CN112565174B

CN112565174B - 地址监视装置和地址监视方法

Info

Publication number: CN112565174B
Application number: CN202010933929.5A
Authority: CN
Inventors: 太田贵彦; 海原翔
Original assignee: Azbil Corp
Current assignee: Azbil Corp
Priority date: 2019-09-10
Filing date: 2020-09-08
Publication date: 2023-04-18
Anticipated expiration: 2040-09-08
Also published as: JP7376289B2; CN112565174A; JP2021044657A

Abstract

本发明的目的在于感测IPv6地址的无状态自动设定是否有效。地址监视装置(1)具有：生成部(10)，其生成RA数据包，所述RA数据包包含与识别监视对象的网络(NW)的前缀值不同的第一前缀值；发送部(11)，其对生成的RA数据包经由网络(NW)进行全节点多播发送；接收部(12)，其将响应数据包作为对于RA数据包的响应接收，所述响应数据包用于进行网络(NW)内的伪IPv6地址的重复地址检测；以及第一判断部(13)，其在响应数据包所包含的伪IPv6地址所包含的第二前缀值与第一前缀值一致的情况下，判断为在响应数据包的发送源的终端装置(2、3)中IPv6地址的无状态自动设定为有效。

Description

地址监视装置和地址监视方法

技术领域

本发明涉及地址监视装置和地址监视方法，特别涉及IPv6环境下的地址设定的监视技术。

背景技术

近年来，由于IoT的普及，各种各样的设备连接到互联网。伴随于此，连接到互联网的设备的数量也急剧增加，从作为现有互联网协议使用的IPv4正在向作为新的具有128位的地址长度的协议的IPv6转移。此外，在网络监视装置等众多的网络安全产品中，也急需与IPv6对应的产品。

在IPv6环境下，作为向终端装置分配IPv6地址的方法之一，已知有无状态自动设定。在通过无状态自动设定对IPv6地址进行设定时，可使用ICMPv6的Type134的路由器通告(Router Advertisement：RA)数据包。接收到路由器等装置发送的RA数据包的终端装置基于RA数据包所包含的前缀的信息来决定自己的IPv6地址。

然而，在IPv6环境下，由于来自有恶意的人的非法的RA数据包的发送，接收到该RA数据包的终端装置有时基于非法的RA数据包设定新的IPv6地址。此外，在基于RA数据包生成的IPv6地址、例如以EUI-64形式生成的IPv6地址等在临时IPv6地址的设定为无效的情况下，能够确定终端装置的MAC地址，因此产生安全上的问题。

例如，专利文献1公开了防止IPv6环境下的向网络的非法连接的技术。在专利文献1所记载的技术中，在网络中设置监视装置，对在网络内传送的NS(NeighborSolicitation，邻居请求)数据包进行监视，基于NS数据包的发送源地址、MAC地址来判断是否为允许向网络的连接的终端装置。

现有技术文献

专利文献

专利文献1：日本特开2007-104396号公报。

发明要解决的问题

然而，在专利文献1所记载的技术中，无法为了防止向网络的非法接入，感测网络上的终端装置中的IPv6地址的无状态自动设定是否为无效或有效。

发明内容

本发明是为了解决上述的课题而做出的，其目的在于感测IPv6地址的无状态自动设定是否为有效。

用于解决课题的方案

为了解决上述的课题，本发明所涉及的地址监视装置具有：生成部，其构成为生成路由器通告数据包，所述路由器通告数据包包含与识别监视对象的网络的前缀值不同的第一前缀值，发送部，其构成为将生成的所述路由器通告数据包经由所述网络进行全节点多播发送，接收部，其构成为接收响应数据包，所述响应数据包作为对所述路由器通告数据包的响应，用于进行所述网络内的伪IPv6地址的重复地址检测，以及第一判断部，其构成为在所述响应数据包所包含的所述伪IPv6地址所包含的第二前缀值与所述第一前缀值一致的情况下，判断为在所述响应数据包的发送源的终端装置中IPv6地址的无状态自动设定为有效。

此外，在本发明的地址监视装置中，也可以是：所述第一判断部在判断为在所述响应数据包的发送源的所述终端装置中IPv6地址的无状态自动设定为有效的情况下，在所述响应数据包所包含的所述伪IPv6地址的接口标识符为基于所述终端装置固有的物理地址的值的情况下，判断为在所述终端装置中包含随机的值的临时IPv6地址的设定为无效。

此外，在本发明的地址监视装置中，也可以还具有：第二判断部，其构成为在所述接收部没有接收到来自监视对象的终端装置的所述响应数据包的情况下，判断为在所述监视对象的终端装置中IPv6地址的无状态自动设定为无效。

