WO2014101041A1 - Ipv6地址溯源方法、装置和系统 - Google Patents

Ipv6地址溯源方法、装置和系统 Download PDF

Info

Publication number
WO2014101041A1
WO2014101041A1 PCT/CN2012/087654 CN2012087654W WO2014101041A1 WO 2014101041 A1 WO2014101041 A1 WO 2014101041A1 CN 2012087654 W CN2012087654 W CN 2012087654W WO 2014101041 A1 WO2014101041 A1 WO 2014101041A1
Authority
WO
WIPO (PCT)
Prior art keywords
ipv6 address
information
ipv6
user
traceability
Prior art date
Application number
PCT/CN2012/087654
Other languages
English (en)
French (fr)
Inventor
杨熹
张亚锋
王淑香
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP12890816.7A priority Critical patent/EP2928141A4/en
Priority to PCT/CN2012/087654 priority patent/WO2014101041A1/zh
Priority to CN201280002617.6A priority patent/CN103229488B/zh
Publication of WO2014101041A1 publication Critical patent/WO2014101041A1/zh
Priority to US14/747,559 priority patent/US9973399B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/14—Charging, metering or billing arrangements for data wireline or wireless communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H04L45/04—Interdomain routing, e.g. hierarchical routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/659—Internet protocol version 6 [IPv6] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/503—Internet protocol [IP] addresses using an authentication, authorisation and accounting [AAA] protocol, e.g. remote authentication dial-in user service [RADIUS] or Diameter
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information

Definitions

  • the present invention relates to communication technologies, and in particular, to an IPV6 address tracing method, apparatus, and system. Background technique
  • a typical application scenario is: When an illegal statement occurs in the network, the public security department needs to find a suspect who issues the illegal speech, according to the suspect. The IP address of the person left on the website can be found by the IP address, and the identity information of the suspect can be found.
  • IPV4 addresses have been used in existing IPV4 networks.
  • PPP Point-to-Point Protocol over Ethernet
  • BRAS Broadband Remote Access Server
  • AAA Authentication, Authorization and Accounting
  • the BRAS also reports the user account and the IPV4 address to the AAA server in the charging process, so that the AAA server searches for the corresponding user identity information according to the user account, and establishes a mapping relationship between the IPV4 address and the user identity information, thereby After the traceability, the identity information can be found according to the IPV4 address left by the suspect, and the source can be traced.
  • the user identifier (such as the user account mentioned above) associates the IPV4 address with the user identity information, so the key to the IPV4 address traceability is to find the target IPV4 address to be traced. The corresponding user ID.
  • IPV6 address traceability needs to be solved as an important security feature of IPV6.
  • the structure and allocation of the IPV4 address are relatively simple.
  • the IPV4 address reporting and the AAA side traceability method are all designed for the IPV4 address; and the IPV6 address allocation method and address structure are both More complicated, compared to IPV4 has a big change, such as the allocation may be IPV6 address, or may be indefinite length before IPV6 Embellished and so on.
  • the source IPV4 address tracing method cannot be used to trace the IP V6 address. Summary of the invention
  • the invention provides an IPV6 address tracing method, device and system, so as to realize the traceability of the IPV6 address.
  • the first aspect provides an IPV6 address tracing method, including:
  • the IPv6 address information that matches the destination IPv6 address is selected by using the longest matching mode, and the IPv6 address information includes an IPv6 address or an IPv6 prefix information.
  • the method before the receiving the destination IPV6 address that needs to be traced, the method further includes: receiving the user identifier sent by the access device, and the user identifier Corresponding the IPv6 address information; storing a correspondence between the user identifier and the IPv6 address information.
  • the method further includes: acquiring user identity information corresponding to the user identifier stored by the user identifier according to the user identifier, and saving the The mapping between the IPV6 address information, the user identifier, and the user identity information. After the acquiring the user identifier corresponding to the IPv6 address information, the method further includes: obtaining, according to the mapping relationship, the user identifier corresponding to the user identifier The user identity information.
  • the method further includes: obtaining, according to the user identifier, an authentication server User identity information corresponding to the user identifier.
  • the IPV6 prefix information includes the following One: IPV6 prefix, IPV6-PD prefix, interface identifier.
  • the second aspect provides an IPV6 address traceability device, including:
  • An information receiving unit configured to receive a destination IPv6 address that needs to be traced
  • An address matching unit configured to select, by using a longest matching method, IPv6 address information that matches the destination IPv6 address, where the IPv6 address information includes an IPv6 address or an IPv6 prefix information.
  • the source processing unit is configured to obtain a user identifier corresponding to the IPv6 address information.
  • the information receiving unit is further configured to: before receiving the destination IPV6 address that needs to be traced, receive the user identifier sent by the access device, and The IPv6 address information corresponding to the user identifier; the address source device further includes: a mapping establishing unit, configured to save a correspondence between the user identifier and IPv6 address information.
  • the mapping establishing unit is further configured to acquire, according to the user identifier, a user identity that is stored by the user identifier corresponding to the user identifier. Information, and storing a mapping relationship between the IPV6 address information, the user identifier, and the user identity information; the traceability processing unit is further configured to: after acquiring the user identifier corresponding to the IPv6 address information, according to the The mapping relationship is obtained, and the user identity information corresponding to the user identifier is obtained.
  • the source processing unit is further configured to: after acquiring the user identifier corresponding to the IPv6 address information, according to the user identifier And obtaining, from the authentication server, user identity information corresponding to the user identifier.
  • the IPV6 prefix information includes the following One: IPV6 prefix, IPV6-PD prefix, interface identifier.
  • the third aspect provides an IPV6 address tracing system, including: an IPV6 address tracing device; the IPV6 address tracing device, configured to receive a destination IPv6 address that needs to be traced; and select and use the destination IPv6 address by using the longest matching mode.
  • Matching IPv6 address information the IPv6 address information includes an IPv6 address or IPv6 prefix information; and acquiring a user identifier corresponding to the IPv6 address information.
  • the method further includes: an access device, where the access device is configured to send, before the IPv6 address traceability device receives a destination IPV6 address that needs to be traced, to the IPv6
  • the address traceability device sends the user identifier and the IPv6 address information corresponding to the user identifier;
  • the IPv6 address traversing device is further configured to save a correspondence between the user identifier and the IPv6 address information.
  • the IPv6 address traversing device is further configured to acquire, according to the user identifier, a user that is stored by the user identifier corresponding to the user identifier. Identity information, and storing the IPV6 address information, the user identifier, and the location The mapping relationship between the user identity information is obtained; and after the user identifier corresponding to the IPv6 address information is obtained, the user identity information corresponding to the user identifier is obtained according to the mapping relationship.
  • the method further includes: an authentication server;
  • the IPv6 address traversing device is further configured to: after obtaining the user identifier corresponding to the IPv6 address information, obtain, according to the user identifier, user identity information corresponding to the user identifier from the authentication server.
  • the IPV6 prefix information includes the following One: IPV6 prefix, IPV6-PD prefix, interface identifier.
  • FIG. 1 is a schematic flowchart of an embodiment of an IPV6 address tracing method according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of another embodiment of an IP V6 address tracing method according to the present invention.
  • FIG. 3 is a schematic signaling diagram of still another embodiment of an IPV6 address tracing method according to the present invention.
  • FIG. 4 is a schematic signaling diagram of still another embodiment of an IP V6 address tracing method according to the present invention.
  • FIG. 5 is a schematic signaling diagram of still another embodiment of an IP V6 address tracing method according to the present invention.
  • FIG. 6 is a schematic signaling diagram of still another embodiment of an IP V6 address tracing method according to the present invention.
  • FIG. 7 is a schematic structural diagram of an embodiment of an IPV6 address traceability device according to the present invention.
  • FIG. 8 is a schematic structural diagram of another embodiment of an IPV6 address traceability device according to the present invention.
  • FIG. 9 is a schematic structural diagram of an embodiment of an IPV6 address tracing system according to the present invention.
  • FIG. 10 is a schematic structural diagram of another embodiment of an IPV6 address tracing system according to the present invention. DETAILED DESCRIPTION OF THE PREFERRED EMBODIMENTS
  • FIG. 1 is a schematic flowchart of an IPV6 address tracing method according to an embodiment of the present invention.
  • the method is performed by an access device, and the access device is, for example, a BRAS.
  • the BRAS is used as an example to describe the method. As shown in FIG. 1, it may include:
  • the user sends the authentication information such as the user ID and the password to the authentication server, such as the AAA server, through the terminal used by the user.
  • the user identifier may be a user account or a user name input by the user.
  • the authentication information is transmitted through the BRAS.
  • the terminal sends the authentication information to the BRAS, and the BRAS transmits the authentication information to the authentication server.
  • the BRAS The authentication information such as the user identifier is obtained.
  • the IPV6 address information is allocated to the terminal, where the IPV6 address information includes: an IPV6 address and/or an IPV6 prefix; for example, the authentication server authenticates the user.
  • the BRAS will send a notification of the authentication pass, and then the BRAS sends the notification to the terminal to notify the user.
  • the BRAS will assign an IP address to the terminal used by the user, so that the user uses the IP address when subsequently accessing the network. In this embodiment, the BRAS allocates an IPV6 address.
  • the IPV6 address allocation method is complicated, and there are multiple address allocation modes. In different allocation modes or different application scenarios, the BRAS assigns IPV6 addresses to terminals differently; for example, 128bits of IPV6 may be allocated.
  • the address or may be the 64-bit IPV6 prefix and the 64-bit interface identifier (Interface ID), or the IPV6-PD prefix and the 128-bit IPV6 address, etc., instead of the existing IPV4 address, the allocation method More single, is the 32bits IPV4 address. Therefore, the form of the IPV6 address is significantly different from the IPV4 address.
