CN1901551A

CN1901551A - 一种支持IPv6的二层接入网中重复地址检测方法及其装置

Info

Publication number: CN1901551A
Application number: CNA2005100278732A
Authority: CN
Inventors: 温海波; 鄢仁祥; 江滢澜; 宾梵翔
Original assignee: Alcatel Lucent Shanghai Bell Co Ltd
Current assignee: Nokia Shanghai Bell Co Ltd
Priority date: 2005-07-19
Filing date: 2005-07-19
Publication date: 2007-01-24
Also published as: WO2007009367A1

Abstract

本发明公开了一种支持IPv6的二层接入网中重复地址检测(DAD)方法及其装置，它在二层网络接入设备处实现一个DAD代理，通过接口地址线路表对共享网络前缀的若干用户网络中的网络节点使用的IPv6地址进行维护，并截获不同用户网络产生的DAD消息后，并不向其他用户网络进行直接转发，而是查询接口地址线路表，如果请求的地址已经被其他网络节点占用，它代理响应该DAD消息，从而避免了DAD消息直接从一个用户网络进入另外一个用户网络而引起的安全问题。

Description

一种支持IPv6的二层接入网中重复地址检测方法及其装置

技术领域

本发明涉及一种Ipv6技术，尤其涉及一种二层接入网络中Ipv6重复地址检测方法。

背景技术

随着通信网络技术的快速发展，IPv6愈发成熟，网络将由IPv4网络演化为IPv6网络。在IPv4网络中，由于地址是比较奇缺的资源，接入网中的地址分配是严格控制的，通常是在接入设备或者BRAS(宽带远程接入服务器)处维护一个共享地址池，根据需要进行地址分配。IPv6带来了巨大的地址空间，它可以做到让地球上每一粒沙子都能拥有一个IPv6地址，因此用户网络中每一个设备都能有个全球可寻址的地址。IPv6中的地址分配可以分为两大类：基于DHCPv6(动态主机配置协议)的有状态地址分配和无状态地址分配。前者可以严格地控制地址分配。而无状态地址分配是主机或终端通过从路由器获得的RA(路由器通告：Router Advertisement)消息得到64bit的前缀，再附加上接收到该RA消息的主机接口标识符(Interface identifier)以得到128比特的IPv6地址。RFC标准要求在将一个IPv6单播地址指配给一个接口使用之前(我们习惯称之为暂定地址)，必须在共享同一个前缀空间的子网中进行DAD(重复地址检测：Duplicate Address Detection)检测，以保证该暂定地址在该子网中的唯一性。DAD检测是通过NS消息(邻居请求：Neighbor Solicitation)和NA消息(邻居通告：Neighbor Advertisement)机制来实现的。

如图1所示的二层网络接入系统结构示意，网络接入设备DSLAM(数字用户线接入复用器)12和CPE(客户端设备)通常工作在第二层。在这样的二层接入网络中支持IPv6，有多种前缀分配方式，如：一个用户网络独享一个前缀、或多个用户网络共享一个前缀。对于前一种分配方式，从管理角度来说这样很直接、相对简单。但是，一个前缀空间具有64比特的地址空间，即一个用户网络拥有2⁶⁴个地址，而用户网络的设备可能远远小于这个数量，这种方案使得地址利用率相当得低。对于后一种者分配方式，多个用户网络共享一个64比特前缀，即共享同一个地址空间，可以避免地址空间浪费和地址碎片，方便网络用户管理，但在共享前缀时，DAD检测需要在共享域内完成。

在同一个二层接入设备下的多个用户网络共享一个前缀时，面临着一些问题：在目前二层接入网络中，用户网络通常不允许直接通信，因为用户网络之间的直接通信使得营运商无法得到收益，另外可能造成一些安全问题(用户网络只是对运营商接入网有信任关系，不同的用户网络之间不可能有信任关系，因此可能发起攻击)。如何实现共享空间的有效的DAD检测是一个至关重要的问题。