此外，在本发明的地址监视装置中，也可以是：所述生成部使用与输入装置从外部受理的操作输入相对应的所述第一前缀值生成所述路由器通告数据包。

此外，本发明的地址监视装置中，也可以还具有：显示装置，其使显示画面显示所述第一判断部的判断结果。

为了解决上述的课题，本发明所涉及的地址监视方法具有：第一步骤，生成路由器通告数据包，所述路由器通告数据包包含与识别监视对象的网络的前缀值不同的第一前缀值，第二步骤，将在所述第一步骤中生成的所述路由器通告数据包经由所述网络进行全节点多播发送，第三步骤，接收响应数据包，所述响应数据包作为对所述路由器通告数据包的响应，用于进行所述网络内的伪IPv6地址的重复地址检测，以及第四步骤，在所述响应数据包所包含的所述伪IPv6地址所包含的第二前缀值与所述第一前缀值一致的情况下，判断为在所述响应数据包的发送源的终端装置中IPv6地址的无状态自动设定为有效。

发明的效果

根据本发明，在与全节点多播发送的路由器通告数据包所包含的识别监视对象的网络的前缀值不同的第一前缀值、与接收到的响应数据包所包含的伪IPv6地址的第二前缀值一致的情况下，判断为在响应数据包的发送源的终端装置中IPv6地址的无状态自动设定为有效。因此，能够感测IPv6地址的无状态自动设定是否有效。

附图说明

图1是示出包含本发明的实施方式所涉及的地址监视装置的网络系统的结构的框图。

图2是示出实施方式所涉及的地址监视装置的结构的框图。

图3是示出实施方式所涉及的地址监视装置的硬件结构的框图。

图4是用于说明实施方式所涉及的地址监视方法的流程图。

图5是示出实施方式所涉及的网络系统的工作的时序图。

具体实施方式

以下，参照图1至图5对本发明的优选的实施方式进行详细说明。

[网络系统的结构]

首先，对具有本发明的实施方式所涉及的地址监视装置1的网络系统的概要进行说明。

本发明实施方式所涉及的地址监视装置1对经由LAN等网络NW连接的终端装置2、3各自的IPv6地址的无状态自动设定是否为有效进行感测。地址监视装置1被设置在例如如图1所示的网络系统。此外，网络系统被设置在例如BA(Building Automation，建筑物自动化)系统等中。

如图1所示，网络系统具有经由网络NW彼此可通信地连接的地址监视装置1以及终端装置2、3。在本实施方式中，地址监视装置1将网络NW上的终端装置2、3作为监视对象。终端装置2、3是在IPv6环境工作的PC等终端。此外，在本实施方式中，如图1所示，在终端装置2中，IPv6地址的无状态自动设定为有效，在终端装置3中，IPv6地址的无状态自动设定为无效。

IPv6地址的无状态自动设定由ICMPv6的路由器通告(RA)和重复地址检测(DAD)的功能构成。具体地，在接收到IPv6路由器发送的RA数据包的IPv6终端的无状态自动设定为有效的情况下，在IPv6终端中使用RA数据包所包含的前缀值生成本装置的伪IPv6地址。进而，IPv6终端执行DAD，所述DAD对生成的伪IPv6地址在链路本地内是否为唯一进行验证。在DAD的执行中利用NS数据包和NA数据包。根据RA数据包的接收生成了伪IPv6地址的、无状态自动设定为有效的IPv6终端发送NS数据包，所述NS数据包在NS格式的“目标地址(TargetAddress)”的字段存放了伪IPv6地址。

另一方面，在IPv6地址的无状态自动设定为无效的IPv6终端中，即使从IPv6路由器接收到RA数据包，也不执行DAD。

本实施方式所涉及的地址监视装置1利用这些构造，生成包含与识别监视对象的网络NW的前缀值不同的第一前缀值的检查用的RA数据包，进行全节点多播发送。此外，地址监视装置1在作为对于RA数据包的响应而接收到的、执行DAD的响应数据包所包含的伪IPv6地址的第二前缀值与第一前缀值一致的情况下，判断为响应数据包的发送源的终端装置2、3的无状态自动设定为有效。另一方面，地址监视装置1在没有接收到对于RA数据包的响应数据包的情况下，判断为作为其监视对象的终端装置2、3的无状态自动设定为无效。

[地址监视装置的功能块]

