CN105207911B - 一种is-is协议报文认证方法及其系统 - Google Patents

Abstract

本发明公开了一种IS‑IS协议报文认证方法及其系统。其中，所述方法包括：A、修改第一中间系统的报文认证；B、配置预设的认证延迟时间；C、在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过。通过设置一段可以同时使用修改前和修改后两种报文认证的认证延迟时间，使得第一中间系统与第二中间系统之间的报文接收能够顺利进行，保证报文接收中不会发送认证检查不通过而发生丢弃，消除了在修改报文认证过程中导致的认证检查失败所造成的邻居断链，拓扑和路由删除等不良影响。

Description

一种IS-IS协议报文认证方法及其系统

技术领域

本发明涉及报文认证技术领域，尤其涉及一种IS-IS协议报文认证方法及其系统。

背景技术

中间系统到中间系统路由协议（IS-IS协议）是一种动态的、基于链路状态的内部网关协议（IGP）。IS-IS协议通过hello报文交互协商建立邻居后，每一个中间系统（IS）都产生链路状态协议数据包（LSP）描述本中间系统（IS）的链路状态信息，并发送到网络中，另外，也会存储网络拓扑上所有中间系统（IS）设备发送过来的LSP，形成链路状态数据库（LSDB）。IS-IS就是使用链路数据库（LSDB）通过最短路径优先算法（SPF）计算出到达目的地址的最佳路由。

IS-IS协议报文类型主要分为两类，一类是hello报文，负责邻居的建立和维护；一类是LSP（链路状态协议数据包）、SNP（序列号协议数据包）报文负责数据库的洪泛和同步。IS-IS与之对应的认证也分为两类，一类存在于hello报文中，负责hello报文的加密认证；一类存在于LSP（链路状态协议数据包）、SNP（序列号协议数据包）报文中，负责LSP（链路状态协议数据包）、SNP（序列号协议数据包）报文的加密认证。

IS-IS的认证方式和认证密码在网络规划中经常需要进行修改。在操作过程中，对网络设备认证的修改必然有先有后。

在网络配置管理人员开始对网络设备修改认证到对相关网络设备全部修改完成的这段时间内，如果是对hello报文认证的修改，会导致一段时间hello报文认证不通过，丢弃hello报文，必然导致邻居断链，引发拓扑和路由删除等不良行为；如果是对LSP、SNP报文认证的修改，会导致一段时间LSP、SNP报文认证不通过，丢弃LSP、SNP报文，必然导致拓扑和路由删除等不良行为，从而造成流量中断。

因此，现有技术还有待发展。

发明内容

鉴于上述现有技术的不足之处，本发明的目的在于提供一种IS-IS协议报文认证方法及其系统，旨在解决现有的IS-IS协议对认证和认证方式修改过程中，容易造成邻居断链，拓扑和路由删除等不良影响的问题。