  • the various forms of IPV6 addresses are collectively referred to as IPV6 address information.
  • the BRAS can send the IPV6 address information to the IPV6 address traceability device, and also send the user identifier acquired in 101 to the IPV6 address traceability device; when the BRAS allocates the IPV6 address information to the terminal, When the notification sent by the authentication server is received, the BRAS itself is able to know which user identifier corresponds to the IPV6 address information, that is, the correspondence between the IPV6 address information and the user identifier can be known. And report the two together to the IPV6 address traceability device.
  • IPV6 address information and user identifier reported by the BRAS in this embodiment are described.
  • the two pieces of information are separate.
  • the IPV6 address information is an ordinary address, and no other information is embedded in the IPV6 address information. That is, the IPV6 address information and the user identifier are generally allocated in this embodiment, and the IPV6 address can be realized. Traceability.
  • the IPV6 address source device may store user identity information or may not store user identity information.
  • the IPV6 address source device can obtain the user identifier according to the user identifier.
  • Corresponding user identity information because the user identifier corresponds to the IPV6 address information, and the user identifier and the user identity information are corresponding, therefore, the user identity information, the user identifier, and the IPV6 address information are mapped.
  • the IPV6 address traceability device can trace the source according to the mapping relationship. For example, after obtaining the IPV6 address information that matches the destination IPV6 address to be traced, the IPV6 address source device obtains the corresponding user identity information according to the mapping relationship.
  • the IPV6 address traceability device may search for the corresponding user identifier according to the IPV6 address information after acquiring the IPV6 address information that matches the destination IPV6 address to be traced.
  • the user identity information corresponding to the user identifier is obtained from the other device, for example, the authentication server.
  • the access device sends the user identifier and the IPV6 address information to the IPV6 address source device, so that the IPV6 address tracing device can perform the mapping relationship between the IPV6 address information and the simultaneously reported user identifier. Traceability. Therefore, the access device provides user identification and IPV6 address information corresponding to the mapping relationship and traceability implementation for realizing the traceability of the IPV6 address.
  • FIG. 2 is a schematic flowchart of another embodiment of an IP V6 address tracing method according to the present invention.
  • the method is performed by an IPV6 address traceability device. As shown in FIG. 2, the method may include:
  • the destination IPV6 address that needs to be traced may be received by the IPV6 address traceability device to receive the target IPV6 address input by an administrator, or may obtain the target IPV6 address by other means; the target IPV6 address refers to the source to be traced.
  • the address for example, illegal speech on the Internet, the public security department must trace the suspect who issued the illegal speech, it is necessary to trace the source of the IPV6 address left on the network by the suspect, then the suspect is left on the network IPV6
  • the address is the destination IPV6 address to be traced, and the public security department needs to find the user corresponding to the target IPV6 address. Identity Information.
  • the IPv6 address information that matches the destination IPv6 address is selected by using the longest matching mode, where the IPv6 address information includes an IPv6 address or an IPv6 prefix information.
  • the matching lookup with the IPV4 address is different.
  • the IPV4 address is in a single form, that is, The IP address of the 32-bit IPV4 address can be accurately matched. As long as the 32-bits are identical, the IPV4 address is matched.
  • the IPV6 address in this embodiment is complex, including the IPV6 address and the IPV6 prefix.
  • the IPV6 address information is IPV6 address information that matches the target IPV6 address.
  • the IPv6 address information includes an IPv6 address or an IPv6 prefix information.
  • the IPv6 address is a 128-bit IPv6 address
  • the IPv6 prefix information includes an IPV6 prefix, an IPV6-PD prefix, and an interface identifier.
  • the user identifier and the IP V6 address information corresponding to the user identifier are received by the IPV6 address traceability device from the access device, and the IPV6 address traceability device is, for example, an authentication server, and the access device is, for example, BRAS.
  • the IPV6 address tracing device obtains the IPV6 address information that matches the target IPV6 address, and obtains the user corresponding to the target IPV6 address according to the mapping relationship between the IPV6 address information and the user identifier.
  • the IPV6 address source device After the identification, if the IPV6 address source device itself stores the user identity information and the mapping relationship between the user identity information and the user identifier and the IPV6 address information, the device itself can directly find the user identity information corresponding to the IPV6 address information according to the mapping relationship; or The IPV6 address source device does not store the user identity information.
  • the IPV6 address source device obtains the user identity information corresponding to the user identifier from other devices, for example, the authentication server, according to the user identifier corresponding to the IPV6 address information.
  • FIG. 3 is a schematic diagram of signaling according to another embodiment of the IPV6 address tracing method of the present invention.
  • the access device is a BRAS
  • the IPV6 address source device is an authentication server, for example, the authentication server.
  • the authentication server for example, it is an AAA server; and, the AAA server in this embodiment stores user identity information itself.
  • the method includes:
  • the user broadband user accesses the network through the PPPoE.
  • the user wants to access the network to access the Internet, the user sends the user authentication information to the AAA server.
  • the user authentication information includes, for example, a user ID and a password.
  • the identification is for example a user account.
  • the user authentication information such as the user identifier input by the user is transparently transmitted to the AAA server through the BRAS.
  • the AAA server After the user authentication information is authenticated, the AAA server also sends the authentication result to the BRAS, and the BRAS transmits the information to the terminal to notify. user.
  • the result of the authentication is, for example, a notification indicating that the certification has passed.
  • the BRAS When receiving the notification that the AAA server sends the authentication, the BRAS allocates the IP V6 address information to the terminal.
  • the BRAS needs to allocate IPV6 address information to the terminal used by the user after the user authentication is passed, and is used when the subsequent user accesses the network by using the terminal.
  • BRAS will also specify other necessary parameters for the user, such as: domain name server (DNS).
  • DNS domain name server
  • the IPV6 address information described in this embodiment includes: an IPV6 address and/or an IPV6 prefix. Specifically, the IPv6 address allocation method is complicated. The IPv6 address information allocated by different allocation methods is different. It is possible to directly allocate 128-bit (128-bit) IPv6 addresses, and possibly allocate 64-bit or other IPv6 prefixes.
  • the IPV6 address information assigned to the terminal may be an IPv6 address of 128 bits, that is, an IPv6 address assigned by DHCPv6 (Authority Association for Non-temporary Address, The abbreviation: IA-NA) may also be a combination of 64-bit IPv6 prefix and 64-bit interface identifier (Interface ID).
  • the IPV6 address information allocated to the terminal may be an IPv6 prefix of 64 bits.
  • the IPV6 address information allocated to the terminal may include IPV6-PD less than or equal to 64 bits.
  • the IPV6 address information may be a combination of an IPv6-PD prefix and a 128-bit IPv6 address, or a 64-bit IPv6-PD prefix (IA-PD).
  • the combination of the IPv6 prefix and the IPv6-PD prefix may also be a combination of an IPv6-PD prefix, an IPv6 prefix of 64 bits, and an Interface ID of 64 bits.
  • the BRAS sends an accounting request message to the AAA server, and sends the user identifier and the IPV6 address information corresponding to the user identifier to the AAA server.
  • the BRAS After the BRAS allocates IPV6 address information to the user terminal, the BRAS will start the accounting process, start the user's Internet access accounting, and use the Remote Authentication Dial In User Service (RAGIS) Accounting Request.
  • the message notifies the AAA server, specifically sending a charging request message (Start Accounting) to the AAA server; the AAA server returns an accounting response message to the BRAS and starts charging, and the user can normally access the network.
  • the accounting request message Start Accounting includes some attribute information for carrying the IP address information.
  • the Start Accounting includes only two attribute information, for example, for carrying the user.
  • the attribute information in Start Accounting is extended, and the following five kinds of attribute information are designed: "User-Name" attribute: used to carry the user identifier;
  • the "Framed-IPV6-Prefix" attribute (which can be called the IPV6 prefix attribute): The IPV6 prefix used to carry the assignment;
  • the "Framed-Interface-Id" attribute (which can be called an interface identifier attribute):
  • the interface identifier used to carry the assignment is the Interface ID;
  • the "Delegated-IPV6-Prefix" attribute (which can be called the IPV6-PD prefix attribute): is used to carry the assigned IPv6-PD prefix;
  • the "Framed-IPV6-Address" attribute (which can be called the IPV6 address attribute): The IPv6 address used to carry the allocated 128 bits.
  • the five attribute information designed above can meet the bearer requirement of the IPV6 address information; for example, when the 128-bit IPv6 address is allocated, the IP V6 address attribute bearer can be directly used. Reporting; When a combination of 64-bit IPv6 prefix and 64-bit interface ID (Interface ID) is assigned, the IPV6 prefix attribute can be used at the same time. And the interface identifier attribute is used to report the two information; when the IPv6 prefix is allocated, the IPV6 prefix attribute can be used; when the allocated IPV6 address information includes the IPv6-PD prefix, the IPV6-PD prefix can be used. The attribute carries the IPv6-PD prefix.
  • the Start Accounting does not necessarily have to include all the attribute information, for example, the BRAS only uses one of the allocation methods to allocate an IPV6 address to the terminal, for example, only the IPv6 prefix of 64 bits is used.
  • the attribute information in Start Accounting may include only: "User-Name” attribute, "Framed-IPV6-Prefix” attribute, and "Framed-Interface-Id". " Attributes.
  • the attribute information in Start Accounting can include only the "User-Name” attribute and the "Framed-IPV6-Address" attribute.
