WO2011041964A1 - 一种网络设备管理的方法、网络系统及网络接入节点 - Google Patents

一种网络设备管理的方法、网络系统及网络接入节点 Download PDF

Info

Publication number
WO2011041964A1
WO2011041964A1 PCT/CN2010/075945 CN2010075945W WO2011041964A1 WO 2011041964 A1 WO2011041964 A1 WO 2011041964A1 CN 2010075945 W CN2010075945 W CN 2010075945W WO 2011041964 A1 WO2011041964 A1 WO 2011041964A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
data packet
user terminal
identity
network
Prior art date
Application number
PCT/CN2010/075945
Other languages
English (en)
French (fr)
Inventor
张世伟
符涛
许志军
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2011041964A1 publication Critical patent/WO2011041964A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • Network device management method Network system and network access node
  • the present invention relates to the field of communications technologies, and in particular, to a network device management method, a network system, and a network access node.
  • the IP address in the Transmission Control Protocol/Internet Protocol (TCP/IP) protocol which is widely used in the Internet, has a dual function, and serves as the location identifier of the network interface of the communication terminal host network layer in the network topology. And as the identity of the transport layer host network interface.
  • the design of the TCP/IP protocol did not take into account the situation of host mobility at the beginning, but when host mobility became more and more common, the semantic overload defects of such IP addresses became increasingly apparent.
  • the IP address of the host changes, not only the route changes, but also the identity of the host of the communication terminal changes. As a result, the routing load becomes heavier and the change of the host identity causes the application and connection to be interrupted.
  • the purpose of identification and location separation is to solve the problem of semantic overload of IP address and serious routing load, security, etc., to separate the dual functions of IP address, realize dynamic redistribution of mobility, multiple townships, and IP addresses. Support for mitigating routing load and mutual visits between different network areas in the next generation Internet.
  • a network architecture in which multiple identity and location identifiers are separated has been proposed, including a Host Identity Protocol (HIP), a Locate Identity Split Protocol (LISP), and a identifiable identity.
  • HIP Host Identity Protocol
  • LISP Locate Identity Split Protocol
  • ZTE Corporation ZTE Corporation
  • Figure 1 shows the architecture of the identity and location separation network.
  • the user identity and location separation network is referred to as SILSN (Subscriber Identifier & Locator Separation Network)
  • the traditional Internet is referred to as LIN (legacy Internet Network).
  • the SILSN includes an Access Service Node (ASN), a User Equipment (UE), and an Identity Location Register (Identification & Location). Register, ILR), Inter-working Service Node (ISN) and Route Terminal (RT).
  • ASN is used to implement the access of the UE and bear the functions of charging and switching.
  • the ILR is responsible for the location registration and identity of the user, which is also called the authentication server.
  • the ISN is used for interworking with the traditional Internet, and the ISN and ASN are in the physical. It can also be set up in one place; RT is the data exchange or routing device in the core network.
  • UE1 and UE2 are both users of SILSN.
  • a network composed of network nodes such as ASN, ILR, ISN, and RT is referred to as a core network of SILSN, and nodes ASN, ILR, ISN, and components constituting the core network are The RT network node is called the core network node.
  • the core network nodes respectively correspond to nodes having the same or similar functions.
  • the attack of the core network by the common user terminal must be prevented.
  • the core network node in the SILSN must be able to perform network management.
  • the technical problem to be solved by the present invention is to provide a network device management method, a network system, and a network access node, which prevent an ordinary user terminal from accessing or attacking a core network node.
  • the data packets sent by the UE1 can be classified into the following three types: Type 1: Sending from one user terminal of the SILSN to another of the SILSN.
  • Type 2 A core network node from the SILSN to a core network node of the SILSN, such as UE1->ASN2;
  • Type 3 from a user terminal of the SILSN to a node located in the LIN For example, from a user terminal of the SILSN to an Internet Service Provider (ISP) in the LIN, such as UE1->ISP1, or from a user terminal of the SILSN to a user terminal of the LIN network, such as UE1->UE10;
  • ISP Internet Service Provider
  • the core network node only serves to encapsulate and forward, and does not parse the actual content of the data packet, so the data of type one and type three
  • the packet in addition to affecting the performance of the core network of the SILSN, does not significantly affect the security of the core network node; but for the type 2 packet, the final destination of the data packet sent by the user terminal is the core network. Node, therefore, the core network node not only needs to parse the content of the data packet, but also performs corresponding processing according to the content of the data packet; that is, this type of data packet provides a means for the user terminal to directly access the core network node.
  • the core network node of the SILSN allows the user terminal to directly access, the security of the core network node is reduced. Therefore, in order to ensure the security of the core network, the general user is not allowed to issue this packet type in the SILSN, and is only provided to the network administrator with special permission for network management.
  • SILSN is used to set up a private network (such as military network or public security network)
  • the permissions of its ordinary user terminal can be restricted to only send type 1 packets, so that the user terminal and the external can be
  • the network is absolutely separate, which fundamentally guarantees the security of information.
  • the SILSN is used for the establishment of a general network (such as a corporate network), in order for the user to get the best network experience, the user should be given direct access to the Internet, thus requiring the user terminal to issue a type 3 packet.
  • the core network node of the SILSN can be embedded in the LIN and assigned a LIN address (ie, an Internet public address), so that when the user terminal UE1 of the SILSN accesses a common node of the LIN, UE1 should send
  • the identity of the communication peer is the data packet of the LIN common node (such as the identity of the communication peer is ISP1 or UE10 in Figure 1).
  • the node address of the core network of SILSN is also a node of LIN
  • the destination of the type 3 packet sent by user UE1 is just the core network node address of SILSN, not the ordinary node address of LIN, this should be sent to LIN.
  • the data is sent to the core network node of the SILSN, so that the ordinary user terminal may use the type 3 packet to achieve the effect of the type 2 packet, that is, the ordinary user terminal can send the data packet that only the network administrator can send, thereby SILSN's core network security poses a hazard.
  • the UE In order to protect the security of the SILSN core network node, the UE must be prevented from initiating such an attack.
  • the ASN node when processing the third type of data packet, the ASN node must identify the data sent by the user terminal.
  • the identity of the communication peer of the packet is sent to LIN, or to the core network node of the SILSN, and then processed according to the user's authority to protect the security of the core network node.
  • the present invention provides a network device management method, including: storing, in an access node, a core network node address of a first network, where the core network node includes at least an access node and an authentication node; and accessing
  • the node receives the data packet sent by the user terminal, extracts the identity of the communication peer end in the data packet, searches for the identity of the communication peer end in the core network node address, and searches the data packet according to the search result and the identity authority of the user terminal. Forward or exception handling.
  • the core network node also includes an interworking node, and a data exchange or routing node.
  • the first network is a network frame (SILSN) with an identity and a location separated; the access node is an access service node; the interworking node is an interconnected service node (ISN), and the data exchange or routing node is a transit device ( RT).
  • the exception processing is that the access node discards the data packet, logs the user behavior into the alarm, performs an alarm according to the situation, or blocks one or several of the users.
  • the data packet sent by the user terminal includes: a core network node sent from a user terminal of the first network to the first network, which is called type 2; and is sent from a user terminal of the first network. To a node or user of the second network, called type three.
  • the method further includes: the accessing The node distinguishes, according to the received data packet format, that the data packet is a type three data packet;
  • the steps of forwarding or abnormal processing the data packet according to the search result and the identity right of the user terminal include: The access node searches for the identity of the communication peer in the core network node address: if found, performs exception processing, and ends; if not found, the user terminal is an ordinary user terminal, and the access The node transmits the data packet to the second network through the interworking node. After the data packet of the type 2 is different from the data packet of the type 3, after the step of receiving the data packet sent by the user terminal, the method further includes: the accessing The node distinguishes, according to the received data packet format, the data packet as a type 2 data packet;
  • the step of forwarding or abnormally processing the data packet according to the search result and the identity right of the user terminal includes: the access node searching for the identity of the communication peer end in the core network node address: if not found, performing an abnormality Processing, ending; if found, the access node extracts the identity authority of the user terminal, and determines whether the user terminal has network administrator authority according to the extracted identity authority: if not, performs exception processing, and ends; The access node forwards the data packet to a core node corresponding to the identity of the communication peer end.
  • the data packet of the type 2 and the data packet of the type 3 are in the same data packet format; the step of forwarding or abnormal processing the data packet according to the search result and the identity authority of the user terminal includes: the access node Locating the identity of the communication peer in the core network node address: if not found, the access node forwards the data packet to the second network through the interworking node, and ends; if found, the connection
  • the ingress node extracts the identity authority of the user terminal, and determines whether the user terminal has the network administrator authority according to the extracted identity authority: If not, the exception processing is performed, and if yes, the access node forwards the data packet to the core node corresponding to the identity of the communication peer.
  • the identity right of the user terminal is transmitted from the authentication node to the access node registered by the user terminal when the user terminal is registered, and is saved in the user context of the user terminal.
  • the method further includes: the access node extracting a core network node address manageable by the administrator user; and the access node determining the user Whether the identity of the communication peer of the data packet sent by the terminal is in the core network node address manageable by the administrator user, and if yes, the access node performs forwarding of the data packet to the corresponding core network node, if If not, exception handling is performed.
  • the core network node address manageable by the user terminal is transmitted from the authentication server to the access node registered by the user terminal when the user terminal is registered, and is saved in the user context of the user terminal; or After the access node determines that the user terminal has administrator rights, it interacts with the authentication server to obtain a core network node address manageable by the user terminal.
  • the core network node address is configured by the network management system and then sent to the access node.
  • the present invention further provides a network system, where the network system includes a core network and a user terminal; the core network includes an access node and an authentication node; wherein the user terminal is configured to: The access node sends a data packet, where the identifier of the communication peer end is included; the access node is configured to: save the core network node address of the core network, and after receiving the data packet sent by the user terminal, extract the data packet The identity of the communication peer in the core network is searched for the identity of the communication peer in the core network node address, and the data packet is forwarded or abnormally processed according to the search result and the identity authority of the user terminal.
  • the core network also includes interworking nodes, as well as data exchange or routing nodes.
  • the network system is a network architecture (SILSN) with identity and location separation; the access node is an access service node; the interworking node is an interconnection service node (ISN), and the data exchange or routing node is a transit device (RT) ).
  • the data packet sent by the user terminal includes: a core network node sent from a user terminal of the network system to the network system, which is called type 2; and is sent from one user terminal of the network system to another network system. A node or user, called type three.
  • the data packet of the type 2 is different from the data packet of the type 3; the access node is further configured to: distinguish the data packet from the type three according to the received data packet format.
  • the access node is configured to forward or abnormally process the data packet according to the search result and the identity right of the user terminal in the following manner: the access node searches for the communication pair in the core network node address The identity of the terminal, if found, performs exception handling, and ends; if not found, the user terminal is a normal user terminal, and the access node sends the data packet to other network systems through the interworking node.
  • the data packet of the type 2 is different from the data packet of the type 3; the access node is further configured to: distinguish the data packet from the type three according to the received data packet format.
  • the data packet; the access node is configured to forward or abnormally process the data packet according to the search result and the identity right of the user terminal as follows:
  • the access node searches for the identity of the communication peer in the core network node address: if not found, performs exception processing, and ends; if found, the access node extracts identity rights of the user terminal, And determining, according to the extracted identity rights, whether the user terminal has network administrator rights: If not, the exception processing is performed, and if yes, the access node forwards the data packet to the core node corresponding to the identity of the communication peer.
  • the data packet of the type 2 and the data packet of the type 3 are in the same data packet format; the access node is configured to forward the data packet according to the search result and the identity permission of the user terminal as follows or Exception processing: the access node searches for the identity of the communication peer in the core network node address: if not found, the access node forwards the data packet to the second network through the interworking node, and ends If found, the access node extracts the identity authority of the user terminal, and determines whether the user terminal has network administrator authority according to the extracted identity authority: if not, performs exception processing, and ends; if yes, The access node forwards the data packet to a core node corresponding to the identity of the communication peer.