目前还缺乏一个比较成熟的、多个用户网络共享一个前缀时的DAD检测方法。最直接的方法是根据标准的DAD机制，让这些消息直接能够进入其他共享同一个前缀的用户网络，即由二层接入设备识别出DAD相关消息(如：NS消息、NA消息)，然后将这些消息转发到其他共享同一个前缀的用户网络中，由其用户网络中的网络节点响应该消息。我们称这种方法为直接扩散法(DFM：Direct Flooding Method)，DFM方法中可能使共享前缀的不同用户网络之间产生很多问题，例如网络安全方面：DAD拒绝服务攻击，一个用户网络中的一个恶意主机或终端响应每一个来自其他用户网络的NS消息，当这个恶意主机或终端通过相应NA消息宣称拥有那个暂定地址，则其他用户网络的主机或终端无法成功获得一个IPv6地址，进而无法获得IPv6网络服务。此外，大量的DAD检测消息在网络中传播会占用部分网络资源，从而影响正常的数据流转发。

发明内容

本发明目的在于：在IPv6接入网络中，同一个二层接入设备下多个用户网络共享一个前缀时，如何实现安全的跨用户网络的地址重复检测。

本发明目的之一在于：提供一种用于二层网络接入设备的重复地址检测方法，网络接入设备通过其用户接口与若干用户网络连接，若干用户网络共享网络前缀，其特征在于所述方法包括步骤：a)、接收步骤：接收来自用户网络的网络节点邻居请求消息，并获取邻居请求消息包含的暂定地址；b)、判断步骤：确定该暂定地址是否被共享网络前缀的用户网络中网络节点使用；c)、决定步骤：如果该暂定地址已经被分配使用，则构造相应邻居通告消息，通知产生该邻居请求消息的网络节点该暂定地址不可使用，否则，保存该网络节点暂定地址配置信息。

其步骤c)中，如果该暂定地址已经被发起邻居请求消息的用户网络中其他网络节点使用，则忽略该邻居请求消息。

其步骤c)中，在保存网络节点暂定地址配置信息之前，在一定的时间内等待并检测是否有其他网络节点对相同暂定地址进行请求，如果存在相同暂定地址的邻居请求消息，则构造相应邻居通告消息，通知产生该暂定地址邻居请求消息的两个网络节点该地址都不可使用。

本发明进一步目的在于：提供一种用于IPv6用户接入的二层网络接入设备，包括若干用户接口单元，分别通过与其连接的客户端设备与若干用户网络连接、并接收来自用户网络中网络节点邻居请求消息，所述用户网络共享网络前缀，其特征在于所述网络接入设备包括：重复地址检测代理单元：获取各用户接口单元的邻居请求消息包含的暂定地址，确定该暂定地址是否被共享网络前缀的用户网络中网络节点使用，如果该暂定地址已经被分配使用，则构造相应邻居通告消息，通知产生该邻居请求消息的网络节点该暂定地址不可使用，否则，保存该网络节点暂定地址配置信息。

其中，重复地址检测代理单元发现该暂定地址已经被发起邻居请求消息的用户网络中其他网络节点使用，则网络接入设备忽略该邻居请求消息。

本发明进一步目的在于：提供一种IPv6用户接入系统，包括若干用户网络、二层网络接入设备、宽带接入服务器，若干用户网络通过客户端设备与二层网络接入设备相连并共享一个网络前缀，其特征在于：用户网络中的网络节点产生用于重复地址检测的邻居请求消息；二层网络接入设备截获来自不同用户网络的网络节点邻居请求消息，如果该邻居请求消息中的暂定地址被分配给其他用户网络的网络节点，网络接入设备构造相应的邻居通告消息。

其中，接入系统进一步包括宽带接入服务器，所述邻居通告消息目标链路层地址选项域为宽带接入服务器的MAC地址。

本发明进一步目的在于：一种用于Ipv6用户接入的重复地址检测代理单元，包括：若干接口单元：接收来自本接口单元相连的网络节点产生的用于重复地址请求的邻居请求消息；接口地址线路表：用于保存接口单元中网络节点的网络地址配置信息；控制单元：提取邻居请求消息中的暂定地址信息，并在接口地址线路表中进行查找，当所述暂定地址已经被使用，则构造邻居通告消息，通知产生的该邻居请求消息的相应接口单元，否则，在接口地址线路表中添加该暂定地址配置信启。

上述重复地址检测代理单元中，接口地址线路表包括网络节点IP地址、MAC地址信息；

上述重复地址检测代理单元中，接口地址线路表进一步包括接口单元信息，控制单元首先在在产生的邻居请求消息在其接口单元相对应的网络节点范围内查找，如果已经被该接口其他网络节点使用，控制单元忽略该邻居请求消息。

