CN102307191A

CN102307191A - 一种提高分离映射网络安全性的方法

Info

Publication number: CN102307191A
Application number: CN201110240215A
Authority: CN
Inventors: 罗洪斌; 王凯; 张宏科; 秦雅娟; 苏伟; 董平; 周华春
Original assignee: Beijing Jiaotong University
Current assignee: Beijing Jiaotong University
Priority date: 2011-08-19
Filing date: 2011-08-19
Publication date: 2012-01-04
Anticipated expiration: 2031-08-19
Also published as: CN102307191B

Abstract

本发明公开一种提高分离映射网络安全性的方法，属于网络通信技术领域。本发明将分离映射网络中的接入标识(或称身份标识)分为可达标识和不可达标识。如果一个终端的接入标识到路由标识的映射关系能被其他终端(或者对应的接入路由器)从映射系统中查询到，该终端的接入标识为可达标识，且该终端可被其他终端主动访问。相反，如果一个终端的接入标识到路由标识的映射关系不能被其他终端(或者对应的接入路由器)从映射系统中获得，该终端的接入标识为不可达标识，且该终端不可被其他终端主动访问。此外，终端(或者对应的接入路由器)缓存不可达标识的映射关系以保证不可达标识的临时可达性，在使用不可达标识的终端完成服务获取后自动清空缓存。

Description

一种提高分离映射网络安全性的方法

技术领域

本发明属于网络通信技术领域，尤其涉及一种提高分离映射网络安全性的方法。

背景技术

当前互联网体系结构中，IP地址具有二义性，即同时代表终端在网络中的身份和位置，因此IP地址必须是全球可达的。不论终端是否提供某种网络服务或是否情愿被主动访问，只要终端的IP地址被获知，则发送给该IP地址的分组总能通过互联网发送到使用该IP的终端或者至少发送到该IP所在的子网。攻击者可以利用IP地址的全球可达性向终端发送分组对终端进行端口扫描或者拒绝服务(DoS：Denial-of-service)攻击，网络安全受到很大威胁。

IP地址双重身份的问题一直制约网络性能的改进，于是出现了将IP地址的身份属性与位置属性分离的思想，如名址分离网络协议(LISP)。

接入标识(或称身份标识)与路由标识分离映射网络是基于身份与位置分离的思想而产生的。分离映射网络引入两种标识：接入标识代表终端的身份信息，路由标识代表终端的位置信息；例如LISP、一体化网络和电信网等。在分离映射网络中，终端拥有一个或者多个表示自己身份的接入标识。终端(通过某个接入路由器)接入网络的时候，获得一个或者多个代表该终端在网络拓扑中位置的路由标识。之后，该终端或者其接入路由器将该接入标识到路由标识之间的映射关系向映射系统注册。而在终端与对端通信时，终端(或者其接入路由器)需要获得对端的接入标识对应的路由标识，用以在核心网内对数据包进行选路和转发。

现有分离映射网络中接入标识是全球可达的：只要目的接入标识存在，路由系统总能通过映射关系查询得到该目的接入标识对应的路由标识，并可通过网络将分组送达目的接入标识或者其所在子网。比如，LISP中只要向某个EID(end point identifier)发送分组，该分组即可被转发给该EID对应的终端或者该终端所在的子网；一体化网络中只要向某个目的接入标识发送分组，该分组即可被转发给该接入标识对应的终端或者该终端所在的子网。攻击者可以基于接入标识的全球可达性对终端进行端口扫描或DoS攻击，网络安全受到很大威胁。

