WO2012075770A1 - 身份位置分离网络的阻断方法和系统 - Google Patents

身份位置分离网络的阻断方法和系统 Download PDF

Info

Publication number
WO2012075770A1
WO2012075770A1 PCT/CN2011/073320 CN2011073320W WO2012075770A1 WO 2012075770 A1 WO2012075770 A1 WO 2012075770A1 CN 2011073320 W CN2011073320 W CN 2011073320W WO 2012075770 A1 WO2012075770 A1 WO 2012075770A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
identity
identifier
center
location
Prior art date
Application number
PCT/CN2011/073320
Other languages
English (en)
French (fr)
Inventor
孙翼舟
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012075770A1 publication Critical patent/WO2012075770A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/69—Types of network addresses using geographic information, e.g. room number

Definitions

  • the present invention relates to the field of data communications, and in particular, to a method and system for blocking an identity location separation network.
  • the structure of the Internet is far from optimal. There are many major design problems.
  • the typical problem is the dual attribute of the IP address, that is, the IP address represents both the user identity and the network topology of the user. , that is, the dual attribute of the IP address.
  • the Internet was invented in the 1970s. It is difficult to predict that there will be a large number of mobile terminals and multiple township terminals in the world today. Therefore, the Internet protocol stack at that time was mainly designed for terminals connected in a "fixed" manner. In the current network environment, since the terminal basically does not move from one location to another, the transmitted address is the received address, and the path is reversible, so the IP address with dual attributes of identity and location can work very well.
  • IP address also represents the identity and location that exactly met the network needs of the time. From the perspective of the network environment at the time, this design scheme is simple and effective, simplifying the hierarchy of the protocol stack.
  • the identity attribute of the IP address requires that any two IP addresses be equal, although the IP address can be assigned according to the organization, but continuous coding
  • the location attribute of the IP address requires that the IP address be assigned based on the network topology (rather than the organization), and the IP addresses in the same subnet should be in a contiguous IP address block.
  • the IP address prefixes in the network topology can be aggregated, thereby reducing the entries of the routing table of the router device and ensuring the scalability of the routing system.
  • the inherent contradiction between the dual attributes of IP addresses will lead to the following main problems:
  • Routing scalability issues There is a basic assumption about the scalability of Internet routing systems:
  • the address is assigned according to the topology, or the topology is deployed according to the address, and the two must choose one.
  • the identity attribute of an IP address requires that the IP address be assigned based on the organization to which the terminal belongs (rather than the network topology), and this allocation must be stable and cannot be changed frequently; the location attribute of the IP address requires the IP address to be based on the network.
  • the topology is allocated to ensure the scalability of the routing system. In this way, the two attributes of the IP address create conflicts, which eventually leads to the scalability problem of the Internet routing system.
  • the identity attribute of the IP address requires that the IP address should not change as the location of the terminal changes. This ensures that the communication bound to the identity is not interrupted, and that the terminal can still use its identity after the terminal is moved.
  • the communication link is established; the location attribute of the IP address requires the IP address to change as the terminal location changes, so that the IP address can be aggregated in the new network topology, otherwise the network must reserve a separate route for the mobile terminal.
  • Information which causes a sharp increase in routing table entries.
  • a number of township issues Many townships usually refer to terminals or networks that access the Internet through multiple Internet Service Providers (ISPs).
  • ISPs Internet Service Providers
  • the advantages of multiple township technologies include increasing network reliability and supporting multiple ISPs. Traffic load balancing and increasing overall available bandwidth.
  • the identity attribute of an IP address requires that a plurality of home terminals always display the same identity to other terminals, regardless of whether the multiple township terminals access the Internet through several ISPs; and the location attribute of the IP address requires that multiple township terminals are different.
  • the ISP network uses different IP addresses to communicate, so that the IP address of the terminal can be aggregated in the topology of the ISP network.
  • IP address contains both the identity information and the location information of the terminal
  • both the communication peer and the malicious eavesdropper can obtain the identity information and topology location information of the terminal according to the IP address of the terminal.
  • the new network will be designed based on this idea, and propose a network structure of separate mapping of identity information and location information to solve some serious drawbacks of the existing Internet.
  • HIP Host Identity Protocol
  • ISP Locator/ID Separation Protocol
  • North China Jiaotong University Zhang Hongke's patent CN200610001825 also proposes a solution, using IP address as the host The location identifier, the import host ID as the identity, solves the problem of identity and location separation.
  • Identity and location separation are the core technologies of future data communication networks, especially mobile data communication networks.
  • mapping relationship between the identity identifier and the location identifier must be established for use when the network device is addressed.
  • the mapping relationship is maintained in the mapping server, and the edge router receives the data packet sent from the terminal. If the destination identity of the data packet is unknown, the identity location mapping table of the mapping server needs to be queried, and the destination location is found according to the destination identity identifier. Identification, the packet is encapsulated and then occurs to the corresponding network.
  • the existing Internet has a large number of illegal sources of information, such as spam, virus attack sources, Falun Gong websites, etc.
  • the state information supervision department or some individuals sometimes need to block illegal information.
  • this blocking process is very cumbersome and has many steps:
  • the IP address of the illegal information source is to be obtained from the data packet.
  • the RAS access server that allocates the IP address is found according to the IP address segmentation rule of the illegal information source.
  • the RAS address is found according to the RAS address.
  • the assigned physical information find the physical line or Layer 2 switch where the illegal information source is located, and then block the physical line or Layer 2 switch. Moreover, such blocking is usually a one-time trip That is to say, if the illegal information source replaces the IP address and then sends out illegal information, the network security department needs to re-block it. Therefore, the online national security department actually gave up the blocking operation of the illegal information source, but instead
  • the method of content filtering for example, filtering keywords such as "Falungong".
  • the technical problem to be solved by the present invention is to provide a blocking method and system under an identity location separation network, which realizes real-time and complete blocking of illegal information.
  • the present invention provides a blocking method for an identity location separation network, the method comprising:
  • the monitoring center obtains the terminal location identifier according to the terminal identity identifier carried in the illegal information sent by the terminal;
  • the supervisory center issues a command for disabling the terminal identity to the corresponding edge router of the terminal location identifier
  • the edge router blocks traffic according to the command.
  • the monitoring center carries the terminal identity identifier according to the illegal information sent by the terminal, and the obtained terminal location identifier includes:
  • the monitoring center queries the mapping relationship between the terminal identity identifier and the location identifier in the mapping server according to the terminal identity identifier in the illegal information source data packet, and obtains the terminal location identifier.
  • the monitoring center carries the terminal identity identifier according to the illegal information sent by the terminal, and the obtained terminal location identifier includes: when the terminal sends the illegal information, the monitoring center stores the terminal according to the terminal The mapping relationship between the identity identifier and the location identifier obtains the terminal location identifier.
  • the monitoring center carries the terminal identity identifier according to the illegal information sent by the terminal, and the obtained terminal location identifier further includes: the monitoring center interacts with the mapping server in advance, and obtains and stores the terminal.
  • the mapping between identity and location identifier Preferably, when the terminal is illegally logged in, the monitoring center sends a command to disable the terminal identity identification to the authentication center according to the terminal identity identifier, and the terminal cannot implement login.