以下，参照图2的框图对本实施方式所涉及的地址监视装置1的结构的一个例子进行说明。

地址监视装置1具有：生成部10、发送部11、接收部12、第一判断部13、第二判断部14以及存储部15。

生成部10生成RA数据包，所述RA数据包包含与识别监视对象的网络NW的前缀值不同的第一前缀值。在本实施方式中，为了检查而发送RA数据包。由于需要与通常的为了IPv6地址的自动设定而发送的RA数据包相区别，所以生成部10在RA数据包中使用预先设定的第一前缀值。

另外，生成部10能够使用与后述的输入装置107从外部受理的操作输入相对应的第一前缀值。或者，生成部10也能够捕获在网络NW上传送的RA数据包从而设定与识别网络NW的前缀值不同的第一前缀值。第一前缀值被存储在存储部15。

发送部11将由生成部10生成的RA数据包经由网络NW进行全节点多播发送。在本实施方式中，向终端装置2、3发送RA数据包。

接收部12接收响应数据包，该响应数据包作为对于发送部11发送的RA数据包的响应，用于进行链路本地内的IPv6地址的重复地址检测。在本实施方式中，作为响应数据包接收NS数据包，所述NS数据包是伴随接收到RA数据包的终端装置2的执行DAD而产生的。

第一判断部13在由接收部12接收的响应数据包所包含的伪IPv6地址的第二前缀值与第一前缀值一致的情况下，针对响应数据包的发送源的终端装置2，判断为IPv6地址的无状态自动设定为有效。如上所述，在响应数据包包含有接收到RA数据包的终端装置2使用RA数据包的前缀信息生成的伪IPv6地址。因此，关于无状态自动设定为有效的终端装置2，包含与由生成部10生成的RA数据包所包含的第一前缀值相同的前缀信息。

第一判断部13在判断为无状态自动设定为有效的情况下，在响应数据包所包含的、终端装置2生成的伪IPv6地址的接口ID是基于终端装置2固有的物理地址(MAC地址)的值的情况下，判断为包含随机的值的临时IPv6地址的设定为无效。

临时IPv6地址是替代MAC地址具有使用随机的值生成的接口ID的临时地址。临时IPv6地址例如具有通过随时间的经过随机地变化的比特序列生成的接口ID，根据固定的有效期限被置换成新的临时地址。在临时IPv6地址的设定为有效的IPv6终端中，例如，当用无状态自动设定在IPv6终端中生成唯一的IPv6地址时，也生成临时IPv6地址。在实际的通信中，使用该临时IPv6地址。

在无状态自动设定中生成的IPv6地址由被RA数据包通告的前缀值和接口ID构成。接口ID有时以使用接收到RA数据包的终端装置2的MAC地址生成的扩展唯一标识符(EUI-64)形式来生成。以EUI-64形式生成的接口ID中，全局唯一的MAC地址是可识别的。例如，即使网络NW的前缀随着时间的经过而改变，MAC地址也保持固定。因为终端装置2可通过接口ID指定，所以在本实施方式中，对以EUI-64形式生成的IPv6地址进行感测，确定安全上的问题。

具体地，第一判断部13在响应数据包所包含的终端装置2生成的伪IPv6地址的接口ID包含终端装置2的MAC地址的情况下，判断为生成临时IPv6地址的设定为无效。

第二判断部14在接收部12中没有接收到对全节点多播发送的RA数据包的响应数据包的情况下，判断为监视对象的终端装置3的IPv6地址的无状态自动设定为无效。例如，第二判断部14在从发送部11发送RA数据包的时刻起到经过固定的期间为止没有从监视对象的终端装置3接收到NS数据包(响应数据包)的情况下，能够判断为在该终端装置3中无状态自动设定为无效。另外，识别终端装置3的信息被预先存储在存储部15。

存储部15存储由生成部10生成的第一前缀值。此外，存储部15能够存储识别监视对象的网络NW上的终端装置2、3的信息。

[地址监视装置的硬件结构]

接下来，使用图3对具有上述的功能的地址监视装置1的硬件结构的一个例子进行说明。

如图3所示，地址监视装置1能够通过例如具有经由总线101连接的处理器102、主存储装置103、通信接口104、辅助存储装置105、输入输出I/O106、输入装置107、显示装置108的计算机以及对这些硬件资源进行控制的程序来实现。

在主存储装置103中，预先存放有用于处理器102进行各种控制、运算的程序。通过处理器102和主存储装置103来实现图2所示的生成部10、第一判断部13、第二判断部14等地址监视装置1的各个功能。

通信接口104是用于将地址监视装置1和终端装置2、3、各种外部电子设备之间网络连接的接口电路。通过通信接口104来实现在图2中说明的发送部11和接收部12。此外，能够从通信接口104向网络NW上的指定的终端装置发送第一判断部13和第二判断部14的判断结果。

