CN104767688B - 通用存活时间安全机制检查方法及装置 - Google Patents

Abstract

本申请提出通用存活时间安全机制检查方法及装置。方法包括：根据自身配置，对需要进行GTSM检查的任一对端路由器的IP地址，本地路由器启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的TTL值；本地路由器向该对端路由器发送TTL值计算请求报文；本地路由器将该对端路由器发来的TTL值与自己计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。本申请降低了GTSM检查的失误率。

Description

通用存活时间安全机制检查方法及装置

技术领域

本申请涉及网络安全技术领域，尤其涉及GTSM(Generalized TTL SecurityMechanism，通用存活时间安全机制)检查方法及装置。

背景技术

网络技术在日常工作中的应用越来越多，给人们的工作和生活带来了极大的便捷。各大公司、运营商都在不断扩大自己的网络，使得网络的规模在不断扩大，各种业务流量也不断增加。为了保证业务的正常运转，保证网络安全成为了各大公司、运营商需要考虑的方法。然而从网络设计及运行来看，网络安全GTSM部署的不灵活性，使GTSM的部署成为了一个软肋。

GTSM通过检查IP报文中的TTL(Time to Live，存活时间)值是否在一个预定义的范围内，来对IP层以上业务进行保护，增强系统的安全性。

以图1所示组网为例，全网运行ISIS(Intermediate System to IntermediateSystem，中间系统到中间系统)路由协议。其中，用户预先在路由器R1上配置了需要对R2进行GTSM检查，且GTSM值为3，同时在路由器R2上配置了需要对R1进行GTSM检查，且GTSM值为3。

图1中，以R1为例，R1启动后，根据ISIS协议学习到发往R2的BGP(Border GatewayProtocol，边界网关协议)协议报文的传送路径为：R1-R6-R7-R2，则构造用于与R2建立BGP邻居的BGP协议报文，该报文中的TTL＝255，这样当该协议报文到达R2时，报文中的TTL＝253，R2根据自身配置的GTSM值，计算出的TTL＝255-3+1＝253，则报文中的TTL值不小于计算出的TTL值，则接受该BGP协议报文，R1与R2之间可以成功建立BGP邻居关系。

发明内容

本申请提供GTSM检查方法及装置，以降低GTSM检查的失误率。

本申请的技术方案是这样实现的：

一种通用存活时间安全机制GTSM检查方法，该方法包括：

根据自身配置，对需要进行GTSM检查的任一对端路由器的IP地址，本地路由器启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的存活时间TTL值；

本地路由器向该对端路由器发送TTL值计算请求报文，以使得：该对端路由器计算出以自己为根的网络拓扑，并根据该网络拓扑，计算出本地路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给本地路由器；

本地路由器将该对端路由器发来的TTL值与自己计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。

一种GTSM检查装置，该装置位于本地路由器上，该装置包括：

TTL值计算模块：根据本地路由器的配置，对需要进行GTSM检查的任一对端路由器的IP地址，启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的TTL值，向该对端路由器发送TTL值计算请求报文，以使得：该对端路由器计算出以自己为根的网络拓扑，并根据该网络拓扑，计算出本地路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给本地路由器；

TTL值确定模块：接收该对端路由器发来的TTL值，将该TTL值与TTL值计算模块计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。

可见，本申请无需在路由器上手工配置GTSM值，且在网络拓扑发生变化后，路由器可以动态发起GTSM检查所使用的TTL值的更新过程，降低了GTSM检查的失误率。

附图说明

图1为现有的运行ISIS+BGP的组网示例图；

图2为本申请一实施例提供的GTSM检查方法流程图；

图3为本申请另一实施例提供的GTSM检查方法流程图；

图4为本申请实施例提供的GTSM检查装置的组成示意图。

具体实施方式

申请人对现有的GTSM检查方法进行分析发现：

由于GTSM值是手工配置的，当网络拓扑结构发生变化后，该GTSM值并不能及时调整，从而可能会导致路由器的GTSM检查失败，从而导致路由器之间本来可以建立BGP邻居、但实际上却无法建立BGP邻居。

