CN104065760A - 基于dns及其扩展协议的ccn可信寻址方法及系统 - Google Patents

Abstract

本发明涉及一种基于DNS及其扩展协议的CCN可信寻址方法及系统。该方法在内容中心网络(CCN)的每个区域部署内容管理锚点，并基于各区域的内容前缀将所述内容管理锚点注册在DNS中；然后通过内容中心网络中的逐跳寻址方式以及集中式的DNS寻址方式进行寻址，通过DNSSEC协议建立完整信任链以提供名字解析过程中的安全保证，通过DANE协议提供公钥信息验证，实现对内容的可信验证并最终获取所需内容。本发明很好地结合了当前互联网的既有基础设施，是一种能支撑未来海量业务的数据管理模型，特别是未来CCN在移动互联网中部署时，能够有效地支持动态的内容管理，实现海量内容寻址过程的灵活高效。

Description

基于DNS及其扩展协议的CCN可信寻址方法及系统

技术领域

本发明属于网络技术领域，涉及一种基于DNS及其扩展协议的内容中心网络(Content-Centric Networking，CCN)可信寻址方法，以及采用该方法的系统。

背景技术

随着信息技术的飞速发展，新的互联网应用层出不穷，致使传统IP技术面临众多挑战。特别是移动通信技术的飞速发展以及物联网和云计算等新兴数据应用的涌现，正在逐渐改变互联网用户获取服务资源的传统模式，使互联网逐步从互联互通的基本功能向支撑海量数据交互的需求发展，并对网络安全、高效移动等都提出新的挑战。

近些年，研究者使用了很多方法和手段来完善和优化现有互联网，使其支持更大规模、更高效率的数据资源获取，如在互联网架构方面建设了越来越多的数据中心，在传输层面越来越广泛地使用P2P等优化数据传输的技术。但是这些“打补丁”的方式使得传统互联网体系结构越来越冗余，功能越来越复杂。为此，国内外学者开展了对未来网络架构重新设计的诸多研究，并将其提升到了国家战略高度，旨在从根本上考虑解决当前互联网支撑高效数据传输的问题。以信息为中心的未来网络体系（Information Centric Networking，ICN），通过以标识的内容取代主机的地址，实现基于内容名字寻址与路由的新型网络架构，得到了广泛的关注，其中“内容中心网络”(Content-Centric Networking，CCN)是最为典型的代表方案。与传统方式相比，CCN基于内容名字的寻址路由致力于改变现有的网络通信模式，从关注于“资源在哪里”转变为“资源是什么”，从实现基于端地址的转发转变为基于资源名字的转发，从而能一定程度上解决路由可扩展性、数据分发效率等问题。

但是，CCN并没有提出一种能支撑未来海量业务的数据管理模型，特别是考虑到未来CCN在移动互联网中部署时，如何有效地支持动态的内容管理。此外，虽然CCN基于逐跳的寻址方式具有非常高的效率，但是缺乏有效的边界管理，从而可能造成内容寻址过程中的巨大开销。最后，CCN的寻址过程没有很好地结合当前互联网的既有基础设施，不能很好地支撑其平滑的演进。而这些正是本发明的主要出发点。

下面简要介绍一下本发明用到的当前互联网的基础设施及其核心技术：

1）DNS（Domain Name System）就是常说的域名系统。作为Internet上的每一台主机，都是用IP来标识的，然而这些烦琐的数字不仅难以记忆，又不能代表什么意义，所以应有一种便于记忆的又有意义的方式来标识Internet上的主机，那就是域名，如网易的域名是http://www.163.com/。那么域名又是怎样与IP对应起来的呢？在Internet上有许多DNS服务器，在DNS服务器的数据库中记录着IP与域名的对应关系，当你要访问某台主机时，只要提供该主机的域名，DNS就会帮你解析该主机的IP。DNS是互联网的重要基础资源，几乎所有的互联网应用都依赖于DNS解析。

