CN1929483A - IPv6接入网真实源地址访问的准入控制方法 - Google Patents

Abstract

本发明涉及互联网准入控制领域，其特征在于该方法通过一个由真实源地址准入验证服务器、真实源地址准入交换机和真实源地址准入客户端构成的系统对用户进行准入控制，其中，准入验证服务器对用户身份进行验证，分配相应的IPv6地址区间，并建立两者的对应关系，准入交换机从所述服务器得到用户IPv6地址区间后，同客户端MAC地址以及用户访问该交换机端口号关联起来，写入绑定关系表，并将IPv6地址发送给客户端，客户端从中解析出IPv6地址空间配置到IPv6分组发送模块，IPv6分组模块发送以该IPv6地址为源地址的IPv6分组，交给准入交换机过滤。本发明使用户不能随意仿造源MAC地址以及IPv6源地址来攻击网络。

Description

IPv6接入网真实源地址访问的准入控制方法

技术领域

IPv6接入网真实源地址访问属于接入网准入控制领域，要求授权访问的用户使用真实源地址准入网络。

背景技术

接入网从拓扑上来讲是internet的末端，而internet的绝大部分数据流量都是由接入网发起的。为了有效地防范攻击，同时尽量不影响正常流量的转发，接入网的准入控制非常重要。

IPv6的接入网存在的以下的安全威胁：

●伪造IPv6源地址

因为目前大部分的接入控制协议(如802.1x)都是基于MAC地址控制的，客户端通过认证以后可以使用任意的IPv6地址来访问网络。因此用户的IPv6地址可能会被接入网的其他机器假冒，甚至劫持。

●伪造邻居发现协议分组

在IPv6环境下，邻居发现协议(Neighbor Discovery Protocol)已经代替原来的IPv4环境下地址识别ARP协议，但是仍然存在和ARP类似的安全威胁，比如说流量的误导以及中间人攻击。

●针对动态主机配置协议DHCP的攻击

针对DHCP的攻击只要有两种，第一种是反复对DHCP服务器发起请求，将其地址池耗尽；第二种是假冒DHCP服务器，向网络终端设备发送错误的地址配置信息。

对于网络准入控制，已经形成大量工业界标准：802.1x、PPPoE以及DHCP+WEB等方式，因特网工程组织IETF也正在对PANA协议进行标准化。但目前有的方案还存在以下的问题：

1.在身份认证完成以后，接入设备的端口被打开，但其不会对每个分组MAC地址的正确性进行检查，用户可以随意修改MAC地址，仍能够自由地访问网络。

2.传统的接入并不对二层以上的协议作处理，所以用户可以使用任意的IPv6地址访问网络，甚至发起伪造IPv6源地址的攻击。同时用户也可以伪造邻居发现协议分组，给接入网的正常使用带来混乱。

3.标准的802.1x协议和IP地址分配是解耦合的，所以地址使用的安全性和可管理性无法得到保障。

发明内容

针对接入网存在的安全威胁以及现有解决方案存在的缺陷，本发明的思路在于：将身份认证与IPv6地址分配过程耦合起来，在认证的协议交互过程中完成对真实源地址的准入控制，在过滤伪造源地址的同时对授权使用的IPv6地址进行定位、控制等管理。

本发明的特征在于，所述方法是在由真实源地址准入验证服务器、真实源地址准入交换机和真实源地址准入客户端组成的系统中依次按以下步骤实现：

步骤(1)，初始化

在所述真实源地址验证服务器上设置身份认证模块、IPv6地址分配模块、地址管理模块和真实源地址准入控制协议服务器模块，其中：

身份认证模块存有由用户名、用户密码构成的用户账号信息，用以对请求接入网络的用户进行身份认证；

IPv6地址认证模块，其数据结构含有动态地址和静态地址分配表，其中，动态地址表存有暂未使用的待分配IPv6地址区间，而静态地址分配表含有用户名与IPv6地址区间的一一对应关系，以便为认证成功的用户分配授权使用的IPv6地址区间；