  • the attribute for carrying the IPV6 address information may include any one of the following: an IPV6 address attribute, an IPV6 prefix attribute, and the IPV6 prefix attribute and the interface identifier. a combination of attributes; the IPV6 address information is carried by any one of the attribute information.
  • the IPV6-PD prefix attribute is also optional. When the IPV6-PD prefix needs to be assigned to the IPV6 address allocation mode, you need to set this attribute. When the IPV6-PD prefix is not assigned, you can not set this attribute.
  • the AAA server establishes a mapping relationship between the IPV6 address information, the user identifier, and the user identity information.
  • the AAA server itself stores user identity information, which includes, for example, the user's name, address, ID number, mobile phone number, etc., and the AAA server also stores a user identifier such as a user account, etc., and the foregoing information may be When the user signs up at the operator's business hall, the operator obtains it and stores it in the AAA server in some way.
  • the AAA server can find the user identity information corresponding to the user identifier according to the received user identifier, and because the user identifier and the IPV6 address information also have a corresponding relationship, the IPV6 address information, the user identifier, and the user identifier can be established.
  • the mapping relationship between user identity information that is, the mapping relationship represents the user of a certain user identity, what is its user identity information, and what is the IPV6 address information that the user assigns when accessing the Internet.
  • the AAA server obtains the IPV6 address information that matches the target IPV6 address by using the longest matching manner.
  • the destination IP V6 address that is to be traced may be received by the AAA server to receive the target IPV6 address input by an administrator, or may be obtained by other means; the target IPV6 address refers to the source to be traced.
  • the IPV6 address of the suspect left on the network That is, the target IPV6 address to be traced, the public security department needs to find the user identity information corresponding to the target IPV6 address.
  • the matching lookup with the IPV4 address is different.
  • the IPV4 address is in a single form, that is, The 32-bit IPV4 address can be accurately matched. As long as the 32-bits are identical, the IPV4 address is matched.
  • the IPV6 address in this embodiment is more complex, including the IPV6 address and the IPV6 prefix.
  • address matching it may happen that multiple IP V6 address information has the same information as a part of the target IP V6 address. In this case, the traditional exact matching scheme cannot be used, for example, the longest match can be used.
  • the target IPV6 address is compared with the stored IPV6 address information, and the IPV6 address information having the most matching information with the target IPV6 address is selected as the IPV6 address information matching the target IPV6 address.
  • the IPV6 prefix information includes one of the following: an IPV6 prefix, an IPV6-PD prefix, and an interface identifier.
  • Table 1 for recording the optional IPV6 address information stored in the AAA server. It should be noted that the table 1 is mainly used to describe how the longest matching method in this embodiment is executed. , but does not restrict the AAA server to record related information in other forms, and this table 1 only shows that some of the key information involved in the description of the longest matching method is not all: Table 1
  • the IPV6 address information allocated by the BRAS for the user of the user identifier A1 is the combined allocation mode of "128bits IPV6 address + 40bits IPV6-PD prefix", and the mapping is recorded on the AAA server side.
  • the "128bits IPV6 address” and "40bits IPV6-PD prefix" in the combination are actually two IPV6 address information, which are placed in two records (each record is equivalent to one mapping relationship)
  • the mapping between the user ID and the user identity information is established, that is, the two IPV6 address information are actually mapped to the same user.
  • the IPV6 address information allocated by the BRAS for the user of the user identifier A2 is a combined allocation mode of "64-bit IPV6 prefix + 40-bit IPV6-PD prefix", and the two mapping relationships are recorded in the same manner.
  • the IPV6 address information assigned by the BRAS to the user of the user identification A3 is an IPV6 address of 128 bits.
  • the AAA server receives the destination IPV6 address to be traced, that is, the IPV6 address that the suspect left on the network.
  • the target IPV6 address is a 128-bit IPV6 address.
  • the AAA server traces the source as follows: The 128-bit IPV6 address is compared with all the IPV6 address information in Table 1 respectively, that is, compared with the IPV6 address information in the records with the record identifiers 1 to 5, and how many are viewed. The information is the same.
  • the IPV6 address of record 1 is the same as the information of the first 50 bits of the destination IPV6 address
  • the IPV6-PD prefix of record 2 is the same as the information of the first 40 bits of the destination IPV6 address
  • the IPV6 prefix of record 3 is the target IPV6.
  • the information of the first 64 bits of the address is the same.
  • the IPV6-PD prefix of record 4 is the same as the information of the first 40 bits of the destination IPV6 address.
  • the IPV6 address of record 5 is the same as the first 20 bits of the destination IPV6 address. Then, it can be determined that the IPV6 prefix of the record 3 has the most matching information with the target IPV6 address, and the IPV6 prefix is the IPV6 address information that matches the target IPV6 address.
  • the BRAS may assign an IPV6 address or a prefix to the same user.
  • IPV6 address or a prefix to the same user.
  • the BRAS is The user is assigned two different 128bits IPV6 addresses, namely IPV6 address-1 and IPV6 address-2.
  • IPV6 address-1 and IPV6 address-2 The way to find the IPV6 address information matching the target IPV6 address in this scenario is actually the same as the matching method described above.
  • the target IPV6 address needs to be compared with each IPV6 address information, and the selection and The target IPV6 address has the most matching IPV6 address information as IPV6 address information matching the target IPV6 address. Since the method is the same, it will not be detailed.
  • the IP V6 address may be a new address, and the same IPV6 address may be assigned to the IP address at different times. Different users, therefore, when the actual AAA server obtains the destination IPV6 address to be traced, it also needs to obtain the usage time of the target IPV6 address at the same time. Meanwhile, when the mapping relationship is stored on the AAA server side, the time of recording the IPV6 address information is also required.
  • the time is, for example, the time when the AAA server receives the IPV6 address information, or the allocation time of the IP V6 address information reported by the BRAS to the AAA server, so that the time of the received target IPV6 address can be accurately found.
  • IPV6 address information matching the destination IPV6 address For example, if the time factor is not considered, two identical IPV6 address information matching the target IPV6 address can be found, corresponding to different users; further considering the time factor, the usage time of the target IPV6 address can be obtained.
  • the matching IPV6 address information is the IPV6 address information that is actually to be found.
  • the AAA server obtains user identity information corresponding to the target IP V6 address according to the mapping relationship between the IPV6 address information, the user identifier, and the user identity information.
  • the IPV6 prefix of the record 3 has the most matching information with the target IPV6 address, and the IPV6 prefix is the IPV6 address information that matches the target IPV6 address;
  • the mapping relationship represented by the record 3 the user identity information B2 corresponding to the IPV6 prefix, that is, the user identity information corresponding to the target IPV6 address, thereby realizing the traceability of the target IPV6 address.
  • the BRAS instructs the AAA server to stop charging.
  • the BRAS When the user goes offline, the BRAS notifies the AAA server to stop charging through the Accounting request message of the Radius protocol (that is, the stop charging request).
  • this embodiment is an example of the access and traceability process of the IPv6 PPPoE user.
  • Other scenarios are similar, and are not mentioned here, such as IP Over Ethernet (IPoE).
  • IPoE IP Over Ethernet
  • FIG. 4 is a schematic diagram of signaling of an IP V6 address tracing method according to another embodiment of the present invention.
  • the access device is a BRAS
  • the IPV6 address traceability device is a traceability server.
  • the traceability server is a separate one for traceability.
  • the traceability server in this embodiment stores the user identity information itself. Therefore, the flow of this embodiment is basically the same as that of FIG. 3, but only the IPV6 address information is required.
  • the traceability processing is also performed by the traceability server and will not be described in detail.
  • the method includes:
  • the BRAS When receiving the notification that the AAA server sends the authentication, the BRAS allocates the IP V6 address information to the terminal.
  • the charging process is, for example, that the BRAS sends an Accounting Accounting message (Start Accounting) to the AAA server, and an Accounting Response message returned by the AAA server to the BRAS.
  • Accounting Accounting Start Accounting
  • Accounting Response returned by the AAA server to the BRAS.
  • the 403 is performed between 404.
  • the 403 is also implemented. It may be performed after 404, or a part of the steps of 403 such as the stop charging sent by the BRAS to the AAA server may be performed after 404 or the like.
  • the BRAS sends a traceability information report message to the traceability server, and sends the user identifier and the IPV6 address information to the traceability server.
  • the traceability information reported in this step that is, the user identifier and the reporting of the IPV6 address information are not carried in the Start Accounting sent by the BRAS to the AAA server, but are another traceability information reporting message.
  • the message is reported in the same manner as the Start Accounting.
  • the same information is used to carry the IPV6 address information, such as the IPV6 address attribute and the IPV6 prefix attribute.
  • the traceability server establishes a mapping relationship between the IPV6 address information, the user identifier, and the user identity information.
  • the source server obtains user identity information corresponding to the target IP V6 address according to the mapping relationship between the IPV6 address information, the user identifier, and the user identity information.
  • FIG. 5 is a schematic diagram of signaling of an IP V6 address tracing method according to another embodiment of the present invention.
  • the access device is a BRAS
  • the IPV6 address traceability device is a traceability server
  • the traceability server is used as an example. It is a separate device for traceability; and the traceability server in this embodiment does not store user identity information itself, but needs to obtain user identity information from the AAA server. As shown in Figure 5, it includes:
  • the BRAS When receiving the notification that the AAA server sends the authentication, the BRAS allocates the IP V6 address information to the terminal.
  • the BRAS sends a traceability information report message to the traceability server, and sends the user identifier and the IPV6 address information to the traceability server.
  • the traceability server establishes a mapping relationship between the IPV6 address information and the user identifier.
  • the source server does not store the user identity information. Therefore, after the source server receives the IPV6 address information and the user identifier in 504, Only the mapping between the two will be established.