2）DNS安全扩展（Domain Name System Security Extensions，DNSSEC）：DNSSEC协议是一个针对DNS协议的安全扩展，它通过给DNS的应答消息添加基于非对称加密算法的数字签名，来保证数据未经篡改且来源正确；再通过域名体系自下而上逐级向父域提交自己的公共密钥，来实现整个域名体系的逐级安全认证。具体而言，DNSSEC为DNS数据提供了三方面的安全保障：

a）数据来源验证：保证DNS应答消息来自被授权的权威服务器；

b）数据完整性验证：保证DNS应答消息在传输途中未经篡改；

c）否定存在验证：当用户请求一个不存在的域名时，DNS服务器也能够给出包含数字签名的否定应答消息，以保证这个否定应答的可靠性。

综上所述，DNSSEC本质上是在域名系统树形授权体系的基础上，再建立一套基于密码学手段的签名/验证体系，也就是信任链体系，通过信任链上的逐级安全验证，来确保DNS查询结果的真实可靠（数据完整性和非否认性）。

ICANN第一次DNSSEC根密钥生成仪式后，互联网顶级域根的密钥在2010年正式生成。目前，VeriSign等管理gTLD的大公司以及美国、英国、德国、法国、保加利亚、巴西、瑞典、捷克等国的ccTLD已开始实施DNSSEC，未来必将有更多的TLD部署和实施DNSSEC。DNSSEC支撑下的互联网将更加安全可靠。

3）基于DNS的命名实体认证（DNS-Based Authentication of Named Entities，DANE）：基于DNSSEC协议，IETF工作组设计了一种新的DNS资源记录TLSA（TLSA仅是一种资源记录的名称，无其它含义），以使用DNSSEC基础设施来保存TLS协议中用到的数字证书或公钥。DANE协议的核心是：依托DNSSEC基础设施来限制TLS服务器可用的CA范围，从而使区运行机构可以声明可供TLS客户端使用的数字签名的范围。具体而言，此类声明分为三大类：

a）CA限制声明。TLS客户端只能接受某些特定CA颁发的数字证书，如果TLS服务器传输的数字证书不是由这些特定的CA所颁发，那么TLS客户端可视这些数字证书为无效。

b）证书限制声明。TLS客户端只能接受某个特定的数字证书（或公钥），而不是其它证书（或公钥），这样就对TLS能用的CA数字证书或公钥做了进一步限制。

c）信任锚点声明。TLS客户端应使用由该区声明的信任锚点来验证该区的数字证书。

所有上述三类声明均可视为对信任锚点范围的限制，前两类主要限制当前已有信任锚点的范围，而第三类为TLS客户端提供了一个新的信任锚点。

DANE协议使用DNSSEC基础设施来保存TLS协议中用到的数字证书或公钥，这使得DANE协议继承了DNSSEC协议的各种优点。DNSSEC是由IETF提供的一系列DNS安全认证机制，用于提供一种关于来源鉴定和数据完整性的扩展。

在实际部署方面，Google Chrome已集成了DANE协议客户端，一些用来产生DANE资源记录的原型系统也已出现，这为DANE的大规模应用奠定了坚实基础。

发明内容

如上所述，内容中心网络(Content-Centric Networking，CCN)虽然能一定程度上解决路由可扩展性、数据分发效率等问题，但其并没有提出一种能支撑未来海量业务的数据管理模型，特别是考虑到未来CCN在移动互联网中部署时，如何有效地支持动态的内容管理；此外，CCN缺乏有效的边界管理，从而可能造成内容寻址过程中的巨大开销，并且CCN的寻址过程没有很好地结合当前互联网的既有基础设施，不能很好地支撑其平滑的演进。

本发明针对上述问题，提出一种可扩展的CCN内容管理架构及寻址方法，通过基于前缀的分区域管理实现海量内容寻址过程的灵活高效。

具体来说，本发明采用的技术方案如下：

一种基于DNS及其扩展协议的CCN可信寻址方法，其步骤包括：

1）在内容中心网络(CCN)的每个区域部署内容管理锚点(Content Management Anchor，CMA)，负责对该区域源内容的位置信息以及漫游源节点的相关信息进行维护，并基于各区域的内容前缀将所述内容管理锚点注册在DNS中；

2）通过内容中心网络中的逐跳寻址方式以及集中式的DNS寻址方式进行寻址，通过DNSSEC协议建立完整信任链以提供名字解析过程中的安全保证，通过DANE协议提供公钥信息验证，实现对内容的可信验证并最终获取所需内容。