  • the authentication node is configured to: save user terminal attribute information; and when the user terminal registers, transfer the identity right of the user to the access node registered by the user terminal; the access node is further configured to: Identity permissions are saved in this user context.
  • the access node is further configured to: extract a core network node address manageable by the administrator user, and determine whether the identity identifier of the communication peer end of the data packet sent by the user terminal is in a core network node manageable by the administrator user In the address, if the packet is forwarded to the destination core network node, if no exception handling is performed.
  • the authentication node is further configured to: when the administrator user registers, pass the core network node address manageable by the administrator user to the access node registered by the user terminal, or interact with the access node
  • the core network node address manageable by the administrator user is transmitted to the access node registered by the user terminal; the access node is further configured to: save the core network node address manageable by the administrator user in the In the user context of the user terminal, or after determining that the user terminal has administrator rights, interact with the authentication server to obtain a core network node address manageable by the user terminal.
  • the access nodes are Serving GPRS Support Nodes (SGSNs), Gateway GPRS Support Nodes (GGSNs), Packet Data Service Nodes (PDSNs), and Broadband Access Servers (BRAS) devices.
  • the authentication node is a Key Management System (KMS), a Home Location Register (HLR), a Home Subscriber Server (HSS), an Authorization/Authentication/Accounting Server (AAA), or other end-to-end key management and
  • the present invention further provides a network access node, comprising: a receiving module, configured to: receive a data packet sent by a user terminal, and send the data packet to an identity recognition module, where the data packet includes communication The identity of the peer;
  • a storage module configured to: save a core network node address of the core network; and a processing module, configured to: after receiving the data packet sent by the user terminal, extract an identity of the communication peer end in the data packet, where The core network node address stored by the storage module searches for the identity of the communication peer, and forwards or abnormally processes the data packet according to the search result and the identity permission of the user terminal.
  • the core network node address includes: an address of the access node, an address of the authentication node, an address of the interworking node, and an address of the data exchange or routing node.
  • the access node is an access node in a network architecture (SILSN) with identity and location separation; the access node is an access service node.
  • SILSN network architecture
  • the data packet sent by the user terminal includes: a core network node sent from a user terminal of the network system to the network system, which is called type 2; and a node sent from one user terminal of the network system to another node of the network system or User, called type three.
  • the data packet of the type 2 is different from the data packet of the type 3; the processing module is further configured to: distinguish the data packet according to the format of the received data packet.
  • the processing module is configured to forward or abnormally process the data packet according to the search result and the identity authority of the user terminal as follows: the processing module searches for the communication in the core network node address The identity of the peer end, if found, performs exception handling, and ends; if not found, the user terminal is a normal user terminal, and the processing module sends the data packet to other network systems through the interworking node.
  • the data packet of the type 2 is different from the data packet of the type 3; the processing module is further configured to: distinguish, according to the received data packet format, the data packet as the type three data.
  • the processing module is configured to forward or abnormally process the data packet according to the search result and the identity right of the user terminal in the following manner: the processing module searches for the identity of the communication peer in the core network node address If the fault is not found, the exception processing is performed, and if it is found, the processing module extracts the identity authority of the user terminal, and determines whether the user terminal has the network administrator authority according to the extracted identity authority: If not, Performing exception processing, ending; if yes, the processing module forwards the data packet to a core node corresponding to the identity of the communication peer.
  • the data packet of the type 2 and the data packet of the type 3 are in the same data packet format; the processing module is configured to forward or abnormally forward the data packet according to the search result and the identity permission of the user terminal as follows: Processing: the processing module searches for the identity of the communication peer in the core network node address: if not found, the processing module forwards the data packet to the second network through the interworking node, and ends; The processing module extracts the identity rights of the user terminal, and extracts according to the The identity authority determines whether the user terminal has network administrator authority: if not, performs exception processing, and ends; if yes, the processing module forwards the data packet to the core node corresponding to the identity of the communication peer.
  • the receiving module is further configured to: receive an identity right of the user that is sent by the authentication node when the user terminal is registered, and send the identity permission to the storage module; the storage module is further configured to: save the identity right of the user in the user context in.
  • the processing module is further configured to: extract a core network node address manageable by an administrator user, and determine whether the identity of the communication peer end of the data packet sent by the user terminal is at a core network node address manageable by the administrator user If the packet is forwarded to the destination core network node, if no exception handling is performed.
  • the receiving module is further configured to: receive an address of a core network node that can be managed by an administrator user that is transmitted by the authentication node when the administrator user is registered, or exchange an administrator user that is transmitted by the authentication node with the authentication node.
  • a manageable core network node address ; the storage module is further configured to: save a core network node address manageable by an administrator user in a user context of the user terminal, or save the processing module to determine that the user terminal has After the administrator authority, the core network node address manageable by the user terminal obtained when the receiving module interacts with the authentication server.
  • the access node is a serving general wireless packet service support node (SGSN:), a gateway general wireless packet service support node (GGSN), a packet data service node (PDSN), and a broadband access server (BRAS) device.
  • SGSN serving general wireless packet service support node
  • GGSN gateway general wireless packet service support node
  • PDSN packet data service node
  • BRAS broadband access server
  • the network system and the network access node effectively prevent the ordinary user from accessing the core network node, thereby preventing the ordinary user from attacking the core network node.
  • the administrator authority user can access a specific core network node, which facilitates the network administrator to manage the SILSN network, and ensures that the administrator user terminal normally accesses the core network node.
  • the administrator cannot access the unauthorized core network node, and the administrator of one core network node is prevented from borrowing the administrator authority. Hit another core network node.
  • FIG. 1 is an architecture of an identity identification and location separation network
  • FIG. 2 is a flowchart of a data packet processing of type 3 when Type 2 and Type 3 packets are different in an application example of the present invention
  • the flow chart of the type 2 packet processing is different
  • FIG. 4 is the application example of the type 2 and the type 3 when the data packet format is the same for the type 3 Flowchart when the packet is processed.
  • the address of the core network node to be delivered is updated in real time, and the address of the core network node sent to the access node is updated by means of manual configuration and delivery.
  • the core network node address can be stored in the core network node table (CNNT), and can also be saved in other manners. This embodiment is described by CN T.
  • the core network node address can be an IP address.
  • the core network node may also include an interworking node and a data exchange or routing node, and may also include other network nodes.
  • the access node is an ASN
  • the authentication node is an ILR
  • the interworking node is an ISN
  • the data exchange or routing node is RT.
  • the ASN is a logical entity, and may be a serving general wireless packet service support node (Serving)
  • GPRS Support Node SGSN
  • Gateway GPRS Support Node Gateway GPRS Support Node, GGSN
  • Packet Data Serving Node PDSN
  • Broadband Remote Access Server BRAS
  • the access node After receiving the data packet sent by the user terminal, the access node first extracts the identity of the communication peer end in the data packet, and then searches for the identity of the communication peer end in the core network node address, according to the search result. The packet is processed. If the identity of the communication peer is not found in the core network node address, the user is sending a data packet to the LIN, and the access node forwards the data packet normally; if the identity of the communication peer is found in the core network node address, It means that the user does not send the data packet to the LIN node, but sends the data packet to the SILSN core network node. At this time, it is further determined whether the user has the administrator authority. If there is the administrator authority, the user performs the processing according to the corresponding authority.
  • the three types of data packets sent by UE1 may be the same or different.
  • the terminal is the simplest and can be compatible with the original terminal, but the ASN receives. It is necessary to distinguish the identity range of the communication peer, which brings some complexity.
  • the type 1 data packet has a distinguishing method and does not affect the core network node. In this embodiment, Assuming that Type 1 packets have been excluded, only how to distinguish between Type 2 and Type 3 packets is prevented, and users are prevented from attacking core network nodes by using Type 2 and Type 3 packets. Among them, the type 1 packet differentiation is distinguished in the ASN, mainly to query the ILR whether the identity of the communication peer can be found.
  • the identity of the communication peer is generally in the AID format. If the IP address is used without using the AID format, a special IP address is used, and the ASN only needs to analyze whether the identity of the communication peer is in the section. The IP address is fine.
  • the data packets of type 2 and type 3 can be used in the IPV4/IPV6 packet format, and of course other data formats to simplify terminal processing.
  • the ASN first checks the identity of the communication peer of the data packet, and if it is the core network node address, it considers it to be the type 2 data packet.
  • the ASN can directly send the packet to the ISN for processing; for the type 2 packet, in order to ensure that the administrator can use it normally, the ASN can further check the authority of the UE that sends the packet, when the UE has Administrator authority, in order to limit the administrator rights, the ASN further checks whether the address of the core network node managed by the administrator includes the identity of the communication peer of the data packet, and if the identity of the communication peer is included, Normally forwarded to the corresponding SILSN core network node, if not included, the data packet is discarded; if the UE transmitting the data packet does not have administrator rights, then the user behavior of the UE has constituted an attempt to attack the core network node, and the ASN may This user behavior is saved in the log, and then the data packet is discarded.
  • the SILSN network can also configure the above three types of data packets to be processed in different formats, which is mostly used when all newly developed user terminals are used for networking, and three types of data are used. Different formats can better utilize the advantages of the SILSN network and reduce the ASN processing burden.
  • the processing of the ASN is relatively simple, and only needs to distinguish each type of data packet according to the data packet format. If it is a type 2 data packet, look up the communication pair of the data packet in the CCNT.
  • End identity if found, further sender has administrator rights, if it is administrator, you can access the core network node according to the configuration, otherwise it will not access the core network node; if it is type 3 packet, then In CCNT, the identity of the communication peer of the data packet is searched. If it is found, the exception processing is performed, and no access is performed, and the normal forwarding is performed. This embodiment does not consider the classification problem of the type 1 data packet. By default, the type 1 data packet has been rejected by other methods in the prior art, and only the type 2 and type 3 data packets need to be processed. It is worth pointing out that the ASN checks whether the user has administrator rights. It does not mean that the administrator does not use the administrator password when accessing the SILSN core network node.
  • the SILSN core network node In order to ensure the security of the SILSN core network, the SILSN core network node must also be authenticated according to the network management's own security authentication measures when accepting the administrator's identity operation.
  • the above process is an auxiliary protection measure for preventing ordinary users from accessing the core network node. Reduce the situation that the core network node is attacked by ordinary users, but it does not completely prevent the administrator from setting a higher authority to attack. Therefore, the core network node cannot be replaced. Certification for managers, but will significantly reduce the possibility of core network nodes being attacked.
  • the above-mentioned ILR is a logical entity, which is responsible for the management and negotiation of the end-to-end key, and stores the node information of the user terminal.
  • KMS key management system
  • HLR home location register
  • HSS Home Subscriber Server
  • AAA Authorization, Authentication, Accounting
  • FIG. 2 shows the processing method of the type 3 packet when the packet formats of type 2 and type 3 are different.
  • Figure 3 shows the processing of the packet of type 2 when the packet formats of type 2 and type 3 are different.
  • FIG. 4 shows a method for processing packets of type two and type three when the packet formats of type two and type three are the same.
  • the application example 1 is as shown in FIG. 2, and the processing method of the type 3 packet is used when the data packets of type 2 and type 3 are used in different formats.
  • ASN has distinguished the type 1 packet by the existing method, so only the type 2 and type 3 packets are left.
  • ASN1 can directly sort out Type 3 packets according to the packet format for processing, if ASN1 further discovers Type 3 packets.
  • the identity of the communication peer includes the core network node address of the SILSN, and the user is attempted to attack the core network of the SILSN for exception handling; if the core network node address is not included, it is considered to be a normal data packet sent to the LIN for normal forwarding. .
