WO2013120356A1 - 端口控制协议快速恢复方法和装置 - Google Patents

端口控制协议快速恢复方法和装置 Download PDF

Info

Publication number
WO2013120356A1
WO2013120356A1 PCT/CN2012/082757 CN2012082757W WO2013120356A1 WO 2013120356 A1 WO2013120356 A1 WO 2013120356A1 CN 2012082757 W CN2012082757 W CN 2012082757W WO 2013120356 A1 WO2013120356 A1 WO 2013120356A1
Authority
WO
WIPO (PCT)
Prior art keywords
token
pcp
mapping information
user
pcp server
Prior art date
Application number
PCT/CN2012/082757
Other languages
English (en)
French (fr)
Inventor
张大成
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2013120356A1 publication Critical patent/WO2013120356A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/40—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass for recovering from a failure of a protocol instance or entity, e.g. service redundancy protocols, protocol state redundancy or protocol service redirection

Definitions

  • the present invention relates to the field of communications, and in particular, to a method and apparatus for quickly recovering a port control protocol.
  • PCP Port Control Protocol
  • IPv6 Internet Protocol version 6, Internet Protocol version 6
  • IPv4 Internet Protocol version 4, Internet Protocol version 4
  • host control network address translator Network Address Translator, NAT
  • firewall devices translate and forward IPv6 or IPv4 packets.
  • PCP allows applications to create mappings from external IP addresses and ports to internal IP addresses and ports. These mappings are necessary for normal communication of devices located behind a NAT or firewall.
  • the PCP protocol provides a fast recovery mechanism. After the primary PCP server fails, another backup PCP server will take over the failed PCP server and quickly establish a mapping relationship to maintain normal communication.
  • the existing fast recovery mechanism has security flaws, and a malicious attacker can exploit the security flaw to attack the network, thereby greatly affecting normal communication.
  • the method and device provided by the embodiments of the present invention solve the current fast recovery machine in the PCP protocol Security defects in the system.
  • An embodiment of the present invention provides a method for quickly recovering a port control protocol, where the method includes: a backup PCP server notifying a user that a PCP server switch occurs;
  • the standby PCP server generates new mapping information according to the received token Token.
  • An embodiment of the present invention provides a port control protocol fast recovery device, where the device includes: a primary PCP server receives a PCP mapping request sent by a user;
  • the primary PCP server generates mapping information, and generates a token Token according to the mapping information; the primary PCP server sends the generated token Token to the user.
  • the technical solution provided by the embodiment of the present invention obtains a token Token by protecting the mapping information, and uses the obtained token Token to verify the validity of the user identity when performing the fast recovery of the PCP, thereby When the PCP server fails, the fast switching between the primary and backup PCP servers is completed securely and reliably, ensuring the normal operation of the user communication service.
  • FIG. 1 is a schematic flow chart of a method for quickly recovering a port control protocol according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a token Token instance according to an embodiment of the present invention.
  • FIG. 3 is a schematic flowchart of another method for quickly recovering a port control protocol according to an embodiment of the present invention
  • FIG. 4 is a schematic flowchart of still another method for quickly recovering a port control protocol according to an embodiment of the present invention
  • FIG. 5 is a schematic structural diagram of a port control protocol fast recovery apparatus according to an embodiment of the present invention.
  • FIG. 6 is a schematic structural diagram of another port control protocol fast recovery apparatus according to an embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of still another port control protocol fast recovery system according to an embodiment of the present invention.
  • the embodiment of the present invention obtains the token Token by protecting the mapping information, and uses the obtained token Token to verify the validity of the user identity when performing the PCP fast recovery, thereby completing the security and reliability when the primary PCP server fails.
  • the main standby PCP server quickly switches to ensure the normal operation of the user communication service.
  • a PCP fast recovery method includes:
  • backup PCP server notifies the user that a PCP server switch occurs
  • the backup PCP server takes over the failed primary PCP server, and notifies the user that a PCP server switch occurs, and the user submits a PCP mapping request to the backup PCP server after receiving the notification. For example, after the network feels that the primary PCP server is faulty, the backup PCP server is notified to take over the failed primary PCP server, or the backup PCP server detects the status of the primary PCP server. When the primary PCP server fails, the master is replaced. Work with a PCP server. 102. The backup PCP server receives the token Token sent by the user.
  • the user After receiving the notification that the PCP server sent by the backup PCP server is switched, the user sends a token Token request to the backup PCP server to establish a mapping.
  • the token Token can be obtained as follows: When the user establishes a mapping through the primary PCP server, the primary PCP server signs the generated mapping information or uses a message authentication code (MAC) pair. The mapping message is protected, the token Token is obtained, and the obtained token Token is sent to the user, and the user saves the token Token.
  • the algorithm for signing can be, for example, a general keyword cryptographic algorithm (Ron Rivest, Adi Shamirh and Len Adleman algorithm, RSA), and the MAC protection algorithm can be, for example, a hash-based message authentication code (HMAC). ), MAC-SHA1 or MAC-SHA2, etc., where SHA is the abbreviation of Secure Hash Algorithm.