地址管理模块，存有地址管理表，其中包含IPv6地址、用户名、交换机的IPv6地址和用户访问的交换机接口，以便在从IP地址分配模块获取到为用户分配的IPv6地址区间后，将该地址区间和用户名、同连接用户端的真实源地址准入交换机的IPv6地址及相应端口相关联，以便地址管理模块通过网络管理协议对所述真实源地址准入交换机进行远程控制管理；

在所述真实源地址准入交换机上设置真实源地址过滤模块以及真实源地址准入控制协议代理模块，其中：

真实源地址过滤模块，存有源地址绑定表，其中包含用户IPv6地址、真实源地址准入客户端MAC地址以及用户访问的所述真实源地址准入交换机的端口号，以便所述代理模块获取由真实源地址准入控制协议服务器模块所分配的用户IPv6地址区间，并将其与所述MAC地址以及用户要访问的所述准入交换机端口关联起来形成源地址绑定表；

在所述真实源地址准入客户端上设置有IPv6分组发送模块和真实源地址准入控制协议客户端模块，其中：

用户IPv6分组发送模块，把收到的用户IPv6分组通过所述准入交换机端口送入真实源地址过滤模块，该模块根据源地址绑定表，检查所述IPv6分组的源IPv6地址和源MAC地址是否分别对应绑定表中的IPv6地址和MAC地址，若不满足，则把该IPv6分组丢弃，若满足，则检查该IPv6分组是否为邻居发现协议中的邻居查询Neighbor Solicitation分组，或者是邻居通知Neighbor Advertisement分组，若不是，允许分组通过，若是，则检查该分组中的属性目标IPv6地址Target Address和目标MAC地址Target Link-layer Address是否分别对应绑定关系表中IPv6地址和MAC地址，若存在，便允许该IPv6分组通过，否则，便丢弃；

步骤(2)，系统依次按以下步骤进行准入控制：

步骤(2.1)，客户端模块通过用户界面提取用户名与密码，根据用户名来构造可扩展身份认证协议请求EAP-Request，发送给所述代理模块；

步骤(2.2)，该代理模块收到EAP-Request以后，将该EAP-Request、交换机IPv6地址、客户端连接准入交换机的端口号封装在远程拨入用户服务协议接入请求Radius AccessRequest分组中，发送给所述服务器；

步骤(2.3)，所述验证服务器首先运行身份认证模块，通过用户名及密码对用户的身份进行验证，若失败，便向该代理模块发送远程认证拨入用户服务协议接入拒绝Radius AccessReject分组，不允许访问网络；若成功，进入步骤(2.4)；

步骤(2.4)，IPv6地址分配模块根据身份认证模块提供的用户身份信息分配IPv6地址区间，并将其提交给地址管理模块，地址管理模块将对应关系写入地址管理表；

步骤(2.5)，收到地址管理模块发来的IPv6地址区间信息后，把该地址区间附加在远程认证拨入用户服务协议接入接受Radius Access Accept分组中，并发送给发出对应RadiusAccess Request的代理实体；

步骤(2.6)，该代理实体收到所述服务器发来的Radius Access Accept分组后，从中取出分配的IPv6地址区间，交给真实源地址过滤模块形成对应关系并写入绑定关系表，并将分配的IPv6地址区间附加在可扩展身份认证协议成功EAP-Success分组中，发送给客户端；

步骤(2.7)，客户端在接收到EAP-Success分组后，把其中的IPv6地址区间解析出来，配置到IPv6分组发送模块，IPv6分组模块发送以该IPv6地址为源地址的IPv6分组；