  • the monitoring center releases the terminal identity identification command to the mapping server according to the terminal identity identifier carried in the illegal information.
  • the present invention also provides a blocking system for an identity location separation network, the system comprising a terminal, a supervision center, and an edge router:
  • the terminal is configured to: send illegal information;
  • the monitoring center is configured to: according to the terminal identity identifier carried in the illegal information sent by the terminal, obtain the terminal location identifier, and issue an instruction to the edge router corresponding to the terminal location identifier to disable the terminal identity identifier;
  • the edge router is configured to: block the traffic according to the command of the supervision center to disable the identity of the terminal.
  • the monitoring center is configured to: according to the terminal identity identifier in the illegal information source data packet sent by the terminal, query a mapping relationship between the terminal identity identifier and the location identifier in the mapping server, and obtain the terminal location logo.
  • the monitoring center is further configured to: when the terminal sends the illegal information, obtain the terminal location identifier according to the mapping relationship between the terminal identity identifier and the location identifier stored by the terminal.
  • the monitoring center is further configured to: interact with the mapping server in advance to obtain and store a mapping relationship between the terminal identity and the location identifier.
  • the present invention also provides another blocking system for an identity location separation network, the system comprising: a supervision center, a certification center:
  • the monitoring center is configured to: when the terminal is illegally logged in, issue the terminal identity identification command to the authentication center according to the terminal identity identifier;
  • the authentication center is configured to: prohibit the terminal from logging in according to the disabling the terminal identity command issued by the supervision center.
  • the present invention also provides a blocking system for an identity location separation network, the system comprising: a supervision center, a mapping server:
  • the monitoring center is configured to: when the terminal sends the illegal information, issue the terminal identity identification command to the mapping server according to the terminal identity identifier carried in the illegal information; the mapping server is set as: Disabling the terminal identity command issued by the supervisory center blocks traffic.
  • the present invention also provides a supervisory center of a blocking system for an identity location separation network, where the supervisory center is configured to: obtain a terminal location identifier according to a terminal identity identifier carried in the illegal information sent by the terminal, and release the disabled A terminal identity command to disable the terminal or block traffic.
  • the monitoring center is configured to: issue a command for disabling the terminal identity to the edge router corresponding to the terminal location identifier; the edge router issues a command to disable the terminal identity according to the supervision center, Block traffic.
  • the monitoring center is configured to: query a mapping relationship between the terminal identity identifier and the location identifier in the mapping server, and obtain the terminal location identifier.
  • the supervision center is configured to: query the mapping server according to the terminal identity identifier in the illegal information source data packet sent by the terminal.
  • the monitoring center is further configured to: when the terminal sends the illegal information, obtain the terminal location identifier according to the mapping relationship between the terminal identity identifier and the location identifier stored by the terminal.
  • the monitoring center is further configured to: interact with the mapping server in advance to obtain and store a mapping relationship between the terminal identity and the location identifier.
  • the monitoring center is further configured to: when the terminal is illegally logged in, issue the terminal identity identification command to the authentication center according to the terminal identity identifier; and the certification center is disabled according to the supervision center
  • the terminal identity command is used to prohibit the terminal from logging in.
  • the monitoring center is configured to: when the terminal sends the illegal information, issue the terminal identity identification command to the mapping server according to the terminal identity identifier carried in the illegal information;
  • the disable terminal identity command blocks traffic.
  • FIG. 1 is a schematic diagram of a network topology based on an identity location separation architecture of an application according to Embodiment 1 of the present invention
  • FIG. 2 is a flow chart of the initiation of blocking by the supervision center according to Embodiment 2 of the present invention.
  • FIG. 3 is a flow chart of the initiation of blocking by the supervision center according to Embodiment 3 of the present invention.
  • FIG. 1 is a schematic diagram of a network topology based on an identity location separation architecture of an application according to Embodiment 1 of the present invention, illustrating in detail the following:
  • the network is divided into an access layer and a backbone layer, and each user in the network is assigned a unique host access identifier (AID), and the host access identifier AID remains unchanged during the mobile process;
  • the two types of identifiers are: the host access identifier AID and the route identifier (Route ID, RID).
  • the host access identifier AID can only be used at the access layer.
  • the route identifier RID can only be used at the backbone layer.
  • the network is divided into an access network and a backbone network.
  • the access network is located at the edge of the backbone network and is responsible for access of all terminals.
  • the backbone network is responsible for routing of terminals accessed through different access networks.
  • the Access Service Node (ASN) is located at the demarcation point between the backbone network and the access network, and interfaces with the access network to interface with the backbone network. There is no overlap between the access network and the backbone network in the topology relationship. Communication between user terminals is performed using only the host access identifier of the peer.
  • the access service node provides access services for the terminal, maintains user connections, and forwards user data.
  • the backbone network of this architecture is divided into two planes: a mapping forwarding plane and a generalized forwarding plane.
  • the main function of the generalized forwarding plane is to select and forward data packets according to the route identifier RID in the data packet.
  • the main function of the mapping forwarding plane is to save the mapping information of the mobile node identity location, process the registration process of the mobile node, and process the communication pair.
  • the main network elements and functional entities of this architecture include:
  • ASN Access Service Node, access service node.
  • the ASN maintains the connection relationship between the terminal and the network, allocates RIDs to the terminals, processes the handover process, processes the registration process, processes the accounting/authentication process, and maintains/queries the AID-RID mapping relationship of the communication peer.
  • the ASN encapsulates, routes, and forwards data packets sent by the terminal or terminal.
  • the ASN When receiving the data packet sent by the terminal MN, the ASN queries the AID-RID mapping table in the local cache according to the AIDc of the destination CN in the data packet: The corresponding AIDc-RIDc mapping entry is found, and the RIDc is used as The destination address is encapsulated in the packet header, and the RIDm corresponding to the MN source address AIDm is encapsulated in the packet header and forwarded to the generalized forwarding plane. If the corresponding AIDc-RIDc mapping entry is not found, the data packet is received. After the tunnel is encapsulated, it is forwarded to the mapping forwarding plane, and the process of querying the AIDc-RIDc mapping relationship is sent to the mapping forwarding plane.
  • the ASN When receiving the data packet sent by the network to the terminal, the ASN decapsulates the data packet, strips the RID encapsulation of the data packet header, and retains the AID as the data packet header to be sent to the terminal.
  • CR Common Router, general purpose router.
  • the data packet with the RID format as the source address/destination address is routed and forwarded.
  • the function of the general router is no different from that of the prior art router.
  • ILR/PTF Identity Location Register/Packet Transfer Function
  • ILR is an identity location register that maintains/saves the AID-RID mapping relationship of users in the network. Implement the registration function, handle the location query process of the communication peer;
  • PTF is the packet forwarding function. After receiving the data packet sent by the ASN, the PTF forwards and forwards the data in the mapping forwarding plane according to the destination AID. After the PTF node in the mapping forwarding plane finds the mapping relationship of the destination AID-RID, it encapsulates the corresponding RID information in the data header and forwards it to the generalized forwarding plane, which is routed by the generalized forwarding plane and forwarded to the communication peer.