  • the source server When the source server receives the target IPV6 address to be traced, obtain the IPV6 address information that matches the target IPV6 address.
  • the traceability server obtains, according to the IPV6 address information, a user identifier that is stored by itself and corresponding to the IP V6 address information.
  • the traceability server obtains the corresponding user identifier according to the mapping relationship between the IPV6 address information matched with the target IPV6 address obtained in 506 and the IP V6 address information and the user identifier established in 505. .
  • the source server obtains user identity information corresponding to the user identifier from the AAA server according to the user identifier, where the user identity information is user identity information corresponding to the target IPV6 address.
  • the AAA server side stores the user identifier and the corresponding user identity information.
  • the traceability server can send the user identity information acquisition request to the AAA server, and carry the user identifier determined in 507.
  • the AAA server will use the user identifier according to the user identifier. Find the user identity information corresponding to the user ID stored on the home side, and return it to the traceability server.
  • the mapping between the IPV6 address information and the user identifier is performed at the source server, and the mapping between the user identifier and the user identity information is performed on the AAA server, but the two are integrated.
  • the user corresponding to the target IPV6 address is obtained according to the mapping relationship between the IPV6 address information, the user identifier, and the user identity information. Information is only distributed on different devices.
  • the solution of the embodiment of the present invention is also applicable to a mobile network.
  • a gateway GPRS support node (2G/3G)
  • PGW PDN gateway
  • the role is similar to BRAS, responsible for authenticating and assigning addresses to mobile users.
  • FIG. 6 is a schematic diagram of signaling of an IP V6 address tracing method according to another embodiment of the present invention.
  • the access device is a GGSN or a PGW
  • the IPV6 address source device is a traceability server.
  • the traceability server is a separate device.
  • the traceability server in this embodiment stores the user identity information itself. Therefore, the process of this embodiment is basically the same as that of FIG. 4, except that the tracking source information is not the BRAS but the GGSN or the PGW. For detailed steps, refer to FIG. 4, and details are not described again.
  • the method includes:
  • the GGSN or the PGW transmits the user authentication information between the terminal and the AAA server.
  • the 602, the GGSN, or the PGW allocates the IP V6 address information to the terminal when receiving the notification that the AAA server sends the authentication.
  • the GGSN or the PGW sends a traceability information report message to the traceability server, and sends the user identifier and the IPV6 address information to the traceability server.
  • the traceability server establishes a mapping relationship between the IPV6 address information, the user identifier, and the user identity information.
  • the source server receives the target IPV6 address to be traced, obtain the IPV6 address information that matches the target IPV6 address.
  • the source server obtains user identity information corresponding to the target IP V6 address according to the mapping relationship between the IPV6 address information, the user identifier, and the user identity information.
  • the IPV6 address traceability device is a traceability server, and the traceability server itself stores the user identity information.
  • the IPV6 address traceability device is an AAA server.
  • the GGSN or the PGW sends the user identifier and the IP V6 address information to the AAA server, and the AAA server establishes the relevant mapping relationship and traces the source.
  • the process at this time is similar to that shown in FIG. 3.
  • the IPV6 address traceability device is still a traceability server, but the traceability server does not maintain user identity information itself.
  • the user identity information corresponding to the user identifier needs to be obtained from the AAA server.
  • the process at this time is similar to that shown in FIG. 5.
  • FIG. 7 is a schematic structural diagram of an IPV6 address tracing device according to an embodiment of the present invention.
  • the IPV6 address tracing device may perform the method according to any embodiment of the present invention.
  • the IPV6 address tracing device may be, for example, an authentication server or a separate tracing server; As shown in FIG. 7, the IPV6 address tracing device may include: an information receiving unit 71, an address matching unit 72, and a traceability processing unit 73.
  • the information receiving unit 71 is configured to receive a destination IPv6 address that needs to be traced.
  • the address matching unit 72 is configured to select the IPv6 address information that matches the destination IPv6 address by using the longest matching mode, where the IPv6 address information includes an IPv6 address or an IPv6 prefix information.
  • the IPV6 prefix information includes one of the following: an IPV6 prefix, an IPV6-PD prefix, and an interface identifier.
  • the source processing unit 73 is configured to obtain a user identifier corresponding to the IPv6 address information.
  • Figure 8 is a schematic structural diagram of another embodiment of the I P V 6 address tracing device of the present invention, as shown in Figure 8, the device further includes a mapping establishing unit 74;
  • the information receiving unit 71 is further configured to receive, by the access device, the user identifier and the IPv6 address information corresponding to the user identifier before receiving the destination IPV6 address that needs to be traced;
  • the mapping establishing unit 74 is configured to save a correspondence between the user identifier and the IPv6 address information.
  • mapping establishing unit 74 is further configured to acquire user identity information corresponding to the user identifier stored by the user identifier according to the user identifier, and save the IPV6 address information, the user identifier, and the user identity. Mapping relationship between information;
  • the traceability processing unit 73 is further configured to: after acquiring the user identifier corresponding to the IPv6 address information, obtain the user identity information corresponding to the user identifier according to the mapping relationship.
  • the traceability processing unit 73 is further configured to: after acquiring the user identifier corresponding to the IPv6 address information, obtain, according to the user identifier, user identity information corresponding to the user identifier from the authentication server.
  • the IPV6 address traceability system may include the IPV6 address tracing device according to any embodiment of the present invention.
  • the structure of the IPV6 address tracing device may be referred to the foregoing embodiment, and details are not described in detail.
  • FIG. 9 is a schematic structural diagram of an embodiment of an IPV6 address tracing system according to the present invention.
  • the system may include: an access device 91, and an IPv6 address source device 92;
  • the access device 91 is configured to send the user identifier and the IPv6 address corresponding to the user identifier to the IPv6 address traceability device before the IPv6 address traceability device receives the destination IPV6 address that needs to be traced.
  • the IPv6 address source device 92 is further configured to save a correspondence between the user identifier and the IPv6 address information.
  • the IPv6 address traceability device 92 of this embodiment may be an AAA server.
  • the IPv6 address traversing device 92 is further configured to acquire user identity information corresponding to the user identifier stored by the user identifier according to the user identifier, and save the IPV6 address information, the user identifier, and the user. a mapping relationship between the identity information; and, after obtaining the user identifier corresponding to the IPv6 address information, obtaining the user identity information corresponding to the user identifier according to the mapping relationship.
  • FIG. 10 is a schematic structural diagram of another embodiment of an IPV6 address tracing system according to the present invention.
  • the system may include: an access device 1001, an IPv6 address source device 1002, and an authentication server 1003.
  • the IPv6 address source device 1002 And obtaining, after obtaining the user identifier corresponding to the IPv6 address information, the user identity information corresponding to the user identifier from the authentication server 1003 according to the user identifier.
  • the IPv6 address traceability device 92 of this embodiment may be a separate traceability server.
  • the foregoing program may be stored in a computer readable storage medium, and the program is executed when executed.
  • the method includes the steps of the foregoing method embodiments; and the foregoing storage medium includes: a medium that can store program codes, such as a ROM, a RAM, a magnetic disk, or an optical disk.