  • Step 201 ASN1 receives the data packet of type 3 sent by the user UE1, and the process begins.
  • ASN1 since the data packets of type two and type three use different data packet formats, ASN1 has been based on the data.
  • the packet format sorts out the packet as a type three packet.
  • Step 203 The ASN1 searches for the D1 in the CNT of the SILSN saved in the ASN1. If the D1 is found, step 204 is performed.
  • step 205 is performed; in this application example, the core network node address is saved on all ASNs; Step 204: Perform exception processing, and perform step 206; if D1 is in CN T, UE1 is to SILSN.
  • the core network node sends the data packet, but since the data packet format has already defined the data packet as the type three data packet, it can be proved that the user attempts to initiate the attack on the core network node by using the type 3 packet format, so the ASN will perform exception processing.
  • the exception handling includes discarding the data packet, logging the user behavior, and selecting whether to alert and mask one or more of the UEs according to the severity of the historical attack;
  • Step 205 Forward the data packet to the ISN, Is sent by the ISN to the LIN node; if D1 is not in the CNNT, it indicates that UE1 sends a data packet to the LIN node, and the data packet is normally forwarded to the LIN;
  • Step 206 Flow Beam;
  • the application example 2 is shown in Figure 3.
  • the packet format of type 2 and type 3 is different, the processing method of the type 2 packet is used.
  • the ASN has picked out and processed the type 1 packet sent by the UE, leaving only the packets of type 2 and type 3 mixed.
  • the packet formats of type 2 and type 3 are different, the ASN can be based on the data.
  • the packet format directly sorts out the packet format of type 2 and performs corresponding processing. If the ASN further finds that the identity of the communication peer in the data packet of type 2 is not in the CNNT of the SILSN, then the UE is considered to have sent an invalid message and lost.
  • Step 301 ASN1 receives the data packet of type 2 sent by the user UE1, and the process starts.
  • ASN1 since the data packets of type two and type three use different data packet formats, ASN1 has been sorted according to the data packet format.
  • the packet is a type 2 packet.
  • Step 302 The ASN1 extracts the identity of the communication peer of the data packet sent by the UE1, and records it as D2.
  • Step 303 The ASN1 searches for the D2 in the CNT of the SILSN. If it is found, go to step 304.
  • Step 304 ASN1 extracts the identity right of UE1; if D2 is in the CNT, it indicates that UE1 sends a data packet to the core network node of the SILSN, or the UE1 attempts to play the network management device, because the data packet format has already defined the data packet as Type 2 packet, so it can be stated that the packet format sent by user UE1 is legal, and then the identity right of UE1 is further extracted.
  • the identity of the UE1 may be transferred from the ILR to the ASN1 registered by the UE1 when the UE1 is registered, and the ASN1 saves the identity of the UE1 in the context of the UE1. Therefore, the ASN1 may extract the user in the context of the UE1.
  • Step 305 The ASN1 determines whether the UE1 has the network administrator authority. If yes, go to step 306. If not, go to step 309.
  • Step 306 The ASN extracts the core network node address that the administrator user can manage. In this step, the ASN can pass through the UE1. In the user context, extract the core network node address list that the administrator user can manage, which is recorded as L1; to prevent the administrator from illegally modifying the core network node that is not under his jurisdiction, the core network node accessible by the administrator may also be limited to Within a certain range, the list of core network node addresses that this administrator user can manage is stored in the authentication server such as ILR in the same way as the identity rights.
  • the user When the user registers, it is passed from the authentication server to the ASN and saved in the context of the user.
  • the user transmits the user information to the ASN by the ILR when registering, and the ASN saves the user information in the user context established by the ASN for the user.
  • the user information includes: 1. Whether the user has administrator rights;
  • the ASN1 determines that the UE1 is an administrator user
  • the UE1 interacts with the ILR to extract a core network node address list manageable by the administrator user.
  • Step 307 It is determined whether the identity identifier D2 of the communication peer end of the data packet sent by the UE1 is in L1. If yes, go to step 308. If not, go to step 309; Step 308: The ASN normally forwards the data packet to the destination core network node; If the D2 is in L1, it is considered that the administrator is managing the core network node, and the ASN normally forwards the data packet to the corresponding core network node, and step 310 is performed; Step 309: Perform exception processing; Step 310: End.
  • the application example 3 is a method for processing a data packet of type 2 when the data packets of type 2 and type 3 are the same.
  • the ASN has previously picked out and processed the type 1 data packet sent by the UE. Only the packets of type 2 and type 3 are mixed.
  • ASN cannot directly sort out packets of type 2 or type 3 according to the packet format. It must be processed according to the identity and user rights of the communication peer of the data packet, including the following steps: Step 401: ASN1 receives the data packet sent by the user UE1, and the process starts; the data packet may be a type 2 data packet, or may be Type three packets.
  • Step 402 The ASN1 extracts the identity of the communication peer of the data packet sent by the UE1, such as D3.
  • Step 405 Extract the identity right of the user from the user context.
  • Step 406 The ASN1 determines whether the UE1 has the network administrator authority. If the step 407 is performed, if the step 410 is not performed, the step S407: The ASN extracts the core network node address manageable by the administrator user. In this step, the user of the UE1 can be In the context, the core network node address list that can be managed by the administrator user is saved as L2.
  • Step 408 ASN1 determines whether the identity identifier D3 of the communication peer end of the data packet sent by the user UE1 is in L2, and if yes, step 409 is performed. If the step is not performed; Step 409: ASN1 normally forwards the data packet to the destination core network node; Step 411 is performed; Step 410: Exception processing is performed; Step 411: End.
  • the present invention saves the address of the core network node in the access node. After receiving the data packet sent by the UE, the access node searches for the address of the core network node that is saved according to the identity of the communication peer of the data packet. It is thus determined whether the data packet is sent to the core network or to the LIN node. This method ensures that the access node can correctly identify the identity of the communication peer of the data packet sent from a user terminal of the SILSN to the internal node of the core network of the SILSN or to the LIN node.
  • the present invention is not limited to the network architecture for identity identification and location identification separation, and can also be used in other mobile networks or traditional networks.
  • the embodiment further provides a network system for implementing the foregoing method, including a core network and a user terminal; the core network includes an access node and an authentication node; wherein, the user terminal is configured to: send to the access node a data packet, which includes an identity of the communication peer;
  • the access node is configured to: save the core network node address of the core network, and after receiving the data packet sent by the user terminal, extract the identity of the communication peer end in the data packet, and then look up the communication pair in the core network node address. The identity of the terminal, and forwards or abnormally processes the data packet according to the search result and the identity permission of the user terminal.
  • the core network also includes an interworking node, and a data exchange or routing node.
  • the authentication node is set to: save the user terminal attribute information; and when the user terminal registers, transfer the identity right of the user to the access node registered by the user terminal; the access node is further configured to: save the user identity right In the user context; and extracting a core network node address manageable by the administrator user, and determining whether the identity of the communication peer of the data packet sent by the user terminal is in a core network node address manageable by the administrator user, If the packet is normally forwarded to the destination core network node, if no exception handling is performed.
  • the authentication node is further configured to: when the administrator user registers, pass the core network node address manageable by the administrator user to the access node registered by the user terminal, or interact with the access node to be an administrator
  • the user-administrable core network node address is transmitted to the access node registered by the user terminal;
  • the access node is further configured to: save the core network node address manageable by the administrator user in the user context of the user terminal, or determine After the user terminal has the administrator authority, the user terminal interacts with the authentication server to obtain a core network node address manageable by the user terminal.
  • This embodiment also provides a network access node, a receiving module, configured to: receive a data packet sent by the user terminal, and send the data packet to the processing module, where the data packet includes an identity identifier of the communication peer end;
  • a storage module configured to: save a core network node address of the core network; and a processing module, configured to: after receiving the data packet sent by the user terminal, extract an identity of the communication peer end in the data packet, where The core network node address stored in the storage module searches for the identity of the communication peer, and forwards or abnormally processes the data packet according to the search result and the identity permission of the user terminal.
  • the core network node address includes: the address of the access node, the address of the authentication node, the address of the interworking node, and the address of the data exchange or routing node.
  • the access node is an access node in a network architecture (SILSN) with an identity and a location separated; the access node is an access service node.
  • SILSN network architecture
  • the data packet sent by the user terminal includes: a core network node sent from a user terminal of the network system to the network system, which is called type 2; and a node sent from one user terminal of the network system to another node of the network system or User, called type three.
  • the data packet of the type 2 is different from the data packet of the type 3; the processing module is further configured to: distinguish, according to the received data packet format, the data packet of the type three; The processing module is configured to forward or abnormally process the data packet according to the search result and the identity right of the user terminal as follows: the processing module searches for the identity of the communication peer in the core network node address, and if found, performs Exception processing, ending; if not found, the user terminal is a normal user terminal, and the processing module sends the data packet to other network systems through the interworking node.
  • the data packet of the type 2 is different from the data packet of the type 3; the processing module is further configured to: distinguish, according to the received data packet format, the data packet of the type three; The processing module is configured to forward or abnormally process the data packet according to the search result and the identity authority of the user terminal as follows: the processing module searches for the identity of the communication peer in the core network node address: if not found, Performing exception processing, ending; if found, the processing module extracts the identity authority of the user terminal, and determines whether the user terminal has network administrator authority according to the extracted identity authority: if not, performs exception processing, and ends; if The processing module forwards the data packet to a core node corresponding to the identity of the communication peer.
  • the data packet of the type 2 and the data packet of the type 3 are used in the same data packet format; the processing module is configured to forward or abnormally process the data packet according to the search result and the identity authority of the user terminal as follows:
  • the processing module searches for the identity of the communication peer in the core network node address: if not found, the processing module forwards the data packet to the second network through the interworking node, and ends; if found, the The processing module extracts the identity authority of the user terminal, and determines whether the user terminal has network administrator authority according to the extracted identity authority: if not, performs exception processing, and ends; if yes, the processing module sends the data packet The core node corresponding to the identity of the communication peer.
  • the receiving module is further configured to: receive an identity right of the user that is sent by the authentication node when the user terminal is registered, and send the identity permission to the storage module; the storage module is further configured to: save the identity right of the user in the user context.
  • the processing module is further configured to: extract a core network node address manageable by the administrator user, and determine whether the identity of the communication peer end of the data packet sent by the user terminal is available to the administrator user If the core network node address is managed, if the packet is forwarded to the destination core network node, if the exception processing is not performed.
  • the receiving module is further configured to: receive an address of the core network node manageable by the administrator user when the administrator node is registered, or exchange an authentication with the authentication node to receive an administrator user that is authenticated by the authentication node.
  • the core network node address; the storage module is further configured to: save the core network node address manageable by the administrator user in the user context of the user terminal, or save after the processing module determines that the user terminal has administrator rights And a core network node address manageable by the user terminal acquired by the receiving module when interacting with the authentication server.
  • the access nodes are Serving General Radio Packet Service Support Nodes (SGSNs), Gateway General Packet Service Support Nodes (GGSNs), Packet Data Service Nodes (PDSNs), and Broadband Access Servers (BRAS) devices.
  • SGSNs Serving General Radio Packet Service Support Nodes
  • GGSNs Gateway General Packet Service Support Nodes
  • PDSNs Packet Data Service Nodes
  • BRAS Broadband Access Servers
  • the present invention effectively prevents an ordinary user from accessing a core network node, thereby preventing an ordinary user from attacking a core network node.
  • the administrator authority user can access a specific core network node, which facilitates the network administrator to manage the SILSN network, and ensures that the administrator user terminal normally accesses the core network node.
  • the administrator cannot access the unauthorized core network node, and the administrator of one core network node attacks the other core network node by using the administrator authority.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种网络设备管理的方法，包括：在接入节点中保存第一网络的核心网节点地址，其中核心网节点至少包括接入节点和认证节点；以及接入节点接收用户终端发送来的数据包，提取该数据包中的通信对端的身份标识，在核心网节点地址中查找该通信对端的身份标识，并根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理。本发明还提供了一种网络系统和一种网络接入节点。 本发明有效地防止了普通用户访问核心网节点，从而避免普通用户对核心网节点发起攻击。 方便网络管理员管理SILSN网络， 保证了管理员用户终端正常访问核心网节点。