  • the Certification Authority is responsible for recording the user attributes of the architecture network, including user categories, Authentication information, user service level and other information are generated, and user security information for authentication, integrity protection, and encryption is generated. Access control and authorization are performed when the user accesses, and the authentication center supports two-way authentication between the terminal and the network.
  • the access identifier AID of the end user during the valid legal lifetime remains unchanged.
  • Route ID The RID indicates the location of the ASN where the current terminal is located.
  • the ASN can assign a dedicated one or more RIDs to one terminal and register to the mapping forwarding plane; the ASN can also assign the same RID to multiple terminals.
  • the authentication center authenticates the authenticity of the identity
  • the identity location register stores the AID-RID mapping relationship of each node.
  • the access network part distinguishes the different nodes from the access identifier AID, and the generalized switching plane uses RID to route data packets.
  • the access identifier AID needs to be used to find the corresponding user route identifier RID.
  • the access identification AID of the local end needs to be carried as a source address in the data packet to the communication peer.
  • the communication peer can obtain the source identity from the source address carried in the data packet.
  • the network guarantees the authenticity of the user's identity by authenticating the user's identity with network credit, and builds a trust domain in the network.
  • the method for authenticating the user identity of the network according to different network systems may be a direct authentication of the user access identifier AID; or other types of user identification of the user in the network (for example, an international mobile user)
  • the IMSI, the network user identification NAI, and the like are authenticated, and the network device saves the correspondence between the user identification and the AID.
  • the RAN part of the existing access network can ensure the security of the Layer 2 connection and ensure that the data packets are not tampered with when the terminal user accesses the network.
  • code division multiple access CDMA
  • Asymmetric Digital Subscriber Line ADSL
  • dedicated line isolation GSM
  • GSM global system for Mobile communications
  • ASN When the terminal user accesses the network, a point-to-point connection relationship between the terminal user and the access management device ASN of the network is established.
  • the ASN binds the AID of the end user to the end-to-end user connection between the terminal and the ASN. If the source address of the packet sent from the user connection does not match the AID of the user, the ASN will discard the data packet.
  • the identity-based location separation architecture will ensure that the end user's AID is not spoofed and altered.
  • ASN, and communication equipment ILR/PTF, CR, authentication center, etc. from the source ASN to the destination ASN, are provided by the network operation and management, and the security of the data transmission by the network credit guarantees the data message. Honest and reliable.
  • the monitoring center is configured to: when the terminal sends the illegal information, obtain the terminal location identifier according to the terminal identity identifier carried in the illegal information sent by the terminal; and send a command to disable the terminal identity identifier to the edge router corresponding to the terminal location identifier .
  • the first type When the terminal sends the illegal information, the monitoring center searches the mapping relationship between the terminal identity and the location identifier in the mapping server according to the terminal identity in the illegal information source packet, and obtains the terminal location identifier.
  • the second type the monitoring center interacts with the mapping server in advance to obtain and store the mapping relationship between the terminal identity and the location identifier.
  • the monitoring center obtains the terminal location identifier according to the mapping relationship stored by the terminal.
  • the supervision center When the supervision center is used for illegal login of the terminal, the supervision center issues a command to disable the terminal identity to the authentication center according to the identity of the terminal, and the terminal cannot log in.
  • the supervising center issues a disabling terminal identity command to the mapping server according to the terminal identity identifier carried in the illegal information.
  • FIG. 2 is a flow chart of the initiation of blocking by the supervision center in the second embodiment of the present invention. The following is a detailed description of the following:
  • the supervisory center issues an banned terminal identity command to the authentication center according to the terminal identity, and the terminal cannot log in.
  • Step 201 The supervisory center supervises the user to log in illegally, and the supervisory center sends a command to disable the AIDx to the authentication center according to the identity of the user, and the user cannot implement the login.
  • Step 202 The authentication center blocks the user from logging in.
  • Step 301 When the terminal sends illegal information, the supervision center is based on the illegal information sent by the terminal. Carrying the terminal identity identifier, obtaining the terminal location identifier;
  • the first type When the terminal sends the illegal information, the monitoring center searches the mapping relationship between the terminal identity and the location identifier in the mapping server according to the terminal identity in the illegal information source packet, and obtains the terminal location identifier.
  • the monitoring center interacts with the mapping server in advance to obtain and store the mapping relationship between the terminal identity and the location identifier.
  • the monitoring center obtains the terminal location identifier according to the mapping relationship stored by the terminal.
  • Step 302 The supervisory center issues a command for disabling the terminal identity identifier to the edge router corresponding to the terminal location identifier.
  • Step 303 The edge router blocks traffic according to the command.
  • the edge routers in the above steps 302 and 303 can also be replaced with the mapping server, that is, the supervision center issues a command for disabling the terminal identity to the mapping server, and the mapping server blocks the command according to the command. Broken flow.
  • the system technical solution provided by the embodiment of the present invention includes: a terminal, a supervision center, and an edge router:
  • a terminal configured to send illegal information
  • the policing center carries the terminal identity identifier and the obtained terminal location identifier according to the illegal information sent by the terminal, and issues a command for disabling the terminal identity to the edge router corresponding to the terminal location identifier;
  • the edge router blocks traffic based on the command issued by the supervisory center to disable the terminal identity.
  • the monitoring center is further configured to query the mapping relationship between the terminal identity identifier and the location identifier in the mapping server according to the terminal identity identifier in the illegal information source data packet sent by the terminal, to obtain the terminal location identifier.
  • the supervisory center is further configured to interact with the mapping server in advance to obtain and store a mapping relationship between the terminal identity and the location identifier.
  • the monitoring center obtains the terminal location identifier according to the mapping relationship stored by the terminal.
  • the system technical solution provided by the embodiment of the present invention includes: a terminal, a supervision center, and a certification center: when the terminal is illegally logged in, the supervision center issues a disable terminal identity identification command to the authentication center according to the terminal identity identifier;
  • the authentication center prohibits the terminal from logging in according to the disabling the terminal identity command issued by the supervision center.
  • the system technical solution provided by the embodiment of the present invention includes: a terminal, a supervision center, and a mapping server:
  • the supervisory center When the terminal sends the illegal information, the supervisory center issues a command to disable the terminal identity identifier to the mapping server according to the terminal identity identifier carried in the illegal information.
  • the mapping server blocks traffic according to the disabling the terminal identity command issued by the supervision center.
  • a program instructing the associated hardware such as a read-only memory, a magnetic disk, or an optical disk.
  • all or part of the steps of the above embodiments may also be implemented using one or more integrated circuits.
  • each module/unit in the above embodiment may be implemented in the form of hardware or in the form of a software function module. The invention is not limited to any specific form of combination of hardware and software.
  • the method and system of the present invention when the regulatory center finds an illegal source of information, can block the spread of illegal information in real time, from the source, and from the entire network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