辅助存储装置105由可读写的存储介质和用于对该存储介质读写程序、数据等各种信息的驱动装置构成。在辅助存储装置105中，能够使用硬盘、闪存等半导体存储器作为存储介质。

辅助存储装置105具有存放程序的程序存放区域，所述程序用于地址监视装置1判断在终端装置2、3中IPv6地址的无状态自动设定是否有效。通过辅助存储装置105来实现在图2中说明的存储部15。进而，也可以具有例如用于对上述的数据、程序等进行备份的备份区域。

输入输出I/O106由输入来自外部设备的信号或向外部设备输出信号的I/O端子构成。

输入装置107由触控面板、键盘等构成，受理用户的触控操作、键盘输入，从而生成与操作输入相对应的信号。

显示装置108由液晶显示器等构成。显示装置108能够将第一判断部13和第二判断部的判断结果显示在显示画面。

[地址监视方法]

接下来，参照图4的流程图对具有上述的结构的地址监视装置1的工作进行说明。

首先，生成部10生成RA数据包，所述RA数据包包含与链路本地内的前缀值不同的第一前缀值(步骤S1)。接下来，发送部11将在步骤S1中生成的包含第一前缀值的RA数据包经由网络NW进行全节点多播发送(步骤S2)。

接下来，在接收部12没有从网络NW上的终端装置2、3接收到对于RA数据包的响应数据包的情况下(步骤S4：否)，第二判断部14判断为无状态自动设定为无效(步骤S4)。例如，第二判断部14能够通过在预先设定的期间内是否从监视对象的终端装置2、3接收到NS数据包作为响应地数据包来判断无状态自动设定的无效。

另一方面，在接收部12从网络NW上的终端装置2、3接收到响应数据包的情况下(步骤S3：是)，在响应数据包所包含的伪IPv6地址的第二前缀值与发送的RA数据包的第一前缀值一致的情况下(步骤S5：是)，判断为响应数据包的发送源的终端装置2、3的无状态自动设定为有效(步骤S6)。

接下来，在步骤S6中判断为无状态自动设定为有效的情况下，在响应数据包所包含的伪IPv6地址的接口ID是EUI-64形式的情况下(步骤S7：是)，第一判断部13判断为在响应数据包的发送源的终端装置2、3中临时IPv6地址的设定为无效(步骤S8)。

其后，例如，显示装置108能够显示监视对象的网络NW上的终端装置2、3中的IPv6地址的无状态自动设定的状态和临时IPv6地址的设定(步骤S9)。或者，能够从通信接口104向网络NW上的未图示的指定的终端装置发送判断结果。

[网络系统的工作时序]

接下来，使用图5的时序图对具有上述的结构的网络系统的工作进行说明。在下面的说明中，如图5所示，识别监控对象的网络NW的前缀值为“B”。

首先，地址监视装置1生成具有与识别网络NW的前缀值“B”不同的前缀值“A”(第1前缀值)的RA数据包，进行全节点多播发送(发往“FF02::1”)(步骤S100)。另外，因为地址监视装置1发送的RA数据包是用于检查的RA数据包，所以将RA数据包的有效生存期间(Valid-lifetime)设定为尽可能短的期间。

接下来，终端装置2当接收RA数据包时，使用RA数据包所包含的前缀值“A”(第二前缀值)生成IPv6地址(步骤S101)。需要说明的是，在本实施方式中，设终端装置2是生成EUI-64形式的接口ID的装置。

接下来，终端装置2将用于执行DAD的NS数据包作为响应数据包发送(步骤S102)。在该响应数据包的字段“Target Address”中，存放有终端装置2生成的伪IPv6地址。

其后，由于终端装置2的响应数据包所包含的IPv6地址的前缀值“A”与事先发送的RA数据包的前缀值“A”一致(步骤S103：是)，所以地址监视装置1判断为终端装置2的无状态自动设定为有效(步骤S104)。

接下来，由于终端装置2的响应数据包所包含的IPv6地址的接口ID是EUI-64形式(步骤S105：是)，所以地址监视装置1判断为在终端装置2中临时IPv6地址的设定为无效(步骤S106)。因此，在本例中，地址监视装置1判断为终端装置2的IPv6地址的无状态自动设定为有效，且临时IPv6地址的设定为无效。

另一方面，在接口ID不是EUI-64形式的情况下(步骤S105：否)，地址监视装置1输出终端装置2的无状态自动设定为有效这样的判断结果(步骤S104)。

另一方面，针对终端装置3，由于将在步骤S100中对前缀值“A”的RA数据包进行全节点多播发送后在固定期间内没有接收到来自终端装置3的响应数据包(步骤S107：是)，所以地址监视装置1判断为无状态自动设定为无效。