进一步地，所述内容管理锚点及其所辖内容信息以如下方式维护：

Content-Prefix——A/AAAA——TTL——IP-of-CMA，

其中，Content-Prefix是该区域的内容前缀，A/AAAA标识A记录或AAAA记录，TTL为该记录的生存时间，IP-of-CMA标识负责维护该前缀对应内容及其源节点地址的信息。

进一步地，Interest数据包的发送范围通过跳数限制变量进行控制。每个中间路由器在接收到Interest数据包时首先将该跳数限制变量减1，如果跳数限制变量为0则表示在规定范围内未能找到对应的内容；该路由器通过DNS查询该内容名字的前缀信息，从而获取内容管理锚点的地址信息，然后经过对内容管理锚点的查询得到信息源的当前位置信息，进而获取所需内容。

进一步地，路由器通过TLSA资源记录验证内容名字的有效性，验证该名字在请求过程中未经篡改，并通过公钥信息对该名字对应的内容进行验证，保证数据在传输过程中未经篡改。

进一步地，通过所有者的私钥签名保证数据内容的安全性，通过DNSSEC保证内容和名字之间的安全性，通过DANE建立名字和验证内容安全性的公钥之间的可信关系。

进一步地，通过在内容中心网络的每个区域设置的内容管理锚点支持源节点的移动。具体方法为：设内容源最初连接在区域1内的接入路由器1，该区域1内设有内容管理锚点1，当内容源切换到区域2内的接入路由器2后，首先向该区域2的内容管理锚点2进行位置注册，当内容管理锚点2发现这个内容不属于自己管辖区域时，向对应区域1的内容管理锚点1进行位置更新，从而使内容管理锚点1知道该内容已经移动至内容管理锚点2管辖的区域；当内容源继续移动到新的内容管理锚点时，重复上述步骤。在传统内容中心网络中，源节点的地址变更会造成严重的前缀聚合开销，从而无法在实际中支持源节点的移动。本发明通过设置接入路由器，可以缓解前缀聚合带来的巨大开销和时延。

进一步地，在源节点移动过程中，通过各种类型的DNS资源记录进行资源定位，通过DNS的动态更新机制支持资源记录位置变更。这样可以在一定程度上借助DNS这一操作系统普遍支持协议促进内容中心网络的平滑演进。

一种采用上述方法的基于DNS及其扩展协议的CCN可信寻址系统，采用内容中心网络(CCN)，包括：

内容管理锚点(CMA)，部署在内容中心网络的每一个内容前缀区域中，作为一个内容区域的管理节点，用于维护内容及其对应源节点位置的信息；

DNS服务器，遵循当前互联网中DNS的层次体系连接关系，用于维护内容前缀及其对应的内容管理锚点位置的对应信息；

CCN路由器，部署在内容中心网络中，用于基于内容名字进行路由，并具有缓存功能和相关的扩展功能；

内容接收装置（Receiver），部署在终端用户处，用于请求并接收所需内容；

内容提供装置（Provider），是内容的源，用于提供内容。

进一步地，还包括接入路由器，设置在所述内容中心网络的每个区域内，用于提供移动源的无线接入。

本发明提出了一种可扩展的CCN内容管理架构和寻址方法，在每个区域部署内容管理锚点，实现该区域内容的定位以及跨区域的资源管理，通过基于前缀的分区域管理实现海量内容寻址过程的灵活高效，通过DNS及其扩展协议（包括DNSSEC和DANE等）实现内容的可信寻址，并提出了各种可能场景下的动态内容源管理机制。该方法兼容了内容中心网络基于逐跳的内容获取方式，可以保证内容获取的效率；并可以缓解前缀聚合带来的巨大开销和时延，保证内容中心网络的可扩展性；同时，通过“基于DNS维护CMA信息+基于CMA维护内容信息”的两步模式保证了内容信息维护的稳定性。该方法很好地结合了当前互联网的既有基础设施，提供了一种能支撑未来海量业务的数据管理模型，特别是未来CCN在移动互联网中部署时，能够有效地支持动态的内容管理。