  • the user sends a request for establishing a mapping to the primary PCP server, and the primary PCP server agrees with the request for establishing a mapping sent by the user, and protects the generated mapping information by using a locally saved key, thereby obtaining corresponding mapping information.
  • Token Token The above key may be a signature public key private key pair or a MAC symmetric key, which is shared by the PCP primary and secondary servers.
  • An example of a token Token is shown in Figure 2. The meaning of the parameters in the Token instance is as follows:
  • Option Code option code, used to identify the option type
  • Reserved reserved field; the value can be agreed by the user and the PCP server, for example, it can be set to all 0;
  • Option Length the option length field, indicating the total length from the Protocol field to the Signature or MAC field, in bytes;
  • Protocol indicating the upper layer protocol related to the mapping information, and the value may follow an Internet Assigned Number Authority (IANA) protocol registry, for example, When the field value is 6, it represents the Transmission Control Protocol (TCP); Algorithm, the algorithm used for mapping information signature and MAC protection, is represented by a sequence number. For example, the sequence number 1 can be used to represent the signature algorithm RSA, and the sequence number 2 is used to represent the MAC algorithm.
  • IANA Internet Assigned Number Authority
  • TCP Transmission Control Protocol
  • Algorithm the algorithm used for mapping information signature and MAC protection, is represented by a sequence number.
  • sequence number 1 can be used to represent the signature algorithm RSA
  • sequence number 2 is used to represent the MAC algorithm.
  • Assigned External Port The port number of the assigned external port, which is 16 bits in length; Assigned External IP Address, the port number of the assigned external port, and the length is 128 bits;
  • Remote Peer IP Address the port number of the remote communication node, which is 128 bits long; Signature or MAC, signature value or MAC value.
  • the PCP server when generating a Token, the PCP server obtains the corresponding parameter value in the Token instance from the generated PCP mapping information and fills in the corresponding field of the Token, and then inserts the signature algorithm or the number of the MAC algorithm in the Algorithm field, and The Signature or MAC field is filled with zeros (can also fill other values), and then the signature value or MAC value is generated according to the algorithm corresponding to the Algorithm field, and the signature value or MAC value is filled in the Signature or MAC field to obtain a complete Token.
  • the standby PCP server generates new mapping information according to the received token.
  • the standby PCP server receives the token sent by the user, and uses the locally saved key to perform signature verification or MAC verification on the Token. If the verification passes, the mapping related information is obtained from the Token passed by the verification to generate new mapping information. After the standby PCP server generates new mapping information, the user can communicate normally with the external communication node.
  • a PCP fast recovery method including:
  • the primary PCP server receives the PCP mapping request sent by the user
  • the primary PCP server generates mapping information, and generates a token Token according to the mapping information. 304. The primary PCP server sends the generated token Token to the user.
  • the active PCP server generates mapping information according to the mapping request sent by the user, and then performs signature or MAC protection on the generated mapping information, thereby generating a token Token, and transmitting the token Token to the user.
  • the user saves the token Token for use when the active and standby PCP servers are switched.
  • the algorithm for signing may be, for example, a general keyword cryptographic algorithm (Ron Rivest, Adi Shamirh and Len Adleman algorithm, RSA), and the MAC protection algorithm may be, for example, a hash-based message authentication code (HMAC). ), MAC-SHA1 or MAC-SHA2, etc., where SHA is the abbreviation of Secure Hash Algorithm.
  • the user sends a request for establishing a mapping to the primary PCP server, and the primary PCP server agrees with the request for establishing a mapping sent by the user, and protects the generated mapping information by using a locally saved key, thereby obtaining corresponding mapping information.
  • Token Token The above key may be a signature public key private key pair or a MAC symmetric key, and this key is shared by the PCP primary and secondary servers.
  • An implementation of the generated token Token is as shown in FIG. 2, and the meanings and values of the parameters are the same as those in the first embodiment, and details are not described herein again.
  • a PCP fast recovery method including:
  • the primary PCP server receives the PCP mapping request sent by the user
  • the primary PCP server generates mapping information, and generates a token Token according to the mapping information.
  • the primary PCP server generates mapping information according to the mapping request sent by the user, and then performs signature or MAC protection on the generated mapping information, thereby generating The token Token, and sends the token Token to the user.
  • the algorithm for signing can be, for example, a general keyword cryptographic algorithm (Ron Rivest, Adi Shamirh and Len Adleman, RSA), and the MAC protection algorithm can be, for example, a hash-based message authentication code (HMAC). , MAC-SHAl or MAC-SHA2, etc., where SHA is the abbreviation of Secure Hash Algorithm.
  • the user sends a request for establishing a mapping to the primary PCP server, and the primary PCP server agrees with the request for establishing a mapping sent by the user, and protects the generated mapping information by using a locally saved key, thereby obtaining corresponding mapping information.
  • Token Token The above key may be a signed public key private key pair or a MAC symmetric key, which is shared by the PCP active and standby servers.