身份位置分离网络的阻断方法和系统
技术领域
本发明涉及数据通信领域， 尤其涉及一种身份位置分离网络的阻断方法 和系统。
背景技术
关于下一代信息网络架构的研究是当前最热门的课题之一， 目前大多数 研究接受的观点是： 未来网络将以互联网为统一承载网络。 互联网从其诞生 以来一直保持高速发展， 已成为当前最成功、 最具生命力的通信网络， 其灵 活可扩展性、 高效的分组交换、 终端强大的功能等特点非常符合新一代网络 的设计需要， 互联网将是新一代网络设计的主要参考蓝本。
然而， 互联网的结构还远远没有达到最优， 存在很多重大的设计问题， 其中比较典型的是 IP地址的双重属性的问题， 即 IP地址既代表用户身份， 又代表用户所处的网络拓朴， 即 IP地址的双重属性。 互联网发明于二十世纪 七十年代， 人们难以预计今天世界上将存在大量的移动终端和多家乡终端， 因此， 当时的互联网协议栈主要是针对以 "固定 "方式连接的终端而设计。 在 当时的网络环境下， 由于终端基本上不会从一个位置移动到其它位置， 发送 的地址就是接收的地址， 路径是可逆的， 所以具有身份和位置双重属性的 IP 地址能够非常好的工作， IP地址的身份属性与位置属性之间没有产生任何冲 突。 IP地址同时代表身份和位置恰恰满足了当时的网络需求。 从当时的网络 环境来看， 这种设计方案简单有效， 简化了协议栈的层次结构。
但毋庸置疑的是， IP地址的身份属性与位置属性之间存在着内部矛盾； IP地址的身份属性要求任意两个 IP地址都是平等的，虽然 IP地址可以按照 组织机构进行分配， 但是连续编码的 IP地址之间没有必然的关系； IP地址 的位置属性则要求 IP地址基于网络拓朴 (而不是组织机构）进行分配， 处于 同一个子网内的 IP地址都应该处于一个连续的 IP地址块中， 这样才可以使 网络拓朴中的 IP地址前缀聚合，从而减少路由器设备的路由表的条目，保证 路由系统的可扩展性。 总的来说， IP地址双重属性的内在矛盾将导致如下主要问题：
1. 路由可扩展问题。 关于互联网路由系统的可扩展性存在一个基本的假 定：
"地址按照拓朴进行分配， 或者拓朴按照地址进行部署， 二者必选其一"。 IP地址的身份属性要求 IP地址基于终端所属的组织机构 (而不是网络拓朴） 进行分配， 而且这种分配要保持一定的稳定性， 不能经常改变； 而 IP地址的 位置属性要求 IP地址基于网络拓朴进行分配， 以便保证路由系统的可扩展 性。 这样， IP地址的两种属性就产生了冲突， 最终引发了互联网路由系统的 可扩展问题。
2. 移动性问题。 IP地址的身份属性要求 IP地址不应该随着终端位置的 改变而变化， 这样才能够保证绑定在身份上的通信不中断， 也能够保证终端 在移动后， 其它终端仍能够使用它的身份与之建立通信联系； 而 IP地址的位 置属性则要求 IP地址随着终端位置的改变而改变， 以便 IP地址能够在新的 网络拓朴中聚合， 否则网络就必须为移动后的终端保留单独的路由信息， 从 而造成路由表条目的急剧增长。
3. 多家乡问题。 多家乡通常指终端或网络同时通过多个国际互联网络服 务提供者（Internet Services Provider, ISP ) 的网络接入到互联网， 多家乡技 术的优点包括增加网络的可靠性、 支持多个 ISP之间的流量负载均衡和提高 总体可用带宽等。 但是， IP地址双重属性的内在矛盾使得多家乡技术难以实 现。 IP地址的身份属性要求一个多家乡终端始终对其它终端展现不变的身份， 无论该多家乡终端是通过几个 ISP接入到互联网； 而 IP地址的位置属性则要 求一个多家乡终端在不同的 ISP网络中使用不同的 IP地址通信，这样才能保 证终端的 IP地址能够在 ISP 网络的拓朴中聚合。
4. 安全和位置隐私问题。由于 IP地址同时包含终端的身份信息和位置信 息，所以通信对端和恶意窃听者都可以才艮据一个终端的 IP地址同时获得该终 端的身份信息和拓朴位置信息。
总的来说， 自从传统互联网的体系结构建立以来， 互联网的技术环境和 用户群体都已经发生了翻天覆地的变化， 互联网需要随之进行革新。 IP地址 的双重属性问题是困扰互联网继续发展的根本原因之一， 将 IP地址的身份属 性和位置属性进行分离， 是解决互联网所面临问题的一个很好的思路。 新网 络将基于这种思路进行设计， 提出一种身份信息与位置信息分离映射的网络 结构， 以解决现有互联网存在的一些严重弊端。
为了解决身份和位置的问题， 业界进行了大量的研究和探索， 所有身份 与位置分离方案的基本思想都是将原本绑定在 IP地址上的身份与位置双重属 性分离。 其中， 有些方案釆用应用层的统一资源定位符 （Uniform Resource Locator, URL )是用于完整地描述 Internet上网页和其他资源的地址的一种标 识方法， 或合格域名 ( Fully Qualified Domain Name, FQDN )作为终端的身 份标识；有些方案引入了新的名字空间作为身份标识，如主机身份协议（Host Identity Protocol , HIP ) , 在以 IP地址为标识网络层上增加主机标识； 有些方 案将 IP地址进行分类， 部分 IP作为身份标识， 部分 IP作为位置标识， 如 位置 /标识分离协议（Locator/ID Separation Protocol, LISP )等； 北方交通大 学张宏科的专利 CN200610001825也提出一种解决方案， 使用 IP地址作为主 机的位置标识， 引入端主机标识作为身份标识， 解决身份和位置分离的问题。
上述方案都从问题的一些局部提出在现有的网络架构下实现身份与位置 分离解决方案， 身份与位置分离是未来数据通信网络的核心技术， 特别是移 动数据通信网络。
现有身份位置分离技术中， 必须建立身份标识和位置标识之间的映射关 系， 供网络设备寻址时使用。 这个映射关系保持在映射服务器中， 边缘路由 器接收从终端发来的数据包， 如果数据包的目的身份标识是未知的， 需要去 查询映射服务器的身份位置映射表， 根据目的身份标识查到目的位置标识， 将数据包封装后发生到相应网络。
现有 Internet网上有大量的非法信息来源， 如垃圾邮件、 病毒攻击源、 法 轮功网站等， 出于网络安全的考虑， 国家信息监管部门或者某些个人， 有时 需要对非法信息进行阻断。 但是， 这个阻断过程非常麻烦， 步骤很多：
第一， 要从数据包中取得非法信息源的 IP地址； 第二， 要根据非法信息 源的 IP地址网段划分规则，找到分配这个 IP地址的 RAS接入服务器； 第三， 要根据 RAS地址分配的物理信息，找到非法信息源所在的物理线路或二层交 换机， 然后将物理线路或二层交换机阻断。 而且， 此类阻断通常是一次性行 为， 就是说非法信息源更换 IP地址后又发出非法信息， 还需要网络安全部门 重新进行阻断， 因此， 现网上国家安全部门事实上放弃了对非法信息源的阻 断操作， 而是釆取内容过滤的方式， 例如对 "法轮功" 等关键词进行过滤。
目前， 在现有的身份与位置分离网络架构下， 不能实现对非法信息的实 时、 彻底的阻断。
发明内容
本发明要解决的技术问题是提供一种身份位置分离网络下的阻断方法和 系统， 实现了非法信息的实时、 彻底的阻断。
为解决以上技术问题，本发明提供了一种身份位置分离网络的阻断方法， 该方法包括：
终端发送非法信息时， 监管中心根据所述终端发送的非法信息中携带的 终端身份标识， 获得终端位置标识；
所述监管中心向所述终端位置标识对应的边缘路由器下达禁用所述终端 身份标识的命令； 以及
所述边缘路由器根据所述命令， 阻断流量。
优选地， 所述监管中心根据所述终端发送的非法信息中携带了终端身份 标识， 获得的终端位置标识的途径包括：
