CN104579788A - 一种分布式动态路由网络的错误定位方法 - Google Patents

Abstract

本发明公开了一种分布式动态路由网络的错误定位方法，对于互联网中任意的连续的二跳的三个节点，将其分别划分为收集节点，嫌疑节点以及监视节点。数据流量由收集节点发起，经过非对称加密之后，经过嫌疑节点的传递将数据传输给监视节点。监视节点收到数据之后通过验证，并将信息汇总反馈给收集节点。收集节点通过对于发送给嫌疑节点的数据和监视节点的反馈来判断嫌疑节点是否存在错误或者是否为恶意节点。本发明实现了数据包内容的破坏，节点错误的丢包、重发错误，节点恶意延迟、乱序发送数据包这三个错误的定位。

Description

一种分布式动态路由网络的错误定位方法

技术领域

本发明涉及的是计算机网路方向的错误定位领域。具体来讲，主要是在分布式动态路由网络环境中通过随机隔跳验证来进行错误定位的算法。

背景技术

随着互联网规模的不断扩大，路由器对于路径的选择和数据包的转发对于数据传输的速度和质量产生了越来也大的影响。

但是由于路由器本身的bug导致易受攻击，以及管理员认为的配置错误，使得丢包，重发和乱序等问题频繁出现。由此带来网络的服务质量(Quality ofService，QoS)的下降，同时还可能被黑客利用，造成拒绝服务(Denial-of-Service)，中间人攻击(Man-in-Middle attacks)等一系列安全问题。因此快速定位到错误的路由器对于提升网络的性能和稳定性有至关重要的作用。

目前的研究主要通过数据面的错误定位(Data-plane fault localization,Data-plane FL)来解决这个问题。主流的定位方法可以分为分布式错误定位和集中式错误定位。

目前的分布式定位方法，比如美国加州大学伯克利分校(UC Berkeley)等学校合作提出的网络性能验证方法(Verifiable Network-Performance Measurements),美国卡内基梅隆(CMU)等大学合作提出的数据面的丢包恶意节点定位(Packet-dropping Adversary Identification for Data Plane Security)等都是基于路径的错误定位方法(Path-based FL)，主要使用源节点根据路径上的各个节点的反馈来监视流量状态。由此带来的局限性就是需要路由的路径长期保持稳定不变。但是对于现实情况中，动态路由的普遍存在使得路由路径变化非常频繁。因此目前的分布式定位方法都不能支持动态路由这个目前互联网非常重要的特性。

目前的集中式错误定位方式则可以支持路由路径的变化，比如美国卡内基梅隆大学提出的(CMU)动态流量模式下安全性和可扩展性错误的定位(Secureand Scalable Fault Localization under Dynamic Traffic Patterns)。但是由于需要一个集中式的调度节点来进行全局的监控，使得这种方式在安全性上大打折扣，一旦中心节点受到d攻击，错误定位机制就会失效。并且这种方式需要整个网络全局时钟的同步，因此每个节点的路由器需要在一个数据传输时期内对包的哈希值做一个缓存，由此带来的额外开销对于目前的路由器和交换机也是很不合适的。

发明内容

本发明针对现有的错误定位方法的不足，提出了一种分布式动态路由网络的错误定位方法，通过随机隔跳验证的方法，很好的解决了现有的定位方式中的局限性。本发明采用分布式的错误定位方式，避免了集中式调度中出现的对中心节点的过度依赖，全局始终同步等问题。同时又采用了互联网中任意两个间隔节点之间的验证来实现对动态路由的支持。最终达到对(1)数据包内容的破坏(M-failure)，(2)节点错误的丢包、重发错误(D-failure)，(3)节点恶意延迟、乱序发送数据包(T-failure)这三个错误的定位。

本发明的发明目的通过以下技术方案实现：

一种分布式动态路由网络的错误定位方法，将网络中的随机两跳中的三个节点作为一个验证单元，所述三个节点分别为发起定位的收集节点、中间的嫌疑节点、最终到达的监视节点，包含以下步骤：

步骤1)、收集节点向监视节点发送一个包含讯息鉴别码的信号包；

步骤2)、当监视节点收到信号包并且解密验证通过之后，向收集节点回复一个确认数据包，其中所述确认数据包包含上次数据传输的ID，收集节点、嫌疑节点以及监视节点信息，以及监视节点保存的所有解密验证通过的数据包的计数数值以及接收到的包含随机数的数据包的计数数值；

