CN107251509B - 通信网络系统之间的可信路由 - Google Patents

通信网络系统之间的可信路由 Download PDF

Info

Publication number
CN107251509B
CN107251509B CN201480084666.8A CN201480084666A CN107251509B CN 107251509 B CN107251509 B CN 107251509B CN 201480084666 A CN201480084666 A CN 201480084666A CN 107251509 B CN107251509 B CN 107251509B
Authority
CN
China
Prior art keywords
communication network
update message
information
path information
network system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201480084666.8A
Other languages
English (en)
Other versions
CN107251509A (zh
Inventor
S.霍特曼恩斯
I.J.奥利弗
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Oyj
Original Assignee
Nokia Networks Oy
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Networks Oy filed Critical Nokia Networks Oy
Publication of CN107251509A publication Critical patent/CN107251509A/zh
Application granted granted Critical
Publication of CN107251509B publication Critical patent/CN107251509B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H04L45/033—Topology update or discovery by updating distance vector protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/12—Shortest path evaluation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/143—Termination or inactivation of sessions, e.g. event-controlled end of session
    • H04L67/145—Termination or inactivation of sessions, e.g. event-controlled end of session avoiding end of session, e.g. keep-alive, heartbeats, resumption message or wake-up for inactive or interrupted session
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种通信网络系统的装置，其路由数据分组并在数据库中存储不同通信网络系统之间的可信路由，检测（S12）数据分组需要具有特定信任级别的路由，从存储在数据库中的可信路由确定（S13）朝向如数据分组中所指示的目的地的特定可信路由，并且在朝向目的地的特定可信路由上设置（S15）数据分组。

