CN114095423B - 基于mpls的电力通信骨干网数据安全防护方法及系统 - Google Patents

基于mpls的电力通信骨干网数据安全防护方法及系统 Download PDF

Info

Publication number
CN114095423B
CN114095423B CN202111182899.XA CN202111182899A CN114095423B CN 114095423 B CN114095423 B CN 114095423B CN 202111182899 A CN202111182899 A CN 202111182899A CN 114095423 B CN114095423 B CN 114095423B
Authority
CN
China
Prior art keywords
label
switching router
label switching
data
router
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111182899.XA
Other languages
English (en)
Other versions
CN114095423A (zh
Inventor
王云森
吴小平
王牧
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Oriental Jinghai Electronic Technology Co ltd
Original Assignee
Beijing Oriental Jinghai Electronic Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Oriental Jinghai Electronic Technology Co ltd filed Critical Beijing Oriental Jinghai Electronic Technology Co ltd
Priority to CN202111182899.XA priority Critical patent/CN114095423B/zh
Publication of CN114095423A publication Critical patent/CN114095423A/zh
Application granted granted Critical
Publication of CN114095423B publication Critical patent/CN114095423B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/50—Routing or path finding of packets in data switching networks using label swapping, e.g. multi-protocol label switch [MPLS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/08—Randomization, e.g. dummy operations or using noise
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/062—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying encryption of the keys
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及基于MPLS的电力通信骨干网数据安全防护方法及系统，在IP网络层通过IKE和IPsec协商构建网络层的IPsec安全隧道，在链路层通过MPLS域交换的认证数据及标签构建MPLS安全隧道，实现双隧道的数据加密和认证技术，为数据传输的安全提供有效地保障；同时对于IPSec隧道传输的IP报文在整个MPLS域内被完全封装，不采用路由路径转发数据，而是由标签交换路径提供数据转发服务，能够发挥MPLS对QoS技术需求的优势，相比于路由转发方式，运算负担低，能够极大地提高网络的传输带宽，减少传送的时延和数据丢包率，提高网络资源利用率；由链路层提供安全保障的密钥值只在两个相邻的LSR知晓，同时引入IKE SA协商过程中的安全关联参数，最大程度上增强了网络环境的安全。