步骤3)、收集节点收到确认数据包之后，根据上次数据传输时收集节点保存的所有解密验证通过的数据包的计数数值，以及发给某个监视节点包含随机数的数据包的计数数值与监视节点发回的确认数据包中关于上次数据传输的对应计数器进行比对，分析嫌疑节点是否有错误或者恶意行为；如果嫌疑节点有错误或者恶意行为，则收集节点改变路由表来绕过嫌疑节点并且通知网络管理员；

步骤4)、验证通过之后，收集节点开始发送本次数据传输的数据包，同时收集节点在本地维护表示本次数据传输发出去的所有经过解密验证通过的数据包数量的计数器，以及发给某个监视节点包含随机数的数据包数量的计数器；其中每个数据包包含加密跟踪信息，加密跟踪信息包含讯息鉴别码；

步骤5)、监视节点收到一个数据包后，通过以下方式进行检测，如果检测都通过，监视节点更新本地对接收到的合法数据包进行统计的计数器的数值：

A、根据数据包中的随机数与本地的随机数进行对比，如果相等就更新对包含随机数的数据包进行统计的计数器的数值；

B、根据数据包中的序列号来检测数据包是否处在滑动窗口范围内来检测嫌疑节点是否有恶意的延迟或者乱序行为；

C、根据数据包中的讯息鉴别码和本地的密钥来检测数据包的内容是否被嫌疑节点修改；

步骤6)、当本次数据传输结束，监视节点收到下一次数据传输开始的信号包时，将本次数据传输的ID，收集节点、嫌疑节点以及监视节点信息，以及监视节点保存的所有解密验证通过的数据包的计数数值以及接收到的包含随机数的数据包的计数数值发回给收集节点。

依据上述特征，所述信息包还包含本次数据传输的ID、序列号，下次数据传输的ID、序列号。

依据上述特征，所述讯息鉴别码采用非对称加密方式得到。

依据上述特征，所述加密跟踪信息还包括收集节点的IP地址，本次数据传输的ID，约定的随机数，序列号。

依据上述特征，所述步骤3)中收集节点收到确认数据包之前会多次发送信号包直到收到确认数据包。

附图说明

图1为本发明的架构设计示意图；

图2为本发明中数据包的结构示意图；

图3为本发明算法流程图

图4为本发明工作流程图

图5a为本发明实现架构中端节点的示意图；

图5b为本发明实现架构中端节点的示意图。

具体实施方法

以下将结合附图和实施例对本发明做详细说明。本实施例在本发明技术方案的前提下进行实施，并给出详细实施方式和具体操作过程，但是适用平台不限于下述实施例。

如图1所示，本发明对于互联网中任意的连续二跳的三个节点将其分别划分为收集节点C(Collector)，嫌疑节点S(Suspect)以及监视节点R(Spotter)。数据流量由收集节点发起，经过非对称加密之后，经过嫌疑节点的传递将数据传输给监视节点。监视节点收到数据之后通过验证，并将信息汇总反馈给收集节点。收集节点通过对于发送给嫌疑节点的数据和监视节点的反馈来判断嫌疑节点是否存在错误或者是否为恶意节点。

如图3所示，本发明在基于上述的架构下，提出了一种分布式动态路由网络的错误定位方法，它包括以下步骤：

步骤1：收集节点通过发送一个包含讯息鉴别码(MAC)的信号包(signalpacket)来通知监视节点一次数据传输的开始。收集节点通过非对称加密的方式，将这次数据传输的ID，序列号(SN)，下次数据传输的ID，序列号，收集节点的IP和嫌疑节点的IP加密成一段讯息鉴别码(MAC)，并将其发送给监视节点。

步骤2：当监视节点收到信号包并且对信号包中的讯息鉴别码(MAC)解密验证通过之后，表示本次数据传输的开始。监视节点此时会回复一个确认数据包(ACK)，其中确认数据包包含1)上次数据传输的ID，2)收集节点、嫌疑节点以及监视节点信息，3)以及上次数据传输的所有解密验证通过的数据包的计数数值以及接收到的包含随机数的数据包的计数数值。