  • An implementation of the token Token is shown in Figure 2. The meanings and values of the parameters are the same as in the first embodiment, and are not described here.
  • the backup PCP server notifies the user that a PCP server switch occurs
  • the backup PCP server takes over the failed primary PCP server and notifies the user that a PCP server switch occurs. For example, after the network feels that the primary PCP server is faulty, the backup PCP server is notified to take over the failed primary PCP server, or the backup PCP server detects the status of the primary PCP server. After the main PCP server fails, it takes over the work of the primary PCP server.
  • the backup PCP server receives the token Token sent by the user
  • the user After receiving the notification that the PCP server sent by the backup PCP server is switched, the user sends a saved token Token request to the backup PCP server to establish a mapping.
  • the standby PCP server generates new mapping information according to the received token.
  • the standby PCP server receives the token sent by the user, and uses the locally saved key to perform signature verification or MAC verification on the Token. If the verification succeeds, the mapping related information is obtained from the Token passed by the verification to generate new mapping information. After the standby PCP server generates new mapping information, the user can communicate normally with the external communication node.
  • the fast recovery method of the port control protocol obtaineds the token Token by protecting the mapping information, and uses the obtained token Token to verify the validity of the user identity during the rapid recovery of the PCP, thereby using the PCP server in the primary PCP server.
  • the fast switching of the primary and backup PCP servers is completed securely and reliably, and the normal communication of the user communication service is ensured.
  • an embodiment of the present invention further provides a PCP fast recovery device 50, which may be, for example, a server in the PCP protocol, and the device 50 includes:
  • the notification unit 501 is configured to notify the user that the PCP server switchover occurs after the primary PCP server fails.
  • a token Token receiving unit 502 configured to receive a token Token sent by a user
  • the mapping information generating unit 503 is configured to generate new mapping information according to the received token Token.
  • the device 50 may further include a primary PCP server failure detecting unit, configured to detect that the primary PCP server is faulty or receives a notification that the primary PCP server has failed.
  • the mapping information generating unit 503 specifically includes:
  • the signature verification sub-unit is configured to perform signature verification on the token Token sent by the received user, and obtain mapping related information to generate new mapping information.
  • mapping information generating unit 503 specifically includes:
  • MAC verification subunit configured to perform MAC verification on the token Token sent by the received user
  • the mapping information generating sub-unit is configured to obtain mapping related information from the Token passed by the MAC verification sub-unit MAC verification to generate new mapping information.
  • the PCP fast recovery device 50 provided by the embodiment of the present invention may be specifically used to perform a corresponding method in the embodiment, and the implementation principle and technical effects thereof are similar, and details are not described herein again.
  • the embodiment of the present invention further provides a PCP fast recovery device 60.
  • the device 60 includes: a mapping request receiving unit 601, configured to receive a PCP mapping request sent by a user;
  • a token Token generating unit 602 configured to generate mapping information, and generate a token Token according to the mapping information
  • the token Token sending unit 603 is configured to send the token Token to the user.
  • the token Token generating unit 602 specifically includes:
  • mapping information generating subunit configured to generate mapping information
  • a signature generation subunit configured to sign the mapping information generated by the mapping information generation subunit to obtain a token Token.
  • the token Token generating unit 602 specifically includes:
  • mapping information generating subunit configured to generate mapping information
  • the message verification code MAC generation subunit is configured to perform the message verification code MAC on the mapping information generated by the mapping information generation subunit to obtain the token Token.
  • the PCP fast recovery device 60 provided by the embodiment of the present invention may be specifically used to implement the method corresponding to the second embodiment, and the implementation principle and technical effects thereof are similar, and details are not described herein again.
  • an embodiment of the present invention further provides a PCP fast recovery system 70, which includes the fast recovery device 50 as described in the fourth embodiment and the fast recovery device 60 described in the fifth embodiment.
  • the PCP fast recovery system 60 provided by the embodiment of the present invention may be specifically used to implement the method corresponding to the third embodiment, and the implementation principle and technical effects thereof are similar, and details are not described herein again.
  • the port control protocol fast recovery device and system provided by the embodiment of the present invention obtains a token Token by protecting the mapping information, and uses the obtained token Token to verify the validity of the user identity during the rapid recovery of the PCP, thereby When the PCP server fails, the fast switching between the primary and backup PCP servers is completed securely and reliably, ensuring the normal operation of the user communication service.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例提供一种端口控制协议快速恢复方法，该方法中备份PCP服务器通知用户发生PCP服务器切换，备份 PCP服务器接收所述用户发送的令牌Token，并根据接收到的令牌Token生成新的映射信息。本发明实施方式提供的技术方案在进行PCP快速恢复时使用令牌Token验证用户身份的合法性，使得主备用PCP服务器安全可靠地完成快速切换，保证了用户通信业务的正常进行。