Description

基于MPLS的电力通信骨干网数据安全防护方法及系统
技术领域
本发明涉及多协议标签交换技术应用领域，具体涉及在电力通信骨干网中构建MPLS VPN框架的数据安全防护方法、系统。
背景技术
智能电网就是电网的智能化，也被称为“电网2.0”时代，是建立在集成的、高速双向通信网络的基础上，通过先进的传感和测量技术、先进的设备技术、先进的控制方法以及先进的决策支持系统技术的应用，实现电网的可靠、安全、经济、高效、环境友好和使用安全的目标。电力通信骨干网是电力通信网核心业务的传输媒介，对电力的生产、运行和调度起着重要的支撑作用。其中，面向骨干网络的业务层网主要支撑着生产调度控制、管理信息数据等多类关乎电网生产运营的关键业务。按照业务属性与类型划分，骨干网承载的业务可被分成生产调度类和管理信息化业务。生产调度类业务属于电网特有，直接影响电网的正常运行，业务特点是带宽固定、颗粒小，但对通信网络要求最为严格，在所有业务中优先级最高，特别是对于智能电网的“大节点”之间的广域通信数据传输量大，需要足够的带宽满足高速、大容量的通信要求。
在目前的电力通信网络中，网络层主要采用IP协议，这种传统协议可提供较灵活的路由选择，适合传输实时性要求较低的业务。然而，传统的IP技术并不能提供QoS，无法保证电力通信带宽、时延的要求。电力通信网中有众多视频、语音业务，这些业务实时性要求较高，应用IP技术不能很好地保证通信的可靠性、实时性。采用ATM技术可以很好的保证QoS、带宽的要求，适合传输语音、图像等实时性要求较高的业务，却存在着信令建立过程较复杂、传送短途数据效率较低的缺点。多协议标记交换技术MPLS(Multi-protocol LabelSwitching)囊括了IP与ATM技术各自的优点，结合了IP技术的可扩展性、灵活性和ATM技术保证服务质量、高速交换的优点，并能够减少网络成本，提供众多增值服务，同时保证不同实时性要求的信息的服务质量，因此MPLS技术被广泛应用于各大电力通信网络及平台应用。
但是，MPLS技术并不提供安全保护机制。智能电网要实现调度中心与变电站之间的数据通信同样需要保证通信网络的信息安全。智能电网对通信安全性的要求主要体现在通信的机密性和完整性。在机密性方面，要求信息不能泄露给非授权实体。例如运营企业的用电资料被盗取，就能分析出该企业的生产规律及商业秘密，若涉及国防、航天等领域，将危及国家安全。在完整性方面，需要信息在存储和传输过程中不能随意更改。例如电力公司的售电信息被更改，将严重损害用电企业及用户的利益，甚至威胁社会安全。对于安全性需求目前采用的是IPSec VPN，通过构建安全隧道进行数据的加密传输和安全认证，由于IPSec协议是基于IP网络层的应用，仍然需要IP协议族提供的各种路由转发方式进行数据传输，导致电力网络始终存在着QoS与安全性不能良好兼顾的问题。
发明内容
为了解决上述存在的技术问题，本发明提供了基于MPLS VPN智能电网的骨干网络数据安全防护方法及系统，利用MPLS域内建立的MPLS VPN能够满足网络带宽及数据安全性需求。本发明提供的一种基于MPLS VPN的电力通信骨干网数据安全防护方法，该方法具体包括：
步骤1)为电力通信骨干网铺设MPLS域，运行于骨干网络中的电力站均通过边缘交换路由器与MPLS域连接，各标签交换路由器通过发送发现消息和会话消息维护MPLS域内标签交换路由器的存在和LDP对等体之间的会话连接；
步骤2)采用IKE协议完成发起方与响应方之间的IKE SA协商，所述的发起方和响应方为分属于不同边缘交换路由器内部网关管辖的电力站；
步骤3)当IKE SA协商通过后，发起方根据响应方的目的地址划分相应的转发等价类，并采用DoD标签发布方式按目的地址的路由路径由上游向下游的标签交换路由器发送标签请求消息，下游标签交换路由器按标签请求消息中记录的转发等价类生成标签，并将标签通过回应消息发送给上游标签交换路由器，其中任意相邻的两个标签交换路由器之间独立完成标签分发过程，上游和下游标签交换路由器分别通过标签请求消息和回应消息承载并交换认证数据，将所有标签交换路由器的入标签和出标签映射拼接在一起后建立标签交换路径；
步骤4)将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文进行加密，上游标签交换路由器将压入标签后的密文发送给下游标签交换路由器，下游标签交换路由器在计算哈希值之后解密收到的密文，利用下游标签交换路由器与其下一跳标签交换路由器交换的认证数据重新计算哈希值，并重新完成IP数据报文加密和标签替换操作后继续发送给下一跳标签交换路由器；
步骤5)依照标签交换路径重复执行步骤4)，直至将报文传送至MPLS域末端时，由响应方的边缘交换路由器弹出标签，并将解密后的明文转发给响应方。
进一步优选地，两个相邻的标签交换路由器之间完成认证数据交换的具体过程为：
在建立MPLS域过程中，为每个标签交换路由器设定统一的线性函数：
f(x)＝y＝a0+a1x+a2x2
其中a0,a1,a2表示初始化系数，x、y表示认证序列变量；
在IKE SA协商过程中，当发起方对响应方的身份认证通过时，发起方的边缘交换路由器生成随机数rU，并将系数a0置换为随机数rU，将系数a1和a2分别置换为发起方和响应方在安全参数交换过程中由各自生成的随机参数rI和rR，根据线性函数随机产生三组认证序列对(xU_1,yU_1)、(xU_2,yU_2)和(xU_3,yU_3)，并随标签请求消息一起发送给下游标签交换路由器；
下游标签交换路由器提取标签请求消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r′U、随机参数r′I和r′R，然后生成随机数rL，并将系数a0置换为随机数rL，将系数a1和a2分别置换为随机参数r′I和r′R，根据线性函数随机产生三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)，并随回应消息一起发送给上游的边缘交换路由器；
发起方的边缘交换路由器提取回应消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r′L、随机参数r″I和r″R，进一步比较随机参数r″I与rI、随机参数r″R与rR是否相同，如果相同，则表明认证数据交换成功，发起方的边缘交换路由器将认证成功消息发送给下游标签交换路由器，同时将随机数rU和r′L、随机参数rI和rR保存至本地，否则表明认证数据交换失败，将失败消息反馈给发起方；
下游标签交换路由器收到认证成功消息后，继续向下一跳的标签交换路由器发送标签请求消息，并将三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)随标签请求消息一起发送给下一跳的标签交换路由器，同时将随机数r′U和rL、随机参数r′I和r′R保存至本地；
下一跳的标签交换路由器在收到标签请求消息后，与其上游的标签交换路由器重复执行随机数和随机参数交换操作并继续向下游传递，直到传递至响应方的边缘交换路由器后终止认证数据的交换操作。
进一步优选地，对IPSec隧道内传输的IP数据报文进行加解密操作的具体过程为：
在建立标签交换路径后，发起方的边缘交换路由器执行哈希运算：
HU＝Hash(rU‖r′L‖rI‖rR‖ML)
其中，HU表示哈希值，ML表示从下游标签交换路由器分配到的标签值；
以哈希值HU作为密钥，采用对称加密算法对IP数据报文进行加密，同时利用哈希值HU与标签值ML计算获得验签值：
Figure BDA0003298021990000041
在标签值ML和验签值SU植入MPLS报文后，随加密的IP数据报文一起发送给下游标签交换路由器；