发明内容

为解决上述技术问题，本发明提出了一种提高分离映射网络安全性的方法。

本发明采取的技术方案如下：一种提高分离映射网络安全性的方法，包括：终端、接入路由器、映射系统，

将终端的接入标识进行分类；

所述终端将其接入标识到路由标识的映射关系向映射系统注册；

或者所述终端对应的接入路由器将所述终端的接入标识到路由标识的映射关系向映射系统注册。

若所述终端的接入标识到路由标识的映射关系能被其他终端(或者对应的接入路由器)从映射系统中查询到，则该终端的接入标识的类别为可达接入标识，若所述终端的接入标识到路由标识的映射关系不能被其他终端(或者对应的接入路由器)从映射系统中查询到，则该终端的接入标识的类别为不可达接入标识。所述接入标识类别为可达接入标识的终端能被其他终端主动访问，所述接入标识类别为不可达接入标识的终端不能被其他终端主动访问。

当所述接入标识类别为不可达接入标识的终端对所述接入标识类别为可达接入标识的终端的访问结束，则所述接入标识类别为不可达接入标识的终端对应的接入路由器将其缓存中存储的接入标识到路由标识的映射条目清除。

若所述终端将其接入标识到路由标识的映射关系向映射系统注册，则使用所述终端的用户能够确定所述终端的接入标识的类别为可达接入标识；若所述终端对应的接入路由器将所述终端的接入标识到路由标识的映射关系向映射系统注册，则所述接入路由器能够判定出所述终端的接入标识的类别是否是可达接入标识。当所述映射系统接收到一个标识类别为不可达接入标识的终端的查询映射关系的请求时，所述映射系统不向所述终端返回所述映射关系。

所述接入路由器判定所述终端的接入标识的类别是否是可达接入标识具体为，所述接入路由器根据接入标识中的某些信息来判定所述接入标识是否为可达标识，或者通过所述终端显示通知所述接入路由器所述接入标识是否为可达标识。所述某些信息为接入标识中的预设比特位。

所述终端对应的接入路由器将所述终端的接入标识到路由标识的映射关系向映射系统注册的过程具体为，所述终端向其对应的接入路由器发送注册消息，所述注册消息中包含有终端的接入标识和标识类别，接入路由器查看自身本地映射表中是否存储有所述终端的接入标识到路由标识的映射关系，若存在则更新其缓存时间，否则向映射系统注册所述终端的接入标识到路由标识的映射关系。

本发明相比于现有技术，至少实现了以下有益效果：

(1)本发明首次提出接入标识分类的思想，即将接入标识分为不可达标识和可达标识。不可达标识不可被主动访问，这使得对于该类标识的扫描攻击等不可能实现，增加了分离映射网络的安全性；同时，对于可达标识而言，因不可达标识不可被主动访问，攻击者控制傀儡机从而形成僵尸网络的手段就少了很多，进而减少了使用可达标识的终端被攻击的概率，增加了分离映射网络的安全性。

(2)本发明在接入路由器采用缓存实现了不可达标识的临时可达性，在不可达标识完成服务获取后缓存即可被自动清空，节省资源。

附图说明

图1是标识分离映射网络拓扑示意图；

图2本发明提出的终端注册过程示意图；

图3本发明提出的终端通信过程示意图；

图4是一种提高分离映射网络安全性方法中的设备部署示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式做进一步地详细描述。

分离映射网络中，终端拥有一个或多个标识自己身份的接入标识，终端之间通信时，需要从映射系统获得一个终端的路由标识，用以在核心网内对数据包进行选路和转发，如图1所示。

映射系统是一个分布式系统，由一个或者多个映射服务器组成，共同管理接入标识的映射关系；当收到映射关系查询消息后，映射系统中的映射服务器协同工作，最终将查询到的结果返回到发送映射关系查询请求的请求者，比如：接入路由器或终端。

实施例1

本发明提出的一种提高接入标识与路由标识分离网络安全性的方法，包括：

(1)终端接入标识的分类

终端的接入标识分为不可达标识和可达标识；如果一个终端的接入标识到路由标识的映射关系能被其他终端(或者对应的接入路由器)从映射系统中查询到，该终端的接入标识为可达接入标识，且该终端可被其他终端主动访问；相反，如果一个当终端的接入标识到路由标识的映射关系不能被其他终端(或者对应的接入路由器)从映射系统获得，该终端的接入标识为不可达接入标识，且该终端不可被其他终端主动访问。