步骤(2.8)，真实源地址过滤模块收到IPv6分组发送模块发送的IPv6分组以后，对分组进行过滤。

本发明的优点在于：

1.将身份认证与IPv6地址分配的过程耦合起来，在身份认证的协议交互过程中完成地址的分配及地址与交换机端口的绑定；

2.接入设备跨层检查IPv6分组源地址的真实性；

3.接入设备对伪造邻居发现协议分组进行过滤；

4.针对用户身份以及授权使用IPv6地址对客户端接入的定位与管理；

5.为用户分配地址区间，从而为上层应用的IPv6地址的使用提供灵活性。

附图说明

图1.系统逻辑框图；

图2.IPv6分组过滤流程；

图3.真实源地址准入控制协议交互流程；

图4.真实源地址准入控制实施拓扑结构。

具体实施方式

系统由三个部分组成：如图表1所示

●真实源地址准入验证服务器

●真实源地址准入交换机

●真实源地址准入客户端

下面对逻辑框图中的各个模块进行说明：

真实源地址准入控制协议客户端模块：用Client代指

真实源地址准入控制协议代理模块：用Proxy代指

真实源地址准入控制协议服务器模块：用Server代指

Client和Proxy之间用扩展的身份认证协议EAP协议来通讯，Proxy和Server之间用Radius协议来通讯。以上三个模块协作完成真实源地址准入控制协议的交互，具体的过程在接下来的协议交互流程中说明。

身份认证模块：

数据结构：用户账号信息

表格名称	Account
		字段数目	2
字段列表	*Username(用户名)
		Password(密码)
	备注		其中*标出的字段为表格的主键

模块功能：对请求接入网络的用户进行身份认证，认证分两步：

1.检查用户名是否在Account表中存在。如果存在，则进入步骤2，如果不存在，则认证失败；

2.验证用户提供的用户名与密码是否匹配，如果匹配，则认证成功；如果不匹配，则认证失败。

如果身份认证成功，则将用户名以及认证成功的结果告知IPv6地址分配模块。如果身份认证失败，则由Server向Proxy发送访问拒绝的信息。

IPv6地址分配模块：

数据结构：

动态地址池：暂时未使用的待分配IPv6地址区间

静态地址分配表：用户名与IPv6地址区间的一一对应关系

功能：IPv6地址分配模块为认证成功的用户分配授权使用的IPv6地址区间，(考虑到用户使用不同的地址来标识多个身份的需求，区间可以包含一个或者是多个地址)支持以下两种地址分配方式：

1.静态地址分配：根据用户名可以从静态地址分配表中查出对应的IPv6地址区间

2.动态地址分配：从动态地址池中取出地址区间

IPv6地址分配完以后，将用户名以及分配的IPv6地址信息传给地址管理模块。

IPv6地址管理模块：

数据结构：地址管理表

表格名称	AddressManager
		字段数目	4
字段列表	*IPv6-Address(IPv6地址)
		Username(用户名)
	NAS-IPv6-Address(交换机的IPv6地址)
		NAS-Port-Num(用户访问的交换机端口)

备注	其中*标出的字段为表格的主键

功能：

1.地址管理模块获取到IPv6地址分配模块为用户分配的IPv6地址区间以后，将其和用户名、客户端所连接的真实源地址准入交换机的IPv6地址以及端口关联起来，写入地址管理表中

2.地址管理模块可以根据用户名或者IPv6地址定位到用户接入的交换机以及端口

3.地址管理模块通过简单网络管理协议SNMP，对真实源地址准入交换机进行远程的控制管理

真实源地址过滤模块：

数据结构：源地址绑定表

表格名称	SourceAddressBinding
		字段数目	3
字段列表	*IPv6-Address(IPv6地址)
		MAC-Address(MAC地址)
	NAS-Port-Num(用户访问的交换机端口)
		备注	其中*标出的字段为表格的主键

功能：

1.真实源地址过滤模块从Proxy获取到由真实源地址准入验证服务器分配的IPv6地址区间，将其与客户端的MAC地址以及客户端所连接的交换机端口关联起来，写入源地址绑定表。

2.真实源地址过滤模块在接到端口的IPv6分组以后，会根据源地址绑定表分两步对分组进行过滤。(分组过滤的流程如图表2所示)

第一步：检查IPv6分组的源IPv6地址和源MAC地址是否满足绑定关系；如果不满足，将分组丢弃；如果满足，进入第二步

第二步：检查该IPv6分组是否为邻居发现协议中的查询Neighbor Solicitation分组，或者是邻居通知Neighbor Advertisement分组，若不是，允许分组通过，若是，则检查该分组中属性Target Address以及Target Link-layer Address是否分别对应绑定关系表中IPv6地址和MAC地址，若存在，便允许该IPv6分组通过，否则，便丢弃；如果IPv6分组没有被真实源地址过滤模块丢弃，则进入交换机正常的分组转发流程。