下游标签交换路由器提取MPLS报文中的标签值ML，并从本地保存的数据中提取随机数r′U和rL、随机参数r′I和r′R，执行哈希运算：
HL＝Hash(r′U‖rL‖r′I‖r′R‖ML)
利用哈希值HL与标签值ML计算获得验签值：
Figure BDA0003298021990000042
比较验签值SL与SU是否相同，如果不同，则表明验签失败，将验签失败消息反馈给上游标签交换路由器，如果相同，则表明验签成功，进一步利用哈希值HL作为密钥对IP数据报密文进行解密；
按照标签交换路径查找由标签值ML映射的出标签所对应的下一跳标签交换路由器，利用下游标签交换路由器与下一跳标签交换路由器之间交换的认证数据重复执行IP数据报文在传输过程中的加解密操作，并沿标签交换路径继续向下游传递，直到传递至响应方的边缘交换路由器后终止IP数据报文的加解密操作。
进一步优选地，在MPLS报文转发过程中采用栈顶标签倒数第二跳弹出机制：
在位于标签交换路径上的倒数第二跳标签交换路由器执行标签交换时，如果发现交换后的标签值为3，则将标签弹出，并将报文发给最后一跳标签交换路由器，最后一跳标签交换路由器收到该报文后直接进行IP数据报文交付。
为了实现上述方法，本发明还提供了骨干网络数据安全防护系统，该系统具体包括：分布于骨干网络所在MPLS域内的所有标签交换路由器，智能电网中的电力站均通过边缘交换路由器与MPLS域连接；
所述的标签交换路由器按所在MPLS域中的位置被划分为边缘交换路由器和中间交换路由器；
所述的边缘交换路由器和中间交换路由器均包括：
MPLS域构建模块：在骨干网络中铺设MPLS域，为运行于骨干网络中的电力站设置边缘交换路由器，各标签交换路由器通过发送发现消息和会话消息维护MPLS域内标签交换路由器的存在和LDP对等体之间的会话连接；
标签请求模块：发起方根据响应方的目的地址划分相应的转发等价类，并采用DoD标签发布方式按目的地址的路由路径由上游向下游的标签交换路由器发送标签请求消息；
标签分配模块：按标签请求消息中记录的转发等价类生成标签，并将标签通过回应消息发送给上游标签交换路由器；
认证数据交换模块：用于生成MPLS VPN所需的认证数据，通过标签请求消息或回应消息承载认证数据，与相邻的上游或下游标签交换路由器完成认证数据的交换操作；
MPLS加密模块：将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文明文进行加密；
MPLS解密模块：将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文密文进行解密；
标签处理模块：用于标签存储与管理，并按照标签交换路径执行标签压入、替换和弹出操作；
所述的边缘交换路由器还包括：
IKE SA协商模块：采用IKE协议完成发起方与响应方之间的IKE SA协商，所述的发起方和响应方为分属于不同边缘交换路由器内部网关管辖的电力站；
IPSec SA协商模块：用于完成IPSec SA协商操作，建立用于网路层数据传输的IPSec安全隧道。
本发明所提供的骨干网络数据安全防护方法及系统的优点在于：
兼具QoS与网络安全性双重功能：在IP网络层通过IKE和IPsec协商构建网络层的IPsec安全隧道，在链路层通过MPLS域交换的认证数据及标签构建MPLS安全隧道，实现双隧道的数据加密和认证技术，为数据传输的安全提供有效地保障；同时对于IPSec隧道传输的IP报文在整个MPLS域内被完全封装，不采用路由路径转发数据，而是由标签交换路径提供数据转发服务，能够发挥MPLS对QoS技术需求的优势，相比于路由转发方式，运算负担低，能够极大地提高网络的传输带宽，减少传送的时延和数据丢包率，提高网络资源利用率。
具有防攻击特性：在标签请求与分发过程中同时完成标签与认证数据的交换，利用任意两个相邻标签交换路由器之间交换的标签和认证数据完成数据加解密操作，密钥信息只在两者之间传递，不会被第三方获知，且在两两标签交换路由器之间协商的密钥信息是完全不同的，并具有随机性，即便截获密文数据也难于利用物理攻击等手段破解明文，相比于IKE安全策略具有更高的安全性。
提供交叉认证技术：将IKE SA协商过程中交换的安全参数参与到MPLS安全隧道的密钥值构建过程中，只有获知IKE协商参数和MPLS协商参数的全部交换信息的对象才能解密密文，并完成发起方身份认证，对于这种对象身份只有唯一的响应方才能够实现，对于攻击者而言根本无法同时获得上述全部的安全参数要素及相关算法。
数据传输与标签请求独立作业：本发明采用DoD+独立标签控制方式进行标签的请求与分发，独立标签控制方式是指标签交换路由器可以在任意时间向与它邻近的其他标签交换路由器通告标签映射，使得任意两个相对的标签交换路由器在不考虑外界因素影响的情况下独立完成标签分发作业，数据会先按照已建立的部分标签交换路径同步传输，实现数据传输与标签分配的并行作业，提高数据转发的时效性。
附图说明
图1为本发明的电力通信骨干网络数据安全防护方法流程图；
图2为本发明的具有MPLS域的电力通信骨干网结构示意图；
图3为本发明实施例中提供的MPLS报文格式图；
图4为按照标签交换路径实施标签转发的流程图；
图5为利用本发明方法建立的双隧道数据传输路径效果图；
图6为本发明提供的电力通信骨干网络数据安全防护系统架构图。
具体实施方式
下面将参照附图更详细地描述本公开的实施例。虽然附图中显示了本公开的某些实施例，然而应当理解的是，本公开可以通过各种形式来实现，而且不应该被解释为限于这里阐述的实施例，相反提供这些实施例是为了更加透彻和完整地理解本公开。应当理解的是，本公开的附图及实施例仅用于示例性作用，并非用于限制本公开的保护范围。
智能电网作为一个复杂、庞大的能量交换体系，需要电力通信网中各节点之间进行充分的信息交互、共享。智能电网通信主要分为两种：一种是电力通信网中的“大节点”之间的广域通信，如调度中心、发电厂、变电站之间的通信；一种是“大节点”内部，如变电站内，各智能电子设备，电流、电压互感器这些一次设备与录波器、故障分析仪这些二次设备构成了电力通信网中的“小节点”，它们之间的通信，保证了变电站内部各单元的正常工作。相比于“小节点”间的局域接入设备通信，大小节点间的通信具有数据流量大、通信情况复杂、可靠性要求较高的特点，是实现智能电网通信的关键，对于智能电网的骨干网络需要具有足够带宽、低延迟及安全性的多重需求。
为此，本发明提供一种基于MPLS的电力通信骨干网络数据安全防护方法，MPLS(Multi-Protocol Label Switching，多协议标签交换)是一种为目标IP地址划分FEC(Forwarding equivalence class，转发等价类)并为其打上标签，然后以标签转发的协议。最初是为了提高路由效率而创造的，随着硬件转发的出现，MPLS对提高路由转发效率的目的来说已经不太重要，而由于MPLS为形成一条标签构成的隧道，天然成为了VPN极好的载体，如今MPLS主要用于第三代VPN的构建。如图1所示，基于MPLS VPN的数据安全防护方法具体包括：
步骤1)为智能电网的骨干网络铺设MPLS域，运行于骨干网络中的电力站均通过边缘交换路由器与MPLS域连接，各标签交换路由器通过发送发现消息和会话消息维护MPLS域内标签交换路由器的存在和LDP对等体之间的会话连接；如图2所示的网络拓扑结构，骨干网络中在不同的地区分布有三个配电站和两个调度中心，五个服务器均通过边缘交换路由器LER(Label Edge Router)连接到MPLS域上。