Description

端口控制协议快速恢复方法和装置
本申请要求于 2012 年 2 月 13 日提交中国专利局、 申请号为 201210031610.9、 发明名称为 "端口控制协议快速恢复方法和装置" 的中国 专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信领域，尤其涉及一种端口控制协议快速恢复方法和装置。
背景技术
端口控制协议（ Port Control Protocol, PCP )提供了 IPv6 ( Internet Protocol version 6, 互联网协议第 6版）或 IPv4 ( Internet Protocol version 4 , 互联网协 议第 4版）主机控制网络地址转换器（ Network Address Translator, NAT )和防 火墙设备如何转换和转发 IPv6或 IPv4分组的机制。 PCP允许应用创建从外部 IP 地址和端口到内部 IP地址和端口的映射。 这些映射对于位于 NAT或防火墙后 的设备的正常通信是必须的。
PCP协议中提供了快速恢复机制， 在主用 PCP服务器出现故障后， 另外 一个备份 PCP服务器会接替出现故障的 PCP服务器， 快速建立起映射关系， 从而保持正常的通信。 但现有的快速恢复机制存在安全缺陷， 恶意攻击者可 以利用安全缺陷对网络进行攻击， 从而对正常的通信造成很大影响。
发明内容
本发明的实施方式提供的方法和装置， 解决目前 PCP协议中快速恢复机 制中的安全缺陷问题。
本发明实施例提供一种端口控制协议快速恢复方法， 该方法包括： 备份 PCP服务器通知用户发生 PCP服务器切换；
所述备份 PCP服务器接收所述用户发送的令牌 Token;
所述备用 PCP服务器根据接收到的所述令牌 Token生成新的映射信息。 本发明实施例提供一种端口控制协议快速恢复装置， 该装置包括： 主用 PCP服务器接收用户发送的 PCP映射请求；
所述主用 PCP服务器生成映射信息， 根据所述映射信息生成令牌 Token; 所述主用 PCP服务器将生成的所述令牌 Token发送给所述用户。
与现有技术相比， 本发明实施方式提供的技术方案通过对映射信息进行 保护得到令牌 Token, 并在进行 PCP快速恢复时使用得到的令牌 Token验证用 户身份的合法性， 从而在主用 PCP服务器发生故障时， 安全可靠地完成主备 用 PCP服务器地快速切换， 保证了用户通信业务的正常进行。
附图说明
图 1是本发明实施例提供的一种端口控制协议快速恢复方法的流程示意 图；
图 2是本发明实施例提供的一种令牌 Token实例的示意图；
图 3是本发明实施例提供的另一种端口控制协议快速恢复方法的流程示 意图；
图 4是本发明实施例提供的再一种端口控制协议快速恢复方法的流程示 意图； 图 5是本发明实施例提供的一种端口控制协议快速恢复装置的结构示意 图；
图 6是本发明实施例提供的另一种端口控制协议快速恢复装置的结构示 意图；
图 7是本发明实施例提供的再一种端口控制协议快速恢复系统的结构示 意图。
具体实施方式
本发明的实施例通过对映射信息进行保护得到令牌 Token,并在进行 PCP 快速恢复时使用得到的令牌 Token验证用户身份的合法性， 从而在主用 PCP 服务器发生故障时， 安全可靠地完成主备用 PCP服务器地快速切换， 保证了 用户通信业务的正常进行。
实施例一
根据本发明实施例的一个方面， 一种 PCP快速恢复方法， 包括：
100, 备份 PCP服务器通知用户发生 PCP服务器切换；
具体地， 当正在工作的主用 PCP服务器发生故障， 备份 PCP服务器接替 发生故障的主用 PCP服务器， 并通知用户发生 PCP服务器切换， 用户收到通 知后向备份 PCP服务器提交 PCP映射请求。 例如， 网络感受到主用 PCP服务器 发生故障后， 通知备份 PCP服务器接替发生故障的主用 PCP服务器工作， 或 者备份 PCP服务器检测主用 PCP服务器的状态，当发现主用 PCP服务器发生故 障后接替主用 PCP服务器工作。 102, 备份 PCP服务器接收用户发送的令牌 Token;
用户接收到备份 PCP服务器发送的 PCP服务器发生切换的通知后， 向备 份 PCP服务器发送一个令牌 Token请求建立映射。 举例来说， 该令牌 Token可 以通过如下方式获得： 在用户通过主用 PCP服务器建立映射时， 主用 PCP服 务器对生成的映射信息进行签名或者釆用消息验证码 （ Message Authentication Code, MAC )对映射消息进行保护， 得到令牌 Token, 并将得 到的令牌 Token发送给用户， 用户对令牌 Token进行保存。 进行签名的算法例 如可以为通用关键字密码算法 （ Ron Rivest、 Adi Shamirh和 Len Adleman algorithm, RSA ) , MAC保护的算法例如可以为基于哈希算法的消息验证码 ( Hashed-Base Message Authentication Code , HMAC ) 、 MAC-SHA1或者 MAC-SHA2等， 其中 SHA是安全散列算法（ Secure Hash Algorithm ) 的简称。
举例来说， 用户向主用 PCP服务器发送建立映射的请求， 主用 PCP服务 器同意用户发送的建立映射的请求， 并对生成的映射信息使用本地保存的密 钥进行保护， 从而得到对应该映射信息的令牌 Token。 上述密钥可以为签名 公钥私钥对或者 MAC对称密钥，这个密钥由 PCP主备服务器共享。令牌 Token 的一个实例如图 2所示。 其中， 该令牌 Token实例中的参数意义如下：
Option Code , 选项码， 用于标识选项类型；