为了达到上述目的，本发明采取了以下技术方案：

一种IS-IS协议报文认证方法，其中，所述方法包括：

A、修改第一中间系统的报文认证；

B、配置预设的认证延迟时间；

C、在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过。

所述的IS-IS协议报文认证方法，其中，所述步骤C具体包括：

C11、在所述第一中间系统向第二中间系统发送的报文的认证字段中添加修改前和修改后两种报文认证；

C12、所述第二中间系统接收所述报文，并对所述认证字段进行验证；若修改前或修改后任一报文验证通过验证，判断为认证通过；

C13、所述第二中间系统继续接收所述第一中间系统发送的报文。

所述的IS-IS协议报文认证方法，其中，所述步骤C具体包括：

C21、所述第一中间系统接收第二中间系统发送的报文；

C22、所述第一中间系统使用修改前及修改后的报文认证进行验证；若第二中间系统发送的报文的认证字段通过修改前或修改后的报文认证的验证，判断认证通过；

C23、所述第一中间系统继续接收所述第二中间系统发送的报文。

所述的IS-IS协议报文认证方法，其中，所述方法还包括：

D、在所述预设的认证延迟时间超时后，所述第一中间系统与第二中间系统仅使用修改后的报文认证进行验证。

所述的IS-IS协议报文认证方法，其中，所述步骤D具体包括：

D11、在所述第一中间系统向第二中间系统发送的报文的认证字段中仅添加修改后的报文认证。

D12、所述第二中间系统接收所述报文，并对所述认证字段进行验证；

D13、所述第二中间系统继续接收所述第一中间系统发送的报文。

6、根据权利要求4所述的IS-IS协议报文认证方法，其特征在于，所述步骤D具体包括：

D21、所述第一中间系统接收第二中间系统发送的报文；

D22、所述第一中间系统仅使用修改后的报文认证进行验证；

D23、若判断认证通过，所述第一中间系统继续接收所述第二中间系统发送的报文。

所述的IS-IS协议报文认证方法，其中，所述报文认证的修改包括：认证方式的修改、认证密码的修改以及两者的同时修改。

所述的IS-IS协议报文认证方法，其中，所述报文具体包括hello报文和LSP、SNP报文的两类IS-IS报文。

一种IS-IS协议报文认证系统，其中，所述系统包括：

修改模块，用于修改第一中间系统的报文认证；

延迟时间配置模块，用于配置预设的认证延迟时间；

验证模块，用于在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过。

有益效果：本发明提供的一种IS-IS协议报文认证方法及其系统，通过设置一段可以同时使用修改前和修改后两种报文认证的认证延迟时间，使得第一中间系统与第二中间系统之间的报文接收能够顺利进行，保证报文接收中不会发送认证检查不通过而发生丢弃从而消除了配置管理人员在修改报文认证过程中导致的认证检查失败所造成的邻居断链，拓扑和路由删除等不良影响。

附图说明

图1 为本发明具体实施例的IS-IS协议报文认证方法的方法流程图。

图2为本发明具体实施例的IS-IS协议报文认证系统的结构框图。

图3为本发明具体实施例的R1，R2构成的网络拓扑示意图。

图4为本发明具体实施例的IS-IS网络拓扑示意图。

具体实施方式

本发明提供一种IS-IS协议报文认证方法及其系统。为使本发明的目的、技术方案及效果更加清楚、明确，以下参照附图并举实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，为本发明具体实施例的IS-IS协议报文认证方法。所述方法包括如下步骤：

S1、修改第一中间系统的报文认证。

S2、配置一段预设的认证延迟时间。所述预设的认证延迟时间具体可以由实际情况（例如网络设备的数量、网络配置管理人员的情况等等）所决定并进行调整，只需满足在所述认证延迟时间段超时后，所述相关网络设备已经处于全部修改完成的状态即可。

S3、在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过。

亦即，所述第一中间系统接收所述第二中间系统发送的报文，同时也向第二中间系统发送报文；所述第二中间系统接收所述第一中间系统发送的报文，同时也向第一中间系统发送报文。

通过上述在预定的时间段内保持原有认证和认证方式继续生效的方式，能够保证报文接收中不会发送认证检查不通过而发生丢弃，可以继续保持网络原有状态，避免报文认证检查不通过的丢弃导致的邻居断链，拓扑和路由删除等不良影响。

具体来讲，在所述认证延迟时间内，所述第一中间系统及第二中间系统的报文认证情况包括如下两种情况：第一中间系统已修改报文认证，第二中间系统尚未修改报文的认证；第一中间系统已修改报文认证，第二中间系统亦已修改报文的认证。两种情况下，第一中间系统与第二中间系统的报文接收及验证情况具体如下所述：

在第一中间系统已修改报文认证，第二中间系统尚未修改报文的认证，第二中间系统接收第一中间系统的报文时：

首先，在所述第一中间系统向第二中间系统发送的报文的认证字段中添加修改前和修改后两种报文认证。

然后，所述第二中间系统接收所述报文，并对所述认证字段进行验证。若修改前或修改后任一报文验证通过验证，判断为认证通过。

此时，第二IS会发现第一IS的报文认证字段中包含修改前和修改后的两种认证。而只要一种认证检查通过，即认为此报文认证检查通过。由于第二IS是用第一IS发送过来的报文中修改前的认证，因此可以验证通过，第二IS将继续接收第一IS的报文。