Description

通信网络系统之间的可信路由
技术领域
本发明涉及通信网络系统之间的可信路由，例如，边界网关协议（BGP）。
背景技术
当互联网构建时，然后假定将仅存在几个值得信任的玩家，并且没有采取特殊的安全性和信任措施来保护路由，特别是路由表和BGP（边界网关协议）的使用。
然而，现在到BGP的传入路由表可能被“微调”，以诱使网关向实体发送信息，其然后可能破坏机密性并嗅探到分组中。这些种类的攻击在实践中相当经常发生。BGP为安全性提供了一些可能性，但是如何处理这些（特别是不仅与下一个对等体，而且针对通信的整个路径）尚未完全解决。
此外，必须处理传统的BG，并且还假定进行BG的决定必须具有潜在的路由中网关的所有（根）证书，这实际上可能最后是针对网络的规模非常困难。
一些运营商可能希望向其主要业务客户提供作为服务的安全性，即，作为增值服务的安全性，但这要求通信不经由具有很大计算能力的一些较不值得信任的节点重新路由。
此外，一些国家已经发展或者有意发展不将流量路由到它们认为值得信任的域之外的立法。这被称为本地路由，并且示例是申根路由和俄罗斯路由。
另外，使用BGP作为用于软件定义网络（SDN）的基础的趋势可能危及整个基于SDN的网络拓扑。
应用在本说明书中使用的缩写的以下含义：
AS 自治系统
BG 边界网关
BGP 边界网关协议
CMS 加密消息语法
MED 多存在鉴别符
NFV 网络功能虚拟化
NRLI 网络层可达性
PKI 公钥基础设施
RIB 路由信息库
SDN 软件定义网络。
发明内容
本发明旨在解决上述缺点中的至少一个。
例如，本发明的至少一个实施例旨在提供AS和最终接收者的AS之间的可信路径，考虑不同BGP部署以及旧和新类型的GBP节点的混合。
这至少部分地由如所附权利要求中定义的方法、装置和计算机程序产品来实现。
在下文中，将参考附图通过本发明的实施例来描述本发明。
附图说明
图1示出了图示根据本发明的实施例的路由数据分组的过程的流程图。
图2示出了图示其中本发明的实施例的示例可实现的控制单元的配置的示意性框图。
图3示出了根据本发明的实现示例的开放（open）消息的配置，其中新信息连同其他可选参数一起放置在可选参数部分中。
图4示出了根据本发明的实现示例的更新消息的配置，其中将新信息放入路径属性和/或网络层可达性信息中。
图5示出了根据现有技术的关于BGP的问题的示意图。
图6示出了根据本发明的实施例的用于可信数据分组的路由的示意图。
具体实施方式
边界网关协议（BGP）是例如在大型通信网络提供商之间使用的自治系统间路由协议。BGP系统的主要功能是与其他BGP系统交换网络可达性信息。该网络可达性信息包括关于可达性信息穿过的自治系统（AS）的列表的信息。该信息足以构造用于该可达性的AS连接的图形，从其路由循环可以被修剪，并且在AS级别处可以实施一些策略决定。这些策略决定聚焦于效率，即，到目的地的最短路径。
BGP在自治系统（一个信任域）内（即内部/内BGB（iBGP））的路由和AS之间的正常（外部）BGP之间进行区分。对于iBGP，假定iBG以完全网格运行，即，路由器“彼此良好知晓”。
过滤从BG对等体了解的路由，它们在再分布到下一个BG对等体之前或者在将它们设置到路由表中之前的变换通常经由路由映射机制来控制。
路由映射机制基本上表示允许将某些动作在入口或出口路径上应用于匹配某个标准的路由的规则。这些规则可以规定要丢弃路由，或者替代地，要修改其属性。AS管理员的责任通常是在支持BGP的路由器上提供所期望的路由映射配置。根据本发明的至少一个实施例，通过使用用于基础设施的架构来支持因特网路由的改进安全性而向BGP提供用于可信路由的附加。该架构的基础是表示IP地址空间和自治系统（AS）号的分配层次结构的资源公钥基础设施（RPKI），以及用于存储和传播包括RPKI的数据对象以及对于改进路由安全性所必要的其他经签名对象的分布式存储库系统。然而，与本发明的至少一个实施例相反，RPKI不考虑不同的部署速度。
为了提供一连串可信BG以跳跃前进（hop along），需要信任网。众所周知，基于BG的地理位置，可以防止分组去向那里。根据本发明的至少一个实施例，该机制被做成“值得信任的”，并且考虑世界上并不是所有的网络节点都将“在夜间（over night）”更新。
每个BGP维护其自身的主路由表，称为LocRIB（RIB=路由信息库）。对于每个BG邻居（也称为对等体），BGP过程维护包含从邻居接收的NLRI的概念Adj-RIB-ln（相邻路由信息库，传入的主要是未处理的路由信息存储在此处），以及用于要被发送到邻居的NLRI的概念Adj-RIB-Out（传出）。现今，在不考虑邻居的可信任性的情况下，在处理后，所有路由信息都存储在BGP的LocRIB中。
ROA（路由起源授权）构成使单个AS发源到一个或多个前缀（prefix）的路由的显式授权，并由这些前缀的持有者签名。
根据本发明的一方面，提供了路由表的信任链（路由表更新）。现今，PKI确保下一跳上的信息可以被信任，但不确保下一跳真正将值得信任的信息用于进一步的路由。根据本发明的至少一个实施例，PKI机制可以被改进以用于例如在可敬安全性意识运营商之间创建信任网。
根据本发明的另一方面，提出了一种基于信任和地理属性例如结合现有路由决定因素和ROA方法的向后兼容路由决定机制。LocRIB利用地理和信任属性扩展。
现在参考图1，图1示出了图示根据本发明的实施例的路由过程的流程图。该过程可以由通信网络系统（例如，AS）的装置（例如，BG、路由器、网关、对等体）来实现，该通信网络系统（例如，AS）路由数据分组并在数据库中存储不同通信网络系统之间的可信路由（例如路由表，LocRIP）。应当注意，本发明的思想不限于BGP路由器，而是也可以应用于其他路由器，诸如例如NFV路由器。
在步骤S11中，在装置处接收数据分组。在步骤S12中，检查数据分组是否需要具有特定信任级别的路由。在步骤S12中检测到数据分组需要具有特定信任级别的路由的情况下，在步骤S13中，从存储在数据库中的可信路由确定朝向如数据分组中所指示的目的地的特定可信路由。
否则，在步骤S12中检测到数据分组不需要具有特定信任级别的路由的情况下，在步骤S14中，从数据库确定路由，而不考虑任何特定可信路由不必从数据库选择。
在步骤S15中，在特定可信路由或在步骤S14中确定的朝向如数据分组中所指示的目的地的路由上设置数据分组。