所述终端发送非法信息时， 所述监管中心根据非法信息源数据包中的所 述终端身份标识， 查询映射服务器中的所述终端身份标识与位置标识的映射 关系， 获得所述终端位置标识。
优选地， 所述监管中心根据所述终端发送的非法信息中携带了终端身份 标识， 获得的终端位置标识的途径包括： 所述终端发送非法信息时， 所述监 管中心根据自身存储的所述终端身份标识与位置标识的映射关系， 获得所述 终端位置标识。
优选地， 所述监管中心根据所述终端发送的非法信息中携带了终端身份 标识， 获得的终端位置标识的步骤还包括： 所述监管中心预先与所述映射服 务器交互， 获得并存储所述终端身份标识与位置标识的映射关系。 优选地， 终端非法登录时， 所述监管中心根据所述终端身份标识， 向认 证中心下达禁用所述终端身份标识命令， 所述终端不能实现登录。
优选地， 终端发送非法信息时， 所述监管中心根据所述非法信息中携带 的所述终端身份标识， 向所述映射服务器下达禁用所述终端身份标识命令。
为解决以上技术问题， 本发明还提供了一种身份位置分离网络的阻断系 统， 该系统包括终端、 监管中心、 边缘路由器：
所述终端设置为： 发送非法信息；
所述监管中心设置为： 根据所述终端发送的非法信息中携带的终端身份 标识， 获得的终端位置标识， 向所述终端位置标识对应的边缘路由器下达禁 用所述终端身份标识的命令；
所述边缘路由器设置为： 根据所述监管中心下达禁用所述终端身份标识 的命令， 阻断流量。
优选地， 所述监管中心是设置为： 根据终端发送的非法信息源数据包中 的所述终端身份标识， 查询映射服务器中的所述终端身份标识与位置标识的 映射关系， 获得所述终端位置标识。
优选地， 所述监管中心还设置为： 所述终端发送非法的信息时， 根据自 身存储的终端身份标识与位置标识的映射关系， 获得所述终端位置标识。
优选地， 所述监管中心还设置为： 预先与所述映射服务器交互， 获得并 存储所述终端身份标识与位置标识的映射关系。
为解决以上技术问题， 本发明还提供了另一种身份位置分离网络的阻断 系统， 该系统包括： 监管中心、 认证中心：
所述监管中心设置为： 终端非法登录时， 根据所述终端身份标识， 向所 述认证中心下达禁用所述终端身份标识命令；
所述认证中心设置为： 根据所述监管中心下达的禁用所述终端身份标识 命令， 禁止所述终端登录。
为解决以上技术问题， 本发明还提供了一种身份位置分离网络的阻断系 统， 该系统包括： 监管中心、 映射服务器： 所述监管中心设置为： 终端发送非法信息时， 根据所述非法信息中携带 的所述终端身份标识， 向所述映射服务器下达禁用所述终端身份标识命令； 所述映射服务器设置为： 根据所述监管中心下达的禁用所述终端身份标 识命令阻断流量。
本发明还提供了一种身份位置分离网络的阻断系统的监管中心， 所述监管中心设置为：根据终端发送的非法信息中携带的终端身份标识， 获得的终端位置标识， 并下达禁用所述终端身份标识的命令以禁用所述终端 或阻断流量。
优选地， 所述监管中心是设置为： 向所述终端位置标识对应的边缘路由 器下达禁用所述终端身份标识的命令； 所述边缘路由器根据所述监管中心下 达禁用所述终端身份标识的命令， 阻断流量。
优选地， 所述监管中心是设置为： 查询映射服务器中的所述终端身份标 识与位置标识的映射关系， 获得所述终端位置标识。
优选地， 所述监管中心是设置为： 根据终端发送的非法信息源数据包中 的所述终端身份标识查询映射服务器。
优选地， 所述监管中心还设置为： 所述终端发送非法的信息时， 根据自 身存储的终端身份标识与位置标识的映射关系， 获得所述终端位置标识。
优选地， 所述监管中心还设置为： 预先与所述映射服务器交互， 获得并 存储所述终端身份标识与位置标识的映射关系。
优选地， 所述监管中心还设置为： 终端非法登录时， 根据所述终端身份 标识， 向所述认证中心下达禁用所述终端身份标识命令； 所述认证中心根据 所述监管中心下达的禁用所述终端身份标识命令， 禁止所述终端登录。
优选地， 所述监管中心设置为： 终端发送非法信息时， 根据所述非法信 息中携带的所述终端身份标识， 向所述映射服务器下达禁用所述终端身份标 识命令； 所述映射服务器根据所述禁用终端身份标识命令阻断流量。
本发明方法和系统， 监管中心一旦发现非法信息来源， 可以实时地、 从 源头上、 从全网范围内阻断非法信息的传播。 附图概述
此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部 分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的 不当限定。 在附图中：
图 1是本发明实施例 1的应用的基于身份位置分离架构的网络拓朴示意 图；
图 2是本发明实施例 2的监管中心发起阻断流程图；
图 3是本发明实施例 3的监管中心发起阻断流程图。
本发明的较佳实施方式
为使本发明的目的、 技术方案和优点更加清楚， 以下结合附图对本发明 进行进一步详细说明。 需要说明的是， 在不冲突的情况下， 本申请中的实施 例及实施例中的特征可以相互组合。
图 1是本发明实施例 1的应用的基于身份位置分离架构的网络拓朴示意 图， 详细说明 ¾口下：
将网络划分为接入层和骨干层， 为网络中的每个用户分配唯一的主机接 入标识（ Access ID, AID ) , 该主机接入标识 AID在移动过程中始终保持不 变； 网络中有两种标识类型： 主机接入标识 AID和路由标识 (Route ID, RID), 其中， 主机接入标识 AID只能在接入层使用， 路由标识 RID只能在骨干层使 用。
在该框架下， 网络划分为接入网和骨干网， 接入网位于骨干网的边缘， 负责所有终端的接入； 骨干网负责通过不同接入网接入的终端的路由。 接入 服务节点（Access Service Node, ASN )位于骨干网和接入网的分界点， 与接 入网接口， 与骨干网接口。 接入网与骨干网在拓朴关系上没有重叠。 用户终 端间进行通信只需使用对端的主机接入标识进行。 接入服务节点为终端提供 接入服务， 维护用户连接， 转发用户数据。
本架构骨干网组网时分为两个平面： 映射转发平面， 广义转发平面。 广义转发平面主要功能是根据数据报文中的路由标识 RID进行选路和转 发数据报文； 映射转发平面主要功能是保存移动节点身份位置的映射信息， 处理移动节点的登记注册流程， 处理通信对端的位置查询流程， 路由并转发 以接入标识 AID为目的地址的数据报文。
本架构的主要网元和功能实体包括：
ASN: Access Service Node, 接入服务节点。 ASN维护终端与网络的连 接关系， 为终端分配 RID, 处理切换流程， 处理登记注册流程， 处理计费 /鉴 权流程 , 维护 /查询通讯对端的 AID-RID映射关系。
ASN封装、 路由并转发送达终端或终端发出的数据报文。
ASN收到终端 MN发来的数据报文时， 根据数据报文中目的地址通信对 端 CN的 AIDc查询本地緩存中的 AID-RID映射表： 查到对应的 AIDc-RIDc 映射条目， 将 RIDc作为目的地址封装在报文头部， 将 MN源地址 AIDm对 应的 RIDm作为源地址封装在报文头部， 并转发到广义转发平面； 如果没有 查到对应的 AIDc-RIDc映射条目， 将数据报文做隧道封装后转发到映射转发 平面， 并向映射转发平面发出查询 AIDc-RIDc映射关系的流程。
ASN收到网络发往终端的数据报文时， 对数据报文进行解封装处理， 剥 去数据报文头部的 RID封装， 保留 AID作为数据报文头部发往终端。
CR: Common Router, 通用路由器。 路由并转发以 RID格式为源地址 / 目的地址的数据报文， 该通用路由器的功能作用与现有技术中的路由器没有 区别。