Reserved , 保留字段； 取值可以由用户和 PCP服务器约定， 例如可以设 为全 0;
Option Length, 选项长度字段， 表示从 Protocol字段到 Signature or MAC 字段的总的长度， 以字节为单位；
Protocol,指示与映射信息相关的上层协议，取值可以遵循因特网地址分 配组织（Internet Assigned Number Authority, IANA )协议注册表， 例 ¾口当该 字段取值为 6时代表传输控制协议 ( Transmission Control Protocol, TCP ) ； Algorithm, 对映射信息签名和 MAC保护所使用的算法， 用序号表示。 举 例来说， 可以使用序号 1来表示签名算法 RSA, 用序号 2来表示 MAC算法
HMAC , 用序号 3表示 MAC算法 MAC-SHA1 , 用序号 4表示 MAC算法
MAC-SHA2等；
Internal Port, 映射的内部端口的端口号， 长度为 16比特；
Assigned External Port: 分配的外部端口的端口号， 长度为 16比特； Assigned External IP Address, 分配的外部端口的端口号， 长度为 128比 特；
Remote Peer Port, 远端通信节点的端口号， 长度为 16比特；
Reserved (16 bits) , 保留字段， 取值可以由用户和 PCP服务器约定， 例 如可以设为全 0;
Remote Peer IP Address , 远端通信节点的端口号， 长度为 128比特； Signature or MAC , 签名值或者 MAC值。
上述字段中的参数除了 Signature or MAC字段以外的参数的意义和取值 均可以遵循 PCP协议的规定。
举例来说， 当生成 Token的时候， PCP服务器从生成的 PCP映射信息中得 到上述 Token实例中的相应参数值并填入 Token的相应字段，然后在 Algorithm 字段插入签名算法或者 MAC算法的编号， 将 Signature or MAC字段填满零 (也 可以填满其他取值的数字），然后按照 Algorithm字段对应的算法生成签名值或 者 MAC值， 将签名值或者 MAC值填入 Signature or MAC字段， 从而得到一个 完整的 Token。
104, 备用 PCP服务器根据接收到的 token生成新的映射信息。 备用 PCP服务器接收到用户发送的 token, 利用本地保存的密钥对 Token 进行签名验证或者 MAC验证， 如果验证通过， 则从验证通过的 Token中得到 映射相关信息从而生成新的映射信息。备用 PCP服务器生成新的映射信息后， 用户即可和外部通信节点进行正常的通信。
实施例二
参见图 3 , 根据本发明实施例的另一个方面， 提供了一种 PCP快速恢复方 法， 包括：
300, 主用 PCP服务器接收用户发送的 PCP映射请求；
302, 主用 PCP服务器生成映射信息， 根据映射信息生成令牌 Token; 304, 主用 PCP服务器将生成的令牌 Token发送给用户。
举例来说， 主用 PCP服务器根据用户发送的映射请求生成映射信息， 然 后对生成的映射信息进行签名或 MAC保护， 从而生成令牌 Token, 并将令牌 Token发送给用户。 用户将令牌 Token保存起来供发生主备 PCP服务器切换时 使用。 进行签名的算法例如可以为通用关键字密码算法 （Ron Rivest、 Adi Shamirh和 Len Adleman algorithm, RSA ) , MAC保护的算法例如可以为基于 哈希算法的消息验证码 ( Hashed-Base Message Authentication Code , HMAC )、 MAC-SHA1或者 MAC-SHA2等， 其中 SHA是安全散列算法 （Secure Hash Algorithm )的简称。举例来说， 用户向主用 PCP服务器发送建立映射的请求， 主用 PCP服务器同意用户发送的建立映射的请求， 并对生成的映射信息使用 本地保存的密钥进行保护， 从而得到对应该映射信息的令牌 Token。 上述密 钥可以为签名公钥私钥对或者 MAC对称密钥， 这个密钥由 PCP主备服务器共 享。 生成的令牌 Token的一个实施如图 2, 其中的参数的含义和取值和实施例 一中相同， 在此不再赘述。 实施例三
参见图 4, 根据本发明实施例的另一个方面， 提供了一种 PCP快速恢复方 法， 包括：
400, 主用 PCP服务器接收用户发送的 PCP映射请求；
402, 主用 PCP服务器生成映射信息， 根据映射信息生成令牌 Token; 举例来说， 主用 PCP服务器根据用户发送的映射请求生成映射信息， 然 后对生成的映射信息进行签名或 MAC保护， 从而生成令牌 Token, 并将令牌 Token发送给用户。 进行签名的算法例如可以为通用关键字密码算法 （Ron Rivest、 Adi Shamirh和 Len Adleman, RSA ) , MAC保护的算法例如可以为基 于哈希算法的消息验证码 ( Hashed-Base Message Authentication Code , HMAC )、 MAC-SHAl或者 MAC-SHA2等，其中 SHA是安全散列算法（ Secure Hash Algorithm )的简称。 举例来说， 用户向主用 PCP服务器发送建立映射的 请求， 主用 PCP服务器同意用户发送的建立映射的请求， 并对生成的映射信 息使用本地保存的密钥进行保护， 从而得到对应该映射信息的令牌 Token。 上述密钥可以为签名公钥私钥对或者 MAC对称密钥， 这个密钥由 PCP主备服 务器共享。 生成的令牌 Token的一个实施如图 2, 其中的参数的含义和取值和 实施例一中相同， 在此不再赘述。