上述特定可信路由包括完全可信和半可信的路由。例如，如果路由完全在德国境内，则它被认为是可信的，如果它经由申根区域，则它将是半可信的，并且申根区域之外不可信。
如稍后将更详细描述的，根据本发明的实施例，通信网络系统的装置从另一通信网络系统接收其他通信网络系统的安全性信息（例如证书），并在数据库中存储该安全性信息。
此外，该装置向其他通信网络系统发送通信网络系统的安全性信息（例如证书）。
根据稍后描述的本发明的实现示例，响应于通信网络系统和其他通信网络系统之间的连接的建立而在开放消息中传达安全性信息，或者在传送关于通信网络系统之间的可达性的信息的更新消息中传达安全性信息。
如稍后将更详细描述的，根据本发明的实施例，通信网络系统的装置从其他通信网络系统接收更新消息，所述更新消息传送关于通信网络系统之间的可达性的信息，该更新消息包括来自其他通信网络系统的第一路径信息（例如，在路径属性ORIGIN中），所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证。
如稍后将更详细描述的，根据本发明的实施例，通信网络系统的装置检查更新消息是否利用遵从（comply with）发送到其他通信网络系统的安全性信息的密钥进行签名。在检查结果为否定的情况下，更新消息可以被丢弃。
根据稍后描述的本发明的实现示例，更新消息包含以下中的至少一个：
- 关于节点之间的可信任性的第二路径信息（例如在路径属性AS_Path中），
- 定义要用作到节点的下一跳的路由器的地址的第三路径信息（例如，在路径属性NEXT_HOP中），以及
- 定义本地路由条件的第四路径信息（例如，“本地属性”）。
在不丢弃更新消息的情况下，装置基于第一、第二、第三和第四路径信息中的至少一个而更新存储在数据库中的可信路由。
如稍后将更详细描述的，根据本发明的实施例，装置与不同的通信网络系统交换保持活跃（alive）消息。
此外，开放消息、更新消息和保持活跃消息中的至少一个可以被完整性保护且签名，或者完整性保护的消息和相应消息的各个字段可以被签名。
根据稍后描述的本发明的实现示例，装置将以下信息中的至少一个包括到更新消息中，该更新消息传送关于通信网络系统之间的可达性的信息：
- 第一路径信息（例如，在路径属性ORIGIN中），第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证，
- 关于节点之间的可信任性的第二路径信息（例如在路径属性AS_Path中），
- 定义要用作到节点的下一跳的路由器的地址的第三路径信息（例如，在路径属性NEXT_HOP中），以及
- 定义本地路由条件的第四路径信息（例如，“本地属性”）。
可以基于本地路由条件来定义路由器的地址。
装置向其他通信网络系统发送更新消息。
如稍后将更详细描述的，根据本发明的实施例，装置利用遵从从其他通信网络系统所接收的安全性信息的密钥对更新消息进行签名。
作为在探讨各种实现的细节之前的初步事项，参考图1，用于图示适于在实践本发明的示例性实施例中使用的控制单元20的简化框图。
控制单元20包括经由链路24耦合的处理资源（例如处理电路）21、存储器资源（例如存储器电路）22和接口（例如，接口电路）23。控制单元20可以是上述装置的部分和/或由上述装置使用。为了向和从包括上述其他通信网络系统或不同通信网络系统的装置的对等体发送和接收数据分组，使用连接25。此外，为了向和从包括上述其他通信网络系统或不同通信网络系统的装置的对等体发送和接收诸如开放、更新和保持活跃消息之类的消息，使用连接26。
术语“连接”、“耦合”或其任何变体意指两个或更多个元件之间的直接或间接的任何连接或耦合，并且可以包含“连接”或“耦合”在一起的两个元件之间的一个或多个中间元件的存在。元件之间的耦合或连接可以是物理的、逻辑的或其组合。如本文所采用的，两个元件可以被认为通过使用一个或多个电线、电缆和印刷的电连接以及通过使用电磁能“连接”或“耦合”在一起，所述电磁能诸如具有在射频区域、微波区域和光学（可见和不可见两者）区域中的波长的电磁能，作为非限制性示例。
通常，本发明的示例性实施例可以由存储在存储器资源22中的计算机软件来实现，并且由处理资源21、或由硬件、或由软件和/或固件和硬件的组合可执行。
存储器资源22可以属于适于本地技术环境的任何类型，并且可以使用诸如基于半导体的存储器设备、磁存储器设备和系统、光学存储器设备和系统、固定存储器和可移动存储器之类的任何适合的数据存储技术来实现。处理资源21可以属于适于本地技术环境的任何类型，并且可以包括通用计算机、专用计算机、微处理器、数字信号处理器（DSP）和基于多核处理器架构的处理器中的一个或多个，作为非限制性示例。
根据本发明的至少一个实施例，两个实体（例如，路由器）通过发送包含关于路由、密钥等的信息的消息进行通信。
然而，取决于所使用的协议，消息将由一个或多个数据分组携带。
一些协议具有对分组的排序的概念，使得完整的消息可能被重构，并且失去的分组被检测并重新发送。这也允许分组也无序到达，因为预期分组的总数始终是已知的，因为该信息包含在所有单独的分组中。
一些协议还包含错误校正的概念，这不仅允许在“嘈杂”环境中保留消息的完整性，而且允许检测和恢复错误。此处可能的是，在不需要重发请求的情况下校正包含错误的消息。
此外，一些协议可以携带其他协议——这就是“隧道”如何做成。因此当系统可能阻止BGP消息和BGP载波协议时，其可以由被允许的协议进一步携带，例如通过HTTP的BGP可能是一些系统中的一个解决方案。这是可以如何实现这一点的示例。也可以通过该机制来实现某些种类的点到点安全性。
此外，消息或包含消息的数据分组或甚至数据分组自身的不存在也可以被解释为“消息”。这通常发生在某种网络故障期间，并且分组未在给定的时间段内到达其目的地，从而导致超时。在这样的情况下，接收器可能重新发行针对失去的分组的请求，故障或一些其他适合的操作，包括等待。
换句话说，BGP消息由BGP协议携带，BGP协议可以如底层传输协议需要的那样散布在一个或多个数据分组上。
由BGP协议携带的BGP消息可以由可以携带以任何形式的数据的任何底层协议携带。
未接收到BGP消息指示某种网络错误，并且因此，在其中预期接收的情况下，未接收是“消息”。在该情况下，这可能导致某种处理来应对这样的故障，例如，锁定某些路由或配置，将系统模型改变为更“警觉”配置，或更少的信任状态等。
此外，BGP消息可以通过两个或更多个协议同时发送。
例如，可以通过针对密钥交换设计的一个协议之上的消息来促进BGP密钥的交换，而BGP路由消息可以由BGP协议或如上所述的载波协议的任何组合来促进。
