KR100424457B1

KR100424457B1 - 디지털 가입자 회선 가입자측 단말장치의 인터넷 프로토콜패킷 필터링방법

Info

Publication number: KR100424457B1
Application number: KR10-2001-0052316A
Authority: KR
Inventors: 이보구
Original assignee: 삼성전자주식회사
Priority date: 2001-08-29
Filing date: 2001-08-29
Publication date: 2004-03-26
Also published as: US7181520B2; TWI282221B; KR20030020038A; CN100474861C; US20030055993A1; CN1402506A

Abstract

본 발명은 퍼스널 컴퓨터(Personal Computer: PC)와 디지털 가입자 회선(xDSL) 간에 연결되는 가입자측 단말장치에서 브릿지 모드로 동작할 때 인터넷 프로토콜(Internet Protocol) 패킷 필터링을 하여 외부 침입을 방지할 수 있는 방법을 제공함에 있다. 이를 위한 본 발명은 xDSL을 통한 PC의 인터넷 액세스에 따라 상대방으로 송신하는 IP 패킷을 분석하여 목적지 IP 어드레스를 검출하는 과정과, 목적지 IP 어드레스를 미리 정해진 허용 테이블에 등록하는 과정과, 이후에 xDSL을 통해 IP 패킷을 수신하면 수신한 IP 패킷의 소스 IP 어드레스를 검출하는 과정과, 소스 IP 어드레스가 허용 테이블에 등록되어 있는지 여부를 검사하여 등록되어 있지 않은 경우에는 해당 IP 패킷을 차단하고 등록되어 있는 경우에만 해당 IP 패킷을 PC로 통과시키는 과정을 구비한다.

Description

디지털 가입자 회선 가입자측 단말장치의 인터넷 프로토콜 패킷 필터링방법{METHOD FOR FILTERING INTERNET PROTOCOL PACKET IN CUSTOMER PREMISE EQUIPMENT OF DIGITAL SUBSCRIBER LINE}

본 발명은 퍼스널 컴퓨터(Personal Computer: PC)와 디지털 가입자 회선(Digital Subscriber Line: DSL) 간에 연결되는 가입자측 단말장치(Customer Premise Equipment: CPE)에 관한 것으로, 특히 인터넷 프로토콜(InternetProtocol: IP) 패킷(packet)을 필터링(filtering)하는 방법에 관한 것이다.

통상적으로 "xDSL"로 표기되는 DSL은 대규모의 고속 인터넷 접속 시장의 수요를 충족시키기 위해 추진되고 있는 고속 모뎀(MODEM)기술로서, 기존의 전화 구리선(twisted pair wire)을 이용해 제한된 거리에서 광대역폭을 지원하는 공중망 기술이다. 이러한 xDSL은 ADSL(Asymmetric Digital Subscriber Line), HDSL(High-bit-rate Digital Subscriber Line), SDSL(Single-line Digital Subscriber Line), SHDSL(Single-Pair High_Speed Digital Subscriber Line), UDSL(Universal Digital Subscriber Line), VDSL(Very-high-data-rate Digital Subscriber Line) 등 여러 종류의 DSL 서비스를 총칭한다.

도 1은 xDSL의 일예로서 통상적인 ADSL의 개략적인 시스템 구성도를 보인 것이다. 도 1에서 전화국(cental office)에 위치되는 ATU-C(ADSL Transceiver Unit-Central)(102)와 가입자 구내에 위치되는 CPE에 해당하는 ATU-R(ADSL Transceiver Unit-Remote)(104)은 기존의 전화선을 이용하는 ADSL(108)을 통해 연결되고, ATU-C(102)는 네트워크(100)에 연결되며, ATU-R(104)은 이더넷 링크(110)를 통해 PC(106)에 연결된다. 그리고 PC(106) 사용자는 ATU-R(104)을 통해 ADSL(108)과 ATU-C(102)를 거쳐 인터넷(Internet)과 같은 네트워크(100)에 접속하게 된다.