404, 将令牌 Token发送给用户；
406, 备份 PCP服务器通知用户发生 PCP服务器切换；
具体地， 当正在工作的主用 PCP服务器发生故障， 备份 PCP服务器接替 发生故障的主用 PCP服务器， 并通知用户发生 PCP服务器切换。 例如， 网络 感受到主用 PCP服务器发生故障后， 通知备份 PCP服务器接替发生故障的主 用 PCP服务器工作， 或者备份 PCP服务器检测主用 PCP服务器的状态， 当发现 主用 PCP服务器发生故障后接替主用 PCP服务器工作。
408, 备份 PCP服务器接收用户发送的令牌 Token;
用户接收到备份 PCP服务器发送的 PCP服务器发生切换的通知后， 向备 份 PCP服务器发送保存的令牌 Token请求建立映射。
410, 备用 PCP服务器根据接收到的 token生成新的映射信息。
备用 PCP服务器接收到用户发送的 token, 利用本地保存的密钥对 Token 进行签名验证或者 MAC验证， 如果验证通过， 则从验证通过的 Token中得到 映射相关信息从而生成新的映射信息。备用 PCP服务器生成新的映射信息后， 用户即可和外部通信节点进行正常的通信。
本发明实施例提供的端口控制协议快速恢复方法， 通过对映射信息进行 保护得到令牌 Token, 并在进行 PCP快速恢复时使用得到的令牌 Token验证用 户身份的合法性， 从而在主用 PCP服务器发生故障时， 安全可靠地完成主备 用 PCP服务器地快速切换， 保证了用户通信业务的正常进行。
实施例四
参见图 5 , 本发明实施例还提供一种 PCP快速恢复装置 50, 该装置 50例如 可以是 PCP协议中的服务器， 该装置 50包括：
通知单元 501 , 用于在主用 PCP服务器故障后通知用户发生 PCP服务器切 换；
令牌 Token接收单元 502 , 用于接收用户发送的令牌 Token;
映射信息生成单元 503 , 用于根据接收到的令牌 Token生成新的映射信 息。
进一步地， 装置 50还可以包括主用 PCP服务器故障检测单元， 用于检测 主用 PCP服务器发生故障或者接收主用 PCP服务器发生故障的通知。 进一步地， 映射信息生成单元 503具体包括：
签名验证子单元， 用于对接收到的用户发送的令牌 Token进行签名验证； 得到映射相关信息从而生成新的映射信息。
或者， 映射信息生成单元 503具体包括：
MAC验证子单元， 用于对接收到的用户发送的令牌 Token进行 MAC验 证；
映射信息生成子单元， 用于从 MAC验证子单元 MAC验证通过的 Token中 得到映射相关信息从而生成新的映射信息。
本发明实施例提供的 PCP快速恢复装置 50可以具体用于执行实施例一对 应的方法， 其实现原理和技术效果类似， 此处不再赘述。
实施例五
参见图 6,本发明实施例还提供一种 PCP快速恢复装置 60,该装置 60包括： 映射请求接收单元 601 , 用于接收用户发送的 PCP映射请求；
令牌 Token生成单元 602 , 用于生成映射信息， 根据映射信息生成令牌 Token;
令牌 Token发送单元 603 , 用于将令牌 Token发送给用户。
进一步地， 所述令牌 Token生成单元 602具体包括：
映射信息生成子单元， 用于生成映射信息；
签名生成子单元， 用于对映射信息生成子单元生成的映射信息进行签名 得到令牌 Token。
或者， 所述令牌 Token生成单元 602具体包括：
映射信息生成子单元， 用于生成映射信息； 消息验证码 MAC生成子单元，用于对映射信息生成子单元生成的所述映 射信息进行消息验证码 MAC得到所述令牌 Token。
本发明实施例提供的 PCP快速恢复装置 60可以具体用于执行实施例二对 应的方法， 其实现原理和技术效果类似， 此处不再赘述。
实施例六
参见图 7 , 本发明实施例还提供一种 PCP快速恢复系统 70, 该系统 70包括 如实施例四中所述的快速恢复装置 50和实施例五中所述的快速恢复装置 60。
本发明实施例提供的 PCP快速恢复系统 60可以具体用于执行实施例三对 应的方法， 其实现原理和技术效果类似， 此处不再赘述。
本发明实施例提供的端口控制协议快速恢复装置和系统， 通过对映射信 息进行保护得到令牌 Token, 并在进行 PCP快速恢复时使用得到的令牌 Token 验证用户身份的合法性， 从而在主用 PCP服务器发生故障时， 安全可靠地完 成主备用 PCP服务器地快速切换， 保证了用户通信业务的正常进行。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流 程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存储于 一计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法的实施 例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（ Read-Only Memory, ROM )或随机存 己忆体 ( Random Access Memory, RAM )等。
以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并不 局限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围和不脱 离本发明的技术思想范围内， 可轻易想到的变化或替换， 都应涵盖在本发明 的保护范围之内。 因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