上述重复地址检测代理单元中，控制单元在添加该暂定地址配置信息前，设置一段等待时间，以进一步接收并判断其他的网络节点可能的对该暂定地址请求。

根据上述思想，本发明成功地解决了在IPv6接入网络中，二层接入设备中多个用户网络共享一个前缀时所必须进行的重复地址检测，为IPv6在接入网中迅速普及提供了有力保障。基于本发明提供的重复地址检测方法及其重复地址检测代理单元，同样可以支持多个二层网络接入设备共享一个前缀时的重复地址检测。

附图说明

图1是一种本发明所涉及的二层网络接入系统结构示意；

图2是本发明重复地址检测代理单元结构示意图；

图3是本发明重复地址检测流程结构示意图。

具体实施方式

为便于理解，我们首先结合图1所示的典型的二层网络接入系统对标准的DAD检测做一定的说明。若干用户网络11(图例中只示意出两个用户网络11A、11B)通过其二层CPE与DSLAM12相连，假设用户网络11A、11B分别享有一个各自的子网空间。进行前缀分发的RA消息由接入网中的BRAS发出。用户网络11A网络节点a接口P_a其DAD检测过程如下：

1)、网络节点a1的接口P_a1在发出NS消息之前，该接口必须加入两个多播组，即所有节点组播组(All-Nodes Multicast Address)和请求节点组播地址(Solicited-Node Multicast Address)。前者可保证该接口能够接收到已经使用此暂定地址的节点发出NA消息；后者可保证两个准备使用这个暂定地址的节点能够及时检测到对方的存在。

2)、网络节点a1的接口P_a1在发出的NS消息中，目标地址域被设置成待检测的暂定地址，IP源地址设置为未指定地址(即::)，IP宿地址为由待检测的暂定地址构成的请求节点多播地址。

3)、该子网中其他网络节点接口(例如：网络节点a2的接口P_a2)收到这个用于DAD检测的NS消息，如果发现该消息中的目标地址已经被它自身使用，则其会构造一个NA消息通告这个地址已经被使用。如果这个目标地址对于接口P_a2也是其的暂定地址，那么说明此暂定地址在子网中重复，则这个暂定地址不能被这两个P_a2和P_a1使用(接口P_a1也会收到P_a2发出的对同一个地址作DAD检测的NS消息)。

4)、网络节点a1的接口P_a1收到一个有效的NA消息，如果该消息中的目标地址是这个接口的暂定地址，则说明该暂定地址在子网中不唯一，即没有通过DAD检测，不能分配给该接口使用。

5)、网络节点a1的接口P_a1在规定时间内没有收到任何对该暂定地址的响应消息NA，则说明该地址是在这个子网内唯一，则将该地址赋给该接口，可供其使用。

然而，如前所述，当在同一个接入设备下的多个用户网络共享一个前缀，由于用户网络之间不允许直接通信并且NS/NA消息也不允许直接从一个用户网络进入另外一个用户网络，因此必须有机制帮助实现跨用户网络的DAD检测。

下面，我们结合图1对本发明作进一步详细描述，在图例所示的接入系统中，假设用户网络11A、11B通过网络接入设备DSLAM 12共享同一个网络前缀，用户网络11A中的网络节点a1的接口P_a1产生用于DAD检测的NS消息；DSLAM12截获来自该NS消息，并不向其他用户网络进行转发，而是提取NS消息中的暂定地址，并判断该暂定地址是否被分配给其他用户网络的网络节点，如果该暂定地址已经被用户网络其他网络节点接口，如用户网络11B中的网络节点b1的接口P_b1使用，DSLAM12就构造相应的NA消息，通知用户网络A中的网络节点a1该暂时地址不可以使用。

上述NA消息中的目标链路层地址选项域为BRAS(宽带接入服务器)的MAC地址。通常，BRAS在接入网络中相对于用户网络为第一个路由器，使用BRAS的MAC地址是为了防止用户网络A、B中的网络节点间直接通信，用户网络A、B中的网络节点的通信都必须通过BRAS中转。