附图说明

图1是本发明的内容管理模型的网络架构示意图。

图2是实施例中内容请求流程图。

图3是实施例中内容传输流程图。

图4是实施例中基于DNS及其扩展协议的可信寻址架构示意图。

图5是实施例中源节点移动性管理机制示意图。

图6是实施例中接收者和内容源之间不同跳数的开销曲线图。

具体实施方式

下面通过具体实施例和附图，对本发明做进一步说明。

本发明基于区域的内容管理可以保证未来海量数据管理的可扩展性，每个区域部署内容管理锚点（Content Management Anchor，CMA），负责对该区域源内容的位置信息以及漫游源节点的相关信息进行维护。图1是本实施例的内容管理模型的网络架构示意图，如该图所示，内容管理锚点(CMA)部署在内容中心网络的每一个内容前缀区域中，作为一个内容区域的管理节点，用于维护内容及其对应源节点位置的信息；DNS服务器遵循当前互联网中DNS的层次体系连接关系，用于维护内容前缀及其对应的内容管理锚点位置的对应信息；CCN路由器，部署在内容中心网络中，可以基于内容名字进行路由，并具有缓存功能和其它扩展的相关的功能；内容接收装置（Receiver），部署在终端用户处，用于请求并接收所需内容；内容提供装置（Provider），是内容的源，用于提供内容。

CMA及其所辖内容信息注册在DNS中，以如下方式维护：

Content-Prefix——A/AAAA——TTL——IP-of-CMA

其中Content-Prefix是该区域的内容前缀，A/AAAA标识A记录（IPv4）或AAAA记录（IPv6），TTL为该记录的生存时间，由于该生存时间决定了中间路由器对于此信息的缓存时间，所以应根据内容的动态特征进行适应性配置，IP-of-CMA标识负责维护该前缀对应内容及其源节点地址的信息。

一方面，这种管理模型兼容内容中心网络基于逐跳的内容获取方式，可以保证内容获取的效率；另一方面，这种方式可以缓解前缀聚合带来的巨大开销和时延，保证内容中心网络的可扩展性，并通过“基于DNS维护CMA信息+基于CMA维护内容信息”的两步模式保证内容信息维护的稳定性。

基于上述模型，本发明拟对基本的CCN通信机理进行如下改造，Interest数据包的发送范围通过跳数限制变量进行控制，本发明设该跳数限制变量为Hop-limit。每个中间路由器在接收到Interest数据包时首先将该Hop-limit减1，如果Hop-limit为0，表示在规定范围内未能找到对应的内容。为了减少洪泛造成的巨大开销，该路由器通过DNS查询该内容名字的前缀信息，从而获取到CMA地址信息，然后经过对CMA的查询，得到信息源的当前位置信息，进而获取所需内容，内容请求流程和内容处理流程分别如图2和图3所示。

如图2所示，对内容请求流程描述如下：

1）当路由器接收到用户发出的Interest数据包时，首先对其进行缓存（CS）匹配：如果缓存中有对应的内容，直接将对应内容发回请求到达的接口，然后丢弃该Interest数据包；

2）如果缓存中没有对应内容，则进行PIT的匹配，如果有匹配的条目，路由器将该请求到达的接口添加到该内容请求的接口列表，然后丢弃该Interest数据包；

3）如果PIT中没有匹配的条目，则查看是否有匹配的FIB，如果有匹配的条目，则创建新的PIT条目，然后将数据包中的Hop-limit递减1。如果Hop-limit值为0，路由器发起DNS查询，向DNS查询该内容前缀对应的CMA；如果没有匹配的FIB，路由器则直接向DNS查询；

4）如果Hop-limit不为0，路由器按照匹配的FIB发送Interest数据包。

如图3所示，对内容处理流程描述如下：

1）当路由器接收到Data数据包（即内容数据包）时，查看是否有改名字对应的TLSA记录，如果有，则利用TLSA对Data中的秘钥信息进行验证，如果验证不通过，则直接丢弃该内容数据包；