IPv6分组发送模块：

IPv6分组发送模块将客户端的IPv6分组发送到客户端连接的交换机端口。真实源地址准入控制协议的交互流程如图表3所示：

1.Client通过用户界面提取用户名与密码，根据用户名来构造可扩展身份认证协议EAP-Request，发送给Proxy；

2.Proxy接到EAP-Request以后，将EAP-Request、NAS-IPv6-Address(交换机IPv6地址)、NAS-Port-Num(Client连接交换机的端口号)封装在Radius Access Request分组中，发送给Server；

3.Server收到Radius Access Request以后，首先运行身份认证模块对用户的身份进行验证。如果身份认证失败，向Proxy发送Radius Access Reject分组，用户将不允许访问网络；如果身份认证成功，进入步骤4；

4.IPv6地址分配模块根据用户身份信息分配IPv6地址区间，并将其提交给地址管理模块，地址管理模块将对应关系写入地址管理表；

5.Server将分配的IPv6地址区间附加在Radius Access Accept分组中，并发送给发出对应Radius Access Request的Proxy；

6.Proxy收到Server发来的Radius Access Accept分组后，从中取出分配的IPv6地址区间，真实源地址过滤模块将对应关系写入绑定关系表，并将分配的IPv6地址附加在EAP-Success分组中，发送给Client；

7.Client在接收到EAP-Success分组后，将其中的IPv6地址区间解析出来，配置到网络接口，并由IPv6分组发送模块发送IPv6分组；

8.真实源地址准入交换机收到IPv6分组发送模块发送的IPv6分组以后，由真实源地址过滤模块对分组进行过滤。

我们设计了以下的实施环境，如图4所示：

MAC地址为00-02-3F-B6-DC-9A的客户端与真实源地址准入交换机的2号端口相连，真实源地址准入交换机的IPv6分组可以到达真实源地址准入验证服务器。

执行以下的步骤

1.用户test通过真实源地址准入客户端请求身份认证，要求接入网络；

2.身份认证成功以后，真实源地址准入验证服务器为用户分配IPv6地址2001:250:f001:f002:210:5cff:fec7:25，地址管理模块将<2001:250:f001:f002:210:5cff:fec7:25、test、2001:250:f001:f002:210:5cff:fec7:1200、2>写入地址管理表，并将IPv6地址2001:250:f001:f002:210:5cff:fec7:25附加在RadiusAccess Accept分组中发送给Proxy；

3.真实源地址准入交换机将真实源地址准入验证服务器分配的IPv6地址与客户端MAC地址、客户端连接的端口号关联起来，将<2001:250:f001:f002:210:5cff:fec7:25、00-02-3F-B6-DC-9A、2>写入源地址绑定表；

4.真实源地址准入客户端得到服务器分配的地址以后，将其配置到网卡，然后可以发送IPv6分组；

5.当交换机接收到2号端口发送的分组，将分组的对应关系与原来建立的三元组进行比较，如果IPv6分组的源IPv6地址为2001:250:f001:f002:210:5cfi:fec7:25，且MAC地址为00-02-3F-B6-DC-9A，则进入步骤6；否则，IPv6分组将被丢弃。

6.检查该分组是否为ND协议中的Neighbor Solicitation或者是Neighbor Advertisement分组，如果不是，分组允许通过；如果是，检查其中的属性Target Address以及TargetLink-layer Address是否分别为2001:250:f001:f002:210:5cff:fec7:25和00-02-3F-B6-DC-9A。如果都符合，分组允许通过；如果有任何一项不符合，将分组丢弃。

Claims (1)

1.IPv6接入网真实源地址访问的准入控制方法，其特征在于，所述方法是在由真实源地址准入验证服务器、真实源地址准入交换机和真实源地址准入客户端组成的系统中依次按以下步骤实现：