Abstract

提供一种IPV6地址溯源方法、装置和系统。该方法包括以下步骤：接收需要溯源的目的IPV6地址（201）；采用最长匹配方式选择与该目的IPV6地址匹配的IPV6地址信息，该IPV6地址信息包括IPV6地址或IPV6前缀信息（202）；以及获取该IPV6地址信息对应的用户标识（203）。本发明实现了IPV6地址的溯源。

Description

IPV6地址溯源方法、 装置和系统
技术领域
本发明涉及通信技术， 尤其涉及一种 IPV6地址溯源方法、 装置和系统。 背景技术
在网络应用中，有时需要根据用户上网所使用的 IP地址进行溯源；例如 , 一种典型的应用场景是： 当网络中出现非法言论时， 公安部门需要找到发布 该非法言论的嫌疑人， 根据嫌疑人在网站遗留的 IP地址， 通过 IP地址溯源， 就可以找到该嫌疑人的用户身份信息。
在现有的 IPV4网络中已经釆用关于 IPV4地址的溯源方法。 比如， 在家 庭宽带用户通过以太网承载 PPP协议 ( Point-to-Point Protocol over Ethernet, 简称： PPPOE )接入网络的过程中， 宽带远程接入服务器（ Broadband Remote Access Server, 简称： BRAS ) 负责将用户认证过程中输入的用户账号和密码 透传给认证鉴权计费 ( Authentication, Authorization and Accounting, 简称： AAA )服务器； 并在接收到 AAA服务器返回的认证通过的结果后为用户使 用的终端分配 IPV4地址。 并且， BRAS还会在计费流程中将上述用户账号和 IPV4地址上报至 AAA服务器，以使得 AAA服务器根据用户账号查找对应的 用户身份信息， 并建立 IPV4地址与用户身份信息的映射关系，从而在后续溯 源时就可以根据嫌疑人遗留的 IPV4地址找到其身份信息， 实现溯源。可以看 出， 在上述的地址溯源过程中， 是用户标识（比如上述的用户账号）将 IPV4 地址与用户身份信息联系起来的，因此在 IPV4地址溯源中关键是查找到与将 溯源的目标 IPV4地址对应的用户标识。
随着固定网络和移动网络 IPV6的大规模部署和商用， IPV6的相关系统 升级改造越来越受到重视， 其中， IPV6地址溯源作为 IPV6的重要安全特性 需要解决。 但是， 在现有 IPV4地址的溯源中， IPV4地址的结构和分配方式 都较为单一， IPV4地址的上报以及 AAA侧的溯源方法都是针对 IPV4地址设 计的； 而 IPV6地址的分配方式以及地址结构都较为复杂， 相比 IPV4有了较 大的变动， 比如分配的可能是 IPV6地址、 或者也可能是不定长度的 IPV6前 缀等。 现有的 IPV4地址溯源方式无法实现 IP V6地址的溯源。 发明内容
本发明提供一种 IPV6地址溯源方法、 装置和系统， 以实现 IPV6地址的 溯源。
第一方面， 提供一种 IPV6地址溯源方法， 包括：
接收需要溯源的目的 IPv6地址；
釆用最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息， 所 述 IPv6地址信息包括 IPv6地址或 IPv6前缀信息；
获取所述 IPv6地址信息对应的用户标识。
结合第一方面， 在第一种可能的实现方式中， 在所述接收需要溯源的目 的 IPV6地址之前， 所述方法还包括： 接收接入设备发送的所述用户标识、 以 及与所述用户标识对应的所述 IPv6地址信息；保存所述用户标识与所述 IPv6 地址信息的对应关系。
结合第一方面的第一种可能的实现方式， 在第二种可能的实现方式中， 还包括： 根据所述用户标识获取自身存储的与所述用户标识对应的用户身份 信息， 并保存所述 IPV6地址信息、所述用户标识和所述用户身份信息之间的 映射关系； 所述获取所述 IPv6地址信息对应的用户标识之后， 还包括： 根据 所述映射关系， 获得与所述用户标识对应的所述用户身份信息。
结合第一方面的第一种可能的实现方式， 在第三种可能的实现方式中， 所述获取所述 IPv6地址信息对应的用户标识之后， 还包括： 根据所述用户标 识， 从认证服务器获取与所述用户标识对应的用户身份信息。
结合第一方面、 或者第一方面的第一种可能的实现方式至第三种可能的 实现方式中的任意一项，在第四种可能的实现方式中， 所述 IPV6前缀信息包 括如下的其中一项： IPV6前缀、 IPV6- PD前缀、 接口标识。
第二方面， 提供一种 IPV6地址溯源装置， 包括：
信息接收单元， 用于接收需要溯源的目的 IPv6地址；
地址匹配单元， 用于釆用最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息 , 所述 IPv6地址信息包括 IPv6地址或 IPv6前缀信息；
溯源处理单元， 用于获取所述 IPv6地址信息对应的用户标识。 结合第二方面， 在第一种可能的实现方式中， 所述信息接收单元， 还用 于在所述接收需要溯源的目的 IPV6地址之前，接收接入设备发送的所述用户 标识、 以及与所述用户标识对应的所述 IPv6地址信息； 所述地址溯源装置还 包括： 映射建立单元， 用于保存所述用户标识与 IPv6地址信息的对应关系。
结合第二方面的第一种可能的实现方式， 在第二种可能的实现方式中， 所述映射建立单元， 还用于根据所述用户标识获取自身存储的与所述用户标 识对应的用户身份信息， 并保存所述 IPV6地址信息、所述用户标识和所述用 户身份信息之间的映射关系； 所述溯源处理单元， 还用于在获取所述 IPv6地 址信息对应的用户标识之后， 根据所述映射关系， 获得与所述用户标识对应 的所述用户身份信息。
结合第二方面的第一种可能的实现方式， 在第三种可能的实现方式中， 所述溯源处理单元， 还用于在获取所述 IPv6地址信息对应的用户标识之后， 根据所述用户标识，从认证服务器获取与所述用户标识对应的用户身份信息。
结合第二方面、 或者第二方面的第一种可能的实现方式至第三种可能的 实现方式中的任意一项，在第四种可能的实现方式中， 所述 IPV6前缀信息包 括如下的其中一项： IPV6前缀、 IPV6- PD前缀、 接口标识。
第三方面， 提供一种 IPV6地址溯源系统， 包括： IPV6地址溯源装置； 所述 IPV6地址溯源装置， 用于接收需要溯源的目的 IPv6地址； 并釆用 最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息， 所述 IPv6地 址信息包括 IPv6地址或 IPv6前缀信息； 以及， 获取所述 IPv6地址信息对应 的用户标识。
结合第三方面， 在第一种可能的实现方式中， 还包括： 接入设备； 所述接入设备，用于在所述 IPv6地址溯源装置接收需要溯源的目的 IPV6 地址之前， 向所述 IPv6地址溯源装置发送所述用户标识、 以及与所述用户标 识对应的所述 IPv6地址信息；
所述 IPv6地址溯源装置， 还用于保存所述用户标识与所述 IPv6地址信 息的对应关系。
结合第三方面的第一种可能的实现方式， 在第二种可能的实现方式中， 所述 IPv6地址溯源装置，还用于根据所述用户标识获取自身存储的与所述用 户标识对应的用户身份信息， 并保存所述 IPV6地址信息、所述用户标识和所 述用户身份信息之间的映射关系； 以及， 在获取所述 IPv6地址信息对应的用 户标识之后， 根据所述映射关系， 获得与所述用户标识对应的用户身份信息。
结合第三方面的第一种可能的实现方式， 在第三种可能的实现方式中， 还包括： 认证服务器；
所述 IPv6地址溯源装置， 还用于在获取所述 IPv6地址信息对应的用户 标识之后， 根据所述用户标识， 从所述认证服务器获取与所述用户标识对应 的用户身份信息。
结合第三方面、 或者第三方面的第一种可能的实现方式至第三种可能的 实现方式中的任意一项，在第四种可能的实现方式中， 所述 IPV6前缀信息包 括如下的其中一项： IPV6前缀、 IPV6- PD前缀、 接口标识。
本发明提供的 IPV6地址溯源方法、装置和系统的技术效果是： 通过釆用 最长匹配方式选择与需要溯源的目的 IPv6地址匹配的 IPv6地址信息， 并根 据该 IPv6地址信息获取到对应的用户标识， 实现了 IPV6地址的溯源。 附图说明 图 1为本发明 IPV6地址溯源方法一实施例的流程示意图；
图 2为本发明 IP V6地址溯源方法另一实施例的流程示意图；
图 3为本发明 IPV6地址溯源方法又一实施例的信令示意图；
图 4为本发明 IP V6地址溯源方法又一实施例的信令示意图；
图 5为本发明 IP V6地址溯源方法又一实施例的信令示意图；
图 6为本发明 IP V6地址溯源方法又一实施例的信令示意图；
图 7为本发明 IPV6地址溯源装置一实施例的结构示意图；
图 8为本发明 IPV6地址溯源装置另一实施例的结构示意图；
图 9为本发明 IPV6地址溯源系统一实施例的结构示意图；
图 10为本发明 IPV6地址溯源系统另一实施例的结构示意图。 具体实施方式 实施例一
图 1为本发明 IPV6地址溯源方法一实施例的流程示意图，该方法是由接 入设备执行， 该接入设备例如是 BRAS , 本实施例以 BRAS为例描述该方法； 如图 1所示， 可以包括：
101、 获取终端向认证服务器发送的用于请求认证的用户标识；
例如， 在用户认证的流程中， 用户将通过其使用的终端向认证服务器例 如 AAA服务器发送用户标识和密码等认证信息，该用户标识通常可以是用户 输入的用户账号或者用户名等。 在实际的终端向认证服务器发送认证信息的 过程中 ,该认证信息是通过 BRAS传输的 ,比如终端将认证信息发送至 BRAS , BRAS再将该认证信息传输至认证服务器； 则在此过程中， BRAS就获取到 所述的用户标识等认证信息。