DSLAM12可以通过建立、维护各个用户网络的网络节点的地址配置信息来判断上述暂定地址是否已经被分配使用，通过以下的说明其实现会更加清楚。

图2是与发明相应的二层网络接入设备结构示意图。二层网络接入设备DSLAM12存在若干用户接口单元20A、20B......，通过CPE与所组成的用户网络(如图1用户网络11A、11B......)连接；以及网络接口单元22，与网络相连以接收来自BRAS发出的RA消息。用户接口单元接收用户网络中网络节点产生的NS消息，该消息包含暂定地址信息；根据本发明思想，DSLAM12进一步包含一个DAD代理单元21来实现共享网络前缀的各用户网络间的重复地址检测，它代理一个用户网络中的网络节点响应其他用户网络中网络节点的DAD消息，从而避免了DAD消息直接从一个用户网络进入另外一个用户网络而引起的安全问题；该DAD代理单元21为这些接口单元维护着一个接口地址线路表21A，该表中记录了相应的每个接口单元相连的用户网络中网络节点所分配使用的IPv6地址。DAD代理单元21还包括一个控制单元21B，它接收来自不同接口单元的DAD检测消息，并不向其他用户网络进行转发，而是提取NS消息中的暂定地址信息，查询接口地址线路表21A并做出相应处理：如果暂定地址已经存在于接口地址线路表中，表明该暂定地址已经被使用，控制单元则构造NA消息，通知产生的该邻居请求消息的相应接口单元该暂定地址不可用，否则，表明该暂定地址在该接入设备共享用户网络范围内地址唯一，产生该NS消息的网络节点可以使用该暂定地址，该网络节点在规定的时间内没有收到对该暂定地址的响应消息NA，将该暂定地址赋给接口供其使用。控制单元21B在接口地址线路表21A中添加该该网络节点的地址配置信息，以维护本接入设备下所有网络节点地址的占用情况。

其中，接口地址线路表21A中的网络节点地址配置信息可以包括网络节点IP地址、MAC地址信息；DAD代理单元21可以为每个接口单元维护其对应的接口地址线路表，也可以在增加一个表项以标识接口单元信息，方便控制单元对暂定地址的快速查找，控制单元首先在在产生的邻居请求消息在其接口单元相对应的网络节点范围内查找，如果已经被该接口其他网络节点使用，控制单元21 B可以简单地忽略该邻居请求消息，该接口使用该暂定地址的网络节点会做出相应的NA应答。

其中，控制单元21B在添加该暂定地址配置信息前，可以等待一段时间，以进一步接收并判断其他的网络节点可能的对该暂定地址请求。

根据本发明提供的技术方案，它可以帮助实现IPv6网中的地址解析，同时这个方案可以扩展到整个BRAS共享一个前缀的情形，只要其在BRAS中实现本发明提供的上述若干接口单元、接口地址线路表、控制单元并实现上述相应功能。

而在图2例的DSLAM应用中，控制单元21B产生的NA消息中的目标链路层地址选项域为BRAS(宽带接入服务器)的MAC地址，以防止用户网络A、B中的网络节点间直接通信，用户网络A、B中的网络节点的通信都必须通过BRAS中转。

图3是本发明DAD代理单元对DAD消息的处理流程，如步骤S30，网络接入设备DAD代理当检测到来自用户网络11A网络节点a1接口P_a1的NS消息时，提取其NS消息中的目标地址，即该网络节点产生的暂定地址；步骤S31中，如果NS消息中的目标地址，存在于与这个用户网络11A关联的地址线路端口映射表中，则表明用户网络11A中某个网络节点接口P_a2已经在使用该地址，此时DAD代理可以简单地忽略这个NS消息，因为该接口用户网络中已经在使用这个地址的节点接口P_a2会做出相应的NA应答。如果NS消息中的目标地址存在于另外一个用户网络11B关联的地址线路端口映射表中(步骤S32)，则DAD代理单元会构造一个NA消息通告此地址已被该用户网络某个节点接口P_b1使用(步骤S37)。这个NA消息携带的目标链路层地址选项为BRAS的MAC地址，使用BRAS的MAC地址是为了防止两个用户网络设备间直接通信。

如果NS消息中的目标地址不存在于共享前缀的所有用户网络对应的地址线路端口映射表中，则DAD代理单元等待一段时间(步骤S33)。如果在这等待时间DAD代理单元接收到其他的网络节点接口对该暂定地址所作的DAD检测NS消息，则表明有多个节点接口准备使用该暂定地址，因此DAD代理构造相应的NA消息响应NS消息，以告知这些网络节点接口都不能使用这个暂定地址(步骤S37)；如果没有等到其他网络节点对暂定地址作DAD检测的NS消息(步骤S35)，则说明在共享前缀域内该暂定地址唯一，DAD代理单元将这个暂定地址加入用户网络11A关联的地址线路端口映射表(步骤S36)。