Description

一种网络设备管理的方法、 网络系统及网络接入节点
技术领域 本发明涉及通信技术领域， 尤其涉及一种网络设备管理的方法、 网络系 统及网络接入节点。
背景技术
现有因特网广泛使用的传输控制协议 /网络协议 （ Transmission Control Protocol/Internet Protocol, TCP/IP )协议中 IP地址具有双重功能， 既作为网 络层的通信终端主机网络接口在网络拓朴中的位置标识， 又作为传输层主机 网络接口的身份标识。 TCP/IP协议设计之初并未考虑到主机移动的情况， 但 是当主机移动越来越普遍时， 这种 IP地址的语义过载缺陷日益明显。 当主机 的 IP地址发生变化时， 不仅路由要发生变化，通信终端主机的身份标识也发 生变化， 这样会导致路由负载越来越重， 而且主机标识的变化会导致应用和 连接的中断。身份标识和位置分离问题提出的目的是为了解决 IP地址的语义 过载和路由负载严重， 安全等问题， 将 IP地址的双重功能进行分离， 实现对 移动性、 多家乡性、 IP地址动态重分配、 减轻路由负载及下一代互联网中不 同网络区域之间的互访等问题的支持。 针对上述问题， 目前已经提出了多种身份标识与位置标识分离的网络架 构， 包括主机标识协议（Host Identity Protocol, HIP ) , 位置身份分离协议 (Locator Identity Split Protocol, LISP)和均属身份标识和位置分离网络以及中 兴通讯提出的身份标识和位置分离的网络架构， 本文以中兴通讯提出的身份 标识和位置分离网络架构为例进行描述。 图 1所示为身份标识和位置分离网络架构图， 为描述方便， 下文将此用 户身份标识和位置分离网络简称为 SILSN ( Subscriber Identifier & Locator Separation Network ) , 将传统因特网简称为 LIN ( legacy Internet Network )。
在图 1中， 此 SILSN包括接入服务器 （Access Service Node, ASN )和 用户终端（ User Equipment, UE )、身份位置寄存器（ Identification & Location Register, ILR ) 、 互联服务节点 （ Inter- working Service Node , ISN )和中转 设备 ( Route Terminal, RT ) 。 其中， ASN用来实现 UE的接入， 并承担计 费和切换等功能； ILR承担用户的位置注册和身份识别功能， 也称为认证服 务器； ISN用于和传统 Internet互通， ISN和 ASN在物理上也可以合一设置； RT为核心网中的数据交换或路由设备。 在图 1中， UE1和 UE2都是 SILSN的用户，在下文中将 ASN、 ILR、 ISN 以及 RT等网络节点组成的网络称为 SILSN的核心网， 并将组成核心网的节 点 ASN、 ILR、 ISN和 RT网络节点称为核心网节点。 其他身份标识和位置标识分离的网络架构中， 上述核心网节点分别对应 于具有相同或相似功能的节点。 为保证 SILSN核心网的安全性， 必须防止普通用户终端对核心网的攻 击； 同时， 还要实现 SILSN中的核心网节点要能进行网络管理， 目前还没有 解决这一问题的具体方案。
发明内容 本发明要解决的技术问题是提供一种网络设备管理的方法、 网络系统及 网络接入节点， 防止普通用户终端对核心网节点进行访问或攻击。 如图 1所示， 根据 SILSN中的 UE1发送的数据包的最终目的地， 可以 将 UE1发送的数据包分为如下三种类型： 类型一： 从 SILSN的一个用户终端发送到该 SILSN的另一个用户终端， 如 UE1->UE2; 类型二： 从 SILSN的一个用户终端发向该 SILSN的一个核心网节点， 如 UE1->ASN2; 类型三：从 SILSN的一个用户终端发向位于 LIN的一个节点，如从 SILSN 的一个用户终端发往 LIN中的一个因特网业务提供商（ISP ) ,如 UE1->ISP1 , 或者从 SILSN的一个用户终端发向 LIN网的一个用户终端，如 UE1->UE10; 在 UE1发送的上述三种类型数据包时，类型一和类型三的数据包的最终 目的地都是将数据包发向 SILSN的核心网外部， 在这两种情况下， 核心网节 点只起封装和转发的作用， 并不解析数据包的实际内容， 因此类型一和类型 三的数据包， 除了对 SILSN的核心网的性能造成影响， 并不会对核心网节点 的安全性等造成明显影响； 但对于类型二的数据包， 由于用户终端发出的数据包的最终目的地为核 心网节点， 因此核心网节点不仅要解析该数据包的内容， 还要根据该数据包 的内容进行相应的处理； 也就是说， 这种类型的数据包为用户终端提供了直 接访问核心网节点的手段， 由于 SILSN 的核心网节点允许用户终端直接访 问，因而降低了核心网节点的安全性。因此为了保证核心网安全性，在 SILSN 中一般不允许普通用户发出此数据包类型， 只提供给具有特殊权限的网络管 理员在网络管理时使用。 当 SILSN用于组建专网 （如军网或公安网）， 为了保证网络的高度可靠 性， 可以将其普通用户终端的权限限制为只能发送类型一的数据包， 这样可 以将用户终端和外部网络绝对分开， 从根本上保证了信息的安全。 但如果 SILSN用于一般网络（如企业网 )的组建， 为了让用户得到最好的网络体验， 应该给予用户直接访问 Internet的权限， 这样就需要允许用户终端能发出类 型三的数据包。 当 SILSN用于一般网络中时， SILSN的核心网节点可以嵌入到 LIN中， 并分配 LIN地址（即 Internet公网地址 ) , 这样当 SILSN的用户终端 UE1 访问 LIN的一个普通节点时， UE1应该发送通信对端的身份标识为 LIN普通 节点（如通信对端的身份标识为图 1中的 ISP1或 UE10 )的数据包。由于 SILSN 的核心网的节点地址也是 LIN的一个节点，如果用户 UE1发出的类型三的数 据包的目的地刚好为 SILSN的核心网节点地址，而不是 LIN的普通节点地址， 这样本来应该发送到 LIN的数据就会发送给 SILSN的核心网节点，从而普通 用户终端可能借用类型三的数据包达到类型二的数据包的效果， 即普通用户 终端可以发送只有网络管理员才能发送的数据包，从而对 SILSN的核心网安 全性造成了危害。 为保护 SILSN核心网节点的安全性， 必须防范 UE发起这种攻击， 为此 在处理第三种类型的数据包时， ASN节点就必须识别出用户终端发出的数据 包的通信对端的身份标识是发往 LIN, 还是发往 SILSN的核心网节点， 然后 根据用户的权限分别处理， 以保护核心网节点的安全性。
为了解决上述问题， 本发明提供了一种网络设备管理的方法， 包括： 在接入节点中保存第一网络的核心网节点地址， 其中核心网节点至少包 括接入节点和认证节点； 以及 接入节点接收用户终端发送来的数据包， 提取该数据包中的通信对端的 身份标识， 在核心网节点地址中查找该通信对端的身份标识， 并根据查找结 果和用户终端的身份权限对该数据包进行转发或异常处理。 所述核心网节点还包括互通节点， 以及数据交换或路由节点。 所述第一网络为身份标识与位置分离的网络构架 （SILSN ) ； 所述接入节点为接入服务节点； 所述互通节点为互联服务节点 （ISN ) 、 数据交换或路由节点为中转设 备（ RT ) 。 所述异常处理为所述接入节点丟弃所述数据包， 将用户行为记入曰志， 根据情况进行告警， 或屏蔽用户中的一种或几种。 所述用户终端发送来的数据包包括： 从所述第一网络的一个用户终端发向该第一网络的一个核心网节点， 称 为类型二； 以及从所述第一网络的一个用户终端发向第二网络的一个节点或 用户， 称为类型三。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式 时， 接入节点接收用户终端发送来的数据包的步骤之后， 所述方法还包括： 所述接入节点根据接收到的数据包格式区分出所述数据包为类型三的数据 包；
根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理的 步骤包括： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识： 如果查找到， 进行异常处理， 结束； 如果查找不到， 则所述用户终端为普通用户终端， 所述接入节点通过互 通节点将所述数据包发送到第二网络。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式 时， 接入节点接收用户终端发送来的数据包的步骤之后， 所述方法还包括： 所述接入节点根据接收到的数据包格式区分出所述数据包为类型二的数据 包；
根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理的 步骤包括： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识： 如果查找不到， 进行异常处理， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给所述通信对端的身份标识对 应的核心节点。 所述类型二的数据包与所述类型三的数据包釆用相同的数据包格式； 根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理的 步骤包括： 所述接入节点在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述接入节点通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束; 如果有， 所述接入节点将所述数据包转发给通信对端的身份标识对应的 核心节点。 所述用户终端的身份权限是在所述用户终端注册的时候， 从认证节点传 递给该用户终端注册的接入节点中的，并保存于该用户终端的用户上下文中。 接入节点判断所述用户终端具有网络管理员权限的步骤之后， 所述方法 还包括： 所述接入节点提取该管理员用户可管理的核心网节点地址； 所述接入节点判断所述用户终端发送的数据包的通信对端的身份标识是 否在所述管理员用户可管理的核心网节点地址中， 如果是才执行所述接入节 点将所述数据包转发到对应的核心网节点， 如果不是则进行异常处理。 所述用户终端可管理的核心网节点地址是在所述用户终端注册的时候， 从认证服务器传递给该用户终端注册的接入节点中的， 并保存于该用户终端 的用户上下文中； 或者所述接入节点判断出该用户终端具有管理员权限后， 与所述认证服务器进行交互获取所述用户终端可管理的核心网节点地址。 所述核心网节点地址通过网管配置后下发给所述接入节点。
为了解决上述问题， 本发明还提供了一种网络系统， 所述网络系统包括 核心网和用户终端； 所述核心网包括接入节点和认证节点； 其中， 所述用户终端设置为： 向所述接入节点发送数据包， 其中包含通信对端 的身份标识； 所述接入节点设置为： 保存所述核心网的核心网节点地址， 以及接收到 用户终端发送来的数据包后， 提取该数据包中的通信对端的身份标识， 在所 述核心网节点地址中查找该通信对端的身份标识， 并根据查找结果和用户终 端的身份权限对该数据包进行转发或异常处理。 所述核心网还包括互通节点， 以及数据交换或路由节点。 所述网络系统为身份标识与位置分离的网络构架 （SILSN ) ； 所述接入节点为接入服务节点； 所述互通节点为互联服务节点 （ISN ) 、 数据交换或路由节点为中转设 备（ RT ) 。 所述用户终端发送的数据包包括： 从所述网络系统的一个用户终端发向该网络系统的一个核心网节点， 称 为类型二； 以及从所述网络系统的一个用户终端发向其他网络系统的一个节 点或用户， 称为类型三。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式； 所述接入节点还设置为： 根据接收到的数据包格式区分出所述数据包为 类型三的数据包； 所述接入节点是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识， 如 果查找到， 进行异常处理， 结束； 如果查找不到， 则所述用户终端为普通用 户终端 ,所述接入节点通过所述互通节点将所述数据包发送到其他网络系统。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式； 所述接入节点还设置为： 根据接收到的数据包格式区分出所述数据包为 类型三的数据包； 所述接入节点是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理：