在LDP协议中，标签交换路由器LSR(Label Switching Router)通过discovery消息定期发送Hello消息来显示网络中存在的LSR，通过UDP向一个组播地址发送组播分组。LSR通过Hello消息获知另一个LSR要与其会话时，它通过TCP传输方式来进行LDP初始化过程。当初始化过程成功结束后，两个LSR就称为LDP对等实体，并且可以相互交换advertisement消息。本地LSR可以自行决定何时发送标签请求或标签映射消息。
步骤2)在建立MPLS域连接关系后，当位于两个不同LER内部网关管辖的电力站(如配电站与调度中心之间实施电力调度作业)之间准备建立连接时，先采用IKE协议完成发起方与响应方之间的IKE SA协商。
步骤3)当IKE SA协商通过后，发起方根据响应方的目的地址划分相应的转发等价类，并采用DoD标签发布方式按目的地址的路由路径由上游向下游的标签交换路由器发送标签请求消息，下游标签交换路由器按标签请求消息中记录的转发等价类生成标签，并将标签通过回应消息发送给上游标签交换路由器，其中任意相邻的两个标签交换路由器之间独立完成标签分发过程，上游和下游标签交换路由器分别通过标签请求消息和回应消息承载并交换认证数据，将所有标签交换路由器的入标签和出标签映射拼接在一起后建立标签交换路径。
步骤4)将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文进行加密，上游标签交换路由器将压入标签后的密文发送给下游标签交换路由器，下游标签交换路由器在计算哈希值之后解密收到的密文，利用下游标签交换路由器与其下一跳标签交换路由器交换的认证数据重新计算哈希值，并重新完成IP数据报文加密和标签替换操作后继续发送给下一跳标签交换路由器。
步骤5)依照标签交换路径重复执行步骤4)，直至将报文传送至MPLS域末端时，由响应方的边缘交换路由器弹出标签，并将解密后的明文转发给响应方。
下面以具体实施例详细说明上述方法的实现过程：
首先，为骨干网络搭建MPLS域。为骨干网络中的每个路由器节点寻找与其邻近的LSR，通过周期性的发送Hello消息，通知相邻节点自身的存在。如果接收到邻近节点的Hello消息，则表明在网络层有潜在可达的LDP对等体。在确认存在LDP对等体身份后，利用session消息交换LDP初始化消息，协商LDP会话参数。需要协商的参数包括LDP协议版本号、标签分配方式、会话保持定时器值、用于标签控制下的ATM的VPI/VCI的范围，以及用于标签控制下的帧中继的DLCI范围等。
LDP规定了一整套机制对LDP会话的完整性进行监测。LSR针对每个LDP会话连接维护一个会话保持定时器，当LSR接收到来自特定会话连接的LDP PDU后，会话保持定时器将会重新启动。如果会话保持定时器超时，且LSR仍然没有从LDP对等体接收到LDP PDU，那么LSR将认为LDP会话传输连接出现错误，或者LDP对等体的设备发生故障，将关闭TCP连接，结束LDP会话，以此来保持后续LSP的有效性。
至此，各标签交换路由器通过交换Discovery消息和session消息在整个网络范围内建立起MPLS域，为实现MPLS VPN提供必要条件。
当两个处于不同自治区域范围内的电力站服务器需要数据交互时，首先需要在IP层建立IKE安全关联。为实现安全关联，本发明采用IKEv1协议建立SA(SecurityAssociation安全关联)，IKEv1协商安全关联分为两个阶段：第一阶段，通信双方协商和建立IKE协议本身使用的安全通道，即建立一个IKE SA；第二阶段，利用第一阶段已通过认证和安全保护的安全通道，建立一对用于数据安全传输的IPSec安全关联，生成真正用于用户数据加密的策略和密钥。
IKEv1的第一阶段主模式协商包含了三次双向交换，使用六条ISAKMP信息。
消息①和②用于策略交换：发起方发送一个或多个IKE安全提议，响应方查找最先匹配的IKE安全提议，并将这个IKE安全提议反馈给发起方。匹配的原则为协商双方具有相同的加密算法、认证算法、认证方法和Diffie-Hellman组标识。
消息③和④用于密钥信息交换：双方交换Diffie-Hellman公共值和随机数，用于IKE SA的认证和加密密钥在这个阶段产生。
消息⑤和⑥用于身份和认证信息交换(双方使用生成的密钥发送信息)，双方进行身份认证和对整个主模式交换内容的认证。
IKEv1第二阶段协商的目的就是建立用来安全传输数据的IPSec SA，并为数据传输衍生出密钥。这一阶段采用快速模式(Quick Mode)。该模式使用IKEv1第一阶段协商中生成的密钥对ISAKMP消息的完整性和身份进行验证，并对ISAKMP消息进行加密，故保证了交换的安全性。
IKEv1第二阶段协商通过三条ISAKMP消息完成双方IPSec SA的建立。
消息①：协商发起方发送本端的安全参数和身份认证信息。安全参数包括被保护的数据流和IPSec安全提议等需要协商的参数。身份认证信息包括第一阶段计算出的密钥和第二阶段产生的密钥材料。
消息②：响应方发送确认的安全参数和身份认证信息并生成新的密钥。IPSec SA数据传输需要的加密、验证密钥由第一阶段产生的密钥、SPI、协议等参数衍生得出，以保证每个IPSec SA都有自己独一无二的密钥。如果启用PSF，则需要再次应用DH算法计算出一个共享密钥，然后参与上述计算，因此在参数协商时要为PFS协商DH密钥组。
消息③：发起方发送确认信息，确认与响应方可以通信，至此协商结束。
上述IKE SA协商与MPLS VPN建立过程之间本身是相互独立的，在不考虑将IKE SA交换的安全参数参与到MPLS VPN建设时，可在任意时刻启动MPLS VPN。本发明实施例中将IKE SA交换的安全参数作为密钥材料参与到MPLS密钥值的计算，因此需要在IKE SA协商(即第一阶段协商)通过后才能启动MPLS VPN过程，触发机制来源于发起方收到来自响应方的消息⑥，且响应方身份被认证通过。
此时发起方的LER从转发信息库FIB(Forwarding Information Base)查找能够到达响应方目的地址的下一跳LSR，向下一跳LSR发送标签请求消息。下一跳LSR收到请求消息后，根据目的地址所属的FEC分配标签，并将标签通过回应消息发送给上一跳LSR，也就是发起方的LER，该标签作为上一跳LSR的出标签和下一跳LSR的入标签，形成映射关系。其中，FIB数据表从路由信息库RIB(Routing Information Base)提取必要的路由信息生成，负责普通IP报文的转发，这一过程在MPLS初始化阶段完成。
本发明采用DoD+独立标签控制方式进行标签的请求与分发，独立标签控制方式是指标签交换路由器可以在任意时间向与它邻近的其他标签交换路由器通告标签映射，使用这种方式时，标签交换路由器可能会在收到下游标签交换路由器的标签之前就向上游通告了自己生成的标签，接收到标签请求消息的标签交换路由器直接为其上游分配标签，不必等待来自下游的标签，由此增强了标签分发的并发执行性能，能够快速提高LSP的建立速度；同时也可在LSP未完全搭建完成之前，按已搭建完成的部分路径采取数据边传输边铺设路径的方式并行执行，实现数据传输与标签分配的并行作业，提高数据转发的时效性。
另外，为了减少各LSR节点的载荷负担，使用保守标签保持方式。保守标签保持方式是对于从相邻的LSR收到的标签映射，只有当邻居LSR是指定FEC的下一跳时才保留，丢弃所有非下一跳邻居发来的标签，此方式能够节省内存和标签空间，减少路由器节点负担，特别适用于电力通信骨干网中较为固定的传输对象和地区使用，因为这种网络的节点相对稳定，甚至较长时间内都不会存在较大的结构变动。