如上所述，根据本实施方式所涉及的地址监测装置1，将具有与识别监视对象的网络的前缀值不同的第一前缀值的RA数据包进行全节点多播发送，基于是否接收到监视对象的终端装置2、3的执行DAD的响应数据包来判断终端装置2、3的IPv6地址的无状态自动设定是否有效。因此，地址监视装置1能够以更简单的结构对监视对象的终端装置2、3的无状态自动设定是否有效进行判断。

作为其结果，在IPv6环境下，能够防止由于来自有恶意的人的非法的RA数据包的发送，在终端装置2、3非法地追加IPv6地址。

此外，地址监视装置1在响应数据包所包含的IPv6地址的接口ID是由EUI-64形式生成的地址的情况下，判断为在对象的终端装置2中临时IPv6地址的设定为无效，因此，能够以更简单的结构感测安全上存在问题的终端装置。

以上，对本发明的地址监视装置和地址监视方法的实施方式进行了说明，但本发明并不限于进行了说明的实施方式，在权利要求所记载的发明的范围内，可进行本领域技术人员能够想到的各种变形。

附图标记说明

1：地址监视装置

2、3：终端装置

10：生成部

11：发送部

12：接收部

13：第一判断部

14：第二判断部

15：存储部

101：总线

102：处理器

103：主存储装置

104：通信接口

105：辅助存储装置

106：输入输出I/O

107：输入装置

108：显示装置

NW：网络

Claims

1.一种地址监视装置，具有：

生成部，其构成为生成路由器通告数据包，所述路由器通告数据包包含与识别监视对象的网络的前缀值不同的第一前缀值，

发送部，其构成为将生成的所述路由器通告数据包经由所述网络进行全节点多播发送，

接收部，其构成为接收响应数据包，所述响应数据包作为对所述路由器通告数据包的响应，用于进行所述网络内的伪IPv6地址的重复地址检测，以及

第一判断部，其构成为在所述响应数据包所包含的所述伪IPv6地址所包含的第二前缀值与所述第一前缀值一致的情况下，判断为在所述响应数据包的发送源的终端装置中IPv6地址的无状态自动设定为有效，

所述伪IPv6地址是使用所述第一前缀值生成的。

2.根据权利要求1所述的地址监视装置，其特征在于，

所述第一判断部在判断为在所述响应数据包的发送源的所述终端装置中IPv6地址的无状态自动设定为有效的情况下，在所述响应数据包所包含的所述伪IPv6地址的接口标识符为基于所述终端装置固有的物理地址的值的情况下，判断为在所述终端装置中包含随机的值的临时IPv6地址的设定为无效，

所述临时IPv6地址是具有使用随机的值生成的接口标识符的临时地址。

3.根据权利要求1或2所述的地址监视装置，其特征在于，还具有：

第二判断部，其构成为在所述接收部没有接收到来自监视对象的终端装置的所述响应数据包的情况下，判断为在所述监视对象的终端装置中IPv6地址的无状态自动设定为无效。

4.根据权利要求1或2所述的地址监视装置，其特征在于，

所述生成部使用与输入装置从外部受理的操作输入相对应的所述第一前缀值生成所述路由器通告数据包。

5.根据权利要求3所述的地址监视装置，其特征在于，

6.根据权利要求1或2所述的地址监视装置，其特征在于，还具有：

显示装置，其使显示画面显示所述第一判断部的判断结果。

7.根据权利要求3所述的地址监视装置，其特征在于，还具有：

显示装置，其使显示画面显示所述第一判断部的判断结果。

8.根据权利要求4所述的地址监视装置，其特征在于，还具有：

显示装置，其使显示画面显示所述第一判断部的判断结果。

9.根据权利要求5所述的地址监视装置，其特征在于，还具有：

显示装置，其使显示画面显示所述第一判断部的判断结果。

10.一种地址监视方法，具有：

第一步骤，生成路由器通告数据包，所述路由器通告数据包包含与识别监视对象的网络的前缀值不同的第一前缀值，

第二步骤，将在所述第一步骤中生成的所述路由器通告数据包经由所述网络进行全节点多播发送，

第三步骤，接收响应数据包，所述响应数据包作为对所述路由器通告数据包的响应，用于进行所述网络内的伪IPv6地址的重复地址检测，以及

第四步骤，在所述响应数据包所包含的所述伪IPv6地址所包含的第二前缀值与所述第一前缀值一致的情况下，判断为在所述响应数据包的发送源的终端装置中IPv6地址的无状态自动设定为有效，

所述伪IPv6地址是使用所述第一前缀值生成的。