所述接入节点在所述核心网节点地址中查找该通信对端的身份标识： 如果查找不到， 进行异常处理， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给所述通信对端的身份标识对 应的核心节点。 所述类型二的数据包与所述类型三的数据包釆用相同的数据包格式； 所述接入节点是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述接入节点在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述接入节点通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给通信对端的身份标识对应的 核心节点。 所述认证节点设置为： 保存用户终端属性信息； 以及所述用户终端注册 的时候， 将用户的身份权限传递给该用户终端注册的接入节点； 所述接入节点还设置为： 将用户的身份权限保存于该用户上下文中。 所述接入节点还设置为： 提取管理员用户可管理的核心网节点地址， 并 判断所述用户终端发送的数据包的通信对端的身份标识是否在所述管理员用 户可管理的核心网节点地址中， 如果是转发该数据包到目的核心网节点， 如 果不是进行异常处理。 所述认证节点还设置为： 在所述管理员用户注册的时候， 将管理员用户 可管理的核心网节点地址传递给该用户终端注册的接入节点， 或者与所述接 入节点交互将将管理员用户可管理的核心网节点地址传递给该用户终端注册 的接入节点； 所述接入节点还设置为： 将管理员用户可管理的核心网节点地址保存于 该用户终端的用户上下文中， 或者判断出该用户终端具有管理员权限后， 与 所述认证服务器进行交互获取所述用户终端可管理的核心网节点地址。 所述接入节点是服务 GPRS 支持节点（SGSN)、 网关 GPRS 支持节点 (GGSN)、 分组数据业务节点 （PDSN )和宽带接入服务器 (BRAS)设备。 所述认证节点是密钥管理系统（KMS ) 、 归属位置寄存器（HLR ) 、 归 属用户服务器 （HSS ) 、 授权 /认证 /计费服务器 （AAA )或其他承担端到端 密钥管理和协商功能的实体。
为了解决上述问题， 本发明还提供了一种一种网络接入节点， 包括： 接收模块， 其设置为： 接收用户终端发送的数据包， 并发送至身份识别 模块， 所述数据包中包含通信对端的身份标识；
存储模块， 其设置为： 保存所述核心网的核心网节点地址； 以及 处理模块， 其设置为： 接收到用户终端发送来的数据包后， 提取该数据 包中的通信对端的身份标识， 在所述存储模块存储的核心网节点地址中查找 该通信对端的身份标识， 并根据查找结果和用户终端的身份权限对该数据包 进行转发或异常处理。 所述核心网节点地址包括： 接入节点的地址， 认证节点的地址， 互通节 点的地址， 以及数据交换或路由节点的地址。 所述接入节点为身份标识与位置分离的网络构架 （SILSN ) 中的接入节 点； 所述接入节点为接入服务节点。 所述用户终端发送的数据包包括： 从网络系统的一个用户终端发向该网络系统的一个核心网节点， 称为类 型二；以及从网络系统的一个用户终端发向其他网络系统的一个节点或用户， 称为类型三。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式； 所述处理模块还设置为： 根据接收到的数据包格式区分出所述数据包为 类型三的数据包； 所述处理模块是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述处理模块在所述核心网节点地址中查找该通信对端的身份标识， 如 果查找到， 进行异常处理， 结束； 如果查找不到， 则所述用户终端为普通用 户终端 ,所述处理模块通过所述互通节点将所述数据包发送到其他网络系统。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式； 所述处理模块还设置为： 根据接收到的数据包格式区分出所述数据包为 类型三的数据包； 所述处理模块是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述处理模块在所述核心网节点地址中查找该通信对端的身份标识： 如果查找不到， 进行异常处理， 结束； 如果查找到， 所述处理模块提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述处理模块将所述数据包转发给所述通信对端的身份标识对 应的核心节点。 所述类型二的数据包与所述类型三的数据包釆用相同的数据包格式； 所述处理模块是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述处理模块在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述处理模块通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述处理模块提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述处理模块将所述数据包转发给通信对端的身份标识对应的 核心节点。 所述接收模块还设置为： 接收认证节点在所述用户终端注册的时候传递 的用户的身份权限， 并发送给存储模块； 所述存储模块还设置为： 将用户的身份权限保存于该用户上下文中。 所述处理模块还设置为： 提取管理员用户可管理的核心网节点地址， 并 判断所述用户终端发送的数据包的通信对端的身份标识是否在所述管理员用 户可管理的核心网节点地址中， 如果是转发该数据包到目的核心网节点， 如 果不是进行异常处理。 所述接收模块还设置为： 接收所述认证节点在所述管理员用户注册的时 候传递的管理员用户可管理的核心网节点地址， 或者与所述认证节点交互接 收认证节点传递的管理员用户可管理的核心网节点地址； 所述存储模块还设置为： 将管理员用户可管理的核心网节点地址保存于 该用户终端的用户上下文中， 或者保存在所述处理模块判断出该用户终端具 有管理员权限后， 所述接收模块与所述认证服务器进行交互时获取的所述用 户终端可管理的核心网节点地址。 所述接入节点是服务通用无线分组业务支持节点 (SGSN：)、 网关通用无线 分组业务支持节点 (GGSN)、 分组数据业务节点 （PDSN )和宽带接入服务器 (BRAS)设备。
上述方法、 网络系统和网络接入节点有效地防止了普通用户访问核心网 节点， 从而避免普通用户对核心网节点发起攻击。 在一实施例中， 管理员权 限用户可以访问特定的核心网节点， 方便网络管理员管理 SILSN网络， 保证 了管理员用户终端正常访问核心网节点。 在一实施例中， 实现了管理员不能 访问未授权的核心网节点， 防止一个核心网节点的管理员借用管理员权限攻 击另外一个核心网节点。
附图概述 图 1为身份标识和位置分离网络的架构； 图 2为本发明应用示例中类型二和类型三的数据包格式不同时对类型三 的数据包处理时的流程图； 图 3为本发明应用示例中类型二和类型三的数据包格式不同时对类型二 的数据包处理时的流程图； 图 4为本发明应用示例中类型二和类型三的数据包格式相同时对类型三 的数据包处理时的流程图。
本发明的较佳实施方式
下面结合附图详细说明本发明的具体实施方式。
( 1 )在接入节点中保存网络的核心网节点地址，核心网节点至少包括接 入节点和认证节点； 其中， 核心网节点地址可以通过网管配置后下发给接入节点； 并可以定 期或实时对下发的核心网节点地址进行更新， 还可以是通过人工配置下发等 方式对下发给接入节点核心网节点地址更新。
其中， 核心网节点地址可以保存在核心网节点表 ( Core Network Node Table, CNNT ) 中， 当然也可以以其他方式保存， 本实施例以 CN T进行说 明。 核心网节点地址可以为 IP地址。 核心网节点还可以包括互通节点和数据交换或路由节点， 当然还可以包 括其他网络节点； 在 ISLSN网络中， 接入节点为 ASN, 认证节点为 ILR、 互 通节点为 ISN、 数据交换或路由节点为 RT。 其中， ASN是逻辑实体，可以是服务通用无线分组业务支持节点 (Serving
GPRS Support Node, SGSN)、 网关 GPRS支持节点 (Gateway GPRS Support Node, GGSN)、 分组数据业务节点（ Packet Data Serving Node , PDSN )和宽 带接入服务器 (Broadband Remote Access Server, BRAS)等设备。
( 2 )当接入节点接收到用户终端发送来的数据包后，先提取该数据包中 的通信对端的身份标识， 然后在核心网节点地址中查找该通信对端的身份标 识， 根据查找结果对该数据包进行处理。 如果通信对端的身份标识在核心网节点地址中查找不到， 说明用户是在 向 LIN发送数据包， 接入节点将数据包正常转发； 如果通信对端的身份标识在核心网节点地址中查找到， 则说明用户不是 向 LIN节点发送数据包， 而是向 SILSN核心网节点发送数据包，此时进一步 判断用户是否有管理员权限， 如果有管理员权限， 则根据对应的权限进行处 理。 在实际应用中， UE1发出的三种类型的数据包格式可以相同， 也可以不 同， 当这三种类型的数据包格式相同时， 终端实现最简单， 并可以和原有终 端兼容，但 ASN接收后需要根据通信对端的身份标识范围进行区分，这会带 来一些复杂性， 由于在 SILSN架构下， 类型一的数据包已经有区分方法， 并 且不会对核心网节点造成影响， 本实施例中假定类型一数据包已经被排除， 只研究如何区分类型二和类型三的数据包， 防止用户利用类型二和类型三的 数据包对核心网节点进行攻击。 其中， 类型一的数据包区分是在 ASN中区分的， 主要是向 ILR查询通 信对端的身份标识是否能查到。 另外类型一的数据包， 其通信对端的身份标 识一般为 AID格式， 如果不釆用 AID格式而使用 IP地址， 则会使用一段特 殊的 IP地址， ASN只要分析通信对端的身份标识是否在这段 IP地址内就可 以了。 为便于简化 SILSN网络的终端实现， 以及保证终端上的应用程序兼容， 可将类型二和类型三的数据包都釆用 IPV4/IPV6数据包格式， 当然也可以是 其他数据格式， 以简化终端处理， 在这种应用情况下， ASN先检查数据包的 通信对端的身份标识， 如果是核心网节点地址， 则认为是类型二的数据包， 如果不是核心网节点地址， 则认为是类型三的数据包。 对于类型三的数据包， ASN可以直接将该数据包发给 ISN处理； 对于类型二的数据包， 为了保证管理员能够正常使用， ASN还可以进一 步检查发送数据包的 UE的权限， 当 UE具有管理员权限， 为了对管理员权 限进行限制， ASN进一步检查该管理员管理的核心网节点的地址中， 是否包 含有该数据包的通信对端的身份标识， 如果包含此通信对端的身份标识， 则 正常转发到对应 SILSN核心网节点， 如果不包含， 则丟弃该数据包； 如果发 送数据包的 UE没有管理员权限， 则因 UE的用户行为已构成企图向核心网 节点进行攻击， ASN可以将此用户行为保存入日志， 然后丟弃数据包， 同时 根据行为的严重程度对该 UE釆取告警的措施或釆取屏蔽该 UE的措施。 当然， 在实际部署中， SILSN网络也可以将上述三种类型的数据包配置 为釆用不同格式处理， 这多用于全部使用新开发的用户终端进行组网的情况 下， 对三种类型的数据包釆用不同格式可以较好发挥 SILSN网络优点， 减轻 ASN处理负担。 当三种类型的数据包格式不同时， ASN的处理较为简单， 只 需要根据数据包格式， 区分出每种类型的数据包， 如果为类型二的数据包， 在 CCNT中查找数据包的通信对端的身份标识， 如果查找到， 则进一步发送 者是否具有管理员权限，如果为管理员权限，可以根据配置访问核心网节点， 否则不予访问核心网节点； 如果是类型三的数据包， 则在 CCNT中查找数据 包的通信对端的身份标识， 如果查找到， 则进行异常处理， 不予访问， 否者 正常转发。 本实施例不考虑类型一的数据包的区分问题， 缺省认为类型一的数据包 已经被现有技术中的其他方法剔除， 只需要处理类型二和类型三的数据包。 值得指出的是， ASN检查用户是否具备管理员权限， 并不意味着管理员 访问 SILSN核心网节点时， 可以不使用管理员密码。 为保证 SILSN核心网 安全， SILSN核心网节点在接受管理员身份操作的时候， 还必须按网管自身 的安全认证措施验证， 上述流程是用于防止普通用户访问核心网节点的辅助 保护措施， 能显著减少核心网节点遭受普通用户攻击的情况， 但并不能完全 阻止管理员自己设置较高权限进行攻击的情况， 因此也代替不了核心网节点 对管理者的认证， 但会大幅缩小核心网节点被攻击的可能。 上述 ILR是逻辑实体， 承担端到端密钥的管理和协商， 保存有用户终端 属性信息的节点， 在具体应用场景中可以是密钥管理系统（ Key Management System, KMS ) 、 归属位置寄存器 （ Home Location Register, HLR ) 、 归属 用户服务器（ Home Subscriber Server, HSS )、授权 /认证 /计费（ Authorization, Authentication, Accounting, AAA )服务器、 或其他承担端到端密钥管理和 协商功能的实体。