如图1中，当R6与R7之间的链路Down(故障)后，R1与R2之间的BGP邻居关系断开，R1通过ISIS协议重新学习到发往R2的BGP协议报文的传送路径为：R1-R3-R4-R5-R2，并重新构造用于与R2建立BGP邻居的BGP协议报文，该报文中的TTL＝255，这样当该协议报文到达R2时，报文中的TTL＝252，R2根据自身配置的GTSM值，计算出的TTL＝255-3+1＝253，则报文中的TTL值小于计算出的TTL值，则拒绝该BGP协议报文，从而R1与R2之间无法建立BGP邻居关系，但实际上，R1与R2之间本来是可以建立BGP邻居关系的。

图2为本申请一实施例提供的GTSM检查方法流程图，其具体步骤如下：

步骤201：根据自身配置，对需要进行GTSM检查的任一对端路由器的IP地址，本地路由器启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的TTL值。

步骤202：本地路由器向该对端路由器发送TTL值计算请求报文，以使得：该对端路由器计算出以自己为根的网络拓扑，并根据该网络拓扑，计算出本地路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给本地路由器。

步骤203：本地路由器将该对端路由器发来的TTL值与自己计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。

本申请一实施例中，步骤201中，本地路由器计算出对该对端路由器进行GTSM检查所使用的TTL值包括：

本地路由器计算该对端路由器到自身的最优路径，根据该最优路径确定对该对端路由器进行GTSM检查所使用的TTL值，其中，若该对端路由器到自身的最优路径有多条，且针对各条最优路径计算出的TTL值不完全相同，则以其中最大的TTL值作为对该对端路由器进行GTSM检查所使用的TTL值。

本申请一实施例中，步骤202中，本地路由器向该对端路由器发送TTL值计算请求报文包括：

当本地路由器与该对端路由器之间采用的路由协议为OSPF(Open Shortest PathFirst，开放式最短路径优先)协议时，本地路由器向该对端路由器发送OSPF协议报文，报文的10类LSA(Link State Advertisement，链路状态通告)中携带本地路由器通过OSPF协议计算出的该对端路由器的Route-ID(路由标识)和该对端路由器的IP地址；

或者，当本地路由器与该对端路由器之间采用的路由协议为ISIS(IntermediateSystem to Intermediate System，中间系统到中间系统)协议时，本地路由器向该对端路由器发送ISIS协议报文，报文的新增TLV(Type Length Value，类型长度值)中携带本地路由器通过ISIS协议计算出的该对端路由器的Route-ID和该对端路由器的IP地址。

本申请一实施例中，本地路由器接收任一对端路由器发来的TTL值计算请求报文，计算以自己为根的网络拓扑，并根据该网络拓扑，计算出该对端路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给该对端路由器，其中，该对端路由器上配置的需要对其进行GTSM检查的IP地址列表中包含该本地路由器的IP地址。

本申请一实施例中，本地路由器接收任一对端路由器发来的TTL值计算请求报文之后、计算以自己为根的网络拓扑之前进一步包括：

本地路由器判断该TTL值计算请求报文中携带的Route-ID是否与自己的Route-ID一致，若是，执行所述计算以自己为根的网络拓扑的动作；否则，丢弃该TTL值计算请求报文。

图3为本申请另一实施例提供的GTSM检查方法流程图，其具体步骤如下：

步骤301：根据自身配置，对需要进行GTSM检查的任一对端路由器的IP地址，本地路由器启动后或者发现与该对端路由器的网络拓扑发生变化后，通过路由协议计算出该IP地址所在对端路由器的Route-ID。

路由协议如：ISIS、OSPF协议等。

步骤302：本地路由器通过路由协议计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出该对端路由器到自身的最优路径，根据该最优路径计算出对该对端路由器进行GTSM检查所使用的TTL值。

其中，若本地路由器计算出该对端路由器到自身的最优路径有多条，且针对各条最优路径计算出的TTL值不完全相同，则以其中最大的TTL值作为对该对端路由器进行GTSM检查所使用的TTL值。

步骤303：本地路由器将该对端路由器的Route-ID和自身配置的该对端路由器的IP地址携带在路由协议报文中发送给对端路由器。

当路由协议采用OSPF协议时，本地路由器可将对端路由器的Route-ID和自身配置的该对端路由器的IP地址携带在OSPF协议报文的10类LSA中；当路由协议采用ISIS协议时，可将对端路由器的Route-ID和自身配置的该对端路由器的IP地址携带在ISIS协议报文的新增TLV中。