ILR/PTF: Identity Location Register/Packet Transfer Function, ILR是身份位 置寄存器， 维护 /保存本架构网络中用户的 AID-RID映射关系。 实现登记注册 功能， 处理通信对端的位置查询流程； PTF是分组转发功能。 映射转发平面 在收到 ASN送达的数据报文后， 由 PTF根据目的 AID在映射转发平面内路 由并转发。 映射转发平面内 PTF节点在查到目的 AID-RID的映射关系后， 在 数据 "^文头部封装对应的 RID信息并转发到广义转发平面， 由广义转发平面 路由并转发到通信对端。
认证中心： 认证中心负责记录本架构网络的用户属性， 包括用户类别、 鉴权信息、 用户服务等级等信息， 产生用于鉴权、 完整性保护和加密的用户 安全信息， 在用户接入时进行接入控制和授权， 认证中心支持终端与网络间 的双向鉴权。
在基于身份位置分离架构中， 有效合法存续期间的终端用户的接入标识 AID始终保持不变。路由标识 RID标示当前终端所在的 ASN位置。根据业务 需要， ASN可以为一个终端分配专用的一个或多个 RID并注册登记到映射转 发平面； ASN也可为多个终端分配相同的 RID。 终端用户接入网络时， 通过 认证中心鉴权保证身份标识的真实性， 身份位置寄存器保存了各个节点的 AID-RID映射关系。 接入网部分区别不同节点釆用接入标识 AID , 广义交换 平面釆用 RID路由数据报文， 建立端到端的通信过程都需要用接入标识 AID 查找对应的用户路由标识 RID。 端到端通信过程中， 需要将本端的接入识别 AID作为源端地址在数据报文中携带到通信对端。 通信对端能够从数据报文 携带的源端地址获得源端身份。
网络通过对用户身份的鉴权以网络信用保证了用户身份的真实可靠， 在 网络中构建了一个信任域。 网络对用户身份的鉴权方法根据不同的网络体制 釆用不同的方法， 可以是对用户接入标识 AID直接鉴权； 也可以是对网络中 标识用户的其他类型的用户识别（例如国际移动用户识别 IMSI、 网络用户识 别 NAI等 )进行鉴权， 网络设备将保存该用户识别与 AID之间的对应关系。
现有接入网 RAN部分能够保证二层连接安全性，保证终端用户接入网络 时数据报文不被篡改。例如：码分多址（ code division multiple access, CDMA ) 无线接入， 釆用码分多址方式； 非同步数字用户专线 （Asymmetric Digital Subscriber Line , ADSL )釆用专线隔离方式全球通， ( global system for mobile communications, GSM )釆用频分多址方式； 所有的终端用户都是通过鉴权认 证的网络有效合法用户。
终端用户在接入网络时，将建立终端用户与网络的接入管理设备 ASN间 的点到点连接关系。 ASN将终端用户的 AID绑定在终端与 ASN间的端到端 用户连接上，如果从该用户连接上发出报文的源地址与该用户的 AID不匹配， ASN将丟弃数据报文， 这样， 基于身份位置分离架构将能够保证终端用户的 AID不被仿冒和更改。 ASN, 以及从源端 ASN到目的端 ASN之间的通信设备 ILR/PTF, CR, 认证中心等， 由网络运营和管理方提供， 由网络信用保证数据报文传输的安 全性， 保证数据报文真实可靠。
监管中心， 用于终端发送非法信息时， 根据所述终端发送的非法信息中 携带的终端身份标识， 获得终端位置标识； 向所述终端位置标识对应的边缘 路由器下达禁用所述终端身份标识的命令。
监管中心获得终端位置标识途径有以下两种：
第一种： 终端发送非法信息时， 监管中心根据非法信息源数据包中的终 端身份标识， 查询映射服务器中的终端身份标识与位置标识的映射关系， 获 得终端位置标识。
第二种： 监管中心预先与映射服务器交互， 获得并存储终端身份标识与 位置标识的映射关系； 终端发送非法的信息时， 监管中心根据自身存储的映 射关系， 获得终端位置标识。
监管中心， 还用于终端非法登录时， 监管中心根据终端身份标识， 向认 证中心下达禁用终端身份标识命令， 终端不能实现登录。
终端发送非法信息时， 监管中心根据非法信息中携带的所述终端身份标 识， 向映射服务器下达禁用终端身份标识命令。
图 2是本发明实施例 2的监管中心发起阻断流程图， 详细介绍如下： 终端 /用户非法登录时， 监管中心根据终端身份标识， 向认证中心下达禁 用终端身份标识命令， 终端不能实现登录。
步骤 201 , 监管中心监管到用户非法登录， 监管中心根据该用户的身份 标识 AIDx , 向认证中心下达将该 AIDx禁用的命令， 用户不能实现登录； 步骤 202, 认证中心阻断该用户登录。
图 3是本发明实施例 3的监管中心发起阻断流程图， 详细介绍如下： 步骤 301 , 终端发送非法信息时， 监管中心根据终端发送的非法信息中 携带的终端身份标识， 获得终端位置标识；
监管中心根据终端发送的非法信息中携带的终端身份标识， 获得终端位 置标识的途径有两种：
第一种： 终端发送非法信息时， 监管中心根据非法信息源数据包中的终 端身份标识， 查询映射服务器中的终端身份标识与位置标识的映射关系， 获 得终端位置标识。
第二种， 监管中心预先与映射服务器交互， 获得并存储终端身份标识与 位置标识的映射关系； 终端发送非法的信息时， 监管中心根据自身存储的所 述映射关系， 获得终端位置标识。
步骤 302 , 监管中心向终端位置标识对应的边缘路由器下达禁用终端身 份标识的命令；
步骤 303 , 边缘路由器根据所述命令， 阻断流量。
对由映射服务器实现流量转发的系统而言， 以上步骤 302和 303中的边 缘路由器也可以替换为映射服务器， 即监管中心向映射服务器下达禁用终端 身份标识的命令， 映射服务器根据所述命令， 阻断流量。
本发明实施例提供的系统技术方案， 包括： 终端、 监管中心、 边缘路由 器：
终端， 用于发送非法信息；
监管中心， 根据终端发送的非法信息中携带了终端身份标识， 获得的终 端位置标识， 向终端位置标识对应的边缘路由器下达禁用终端身份标识的命 令；
边缘路由器， 根据监管中心下达禁用终端身份标识的命令， 阻断流量。 监管中心，还用于根据终端发送的非法信息源数据包中的终端身份标识， 查询映射服务器中的终端身份标识与位置标识的映射关系， 获得终端位置标 识。
监管中心， 还用于预先与映射服务器交互， 获得并存储终端身份标识与 位置标识的映射关系； 终端发送非法的信息时， 监管中心根据自身存储的所 述映射关系， 获得终端位置标识。 本发明实施例提供的系统技术方案， 包括： 终端、 监管中心、 认证中心： 终端非法登录时， 监管中心根据所述终端身份标识， 向认证中心下达禁 用终端身份标识命令；
所述认证中心， 根据所述监管中心下达的禁用所述终端身份标识命令， 禁止所述终端登录。
本发明实施例提供的系统技术方案， 包括： 终端、 监管中心、 映射服务 器：
终端发送非法信息时， 监管中心根据非法信息中携带的终端身份标识， 向映射服务器下达禁用所述终端身份标识命令；
所述映射服务器， 根据所述监管中心下达的禁用所述终端身份标识命令 阻断流量。 本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
当然， 本发明还可有其他多种实施例， 在不背离本发明精神及其实质的 但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
工业实用性 本发明方法和系统， 监管中心一旦发现非法信息来源， 可以实时地、 从 源头上、 从全网范围内阻断非法信息的传播。