步骤3：为了防止中间嫌疑节点的恶意行为，比如丢包等，收集节点会多次发送信号包直到收到确认数据包。收集节点收到确认数据包之后，会根据本地的二个计数器保存的本次数据传输解密验证通过的数据包的计数数值，以及发给某个监视节点，包含特定随机数(token)的数据包的计数数值与监视节点发回的确认数据包中关于上次数据传输时保存在监视节点关于收到的所有解密验证通过的数据包的计数数值以及包含随机数的数据包的计数数值。之所以需要收集节点与监视节点的二个计数数值的原因是因为第一个计数器是用来统计解密验证通过的数据包的总数的，但是如果嫌疑节点采用将一个数据包重发n次同时丢掉n个其他数据包的话(drop-and-replay attacks)，只依靠第一个计数器是无法检测到的，因为数据包的总数没有变。所以需要统计包含随机数的数据包来防止这种攻击。并据此判断嫌疑节点是否有错误或者恶意行为，比如恶意的丢弃、复制、注入数据包的行为(D-failure)。如果有则改变路由表来绕过改节点并且通知网络管理员。

步骤4：验证通过之后，收集节点开始发送真正的数据包。数据包格式如图2所示，每个数据包中都会包含收集节点添加的额外加密跟踪信息(trailer)。考虑到本发明是隔跳验证，所以对于其中一个验证单元，他的嫌疑节点对应的就是上一个验证单元的监视节点，因此在数据包里设置两个加密跟踪信息分别对应不同收集节点。额外加密跟踪信息包括1)收集节点自己的IP地址，2)本次数据传输的ID，3)约定的随机数(token)，4)序列号(SN)，5)以及将IP地址、本次数据传输的ID、约定的随机数(token)、序列号(SN)通过非对称加密方式组成的讯息鉴别码。其中随机数是由收集节点随机发送,随机码存在于每个数据包的包头，在信息包中没有随机码约定方式就是收集节点随机生成一个16位的随机数，加入到数据包包头，然后将其加密发送给监视节点。同时收集节点在本地维护表示发出去的所有解密验证通过的数据包数量的计数器，以及一个发给某个监视节点包含随机数的数据包数量的计数器。

步骤5：类似于收集节点，监视节点也会在本地维护两个计数器来分别表示收到的所有解密验证通过的数据包的数量以及包含随机数的数据包的数量。监视节点收到一个数据包后，会(1)根据数据包中的随机数与本地的随机数进行对比，如果相等就更新本地包含随机数的数据包的计数器。(2)根据数据包中的序列号来检测数据包是否处在滑动窗口范围内来检测嫌疑节点是否有恶意的延迟或者乱序行为(T-failure)。(3)根据数据包中的讯息鉴别码和本地的密钥来检测数据包的内容是否被嫌疑节点修改(M-failure)。如果以上检测都通过，监视节点会更新本地接收到解密验证通过的数据包的计数器，同时会根据本地的信息重新构造跟踪信息(类似步骤4)，并将其发送给下一个节点。

步骤6：当一次数据传输结束，监视节点收到下一次传输开始的信号时，会将上一个结束的数据传输的ID，收集节点，嫌疑节点以及监视节点信息以及步骤3中提到的两个计数器的数据打包到确认数据包中传回给收集节点。

在本实例中，本发明的具体操作平台是基于英特尔Xeon E5650 CPU，4GB内存以及Broadcom NetXtrem千兆网卡的硬件平台，Linux操作系统(Ubuntu 8.04)以及由Click模块化路由器(Click Modular Router)组成的软件平台实现的。整个系统包含了3个核心路由模块。

标签模块(tagger)：负责生成每个数据包的加密跟踪信息(trailer)。该模块使用了UMAC算法来生成哈希值并且更新每个数据包的跟踪信息。

检查模块(detector)：负责验证收到的数据包的完整性并且更新本地的二个计数器。

控制模块(controller)：将数据包发送给标签模块和检查模块，同时负责发送和处理信号包、数据包

本实例在实现时对于端节点(endpoint)和路由器(router)的实现有所不同。

对于端节点，本实例将软件部署在用户进程。如图5a所示，本实例采用两块虚拟网卡(TAP0,TAP1)分别用于进出的流量。同时本实例的进程监听两块虚拟网卡，并截获所有流量。对于从端节点离开的流量，使用标签模块加入跟踪信息。对于进入端节点的流量，本系统将其从物理网卡截获(eth0)，同时检查模块根据非对称加密对应的密钥进行解密验证，如果信息正确，就将跟踪信息移除然后发送给上层应用。