2）如果验证通过，路由器查询缓存中是否有匹配的条目，如果有，则丢弃该数据包，表示收到了重复的数据包；

3）如果缓存中没有匹配的内容，路由器检查是否有匹配的PIT，如果有匹配的PIT，说明这是之前被请求的内容，路由器首先将该内容添加到缓存中，然后在对应PIT条目的接口列表中删除该内容的到达接口（正常情况下内容不应该从请求的接口到达）。如果此时的PIT条目接口列表为空，则丢弃该内容，并删除该PIT条目；

4）如果PIT条目的接口列表不为空，路由器对该内容进行验证，如果通过验证，则将内容转发到剩下的PIT接口列表。

本发明方法中，路由器首先通过TLSA资源记录验证该内容名字的有效性，以此来验证该名字在请求过程中未经篡改，对于该名字对应的内容，路由器通过公钥信息对其进行验证，保证数据在传输过程中未经篡改。图4所示为本发明的内容寻址过程中建立的完整信任链。如图4所示，数据内容的安全保证是通过所有者的私钥签名提供，内容和名字之间的安全性是通过DNSSEC保证（这样路由器在找到该内容名字对应的所有者时，可以确信所获取的信息是安全可信的），而名字和验证内容安全性的公钥之间的可信关系通过DANE建立。

在传统内容中心网络中，源节点的地址变更会造成严重的前缀聚合开销，使得该机制无法在实际中支持源节点的移动。为此，本发明基于上述内容管理模型提出图5所示的源节点移动性支持协议。图5中，其中AR为接入路由器（Access Router），为移动源的接入路由器，如内容源最初连接在AR1，当其切换到AR2后，首先向该区域的CMA进行位置注册（步骤1），当CMA2发现这个内容不属于自己管辖区域时，向其对应区域的CMA（即CMA1）进行位置更新（步骤2），从而使CAM1知道这个内容现在已经移动到了CMA2管辖的区域。当内容源继续移动到AR3时，重复上述步骤，首先向该区域的CMA（即CMA3）进行位置注册（步骤3），而CMA3向CMA1更新内容源的位置（步骤4）。

由于在一个前缀区域内管理名字信息的操作类似于DNS的名字解析服务，因此，CMA的部署可以借鉴于DNS权威服务器，这也在一定程度上保证了内容中心网络中名字管理服务的可靠性。此外，源节点移动过程中，可以通过各种类型的DNS资源记录进行资源定位，而DNS的动态更新机制可以用于支持资源记录位置变更，这也在一定程度上借助DNS这一操作系统普遍支持协议促进内容中心网络的平滑演进。

首先，本发明通过分析内容中心网络中内容源移动的含义，将拟研究的问题分为如下三类：

1）内容名字变更、内容位置未变更

内容本身所处物理位置没有变更，但可能由于其域内的组织关系发生了变更，所以可能造成内容的名字发生变化，如：

/sina/nba/rocket/20120213.avi变更为/sina/sport/nba/rocket/20120213.avi

这种概念上的源移动可以通过CMA维护一条名字等效记录（如CNAME）支持。

/sina/sport/nba/rocket/20120213.avi CNAME/sina/nba/rocket/20120213.avi

2）内容名字未变更、内容位置变更

当节点在本地区域发生位置变更时，直接通过DNS Update通告该区域的CMA，从而使CMA更新其A或AAAA记录。

3）内容名字变更、内容位置变更

当源节点移动到别的前缀区域时，首先需要向该区域的CMA进行通告，从而获得有效的位置和前缀属性（如图5中步骤1,3），如：

/sina/nba/rocket/20120213.avi变更为/sohu/nba/rocket/20120213.avi

目标区域的CMA在接收到该节点的通告时，通过CMA之间的安全通信链路进行该节点的位置更新，从而使源前缀区域的CMA建立一条名字等效记录（如DNAME）支持（如图4中步骤2,4）。

/sina/sport/nba/rocket/20120213.avi DNAME/sohu/nba/rocket/20120213.avi

下面提供采用本发明方法得到的实验结果。如果网络中接收者和内容源之间的平均跳数为N，假设基本CCN情况下，接收者发出的Interest希望在H（假设为Hop-limit）跳内得到相应，那么就要求源节点在移动之后在新的位置重新进行内容广播，且至少广播跳数为（N-H）。而在本发明所提方案中，源节点仅需要进行CMA的更新，那么两者之间的开销如图6所示。