此外，甚至可能的是，理论上，使用协议的任何组合来传输包括BGP协议自身的BGP消息。
在下文中，将描述本发明的实现示例。
部分1：改进路由信息的可信任性的BGP的修改
BGP包括被修改以改进BGP路由的安全性的以下消息：
- 开放消息
- 更新消息
- 保持活跃消息
在下文中，将描述修改这些消息的示例。
开放消息
如从图3可以看出，除了固定大小的BGP报头，BGP开放消息包含以下字段：
- BGP协议版本（目前为v4）
- 本地AS号（逻辑系统名称）
- 保持时间（提出的保持时间值，对于保持活跃目的需要）
- BGP标识符（逻辑BGP系统的IP地址）
在该字段中，也可以在路由选项下添加路由器Id语句。找到的第一接口的IP地址是默认地址。
- 可选参数字段长度和参数。
根据本发明的实现示例，图3中所图示的可选参数字段用于提供AS安全性信息。也就是说，开放消息被散列和签名，例如使用CMS（加密消息语法），并且证书被附接到可选参数字段。
更新消息
BGP更新消息用于在BGP对等体之间传送路由信息。更新消息中的信息可以用于构造描述各种自治系统的关系的图形。更新消息要围绕关于可达性的信息发送。
如从图4可以看出，更新消息构造如下：
- 不可行的路由长度（撤销路由字段的长度）
- 撤销路由（近似不再可达的节点的撤回列表）
- 总路径属性长度（路径属性字段的长度，这列出了到目的地的可行路由的路径属性）
- 路径属性——路由的属性，包括路径起源、多出口鉴别符（MED）、发源系统针对路由的偏好、以及关于聚合、社区、联盟和路由反射的信息
- 网络层可达性信息（NLRI）（在更新消息中通告的可行路由的IP地址前缀）。此处必须确保该信息真正值得信任。
根据本发明的实现示例，更新消息作为整体被签名和散列（例如，使用CMS）以避免对诱使网关（BG）认为只剩下“一个选项”来路由数据分组的方式的操纵。
路径属性：
ORIGIN（类型代码1）：ORIGIN是众所周知的强制性属性，其定义路径信息的起源。数据八位位组可以采取以下值（注意，3、4和5是根据本发明的实现示例引入的值）：
价 含义
0 IGP——网络层可达性信息在发源AS的内部
1 EGP——网络层可达性信息经由EGP协议了解
2 INCOMPLETE——网络层可达性
3 NEW信息，通过一些其他方式了解
4 NEW路径可以被对等节点（AS）完全验证
5 NEW路径只能由对等节点（AS）部分验证/不能验证。
如果设置了值4和5，则整个消息需要利用属于开放消息中所接收的证书的密钥（或作为IP变体：利用以更新消息接收到的证书）进行签名。
AS_路径
AS_PATH是强制性属性。该属性标识该更新消息中携带的路由信息已经通过的自治系统。该列表的组分可以是AS_SET或AS_SEQUENCE。
根据本发明的实现示例，AS_路径信息被散列和签名。只签名整个消息对AS_路径不起作用，因为AS_路径信息可能被转发和重新使用，并且原始签名需要保留，使得“进一步在路由中下方”的节点也知晓信息是值得信任的。
例如，整个AS_路径属性被签名（或者其散列被签名）或者该所有属性（或其散列）都利用属于发送该信息的AS的密钥进行签名。AS_路径还可以包含关于每一跳的可信任性的信息，即，表的该部分的签名。示例：
AS_1的IP
AS_2的IP
AS_3的IP
AS_4的IP
由AS_1在整体上的签名；这是强制性的，但也可以在消息级别上进行。然而，然后信息不可重新使用于转发。
在AS_3和AS_4上的AS_3的签名，利用哪些字段被签名的信息。
这要被解释如下：
AS_1可以核实下一跳的起源（AS_2），并且从AS_2得到关于AS_3和AS_4的信息。AS_2不能保证从AS_3接收到的信息，但AS_3可以保证AS_4。在该示例中，信任链被破坏，并且该路由表将具有起源值5，因为不是整个表（即路由）可以被验证和链接。
如果在AS_3和AS_4上将存在来自AS_2的签名，则该链将是完整的，并且该路由将被视为值得信任的。
还可以通过密钥的信任网络或结合用于地理区域的已知值和密钥来提供地理路由。该信息被编码到BGP分组中，如下面所解释的。
由于IP地址具有区域约束，所以这也导致了地理约束。对于区域路由，上述证书应在地理上受限。代理的使用（例如，像针对一些互联网服务做出的，以规避国家限制）是不起作用的，因为代理不会被发行以这样的证书/密钥。
要注意的是，在本文档中存在两个本地的概念。一个意味着在AS内，并且另一个根据国家/区域之间的信任区域。
NEXT_HOP
NEXT_HOP是强制性的路径属性，其定义应用作更新消息中列出的目的地的下一跳的路由器的IP地址。
在下文中将描述如何构造NEXT_HOP属性。
为了将更新消息发送到内部对等体，属性被取得为原样（假定信息的起源被认为是值得信任的），并且自身的（即发送路由器的）IP地址/接口地址被添加。此外，更新消息被签名以确保起源是正确的，并且不发生修改。此外，可以添加如上所述的本地属性。
为了将更新消息发送到外部对等体：
- 一个IP跳开并且所接收的包含至少一个路由的更新消息被认为是值得信任的，然后添加自身的（即发送路由器的）地址/接口地址，并且更新消息被签名。如果所接收的更新消息不被认为是值得信任的，则安全性信息被剥离（例如出于性能原因）或现有的信任信息被转发。再次，自身的（即发送路由器的）IP地址通过（多个）签名标记为值得信任的。
- 多个IP跳开（多跳EBGP）。用于签名和添加的相同规则适用。
避免循环的普通规则等适用。
作为整体的更新消息由AS_1签名（即更新消息的起源，发言者（speaker）），例如使用CMS和X.509证书以用于核实和对应的密钥以用于签名。
保持活跃消息
BGP系统交换保持活跃消息以确定链路或主机是否故障或不再可用。足够频繁地交换保持活跃消息，使得保持定时器不会到期。这些消息目前只包括BGP报头。
根据本发明的实现示例，这些消息被散列（完整性保护）并签名，并且可选地包括时间戳以避免重放攻击，即，某人破坏对等体并发送保持活跃消息，使得其他节点仍将信任该对等体。
部分2：BG中的处理
假定BG接收“传统”BGP消息（即，没有安全性增强），而且还接收安全性增强的BGP消息。