Claims

权 利 要 求 书
1、 一种身份位置分离网络的阻断方法， 该方法包括：
终端发送非法信息时， 监管中心根据所述终端发送的非法信息中携带的 终端身份标识， 获得终端位置标识；
所述监管中心向所述终端位置标识对应的边缘路由器下达禁用所述终端 身份标识的命令； 以及
所述边缘路由器根据所述命令， 阻断流量。
2、 如权利要求 1所述的方法，其中， 所述监管中心根据所述终端发送的 非法信息中携带了终端身份标识， 获得的终端位置标识的途径包括：
所述终端发送非法信息时， 所述监管中心根据非法信息源数据包中的所 述终端身份标识， 查询映射服务器中的所述终端身份标识与位置标识的映射 关系， 获得所述终端位置标识。
3、 如权利要求 1所述的方法，其中， 所述监管中心根据所述终端发送的 非法信息中携带了终端身份标识， 获得的终端位置标识的途径包括： 所述终 端发送非法信息时， 所述监管中心根据自身存储的所述终端身份标识与位置 标识的映射关系， 获得所述终端位置标识。
4、 如权利要求 3所述的方法，其中， 所述监管中心根据所述终端发送的 非法信息中携带了终端身份标识， 获得的终端位置标识的步骤还包括： 所述 监管中心预先与所述映射服务器交互， 获得并存储所述终端身份标识与位置 标识的映射关系。
5、 如权利要求 1所述的方法， 其中， 该方法还包括： 终端非法登录时， 所述监管中心根据所述终端身份标识， 向认证中心下达禁用所述终端身份标 识命令， 所述终端不能实现登录。
6、 如权利要求 1所述的方法， 其中， 该方法还包括： 终端发送非法信息 时， 所述监管中心根据所述非法信息中携带的所述终端身份标识， 向所述映 射服务器下达禁用所述终端身份标识命令。
7、 一种身份位置分离网络的阻断系统， 该系统包括终端、监管中心、 边 缘路由器：
所述终端设置为： 发送非法信息；
所述监管中心设置为： 根据所述终端发送的非法信息中携带的终端身份 标识， 获得的终端位置标识， 向所述终端位置标识对应的边缘路由器下达禁 用所述终端身份标识的命令；
所述边缘路由器设置为： 根据所述监管中心下达禁用所述终端身份标识 的命令， 阻断流量。
8、 如权利要求 7所述的系统， 其中， 所述监管中心是设置为： 根据终端 发送的非法信息源数据包中的所述终端身份标识， 查询映射服务器中的所述 终端身份标识与位置标识的映射关系， 获得所述终端位置标识。
9、 如权利要求 7所述的系统， 其中， 所述监管中心还设置为： 所述终端 发送非法的信息时， 根据自身存储的终端身份标识与位置标识的映射关系， 获得所述终端位置标识。
10、 如权利要求 9所述的系统， 其中， 所述监管中心还设置为： 预先与 所述映射服务器交互，获得并存储所述终端身份标识与位置标识的映射关系。
11、 一种身份位置分离网络的阻断系统， 该系统包括： 监管中心、 认证 中心：
所述监管中心设置为： 终端非法登录时， 根据所述终端身份标识， 向所 述认证中心下达禁用所述终端身份标识命令；
所述认证中心设置为： 根据所述监管中心下达的禁用所述终端身份标识 命令， 禁止所述终端登录。
12、 一种身份位置分离网络的阻断系统， 该系统包括： 监管中心、 映射 服务器：
所述监管中心设置为： 终端发送非法信息时， 根据所述非法信息中携带 的所述终端身份标识， 向所述映射服务器下达禁用所述终端身份标识命令； 所述映射服务器设置为： 根据所述监管中心下达的禁用所述终端身份标 识命令阻断流量。
13、 一种身份位置分离网络的阻断系统的监管中心，
所述监管中心设置为：根据终端发送的非法信息中携带的终端身份标识， 获得的终端位置标识， 并下达禁用所述终端身份标识的命令以禁用所述终端 或阻断流量。
14、 如权利要求 13所述的监管中心， 其中， 所述监管中心是设置为： 向 所述终端位置标识对应的边缘路由器下达禁用所述终端身份标识的命令； 所述边缘路由器根据所述监管中心下达禁用所述终端身份标识的命令， 阻断流量。
15、 如权利要求 13所述的监管中心， 其中， 所述监管中心是设置为： 查 询映射服务器中的所述终端身份标识与位置标识的映射关系， 获得所述终端 位置标识。
16、 如权利要求 15所述的监管中心， 其中， 所述监管中心是设置为： 根 据终端发送的非法信息源数据包中的所述终端身份标识查询映射服务器。
17、 如权利要求 13所述的监管中心， 其中， 所述监管中心还设置为： 所 述终端发送非法的信息时， 根据自身存储的终端身份标识与位置标识的映射 关系， 获得所述终端位置标识。
18、 如权利要求 17所述的监管中心， 其中， 所述监管中心还设置为： 预 先与所述映射服务器交互， 获得并存储所述终端身份标识与位置标识的映射 关系。
19、 如权利要求 13所述的监管中心， 其中，
所述监管中心还设置为： 终端非法登录时， 根据所述终端身份标识， 向 所述认证中心下达禁用所述终端身份标识命令；
所述认证中心根据所述监管中心下达的禁用所述终端身份标识命令， 禁 止所述终端登录。
20、 如权利要求 13所述的监管中心， 其中， 所述监管中心设置为： 终端发送非法信息时， 根据所述非法信息中携带 的所述终端身份标识， 向所述映射服务器下达禁用所述终端身份标识命令； 所述映射服务器根据所述禁用终端身份标识命令阻断流量。
PCT/CN2011/073320 2010-12-06 2011-04-26 身份位置分离网络的阻断方法和系统 WO2012075770A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010574427.4A CN102487386B (zh) 2010-12-06 2010-12-06 身份位置分离网络的阻断方法和系统
CN201010574427.4 2010-12-06