MPLS将具有相同特征(目的地址相同、使用的转发路径相同、具有相同的服务等级等)的报文归为一类，称为转发等价类FEC(Forwarding Equivalence Class)。每个转发等价类被指定为一个或多个转发等价类单元，属于相同FEC的报文在转发过程中被LSR以相同方式处理。目前较为通用的有两种已定义的FEC单元：地址前缀和主机前缀。
将一个标签分配给FEC，就称为标签映射。在LDP的标签映射过程中，各种FEC将对应于不同的标签，在MPLS网络中，各网络节点将通过分组的标签来识别分组所属的FEC。本发明实施例中使用地址前缀为FEC进行分类，地址前缀的长度可从0位到完整的地址长度，根据需要自由选择长度。当某个报文的目的地址符合某个FEC地址前缀，则将该报文划归为对应的FEC类。标签映射规则在上述LDP初始化过程中完成。
本发明在标签请求与分发过程中同时传递标签请求方与标签派发方各自生成的认证数据，用于生成MPLS VPN安全密钥。本发明未采用以往的Diffie-Hellman密钥交换算法，而是使用多项式系数求解的特殊算法获得需要交换的秘密值。Diffie-Hellman算法是双方互换用于计算共享密钥的公开值，然后利用互换的公开值交替计算得出相同的密钥值，并以此密钥值直接作为共享密钥，但是这种算法需要引入全局公开参数，如在离散对数算法中，需要密钥交换双方提前获知一个素数q和一个整数a，a是q的一个原根，假设用户A和B希望交换一个密钥，用户A选择一个作为私有密钥的随机数XA<q，并计算公开密钥YA＝a^XA mod q。A对XA的值保密存放而使YA能被B公开获得。类似地，用户B选择一个私有的随机数XB<q，并计算公开密钥YB＝a^XB mod q。B对XB的值保密存放而使YB能被A公开获得。用户A产生共享密钥的计算方式是K＝(YB)^XA mod q。同样，用户B产生共享密钥的计算是K＝(YA)^XB mod q。两个共享密钥值相同，完成密钥交换。
上述算法对于本发明提出的MPLS VPN并不适用。由于在任意相邻的两个LSR之间都需要进行密钥交换，以便分段执行加解密操作，如果采用Diffie-Hellman算法则需要在整个网络中公开全局参数a和q值，在相邻的两个LSR之间还需要互换公开密钥YA和YB，势必降低了计算得到的秘密值的可信度，且全局参数在网络中更新较为困难，不便维护。
本发明的特殊算法是使用统一的线性函数，该算法可在建立MPLS域的初始化过程中植入各路由器节点，线性函数表示为：
f(x)＝y＝a0+a1x+a2x2
其中，a0,a1,a2表示初始化系数，可以选择任意有限值，x、y表示认证序列变量。
利用以上算法，两个相邻的标签交换路由器之间完成认证数据交换的具体过程为：
在IKE SA协商过程中，当发起方对响应方的身份认证通过时，发起方的边缘交换路由器生成随机数rU，U表示上游upstream的缩写，并将系数a0置换为随机数rU，将系数a1和a2分别置换为发起方和响应方在安全参数交换过程中由各自生成的随机参数rI和rR，根据线性函数随机产生三组认证序列对(xU_1,yU_1)、(xU_2,yU_2)和(xU_3,yU_3)，并随标签请求消息一起发送给下游标签交换路由器；
下游标签交换路由器提取标签请求消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r′U、随机参数r′I和r′R，然后生成随机数rL，并将系数a0置换为随机数rL，L表示下游downstream的缩写，将系数a1和a2分别置换为随机参数r′I和r′R，根据线性函数也随机产生三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)，并随回应消息一起发送给上游的边缘交换路由器；
发起方的边缘交换路由器提取回应消息中记录的三组认证序列对，利用线性函数再次反向计算得到随机数r′L、随机参数r″I和r″R，进一步比较随机参数r″I与rI、随机参数r″R与rR是否相同，如果相同，则表明认证数据交换成功，发起方的边缘交换路由器将认证成功消息发送给下游标签交换路由器，同时将随机数rU和r′L、随机参数rI和rR保存至本地，否则表明认证数据交换失败，将失败消息反馈给发起方；
下游标签交换路由器收到认证成功消息后，继续向下一跳的标签交换路由器发送标签请求消息，并将三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)随标签请求消息一起发送给下一跳的标签交换路由器，也可重新生成不同于上述序列值的三组认证序列对向下游传递，同时将随机数r′U和rL、随机参数r′I和r′R保存至本地；
下一跳的标签交换路由器在收到标签请求消息后，与其上游的标签交换路由器重复执行随机数和随机参数交换操作并继续向下游传递，直到传递至响应方的边缘交换路由器后终止认证数据的交换操作。
本发明提供的上述密钥交换算法不存在全局公开参数，不需要对整个网络实施安全参数共享及更新维护，具有较高的灵活性，且所有的秘密值包括发起方与响应方互换的随机参数、标签请求方与标签派发方互换的随机数均由多组认证序列对隐式传输，也不需要使用复杂的验签方式来验证双方身份，能够更加安全的实现秘密值的交换，算法简单，可操作性强。
上述交换的认证数据可通过以下方式保存到本地：
Figure BDA0003298021990000131
如上表所示，对于两个对等体A和B，在上游LSR的A节点本地保存有安全标识IDL、出标签ML、系数rU、rI、rR和随机数rU、r′L；在下游LSR的B节点本地保存有安全标识IDL、入标签ML、系数r′U、r′I、r′I和随机数r′U、rL。
由于IP报文在传输过程中被封装，无法获知数据流的源地址与目的地址，故本发明设定一个安全标识，用于标识具有唯一源地址与目的地址的特定MPLS VPN转发方式，即该安全标识与确立的IKE SA具有唯一映射关系，该安全标识由下游的LSR生成，并在认证数据交换过程中通过回应消息发送给上游LSR，上游LSR在确认下游LSR的身份为真时，也将安全标识保存到本地，该安全标识只在上、下游LSR之间有效。
在完成标签分发与认证数据交换之后，从MPLS域入节点LER、中间LSR和出节点LER的输入输出标签相互映射拼接起来之后，就构成了从不同入节点到不同出节点的标签交换路径LSP(Label Switching Path)。
在建立LSP之后即可执行标签映射操作，当有一定属性的数据流到达LER之后，路由器检查分组的包头，根据此检查所得到的信息，依据一定的对应原则，如：将分组目的地址与LER中路由表的某一表项进行最长前缀匹配，将输入的信息流进行划分，得到FEC，接着在LER处根据FEC进行映射操作，也就是把对应的标签插入分组头中，最后将分组沿标签所标识的接口转发出去。
由MPLS报文携带标签和相关参数，如图3所示，本发明在原有结构的MPLS报文尾部增加“安全标识”和“验签”字段，“安全标识”字段用于存储前文中提到的安全标识IDL，“验签”字段用于存储验签值。其余部分仍保留标签、EXP、S、TTL四个字段。标签占20bit，EXP占3bit，S占1bit，TTL占8bit，在新增24bit中的8bit分配给安全标识字段，另外16bit则分配给验签字段。MPLS报文被压入链路层报头与网络层报头之间，与封装的网络层数据报文绑定在一起向下游转发。
参考图4所示的标签转发流程，实施的具体过程为：