关于数据分组处理，假定BG接收数据分组，并且该数据分组需要具有特定信任级别的路由，例如，应“值得信任地路由”或“经核实的申根路由”或类似。根据本发明的至少一个实现示例，这可以通过AS的特殊节点进行，即，来自特殊节点的所有数据分组都需要具有特定信任级别的路由，或者标志被包括在由一个或多个数据分组携带的消息中，这取决于所使用的协议，该消息然后至少需要完整性和起源保护，或者通过检查消息的源，例如发送IMEI属于德国，因此经核实的申根路由将被使用。出于兼容性，根据本发明的实现示例，某种标志在分组处添加或已经可用，使得下一个节点识别出该分组需要特殊处理。例如，这样的标志被添加到消息的报头。
根据现有技术，NEXT_HOP属性被选择为使得将采取最短的可用路径。BGP发言者必须能够支持第三方NEXT_HOP属性的禁用通告，以便处理不完全地桥接的媒介。
上述现有技术聚焦于效率和最短路径。根据本发明的至少一个实施例，该方法被保留，但是仅在数据分组不需要被值得信任地路由的情况下。
当数据分组需要值得信任地路由时，则仅考虑具有到目的地的完全值得信任的路径的路由。如果不能找到值得信任的路由，则将错误返回给发送方（与经由非可信路径重新发送数据分组、或修改消息的选项一起），或者消息如果转发到不可信路由（不推荐），并且消息被标记（并签名，以避免该标记被移除）为潜在危害。当没有完全值得信任的路径可用时，则可以在完全不值得信任的路径之上选择部分值得信任的路径，但这取决于AS的策略和配置。
详细而言，确定紧接的下一跳地址，这是通过使用路由表的内容执行针对NEXT_HOP属性中的IP地址的递归路由查找操作，如果存在相等信任的多个条目则选择一个条目。
关于BGP的数据库，根据本发明的至少一个实现示例，BGP利用附加的信任属性来维护LocRIB中的可信和非可信路由（例如，路径签名和标记，如果完整路径是值得信任的，参见路径属性上的细节）。替代地，维护单独的“可信路由”TrustLocRIB，其中只存储可信路由，即传入路由信息NLRI（网络层可达性信息）。从可信路由的列表，实际上可以选择最短/最快。如果完整路径不值得信任，但其仅部分可以被核实，则其不应去向可信路由（或者被标记为完全值得信任的）。然而，对于部分可信的路由，可以保持信任属性（即签名）以提供“尽力而为的信任”路由，即尽可能地信任的路由。这适用于Adj-RIB-ln、Adj-RIB-Out。
最后，参考图5和图6，用于图示根据本发明的至少一个实施例的BGP问题和该问题的解决方案。
图5图示了包括四个通信网络系统A、B、C和D的系统。用于路由数据分组的最短和最安全的路径存在于A和C之间。然而，A已经从B接收到更新A的路由表的更新消息，使得路由A-B-D-C看起来像最优路由。因此，A向B路由具有目的地C的数据分组。因此，“讨厌的人”可以得到复制数据分组的机会。
如图6所示，解决了上述问题。如图6所示，A从B接收到更新A的路由表的更新消息，使得路由A-B-D-C看起来像最优路由。然而，由于更新消息不包含A-B-D-C是值得信任的任何证明，所以A存储不可信路由表A-B-D-C。相比之下，由于A已经从C接收到指示A和C之间的信任证据的更新消息，所以A存储可信路由表A-C。因此，A向C路由具有目的地C的数据分组。因此，“讨厌的人”没有机会复制数据分组。
根据本发明的一方面，提供了一种通信网络系统的装置，其路由数据分组并在数据库中存储不同通信网络系统之间的可信路由。该装置可以包括和/或使用图2中所示的控制单元20。
该装置包括用于检测数据分组需要具有特定信任级别的路由的部件、用于从存储在数据库中的可信路由确定朝向如数据分组中所指示的目的地的特定可信路由的部件、以及用于在朝向目的地的特定可信路由上设置数据分组的部件。
根据本发明的示例性实施例，该装置包括用于从另一通信网络系统接收其他通信网络系统的安全性信息的部件、以及用于将安全性信息存储在数据库中的部件。
根据本发明的示例性实施例，该装置包括用于向其他通信网络系统发送通信网络系统的安全性信息的部件。
根据本发明的示例性实施例，响应于通信网络系统和其他通信网络系统之间的连接的建立而在开放消息中传达安全性信息。根据本发明的另一示例性实施例，在更新消息中传达安全性信息，所述更新消息传送关于通信网络系统之间的可达性的信息。
根据本发明的示例性实施例，用于接收的部件从其他通信网络系统接收更新消息，所述更新消息传送关于通信网络系统之间的可达性的信息，所述更新消息包括来自其他通信网络系统的第一路径信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证，并且用于更新的部件基于第一路径信息更新存储在数据库中的可信路由。
根据本发明的示例性实施例，该装置包括用于检查更新消息是否利用遵从发送到其他通信网络系统的安全性信息的密钥进行签名的部件、以及用于在检查结果为否定的情况下丢弃所述更新消息的部件。
根据本发明的示例性实施例，更新消息包含以下中的至少一个：关于节点之间的可信任性的第二路径信息、定义要用作到节点的下一跳的路由器的地址的第三路径信息、以及定义本地路由条件的第四路径信息，并且用于更新的部件基于第二、第三和第四路径信息中的至少一个而更新存储在数据库中的可信路由。
根据本发明的示例性实施例，该装置包括用于与不同的通信网络系统交换保持活跃消息的部件。
根据本发明的示例性实施例，所述开放消息、所述更新消息和所述保持活跃消息中的至少一个被完整性保护且签名，或者完整性保护的消息和相应消息的各个字段被签名。
根据本发明的示例性实施例，该装置包括用于将第一路径信息包括到更新消息中的部件，所述更新消息传送关于通信网络系统之间的可达性的信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证。替代地或另外，用于包括的部件将关于节点之间的可信任性的第二路径信息包括到更新消息中。替代地或另外，用于包括的部件将定义要用作到节点的下一跳的路由器的地址的第三路径信息包括到更新消息中。替代地或另外，用于包括的部件将定义本地路由条件的第四路径信息包括到更新消息中。用于发送的部件朝向其他通信网络系统发送更新消息。
根据本发明的示例性实施例，该装置包括用于利用遵从从其他通信网络系统所接收的安全性信息的密钥对更新消息进行签名的部件。
根据本发明的示例性实施例，基于本地路由条件来定义路由器的地址。
用于检测、确定、设置、接收、发送、存储、更新、检查、丢弃、交换、包括和签名的部件可以通过处理资源21、存储器资源22和接口23来实现。
应当理解，上述描述是对本发明的说明，而不应被解释为限制本发明。本领域技术人员可以在不脱离如由所附权利要求定义的本发明的真实精神和范围的情况下想到各种修改和应用。