102、 在接收到所述认证服务器发送的认证通过的通知时， 向所述终端分 配 IPV6地址信息， 所述 IPV6地址信息包括： IPV6地址和 /或 IPV6前缀； 例如， 认证服务器在对用户的认证信息认证通过后， 将向 BRAS发送认 证通过的通知， 再由 BRAS发送至终端通知用户。 并且， BRAS在用户认证 通过后将为该用户所使用的终端分配 IP地址， 以使得用户在后续访问网络时 使用该 IP地址。 本实施例中 BRAS分配的是 IPV6地址。
由于 IPV6地址的分配方式比较复杂， 具有多种地址分配方式， 并且在不 同的分配方式或者不同的应用场景下， BRAS向终端分配的 IPV6地址的形式 也不同； 例如， 可能分配的是 128bits的 IPV6地址、 或者也可能是 64bits的 IPV6前缀和 64bits的接口标识（ Interface ID ) 、 或者， 也可能是 IPV6-PD前 缀和 128bits的 IPV6地址等等， 而不再是现有的 IPV4地址那样，分配方式较 为单一， 就是 32bits的 IPV4地址。 因此， IPV6地址的形式与 IPV4地址有较 大差别， 本实施例将分配的多种形式的 IPV6地址统称为 IPV6地址信息。
103、 将所述用户标识、 以及所述 IPV6地址信息， 发送至 IPV6地址溯 源装置；
本实施例中， BRAS能够将 IPV6地址信息发送至 IPV6地址溯源装置， 并同时还将在 101中获取的用户标识也发送至 IPV6地址溯源装置； BRAS在 为终端分配 IPV6地址信息时，由于是在接收到认证服务器发送的对用户认证 通过的通知时才分配的， 所以 BRAS自身是能够得知 IPV6地址信息是为哪 个用户标识对应的终端分配的，即能够获知 IPV6地址信息与用户标识的对应 关系， 并将两者一同上报至 IPV6地址溯源装置。
需要说明的是， 本实施例中的 BRAS上报的 IPV6地址信息和用户标识 是分开的两个信息， IPV6地址信息是普通的地址， 并没有在该 IPV6地址信 息中嵌入其他信息， 即本实施例将普通分配的 IPV6地址信息、 以及用户标识 上才艮就可以实现 IPV6地址的溯源。
对于 IPV6地址溯源装置， 该 IPV6地址溯源装置侧可能存储有用户身份 信息， 也可能未存储用户身份信息； 当该装置存储有用户身份信息时， IPV6 地址溯源装置能够根据用户标识获取与该用户标识对应的用户身份信息， 由 于用户标识与 IPV6地址信息是对应的， 且用户标识与用户身份信息是对应 的， 因此， 用户身份信息、 用户标识和所述 IPV6地址信息三者之间是具有映 射关系的， IPV6地址溯源装置可以才艮据该映射关系进行溯源。 例如， IPV6 地址溯源装置在获取与将溯源的目标 IPV6地址相匹配的所述 IPV6地址信息 后， 根据映射关系获取到对应的用户身份信息。
当该装置未存储用户身份信息时，本实施例所述的 IPV6地址溯源装置可 以在获取与将溯源的目标 IPV6地址相匹配的所述 IPV6地址信息后， 根据 IPV6地址信息查找对应的用户标识， 再通过某种方式从其他设备上例如认证 服务器获取与用户标识对应的用户身份信息。
本实施例的 IPV6地址溯源方法 , 接入设备通过将用户标识和 IPV6地址 信息发送至 IPV6地址溯源装置， 使得 IPV6地址溯源装置能够根据该 IPV6 地址信息和同时上报的用户标识之间的映射关系进行溯源， 因此， 该接入设 备为实现 IPV6地址的溯源提供了建立所述映射关系和溯源实现所必须的具 有对应关系的用户标识和 IPV6地址信息。
实施例二
图 2为本发明 IP V6地址溯源方法另一实施例的流程示意图，该方法是由 IPV6地址溯源装置执行； 如图 2所示， 可以包括：
201、 接收需要溯源的目标 IPV6地址；
其中， 所述接收需要溯源的目标 IPV6地址， 可以是 IPV6地址溯源装置 接收某管理员输入的目标 IPV6地址， 也可以通过其他方式获取目标 IPV6地 址； 该目标 IPV6地址指的是将要对其进行溯源的地址， 例如， 网络上出现非 法言论， 公安部门要追查发布该非法言论的嫌疑人， 就要对该嫌疑人上网遗 留在网络上的 IPV6地址进行溯源， 则该嫌疑人遗留在网络上的 IPV6地址即 为将溯源的目标 IPV6地址， 公安部门需要查找该目标 IPV6地址对应的用户 身份信息。
202、釆用最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息， 所述 IPv6地址信息包括 IPv6地址或 IPv6前缀信息；
本实施例中 , 在查找与所述目标 IPV6地址相匹配的 IPV6地址信息时， 也是与 IPV4地址的匹配查找不同的； 比如 , 现有的 IPV4地址溯源时， 由于 IPV4地址的形式比较单一， 即 32bits的 IPV4地址， 则可以釆取精确匹配方 式， 只要 32bits完全相同即为相匹配的 IPV4地址； 而本实施例中的 IPV6地 址的形式较为复杂， 包括 IPV6地址、 IPV6前缀等多种形式， 在进行地址匹 配时， 就可能出现多个 IPV6地址信息均与目标 IPV6地址具有一部分比特位 的相同信息的情况， 此时例如可以按照最长匹配方式选择与所述目标 IPV6 地址具有最多的匹配信息的 IPV6地址信息， 作为与所述目标 IPV6地址相匹 配的 IPV6地址信息。
所述的 IPv6地址信息包括 IPv6地址或 IPv6前缀信息； 例如， 该 IPv6地 址是 128bits的 IPv6地址， 该 IPv6前缀信息包括 IPV6前缀、 IPV6- PD前缀、 接口标识等信息。
203、 获取所述 IPv6地址信息对应的用户标识。
例如， 用户标识、 以及与所述用户标识对应的 IP V6地址信息是 IPV6地 址溯源装置从接入设备接收的， 该 IPV6地址溯源装置例如是认证服务器，该 接入设备比如是 BRAS„
其中， 该步骤中 IPV6地址溯源装置在获取与所述目标 IPV6地址相匹配 的所述 IPV6地址信息， 并根据所述 IPV6地址信息与用户标识之间的映射关 系获取所述目标 IPV6地址对应的用户标识之后， 如果 IPV6地址溯源装置自 身存储有用户身份信息、以及用户身份信息与用户标识和 IPV6地址信息的映 射关系，该装置自身能够直接根据映射关系找到 IPV6地址信息对应的用户身 份信息； 或者， IPV6地址溯源装置自身未存储用户身份信息， 该 IPV6地址 溯源装置根据 IPV6地址信息对应的用户标识，从其他设备上例如认证服务器 获取与用户标识对应的用户身份信息。
实施例三
图 3为本发明 IPV6地址溯源方法又一实施例的信令示意图，本实施例中 以接入设备是 BRAS, IPV6地址溯源装置是认证服务器为例， 该认证服务器 例如是 AAA服务器； 并且， 本实施例中的 AAA服务器自身存储用户身份信 息。 如图 3所示， 该方法包括：
301、 BRAS传输终端与 AAA服务器之间的用户认证信息；
其中， 以家庭宽带用户通过 PPPoE接入网络为例， 用户想要接入网络进 行上网时，就通过终端输入用户认证信息发送至 AAA服务器，该用户认证信 息例如包括用户标识和密码等， 该用户标识例如是用户账号。
并且， 用户在终端输入的用户标识等用户认证信息是通过 BRAS透传给 AAA服务器的， AAA服务器在用户认证信息通过认证后， 也会将认证结果 下发至 BRAS , 由 BRAS传输至终端以通知用户。 该认证结果例如是表示认 证通过的通知。
302、 BRAS在接收到 AAA服务器发送的认证通过的通知时， 向终端分 配 IP V6地址信息；
其中， BRAS在用户认证通过后需要为用户使用的终端分配 IPV6地址信 息， 为后续用户使用该终端访问网络时使用。 此外， BRAS还会为用户指定 其他一些必要参数， 如： 域名服务器（domain name server, 简称： DNS )等。
本实施例所述的 IPV6地址信息包括： IPV6地址和 /或 IPV6前缀。 具体 的， IPv6地址分配方式较为复杂， 不同的分配方式所分配的 IPv6地址信息也 是不同的， 可能直接分配 128位（ 128bits ) IPv6地址， 可能分配 64位或其他 长度的 IPv6前缀等。
例如， 在家庭网关工作在桥模式， 并且是通过动态主机配置协议第 6版
( Dynamic Host Configuration Protocol version 6, 简称： DHCPv6 )进行地址 分配时， 为终端分配的 IPV6地址信息可能是 128 bits的 IPv6地址， 即通过 DHCPv6分酉己的 IPv6地址 ( Identity Association for Non-temporary Address , 简称： IA-NA )方式， 也可能是 64 bits的 IPv6前缀和 64 bits的接口标识 ( Interface ID ) 的组合分配方式。
又例如， 在家庭网关工作在桥模式， 并且是通过邻居发现协议（ neighbor discovery, 简称： ND )进行地址分配时， 为终端分配的 IPV6地址信息可能 是 64 bits的 IPv6前缀。
再例如， 在家庭网关工作在路由模式， 并且是通过 DHCPv6进行地址分 配时， 为终端分配的 IPV6地址信息可能包括小于或等于 64bits的 IPV6-PD 前缀， 即通过 DHCPv6分配的 IPv6-PD前缀（ Identity Association for Prefix Delegation, 简称： IA-PD )方式， 该 IPV6地址信息可能是 IPv6-PD前缀和 128 bits的 IPv6地址的组合，也可能是 64 bits的 IPv6前缀和 IPv6-PD前缀的 组合， 还可能是 IPv6-PD前缀、 64 bits的 IPv6前缀和 64 bits的 Interface ID 的组合方式。
303、 BRAS向 AAA服务器发送计费请求消息， 将所述用户标识、 以及 与所述用户标识对应的所述 IPV6地址信息， 发送至 AAA服务器；