当有数据流进入Ingress节点时，首先解析IP报文，得到源地址23.156.1.0/8和目的地址41.0.2.1/8，根据地址前缀匹配原则在本地查询目的地址所属的FEC，从FEC到NI-ILFE表项的映射表(FEC to NHLFE)FTN获得Tunnel ID值，判断Tunnel ID值是否为0x0，如果为0x0，则进入正常的IP转发流程，否则进入MPLS转发流程。Tunnel ID字段是为了给使用隧道的上层应用(如VPN、路由管理)提供统一的接口，系统自动为隧道分配了一个ID，该Tunnel ID的长度为32bit，将MPLS标签通过Tunnel ID值映射到入标签映射表(IncomingLabel Map)ILM和下一跳标签转发表项(Next Hop Label Forwarding Entry)NHLFE上。本实施例中Tunnel ID值为0x23，故启动MPLS转发流程。
同时，根据目的地址确定数据流在本地是否存在IKE安全关联，如果不存在则按普通的标签映射方式转发数据，如果存在则需要按保密的标签映射方式转发数据，即配置具有安全加密机制的MPLS VPN。由IKE SA查找对应的安全标识IDL，以安全标识IDL通过查表获得本地存储的IKE SA协商过程中交换的随机参数rI、rR、上游和下游LSR交换的认证数据rU、r′L、标签值ML。
在完成上述操作之后，由Ingress节点继续执行数据处理的以下两个步骤。
步骤一、对具有IKE安全关联的IP报文进行加密
将上述提取的各安全参数执行哈希运算：
HU＝Hash(rU‖r′L‖rI‖rR‖ML)
以哈希值HU作为密钥，采用对称加密算法对IP数据报文进行加密，同时利用哈希值HU与标签值ML计算获得验签值：
Figure BDA0003298021990000141
步骤二、压入标签到数据流，生成MPLS报文
从NHLFE表中查询Tunnel ID值为0x23的项，获得FEC类的出标签值为105，出接口为Eth1/2，得到报文的操作为Push，因此为报文打上出标签值105，在标签值105、安全标识IDL、验签值SU植入MPLS报文后，将MPLS报文压入经加密的IP报文首部，然后向下一跳地址24.1.1.2的LSR转发数据。
对于无IKE安全关联的数据流，压入的MPLS报文中“安全标识”字段置为空，下一跳LSR在收到该“安全标识”字段确为空值时，直接以普通的标签映射方式转发数据，不在链路层对数据进行二次加密。
下一跳的LSR为Transit节点，其在收到Ingress节点发来的数据后，依次执行数据处理的以下三个步骤。
步骤一、解密IP报文
提取MPLS报文中的标签值ML和安全标识IDL，从本地保存的数据中查找与安全标识IDL关联的随机数r′U和rL、随机参数r′I和r′R，执行哈希运算：
HL＝Hash(r′U‖rL‖r′I‖r′R‖ML)
利用哈希值HL与标签值ML计算获得验签值：
Figure BDA0003298021990000151
比较验签值SL与SU是否相同，如果不同，则表明验签失败，将验签失败消息反馈给上游标签交换路由器，也就是Ingress节点，如果相同，则表明验签成功，进一步利用哈希值HL作为密钥对IP数据报文的密文进行解密。
步骤二、重新对IP报文进行加密
在本地查找与下一跳LSR交换的、针对该IKE SA对应的安全标识，以安全标识通过查表获得本地和下游LSR交换的认证数据、本地的出标签值，重新执行IP数据报文的加密操作，获得密文。对于IKE SA协商过程中交换的随机参数在向下游传递过程中始终保持不变，因此参与本次密钥运算的IKE SA协商参数与上游交换的参数相同。
步骤三、删除旧标签，替换新生成的标签到数据流，生成MPLS报文
按照LSP查找由标签映射的出标签所对应的下一跳LSR，即通过Tunnel ID值0x23索引在ILM表找到本地对应的入标签值105和入接口Eth1/1，并从NHLFE表中按Tunnel ID的映射继续查找下两跳(或称第二跳)的出标签值216，出接口Eth1/2，下两跳地址32.1.6.2，得到报文的操作为Swap，将上游传下来的标签替换为本地生成的新标签，向下两跳地址32.1.6.2的LSR转发由步骤二加密后的数据。
如果下两跳的LSR仍为Transit节点，则重复执行上述验签、解密、加密、签名和标签替换步骤，并沿标签交换路径继续向下游传递，直到传递至目的地址所在的LER后，也就是Egress节点，终止IP数据报文的加解密操作，执行PoP操作指令将标签从报文弹出，将解密的明文交付给目的地址节点。
如图5所示，在IP网络层通过IKE和IPsec协商构建网络层的IPsec安全隧道，在链路层通过MPLS域交换的认证数据及标签构建MPLS安全隧道，形成了具有加密和认证功能的双隧道链路结构，由链路层提供安全保障的密钥值只在两个相邻的LSR知晓，同时引入IKESA协商过程中的安全关联参数，最大程度上增强了网络环境的安全。MPLS VPN的建设工作大部分由MPLS初始化阶段完成，只有在加解密和认证环节的工作由数据传输阶段承担，且加密和认证算法也属轻量级，因此对数据传输的带宽和算力不会有太大影响。
另外，在上述实施例的标签弹出操作中，可采用栈顶标签倒数第二跳弹出机制(Penultimate Hop Popping简称PHP)。数据报文在从MPLS域输出，需要弹出MPLS标签，默认情况下由LER也就是LSP的最后一跳LSR负责。然而此时数据报文的转发是先脱去标签然后去查路由表，如果再LSP的倒数第二跳LSR将标签弹出对于整体转发过程不会有影响。采用PHP可以减轻LER的压力，防止LER需要进行的动作太多成为整个数据转发过程中的瓶颈。
如果发现交换后的标签值为3，则将标签弹出，并将报文发给最后一跳LSR，最后一跳LSR收到该报文后直接进行IP数据报文交付。倒数第二跳机制使得LSR在转发分组时只进行一次查表，让分级转发更简洁有效，减轻边界交换路由器的负担。
如图6所示，本发明还提供了一种基于MPLS的电力通信骨干网数据安全防护系统，包括：分布于骨干网络所在MPLS域内的所有标签交换路由器，智能电网中的电力站均通过边缘交换路由器与MPLS域连接；
所述的标签交换路由器按所在MPLS域中的位置被划分为边缘交换路由器和中间交换路由器；
所述的边缘交换路由器和中间交换路由器均包括：
MPLS域构建模块：在骨干网络中铺设MPLS域，为运行于骨干网络中的电力站设置边缘交换路由器，各标签交换路由器通过发送发现消息和会话消息维护MPLS域内标签交换路由器的存在和LDP对等体之间的会话连接；
标签请求模块：发起方根据响应方的目的地址划分相应的转发等价类，并采用DoD标签发布方式按目的地址的路由路径由上游向下游的标签交换路由器发送标签请求消息；
标签分配模块：按标签请求消息中记录的转发等价类生成标签，并将标签通过回应消息发送给上游标签交换路由器；
认证数据交换模块：用于生成MPLS VPN所需的认证数据，通过标签请求消息或回应消息承载认证数据，与相邻的上游或下游标签交换路由器完成认证数据的交换操作；
MPLS加密模块：将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文明文进行加密；
MPLS解密模块：将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文密文进行解密；
标签处理模块：用于标签存储与管理，并按照标签交换路径执行标签压入、替换和弹出操作；
所述的边缘交换路由器还包括：
IKE SA协商模块：采用IKE协议完成发起方与响应方之间的IKE SA协商，所述的发起方和响应方为分属于不同边缘交换路由器内部网关管辖的电力站；
IPSec SA协商模块：用于完成IPSec SA协商操作，建立用于网路层数据传输的IPSec安全隧道。其中，IKE SA和IPSec SA协商对于中间交换路由器而言是透明的，如图6中虚线所示，即中间交换路由器不参与IKE安全策略的执行，也不解析由IPSec加密的数据流。
尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