在第一中间系统已修改报文认证，第二中间系统尚未修改报文的认证，第一中间系统接收第二中间系统的报文时：

所述第一中间系统使用修改前及修改后的报文认证进行验证。

然后，所述第一中间系统接收第二中间系统发送的报文，若第二中间系统发送的报文的认证字段通过修改前或修改后的报文认证的验证，判断认证通过。

此时由于第一IS使用修改前和修改后的两种认证对第二IS发送过来的报文进行验证。而只要一种认证检查通过，即认为此报文认证检查通过。亦即，第一IS是使用第一IS修改前的认证来对第二IS发送过来的报文验证通过的。最终，第一IS将继续接收第二IS的报文。

在第一中间系统已修改报文认证，第二中间系统亦已修改报文的认证，第二中间系统接收第一中间系统的报文时：

在第二IS接收到第一IS发送过来的报文时，会发现第一IS的报文认证字段中包含修改前和修改后的两种认证。而只要一种认证检查通过，即认为此报文认证检查通过，并继续接收第一IS的报文。亦即在此时，第二IS是用第一IS发送过来的报文中修改后的认证验证通过。

在第一中间系统已修改报文认证，第二中间系统亦已修改报文的认证，第一中间系统接收第二中间系统的报文时：

如上所述，第一IS的使用修改前和修改后的两种认证对第二IS发送过来的报文进行验证。而只要一种认证检查通过，即认为此报文认证检查通过。显然的，此时第一IS是使用第一IS修改后的认证对第二IS发送过来的报文验证通过。因此，第一IS继续接收第二IS的报文。

在本发明的具体实施例中，所述方法还包括：在所述预设的认证延迟时间超时后，所述第一中间系统与第二中间系统仅使用修改后的报文认证进行验证。亦即在认证延迟时间超时后，所述IS-IS协议报文认证方法回复正常，重新使用修改后的报文认证进行报文的验证，从而决定是否接收报文。

具体的，所述方法具体包括：在所述第一中间系统向第二中间系统发送的报文的认证字段中仅添加修改后的报文认证。然后，所述第二中间系统接收所述报文，并对所述认证字段进行验证。若通过验证，所述第二中间系统继续接收所述第一中间系统发送的报文。

在此时，由于第二IS也修改报文认证为与第一IS所述修改后的认证，第二IS接收到第一IS发送过来的报文，发现第一IS的认证字段中为所述修改后的认证，必然能检查通过，仍然继续接受第一IS发送过来的报文。

更具体的，在所述第一IS接收第二IS的报文时，所述方法具体包括：所述第一中间系统接收第二中间系统发送的报文。然后，所述第一中间系统仅使用修改后的报文认证进行验证。最后，若判断认证通过，所述第一中间系统继续接收所述第二中间系统发送的报文。

在此时，由于第二IS也修改报文认证为与第一IS所述修改后的认证，第一IS接收到第二IS发送过来的报文，发现第二IS的认证字段中为所述修改后的认证，必然能检查通过，仍然继续接受第二IS发送过来的报文。

更具体的，所述报文认证的修改具体可以为：认证方式的修改、认证密码的修改或者两者同时修改。

具体的，所述报文具体包括两类报文，其中一类为hello报文，而另一类为LSP、SNP报文。

本发明还提供了一种IS-IS协议报文认证系统。所述系统包括：修改模块100，用于修改第一中间系统的报文认证；延迟时间配置模块200，用于配置预设的认证延迟时间；验证模块300，用于在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过。具体如上所述。

实施例一：

如图3所示为R1，R2构成的网络拓扑，R1和R2建立邻居关系。R1和R2均配置hello报文的认证方式为text，认证密码为1。这时需要将hello报文的认证方式修改为MD5，认证密码为2。

若按照原有方法，例如，先操作R1（对R1进行报文认证的修改），则修改前的认证为：认证方式text，认证密码1；修改后的认证方式为MD5，认证密码2。

这时， R2的认证仍然是：认证方式text，认证密码1，因此，在收到R1的hello报文后，hello报文认证方式是MD5、认证密码是1（R1 hello报文中的认证是修改后的认证），而R2的认证仍然是原来的认证（认证方式text，认证密码1）。从而，R2对R1发送过来的hello报文认证检查失败，丢弃R1发送过来的hello报文并最终使得R1和R2的邻居发生断链。