下面通过几个应用示例具体说明本发明的实施方式。 由于 UE发出的数 据包格式对具体实现流程有一定影响， 因此在具体实施中， 将根据类型二和 类型三的数据包格式相同与不同分别进行说明。 图 2所示为类型二和类型三 的数据包格式不同时对类型三的数据包的处理方法， 图 3所示为类型二和类 型三的数据包格式不同时对类型二的数据包的处理方法， 图 4所示为类型二 和类型三的数据包格式相同时对类型二和类型三的数据包的处理方法。 应用示例一 如图 2所示， 为类型二和类型三的数据包釆用不同格式时， 对类型三的 数据包的处理方法。 本应用示例中， ASN已经将类型一的数据包釆用已有方 法区分出， 因此只剩下类型二和类型三的数据包。 当 UE1将数据包发送到 ASN1时，由于类型二和类型三的数据包格式不 同， ASN1 可以根据数据包格式直接分拣出类型三的数据包进行处理， 如果 ASN1进一步发现类型三的数据包中的通信对端的身份标识包括 SILSN的核 心网节点地址， 则认为用户企图攻击 SILSN的核心网， 进行异常处理； 如果 不包含核心网节点地址， 则认为是正常发往 LIN的数据包， 进行正常转发。 具体包括如下步骤： 步骤 201 : ASN1接收到用户 UE1发送的类型三的数据包， 流程开始； 本应用示例中， 由于类型二和类型三的数据包釆用不同数据包格式， 因 此 ASN1已根据数据包格式分拣出该数据包为类型三的数据包。 步骤 202: ASN1提取用户 UE1发送的数据包的通信对端的身份标识， 记为 D1 ; 步骤 203: ASN1在其上中保存的 SILSN的 CN T中查找 D1 ,如果查找 到 D1 , 执行步骤 204, 如果查找不到， 执行步骤 205; 本应用示例中， 在所有 ASN上都保存有核心网节点地址； 步骤 204: 进行异常处理， 执行步骤 206; 如果 D1在 CN T内， 则说明 UE1是向 SILSN的核心网节点发送数据 包， 但由于数据包格式已经限定该数据包为类型三的数据包， 因此可以证明 用户企图用类型三的数据包格式发起对核心网节点的攻击，因此 ASN将进行 异常处理； 其中， 异常处理包括丟弃该数据包， 将用户行为记入日志， 根据历史攻 击的严重程度选择是否告警和屏蔽该 UE中的一种或多种； 步骤 205: 将数据包转发到 ISN, 由 ISN发送到 LIN节点； 如果 D1不在 CNNT内，则说明 UE1是向 LIN节点发送数据包，将该数 据包正常转发到 LIN; 步骤 206: 流程结束；
应用示例二 如图 3所示， 为类型二和类型三的数据包格式不同时， 对类型二的数据 包的处理方法。 ASN已经将 UE发送的类型一的数据包挑出并进行了处理， 只剩下类型二和类型三的数据包混合在一起， 当类型二和类型三的数据包格 式不同时， ASN可以根据数据包格式直接分拣出类型二的数据包格式并进行 相应的处理，如果 ASN进一步发现类型二的数据包中的通信对端的身份标识 不在 SILSN的 CNNT 内， 则认为此 UE发出无效消息， 进行丟弃； 如果在 CNNT内， 则进一步判断该 UE是否具备管理员权限， 并根据 UE的权限决 定是否能访问对应的核心网节点， 具体包括如下步骤： 步骤 301 : ASN1接收到用户 UE1发送的类型二的数据包， 流程开始； 本应用示例中， 由于类型二和类型三的数据包釆用不同数据包格式， 因 此 ASN1已根据数据包格式分拣出该数据包为类型二的数据包。 步骤 302: ASN1提取 UE1发送的数据包的通信对端的身份标识， 记为 D2; 步骤 303: ASN1在 SILSN的 CN T中查找 D2, 如果查找到， 执行步骤 304, 如果查找不到， 执行步骤 309; 步骤 304: ASN1提取 UE1的身份权限； 如果 D2在 CN T内， 则说明 UE1是向 SILSN的核心网节点发送数据 包， 或者该 UE1企图扮演网管设备， 由于数据包格式已经限定该数据包为类 型二的数据包， 因此可以说明用户 UE1发送的数据包格式是合法的， 然后进 一步提取 UE1的身份权限。 其中， UE1的身份权限可以在 UE1注册的时候， 从 ILR传递到该 UE1 注册的 ASN1 中， ASN1将 UE1的身份权限保存于此 UE1上下文中， 因此 ASN1此时可以在 UE1的上下文中提取用户的身份权限。 步骤 305: ASN1判断 UE1是否具有网络管理员权限， 如果是， 执行步 骤 306, 如果不是， 执行步骤 309; 步骤 306: ASN提取管理员用户可管理的核心网节点地址； 本步骤 ASN可以通过在 UE1的用户上下文中提取该管理员用户可管理 的核心网节点地址列表， 记为 L1 ; 为防止管理员非法修改不被自己管辖的核心网节点， 还可以将管理员可 访问的核心网节点限定在一定范围内， 此管理员用户可管理的核心网节点地 址列表与其身份权限一样， 保存于认证服务器如 ILR中， 当用户注册的时候 从认证服务器传递给 ASN, 保存于用户的上下文中。 其中， 用户在注册时由 ILR向 ASN传递用户信息， ASN将这些用户信 息保存在 ASN为此用户建立的用户上下文中。 其中， 用户信息包括： 1、 该用户是否具有管理员权限；
2、 该用户的管理员权限级别是多少；
3、 该用户可管理的核心网节点地址列表是什么。 也可以在 ASN1判断 UE1为管理员用户后，与 ILR进行交互从而提取该 管理员用户可管理的核心网节点地址列表；
步骤 307: 判断 UE1发送的数据包的通信对端的身份标识 D2是否在 L1 中， 如果是执行步骤 308, 如果不是， 执行步骤 309; 步骤 308: ASN正常转发该数据包到目的核心网节点； 如果 D2在 L1 中， 则认为管理员在合法管理核心网节点， ASN正常转 发此数据包到对应的核心网节点， 执行步骤 310; 步骤 309: 进行异常处理； 步骤 310: 结束。
应用实例三 如图 4所示， 为类型二和类型三的数据包格式相同时对类型二的数据包 的处理方法，此前 ASN已经将 UE发送的类型一的数据包挑出并进行了处理， 只剩下类型二和类型三的数据包混合在一起， 当类型二和类型三的数据包格 式相同时， ASN不能根据数据包格式直接分拣出是类型二或者还是类型三的 数据包， 因此必须根据数据包的通信对端的身份标识和用户权限进行处理， 具体包括如下步骤： 步骤 401 : ASN1接收到用户 UE1发送数据包， 流程开始； 此数据包可能是类型二的数据包， 也可能是类型三的数据包。 步骤 402: ASN1提取 UE1发送的数据包的通信对端的身份标识，如 D3; 步骤 403: ASN1在 ASN中保存的 SILSN核心网节点表 CNNT中查找 D3 , 如查找到执行步骤 405 , 如查找不到执行步骤 404; 步骤 404: ASN1将数据包转发给 ISN进行处理， 执行步骤 411 ; 如果在步骤 403中， 在 CNNT中未查到 D3 , 则 ASN1认为 UE1正常向 LIN发送数据包。 步骤 405: 从用户上下文中提取用户的身份权限； 如果 D3在 CN T内， 则说明 UE1是向 SILSN的核心网节点发送数据 包，也就是说，此数据包类型为类型二的数据包或攻击核心网节点的数据包， 因此按类型二的数据包进行处理， 然后进一步提取用户的身份权限。 步骤 406: ASN1判断 UE1是否具有网络管理员权限， 如果有执行步骤 407, 如果没有执行步骤 410; 步骤 407: ASN提取管理员用户可管理的核心网节点地址； 本步骤中，可以在 UE1的用户上下文中保存该管理员用户可管理的核心 网节点地址列表， 记为 L2; 步骤 408: ASN1判断用户 UE1发送的数据包的通信对端的身份标识 D3 是否在 L2中， 如果是， 执行步骤 409, 如果不是执行步骤； 步骤 409: ASN1正常转发该数据包到目的核心网节点； 执行步骤 411 ; 步骤 410: 进行异常处理； 步骤 411 : 结束。
本发明通过在接入节点中保存核心网节点的地址， 当接入节点收到 UE 发送来的数据包后， 根据该数据包的通信对端的身份标识查找其所保存的核 心网节点的地址， 从而判断该数据包是发送到核心网还是发送到 LIN节点。 通过这一方法保证了接入节点可以正确识别从 SILSN 的一个用户终端 发送来的数据包的通信对端的身份标识是发往 SILSN 的核心网内部节点还 是发往 LIN节点。 另外， 本发明并不限于用于身份标识和位置标识分离的网络架构中， 还 可以用于其它移动网络或传统网络中。
相应地， 本实施例还提供了以实现上述方法的一种网络系统， 包括核心 网和用户终端； 所述核心网包括接入节点和认证节点； 其中， 用户终端设置为： 向接入节点发送数据包， 其中包含通信对端的身份标 识；
接入节点设置为： 保存核心网的核心网节点地址， 以及接收到用户终端 发送来的数据包后， 提取该数据包中的通信对端的身份标识， 然后在核心网 节点地址中查找该通信对端的身份标识， 并根据查找结果和用户终端的身份 权限对该数据包进行转发或异常处理。
其中， 核心网还包括互通节点， 以及数据交换或路由节点。 认证节点设置为： 保存用户终端属性信息； 以及所述用户终端注册的时 候， 将用户的身份权限传递给该用户终端注册的接入节点； 接入节点还设置为： 将用户的身份权限保存于该用户上下文中； 以及提 取管理员用户可管理的核心网节点地址， 并判断所述用户终端发送的数据包 的通信对端的身份标识是否在所述管理员用户可管理的核心网节点地址中， 如果是正常转发该数据包到目的核心网节点， 如果不是进行异常处理。 认证节点还设置为： 在所述管理员用户注册的时候， 将管理员用户可管 理的核心网节点地址传递给该用户终端注册的接入节点， 或者与所述接入节 点交互将将管理员用户可管理的核心网节点地址传递给该用户终端注册的接 入节点； 接入节点还设置为： 将管理员用户可管理的核心网节点地址保存于该用 户终端的用户上下文中， 或者判断出该用户终端具有管理员权限后， 与所述 认证服务器进行交互获取所述用户终端可管理的核心网节点地址。
本实施例还提供了一种网络接入节点 , 接收模块， 其设置为： 接收用户终端发送的数据包， 并发送至处理模块， 所述数据包中包含通信对端的身份标识；
存储模块， 其设置为： 保存所述核心网的核心网节点地址； 以及 处理模块， 其设置为： 接收到用户终端发送来的数据包后， 提取该数据 包中的通信对端的身份标识， 在存储模块存储的核心网节点地址中查找该通 信对端的身份标识， 并根据查找结果和用户终端的身份权限对该数据包进行 转发或异常处理。 核心网节点地址包括： 接入节点的地址， 认证节点的地址， 互通节点的 地址， 以及数据交换或路由节点的地址。 接入节点为身份标识与位置分离的网络构架（SILSN ) 中的接入节点； 所述接入节点为接入服务节点。 所述用户终端发送的数据包包括： 从网络系统的一个用户终端发向该网络系统的一个核心网节点， 称为类 型二；以及从网络系统的一个用户终端发向其他网络系统的一个节点或用户， 称为类型三。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式； 处理模块还设置为： 根据接收到的数据包格式区分出所述数据包为类型 三的数据包； 处理模块是设置为按如下方式根据查找结果和用户终端的身份权限对该 数据包进行转发或异常处理： 处理模块在所述核心网节点地址中查找该通信对端的身份标识， 如果查 找到， 进行异常处理， 结束； 如果查找不到， 则所述用户终端为普通用户终 端， 所述处理模块通过所述互通节点将所述数据包发送到其他网络系统。 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式； 处理模块还设置为： 根据接收到的数据包格式区分出所述数据包为类型 三的数据包； 处理模块是设置为按如下方式根据查找结果和用户终端的身份权限对该 数据包进行转发或异常处理： 处理模块在所述核心网节点地址中查找该通信对端的身份标识： 如果查找不到， 进行异常处理， 结束； 如果查找到， 处理模块提取所述用户终端的身份权限， 并根据提取的身 份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 处理模块将所述数据包转发给所述通信对端的身份标识对应的 核心节点。 所述类型二的数据包与所述类型三的数据包釆用相同的数据包格式； 处理模块是设置为按如下方式根据查找结果和用户终端的身份权限对该 数据包进行转发或异常处理： 处理模块在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述处理模块通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述处理模块提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述处理模块将所述数据包转发给通信对端的身份标识对应的 核心节点。 接收模块还设置为： 接收认证节点在所述用户终端注册的时候传递的用 户的身份权限， 并发送给存储模块； 存储模块还设置为： 将用户的身份权限保存于该用户上下文中。 处理模块还设置为： 提取管理员用户可管理的核心网节点地址， 并判断 所述用户终端发送的数据包的通信对端的身份标识是否在所述管理员用户可 管理的核心网节点地址中， 如果是转发该数据包到目的核心网节点， 如果不 是进行异常处理。 接收模块还设置为： 接收所述认证节点在所述管理员用户注册的时候传 递的管理员用户可管理的核心网节点地址， 或者与所述认证节点交互接收认 证节点传递的管理员用户可管理的核心网节点地址； 存储模块还设置为： 将管理员用户可管理的核心网节点地址保存于该用 户终端的用户上下文中， 或者保存在所述处理模块判断出该用户终端具有管 理员权限后， 所述接收模块与所述认证服务器进行交互时获取的所述用户终 端可管理的核心网节点地址。 接入节点是服务通用无线分组业务支持节点 (SGSN)、 网关通用无线分组 业务支持节点 (GGSN)、分组数据业务节点（ PDSN )和宽带接入服务器 (BRAS) 设备。
工业实用性 本发明有效地防止了普通用户访问核心网节点， 从而避免普通用户对核 心网节点发起攻击。 在一实施例中， 管理员权限用户可以访问特定的核心网 节点， 方便网络管理员管理 SILSN网络， 保证了管理员用户终端正常访问核 心网节点。 在一实施例中， 实现了管理员不能访问未授权的核心网节点， 防 止一个核心网节点的管理员借用管理员权限攻击另外一个核心网节点。