한편 ATU-R(104)은 라우트 모드(IP routed mode) 또는 브릿지 모드(brige mode)로 동작하게 되는데, 대부분의 경우 브릿지 모드로 사용된다. 이러한 ATU-R(104)은 라우트 모드에서만 PC(106)에서 송수신되는 IP 패킷을 분석하여 필터링 룰(filtering rule)에 의해 IP 패킷을 제어하였다. 이와 같이 라우트 모드에서만IP 패킷 필터링이 가능하므로, 브릿지 모드에서는 해커(hacker)와 같은 외부 침입자에 대한 모니터링 및 제어가 불가능하다.

상기한 바와 같이 CPE인 ATU-R은 라우트 모드에서만 IP 패킷 필터링이 가능하고 브릿지 모드에서는 외부 침입자에 대한 모니터링 및 제어가 불가능하므로, 브릿지 모드로 동작하는 CPE가 할당받은 IP가 외부에 노출될 경우 외부 침입자로 부터 무방비 상태인 문제점이 있었다.

따라서 본 발명의 목적은 브릿지 모드로 동작하는 CPE에 있어서 IP 패킷 필터링을 하여 외부 침입을 방지할 수 있는 방법을 제공함에 있다.

도 1은 통상적인 ADSL의 개략적인 시스템 구성도,

도 2는 본 발명이 적용되는 통상적인 ATU-R의 블록구성도,

도 3은 본 발명의 실시예에 따른 처리 흐름도,

도 4는 RFC 2516에 따른 이더넷 프레임 포맷도,

도 5는 RFC 791에 따른 IP 헤더 포맷도,

도 6은 RFC 2516에 따른 패킷 포맷도.

상술한 목적을 달성하기 위한 본 발명은 xDSL을 통한 PC의 인터넷 액세스에 따라 상대방으로 송신하는 IP 패킷을 분석하여 목적지 IP 어드레스를 검출하는 과정과, 목적지 IP 어드레스를 미리 정해진 허용 테이블에 등록하는 과정과, 이후에 xDSL을 통해 IP 패킷을 수신하면 수신한 IP 패킷의 소스 IP 어드레스를 검출하는 과정과, 소스 IP 어드레스가 허용 테이블에 등록되어 있는지 여부를 검사하여 등록되어 있지 않은 경우에는 해당 IP 패킷을 차단하고 등록되어 있는 경우에만 해당 IP 패킷을 PC로 통과시키는 과정을 구비함을 특징으로 한다.

이하 본 발명의 바람직한 실시예를 첨부한 도면을 참조하여 상세히 설명한다. 하기 설명 및 첨부 도면에서 본 발명의 요지를 불필요하게 흐릴 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략한다. 또한 xDSL의 하나로서 ADSL에 적용되는 예를 들어 설명한다.

도 2는 본 발명이 적용되는 전술한 도 1에 보인 바와 같은 통상적인 ATU-R(104)의 블록구성도를 보인 것으로, 라인 인터페이스 유니트(200)는 ADSL(108)으로 부터 아날로그 신호를 수신하여 ADSL A-D 변환기(Analog-Digital converter)(204)로 출력하고, ADSL 라인 드라이버(202)를 통해 ADSL A-D 변환기(204)로 부터 입력하는 아날로그 신호를 ADSL(108)으로 송신한다. ADSL A-D 변환기(204)는 라인 인터페이스 유니트(200)로 부터 입력하는 아날로그 신호를 디지털 신호로 변환하여 ADSL DSP(Digital Signal Processor)(206)로 출력하고, ADSL DSP(206)로 부터 입력하는 디지털 신호를 아날로그 신호로 변환하여 ADSL 라인 드라이버(202)로 출력한다. ADSL DSP(206)는 콘트롤 프로세서(208)와 플래쉬 메모리(flash memory)(212) 및 DRAM(Dynamic Random Access Memory)(214)에 연결되어 ATU-R(104)의 DSL(Digital Subscriber Line) 신호 처리 기능을 수행한다. 콘트롤 프로세서(208)는 ADSL DSP(206)와 플래쉬 메모리(212)와 DRAM(214) 및 이더넷 인터페이스 유니트(210)에 연결되어 ATU-R(104)의 주제어장치로서 동작한다. 이더넷 인터페이스 유니트(210)는 이더넷 링크(110)로서 PC(106)에 연결된다. 플래쉬 메모리(212)는 콘트롤 프로세서(208)의 동작 프로그램과 각종 참조 데이터를 저장하며, DRAM(214)는 ADSL DSP(206) 및 콘트롤 프로세서(208)의 동작에 따른 데이터를 일시 저장한다.