若采用本发明所述的方法，先操作R1，则修改前的认证为：认证方式text，认证密码1；修改后的认证方式为MD5，认证密码2，同时配置一段3000s的认证延迟时间。

如上所述，R1发送出来的hello报文中会包含两种认证：修改前的认证：认证方式text，认证密码1；和修改后的认证：认证方式为MD5，认证密码2。这时R2的认证为：认证方式text，认证密码1。

因此，收到R1的hello报文后，由于R1 hello报文中包含了修改前后两种认证，R2显然对修改前的认证：认证方式是text与认证密码是1认证成功。从而，能够继续接受R2发送过来的hello报文。

与上述类似，R1接收到R2发送过来的hello报文，包含有认证：认证方式text，认证密码1。显然，使用修改前的认证：认证方式text，认证密码1对R2的hello报文进行认证检查是通过的，因此，R1能够继续接受R2的hello报文。

其后，修改R2的hello报文的认证为：认证方式为MD5，认证密码2（经过一段时间后，网络配置人员完成了对R2的修改）。

此时，R1发送出来的hello报文中包含两种认证：修改前的认证：认证方式text，认证密码1；和修改后的认证：认证方式为MD5，认证密码2。

这时R2的认证为：认证方式为MD5，认证密码2。由于R1 hello报文中包含了修改前后两种认证。因此，R2显然对修改后的认证：认证方式为MD5，认证密码2认证成功。从而，继续接受R1发送过来的hello报文。

相类似的，R1接收到R2发送过来的hello报文，包含有认证：认证方式为MD5，认证密码2。显然，使用修改后的认证：认证方式为MD5，认证密码2对R2的hello报文进行认证检查是通过的，继续接受R2的hello报文，从而不会引起R1和R2之间的邻居断链。

综上所述，上述方法能够避免R1和R2之间的邻居断链。

等到R1的认证延迟时间到期后（超时后），R1在hello报文中使用认证：认证方式为MD5，认证密码2。R2也使用认证：认证方式为MD5，认证密码2。双方是一致的，必然认证通过，邻居仍然保持。

实施例二：

如图4所示，R1，R2之间通过ISIS网络云连接，R1和R2和ISIS网络云构成一个ISIS网络拓扑。R1和R2均配置LSP、SNP认证方式为text，认证密码为1。这时需要修改LSP、SNP报文的认证方式为MD5，认证密码为2。

若按照现有的方法，先操作R1，则修改前的认证为：认证方式text，认证密码1；修改后的认证方式为MD5，认证密码2。

这时，R2的认证为：认证方式text，认证密码1。在收到R1的LSP报文后（R1 LSP报文中的认证是修改后的认证：认证方式是MD5与认证密码是1），由于R2的认证仍然是原来的认证：认证方式text，认证密码1。因此，R2对R1发送过来的LSP报文认证检查失败，丢弃R1发送过来的LSP报文。

最终导致R1和R2的之间由于相互拓扑不可达，发生拓扑和路由删除。

若使用本发明所述方法，先操作R1，则修改前的认证为：认证方式text，认证密码1；修改后的认证方式为MD5，认证密码2，并同时配置一段3000s的认证延迟时间。

如上所述，此时R1发送出来的LSP报文中包含两种认证：修改前的认证：认证方式text，认证密码1；和修改后的认证：认证方式为MD5，认证密码2。

而R2的认证仍然是：认证方式text，认证密码1。在收到R1的LSP报文后，由于R1LSP报文中包含了修改前后两种认证，R2显然对修改前的认证：认证方式是text与认证密码是1认证成功。因此，R2能够继续接受R1发送过来的LSP报文。

相类似的，R1接收到R2发送过来的LSP报文，包含有认证：认证方式text，认证密码1。显然，使用修改前的认证：认证方式text，认证密码1对R2的LSP报文进行认证检查是通过的，能够继续接受R2的LSP报文。此时，不会相互拓扑不可达，也不会发生拓扑和路由删除。

其后，当R2的LSP报文的认证也完成修改，报文认证为：认证方式为MD5，认证密码2时：

R1发送出来的LSP报文中包含两种认证：修改前的认证：认证方式text，认证密码1；和修改后的认证：认证方式为MD5，认证密码2。此时R2的认证仍然是：认证方式为MD5，认证密码2。