Publications (1)

Publication Number Publication Date
WO2012075770A1 true WO2012075770A1 (zh) 2012-06-14

Family

ID=46152840

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/073320 WO2012075770A1 (zh) 2010-12-06 2011-04-26 身份位置分离网络的阻断方法和系统

Country Status (2)

Country Link
CN (1) CN102487386B (zh)
WO (1) WO2012075770A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114079630A (zh) * 2020-08-10 2022-02-22 中国移动通信集团浙江有限公司 基于spn网络的业务保护方法、装置、设备以及存储介质

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105847234B (zh) * 2016-03-11 2018-11-20 中国联合网络通信集团有限公司 可疑终端接入预警方法、网关管理平台及网关设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1801764A (zh) * 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
CN2819663Y (zh) * 2005-01-25 2006-09-20 上海宝信软件股份有限公司 内网ip地址发现与阻断系统
CN101483675A (zh) * 2008-01-11 2009-07-15 华为技术有限公司 一种网络设备查找方法和网络设备
CN101730101A (zh) * 2009-04-15 2010-06-09 中兴通讯股份有限公司 身份标识与位置分离的实现方法、系统及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN2819663Y (zh) * 2005-01-25 2006-09-20 上海宝信软件股份有限公司 内网ip地址发现与阻断系统
CN1801764A (zh) * 2006-01-23 2006-07-12 北京交通大学 一种基于身份与位置分离的互联网接入方法
CN101483675A (zh) * 2008-01-11 2009-07-15 华为技术有限公司 一种网络设备查找方法和网络设备
CN101730101A (zh) * 2009-04-15 2010-06-09 中兴通讯股份有限公司 身份标识与位置分离的实现方法、系统及装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114079630A (zh) * 2020-08-10 2022-02-22 中国移动通信集团浙江有限公司 基于spn网络的业务保护方法、装置、设备以及存储介质

Also Published As

Publication number Publication date
CN102487386A (zh) 2012-06-06
CN102487386B (zh) 2016-02-10

Similar Documents

Publication Publication Date Title
US9762490B2 (en) Content filtering for information centric networks
CN107018056B (zh) 具有mac(l2)级认证、安全和策略控制的增强的evpn mac路由通知
US10397066B2 (en) Content filtering for information centric networks
CN106878253B (zh) Mac（l2）层认证、安全性和策略控制
US8576845B2 (en) Method and apparatus for avoiding unwanted data packets
US7974279B2 (en) Multipath data communication
WO2011069399A1 (zh) 地址映射方法及接入业务节点
WO2011041967A1 (zh) 匿名通信的方法、注册方法、信息收发方法及系统
EP2345212A1 (en) Method and apparatus for forwarding data packets using aggregating router keys
WO2011044808A1 (zh) 一种匿名通信的溯源方法及系统
WO2011131097A1 (zh) 数据报文处理方法、系统及接入服务节点
WO2011140919A1 (zh) 接入业务批发网络的方法、设备、服务器和系统
WO2012130128A1 (zh) 一种实现网络标识转换的方法、装置及系统
US20240137338A1 (en) Border gateway protocol (bgp) flowspec origination authorization using route origin authorization (roa)
WO2011082584A1 (zh) 数据报文分类处理的实现方法、网络及终端
WO2011082583A1 (zh) 数据报文分类处理的实现方法、网络、终端及互通服务节点
Li et al. SDN-Ti: a general solution based on SDN to attacker traceback and identification in IPv6 networks
WO2011032478A1 (zh) 一种获取终端身份标识的方法、装置及终端
WO2012075768A1 (zh) 身份位置分离网络的监听方法和系统
WO2012075770A1 (zh) 身份位置分离网络的阻断方法和系统
JP4080402B2 (ja) 名前解決・認証方法及び装置
WO2011131002A1 (zh) 身份管理方法及系统
ENISA ENISA
Taniguchi et al. Design and Evaluation of a Proxy‐Based Monitoring System for OpenFlow Networks
Raheem et al. Supporting communications in the iots using the location/id split protocol: a security analysis

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11847278

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11847278

Country of ref document: EP

Kind code of ref document: A1