图6中，假设网络中节点数量为100，N为10，每一跳的信令处理开销为1，DNS更新开销为10（假设DNS服务器和源节点之间的距离为最大值10）。.由此可见，本发明能够很好地支持源节点的频繁移动，保证了CCN在源移动场景下的可扩展性。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求所述为准。

Claims (10)

1.一种基于DNS及其扩展协议的CCN可信寻址方法，其步骤包括：

1）在内容中心网络的每个区域部署内容管理锚点，负责对该区域源内容的位置信息以及漫游源节点的相关信息进行维护，并基于各区域的内容前缀将所述内容管理锚点注册在DNS中；

2）通过内容中心网络中的逐跳寻址方式以及集中式的DNS寻址方式进行寻址，通过DNSSEC协议建立完整信任链以提供名字解析过程中的安全保证，通过DANE协议提供公钥信息验证，实现对内容的可信验证并最终获取所需内容。

2.如权利要求1所述的方法，其特征在于：所述内容管理锚点及其所辖内容信息以如下方式维护：

Content-Prefix——A/AAAA——TTL——IP-of-CMA，

其中，Content-Prefix是该区域的内容前缀，A/AAAA标识A记录或AAAA记录，TTL为该记录的生存时间，IP-of-CMA标识负责维护该前缀对应内容及其源节点地址的信息。

3.如权利要求1或2所述的方法，其特征在于：Interest数据包的发送范围通过跳数限制变量进行控制。

4.如权利要求3所述的方法，其特征在于：每个中间路由器在接收到Interest数据包时首先将所述跳数限制变量减1，如果跳数限制变量为0则表示在规定范围内未能找到对应的内容；该路由器通过DNS查询该内容名字的前缀信息，从而获取内容管理锚点的地址信息，然后经过对内容管理锚点的查询得到信息源的当前位置信息，进而获取所需内容。

5.如权利要求1所述的方法，其特征在于：路由器通过TLSA资源记录验证内容名字的有效性，验证该名字在请求过程中未经篡改，并通过公钥信息对该名字对应的内容进行验证，保证数据在传输过程中未经篡改。

6.如权利要求1所述的方法，其特征在于：通过所有者的私钥签名保证数据内容的安全性，通过DNSSEC保证内容和名字之间的安全性，通过DANE建立名字和验证内容安全性的公钥之间的可信关系。

7.如权利要求1所述的方法，其特征在于：通过所述内容管理锚点支持源节点的移动，具体方法为：设内容源最初连接在区域1内的接入路由器1，该区域1内设有内容管理锚点1，当内容源切换到区域2内的接入路由器2后，首先向该区域2的内容管理锚点2进行位置注册，当内容管理锚点2发现这个内容不属于自己管辖区域时，向其对应的区域1的内容管理锚点1进行位置更新，从而使内容管理锚点1知道该内容已经移动至内容管理锚点2管辖的区域；当内容源继续移动到新的内容管理锚点时，重复上述步骤。

8.如权利要求7所述的方法，其特征在于：在源节点移动过程中，通过各种类型的DNS资源记录进行资源定位，通过DNS的动态更新机制支持资源记录位置变更。

9.一种采用权利要求1所述方法的基于DNS及其扩展协议的CCN可信寻址系统，采用内容中心网络，其特征在于，包括：

内容管理锚点，部署在内容中心网络的每一个内容前缀区域中，作为一个内容区域的管理节点，用于维护内容及其对应源节点位置的信息；

DNS服务器，遵循当前互联网中DNS层次体系连接关系，用于维护内容前缀及其对应的内容管理锚点位置的对应信息；

CCN路由器，部署在内容中心网络中，用于基于内容名字进行路由，并具有缓存功能和相关的扩展功能；

内容接收装置，部署在终端用户处，用于请求并接收所需内容；

内容提供装置，是内容的源，用于提供内容。

10.如权利要求9所述的系统，其特征在于：还包括接入路由器，设置在所述内容中心网络的每个区域内，用于提供移动源的无线接入。