在收到R1的LSP报文后，由于R1 LSP报文中包含了修改前后两种认证，R2显然对修改后的认证：认证方式为MD5，认证密码2认证成功。因此，能够继续接受R1发送过来的LSP报文。

相对应的，R1接收到R2发送过来的LSP报文，包含有认证：认证方式为MD5，认证密码2。显然，使用修改后的认证：认证方式为MD5，认证密码2对R2的LSP报文进行认证检查是通过的，R1能够继续接受R2的LSP报文。此时，必然不会相互拓扑不可达，也不会发生拓扑和路由删除。

而等到R1的认证延迟时间3000s到期后，R1在LSP报文中使用认证：认证方式为MD5，认证密码2。R2也使用认证：认证方式为MD5，认证密码2。双方是一致的，必然认证通过，拓扑和路由仍然正常。

综上所述，本发明提供的一种IS-IS协议报文认证方法及其系统，通过设置一段可以同时使用修改前和修改后两种报文认证的认证延迟时间，使得第一中间系统（IS）与第二中间系统（IS）之间的报文（例如hello报文及LSP报文）接收能够顺利进行，保证报文接收中不会因发送认证检查不通过而发生丢弃，消除了配置管理人员在修改报文认证过程中导致的认证检查失败所造成的邻居断链，拓扑和路由删除等不良影响。

可以理解的是，对本领域普通技术人员来说，可以根据本发明的技术方案及本发明构思加以等同替换或改变，而所有这些改变或替换都应属于本发明所附的权利要求的保护范围。

Claims (8)

1.一种IS-IS协议报文认证方法，其特征在于，所述方法包括：

A、修改第一中间系统的报文认证；

B、配置预设的认证延迟时间；

C、在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过；

所述步骤C具体包括：

C11、在所述第一中间系统向第二中间系统发送的报文的认证字段中添加修改前和修改后两种报文认证；

C12、所述第二中间系统接收所述报文，并对所述认证字段进行验证；若修改前或修改后任一报文验证通过验证，判断为认证通过；

C13、所述第二中间系统继续接收所述第一中间系统发送的报文。

2.根据权利要求1所述的IS-IS协议报文认证方法，其特征在于，所述步骤C具体包括：

C21、所述第一中间系统接收第二中间系统发送的报文；

C22、所述第一中间系统使用修改前及修改后的报文认证进行验证；若第二中间系统发送的报文的认证字段通过修改前或修改后的报文认证的验证，判断认证通过；

C23、所述第一中间系统继续接收所述第二中间系统发送的报文。

3.根据权利要求1所述的IS-IS协议报文认证方法，其特征在于，所述方法还包括：

D、在所述预设的认证延迟时间超时后，所述第一中间系统与第二中间系统仅使用修改后的报文认证进行验证。

4.根据权利要求3所述的IS-IS协议报文认证方法，其特征在于，所述步骤D具体包括：

D11、在所述第一中间系统向第二中间系统发送的报文的认证字段中仅添加修改后的报文认证；

D12、所述第二中间系统接收所述报文，并对所述认证字段进行验证；

D13、所述第二中间系统继续接收所述第一中间系统发送的报文。

5.根据权利要求3所述的IS-IS协议报文认证方法，其特征在于，所述步骤D具体包括：

D21、所述第一中间系统接收第二中间系统发送的报文；

D22、所述第一中间系统仅使用修改后的报文认证进行验证；

D23、若判断认证通过，所述第一中间系统继续接收所述第二中间系统发送的报文。

6.根据权利要求1所述的IS-IS协议报文认证方法，其特征在于，所述报文认证的修改包括：认证方式的修改、认证密码的修改以及两者的同时修改。

7.根据权利要求1所述的IS-IS协议报文认证方法，其特征在于，所述报文具体包括hello报文和LSP、SNP报文的两类IS-IS报文。

8.一种IS-IS协议报文认证系统，其特征在于，所述系统包括：

修改模块，用于修改第一中间系统的报文认证；

延迟时间配置模块，用于配置预设的认证延迟时间；

验证模块，用于在所述认证延迟时间内，所述第一中间系统和与第一中间系统进行报文发送或接收的第二中间系统之间使用修改前和修改后两种报文认证进行验证；若修改前或修改后任一种报文认证通过验证，判断为认证通过。