Claims (19)

1.一种由通信网络系统的装置使用的方法，其路由数据分组并在数据库中存储不同通信网络系统之间的可信路由，所述方法包括：
向另一通信网络系统发送通信网络系统的安全性信息；
从其他通信网络系统接收更新消息，所述更新消息传送关于通信网络系统之间的可达性的信息，所述更新消息包括来自其他通信网络系统的第一路径信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证；
基于第一路径信息更新存储在数据库中的可信路由；
检测数据分组需要具有特定信任级别的路由；
从存储在数据库中的可信路由确定朝向如所述数据分组中所指示的目的地的特定可信路由；以及
在朝向所述目的地的所述特定可信路由上设置所述数据分组。
2.根据权利要求1所述的方法，包括：
从另一通信网络系统接收其他通信网络系统的安全性信息；以及
将安全性信息存储在数据库中。
3.根据权利要求2所述的方法，其中
响应于通信网络系统和其他通信网络系统之间的连接的建立而在开放消息中传达安全性信息，或者
在更新消息中传达安全性信息，所述更新消息传送关于通信网络系统之间的可达性的信息。
4.根据权利要求3所述的方法，其中所述开放消息、所述更新消息和保持活跃消息中的至少一个被完整性保护且签名，或者完整性保护的消息和相应消息的各个字段被签名。
5.根据权利要求2所述的方法，包括：
将第一路径信息包括到更新消息中，所述更新消息传送关于通信网络系统之间的可达性的信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证，或
将关于节点之间的可信任性的第二路径信息包括到更新消息中，或
将定义要用作到节点的下一跳的路由器的地址的第三路径信息包括到更新消息中，或
将定义本地路由条件的第四路径信息包括到更新消息中；
朝向其他通信网络系统发送更新消息；以及
利用遵从从其他通信网络系统所接收的安全性信息的密钥对更新消息进行签名。
6.根据权利要求1所述的方法，包括：
检查更新消息是否利用遵从发送到其他通信网络系统的安全性信息的密钥进行签名；以及
在检查结果为否定的情况下，丢弃所述更新消息。
7.根据权利要求1所述的方法，其中，所述更新消息包含以下中的至少一个：
关于节点之间的可信任性的第二路径信息，
定义要用作到节点的下一跳的路由器的地址的第三路径信息，以及
定义本地路由条件的第四路径信息，并且所述方法包括：
基于第二、第三和第四路径信息中的至少一个而更新存储在数据库中的可信路由。
8.根据权利要求1所述的方法，包括：
与不同的通信网络系统交换保持活跃消息。
9.根据权利要求1所述的方法，包括：
将第一路径信息包括到更新消息中，所述更新消息传送关于通信网络系统之间的可达性的信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证，或
将关于节点之间的可信任性的第二路径信息包括到更新消息中，或
将定义要用作到节点的下一跳的路由器的地址的第三路径信息包括到更新消息中，或
将定义本地路由条件的第四路径信息包括到更新消息中；以及
朝向其他通信网络系统发送更新消息。
10.根据权利要求9所述的方法，其中，基于本地路由条件来定义所述路由器的地址。
11.一种存储计算机程序的非暂时性计算机可读介质，所述计算机程序包括当所述计算机程序在处理设备上运行时执行如下步骤的软件代码部分：
向另一通信网络系统发送通信网络系统的安全性信息；
从其他通信网络系统接收更新消息，所述更新消息传送关于通信网络系统之间的可达性的信息，所述更新消息包括来自其他通信网络系统的第一路径信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证；
基于第一路径信息更新存储在数据库中的可信路由；
检测数据分组需要具有特定信任级别的路由；
从存储在数据库中的可信路由确定朝向如所述数据分组中所指示的目的地的特定可信路由；以及
在朝向所述目的地的所述特定可信路由上设置所述数据分组。
12.根据权利要求11所述的非暂时性计算机可读介质，其中所述计算机程序可直接加载到所述处理设备的内部存储器中。
13.一种通信网络系统的装置，其被配置为路由数据分组并在数据库中存储不同通信网络系统之间的可信路由，所述装置包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置至少执行：
向另一通信网络系统发送通信网络系统的安全性信息；
从其他通信网络系统接收更新消息，所述更新消息传送关于通信网络系统之间的可达性的信息，所述更新消息包括来自其他通信网络系统的第一路径信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证；
基于第一路径信息更新存储在数据库中的可信路由；
检测数据分组需要具有特定信任级别的路由；
从存储在数据库中的可信路由确定朝向如所述数据分组中所指示的目的地的特定可信路由；以及
在朝向所述目的地的所述特定可信路由上设置所述数据分组。
14.根据权利要求13所述的装置，其中，所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置执行：
从另一通信网络系统接收其他通信网络系统的安全性信息；以及
将安全性信息存储在数据库中。
15.根据权利要求14所述的装置，其中，所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置执行：
将第一路径信息包括到更新消息中，所述更新消息传送关于通信网络系统之间的可达性的信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证，或
将关于节点之间的可信任性的第二路径信息包括到更新消息中，或
将定义要用作到节点的下一跳的路由器的地址的第三路径信息包括到更新消息中，或
将定义本地路由条件的第四路径信息包括到更新消息中；以及
朝向其他通信网络系统发送更新消息；以及
利用遵从从其他通信网络系统所接收的安全性信息的密钥对更新消息进行签名。
16.根据权利要求13所述的装置，其中所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置执行：
检查更新消息是否利用遵从发送到其他通信网络系统的安全性信息的密钥进行签名；以及
在检查结果为否定的情况下，丢弃所述更新消息。
17.根据权利要求13所述的装置，其中，所述更新消息包含以下中的至少一个：
关于节点之间的可信任性的第二路径信息，
定义要用作到节点的下一跳的路由器的地址的第三路径信息，以及
定义本地路由条件的第四路径信息，其中所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置执行：
基于第二、第三和第四路径信息中的至少一个而更新存储在数据库中的可信路由。
18.根据权利要求13所述的装置，其中，所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置还执行：
与不同的通信网络系统交换保持活跃消息。
19.根据权利要求13所述的装置，其中，所述至少一个存储器和所述计算机程序代码被配置为利用所述至少一个处理器使得所述装置还执行：
将第一路径信息包括到更新消息中，所述更新消息传送关于通信网络系统之间的可达性的信息，所述第一路径信息指示在更新消息中携带的路由信息已经通过的不同通信网络系统的节点之间的路径是否已经被验证，或
将关于节点之间的可信任性的第二路径信息包括到更新消息中，或
将定义要用作到节点的下一跳的路由器的地址的第三路径信息包括到更新消息中，或
将定义本地路由条件的第四路径信息包括到更新消息中；以及
朝向其他通信网络系统发送更新消息。
CN201480084666.8A 2014-12-18 2014-12-18 通信网络系统之间的可信路由 Active CN107251509B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/EP2014/078354 WO2016096005A1 (en) 2014-12-18 2014-12-18 Trusted routing between communication network systems