도 3은 본 발명의 실시예에 따른 처리 흐름도로서, 본 발명에 따라 상기한 콘트롤 프로세서(208)에서 IP 패킷 필터링 처리를 하는 것을 (300)∼(314)단계로 보인 것이다. ADSL(108)을 통한 PC(106)의 인터넷 액세스에 따라 상대방으로 IP 패킷을 송신하게 되면, 콘트롤 프로세서(208)는 (300)단계에서 이에 응답하여 (302)단계에서 PC(106)로 부터 상대방으로 송신하는 IP 패킷, 즉 이더넷 링크(110)를 통해 수신되는 IP 패킷을 분석하여 목적지 IP 어드레스를 검출하여 확인한다. PC(106)의 인터넷 액세스에 있어서 사용자 PC(106)가 항상 상대방에게 먼저 통신을 요구하는 방식이기 때문에 ATU-R(104)에서는 상대방 IP 어드레스, 즉 목적지 IP 어드레스를 알 수 있다. 이와 같이 확인된 목적지 IP 어드레스를 하기 표 1과 같은 허용 테이블에 등록하고, 통상적인 IP 패킷 송신 처리를 하며 상기한 (300)단계로 되돌아 간다. 하기 표 1의 허용 테이블은 ADSL(108)을 통해 IP 패킷을 수신하는 경우에 있어서 PC(106) 사용자가 통신을 원하는 URL(Uniform Resource Locator), 즉 사용자 PC(106)가 통신을 요구하였던 상대방으로 부터 수신된 IP 패킷만 PC(106)로 통과시키도록 허용하기 위한 IP 어드레스를 참조하는 테이블로서, DRAM(214)에 저장해 놓고 사용한다.

No	IP 어드레스
1	IP 어드레스 1
2	IP 어드레스 2
···	···

이후에 ADSL(108)을 통해 IP 패킷을 수신하는 경우 (306)단계에서 이에 응답하여 (308)단계에서 수신한 IP 패킷의 소스 IP 어드레스를 검출하여 (310)단계에서 상기 표 1의 허용 테이블에 등록되어 있는지 여부를 확인한다. 만일 허용 테이블에 등록되어 있다면 (312)단계에서 통상적인 IP 패킷 수신 처리에 따라 해당 IP 패킷을 이더넷 링크(110)를 통해 PC(106)로 통과시키고 상기한 (300)단계로 되돌아 간다. 이와 달리 소스 IP 어드레스가 허용 테이블에 등록되어 있지 않은 경우에는 해당 IP 패킷을 차단하여 PC(106)로 통과시키지 않고 상기한 (300)단계로 되돌아 간다. 이때 경보를 발생하여 PC(106) 사용자에게 알리도록 한다. 경보를 발생하는 방법의 예를 들면, ATU-R(104)에 구비되는 LED를 점멸시키거나 콘솔 메시지를 PC(106)의 모니터를 통해 디스플레이하도록 하거나 E-메일로 PC(106)로 보낼 수도 있다.

따라서 IP 패킷을 전체적으로 분석하여 처리하는 라우트 모드와 달리 브릿지 모드로 동작하는 ATU-R에 있어서 IP 패킷의 IP 어드레스만 확인하여 IP 패킷 필터링을 함으로써 브릿지 모드의 성능에 크게 영향을 미치지 않고서도 외부 침입을 방지할 수 있게 된다.

한편 ADSL(108)을 통한 PC(106)의 인터넷 액세스에 따라 상대방으로 송신하게 되는 IP 패킷은 도 4와 같은 이더넷 패킷에 포함되어 이더넷 링크(110)를 통해 PC(106)로 부터 ATU-R(104)로 수신되게 된다. 상기한 이더넷 패킷은 2가지 타입, 즉 포인트-투-포인트 프로토콜 오버 이더넷(Point-to-Point Protocol over Ethernet: PPPoE) 세션 스테이지(session stage) 패킷인 경우와, IP 패킷인 경우로 구분된다. 이러한 이더넷 패킷 타입에 따라 이더넷 헤더로 부터 IP 패킷이 시작되는 위치가 달라지게 된다. 그러므로 이더넷 패킷 타입에 따라 이더넷 패킷의 각기 다른 위치에서 목적지 IP 어드레스를 검출해야 한다.

상기한 도 4는 인터넷에 관련된 각종 규격에 대한 문서인 RFC(Request for Comments)중에서 RFC 2516에 따른 이더넷 프레임 포맷도를 보인 것으로, 6옥텟(octets)의 목적지 어드레스 DESTINATION_ADDR, 6옥텟의 소스 어드레스 SOURCE_ADDR, 2옥텟의 이더넷 패킷 타입 ETHER_TYPE로 이루어지는 이더넷 헤더와, 이러한 이더넷 헤더에 뒤이어지는 페이로드 PAYLOAD 및 검사합 CHECKSUM으로 이루어진다. 상기한 이더넷 패킷은 상기한 바와 같이 PPPoE 세션 스테이지 패킷인 경우와, IP 패킷인 경우로 구분되며, 도 4의 이더넷 패킷 타입 ETHER_TYPE값이 0x8864라면 PPPoE 세션 스테이지 패킷을 나타내고, 0x8800이라면 IP 패킷을 나타낸다.

만일 이더넷 패킷 타입이 IP 패킷인 경우에는 도 4와 같은 이더넷 헤더 바로 다음에 도 5와 같은 RFC 791에 따른 포맷의 IP 헤더가 뒤이어진다. 그러므로 이더넷 헤더부터 바로 뒤이어지는 도 5와 같은 IP 헤더로 부터 목적지 IP 어드레스(404)를 검출하면 된다. 도 5에서 참조부호 400을 부여한 숫자 00∼31은 0부터 31까지 비트를 나타낸다.

상기한 바와 달리 이더넷 패킷 타입이 PPPoE 세션 스테이지 패킷이라면, 도 6의 RFC 2516에 따른 포맷에서 길이 필드 LENGTH로 부터 0x???값만큼 다음에 이어지는 위치부터 상기한 도 5와 같은 IP 헤더가 뒤이어진다. 도 6에서 ETHER_TYPE = 0x8864까지가 이더넷 헤더로서 도 4의 이더넷 헤더와 동일하다. 그러므로 이더넷 헤더부터 필드들 v, t, CODE, SESSION_ID의 길이인 6옥텟과 길이 필드 LENGTH의0x???값을 더한 만큼의 일정 옵셋 이후에 IP 헤더가 뒤어지게 된다. 이와 같이 이더넷 패킷 타입이 PPPoE 세션 스테이지 패킷인 경우에는 이더넷 헤더로 부터 일정 옵셋 이후에 뒤이어지는 도 5와 같은 IP 헤더로부터 목적지 IP 어드레스(404)를 검출하면 된다.

그리고 ADSL(108)을 통해 수신되는 IP 패킷으로 부터 소스 IP 어드레스를 검출하는 것은 수신된 IP 패킷의 도 5와 같은 IP 헤더로 부터 소스 IP 어드레스(402)를 검출하면 된다.

한편 상술한 본 발명의 설명에서는 구체적인 실시예에 관해 설명하였으나, 여러가지 변형이 본 발명의 범위에서 벗어나지 않고 실시할 수 있다. 특히 본 발명의 실시예에서는 허용 테이블에 등록되지 않은 IP 패킷이 수신되는 경우 이를 차단함과 아울러 경보를 발생하는 예를 들었으나, 이는 생략할 수도 있을 것이다. 또한 본 발명의 실시예에 따른 IP 패킷 필터링은 사용자가 원하는 경우에만 수행되도록 IP 패킷 필터링 여부를 사용자가 선택적으로 설정하도록 할 수도 있다. 이를 위해 예를 들어 사용자가 PC(106)를 통해 IP 패킷 필터링 여부를 선택하도록 하거나 아니면 ATU-R(104)에 딥 스위치(dip switch)를 설치하여 IP 패킷 필터링 여부를 선택하도록 하면 된다. 그리고 xDSL로서 ADSL의 예를 들어 설명하였으나, 브릿지 모드로 동작하면서 IP 패킷 필터링이 필요한 경우라면 마찬가지로 적용된다. 따라서 발명의 범위는 설명된 실시예에 의하여 정할 것이 아니고 특허청구범위와 특허청구범위의 균등한 것에 의하여 정하여져야 한다.

상술한 바와 같이 본 발명은 브릿지 모드로 동작하며 IP 어드레스를 상대편으로 송신하게 되는 CPE에 있어서 IP 패킷의 IP 어드레스를 확인하여 IP 패킷 필터링을 함으로써 브릿지 모드의 성능에 크게 영향을 미치지 않고서도 외부 침입을 방지할 수 있는 잇점이 있다.

Claims

퍼스널 컴퓨터(PC)와 디지털 가입자 회선(xDSL) 간에 연결되어 브릿지 모드로 동작되는 가입자측 단말장치에서 인터넷 프로토콜(IP) 패킷을 필터링하기 위한 방법에 있어서,

상기 xDSL을 통한 상기 PC의 인터넷 액세스에 따라 상대방으로 송신하는 IP 패킷을 분석하여 목적지 IP 어드레스를 검출하는 과정과,

상기 목적지 IP 어드레스를 미리 정해진 허용 테이블에 등록하는 과정과,

이후에 상기 xDSL을 통해 IP 패킷을 수신하면 수신한 IP 패킷의 소스 IP 어드레스를 검출하는 과정과,

상기 소스 IP 어드레스가 상기 허용 테이블에 등록되어 있는지 여부를 검사하여 등록되어 있지 않은 경우에는 해당 IP 패킷을 차단하고 등록되어 있는 경우에만 해당 IP 패킷을 상기 PC로 통과시키는 과정을 구비함을 특징으로 하는 IP 패킷 필터링방법.
제1항에 있어서, 상기 목적지 IP 어드레스 검출 과정이,

상기 xDSL을 통한 상기 PC의 인터넷 액세스에 따라 상대방으로 송신할 상기 IP 패킷이 포함된 이더넷 패킷을 상기 PC와 연결된 이더넷 링크를 통해 수신하면 이더넷 패킷 타입을 검사하는 과정과,

상기 이더넷 패킷 타입이 포인트-투-포인트 프로토콜 오버 이더넷(PPPoE) 세션 스테이지 패킷을 나타낼 경우에는 이더넷 헤더부터 일정 옵셋 이후에 뒤이어지는 IP 헤더로부터 상기 목적지 IP 어드레스를 검출하는 과정과,

상기 이더넷 패킷 타입이 IP 패킷을 나타낼 경우에는 상기 이더넷 헤더부터 상기 일정 옵셋없이 바로 뒤이어지는 IP 헤더로 부터 상기 목적지 IP 어드레스를 검출하는 과정으로 이루어짐을 특징으로 하는 IP 패킷 필터링방법.
제1항 또는 제2항에 있어서, 상기 소스 IP 어드레스가 상기 허용 테이블에 등록되어 있지 않은 경우에는 경보를 발생하는 과정을 더 구비함을 특징으로 하는 IP 패킷 필터링방법.
제1항에 있어서, 상기한 과정들이 사용자에 의해 IP 패킷 필터링이 설정될 경우에만 수행됨을 특징으로 하는 IP 패킷 필터링방법.