其中， BRAS在为用户终端分配 IPV6地址信息后，将开始执行计费流程， 启动用户上网计费， 通过远端用户拨入认证服务协议（ Remote Authentication Dial In User Service , 简称： Radius ) 的 Accounting请求消息通知 AAA月良务 器， 具体是向 AAA服务器发送计费请求消息 （Start Accounting ) ； AAA服 务器会向 BRAS返回计费响应消息并开始计费， 用户就可以正常访问网络。
本实施例中，计费请求消息 Start Accounting中包括一些用于承载 IP地址 信息的属性信息， 在现有的 IPV4地址的上报流程中该 Start Accounting中仅 包括两个属性信息， 例如用于承载用户标识信息的 "User-Name"属性、 以及 用于承载分配的 IPV4地址的 "Framed-IPV4-Address" 属性。 而本实施例对 Start Accounting中的属性信息进行了扩展， 设计了如下的五种属性信息： "User-Name" 属性： 用于 载用户标识；
"Framed-IPV6-Prefix" 属性（可以称为 IPV6前缀属性） ： 用于承载分 配的 IPV6前缀；
"Framed-Interface-Id" 属性（可以称为接口标识属性） ： 用于 载分配 的接口标识即 Interface ID;
"Delegated-IPV6-Prefix"属性（可以称为 IPV6-PD前缀属性 )： 用于承 载分配的 IPv6-PD前缀；
"Framed-IPV6-Address" 属性（可以称为 IPV6地址属性） ： 用于承载 分配的 128 bits的 IPv6地址。
结合 302中所述的 IPV6地址的分配方式，上面设计的五个属性信息已经 能够满足 IPV6地址信息的承载需求；例如， 当分配的是 128 bits的 IPv6地址 时， 可以直接使用 IP V6地址属性承载上报； 当分配的是 64 bits的 IPv6前缀 和 64 bits的接口标识 ( Interface ID )的组合时， 可以同时使用 IPV6前缀属性 和接口标识属性进行这两个信息的上报； 当分配的是 64 bits的 IPv6前缀时 , 可以使用 IPV6前缀属性承载； 当分配的 IPV6地址信息中包括 IPv6-PD前缀 时， 可以使用 IPV6-PD前缀属性承载该 IPv6-PD前缀。
可选的， 在具体实施中， Start Accounting中不一定必须包括所述的全部 的属性信息， 例如， BRAS仅釆用其中一种分配方式为终端分配 IPV6地址， 比如仅釆用 64 bits的 IPv6前缀和 64 bits的接口标识（ Interface ID )的组合分 配方式时， 则 Start Accounting中的属性信息可以只包括： "User-Name" 属 性、 "Framed-IPV6-Prefix" 属性、 以及 "Framed-Interface-Id" 属性。 或者， 如果 BRAS仅釆用 128 bits的 IPv6地址分配方式时，则 Start Accounting中的 属性信息可以只包括： "User-Name" 属性、 以及 "Framed-IPV6-Address" 属性即可。
因此， Start Accounting中在 "User-Name" 属性之夕卜， 用于承载 IPV6地 址信息的属性可以包括如下中的任意一种： IPV6地址属性、 IPV6前缀属性、 以及所述 IPV6前缀属性和接口标识属性的组合； 所述 IPV6地址信息通过所 述属性信息中的任意一种承载。并且， IPV6-PD前缀属性也是可选的，当 IPV6 地址分配方式需要分配 IPV6-PD前缀时，需要设置该属性，当不分配 IPV6-PD 前缀时， 可以不设置该属性。
304、 AAA服务器建立 IPV6地址信息、 用户标识和用户身份信息之间的 映射关系；
其中， AAA服务器自身存储有用户身份信息， 该用户身份信息例如包括 用户的姓名、 地址、 身份证号、 手机号等， 并且， AAA服务器还存储有用户 标识例如用户账号等， 上述的这些信息可能是用户在运营商营业厅签约时运 营商获取到并通过某种方式存储在 AAA服务器中的。
本实施例中， AAA服务器根据接收到的用户标识就能够查找到该用户标 识对应的用户身份信息，并且由于用户标识和 IPV6地址信息也是具有对应关 系的，就可以建立 IPV6地址信息、用户标识和用户身份信息之间的映射关系， 即映射关系表示了某个用户标识的用户， 其用户身份信息是什么， 以及该用 户在上网时为其分配的 IPV6地址信息是什么。
305、 AAA服务器在接收到需要溯源的目标 IPV6地址时， 釆用最长匹配 方式获取与所述目标 IPV6地址相匹配的所述 IPV6地址信息； 其中， 所述接收将溯源的目标 IP V6地址， 可以是 AAA服务器接收某管 理员输入的目标 IPV6地址 , 也可以通过其他方式获取目标 IPV6地址； 该目 标 IPV6地址指的是将要对其进行溯源的地址， 例如， 网络上出现非法言论， 公安部门要追查发布该非法言论的嫌疑人， 就要对该嫌疑人上网遗留在网络 上的 IPV6地址进行溯源， 则该嫌疑人遗留在网络上的 IPV6地址即为将溯源 的目标 IPV6地址，公安部门需要查找该目标 IPV6地址对应的用户身份信息。
本实施例中 , 在查找与所述目标 IPV6地址相匹配的 IPV6地址信息时， 也是与 IPV4地址的匹配查找不同的； 比如 , 现有的 IPV4地址溯源时， 由于 IPV4地址的形式比较单一， 即 32bits的 IPV4地址， 则可以釆取精确匹配方 式， 只要 32bits完全相同即为相匹配的 IPV4地址； 而本实施例中的 IPV6地 址的形式较为复杂， 包括 IPV6地址和不定长的 IPV6前缀等多种形式， 在进 行地址匹配时， 就可能出现多个 IP V6地址信息均与目标 IP V6地址具有一部 分比特位的相同信息的情况， 此时无法釆用传统的精确匹配方案， 例如可以 按照最长匹配方式， 将目标 IPV6地址与存储的各 IPV6地址信息进行比较， 选择与所述目标 IPV6地址具有最多的匹配信息的 IPV6地址信息， 作为与所 述目标 IPV6地址相匹配的 IPV6地址信息。 所述 IPV6前缀信息包括如下的 其中一项： IPV6前缀、 IPV6- PD前缀、 接口标识。
举例如下： 参见如下的表 1 , 为 AAA服务器存储的一种可选的 IPV6地 址信息的记录方式； 需要说明的是， 该表 1主要用于说明本实施例的最长匹 配方式是如何执行的， 但并不限制 AAA服务器釆用其他的形式记录相关信 息，并且该表 1仅示出了最长匹配方式描述涉及到的一些关键信息并非全部： 表 1
Figure imgf000012_0001
Figure imgf000013_0001
参见表 1所示，假设有如下的分配方式： BRAS为用户标识 A1的用户分 配的 IPV6地址信息是 "128bits的 IPV6地址 +40bits的 IPV6-PD前缀" 的组 合分配方式，在 AAA服务器侧记录映射关系时，实际上所述组合中的 "128bits 的 IPV6地址" 和 "40bits的 IPV6-PD前缀" 作为两个 IPV6地址信息， 是要 放在两个记录中的（每一条记录相当于一个映射关系）， 将分别与用户标识、 用户身份信息建立映射关系，即上述两个 IPV6地址信息实际映射的是相同的 用户。 BRAS为用户标识 A2的用户分配的 IPV6地址信息是 "64bits的 IPV6 前缀 +40bits的 IPV6-PD前缀"的组合分配方式，同理分别记录两条映射关系。 BRAS为用户标识 A3的用户分配的 IPV6地址信息是 128bits的 IPV6地址。
假设 AAA服务器接收到了将溯源的目标 IPV6地址， 即嫌疑人在网上遗 留的 IPV6地址， 该目标 IPV6地址是一个 128bits的 IPV6地址。 AAA服务 器按照如下方式进行溯源： 将该 128bits的 IPV6地址分别与上述表 1中的所 有 IPV6地址信息分别比较， 即分别与记录标识为 1〜5的记录中的各 IPV6地 址信息比较， 查看有多少信息是相同的。 例如， 假设比较的结果为： 记录 1 的 IPV6地址与目标 IPV6地址的前 50bits的信息相同 , 记录 2的 IPV6-PD前 缀与目标 IPV6地址的前 40bits的信息相同 ,记录 3的 IPV6前缀与目标 IPV6 地址的前 64 bits的信息相同 , 记录 4的 IPV6-PD前缀与目标 IPV6地址的前 40bits的信息相同 , 记录 5的 IPV6地址与目标 IPV6地址的前 20 bits的信息 相同。 则可以确定记录 3的 IPV6前缀与所述目标 IPV6地址具有最多的匹配 信息 , 该 IPV6前缀即与所述目标 IPV6地址相匹配的 IPV6地址信息。
具体实施中， 还有一种情况是， BRAS有可能为同一个用户分配 IPV6地 址或前缀， 例如， 参见表 1中的记录 6和记录 7, 这两个记录对应的是同一 个用户 A4, BRAS为该用户分配了两个不同的 128bitsIPV6地址， 即 IPV6地 址 -1和 IPV6地址 -2。这种场景下的查找与所述目标 IPV6地址相匹配的 IPV6 地址信息的方式实际上是与上面所述的匹配方式相同的， 同样是需要将目标 IPV6地址与各 IPV6地址信息进行比较，选择与所述目标 IPV6地址具有最多 的匹配信息的 IPV6地址信息， 作为与所述目标 IPV6地址相匹配的 IPV6地 址信息。 由于方法相同， 不再详述。 此外， 在具体实施中， 由于每次用户上网时 BRAS都要重新为该用户分 配 IPV6地址， 该 IP V6地址有可能是新的地址， 并且， 在不同的时间同一个 IPV6地址有可能被分配至不同的用户， 所以， 实际 AAA服务器在获取将溯 源的目标 IPV6地址时，还需要同时获取该目标 IPV6地址的使用时间； 同时， 在 AAA服务器侧存储映射关系时， 也需要记录 IPV6地址信息的时间， 该时 间例如是 AAA服务器接收到该 IPV6地址信息的时间， 或者是 BRAS上报至 AAA服务器的该 IP V6地址信息的分配时间， 这样就可以根据接收到的目标 IPV6地址的使用时间准确的找到该目标 IPV6地址匹配的 IPV6地址信息。比 如，如果不考虑时间因素， 可以查找到与该目标 IPV6地址匹配的两个相同的 IPV6地址信息， 分别对应不同的用户； 进一步再考虑该时间因素， 就能够得 到与该目标 IPV6地址的使用时间相匹配的 IPV6地址信息才是真正要查找的 IPV6地址信息。