通常，使用不可达标识的终端不提供服务，使用可达标识的终端提供某些服务，如WEB服务，EMAIL服务等。

(2)终端的接入标识到路由标识的映射关系注册过程，如图2所示：

终端的接入标识到路由标识的映射关系可以由终端向接入路由器注册(如图2中a’所示)；此时，使用该终端的用户能够确定所述终端的接入标识的类别为可达接入标识，并且允许该终端向映射系统注册其接入标识到路由标识的映射关系。

终端的接入标识到路由标识的映射关系也可以由终端的接入路由器向映射系统注册，此时终端向其对应的接入路由器发送注册消息(如图2中a所示)，注册消息中包含有终端的接入标识和标识类别；接入路由器查看本身本地映射表中是否存储有所述终端的接入标识到路由标识的映射关系，若存在则更新其缓存时间，否则向映射系统注册所述终端的接入标识到路由标识的映射关系(如图2中b所示)。

本实施例中具体的，根据终端接入标识类别的不同，所述终端的接入路由器向映射系统注册所述终端的接入标识到路由标识的映射关系的注册过程也不相同，其中接入标识类别为不可达标识的终端的接入标识到路由标识的映射关系的注册过程为：接入路由器直接为所述终端分配路由标识，并将终端的接入标识到路由标识的映射关系存储在自身本地映射表中；接入标识类别为可达标识的终端的接入标识到路由标识的映射关系的注册过程为：接入路由器先为所述终端分配路由标识，并将终端的接入标识到路由标识的映射关系存储在自身本地映射表中，然后将所述映射关系通告映射系统，映射系统保存所述映射关系。

终端可以显示通知其对应接入路由器其接入标识是否为可达标识；接入路由器也可以根据接入标识中的某些信息来判定所述接入标识是否为可达标识；所述某些信息是指接入标识的预设比特位，所述预设比特位可以是其中一位也可以是几位，比如：用接入标识中的某个比特位用来标识该标识是否为可达标识；或者用接入标识中的某些比特位用来标识该标识是否为可达标识，进一步的所述某些比特位可以取比特位中的前缀部分。

(3)两个终端之间的通信过程，假定终端A和终端B，如图3所示：

1’、当终端A请求与终端B通信时，发送数据包到终端A对应的接入路由器；

2’、终端A对应的接入路由器ASR收到终端A发来的数据包后，先检查自身缓存中是否同时存在终端A和终端B的接入标识到路由标识的映射关系：AID_A、Locator_A、AID_B、Locator_B；

若存在跳转执行4’；

否则，检查终端A的接入标识到路由标识的映射关系是否在本地映射表中存在；若存在，发送查询消息到映射系统以图获得终端B的接入标识到路由标识的映射关系，否则通信结束；

3’、映射系统查询终端B的接入标识到路由标识的映射关系；若查询无结果，则发送终端B的接入标识不可达信息到终端A的接入路由器ASR，通信结束；否则，将终端B的接入标识到路由标识的映射关系通告终端A的接入路由器ASR；

终端A的接入路由器ASR将终端B的接入标识到路由标识的映射关系存储到自身缓存；

4’、终端A的接入路由器ASR使用终端B的接入标识对应的路由标识和终端A的接入标识对应的路由标识封装收到的数据包，然后将封装后的数据包转发到核心网；核心网按照终端B的路由标识将封装后的数据包路由到终端B的接入路由器；

5’、终端B的接入路由器将接收到的数据包解封装，并且将终端A和中低端B的接入标识到路由标识的映射关系存储于自身缓存中；然后，按照终端B的接入标识将数据包路由到终端B。