步骤304：对端路由器收到本地路由器发来的该路由协议报文，读取报文中携带的Route-ID，判断该Route-ID是否和自己的Route-ID一致，若是，执行步骤305；否则，丢弃该报文，结束本流程。

步骤305：对端路由器通过路由协议计算出以自己为根的网络拓扑，根据该网络拓扑，计算出自身到本地路由器的最优路径，根据该最优路径计算出本地路由器对自己进行GTSM检查所使用的TTL值。

其中，若对端路由器计算出自身到本地路由器的最优路径有多条，且针对各条最优路径计算出的TTL值不完全相同，则以其中最大的TTL值作为本地路由器对自己进行GTSM检查所使用的TTL值。

步骤306：对端路由器将自己的Route-ID、IP地址和计算出的TTL值携带在路由协议报文中发送给本地路由器。

当路由协议采用OSPF协议时，对端路由器可将自己的Route-ID、IP地址和计算出的TTL值携带在OSPF协议报文的10类LSA中；当路由协议采用ISIS协议时，对端路由器可将自己的Route-ID、IP地址和计算出的TTL值携带在ISIS协议报文的新增TLV中。

步骤307：本地路由器接收对端路由器发来的该路由协议报文，从报文中读取对端路由器的Route-ID、IP地址和计算出的TTL值。

步骤308：本地路由器比较对端路由器发来的TTL值是否与自己计算出的TTL值相同，若是，执行步骤310；否则，执行步骤309。

步骤309：本地路由器确定不对该对端路由器进行GTSM检查，结束本流程。

步骤310：本地路由器确定使用该TTL值对该对端路由器进行GTSM检查。

如：当GTSM检查应用于BGP邻居关系建立过程中时，当本地路由器收到该对端路由器发来的BGP协议报文后，读取该报文中的TTL值，判断该TTL值是否小于本步骤310确定的TTL值，若是，确定GTSM检查通过，与该对端路由器建立BGP邻居；否则，确定GTSM检查未通过，丢弃该报文。

仍以图1所示组网为例，全网运行ISIS路由协议。其中，用户预先在路由器R1上配置了需要对R2的一接口进行GTSM检查，即：配置了需要进行GTSM检查的R2的接口的IP地址。则：

1)R1启动后，根据ISIS协议计算出R2的Route-ID，并计算出以R2为根的网络拓扑，根据该网络拓扑计算出R2到R1的最优路径为：R2-R7-R6-R1，则根据R2到R1的最优路径的跳数：3，计算出R1对R2进行GTSM检查所使用的TTL值为：TTL＝255-3+1＝253；

2)R1向R2发送ISIS协议报文，报文的新增TLV中携带R2的Route-ID和需要进行GTSM检查的接口IP地址；

3)R2收到该ISIS协议报文，确认报文中的Route-ID为自己的Route-ID，则计算出以自己为根的网络拓扑，根据该网络拓扑计算出自己到R1的最优路径为：R2-R7-R6-R1，则计算出R1对R2进行GTSM检查所使用的TTL值为：TTL＝255-3+1＝253；

4)R2将自己的Route-ID、需要进行GTSM检查的接口IP地址和TTL值：253携带在ISIS协议报文的新增TLV中发送给R1；

5)R1将R2发来的TTL值：253与自己计算出的TTL值：253比较，二者相同，则此后使用TTL值：253对R2发来的BGP协议报文进行GTSM检查。

6)当R6与R7之间的链路Down后，R1重新根据ISIS协议计算出R2的Route-ID，并计算出以R2为根的网络拓扑，根据该网络拓扑计算出R2到R1的最优路径为：R2-R5-R4-R3-R1，则根据R2到R1的最优路径的跳数：4，计算出R1对R2进行GTSM检查所使用的TTL值为：TTL＝255-4+1＝252；

7)R1向R2发送ISIS协议报文，报文的新增TLV中携带R2的Route-ID和需要进行GTSM检查的接口IP地址；

8)R2收到该ISIS协议报文，确认报文中的Route-ID为自己的Route-ID，则计算出以自己为根的网络拓扑，根据该网络拓扑计算出自己到R1的最优路径为：R2-R5-R4-R3-R1，则计算出R1对R2进行GTSM检查所使用的TTL值为：TTL＝255-4+1＝252；