权利要求
1. 一种端口控制协议 PCP快速恢复方法， 其特征在于， 包括： 备份 PCP服务器通知用户发生 PCP服务器切换；
所述备份 PCP服务器接收所述用户发送的令牌 Token;
所述备用 PCP服务器根据接收到的所述令牌 Token生成新的映射信息。
2. 如权利要求 1所述的方法， 其特征在于， 所述令牌 Token由主用 PCP 服务器对映射信息进行签名或者进行消息验证码 MAC保护得到。
3. 如权利要求 1所述的方法， 其特征在于， 所述备份 PCP服务器通知用 户发生 PCP服务器切换具体为：
当正在工作的主用 PCP服务器发生故障， 所述备份 PCP服务器接替发生 故障的所述主用 PCP服务器， 并通知所述用户发生 PCP服务器切换。
4. 如权利要求 1-3任意一项所述的方法， 其特征在于， 所述备用 PCP服 务器根据接收到的令牌 Token生成新的映射信息具体为：
所述备用 PCP服务器接收到所述用户发送的令牌 Token,对 Token进行签 名验证或者 MAC验证，如果验证通过， 则从验证通过的 Token中得到映射相 关信息从而生成新的映射信息。
5. 如权利要求 4所述的方法， 其特征在于， 所述备份 PCP服务器通知用 户发生 PCP服务器切换之前， 所述方法进一步包括：
主用 PCP服务器接收用户发送的 PCP映射请求；
所述主用 PCP服务器生成映射信息，根据所述映射信息生成令牌 Token; 所述主用 PCP服务器将生成的所述令牌 Token发送给所述用户。
6. 一种端口控制协议 PCP快速恢复方法， 其特征在于， 包括： 主用 PCP服务器接收用户发送的 PCP映射请求；
所述主用 PCP服务器生成映射信息，根据所述映射信息生成令牌 Token; 所述主用 PCP服务器将生成的所述令牌 Token发送给所述用户。
7. 如权利要求 6所述的方法， 其特征在于， 所述令牌 Token由主用 PCP 服务器对映射信息进行签名或者进行消息验证码 MAC保护得到。
8. 一种端口控制协议 PCP快速恢复装置， 其特征在于， 包括： 通知单元， 用于在主用 PCP服务器发生故障后通知用户发生 PCP服务器 切换；
令牌 Token接收单元， 用于接收所述用户发送的令牌 Token;
映射信息生成单元， 用于根据接收到的所述令牌 Token生成新的映射信 息。
9. 如权利要求 8所述的装置， 其特征在于， 所述映射信息生成单元具体 包括：
签名验证子单元， 用于对接收到的所述用户发送的令牌 Token进行签名 验证； 牌 Token中得到映射相关信息从而生成新的映射信息。
10. 如权利要求 8所述的装置， 其特征在于， 所述映射信息生成单元具 体包括：
消息验证码 MAC验证子单元， 用于对接收到的所述用户发送的令牌 Token进行 MAC验证；
映射信息生成子单元， 用于从所述消息验证码 MAC验证子单元 MAC验 证通过的令牌 Token中得到映射相关信息从而生成新的映射信息。
11. 一种端口控制协议 PCP快速恢复装置， 其特征在于， 包括： 映射请求接收单元， 用于接收用户发送的 PCP映射请求；
令牌 Token生成单元， 用于生成映射信息， 根据所述映射信息生成令牌 Token;
令牌 Token发送单元， 用于将所述令牌 Token发送所述给用户。
12. 如权利要求 11所述的装置， 其特征在于， 所述令牌 Token生成单元 具体包括：
映射信息生成子单元， 用于生成映射信息；
签名生成子单元， 用于对所述映射信息进行签名得到所述令牌 Token。
13. 如权利要求 10所述的装置， 其特征在于， 所述令牌 Token生成单元 具体包括：
映射信息生成子单元， 用于生成映射信息；
消息验证码 MAC生成子单元， 用于对所述映射信息进行消息验证码 MAC得到所述令牌 Token。
14. 一种端口控制协议 PCP快速恢复系统， 其特征在于， 所述系统包括 权利要求 8-10任意一项所述的快速恢复装置和权利要求 11-13任意一项所述 的快速恢复装置。
PCT/CN2012/082757 2012-02-13 2012-10-11 端口控制协议快速恢复方法和装置 WO2013120356A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210031610.9A CN102611571B (zh) 2012-02-13 2012-02-13 端口控制协议快速恢复方法和装置
CN201210031610.9 2012-02-13