步骤(1)，初始化

在所述真实源地址验证服务器上设置身份认证模块、IPv6地址分配模块、地址管理模块和真实源地址准入控制协议服务器模块，其中：

身份认证模块存有由用户名、用户密码构成的用户账号信息，用以对请求接入网络的用户进行身份认证；

IPv6地址认证模块，其数据结构含有动态地址和静态地址分配表，其中，动态地址表存有暂未使用的待分配IPv6地址区间，而静态地址分配表含有用户名与IPv6地址区间的一一对应关系，以便为认证成功的用户分配授权使用的IPv6地址区间；

地址管理模块，存有地址管理表，其中包含IPv6地址、用户名、交换机的IPv6地址和用户访问的交换机接口，以便在从IP地址分配模块获取到为用户分配的IPv6地址区间后，将该地址区间和用户名、同连接用户端的真实源地址准入交换机的IPv6地址及相应端口相关联，以便地址管理模块通过网络管理协议对所述真实源地址准入交换机进行远程控制管理；

在所述真实源地址准入交换机上设置真实源地址过滤模块以及真实源地址准入控制协议代理模块，其中：

真实源地址过滤模块，存有源地址绑定表，其中包含用户IPv6地址、真实源地址准入客户端MAC地址以及用户访问的所述真实源地址准入交换机的端口号，以便所述代理模块获取由真实源地址准入控制协议服务器模块所分配的用户IPv6地址区间，并将其与所述MAC地址以及用户要访问的所述准入交换机端口关联起来形成源地址绑定表；

在所述真实源地址准入客户端上设置有IPv6分组发送模块和真实源地址准入控制协议客户端模块，其中：

用户IPv6分组发送模块，把收到的用户IPv6分组通过所述准入交换机端口送入真实源地址过滤模块，该模块根据源地址绑定表，检查所述IPv6分组的源IPv6地址和源MAC地址是否分别对应绑定表中的IPv6地址和MAC地址，若不满足，则把该IPv6分组丢弃，若满足，则检查该IPv6分组是否为邻居发现协议中的邻居查询Neighbor Solicitation分组，或者是邻居通知Neighbor Advertisement分组，若不是，允许分组通过，若是，则检查该分组中属性TargetAddress以及Target Link-layer Address是否分别对应绑定关系表中IPv6地址和MAC地址，若存在，便允许该IPv6分组通过，否则，便丢弃；

步骤(2)，系统依次按以下步骤进行准入控制：

步骤(2.1)，客户端模块通过用户界面提取用户名与密码，根据用户名来构造可扩展身份认证协议请求EAP-Request，发送给所述代理模块；

步骤(2.2)，该代理模块收到EAP-Request以后，将该EAP-Request、交换机IPv6地址、客户端连接准入交换机的端口号封装在远程拨入用户服务协议接入请求Radius AccessRequest分组中，发送给所述服务器；

步骤(2.3)，所述验证服务器首先运行身份认证模块，通过用户名及密码对用户的身份进行验证，若失败，便向该代理模块发送远程认证拨入用户服务协议接入拒绝Radius AccessReject分组，不允许访问网络；若成功，进入步骤(2.4)；

步骤(2.4)，IPv6地址分配模块根据身份认证模块提供的用户身份信息分配IPv6地址区间，并将其提交给地址管理模块，地址管理模块将对应关系写入地址管理表；

步骤(2.5)，收到地址管理模块发来的IPv6地址区间信息后，把该地址区间附加在远程认证拨入用户服务协议接入接受Radius Access Accept分组中，并发送给发出对应RadiusAccess Request的代理实体；

步骤(2.6)，该代理实体收到所述服务器发来的Radius Access Accept分组后，从中取出分配的IPv6地址区间，交给真实源地址过滤模块形成对应关系并写入绑定关系表，并将分配的IPv6地址区间附加在可扩展身份认证协议成功EAP-Success分组中，发送给客户端；

步骤(2.7)，客户端在接收到EAP-Success分组后，把其中的IPv6地址区间解析出来，配置到IPv6分组发送模块，IPv6分组模块发送以该IPv6地址为源地址的IPv6分组；

步骤(2.8)，真实源地址过滤模块收到IPv6分组发送模块发送的IPv6分组以后，对分组进行过滤。

Images