9)R2将自己的Route-ID、需要进行GTSM检查的接口IP地址和TTL值：252携带在ISIS协议报文的新增TLV中发送给R1；

10)R1将R2发来的TTL值：252与自己计算出的TTL值：252比较，二者相同，则此后使用TTL值：252对R2发来的BGP协议报文进行GTSM检查。

本申请实施例的有益技术效果如下：

一)无需在路由器上手工配置GTSM值；

二)当网络拓扑结构发生变化后，路由器可以动态发起TTL值的更新过程，保证了GTSM检查的正常进行，降低了GTSM检查的失误率。

图4为本申请实施例提供的GTSM检查装置的组成示意图，该装置位于本地路由器上，该装置主要包括：

TTL值计算模块：根据本地路由器的配置，对需要进行GTSM检查的任一对端路由器的IP地址，启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的TTL值，向该对端路由器发送TTL值计算请求报文，以使得：该对端路由器计算出以自己为根的网络拓扑，并根据该网络拓扑，计算出本地路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给本地路由器；

TTL值确定模块：接收该对端路由器发来的TTL值，将该TTL值与TTL值计算模块计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。

本申请一实施例中，TTL值计算模块计算出对该对端路由器进行GTSM检查所使用的TTL值包括：

计算该对端路由器到本地路由器的最优路径，根据该最优路径确定对该对端路由器进行GTSM检查所使用的TTL值，其中，若该对端路由器到本地路由器的最优路径有多条，且针对各条最优路径计算出的TTL值不完全相同，则以其中最大的TTL值作为对该对端路由器进行GTSM检查所使用的TTL值。

本申请一实施例中，TTL值计算模块向该对端路由器发送TTL值计算请求报文包括：

当本地路由器与该对端路由器之间采用的路由协议为OSPF协议时，向该对端路由器发送OSPF协议报文，报文的10类LSA中携带自身通过OSPF协议计算出的该对端路由器的Route-ID和该对端路由器的IP地址；

或者，当本地路由器与该对端路由器之间采用的路由协议为ISIS协议时，向该对端路由器发送ISIS协议报文，报文的新增TLV中携带自身通过ISIS协议计算出的该对端路由器的Route-ID和该对端路由器的IP地址。

本申请一实施例中，TTL值计算模块进一步用于，

接收任一对端路由器发来的TTL值计算请求报文，计算以本地路由器为根的网络拓扑，并根据该网络拓扑，计算出该对端路由器对本地路由器进行GTSM检查所使用的TTL值，并将该TTL值发送给该对端路由器，其中，该对端路由器上配置的需要对其进行GTSM检查的IP地址列表中包含本地路由器的IP地址。

本申请一实施例中，TTL值计算模块接收任一对端路由器发来的TTL值计算请求报文之后、计算以本地路由器为根的网络拓扑之前进一步包括：

判断该TTL值计算请求报文中携带的Route-ID是否与本地路由器的Route-ID一致，若是，执行所述计算以本地路由器为根的网络拓扑的动作；否则，丢弃该TTL值计算请求报文。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种通用存活时间安全机制GTSM检查方法，其特征在于，该方法包括：

本地路由器根据自身配置，对需要进行GTSM检查的任一对端路由器的IP地址，在本地路由器启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的存活时间TTL值；

本地路由器向该对端路由器发送TTL值计算请求报文，以使得：该对端路由器计算出以自己为根的网络拓扑，并根据该网络拓扑，计算出本地路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给本地路由器；

本地路由器将该对端路由器发来的TTL值与自己计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。

2.根据权利要求1所述的方法，其特征在于，所述本地路由器计算出对该对端路由器进行GTSM检查所使用的TTL值包括：

本地路由器计算该对端路由器到自身的最优路径，根据该最优路径确定对该对端路由器进行GTSM检查所使用的TTL值，其中，若该对端路由器到自身的最优路径有多条，且针对各条最优路径计算出的TTL值不完全相同，则以其中最大的TTL值作为对该对端路由器进行GTSM检查所使用的TTL值。