Claims

权 利 要 求 书
1、 一种网络设备管理的方法， 包括: 在接入节点中保存第一网络的核心网节点地址， 其中核心网节点至少包 括接入节点和认证节点； 以及 接入节点接收用户终端发送的数据包， 提取该数据包中的通信对端的身 份标识， 在核心网节点地址中查找该通信对端的身份标识， 并根据查找结果 和用户终端的身份权限对该数据包进行转发或异常处理。
2、 如权利要求 1所述的方法， 其中： 所述核心网节点还包括互通节点， 以及数据交换或路由节点。 3、 如权利要求 2所述的方法， 其中： 所述第一网络为身份标识与位置分离的网络构架 （SILSN ) ； 所述接入节点为接入服务节点； 所述互通节点为互联服务节点 （ISN ) 、 数据交换或路由节点为中转设 备（ RT ) 。 4、 如权利要求 1所述的方法， 其中： 所述异常处理为所述接入节点丟弃所述数据包， 将用户行为记入曰志， 根据情况进行告警， 或屏蔽用户中的一种或几种。
5、如权利要求 1或 2或 3或 4所述的方法， 其中， 所述用户终端发送的 数据包包括：
从所述第一网络的一个用户终端发向该第一网络的一个核心网节点， 称 为类型二； 以及从所述第一网络的一个用户终端发向第二网络的一个节点或 用户， 称为类型三。 6、 如权利要求 5所述的方法， 其中： 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式 时， 接入节点接收用户终端发送来的数据包的步骤之后， 所述方法还包括： 所述接入节点根据接收到的数据包格式区分出所述数据包为类型三的数据 包； 根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理的 步骤包括： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识： 如果查找到， 进行异常处理， 结束； 如果查找不到， 则所述用户终端为普通用户终端， 所述接入节点通过互 通节点将所述数据包发送到第二网络。
7、 如权利要求 5所述的方法， 其中： 所述类型二的数据包与所述类型三的数据包釆用不相同的数据包格式 时， 接入节点接收用户终端发送来的数据包的步骤之后， 所述方法还包括： 所述接入节点根据接收到的数据包格式区分出所述数据包为类型二的数据 包；
根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理的 步骤包括： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识： 如果查找不到， 进行异常处理， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给所述通信对端的身份标识对 应的核心节点。 8、如权利要求 5所述的方法， 其中， 所述类型二的数据包与所述类型三 的数据包釆用相同的数据包格式； 根据查找结果和用户终端的身份权限对该数据包进行转发或异常处理的 步骤包括： 所述接入节点在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述接入节点通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给通信对端的身份标识对应的 核心节点。
9、 如权利要求 7或 8所述的方法， 其中： 所述用户终端的身份权限是在所述用户终端注册的时候， 从认证节点传 递给该用户终端注册的接入节点中的，并保存于该用户终端的用户上下文中。
10、 如权利要求 9所述的方法， 其中： 接入节点判断所述用户终端具有网络管理员权限的步骤之后， 所述方法 还包括： 所述接入节点提取该管理员用户可管理的核心网节点地址； 所述接入节点判断所述用户终端发送的数据包的通信对端的身份标识是 否在所述管理员用户可管理的核心网节点地址中 , 如果是才执行所述接入节 点将所述数据包转发到对应的核心网节点的步骤， 如果不是， 则进行异常处 理。
11、 如权利要求 10所述的方法， 其中: 所述用户终端可管理的核心网节点地址是在所述用户终端注册的时候， 从认证服务器传递给该用户终端注册的接入节点中的， 并保存于该用户终端 的用户上下文中； 或者所述接入节点判断出该用户终端具有管理员权限后， 与所述认证服务器进行交互获取所述用户终端可管理的核心网节点地址。 12、 如权利要求 1所述的方法， 其中： 所述核心网节点地址通过网管配置后下发给所述接入节点。
13、 一种网络系统， 包括核心网和用户终端； 所述核心网包括接入节点 和认证节点； 其中， 所述用户终端设置为： 向所述接入节点发送数据包， 其中包含通信对端 的身份标识； 所述接入节点设置为： 保存所述核心网的核心网节点地址， 以及接收到 用户终端发送的数据包后， 提取该数据包中的通信对端的身份标识， 在所述 核心网节点地址中查找该通信对端的身份标识， 并根据查找结果和用户终端 的身份权限对该数据包进行转发或异常处理。 14、 如权利要求 13所述的网络系统， 其中： 所述核心网还包括互通节点， 以及数据交换或路由节点。
15、 如权利要求 14所述的网络系统， 其中： 所述网络系统为身份标识与位置分离的网络构架 （SILSN ) ； 所述接入节点为接入服务节点； 所述互通节点为互联服务节点 （ISN ) 、 数据交换或路由节点为中转设 备（ RT ) 。
16、 如权利要求 14或 15所述的网络系统， 其中， 所述用户终端发送的 数据包包括： 从所述网络系统的一个用户终端发向该网络系统的一个核心网节点， 称 为类型二； 以及从所述网络系统的一个用户终端发向其他网络系统的一个节 点或用户， 称为类型三。
17、如权利要求 16所述的网络系统， 其中， 所述类型二的数据包与所述 类型三的数据包釆用不相同的数据包格式； 所述接入节点还设置为： 根据接收到的数据包格式区分出所述数据包为 类型三的数据包； 所述接入节点是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识， 如 果查找到， 进行异常处理， 结束； 如果查找不到， 则所述用户终端为普通用 户终端 ,所述接入节点通过所述互通节点将所述数据包发送到其他网络系统。
18、如权利要求 16所述的网络系统， 其中， 所述类型二的数据包与所述 类型三的数据包釆用不相同的数据包格式； 所述接入节点还设置为： 根据接收到的数据包格式区分出所述数据包为 类型三的数据包； 所述接入节点是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述接入节点在所述核心网节点地址中查找该通信对端的身份标识： 如果查找不到， 进行异常处理， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给所述通信对端的身份标识对 应的核心节点。 19、如权利要求 16所述的网络系统， 其中， 所述类型二的数据包与所述 类型三的数据包釆用相同的数据包格式； 所述接入节点是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述接入节点在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述接入节点通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述接入节点提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述接入节点将所述数据包转发给通信对端的身份标识对应的 核心节点。
20、 如权利要求 18或 19所述的网络系统， 其中： 所述认证节点设置为： 保存用户终端属性信息； 以及所述用户终端注册 的时候， 将用户的身份权限传递给该用户终端注册的接入节点； 所述接入节点还设置为： 将用户的身份权限保存于该用户上下文中。
21、 如权利要求 20所述的网络系统， 其中： 所述接入节点还设置为： 提取管理员用户可管理的核心网节点地址， 并 判断所述用户终端发送的数据包的通信对端的身份标识是否在所述管理员用 户可管理的核心网节点地址中， 如果是转发该数据包到目的核心网节点， 如 果不是进行异常处理。
22、 如权利要求 21所述的网络系统， 其中： 所述认证节点还设置为： 在所述管理员用户注册的时候， 将管理员用户 可管理的核心网节点地址传递给该用户终端注册的接入节点， 或者与所述接 入节点交互将将管理员用户可管理的核心网节点地址传递给该用户终端注册 的接入节点； 所述接入节点还设置为： 将管理员用户可管理的核心网节点地址保存于 该用户终端的用户上下文中， 或者判断出该用户终端具有管理员权限后， 与 所述认证服务器进行交互获取所述用户终端可管理的核心网节点地址。 23、 如权利要求 13所述的网络系统， 其中： 所述接入节点是服务通用无线分组业务支持节点 (SGSN：)、 网关通用无线 分组业务支持节点 (GGSN)、 分组数据业务节点 （PDSN )和宽带接入服务器 (BRAS)设备。 24、 如权利要求 13所述的网络系统， 其中： 所述认证节点是密钥管理系统（KMS ) 、 归属位置寄存器（HLR ) 、 归 属用户服务器 （HSS ) 、 授权 /认证 /计费服务器 （AAA )或其他承担端到端 密钥管理和协商功能的实体。
25、 一种网络接入节点， 包括： 接收模块， 其设置为： 接收用户终端发送的数据包， 并发送至身份识别 模块， 所述数据包中包含通信对端的身份标识；
存储模块， 其设置为： 保存所述核心网的核心网节点地址； 以及 处理模块， 其设置为： 接收到用户终端发送来的数据包后， 提取该数据 包中的通信对端的身份标识， 在所述存储模块存储的核心网节点地址中查找 该通信对端的身份标识， 并根据查找结果和用户终端的身份权限对该数据包 进行转发或异常处理。
26、 如权利要求 25所述的网络接入节点， 其中： 所述核心网节点地址包括： 接入节点的地址， 认证节点的地址， 互通节 点的地址， 以及数据交换或路由节点的地址。 2277、、 如如权权利利要要求求 2266所所述述的的网网络络接接入入节节点点，， 其其中中：: 所所述述接接入入节节点点为为身身份份标标识识与与位位置置分分离离的的网网络络构构架架 （（SSIILLSSNN )) 中中的的接接入入节节 点点；； 所所述述接接入入节节点点为为接接入入服服务务节节点点。。
2288、、 如如权权利利要要求求 2266或或 2277所所述述的的网网络络接接入入节节点点，， 其其中中，， 所所述述用用户户终终端端发发 55 送送的的数数据据包包包包括括：： 从从网网络络系系统统的的一一个个用用户户终终端端发发向向该该网网络络系系统统的的一一个个核核心心网网节节点点，， 称称为为类类 型型二二；；以以及及从从网网络络系系统统的的一一个个用用户户终终端端发发向向其其他他网网络络系系统统的的一一个个节节点点或或用用户户，， 称称为为类类型型三三。。
2299、、如如权权利利要要求求 2288所所述述的的网网络络接接入入节节点点，， 其其中中，， 所所述述类类型型二二的的数数据据包包与与 1100 所所述述类类型型三三的的数数据据包包釆釆用用不不相相同同的的数数据据包包格格式式；； 所所述述处处理理模模块块还还设设置置为为：： 根根据据接接收收到到的的数数据据包包格格式式区区分分出出所所述述数数据据包包为为 类类型型三三的的数数据据包包；； 所所述述处处理理模模块块是是设设置置为为按按如如下下方方式式根根据据查查找找结结果果和和用用户户终终端端的的身身份份权权限限 对对该该数数据据包包进进行行转转发发或或异异常常处处理理：：
1155 所所述述处处理理模模块块在在所所述述核核心心网网节节点点地地址址中中查查找找该该通通信信对对端端的的身身份份标标识识，， 如如 果果查查找找到到，， 进进行行异异常常处处理理，， 结结束束；； 如如果果查查找找不不到到，， 则则所所述述用用户户终终端端为为普普通通用用 户户终终端端 ,,所所述述处处理理模模块块通通过过所所述述互互通通节节点点将将所所述述数数据据包包发发送送到到其其他他网网络络系系统统。。
3300、、如如权权利利要要求求 2288所所述述的的网网络络接接入入节节点点，， 其其中中，， 所所述述类类型型二二的的数数据据包包与与 所所述述类类型型三三的的数数据据包包釆釆用用不不相相同同的的数数据据包包格格式式；；
2200 所所述述处处理理模模块块还还设设置置为为：： 根根据据接接收收到到的的数数据据包包格格式式区区分分出出所所述述数数据据包包为为 类类型型三三的的数数据据包包；； 所所述述处处理理模模块块是是设设置置为为按按如如下下方方式式根根据据查查找找结结果果和和用用户户终终端端的的身身份份权权限限 对对该该数数据据包包进进行行转转发发或或异异常常处处理理：： 所所述述处处理理模模块块在在所所述述核核心心网网节节点点地地址址中中查查找找该该通通信信对对端端的的身身份份标标识识：：
25 * 如果查找到， 所述处理模块提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述处理模块将所述数据包转发给所述通信对端的身份标识对 应的核心节点。
31、如权利要求 28所述的网络接入节点， 其中， 所述类型二的数据包与 所述类型三的数据包釆用相同的数据包格式；
所述处理模块是设置为按如下方式根据查找结果和用户终端的身份权限 对该数据包进行转发或异常处理： 所述处理模块在核心网节点地址中查找所述通信对端的身份标识： 如查找不到， 所述处理模块通过互通节点将所述数据包转发给所述第二 网络， 结束； 如果查找到， 所述处理模块提取所述用户终端的身份权限， 并根据提取 的身份权限判断所述用户终端是否具有网络管理员权限： 如果没有， 进行异常处理， 结束； 如果有， 所述处理模块将所述数据包转发给通信对端的身份标识对应的 核心节点。
32、 如权利要求 30或 31所述的网络接入节点， 其中： 所述接收模块还设置为： 接收认证节点在所述用户终端注册的时候传递 的用户的身份权限， 并发送给存储模块； 所述存储模块还设置为： 将用户的身份权限保存于该用户上下文中。
33、 如权利要求 32所述的网络接入节点， 其中： 所述处理模块还设置为： 提取管理员用户可管理的核心网节点地址， 并 判断所述用户终端发送的数据包的通信对端的身份标识是否在所述管理员用 户可管理的核心网节点地址中， 如果是转发该数据包到目的核心网节点， 如 果不是进行异常处理。
34、 如权利要求 33所述的网络接入节点， 其中： 所述接收模块还设置为： 接收所述认证节点在所述管理员用户注册的时 候传递的管理员用户可管理的核心网节点地址， 或者与所述认证节点交互接 收认证节点传递的管理员用户可管理的核心网节点地址； 所述存储模块还设置为： 将管理员用户可管理的核心网节点地址保存于 该用户终端的用户上下文中， 或者保存在所述处理模块判断出该用户终端具 有管理员权限后， 所述接收模块与所述认证服务器进行交互时获取的所述用 户终端可管理的核心网节点地址。
35、 如权利要求 25所述的网络接入节点， 其中： 所述接入节点是服务通用无线分组业务支持节点 (SGSN：)、 网关通用无线 分组业务支持节点 (GGSN)、 分组数据业务节点 （PDSN )和宽带接入服务器 (BRAS)设备。
PCT/CN2010/075945 2009-10-10 2010-08-12 一种网络设备管理的方法、网络系统及网络接入节点 WO2011041964A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910181116.9 2009-10-10
CN200910181116.9A CN102045307B (zh) 2009-10-10 2009-10-10 一种网络设备管理的方法及相应的网络系统