若终端B回复数据包到终端A，因终端B的接入路由器缓存中存有终端A的接入标识对到路由标识的映射关系，因此数据包可以成功交付到终端A。

本发明中，只有目的接入标识为可达标识时，才会在映射系统中查询到其对应的路由标识。只有不可达标识发起对可达标识的请求并且成功建立连接后，才能通过接入路由器缓存找到该不可达标识对应的映射关系，从而提供不可达标识的临时可达性。

实施例2

图4中所示第一终端A和第二终端S通信的过程包括如下步骤：

步骤101：第一终端A、第二终端S接入到网络进行注册；

本实施例中，所述第一终端A的接入标识类别为不可达接入标识，第二终端S的接入标识类别为可达接入标识。

本实施例中第一终端A接入到网络进行注册的过程具体为：

a：第一终端A接入到网络，向第一接入路由器AR1发送注册消息，注册消息中包含第一终端A的接入标识和标识类别，所述标识类别为不可达标识；

b：第一接入路由器AR1查看自身本地映射表中是否存储有第一终端A的接入标识到路由标识的映射关系，若存在则更新其缓存时间，否则执行步骤c；

c：第一接入路由器AR1为第一终端A分配路由标识，并且将第一终端A的接入标识到路由标识的映射关系存储在第一接入路由器AR1的本地映射表中。

本实施例中第二终端S接入到网络进行注册的过程具体为：

a：第二终端S接入到网络，向第二接入路由器AR2发送注册消息；注册消息中包含第二终端S的接入标识和标识类别，所述标识类别为可达标识；

b：第二接入路由器AR2查看自身本地映射表中是否存储有第二终端S的接入标识到路由标识的映射关系，若存在则更新其缓存时间，否则执行步骤c；

c：第二接入路由器AR2为第二终端S分配路由标识，并且将第二终端S的接入标识到路由标识的映射关系存储在第二接入路由器AR2的本地映射表中，第二接入路由器AR2将第二终端S的接入标识到路由标识的映射关系通告映射系统，映射系统存储该映射关系。

步骤102：第一终端A发送数据包到第一接入路由器AR1请求与第二终端S通信；

步骤103：第一接入路由器AR1接收到第一终端A发来的数据包后，检查自身缓存中是否存在第一终端A和第二终端S的接入标识到路由标识的映射关系，若存在则执行步骤106；若不存在，则第一接入路由器AR1从本地映射表中获取第一终端A的接入标识到路由标识的映射关系，并发送查询消息到映射系统以图获得第二终端S的接入标识到路由标识的映射关系；

步骤104：映射系统接收到所述查询消息后，查询第二终端S的接入标识到路由标识的映射关系，将查询到的第二终端S的接入标识到路由标识的映射关系通告第一接入路由器AR1；

步骤105：第一接入路由器AR1将得知的第二终端S的接入标识到路由标识的映射关系存储到自身缓存；

步骤106：AR1使用S的路由标识和A的路由标识封装接收到的数据包，然后将封装后的数据包转发到核心网；核心网按照S的路由标识将封装后的数据包转发到第二接入路由器AR2；

步骤107：第二接入路由器AR2将接收到的数据包解封装，并将第一终端A的接入标识到路由标识的映射关系存储于自身缓存中；然后根据第二终端S的接入标识将数据包转发给第二终端S。

步骤108：第一终端与第二终端通信完毕，第一接入路由器和第二接入路由器将缓存中的接入标识到路由标识的映射关系清除。

图4中所示第一终端A和第三终端B通信的过程包括如下步骤：

步骤201：第一终端A、第三终端B接入到网络进行注册；

在本实施例中，所述第一终端A、第三终端B的接入标识类别为不可达接入标识。

第一终端A接入到网络进行注册的过程具体为：

a：第一终端A接入到网络，向第一接入路由器AR1发送注册消息，注册消息中包含第一终端A的接入标识和标识类别(不可达标识)；

第三终端接入到网络进行注册的过程与上述第一终端A的注册过程同理，在此不再赘述。

步骤202：第一接入路由器AR1接收到第一终端A发来的数据包后，检查自身缓存中是否存在第一终端A的接入标识到路由标识的映射关系，若存在则直接发送查询消息到映射系统以图获得第三终端B的接入标识到路由标识的映射关系；若不存在，从本地映射表中获取第一终端A的接入标识到路由标识的映射关系，并发送查询消息到映射系统以图获得第三终端B的接入标识到路由标识的映射关系；