Publications (2)

Publication Number Publication Date
CN107251509A CN107251509A (zh) 2017-10-13
CN107251509B true CN107251509B (zh) 2021-07-13

Family

ID=52144688

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201480084666.8A Active CN107251509B (zh) 2014-12-18 2014-12-18 通信网络系统之间的可信路由

Country Status (6)

Country Link
US (1) US10447653B2 (zh)
EP (1) EP3235209B1 (zh)
JP (1) JP2018500828A (zh)
KR (1) KR102072228B1 (zh)
CN (1) CN107251509B (zh)
WO (1) WO2016096005A1 (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10084798B2 (en) 2016-06-30 2018-09-25 Juniper Networks, Inc. Selective verification of signatures by network nodes
US10404456B2 (en) 2016-12-29 2019-09-03 Sprint Communications Company L.P. Network function virtualization (NFV) hardware trusted hosted MANO
CN107911339B (zh) * 2017-10-20 2020-08-11 新华三技术有限公司 信息维护方法及装置
CN108092897B (zh) * 2017-11-23 2020-07-21 浙江大学 一种基于sdn的可信路由源管理方法
US10931568B2 (en) 2018-07-02 2021-02-23 Hewlett Packard Enterprise Development Lp Hitless maintenance of a L3 network
CN111147380B (zh) 2018-11-02 2021-11-30 华为技术有限公司 一种路由处理的方法和网络设备
US11863522B2 (en) * 2019-04-04 2024-01-02 Cisco Technology, Inc. Applying attestation to the border gateway protocol (BGP)
WO2021027941A1 (zh) * 2019-08-15 2021-02-18 华为技术有限公司 学习路由的方法、转发报文的方法、设备和存储介质
CN112491716B (zh) * 2019-09-12 2023-07-18 华为技术有限公司 算力路由方法及装置
CN111585984B (zh) * 2020-04-24 2021-10-26 清华大学 面向分组全生存周期的去中心化安全保障方法及装置
EP4154467A1 (en) * 2020-06-18 2023-03-29 Huawei Technologies Co., Ltd. Route authorization with blockchain enhanced origin confirmation
RU202099U1 (ru) * 2020-10-21 2021-02-02 Закрытое Акционерное Общество "Институт Сетевых Технологий" Сетевое устройство организации взаимодействия локальных вычислительных сетей и отдельных узлов сети по протоколам передачи данных
CN114598487B (zh) * 2020-12-04 2023-06-02 华为技术有限公司 一种验证as对的方法、装置及设备
US11949718B2 (en) * 2021-01-15 2024-04-02 Arris Enterprises Llc Establishing a trusted path and transmitting information via a network of untrusted elements
CN113542116B (zh) * 2021-02-26 2023-02-21 互联网域名系统北京市工程研究中心有限公司 基于aspa改进的路径验证方法
US20220303280A1 (en) * 2021-03-19 2022-09-22 Seagate Technology Llc Monitoring trust levels of nodes in a computer network

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101026548A (zh) * 2006-02-23 2007-08-29 中兴通讯股份有限公司 一种数据业务路由方法
WO2008030629A1 (en) * 2006-09-06 2008-03-13 Signacert, Inc. Method and apparatus to establish routes based on the trust scores of routers withtn an ip routing domain
CN101374334A (zh) * 2007-08-22 2009-02-25 华为技术有限公司 传递分组数据网络标识信息的方法和系统
CN103200103A (zh) * 2013-04-27 2013-07-10 东南大学 一种可信的域间路由选路方法
CN103384196A (zh) * 2005-11-18 2013-11-06 安全第一公司 安全数据解析方法和系统