Publications (1)

Publication Number Publication Date
WO2011041964A1 true WO2011041964A1 (zh) 2011-04-14

Family

ID=43856370

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/075945 WO2011041964A1 (zh) 2009-10-10 2010-08-12 一种网络设备管理的方法、网络系统及网络接入节点

Country Status (2)

Country Link
CN (1) CN102045307B (zh)
WO (1) WO2011041964A1 (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103095536B (zh) * 2011-11-03 2017-06-30 南京中兴新软件有限责任公司 一种用户接入方法、接入服务路由器及用户接入系统
CN103095657A (zh) * 2011-11-03 2013-05-08 中兴通讯股份有限公司 一种用户接入方法、接入服务路由器及用户接入系统
CN103718518B (zh) * 2011-12-06 2017-10-24 华为技术有限公司 数据传输方法及网络设备、网关
CN103888288A (zh) * 2014-02-20 2014-06-25 北京优联实科信息科技有限公司 一种注册方法、管理器、注册器与系统
CN109510804A (zh) * 2017-09-15 2019-03-22 汉达精密电子(昆山)有限公司 网络系统管理方法
CN111698248B (zh) * 2020-06-11 2021-06-11 杭州商湾网络科技有限公司 一种基于标签的网络授权管理方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1477821A (zh) * 2002-07-30 2004-02-25 ���꼪��Tv��˾ 安全多点发送
CN1486032A (zh) * 2002-09-23 2004-03-31 华为技术有限公司 基于虚拟局域网的网络接入控制方法及装置
CN1567839A (zh) * 2003-06-24 2005-01-19 华为技术有限公司 基于端口的网络访问控制方法
CN1801764A (zh) * 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
US20080059596A1 (en) * 2006-09-06 2008-03-06 Fujitsu Limited Attack detecting system and attack detecting method

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1477821A (zh) * 2002-07-30 2004-02-25 ���꼪��Tv��˾ 安全多点发送
CN1486032A (zh) * 2002-09-23 2004-03-31 华为技术有限公司 基于虚拟局域网的网络接入控制方法及装置
CN1567839A (zh) * 2003-06-24 2005-01-19 华为技术有限公司 基于端口的网络访问控制方法
CN1801764A (zh) * 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
US20080059596A1 (en) * 2006-09-06 2008-03-06 Fujitsu Limited Attack detecting system and attack detecting method

Also Published As

Publication number Publication date
CN102045307A (zh) 2011-05-04
CN102045307B (zh) 2014-08-13

Similar Documents

Publication Publication Date Title
EP1844613B1 (en) Providing security in an unlicensed mobile access network
EP1994673B1 (en) Role aware network security enforcement
US9112909B2 (en) User and device authentication in broadband networks
EP3720100A1 (en) Service request processing method and device
CN115699840A (zh) 用于使用安全边缘保护代理（sepp）来减轻5g漫游安全攻击的方法、系统和计算机可读介质
US7861076B2 (en) Using authentication server accounting to create a common security database
WO2011041964A1 (zh) 一种网络设备管理的方法、网络系统及网络接入节点
WO2011044808A1 (zh) 一种匿名通信的溯源方法及系统
WO2012167500A1 (zh) 一种隧道数据安全通道的建立方法
WO2011035667A1 (zh) 实现网间漫游的方法、系统及查询和网络附着方法及系统
JPH11177582A (ja) パケット転送方法および該方法に用いる基地局
WO2011082584A1 (zh) 数据报文分类处理的实现方法、网络及终端
WO2011082583A1 (zh) 数据报文分类处理的实现方法、网络、终端及互通服务节点
JP3678166B2 (ja) 無線端末の認証方法、無線基地局及び通信システム
WO2012089032A1 (zh) 一种采用多种接入方式中的数据传输方法和接入设备
US20240015512A1 (en) Content Filtering Support for Protocols with Encrypted Domain Name Server
JP4302004B2 (ja) パケットフィルタ設定方法およびパケットフィルタ設定システム
JP5213563B2 (ja) ネットワーク処理装置
CN102045313B (zh) 一种控制用户访问身份标识和位置分离网络的方法和系统
JP2004242161A (ja) データ通信網システムおよびデータ通信網接続制御方法
WO2012089027A1 (zh) 用户终端在多种接入方式时和外部网络的互通方法和设备
WO2012075770A1 (zh) 身份位置分离网络的阻断方法和系统
US20230319684A1 (en) Resource filter for integrated networks
CN117501671A (zh) 使用路由来源授权(ROA)进行边界网关协议(BGP)FlowSpec发起授权
CN114826745A (zh) 一种透明场景下实现用户认证的方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10821573

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10821573

Country of ref document: EP

Kind code of ref document: A1