Publications (1)

Publication Number Publication Date
WO2013120356A1 true WO2013120356A1 (zh) 2013-08-22

Family

ID=46528743

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/082757 WO2013120356A1 (zh) 2012-02-13 2012-10-11 端口控制协议快速恢复方法和装置

Country Status (2)

Country Link
CN (1) CN102611571B (zh)
WO (1) WO2013120356A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9325663B2 (en) 2014-09-15 2016-04-26 Sprint Communications Company L.P. Discovery of network address allocations and translations in wireless communication systems
US9609489B2 (en) 2014-10-24 2017-03-28 Sprint Communications Company L.P. Distribution of media content identifiers to wireless communication devices
US9967734B1 (en) 2014-11-24 2018-05-08 Sprint Communications Company, L.P. Content delivery network request handling in wireless communication systems
US10015235B2 (en) 2014-10-23 2018-07-03 Sprint Communications Company L.P. Distribution of media content to wireless communication devices
US10200856B2 (en) 2014-10-02 2019-02-05 Sprint Communications Company L.P. Content-delivery footprint and capabilities data transfer from wireless communication devices

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102611571B (zh) * 2012-02-13 2015-03-25 华为技术有限公司 端口控制协议快速恢复方法和装置
CN108989271B (zh) * 2017-06-05 2022-06-10 中兴通讯股份有限公司 一种家庭网关端口防攻击的方法和装置
CN110149352B (zh) * 2018-02-11 2021-07-27 腾讯科技（深圳）有限公司 一种业务请求处理方法、装置、计算机设备和存储介质
CN109257229B (zh) * 2018-10-25 2021-08-06 网宿科技股份有限公司 一种主备切换方法及装置
CN109408300A (zh) * 2018-11-13 2019-03-01 红芯时代（北京）科技有限公司 一种云端浏览器高可用方法、系统及其装置
CN110867258A (zh) * 2019-11-13 2020-03-06 李大旭 基于移动健康的个人信息平台

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101465862A (zh) * 2009-01-09 2009-06-24 北京星网锐捷网络技术有限公司 认证业务切换处理方法与装置、网络设备与通信系统
CN101674313A (zh) * 2009-10-15 2010-03-17 杭州华三通信技术有限公司 服务器主动通知用户切换的sip注册方法、系统及装置
CN102611571A (zh) * 2012-02-13 2012-07-25 华为技术有限公司 端口控制协议快速恢复方法和装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101465862A (zh) * 2009-01-09 2009-06-24 北京星网锐捷网络技术有限公司 认证业务切换处理方法与装置、网络设备与通信系统
CN101674313A (zh) * 2009-10-15 2010-03-17 杭州华三通信技术有限公司 服务器主动通知用户切换的sip注册方法、系统及装置
CN102611571A (zh) * 2012-02-13 2012-07-25 华为技术有限公司 端口控制协议快速恢复方法和装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
DAN, WING.: "Port Control Protocol.", THE INTERNET PROTOCOL JOURNAL., vol. 14, no. 4, 31 December 2011 (2011-12-31), pages 2 - 8, XP055233071 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9325663B2 (en) 2014-09-15 2016-04-26 Sprint Communications Company L.P. Discovery of network address allocations and translations in wireless communication systems
US9705794B2 (en) 2014-09-15 2017-07-11 Sprint Communications Company L.P. Discovery of network address allocations and translations in wireless communication systems
US10200856B2 (en) 2014-10-02 2019-02-05 Sprint Communications Company L.P. Content-delivery footprint and capabilities data transfer from wireless communication devices
US11240658B2 (en) 2014-10-02 2022-02-01 Sprint Communications Company L.P. Content-delivery footprint and capabilities data transfer from wireless communication devices
US10015235B2 (en) 2014-10-23 2018-07-03 Sprint Communications Company L.P. Distribution of media content to wireless communication devices
US9609489B2 (en) 2014-10-24 2017-03-28 Sprint Communications Company L.P. Distribution of media content identifiers to wireless communication devices
US9967734B1 (en) 2014-11-24 2018-05-08 Sprint Communications Company, L.P. Content delivery network request handling in wireless communication systems
US10567950B2 (en) 2014-11-24 2020-02-18 Sprint Communications Company L.P. Content delivery network request handling in wireless communication systems

Also Published As

Publication number Publication date
CN102611571B (zh) 2015-03-25
CN102611571A (zh) 2012-07-25

Similar Documents

Publication Publication Date Title
WO2013120356A1 (zh) 端口控制协议快速恢复方法和装置
EP2290895B1 (en) Method, system and device for negotiating security association (sa) in ipv6 network
Moskowitz et al. Host identity protocol version 2 (HIPv2)
Moskowitz et al. Host identity protocol
US8392716B2 (en) Communication apparatus, digital signature issuance method and apparatus, and digital signature transmission method
Bittau et al. The case for ubiquitous {Transport-Level} encryption
US9876773B1 (en) Packet authentication and encryption in virtual networks
WO2015085848A1 (zh) 一种安全认证方法和双向转发检测bfd设备
CN102546661B (zh) 一种防止IPv6网关邻居欺骗攻击的方法及系统
WO2009082889A1 (fr) Procédé de négociation pour échange de clés internet et dispositif et système associés
EP3948613A1 (en) Method, system and apparatuses of network device attestation
EP3442195B1 (en) Reliable and secure parsing of packets
Lopez et al. Pceps: Usage of tls to provide a secure transport for the path computation element communication protocol (pcep)
CN110392128A (zh) 提供准无地址IPv6公开万维网服务的方法及系统
CN110741613A (zh) 一种加密数据流的识别方法、设备、存储介质及系统
Zhang et al. Research on IPv6 neighbor discovery protocol (NDP) security
Moskowitz et al. Rfc 5201: Host identity protocol
US11546297B2 (en) Secure communication method, client and non-public server
CN116527261A (zh) 密钥恢复方法、电子设备、存储介质
WO2022174739A1 (zh) 报文发送方法、签名信息的生成方法及设备
KR100953068B1 (ko) 인터넷 환경에서 보안 이웃 탐색 방법
JP2007166552A (ja) 通信装置及び暗号通信方法
JP2007258986A (ja) 通信装置、通信方法および通信プログラム
CN114567450A (zh) 一种协议报文处理方法及装置
Song et al. Anonymous-address-resolution model

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12868466

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12868466

Country of ref document: EP

Kind code of ref document: A1