM协议报文进行认证协商；

报文交互模块，用于使用与所述认证协商对应的数据，进行报文交互。