3.根据权利要求1所述的方法，其特征在于，所述本地路由器向该对端路由器发送TTL值计算请求报文包括：

当本地路由器与该对端路由器之间采用的路由协议为开放式最短路径优先OSPF协议时，本地路由器向该对端路由器发送OSPF协议报文，报文的10类链路状态通告LSA中携带本地路由器通过OSPF协议计算出的该对端路由器的路由标识Route-ID和该对端路由器的IP地址；

或者，当本地路由器与该对端路由器之间采用的路由协议为中间系统到中间系统ISIS协议时，本地路由器向该对端路由器发送ISIS协议报文，报文的新增TLV中携带本地路由器通过ISIS协议计算出的该对端路由器的Route-ID和该对端路由器的IP地址。

4.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

本地路由器接收任一对端路由器发来的TTL值计算请求报文，计算以自己为根的网络拓扑，并根据该网络拓扑，计算出该对端路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给该对端路由器。

5.根据权利要求4所述的方法，其特征在于，所述本地路由器接收任一对端路由器发来的TTL值计算请求报文之后、计算以自己为根的网络拓扑之前进一步包括：

本地路由器判断该TTL值计算请求报文中携带的Route-ID是否与自己的Route-ID一致，若是，执行所述计算以自己为根的网络拓扑的动作；否则，丢弃该TTL值计算请求报文。

6.一种通用存活时间安全机制GTSM检查装置，该装置位于本地路由器上，其特征在于，该装置包括：

存活时间TTL值计算模块：根据本地路由器的配置，对需要进行GTSM检查的任一对端路由器的IP地址，启动后或者发现与该对端路由器的网络拓扑发生变化后，计算出以该对端路由器为根的网络拓扑，根据该网络拓扑，计算出对该对端路由器进行GTSM检查所使用的TTL值，向该对端路由器发送TTL值计算请求报文，以使得：该对端路由器计算出以自己为根的网络拓扑，并根据该网络拓扑，计算出本地路由器对自己进行GTSM检查所使用的TTL值，并将该TTL值发送给本地路由器；

TTL值确定模块：接收该对端路由器发来的TTL值，将该TTL值与TTL值计算模块计算出的TTL值进行比较，若两者相同，则确定使用该TTL值对该对端路由器进行GTSM检查；否则，确定不对该对端路由器进行GTSM检查。

7.根据权利要求6所述的装置，其特征在于，所述TTL值计算模块计算出对该对端路由器进行GTSM检查所使用的TTL值包括：

计算该对端路由器到本地路由器的最优路径，根据该最优路径确定对该对端路由器进行GTSM检查所使用的TTL值，其中，若该对端路由器到本地路由器的最优路径有多条，且针对各条最优路径计算出的TTL值不完全相同，则以其中最大的TTL值作为对该对端路由器进行GTSM检查所使用的TTL值。

8.根据权利要求6所述的装置，其特征在于，所述TTL值计算模块向该对端路由器发送TTL值计算请求报文包括：

当本地路由器与该对端路由器之间采用的路由协议为开放式最短路径优先OSPF协议时，向该对端路由器发送OSPF协议报文，报文的10类链路状态通告LSA中携带自身通过OSPF协议计算出的该对端路由器的路由标识Route-ID和该对端路由器的IP地址；

或者，当本地路由器与该对端路由器之间采用的路由协议为中间系统到中间系统ISIS协议时，向该对端路由器发送ISIS协议报文，报文的新增TLV中携带自身通过ISIS协议计算出的该对端路由器的Route-ID和该对端路由器的IP地址。

9.根据权利要求6所述的装置，其特征在于，所述TTL值计算模块进一步用于，

接收任一对端路由器发来的TTL值计算请求报文，计算以本地路由器为根的网络拓扑，并根据该网络拓扑，计算出该对端路由器对本地路由器进行GTSM检查所使用的TTL值，并将该TTL值发送给该对端路由器。

10.根据权利要求9所述的装置，其特征在于，所述TTL值计算模块接收任一对端路由器发来的TTL值计算请求报文之后、计算以本地路由器为根的网络拓扑之前进一步包括：

判断该TTL值计算请求报文中携带的Route-ID是否与本地路由器的Route-ID一致，若是，执行所述计算以本地路由器为根的网络拓扑的动作；否则，丢弃该TTL值计算请求报文。