对于路由器，本实例是以Click模块路由器的一个元素(element)的方式来运行的。如图5b所示，路由元素将所有包发送给检查模块，如果检查不通过数据包就会被丢弃。否则就会将数据包发送给标签模块进行跟踪信息的添加。然后将其发送出路由器。

在本实例的基础上，通过测试，对于网络错误的定位正确性基本不会受网络丢包的影响。当使用本发明对于10％的数据流量进行错误定位时，只有4.6％的可能会出现假阳性错误。所以本发明只需要对很小比例的数据流进行计算即可快定位错误。

在本实例的基础上，通过Netperf测试工具以及Apache和scp等实际应用测试，发现本实例对于网络吞吐量的影响非常的小，即使对于每次数据传输都采用本发明进行错误定位，网络的吞吐量仍然能保证在完全没有验证的80％。在使用Apache ab对于网络服务器的响应时间能力进行测试时，，在对10％的数据传输进行本发明的错误定位时，对于每次请求的时间延迟不超过7％。在使用scp测试网络大容量数据拷贝传输的性能时，本发明在对于网络数据拷贝传输性能的影响基本能很好的控制在10％以内。

以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。

Claims (5)

1.一种分布式动态路由网络的错误定位方法，将网络中的随机两跳中的三个节点作为一个验证单元，所述三个节点分别为发起定位的收集节点、中间的嫌疑节点、最终到达的监视节点，其特征在于包含以下步骤：

步骤1)、收集节点向监视节点发送一个包含讯息鉴别码的信号包；

步骤2)、当监视节点收到信号包并且解密验证通过之后，向收集节点回复一个确认数据包，其中所述确认数据包包含上次数据传输的ID，收集节点、嫌疑节点以及监视节点信息，以及监视节点保存的所有解密验证通过的数据包的计数数值以及接收到的包含随机数的数据包的计数数值；

步骤3)、收集节点收到确认数据包之后，根据上次数据传输时收集节点保存的所有解密验证通过的数据包的计数数值，以及发给某个监视节点包含随机数的数据包的计数数值与监视节点发回的确认数据包中关于上次数据传输的对应计数进行比对，分析嫌疑节点是否有错误或者恶意行为；如果嫌疑节点有错误或者恶意行为，则收集节点改变路由表来绕过嫌疑节点并且通知网络管理员；

步骤4)、验证通过之后，收集节点开始发送本次数据传输的数据包，同时收集节点在本地维护表示本次数据传输发出去的所有经过解密验证通过的数据包数量的计数器，以及发给某个监视节点包含随机数的数据包数量的计数器；其中每个数据包包含加密跟踪信息，加密跟踪信息包含讯息鉴别码；

步骤5)、监视节点收到一个数据包后，通过以下方式进行检测，如果检测都通过，监视节点更新本地对接收到的合法数据包进行统计的计数器的数值：

A、根据数据包中的随机数与本地的随机数进行对比，如果相等就更新对包含随机数的数据包进行统计的计数器的数值；

B、根据数据包中的序列号来检测数据包是否处在滑动窗口范围内来检测嫌疑节点是否有恶意的延迟或者乱序行为；

C、根据数据包中的讯息鉴别码和本地的密钥来检测数据包的内容是否被嫌疑节点修改；

步骤6)、当本次数据传输结束，监视节点收到下一次数据传输开始的信号包时，将本次数据传输的ID，收集节点、嫌疑节点以及监视节点信息，以及监视节点保存的所有解密验证通过的数据包的计数数值以及接收到的包含随机数的数据包的计数数值发回给收集节点。

2.根据权利要求1所述的错误定位方法，其特征在于所述信息包还包含本次数据传输的ID、序列号，下次数据传输的ID、序列号。

3.根据权利要求1所述的错误定位方法，其特征在于所述讯息鉴别码通过非对称加密得到。

4.根据权利要求1所述的错误定位方法，其特征在于所述加密跟踪信息还包括收集节点的IP地址，本次数据传输的ID，约定的随机数，序列号。

5.根据权利要求1所述的错误定位方法，其特征在于所述步骤3)中收集节点收到确认数据包之前会多次发送信号包直到收到确认数据包。