不脱离本发明的构思和范围可以做出许多其他改变和改型。应当理解，本发明不限于特定的实施方式，本发明的范围由所附权利要求限定。

Claims

1、一种用于二层网络接入设备的重复地址检测方法，网络接入设备通过其用户接口与若干用户网络连接，若干用户网络共享网络前缀，其特征在于所述方法包括步骤：

a)、接收步骤：接收来自用户网络的网络节点邻居请求消息，并获取邻居请求消息包含的暂定地址；

b)、判断步骤：确定该暂定地址是否被共享网络前缀的用户网络中网络节点使用；

c)、决定步骤：如果该暂定地址已经被分配使用，则构造相应邻居通告消息，通知产生该邻居请求消息的网络节点该暂定地址不可使用，否则，保存该网络节点暂定地址配置信息。

2、如权利要求1所述的重复地址检测方法，其特征在于所述步骤c)中，如果该暂定地址已经被发起邻居请求消息的用户网络中其他网络节点使用，则忽略该邻居请求消息。

3、如权利要求1所述的重复地址检测方法，其特征在于所述步骤c)中，在保存网络节点暂定地址配置信息之前，在一定的时间内等待并检测是否有其他网络节点对相同暂定地址进行请求，如果存在相同暂定地址的邻居请求消息，则构造相应邻居通告消息，通知产生该暂定地址邻居请求消息的两个网络节点该地址都不可使用。

4、一种用于IPv6用户接入的二层网络接入设备，包括若干用户接口单元，分别通过与其连接的客户端设备与若干用户网络连接、并接收来自用户网络中网络节点邻居请求消息，所述用户网络共享网络前缀，其特征在于所述网络接入设备包括：

重复地址检测代理单元：获取各用户接口单元的邻居请求消息包含的暂定地址，确定该暂定地址是否被共享网络前缀的用户网络中网络节点使用，如果该暂定地址已经被分配使用，则构造相应邻居通告消息，通知产生该邻居请求消息的网络节点该暂定地址不可使用，否则，保存该网络节点暂定地址配置信息。

5、如权利要求4所述的二层网络接入设备，其特征在于所述重复地址检测代理单元发现该暂定地址已经被发起邻居请求消息的用户网络中其他网络节点使用，则网络接入设备忽略该邻居请求消息。

6、一种IPv6用户接入系统，包括若干用户网络、二层网络接入设备、宽带接入服务器，若干用户网络通过客户端设备与二层网络接入设备相连并共享一个网络前缀，其特征在于：

用户网络中的网络节点产生用于重复地址检测的邻居请求消息；

二层网络接入设备截获来自不同用户网络的网络节点邻居请求消息，如果该邻居请求消息中的暂定地址被分配给其他用户网络的网络节点，网络接入设备构造相应的邻居通告消息。

7、如权利要求6所述的IPv6接入系统，其特征在于所述系统进一步包括宽带接入服务器，所述邻居通告消息目标链路层地址选项域为宽带接入服务器的MAC地址。

8、一种用于Ipv6用户接入的重复地址检测代理单元，包括：

若干接口单元：接收来自本接口单元相连的网络节点产生的用于重复地址请求的邻居请求消息；

接口地址线路表：用于保存接口单元中网络节点的网络地址配置信息；

控制单元：提取邻居请求消息中的暂定地址信息，并在接口地址线路表中进行查找，当所述暂定地址已经被使用，则构造邻居通告消息，通知产生的该邻居请求消息的相应接口单元，否则，在接口地址线路表中添加该暂定地址配置信息。

9、如权利要求8所述的重复地址检测代理单元，其特征在于：所述接口地址线路表包括网络节点IP地址、MAC地址信息；

10、如权利要求9所述的重复地址检测代理单元，其特征在于：

所述接口地址线路表进一步包括接口单元信息，控制单元首先在在产生的邻居请求消息在其接口单元相对应的网络节点范围内查找，如果已经被该接口其他网络节点使用，控制单元忽略该邻居请求消息。

11、如权利要求8所述的重复地址检测代理单元，其特征在于：控制单元在添加该暂定地址配置信息前，设置一段等待时间，以进一步接收并判断其他的网络节点可能的对该暂定地址请求。