步骤203：映射系统接收到查询消息后，查询第三终端B的接入标识到路由标识的映射关系；由于第三终端B的接入标识为不可达标识，映射系统不能找到该映射关系，因而发送目的标识不可达信息给第一接入路由器AR1，通信结束。

以上所述的实施例只是本发明较优选的具体实施方式，本领域的技术人员在本发明技术方案范围内进行的通常变化和替换都应包含在本发明的保护范围内。

Claims

1.一种提高分离映射网络安全性的方法，包括：终端、接入路由器、映射系统，其特征在于：

将终端的接入标识进行分类；

2.根据权利要求1所述的一种提高分离映射网络安全性的方法，其特征在于：若所述终端的接入标识到路由标识的映射关系能被其他终端或者其他终端对应的接入路由器从映射系统中查询到，则该终端的接入标识的类别为可达接入标识，若所述终端的接入标识到路由标识的映射关系不能被其他终端或者其他终端对应的接入路由器从映射系统中查询到，则该终端的接入标识的类别为不可达接入标识。

3.根据权利要求2所述的一种提高分离映射网络安全性的方法，其特征在于：所述接入标识类别为可达接入标识的终端能被其他终端主动访问，所述接入标识类别为不可达接入标识的终端不能被其他终端主动访问。

4.根据权利要求3所述的一种提高分离映射网络安全性的方法，其特征在于：当所述接入标识类别为不可达接入标识的终端对所述接入标识类别为可达接入标识的终端的访问结束，则所述接入标识类别为不可达接入标识的终端对应的接入路由器将其缓存中存储的接入标识到路由标识的映射条目清除。

5.根据权利要求1所述的一种提高分离映射网络安全性的方法，其特征在于：若所述终端将其接入标识到路由标识的映射关系向映射系统注册，则使用所述终端的用户能够确定所述终端的接入标识的类别为可达接入标识；若所述终端对应的接入路由器将所述终端的接入标识到路由标识的映射关系向映射系统注册，则所述接入路由器能够判定出所述终端的接入标识的类别是否是可达接入标识。

6.根据权利要求5所述的一种提高分离映射网络安全性的方法，其特征在于：当所述映射系统接收到一个标识类别为不可达接入标识的终端的查询映射关系的请求时，所述映射系统不向所述终端返回所述映射关系。

7.根据权利要求1所述的一种提高分离映射网络安全性的方法，其特征在于：所述接入路由器判定所述终端的接入标识的类别是否是可达接入标识具体为，所述接入路由器根据接入标识中的信息来判定所述接入标识是否为可达标识，或者通过所述终端显示通知所述接入路由器所述接入标识是否为可达标识。

8.根据权利要求7所述的一种提高分离映射网络安全性的方法，其特征在于：所述信息为接入标识中的预设比特位。

9.根据权利要求1所述的一种提高分离映射网络安全性的方法，其特征在于：所述终端对应的接入路由器将所述终端的接入标识到路由标识的映射关系向映射系统注册的过程具体为，所述终端向其对应的接入路由器发送注册消息，所述注册消息中包含有终端的接入标识和标识类别，接入路由器查看自身本地映射表中是否存储有所述终端的接入标识到路由标识的映射关系，若存在则更新其缓存时间，否则向映射系统注册所述终端的接入标识到路由标识的映射关系。