Claims (4)

1.基于MPLS的电力通信骨干网数据安全防护方法，其特征在于，包括：
步骤1)为电力通信骨干网铺设MPLS域，运行于骨干网络中的电力站均通过边缘交换路由器与MPLS域连接，各标签交换路由器通过发送发现消息和会话消息维护MPLS域内标签交换路由器的存在和LDP对等体之间的会话连接；
步骤2)采用IKE协议完成发起方与响应方之间的IKE SA协商，所述的发起方和响应方为分属于不同边缘交换路由器内部网关管辖的电力站；
步骤3)当IKE SA协商通过后，发起方根据响应方的目的地址划分相应的转发等价类，并采用DoD标签发布方式按目的地址的路由路径由上游向下游的标签交换路由器发送标签请求消息，下游标签交换路由器按标签请求消息中记录的转发等价类生成标签，并将标签通过回应消息发送给上游标签交换路由器，其中任意相邻的两个标签交换路由器之间独立完成标签分发过程，上游和下游标签交换路由器分别通过标签请求消息和回应消息承载并交换认证数据，将所有标签交换路由器的入标签和出标签映射拼接在一起后建立标签交换路径；
步骤4)将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文进行加密，上游标签交换路由器将压入标签后的密文发送给下游标签交换路由器，下游标签交换路由器在计算哈希值之后解密收到的密文，利用下游标签交换路由器与其下一跳标签交换路由器交换的认证数据重新计算哈希值，并重新完成IP数据报文加密和标签替换操作后继续发送给下一跳标签交换路由器；
步骤5)依照标签交换路径重复执行步骤4)，直至将报文传送至MPLS域末端时，由响应方的边缘交换路由器弹出标签，并将解密后的明文转发给响应方；
两个相邻的标签交换路由器之间完成认证数据交换的具体过程为：
在建立MPLS域过程中，为每个标签交换路由器设定统一的线性函数：
f(x)＝y＝a0+a1x+a2x2
其中a0,a1,a2表示初始化系数，x、y表示认证序列变量；
在IKE SA协商过程中，当发起方对响应方的身份认证通过时，发起方的边缘交换路由器生成随机数rU，并将系数a0置换为随机数rU，将系数a1和a2分别置换为发起方和响应方在安全参数交换过程中由各自生成的随机参数rI和rR，根据线性函数随机产生三组认证序列对(xU_1,yU_1)、(xU_2,yU_2)和(xU_3,yU_3)，并随标签请求消息一起发送给下游标签交换路由器；
下游标签交换路由器提取标签请求消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r'U、随机参数r'I和r'R，然后生成随机数rL，并将系数a0置换为随机数rL，将系数a1和a2分别置换为随机参数r'I和r'R，根据线性函数随机产生三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)，并随回应消息一起发送给上游的边缘交换路由器；
发起方的边缘交换路由器提取回应消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r'L、随机参数r″I和r″R，进一步比较随机参数r″I与rI、随机参数r″R与rR是否相同，如果相同，则表明认证数据交换成功，发起方的边缘交换路由器将认证成功消息发送给下游标签交换路由器，同时将随机数rU和r'L、随机参数rI和rR保存至本地，否则表明认证数据交换失败，将失败消息反馈给发起方；
下游标签交换路由器收到认证成功消息后，继续向下一跳的标签交换路由器发送标签请求消息，并将三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)随标签请求消息一起发送给下一跳的标签交换路由器，同时将随机数r'U和rL、随机参数r'I和r'R保存至本地；
下一跳的标签交换路由器在收到标签请求消息后，与其上游的标签交换路由器重复执行随机数和随机参数交换操作并继续向下游传递，直到传递至响应方的边缘交换路由器后终止认证数据的交换操作。
2.根据权利要求1所述的基于MPLS的电力通信骨干网数据安全防护方法，其特征在于，对IPSec隧道内传输的IP数据报文进行加解密操作的具体过程为：
在建立标签交换路径后，发起方的边缘交换路由器执行哈希运算：
HU＝Hash(rU‖rL‖rI‖rR‖ML)
其中，HU表示哈希值，ML表示从下游标签交换路由器分配到的标签值；
以哈希值HU作为密钥，采用对称加密算法对IP数据报文进行加密，同时利用哈希值HU与标签值ML计算获得验签值：
Figure FDA0004054712280000021
在标签值ML和验签值SU植入MPLS报文后，随加密的IP数据报文一起发送给下游标签交换路由器；
下游标签交换路由器提取MPLS报文中的标签值ML，并从本地保存的数据中提取随机数r'U和rL、随机参数r'I和r'R，执行哈希运算：
HL＝Hash(rU‖rL‖r′I‖r′R‖ML)
利用哈希值HL与标签值ML计算获得验签值：
Figure FDA0004054712280000031
比较验签值SL与SU是否相同，如果不同，则表明验签失败，将验签失败消息反馈给上游标签交换路由器，如果相同，则表明验签成功，进一步利用哈希值HL作为密钥对IP数据报密文进行解密；
按照标签交换路径查找由标签值ML映射的出标签所对应的下一跳标签交换路由器，利用下游标签交换路由器与下一跳标签交换路由器之间交换的认证数据重复执行IP数据报文在传输过程中的加解密操作，并沿标签交换路径继续向下游传递，直到传递至响应方的边缘交换路由器后终止IP数据报文的加解密操作。
3.根据权利要求1所述的基于MPLS的电力通信骨干网数据安全防护方法，其特征在于，在MPLS报文转发过程中采用栈顶标签倒数第二跳弹出机制：
在位于标签交换路径上的倒数第二跳标签交换路由器执行标签交换时，如果发现交换后的标签值为3，则将标签弹出，并将报文发给最后一跳标签交换路由器，最后一跳标签交换路由器收到该报文后直接进行IP数据报文交付。
4.基于MPLS的电力通信骨干网数据安全防护系统，其特征在于，包括：分布于骨干网络所在MPLS域内的所有标签交换路由器，智能电网中的电力站均通过边缘交换路由器与MPLS域连接；
所述的标签交换路由器按所在MPLS域中的位置被划分为边缘交换路由器和中间交换路由器；
所述的边缘交换路由器和中间交换路由器均包括：
MPLS域构建模块：在骨干网络中铺设MPLS域，为运行于骨干网络中的电力站设置边缘交换路由器，各标签交换路由器通过发送发现消息和会话消息维护MPLS域内标签交换路由器的存在和LDP对等体之间的会话连接；
标签请求模块：发起方根据响应方的目的地址划分相应的转发等价类，并采用DoD标签发布方式按目的地址的路由路径由上游向下游的标签交换路由器发送标签请求消息；
标签分配模块：按标签请求消息中记录的转发等价类生成标签，并将标签通过回应消息发送给上游标签交换路由器；
认证数据交换模块：用于生成MPLS VPN所需的认证数据，通过标签请求消息或回应消息承载认证数据，与相邻的上游或下游标签交换路由器完成认证数据的交换操作；两个相邻的标签交换路由器之间完成认证数据交换的具体过程为：
在建立MPLS域过程中，为每个标签交换路由器设定统一的线性函数：
f(x)＝y＝a0+a1x+a2x2
其中a0,a1,a2表示初始化系数，x、y表示认证序列变量；
在IKE SA协商过程中，当发起方对响应方的身份认证通过时，发起方的边缘交换路由器生成随机数rU，并将系数a0置换为随机数rU，将系数a1和a2分别置换为发起方和响应方在安全参数交换过程中由各自生成的随机参数rI和rR，根据线性函数随机产生三组认证序列对(xU_1,yU_1)、(xU_2,yU_2)和(xU_3,yU_3)，并随标签请求消息一起发送给下游标签交换路由器；
下游标签交换路由器提取标签请求消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r'U、随机参数r'I和r'R，然后生成随机数rL，并将系数a0置换为随机数rL，将系数a1和a2分别置换为随机参数r'I和r'R，根据线性函数随机产生三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)，并随回应消息一起发送给上游的边缘交换路由器；
发起方的边缘交换路由器提取回应消息中记录的三组认证序列对，利用线性函数反向计算得到随机数r'L、随机参数r″I和r″R，进一步比较随机参数r″I与rI、随机参数r″R与rR是否相同，如果相同，则表明认证数据交换成功，发起方的边缘交换路由器将认证成功消息发送给下游标签交换路由器，同时将随机数rU和r'L、随机参数rI和rR保存至本地，否则表明认证数据交换失败，将失败消息反馈给发起方；
下游标签交换路由器收到认证成功消息后，继续向下一跳的标签交换路由器发送标签请求消息，并将三组认证序列对(xL_1,yL_1)、(xL_2,yL_2)和(xL_3,yL_3)随标签请求消息一起发送给下一跳的标签交换路由器，同时将随机数r'U和rL、随机参数r'I和r'R保存至本地；
下一跳的标签交换路由器在收到标签请求消息后，与其上游的标签交换路由器重复执行随机数和随机参数交换操作并继续向下游传递，直到传递至响应方的边缘交换路由器后终止认证数据的交换操作；
MPLS加密模块：将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文明文进行加密；
MPLS解密模块：将IKE SA协商过程中交换的安全参数、上游和下游标签交换路由器在标签分发过程中交换的认证数据和标签级联，将级联数据进行哈希运算获得哈希值，以哈希值对经IPSec隧道传输的IP数据报文密文进行解密；
标签处理模块：用于标签存储与管理，并按照标签交换路径执行标签压入、替换和弹出操作；
所述的边缘交换路由器还包括：
IKE SA协商模块：采用IKE协议完成发起方与响应方之间的IKE SA协商，所述的发起方和响应方为分属于不同边缘交换路由器内部网关管辖的电力站；
IPSec SA协商模块：用于完成IPSec SA协商操作，建立用于网路层数据传输的IPSec安全隧道。
CN202111182899.XA 2021-10-11 2021-10-11 基于mpls的电力通信骨干网数据安全防护方法及系统 Active CN114095423B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111182899.XA CN114095423B (zh) 2021-10-11 2021-10-11 基于mpls的电力通信骨干网数据安全防护方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111182899.XA CN114095423B (zh) 2021-10-11 2021-10-11 基于mpls的电力通信骨干网数据安全防护方法及系统