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH05227162A (ja) * 1992-02-13 1993-09-03 Fuji Xerox Co Ltd ネットワーク接続装置
US7174018B1 (en) * 1999-06-24 2007-02-06 Nortel Networks Limited Security framework for an IP mobility system using variable-based security associations and broker redirection
US7346771B2 (en) 2002-11-13 2008-03-18 Nokia Corporation Key distribution across networks
US7733804B2 (en) * 2004-11-29 2010-06-08 Signacert, Inc. Method and apparatus to establish routes based on the trust scores of routers within an IP routing domain
US7991895B2 (en) * 2005-12-09 2011-08-02 Nokia Corporation Limiting access to network functions based on personal characteristics of the user
US7710872B2 (en) * 2005-12-14 2010-05-04 Cisco Technology, Inc. Technique for enabling traffic engineering on CE-CE paths across a provider network
JP2007243489A (ja) * 2006-03-07 2007-09-20 Kddi Corp 経路変動判定装置及びコンピュータプログラム
JP4580372B2 (ja) * 2006-08-10 2010-11-10 株式会社日立製作所 ネットワークシステム
US8223668B2 (en) * 2006-12-14 2012-07-17 Rockstar Bidco Lp Method and apparatus for exchanging routing information and the establishment of connectivity across multiple network areas
US20090252161A1 (en) * 2008-04-03 2009-10-08 Morris Robert P Method And Systems For Routing A Data Packet Based On Geospatial Information
US8503305B2 (en) * 2008-06-03 2013-08-06 Tejas Israel Ltd Automatic signaling method and device for telecommunication services
US8352729B2 (en) 2008-07-29 2013-01-08 International Business Machines Corporation Secure application routing
JP4988674B2 (ja) * 2008-09-08 2012-08-01 株式会社日立製作所 ネットワーク監視装置、ネットワーク監視方法、および、ネットワーク監視プログラム
US8451750B2 (en) 2008-10-01 2013-05-28 Cisco Technology, Inc. Validation of routes advertised by border gateway protocol
US8914538B2 (en) * 2010-05-13 2014-12-16 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Implementing network manager quarantine mode
US9201131B2 (en) * 2010-11-18 2015-12-01 The Boeing Company Secure routing based on degree of trust
US9806982B2 (en) * 2010-12-27 2017-10-31 Verizon Patent And Licensing Inc. Router policy system
US8472950B2 (en) 2011-11-04 2013-06-25 Verizon Patent And Licensing Inc. Location-based microcell search
WO2013115943A1 (en) * 2012-02-03 2013-08-08 The Boeing Company Secure routing based on degree of trust
CN105103619B (zh) * 2013-03-15 2019-08-30 波音公司 基于路由器物理位置的安全路由
US9154949B1 (en) * 2013-07-08 2015-10-06 Sprint Communications Company L.P. Authenticated delivery of premium communication services to untrusted devices over an untrusted network
JP6171868B2 (ja) * 2013-11-11 2017-08-02 富士通株式会社 ノード装置、経路入れ替え方法、及び、プログラム
US9647925B2 (en) * 2014-11-05 2017-05-09 Huawei Technologies Co., Ltd. System and method for data path validation and verification

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103384196A (zh) * 2005-11-18 2013-11-06 安全第一公司 安全数据解析方法和系统
CN101026548A (zh) * 2006-02-23 2007-08-29 中兴通讯股份有限公司 一种数据业务路由方法
WO2008030629A1 (en) * 2006-09-06 2008-03-13 Signacert, Inc. Method and apparatus to establish routes based on the trust scores of routers withtn an ip routing domain
CN101374334A (zh) * 2007-08-22 2009-02-25 华为技术有限公司 传递分组数据网络标识信息的方法和系统
CN103200103A (zh) * 2013-04-27 2013-07-10 东南大学 一种可信的域间路由选路方法

Also Published As

Publication number Publication date
KR102072228B1 (ko) 2020-01-31
US10447653B2 (en) 2019-10-15
JP2018500828A (ja) 2018-01-11
KR20170094441A (ko) 2017-08-17
EP3235209B1 (en) 2020-12-02
US20170353430A1 (en) 2017-12-07
EP3235209A1 (en) 2017-10-25
WO2016096005A1 (en) 2016-06-23
CN107251509A (zh) 2017-10-13

Similar Documents

Publication Publication Date Title
CN107251509B (zh) 通信网络系统之间的可信路由
US7668082B1 (en) Network routing using link failure information
Coltun The OSPF opaque LSA option
Rekhter et al. A border gateway protocol 4 (BGP-4)
Rekhter et al. RFC 4271: A border gateway protocol 4 (BGP-4)
US9088581B2 (en) Methods and apparatus for authenticating an assertion of a source
Chuat et al. The Complete Guide to SCION
US20070153763A1 (en) Route change monitor for communication networks
US8989046B1 (en) Inter-domain routing message distribution through wide area broadcast channel
US20230396624A1 (en) Extending border gateway protocol (bgp) flowspec origination authorization using path attributes
Wong et al. Network infrastructure security
WO2017211116A1 (zh) 一种实现边界网关协议二维路由的方法和装置
Manral et al. Issues with existing cryptographic protection methods for routing protocols
Marques et al. Internal BGP as the Provider/Customer Edge Protocol for BGP/MPLS IP Virtual Private Networks (VPNs)
Coltun rfc2370: The ospf opaque lsa option
US20240137338A1 (en) Border gateway protocol (bgp) flowspec origination authorization using route origin authorization (roa)
WO2023070627A1 (zh) 路由处理的方法及网络设备
EP4342149A1 (en) Border gateway protocol (bgp) flowspec origination authorization using route origin authorization (roa)
Israr Design of Lightweight Alternatives to Secure Border Gateway Protocol and Mitigate against Control and Data Plane Attacks
Wong et al. Network Infrastructure Security–Routing
Montero Banegas Novel architectures and strategies for security offloading
KR20210067400A (ko) Ndn 기반 네트워크에서, as 경로 무결성 검증 방법 및 장치
Reconsidered Network Working Group G. Huston Internet-Draft G. Michaelson Intended status: Informational APNIC Expires: January 9, 2014 July 8, 2013
Tafreshi Secure and Robust Packet Forwarding for Next Generation IP Networks
Man et al. Securing BGP Networks using Consistent Check Algorithm

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant