WO2011038624A1 - 一种生成访问控制列表的方法及路由设备 - Google Patents

一种生成访问控制列表的方法及路由设备 Download PDF

Info

Publication number
WO2011038624A1
WO2011038624A1 PCT/CN2010/076483 CN2010076483W WO2011038624A1 WO 2011038624 A1 WO2011038624 A1 WO 2011038624A1 CN 2010076483 W CN2010076483 W CN 2010076483W WO 2011038624 A1 WO2011038624 A1 WO 2011038624A1
Authority
WO
WIPO (PCT)
Prior art keywords
router
routing device
igp
level
address
Prior art date
Application number
PCT/CN2010/076483
Other languages
English (en)
French (fr)
Inventor
张潇潇
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2011038624A1 publication Critical patent/WO2011038624A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]

Definitions

  • the present invention relates to the field of communications, and in particular, to a method and a routing device for generating an access control list.
  • the equipment of the operator generally only forwards the data traffic of the user, and the user does not have the right to access the router of the operator.
  • the IP address of the carrier router is transparent to the outside world. The user can easily obtain the IP address of the carrier router through the technical means of Tracert or other means. With this IP address, the user can easily attack the carrier router. For example: A large number of forged packets are sent to the IP address. The carrier router needs to process a large number of such forged documents, which consumes the processing resources of the router of the operator, and even causes the router to fail to work normally.
  • ACL Access Control List
  • the ACL of the router is manually configured.
  • the ACL is configured to prevent spoofing packets from being attacked when the router receives a large number of attack packets.
  • An object of the embodiments of the present invention is to provide a method for generating an access control list and a routing device, which implement dynamic configuration of an access control list ACL.
  • a method for generating an access control list includes at least two routers, respectively An internal gateway protocol IGP protocol is run between the first router and the second router, where the first router is a border router,
  • the first router receives an IGP packet from the second router, and the internal gateway protocol I G P packet carries an address identifier of the second router;
  • a routing device wherein the routing device is a border router, and the routing device includes: a receiving module 510, which receives an IGP packet, where the IGP packet is from a first router, and carries an address identifier of the first router;
  • the address obtaining module 520 is configured to obtain the address identifier carried in the IGP packet received by the receiving module 510.
  • the list generating module 530 is configured to: according to the address identifier acquired by the address obtaining module 520, a routing system, where the system includes at least two routing devices, which are respectively a first routing device and a second routing device, where The first routing device is a border router.
  • the second routing device sends an IGP packet
  • the first routing device receives the IGP packet from the second routing device, where the IGP packet carries an address identifier of the second routing device, and obtains the address label of the second routing device.
  • the first router obtains the address identifier of the second router by using the internal gateway protocol IGP packet, and generates an ACL forbidden by the ACL according to the address identifier, and dynamically configures the ACL to prevent the fake report. The technical effect of the text.
  • FIG. 1 is a schematic diagram of networking in an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for generating an access control list according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of networking in another embodiment of the present invention.
  • FIG. 4 is a flowchart of another method for generating an access control list according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of a routing device according to an embodiment of the present invention.
  • the border router may be a user border router or an ABR (area border router) or a Level-1-2 router (layer-1-2 router).
  • ABR area border router
  • Level-1-2 router layer-1-2 router
  • the details of the case when the router is the user border router BR or the area border router ABR or Level-1-2 router are as follows:
  • the network includes a router 110, a router 120, a router 130, and a user equipment 140.
  • the router 110, the router 120 and the router 130 are located in the same area, the router 110 and the router 120 are located on the network side, the router 130 is located on the user side, and the router 130 is a user edge router.
  • the router in Figure 1 can be any other network device with a routing function module, such as a Layer 3 switch.
  • the router 130 is taken as an example to describe the method for generating an access control list.
  • the method of the embodiment of the present invention includes:
  • Receive an internal gateway protocol packet specifically: the router 130 receives an internal gateway protocol IGP "3" from the router 120, where the IGP port carries the address identifier of the router 120.
  • the obtaining the address identifier is specifically: the router 130 obtains the address identifier of the router 120 according to the IGP packet received in 201;
  • ACL forbidden entry specifically: generating an ACL forbidden entry with the address identifier as the destination address according to the address identifier obtained in 202.
  • the router 120 may also be a user edge router or an area edge router ABR.
  • the router 130 obtains the address identifier of the router 120 by receiving the internal gateway protocol IGP packet from the router 120, and generates an ACL forbidden entry with the address identifier as the destination address according to the address identifier. , reached a dynamic configuration ACL to block The technical effect of forging a message.
  • the Interior Gateway Protocol (IGP) in this embodiment includes an Open Short Path First (OSPF) protocol and an Intermediate System to Intermediate System (IS-IS). Negotiation.
  • OSPF Open Short Path First
  • IS-IS Intermediate System to Intermediate System
  • the router 110, the router 120, and the router 130 are located in the same OSPF area.
  • 201 may include:
  • the router 130 receives the first type of LSA (Link State Advertisement) message from the router 120.
  • the Link state ID field of the first type of LSA message carries the IP address of the router 120.
  • 202 may include:
  • the router 130 obtains the IP address of the router 120 carried by the first type of LSA packet received in 201.
  • 203 may include:
  • the ACL entry prohibiting entry is generated according to the IP address obtained in 202, including: generating, according to the IP address of the router 120, a forbidden entry with the IP address of the router 120 as the destination IP address, to block the user device 140 from
  • the IP address of the router 120 is the data packet of the destination IP address. For example, when the IP address of the router 120 is 10.1.1.3, an ACL forbidden entry with the destination IP address of 10.1.1.3 is generated, and the router 130 forwards the user from the user. When the data packet of the device 140 is forwarded, it is forbidden to forward the packet with the destination IP address of 10.1.1.3.
  • the router 130 obtains the IP address of the router 120 through the OSPF protocol packet, and generates an ACL forbidden by the ACL according to the IP address, and dynamically configures the ACL to prevent forgery from the user equipment 140.
  • the technical effect of the message is the technical effect of the message.
  • the router 110, the router 120, and the router 130 are located in the same IS-IS area.
  • 201 may include:
  • the router 130 When the router 130 is a Level-1 router (layer-1 router), and the router 120 is a Level-1 router or a Level-1-2 router (layer-1-2 router), it receives Level-1 from the router 120.
  • LSP Level-1 Link State PDU
  • the Level-1 LSP field carries the IP address of the router 120.
  • the TLV (with a value of 132 in the Type field) can be used.
  • Type, length, value) format field carries the IP address of router 120; or
  • the router 130 When the router 130 is a Level-2 router (layer-2 router), and the router 120 is a Level-2 router or a Level-1-2 router, it receives a Level-2 LSP from the router 120 (layer-2 link state data unit) Level-2 Link State PDU ), the Level-2 LSP field carries the router
  • the IP address of 120 may carry the IP address of the router 120 through a TLV format field having a value of 132 in the Type value field;
  • 202 may include:
  • the router 130 obtains the IP address of the router 120 carried in the Level-1 LSP or the Level-2 LSP received in 201.
  • 203 may include:
  • the ACL entry entry is generated according to the IP address obtained in 202, specifically: according to the IP address of the router 120, a forbidden entry with the IP address of the router 120 as the destination IP address is generated to block the user equipment 140 from
  • the IP address of the router 120 is a data packet of the destination IP address.
  • the router 130 obtains the IP address of the router 120 by using the IS-IS protocol packet, and generates an ACL forbidden by the access control list according to the IP address, and dynamically configures the ACL to block the user equipment.
  • the technical effect of the 140 forged message is generated according to the IP address obtained in 202, specifically: according to the IP address of the router 120, a forbidden entry with the IP address of the router 120 as the destination IP address is generated to block the user equipment 140 from
  • the IP address of the router 120 is a data packet of the destination IP address.
  • the above embodiment is described by taking the network topology shown in FIG. 1 as an example, but is not limited to the network topology shown in FIG. 1.
  • FIG. 3 is a simplified schematic diagram of a multi-area network topology in another embodiment of the present invention, including a router 310, a router 320, a router 330, a router 340, a router 350, a router 360, and a user equipment 311.
  • the router 310 and the router 320 are located in the first area
  • the router 340 is located in the second area
  • the router 360 is located in the third area
  • the router 310 is the user edge router.
  • the router 330 and the router 350 are the area edge routers ABR to connect two different OSPF areas;
  • the area shown in the figure is an IS-IS area
  • the second area is a bone.
  • Thousand, first, and third regions are non-bone thousand
  • the device 350 is a Level-1-2 router to connect two bone thousand regions and non-bone thousand regions.
  • the operation of the router 310 is the same as that of the router 130 in the previous embodiment.
  • the router 330 is taken as an example to describe another method for generating an access control list. As shown in FIG. 4, the flow of the technical solution is as follows:
  • the router 330 receives the first type of LSA packets from the adjacent area, and the Link state ID field of the first type of LSA message carries the IP address of the router 320 or the router 340, where the adjacent area is the first area and the second area. ;
  • the router 330 receives the third type of LSA message or the fourth type of LSA message from the non-adjacent area, and the link state ID field of the message carries the IP address of the router 360, wherein the non-adjacent area is the third area.
  • the router 330 receives the Level-1 LSP from the adjacent non-bone area, and the Level-1 LSP carries the IP address of the router 320, where the first area is a non-bone area adjacent to the router 330;
  • the router 330 receives the Level-2 LSP from the backbone area (the second area), and the Level-2 LSP carries the IP address of the router (router 340) in the backbone area or the router in the non-contiguous non-backbone area (router 350) Or the IP address of the router 360), and the third area is a non-bone area that is not adjacent to the router 330.
  • an ACL forbidden entry with the IP address as the destination address is generated to block the data packet from the router 320, and the destination IP address of the data packet is forbidden.
  • the IP address in the entry For example, when the IP address of the router 360 is 10.1.1.3, an ACL forbidden entry with the destination IP address of 10.1.1.3 is generated.
  • the router 330 forwards the data packet from the router 320, the forwarding is prohibited to 10.1.1.3. A packet for the destination IP address.
  • the router 330 obtains the IP address of the router on the network side through the OSPF protocol packet or the IS-IS protocol packet, and generates an ACL forbidding the ACL according to the IP address. To prevent the technical effect of forging messages.
  • an ACL permission entry with the IP address as the source address is generated to allow mutual access between routers in different areas, for example, when the IP address of the router 360 is obtained as 10.1.1.3, An ACL permission entry with the source IP address of 10.1.1.3 is generated.
  • the router 330 forwards the data packet from the router 340, the router can forward the packet with the source IP address of 10.1.1.3, so that the router in the first area can The data message sent by the router 360 in the third area is received, and mutual access between the routers is realized.
  • the role of 404 is to achieve mutual access between routers. If only dynamic configuration ACLs need to be implemented to prevent forgery, 404 can be omitted.
  • a routing device is also provided. As shown in FIG. 5, the routing device is a border router, where the routing device includes:
  • the receiving module 510 is configured to receive an IGP packet, where the IGP packet is sent by the first router, and carries an address identifier of the first router.
  • the address obtaining module 520 is configured to obtain an address identifier carried in the IGP packet received by the receiving module 510.
  • the list generation module 530 is configured to generate an ACL forbidden entry with the address identifier as the destination address according to the address identifier obtained by the address obtaining module 520.
  • the list generating module 530 is further configured to generate an ACL permission entry with the address identifier as the source address according to the address identifier obtained by the address obtaining module 520.
  • the list generating module 530 further The ACL permission entry that uses the address identifier as the source address is generated according to the address identifier obtained by the address obtaining module 520.
  • a routing system is further provided, where the system includes at least two routing devices, which are a first routing device and a second routing device, where the first routing device is a border router, and the second routing device is sent.
  • IGP message is a routing device and a second routing device, where the first routing device is a border router, and the second routing device is sent.
  • the first routing device receives the IGP packet from the second routing device, and the IGP packet carries the address identifier of the second routing device, obtains the address identifier of the second routing device, and generates an ACL forbidden by using the address identifier as the destination address according to the address identifier. Entry.
  • the first routing device 330 is further configured to generate an address according to the address identifier, when the first routing device 330 and the second routing device 360 are located in different areas, and the first routing device 330 is an ABR or a Level-1-2 router.
  • the ACL is allowed to be an entry.
  • the first routing device 130 receives the IGP packet from the second routing device 120, and specifically includes:
  • the first routing device 130 receives the IGP packet from the second routing device 120 as the first type of LSA >3 ⁇ 4 text; or
  • the first routing device 130 receives the IGP packet from the second routing device 120 as a Level-1 LSP; Or when the first routing device 130 and the second routing device 120 are Level-2 routers, the first routing device 130 receives the IGP packet from the second routing device 120 as a Level-2 LSP.
  • the first routing device 330 receives the IGP packet from the second routing device 360, including:
  • the first routing device 330 receives the IGP packet from the second routing device 360.
  • the first routing device 330 receives the IGP message from the second routing device 360 as a third type of LSA message or a fourth type of LSA message. ; or
  • the IGP protocol is the IS-IS protocol
  • the first routing device 330 is a Level-1-2 router
  • the second routing device 360 is a Level-1 router
  • the first routing device 330 receives the IGP packet from the second routing device 360 as a Level-1 LSP
  • the second routing device 360 is a Level-2 router
  • a routing device 330 receives the IGP packet from the second routing device 360 as a Level-2 LSP.
  • the user edge router 130 automatically obtains the IP address of the user-side device through the IGP protocol, and generates an ACL forbidden entry with the IP address as the destination address, and filters the report of the user-side device attempting to access the network-side device (for example, the carrier router). Text, to achieve the purpose of anti-attack.
  • the ACL is dynamically configured to prevent forgery of packets, and a large number of manual operations are avoided.
  • the ACL entry can also be automatically updated when the IP address of the user-side device changes.
  • the embodiments of the present invention can be implemented by means of software plus a necessary general hardware platform, and of course, can also be implemented by hardware.
  • the technical solution of the embodiment of the present invention may be embodied in the form of a software product, which may be stored in a storage medium, such as a ROM/RAM, a magnetic disk, an optical disk, etc., and includes a plurality of instructions for making a A computer device, or server, or other router, performs the methods described in various embodiments of the present invention or in some portions of the embodiments.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

说 明 书
一种生成访问控制列表的方法及路由设备 本申请要求了 2009年 9月 29日提交的，申请号为 200910110725.5发明名 称为 "一种生成访问控制列表的方法及路由设备" 的中国申请的优先权， 其全 部内容通过引用结合在本申请中。 技术领域 本发明涉及通信领域， 特别涉及一种生成访问控制列表的方法及路由设 备。
背景技术 在目前的网络中， 运营商的设备一般都只转发用户的数据流量， 用户没有 访问运营商路由器的权限。 但是目前运营商路由器的 IP地址对外界透明， 用 户可通过 Tracert的技术手段或者其他手段轻易地获取运营商路由器的 IP地 址， 利用该 IP地址， 用户可以轻易地攻击运营商路由器， 例如： 用户可以向 该 IP地址发送大量伪造报文， 由于运营商路由器需要处理大量这种伪造 文， 耗费了运营商路由器的处理资源， 甚至造成路由器无法正常工作。
现有技术中， 可以通过在用户边缘设备手动配置访问控制列表（Access Control list, ACL )解决上述问题。其中，手动配置路由器的访问控制列表 ACL, 具体为： 当路由器收到大量的攻击报文时， 通过手工配置 ACL， 阻止伪造报文 以防止攻击。
在实现本发明的过程中， 发明人发现现有技术至少存在以下问题： 手工配置 ACL工作量大， 配置不方便， 而且网络拓朴变化后， ACL不能 动态配置。
发明内容
本发明实施例的目的是提供一种生成访问控制列表的方法及路由设备， 实 现访问控制列表 ACL的动态配置。
本发明实施例的目的是通过以下技术方案实现的：
一种生成访问控制列表的方法， 网络包括至少两个路由器， 分别为第一路 由器和第二路由器， 所述第一路由器和第二路由器之间运行内部网关协议 IGP 协议， 其中， 所述第一路由器为边界路由器，
所述第一路由器接收来自所述第二路由器的 IGP报文，所述内部网关协议 I G P报文携带所述第二路由器的地址标识；
获取所述第二路由器的所述地址标识；
根据所述地址标识， 生成以所述地址标识为目的地址的访问控制列表禁止 表项。
一种路由设备， 其中， 所述路由设备为边界路由器， 所述路由设备包括： 接收模块 510, 接收 IGP报文， 所述 IGP报文来自第一路由器， 携带所 述第一路由器的地址标识；
地址获取模块 520,用于获取所述接收模块 510接收到的 IGP报文中携带 的所述地址标识；
列表生成模块 530,用于根据所述地址获取模块 520获取的所述地址标识， 一种路由系统， 所述系统包括至少两个路由设备， 分别为第一路由设备和 第二路由设备， 其中， 所述第一路由设备为边界路由器，
所述第二路由设备发送 IGP报文；
所述第一路由设备接收来自所述第二路由设备的所述 IGP报文，所述 IGP 报文携带所述第二路由设备的地址标识， 获取所述第二路由设备的所述地址标 采用本发明实施例的技术方案，第一路由器通过内部网关协议 IGP报文获 取第二路由器的地址标识， 根据所述地址标识， 生成访问控制列表 ACL禁止 表项， 达到了动态配置 ACL以阻止伪造报文的技术效果。
附图说明
图 1为本发明实施例中的组网示意图；
图 2为本发明实施例中的一种生成访问控制列表的方法流程图；
图 3为本发明另一个实施例中的组网示意图；
图 4为本发明实施例中的另一种生成访问控制列表的方法流程图； 图 5为本发明实施例中提供的一种路由设备示意图。
具体实施方式
为了使本发明实施例的目的、 技术方案及优点更加清楚明白， 以下结合附 图及实施例， 对本发明进行进一步详细说明。 应当理解， 此处所描述的具体实 施例仅用以解释本发明， 并不用于限定本发明。
本发明实施例中，边界路由器可以为用户边界路由器或 ABR (区域边界路 由器）或 Level-1-2路由器（层 -1-2路由器）， 为便于说明， 下面的具体实施 例， 将分别就边界路由器为用户边界路由器 BR或区域边界路由器 ABR或 Level-1-2路由器时的情况做详细介绍， 具体如下：
如图 1所示的网络， 该网络包括路由器 110、 路由器 120、 路由器 130和 用户设备 140。
其中， 路由器 110、路由器 120和路由器 130位于同一区域之中， 路由器 110和路由器 120位于网络侧， 路由器 130位于用户侧， 路由器 130为用户 边缘路由器。
其中， 图 1中的路由器可以为其他具备路由功能模块的任何网络设备， 例 如三层交换机等。
下面以路由器 130为例， 对生成访问控制列表的方法进行具体介绍。
如图 2所示， 本发明实施例的方法包括：
201、 接收内部网关协议报文， 具体为： 路由器 130接收来自路由器 120 的内部网关协议 IGP "¾文， 该 IGP才艮文携带路由器 120的地址标识；
202、 获取地址标识， 具体为： 路由器 130根据 201中接收的 IGP报文获 取路由器 120的地址标识；
203、生成访问控制列表禁止表项， 具体为： 根据 202中获取的地址标识， 生成以该地址标识为目的地址的 ACL禁止表项。
上述实施例中， 路由器 120还可以为用户边缘路由器或区域边缘路由器 ABR。 釆用本发明实施例的技术方案， 路由器 130通过接收来自路由器 120 的内部网关协议 IGP报文获取路由器 120的地址标识， 并根据该地址标识， 生成以该地址标识为目的地址的 ACL禁止表项， 达到了动态配置 ACL以阻止 伪造报文的技术效果。
本实施例中的内部网关协议（ Interior Gateway Protocol, IGP ) 包括开放 最短路径优先（Open Short Path First, OSPF )协议和中间系统到中间系统 路由选择 (Intermediate System to Intermediate System , IS-IS)†办议。
上述实施例中， 当内部网关协议为 OSPF 协议时， 路由器 110、 路由器 120和路由器 130位于同一 OSPF区域之中。
举例来说， 上述实施例中， 201可以包括：
路由器 130接收来自路由器 120的第一类 LSA (链路状态通告， Link State Advertisement )报文，该第一类 LSA报文的 Link state ID字段携带路由器 120 的 IP地址。
上述实施例中， 202可以包括：
路由器 130获取 201 中接收的第一类 LSA报文携带的路由器 120的 IP 地址。
上述实施例中， 203可以包括：
根据 202中获取的 IP地址， 生成访问控制列表 ACL禁止表项， 包括： 根据路由器 120的 IP地址， 生成以路由器 120的 IP地址为目的 IP地址 的禁止表项，以阻止来自用户设备 140的以路由器 120的 IP地址为目的 IP地 址的数据报文； 例如： 当获取路由器 120的 IP地址为 10.1.1.3 时， 生成以 10.1.1.3为目的 IP地址的 ACL禁止表项，当路由器 130转发来自用户设备 140 的数据报文时， 禁止转发以 10.1.1.3为目的 IP地址的报文。
采用本发明实施例的技术方案， 路由器 130通过 OSPF协议报文获取路 由器 120的 IP地址， 根据该 IP地址， 生成访问控制列表 ACL禁止表项， 达 到了动态配置 ACL以阻止来自用户设备 140的伪造报文的技术效果。
上述实施例中， 当内部网关协议为 IS-IS协议时，路由器 110、路由器 120 和路由器 130位于同一 IS-IS区域之中。
上述实施例中， 201可以包括：
当路由器 130为 Level-1路由器（层 -1 路由器），且路由器 120为 Level-1 路由器或 Level-1-2路由器（层 -1-2路由器）时，接收来自路由器 120的 Level-1 LSP (层 -1链路状态数据单元， Level-1 Link State PDU ), 该 Level-1 LSP字 段携带路由器 120的 IP地址， 举例来说， 可以通过 Type (类型）字段的数值 为 132的 TLV (类型， 长度， 数值）格式字段携带路由器 120的 IP地址； 或
当路由器 130为 Level-2路由器（层 -2路由器），且路由器 120为 Level-2 路由器或 Level-1-2路由器时， 接收来自路由器 120的 Level-2 LSP (层 -2链 路状态数据单元， Level-2 Link State PDU ), 该 Level-2 LSP字段携带路由器
120的 IP地址， 举例来说， 可以通过 Type数值字段的数值为 132的 TLV格 式字段携带路由器 120的 IP地址；
上述实施例中， 202可以包括：
路由器 130获取 201中接收的 Level-1 LSP或 Level-2 LSP中携带的路由 器 120的 IP地址。
上述实施例中， 203可以包括：
根据 202中获取的 IP地址， 生成访问控制列表 ACL禁止表项， 具体为： 根据路由器 120的 IP地址， 生成以路由器 120的 IP地址为目的 IP地址 的禁止表项以阻止来自用户设备 140的以路由器 120的 IP地址为目的 IP地址 的数据报文。 釆用本发明实施例的技术方案， 路由器 130通过 IS-IS协议报文 获取路由器 120的 IP地址， 根据该 IP地址， 生成访问控制列表 ACL禁止表 项， 达到了动态配置 ACL以阻止来自用户设备 140的伪造报文的技术效果。
上述实施例是以图 1所示的网络拓朴为例进行说明的，但并不限于图 1所 示的网络拓朴。
图 3是本发明另一个实施例中多区域网络拓朴的简化示意图， 包括路由器 310、 路由器 320、 路由器 330、 路由器 340、 路由器 350、 路由器 360和用 户设备 311。 其中， 路由器 310和路由器 320位于第一区域， 路由器 340位 于第二区域， 路由器 360位于第三区域， 路由器 310为用户边缘路由器。 当 如图所示的区域为 OSPF区域时， 路由器 330和路由器 350为区域边缘路由 器 ABR以连通两个不同的 OSPF区域； 当如图所示的区域为 IS-IS区域时， 第二区域为骨千区域、第一区域和第三区域为非骨千区域，路由器 330和路由 器 350为 Level-1-2路由器以连通两个骨千区域和非骨千区域。
本实施例中， 路由器 310的操作与上一个实施例中路由器 130的操作相 同。
下面以路由器 330 为例， 对另一种生成访问控制列表的方法进行具体介 绍， 如图 4所示， 本技术方案的流程如下：
401、 接收内部网关协议报文， 包括：
当如图 3所示的区域为 OSPF区域时，
路由器 330接收来自相邻区域的第一类 LSA报文， 该第一类 LSA报文的 Link state ID字段携带路由器 320或路由器 340的 IP地址， 其中， 相邻区域 为第一区域和第二区域；
或
路由器 330接收来自不相邻区域的第三类 LSA报文或第四类 LSA报文， 该报文的 Link state ID字段携带路由器 360的 IP地址， 其中， 不相邻区域为 第三区域。
当如图所示的区域为 IS-IS区域时，
路由器 330接收来自相邻的非骨千区域的 Level-1 LSP, 该 Level- 1 LSP 携带路由器 320的 IP地址， 其中， 第一区域为与路由器 330相邻的非骨千区 域；
或
路由器 330接收来自骨千区域（第二区域）的 Level-2 LSP,该 Level-2 LSP 携带骨干区域内的路由器（路由器 340 ) 的 IP地址或不相邻的非骨干区域内 的路由器（路由器 350或路由器 360 )的 IP地址， 第三区域为与路由器 330 不相邻的非骨千区域。
402、获取地址标识， 包括路由器 330根据 401中接收的 IGP报文获取 IP 地址；
403、 生成访问控制列表禁止表项， 包括：
才艮据 402中获取的 IP地址， 生成以该 IP地址为目的地址的 ACL禁止表 项， 以阻止来自来自路由器 320的数据报文， 该数据报文的目的 IP地址为禁 止表项中的 IP地址。 例如： 当获取到路由器 360的 IP地址为 10.1.1.3时， 生 成以 10.1.1.3为目的 IP地址的 ACL禁止表项，当路由器 330转发来自路由器 320的数据报文时， 禁止转发以 10.1.1.3为目的 IP地址的报文。
采用本发明实施例的技术方案， 路由器 330通过 OSPF协议报文或 IS-IS 协议报文获取网络侧路由器的 IP地址，根据该 IP地址，生成访问控制列表 ACL 禁止表项， 达到了动态配置 ACL以阻止伪造报文的技术效果。
404、 生成访问控制列表允许表项， 包括：
根据 402中获取的 IP地址， 生成以该 IP地址为源地址的 ACL允许表项， 以允许不同区域的路由器之间的相互访问， 例如： 当获取到路由器 360的 IP 地址为 10.1.1.3时， 生成以 10.1.1.3为源 IP地址的 ACL允许表项， 当路由器 330转发来自路由器 340的数据报文时， 允许转发以 10.1.1.3为源 IP地址的 报文，使得第一区域中的路由器可以接收到第三区域中的路由器 360发送的数 据报文， 实现了路由器间的相互访问。
本流程操作结束。
上述实施例中， 404的作用是为了实现路由器间的相互访问， 如果只需要 实现动态配置 ACL以阻止伪造 文， 404是可以省略的。
上述实施例中， 还提供了一种路由设备， 如图 5所示， 该路由设备为边界 路由器， 其中， 该路由设备包括：
接收模块 510, 接收 IGP报文， 该 IGP报文来自第一路由器， 携带第一 路由器的地址标识；
地址获取模块 520,用于获取接收模块 510接收到的 IGP报文中携带的地 址标识；
列表生成模块 530, 用于根据地址获取模块 520获取的地址标识， 生成以 地址标识为目的地址的 ACL禁止表项。
其中， 当路由设备为 ABR或 Level-1-2路由器时， 列表生成模块 530还 用于根据地址获取模块 520获取的地址标识，生成以地址标识为源地址的 ACL 允许表项。
其中， 当路由设备为 ABR或 Level-1-2路由器时， 列表生成模块 530还 用于根据地址获取模块 520获取的地址标识，生成以地址标识为源地址的 ACL 允许表项。
上述实施例中， 还提供了一种路由系统， 该系统包括至少两个路由 i 备， 分别为第一路由设备和第二路由设备， 其中， 第一路由设备为边界路由器， 第二路由设备发送 IGP报文；
第一路由设备接收来自第二路由设备的 IGP报文， IGP报文携带第二路由 设备的地址标识， 获取第二路由设备的地址标识， 根据地址标识， 生成以地址 标识为目的地址的 ACL禁止表项。
其中， 当第一路由设备 330和第二路由设备 360位于不同区域， 且第一 路由设备 330为 ABR或 Level-1-2路由器时， 第一路由设备 330还用于根据 地址标识， 生成以地址标识为源地址的 ACL允许表项。
其中， 当第一路由设备 130与第二路由设备 120位于同一区域时， 第一 路由设备 130接收来自第二路由设备 120的 IGP报文， 具体包括：
当 IGP协议为 OSPF协议时， 第一路由设备 130接收来自第二路由设备 120的 IGP报文为第一类 LSA >¾文； 或
当 IGP协议为 IS-IS协议， 且第一路由设备 130和第二路由设备 140为 Level-1路由器时，第一路由设备 130接收来自第二路由设备 120的 IGP报文 为 Level-1 LSP; 或当第一路由设备 130和第二路由设备 120为 Level-2路由 器时， 第一路由设备 130接收来自第二路由设备 120的 IGP报文为 Level-2 LSP。
其中， 当第一路由设备 330与第二路由设备 360位于不同区域时， 第一 路由设备 330接收来自第二路由设备 360的 IGP报文， 包括：
当 IGP协议为 OSPF协议时， 且第一路由设备 330 为区域边缘路由器 ABR, 且第二路由设备 360位于相邻区域时， 第一路由设备 330接收来自第 二路由设备 360的 IGP报文为第一类 LSA报文； 或当第二路由设备 360位于 不相邻区域时， 第一路由设备 330接收来自第二路由设备 360的 IGP报文为 第三类 LSA报文或第四类 LSA报文； 或
当 IGP协议为 IS-IS协议时， 且第一路由设备 330为 Level-1-2路由器， 且第二路由设备 360为 Level-1路由器时，第一路由设备 330接收来自第二路 由设备 360的 IGP报文为 Level-1 LSP; 或当第二路由设备 360为 Level-2路 由器时，第一路由设备 330接收来自第二路由设备 360的 IGP报文为 Level-2 LSP。
用户边缘路由器 130, 通过 IGP协议， 自动获取用户侧设备的 IP地址， 生成以该 IP地址为目的地址的 ACL禁止表项， 过滤用户侧设备企图访问网络 侧设备（例如， 运营商路由器）的报文， 达到防攻击的目的。 本发明实施例通 过动态配置 ACL以阻止伪造报文， 避免大量的手工操作。 并且当用户侧设备 的 I P地址变更时， ACL表项也可以自动更新。
通过以上的实施方式的描述， 本领域的普通技术人员可以清楚地了解到本 发明实施例可借助软件加必需的通用硬件平台的方式来实现， 当然也可以通过 硬件来实现。 基于这样的理解， 本发明实施例的技术方案可以以软件产品的形 式体现出来，该计算机软件产品可以存储在存储介质中，如 ROM/RAM,磁碟、 光盘等， 包括若干指令用以使得一台计算机设备、 或者服务器、 或者其他路由 器执行本发明各个实施例或者实施例的某些部分所述的方法。
以上仅为本发明的较佳实施例， 并非用于限定本发明的保护范围。 凡在本 发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本 发明的保护范围之内。

Claims

权 利 要 求 书
1、 一种生成访问控制列表的方法， 其特征在于， 网络包括至少两个路由 器， 分别为第一路由器（ 130, 330, 350)和第二路由器（ 120， 320, 360)， 所述第一路由器（ 130, 330, 350)和第二路由器（ 120, 320, 360)之间运 行内部网关协议 IGP, 其中， 所述第一路由器（ 130, 330, 350)为边界路由 器，
所述第一路由器（130， 330, 350)接收来自所述第二路由器（120， 320, 360) 的 IGP报文， 所述 IGP报文携带所述第二路由器的地址标识；
获取所述第二路由器（ 120, 320, 360) 的所述地址标识；
生成以所述地址标识为目的地址的访问控制列表 ACL禁止表项。
2、 根据权利要求 1所述的方法， 其特征在于， 所述方法还包括， 当所述 IGP为开放最短路径优先 OSPF协议， 且所述第一路由器（330,
350 )为区域边缘路由器 ABR, 或者当所述 IGP为中间系统到中间系统 IS-IS 协议， 且所述第一路由器（330， 350)为层 -1-2 Level-1-2路由器时， 所述第 一路由器生成以所述地址标识为源地址的 ACL允许表项。
3、 根据权利要求 1至 2中任意一项所述的方法， 其特征在于， 当所述第 一路由器 （130) 与所述第二路由器 （120)位于同一区域时， 所述第一路由 器（130)接收来自所述第二路由器（120) 的所述 IGP报文， 包括：
当所述 IGP为开放最短路径优先 OSPF协议时， 所述第一路由器（130) 接收来自所述第二路由器（120) 的第一类链路状态通告 LSA报文； 或
当所述 IGP为中间系统到中间系统 IS-IS协议， 且所述第一路由器（ 130 ) 和所述第二路由器（ 120)为层 -1 Level-1路由器或 Level-1-2路由器时， 所述 第一路由器（130)接收来自所述第二路由器（120) 的层 -1 链路状态数据单 元 Level-1 LSP; 或当所述第一路由器（130)和所述第二路由器（120)为层 -2 Level-2路由器或 Level-1-2路由器时， 所述第一路由器 ( 130)接收来自所 述第二路由器（120) 的层 -2链路状态数据单元 Level-2 LSP。
4、根据权利要求 1或 2所述的方法，其特征在于，当所述第一路由器（ 330, 350)与所述第二路由器（320, 360)位于不同区域时，所述第一路由器（330, 350 )接收来自所述第二路由器（320, 360 ) 的所述 IGP报文， 包括： 当所述 IGP为 OSPF协议， 所述第一路由器（330, 350 )为 ABR, 且所 述第二路由器（320, 360 )位于相邻区域时， 所述第一路由器（330, 350 ) 接收来自所述第二路由器（320, 360 )的第一类 LSA报文； 或当所述第二路 由器 （320, 360 )位于不相邻区域时， 所述第一路由器（330, 350 )接收来 自所述第二路由器（320, 360 ) 的第三类 LSA报文或第四类 LSA报文；
或
当所述 IGP为 IS-IS协议，所述第一路由器（ 330, 350 )为层 1-2 Level-1-2 路由器， 且所述第二路由器（320, 360 )为 Level-1路由器时， 所述第一路由 器（330, 350 )接收来自所述第二路由器（320, 360 ) 的 Level-1 LSP; 或 当所述第二路由器（320, 360 )为 Level-2路由器时， 所述第一路由器（330， 350 )接收来自所述第二路由器（ 320, 360 ) 的 Level-2 LSP.
5、 一种路由设备， 其特征在于， 所述路由设备为边界路由器， 所述路由 设备包括：
接收模块（510 ), 接收 IGP报文， 所述 IGP报文来自第一路由器， 携带 所述第一路由器的地址标识；
地址获取模块 ( 520 ), 用于获取所述接收模块 ( 510 )接收到的 IGP报文 中携带的所述地址标识；
列表生成模块（530 ), 用于根据所述地址获取模块（520 )获取的所述地 址标识， 生成以所述地址标识为目的地址的访问控制列表 ACL禁止表项。
6、根据权利要求 5所述的路由设备，其特征在于，当所述路由设备为 ABR 或 Level-1-2路由器时， 所述列表生成模块（530 )还用于根据所述地址获取 模块 ( 520 )获取的所述地址标识， 生成以所述地址标识为源地址的 ACL允许 表项。
7、 一种路由系统， 其特征在于， 所述系统包括至少两个路由设备， 分别 为第一路由设备（ 130, 330, 350 )和第二路由设备（ 120, 320, 360 ), 其 中， 所述第一路由设备（ 130, 330, 350 )为边界路由器，
所述第二路由设备 ( 120, 320, 360 )发送 IGP报文， 所述 IGP报文携 带所述第二路由设备（ 120, 320, 360) 的地址标识；
所述第一路由设备（ 130, 330, 350)接收来自所述第二路由设备（ 120, 320, 360) 的所述 IGP报文， 获取所述第二路由设备（ 120, 320, 360) 的 所述地址标识， 生成以所述地址标识为目的地址的访问控制列表 ACL禁止表 项。
8、根据权利要求 7所述的系统，其特征在于， 当所述第一路由设备（330, 350)为 ABR或 Level-1-2路由器时， 所述第一路由设备（ 330, 350)还用于
9、 根据权利要求 7至 8中任意一项所述的系统， 其特征在于， 当所述第 一路由设备（130)与所述第二路由设备（120)位于同一区域时， 所述第一 路由设备 (130)接收来自所述第二路由设备 ( 120)的所述 IGP报文， 包括： 当所述 IGP协议为 OSPF协议时， 所述第一路由设备 (130)接收来自所 述第二路由设备 ( 120)的所述 IGP报文为第一类 LSA报文； 或
当所述 IGP协议为 IS-IS协议， 且所述第一路由设备 (130)和所述第二 路由设备（ 140 )为 Level-1路由器时， 所述第一路由设备 ( 130)接收来自所 述第二路由设备（ 120)的所述 IGP报文为 Level-1 LSP; 或当所述第一路由 设备（ 130 )和所述第二路由设备（ 120 )为 Level-2路由器时， 所述第一路由 设^ 130 )接收来自所述第二路由设^ 120 )的所述 IGP报文为 Level-2 LSP。
10、根据权利要求 9所述的系统，其特征在于，当所述第一路由设备（ 330, 350)与所述第二路由设备（320, 360)位于不同区域时， 所述第一路由设备
(330, 350)接收来自所述第二路由设备（320, 360 )的所述 IGP报文， 包 括：
当所述 IGP协议为 OSPF协议时， 所述第一路由设备（330, 350 )为区 域边缘路由器 ABR, 且所述第二路由设备（320, 360)位于相邻区域时， 所 述第一路由设备（330, 350)接收来自所述第二路由设备 (320, 360) 的所 述 IGP报文为第一类 LSA报文； 或当所述第二路由设备（320， 360)位于不 相邻区域时，所述第一路由设备（330, 350)接收来自所述第二路由设备（320, 360) 的所述 IGP报文为第三类 LSA报文或第四类 LSA报文； 或 当所述 IGP 协议为 IS-IS 协议时， 所述第一路由设备（330, 350) 为 Level-1-2路由器， 且所述第二路由设备（320, 360)为 Level-1路由器时， 所述第一路由设备（330, 350)接收来自所述第二路由设备 (320, 360) 的 所述 IGP报文为 Level-1 LSP;或当所述第二路由设备（ 320, 360 )为 Level-2 路由器时， 所述第一路由设备（330, 350)接收来自所述第二路由设备（320, 360 ) 的所述 IGP报文为 Level-2 LSP。
PCT/CN2010/076483 2009-09-29 2010-08-31 一种生成访问控制列表的方法及路由设备 WO2011038624A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2009101107255A CN101667965B (zh) 2009-09-29 2009-09-29 一种生成访问控制列表的方法及路由设备
CN200910110725.5 2009-09-29

Publications (1)

Publication Number Publication Date
WO2011038624A1 true WO2011038624A1 (zh) 2011-04-07

Family

ID=41804410

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/076483 WO2011038624A1 (zh) 2009-09-29 2010-08-31 一种生成访问控制列表的方法及路由设备

Country Status (2)

Country Link
CN (1) CN101667965B (zh)
WO (1) WO2011038624A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10560456B2 (en) * 2015-06-03 2020-02-11 Huawei Technologies Co., Ltd. Method, apparatus, and system for collecting access control list

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101667965B (zh) * 2009-09-29 2011-08-24 华为技术有限公司 一种生成访问控制列表的方法及路由设备
CN102457407B (zh) * 2010-10-30 2014-11-05 华为技术有限公司 检测自治系统内ip地址冲突的方法及设备
CN104754074A (zh) * 2015-03-31 2015-07-01 江苏恒信和安电子科技有限公司 一种自转换网段路由器
CN106549910A (zh) * 2015-09-17 2017-03-29 中兴通讯股份有限公司 一种源防护ipsg接入控制的方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1714541A (zh) * 2002-11-22 2005-12-28 索尼株式会社 信息处理装置、服务器客户机系统和方法以及计算机程序
CN101110731A (zh) * 2007-06-20 2008-01-23 中兴通讯股份有限公司 一种防止网络中的媒介接入控制地址欺骗的方法及装置
CN101453413A (zh) * 2007-12-04 2009-06-10 华为技术有限公司 一种pbb网络中自动拓扑发现及资源管理的方法和装置
CN101667965A (zh) * 2009-09-29 2010-03-10 华为技术有限公司 一种生成访问控制列表的方法及路由设备

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1714541A (zh) * 2002-11-22 2005-12-28 索尼株式会社 信息处理装置、服务器客户机系统和方法以及计算机程序
CN101110731A (zh) * 2007-06-20 2008-01-23 中兴通讯股份有限公司 一种防止网络中的媒介接入控制地址欺骗的方法及装置
CN101453413A (zh) * 2007-12-04 2009-06-10 华为技术有限公司 一种pbb网络中自动拓扑发现及资源管理的方法和装置
CN101667965A (zh) * 2009-09-29 2010-03-10 华为技术有限公司 一种生成访问控制列表的方法及路由设备

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10560456B2 (en) * 2015-06-03 2020-02-11 Huawei Technologies Co., Ltd. Method, apparatus, and system for collecting access control list
US11489836B2 (en) 2015-06-03 2022-11-01 Huawei Technologies Co., Ltd. Method, apparatus, and system for collecting access control list

Also Published As

Publication number Publication date
CN101667965B (zh) 2011-08-24
CN101667965A (zh) 2010-03-10

Similar Documents

Publication Publication Date Title
Kompella et al. Virtual private LAN service (VPLS) using BGP for auto-discovery and signaling
Kompella et al. Label switched paths (LSP) hierarchy with generalized multi-protocol label switching (GMPLS) traffic engineering (TE)
JP7373560B2 (ja) 相乗的なｄｎｓセキュリティ更新
EP2869512B1 (en) Dynamic area filtering for link-state routing protocols
EP1463239B1 (en) Method and apparatus for protection of network infrastructure and for secure communication of control information
Levy-Abegnoli et al. IPv6 router advertisement guard
US7373660B1 (en) Methods and apparatus to distribute policy information
US9178801B1 (en) Automated service discovery in computer networks
FI118619B (fi) Menetelmä ja järjestelmä tiedon salaamiseksi ja tallentamiseksi
US10447653B2 (en) Trusted routing between communication network systems
EP3462688B1 (en) Method, apparatus and system for processing flowspec message
WO2017107814A1 (zh) 一种传播QoS策略的方法、装置及系统
Le Roux Requirements for path computation element (PCE) discovery
CN111064596B (zh) 对于用于多宿主节点故障的bum流量的节点保护
Harrison et al. IPv6 Traffic Engineering in IS-IS
JP2007336545A (ja) データ転送方法及びデータ転送制御装置
WO2011038624A1 (zh) 一种生成访问控制列表的方法及路由设备
US20230308391A1 (en) Communication of policy changes in lisp-based software defined networks
EP2717519B1 (en) Method and apparatus for transferring bootstrap message
Sajassi et al. Requirements for ethernet vpn (evpn)
WO2006131058A1 (fr) Procede et dispositif assurant la securite d'un reseau federateur
WO2013159694A1 (zh) 一种标签分配方法、设备与系统
Bitar et al. Requirements for Multi-Segment Pseudowire Emulation Edge-to-Edge (PWE3)
WO2007033541A1 (fr) Procede de realisation de securisation du reseau par segmentation le ttl
WO2008017255A1 (fr) Procédé et dispositif pour réaliser une vérification de trajet inverse d'envoi individuel

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10819853

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10819853

Country of ref document: EP

Kind code of ref document: A1