Publications (2)

Publication Number Publication Date
CN114095423A CN114095423A (zh) 2022-02-25
CN114095423B true CN114095423B (zh) 2023-04-14

Family

ID=80296721

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111182899.XA Active CN114095423B (zh) 2021-10-11 2021-10-11 基于mpls的电力通信骨干网数据安全防护方法及系统

Country Status (1)

Country Link
CN (1) CN114095423B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114978591B (zh) * 2022-04-15 2024-02-23 国网上海能源互联网研究院有限公司 一种基于安全防护的场域网数据交互系统及方法
CN116506351B (zh) * 2023-06-21 2023-09-19 杭州海康威视数字技术股份有限公司 MPLS-VPN Qos路由选择方法、装置及设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110730071A (zh) * 2019-10-29 2020-01-24 南方电网科学研究院有限责任公司 一种配电通信设备安全接入认证方法、装置及设备
CN113364811A (zh) * 2021-07-05 2021-09-07 北京慧橙信息科技有限公司 基于ike协议的网络层安全防护系统及方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070248091A1 (en) * 2006-04-24 2007-10-25 Mohamed Khalid Methods and apparatus for tunnel stitching in a network
CN101741709B (zh) * 2008-11-06 2012-08-22 华为技术有限公司 建立标签交换路径的方法、系统及网络节点
US11075949B2 (en) * 2017-02-02 2021-07-27 Nicira, Inc. Systems and methods for allocating SPI values
EP3402118A1 (en) * 2017-05-10 2018-11-14 Koninklijke Philips N.V. Key agreement devices and method
US11750399B2 (en) * 2019-12-06 2023-09-05 Motional Ad Llc Cyber-security protocol
CN112235318B (zh) * 2020-11-17 2023-07-14 国科量子通信网络有限公司 实现量子安全加密的城域网系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110730071A (zh) * 2019-10-29 2020-01-24 南方电网科学研究院有限责任公司 一种配电通信设备安全接入认证方法、装置及设备
CN113364811A (zh) * 2021-07-05 2021-09-07 北京慧橙信息科技有限公司 基于ike协议的网络层安全防护系统及方法

Also Published As

Publication number Publication date
CN114095423A (zh) 2022-02-25

Similar Documents

Publication Publication Date Title
US10033843B2 (en) Network device and method for processing a session using a packet signature
CN110581763B (zh) 一种量子密钥服务区块链网络系统
WO2019105462A1 (zh) 报文的发送、处理方法及装置，pe节点，节点
US8284943B2 (en) IP encryption over resilient BGP/MPLS IP VPN
US7620975B2 (en) Internal routing protocol support for distributing encryption information
US20130266012A1 (en) System and method for implementing multiple label distribution protocol (ldp) instances in a network node
US20090217032A1 (en) Method for generating sak, method for realizing mac security, and network device
CN114095423B (zh) 基于mpls的电力通信骨干网数据安全防护方法及系统
US20110093696A1 (en) Device and method for directing exchange flows for public or non sensitive values for creating common secret keys between areas
US20090034738A1 (en) Method and apparatus for securing layer 2 networks
US9369490B2 (en) Method for the secure exchange of data over an ad-hoc network implementing an Xcast broadcasting service and associated node
WO2009060283A1 (en) Method and apparatus for secure communication
CN109698791B (zh) 一种基于动态路径的匿名接入方法
CN113726795B (zh) 报文转发方法、装置、电子设备及可读存储介质
CN102905199B (zh) 一种组播业务实现方法及其设备
CN115567205A (zh) 采用量子密钥分发实现网络会话数据流加解密方法及系统
US9319222B2 (en) Two factor authentication of ICR transport and payload for interchassis redundancy
CN107135152B (zh) 一种分组传送网中传输关键信息的安全加固方法
CN112235318B (zh) 实现量子安全加密的城域网系统
CN115733683A (zh) 采用量子密钥分发的以太链路自组织加密隧道实现方法
Alouneh et al. A Multiple LSPs Approach to Secure Data in MPLS Networks.
WO2012174901A1 (zh) Rsvp认证方法及装置
CN113300998A (zh) 实现数据加密传输的方法及装置、通信系统
Kaur et al. Comparative Analysis of MPLS Signaling Protocols
CN114374564B (zh) 一种内部网关路由链路安全管理系统及方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TA01 Transfer of patent application right

Effective date of registration: 20230331

Address after: 100000 West Side of 2nd Floor, Building 4, Zone 1, Shangdi Dongli, Haidian District, Beijing

Applicant after: Beijing Oriental Jinghai Electronic Technology Co.,Ltd.

Address before: 100176 front desk of Beijing Tongfang Computer Technology Research Institute Co., Ltd., floor 1, building 3, No. A5, Rongchang East Street, Beijing Economic and Technological Development Zone, Daxing District, Beijing

Applicant before: Wang Yunsen

TA01 Transfer of patent application right