306、 AAA服务器根据所述 IPV6地址信息、 用户标识和用户身份信息之 间的映射关系， 获取所述目标 IP V6地址对应的用户身份信息；
其中， 可以参见表 1 , 殳在 305中已经确定记录 3的 IPV6前缀与所述 目标 IPV6地址具有最多的匹配信息 , 该 IPV6前缀即与所述目标 IPV6地址 相匹配的 IPV6地址信息； 则根据该记录 3所表示的映射关系， 与所述 IPV6 前缀对应的用户身份信息 B2 , 即为目标 IPV6地址对应的用户身份信息， 从 而实现了目标 IPV6地址的溯源。
307、 BRAS指示 AAA服务器停止计费；
其中，当用户下线时， BRAS通过 Radius协议的 Accounting请求消息（即 停止计费请求）通知 AAA服务器停止计费。
此外 , 本实施例是以 IPv6 PPPoE用户的接入和溯源流程为例 , 其他场景 方案类似， 在此不再赞述， 如以太网承载 IP协议（IP Over Ethernet, 简称： IPoE ) 。
实施例四
图 4为本发明 IP V6地址溯源方法又一实施例的信令示意图，本实施例中 以接入设备是 BRAS , IPV6地址溯源装置是溯源服务器为例， 该溯源服务器 是单独的一个用于溯源的设备； 并且， 本实施例中的溯源服务器自身存储用 户身份信息。 因此， 本实施例的流程基本与图 3—致， 只是 IPV6地址信息需 要上报至溯源服务器， 溯源的处理也由溯源服务器执行， 不再详述。
如图 4所示， 该方法包括：
401、 BRAS传输终端与 AAA服务器之间的用户认证信息；
402、 BRAS在接收到 AAA服务器发送的认证通过的通知时， 向终端分 配 IP V6地址信息；
403、 BRAS与 AAA服务器之间执行计费流程；
其中， 所述的计费流程例如是 BRAS向 AAA服务器发送计费请求消息 ( Start Accounting ) , 以及 AAA服务器向 BRAS返回的计费响应消息
( Accounting- Ack ) , 以及 BRAS向 AAA服务器发送的停止计费请求（ Stop Accounting )等。
需要说明的是， 本实施例的流程图中仅是示意相关的步骤， 但并不限制 该步骤的执行顺序， 例如， 在图 4中该 403是在 404之间执行， 具体实施中， 403也可以在 404之后执行，或者 403的一部分步骤比如 BRAS向 AAA服务 器发送的停止计费可以是在 404之后执行等。
404、 BRAS向溯源服务器发送溯源信息上报消息， 将所述用户标识、 以 及所述 IPV6地址信息， 发送至溯源服务器；
其中， 本步骤中的溯源信息上报， 即所述用户标识、 以及所述 IPV6地址 信息的上报不是再承载在 BRAS向 AAA服务器发送的 Start Accounting中， 而是另外的溯源信息上报消息。 该消息的上报方式与 Start Accounting类似， 同样是在该消息中设计了几个用于承载 IPV6地址信息的属性信息，例如 IPV6 地址属性、 IPV6前缀属性等， 不再赘述。
405、 溯源服务器建立 IPV6地址信息、 用户标识和用户身份信息之间的 映射关系；
406、 溯源服务器在接收到将溯源的目标 IPV6地址时， 获取与所述目标 IPV6地址相匹配的所述 IPV6地址信息；
407、 溯源服务器根据所述 IPV6地址信息、 用户标识和用户身份信息之 间的映射关系， 获取所述目标 IP V6地址对应的用户身份信息。
实施例五
图 5为本发明 IP V6地址溯源方法又一实施例的信令示意图，本实施例中 以接入设备是 BRAS, IPV6地址溯源装置是溯源服务器为例， 该溯源服务器 是单独的一个用于溯源的设备； 并且， 本实施例中的溯源服务器自身不存储 用户身份信息，而需要从 AAA服务器获取用户身份信息。如图 5所示，包括：
501、 BRAS传输终端与 AAA服务器之间的用户认证信息；
502、 BRAS在接收到 AAA服务器发送的认证通过的通知时， 向终端分 配 IP V6地址信息；
503、 BRAS与 AAA服务器之间执行计费流程；
504、 BRAS向溯源服务器发送溯源信息上报消息， 将所述用户标识、 以 及所述 IPV6地址信息， 发送至溯源服务器；
505、 溯源服务器建立 IPV6地址信息、 用户标识之间的映射关系； 其中， 由于本实施例的溯源服务器本身不存储用户身份信息， 所以溯源 服务器在接收到 504中的 IPV6地址信息和用户标识后 ,将只建立这两者之间 的映射关系。
506、 溯源服务器在接收到将溯源的目标 IPV6地址时， 获取与所述目标 IPV6地址相匹配的所述 IPV6地址信息；
507、 溯源服务器根据所述 IPV6地址信息， 得到自身存储的与所述 IP V6 地址信息对应的用户标识；
其中， 本步骤中，溯源服务器将根据在 506中得到的与目标 IPV6地址相 匹配的 IPV6地址信息 , 以及在 505中建立的 IP V6地址信息、 用户标识之间 的映射关系， 得到对应的用户标识。
508、 溯源服务器根据用户标识， 从 AAA服务器获取与所述用户标识对 应的用户身份信息，该用户身份信息即为与所述目标 IPV6地址对应的用户身 份信息；
其中， AAA服务器侧既存储有用户标识，也存储有对应的用户身份信息， 溯源服务器可以向 AAA服务器发送用户身份信息获取的请求，携带 507中确 定的用户标识； AAA服务器将根据该用户标识， 查找自身侧存储的与用户标 识对应的用户身份信息， 并返回给溯源服务器。
上述的 507和 508两步，实际上 IPV6地址信息和用户标识之间的映射查 找是在溯源服务器执行， 而用户标识和用户身份信息之间的映射查找是在 AAA服务器执行， 但是这两者综合起来也同样是根据 IPV6地址信息、 用户 标识和用户身份信息之间的映射关系获取所述目标 IPV6地址对应的用户身 份信息， 只是分在不同的设备进行。
实施例六
本发明实施例的方案同样适用于移动网络， 在移动网络中， 网关 GPRS 支持节点（ gateway GPRS support node, 简称： GGSN ) ( 2G/3G )和 PDN网 关（ PDN gateway, 简称： PGW ) ( LTE )的角色类似于 BRAS, 负责为移动 用户进行认证和分配地址。
图 6为本发明 IP V6地址溯源方法又一实施例的信令示意图，本实施例中 以接入设备是 GGSN或 PGW, IPV6地址溯源装置是溯源服务器为例， 该溯 源服务器是单独的一个设备； 并且， 本实施例中的溯源服务器自身存储用户 身份信息。 因此， 本实施例的流程基本与图 4一致， 只是上报溯源信息的不 再是 BRAS而是 GGSN或 PGW, 详细的步骤可以参见图 4, 不再详述。
如图 6所示， 该方法包括：
601、 GGSN或 PGW传输终端与 AAA服务器之间的用户认证信息； 602、 GGSN或 PGW在接收到 AAA服务器发送的认证通过的通知时， 向终端分配 IP V6地址信息；
603、 GGSN或 PGW与 AAA服务器之间执行计费流程；
604、 GGSN或 PGW向溯源服务器发送溯源信息上报消息， 将所述用户 标识、 以及所述 IPV6地址信息， 发送至溯源服务器；
605、 溯源服务器建立 IPV6地址信息、 用户标识和用户身份信息之间的 映射关系；
606、 溯源服务器在接收到将溯源的目标 IPV6地址时， 获取与所述目标 IPV6地址相匹配的所述 IPV6地址信息；
607、 溯源服务器根据所述 IPV6地址信息、 用户标识和用户身份信息之 间的映射关系， 获取所述目标 IP V6地址对应的用户身份信息。
此外， 本实施例是以 IPV6地址溯源装置是溯源服务器， 并且， 溯源服务 器自身存储用户身份信息为例， 在移动网络的具体实施中， 还可以是其他场 景 , 例如 , IPV6地址溯源装置是 AAA服务器 , GGSN或 PGW向 AAA服务 器发送用户标识以及 IP V6地址信息， 并且是由 AAA服务器建立相关映射关 系和进行溯源， 此时的流程类似于图 3所示。 或者， 还可以是 IPV6地址溯源 装置仍然是溯源服务器， 但是该溯源服务器自身不再维护用户身份信息， 而 是需要从 AAA服务器获取与用户标识对应的用户身份信息，此时的流程类似 于图 5所示。
实施例七
图 7为本发明 IPV6地址溯源装置一实施例的结构示意图， 该 IPV6地址 溯源装置可以执行本发明任意实施例的方法，该 IPV6地址溯源装置例如可以 是认证服务器、 或者是单独的溯源服务器； 如图 7所示， 该 IPV6地址溯源装 置可以包括： 信息接收单元 71、 地址匹配单元 72和溯源处理单元 73; 其中， 信息接收单元 71 , 用于接收需要溯源的目的 IPv6地址；
地址匹配单元 72 ,用于釆用最长匹配方式选择与所述目的 IPv6地址匹配 的 IPv6地址信息 , 所述 IPv6地址信息包括 IPv6地址或 IPv6前缀信息；
例如， 所述 IPV6前缀信息包括如下的其中一项： IPV6前缀、 IPV6- PD 前缀、 接口标识。
溯源处理单元 73 , 用于获取所述 IPv6地址信息对应的用户标识。
图 8为本发明 I P V 6地址溯源装置另一实施例的结构示意图，如图 8所示， 该装置进一步包括映射建立单元 74;
所述信息接收单元 71 , 还用于在所述接收需要溯源的目的 IPV6地址之 前 ,接收接入设备发送的所述用户标识、以及与所述用户标识对应的所述 IPv6 地址信息；
所述映射建立单元 74,用于保存所述用户标识与所述 IPv6地址信息的对 应关系。
进一步的， 所述映射建立单元 74, 还用于根据所述用户标识获取自身存 储的与所述用户标识对应的用户身份信息， 并保存所述 IPV6地址信息、所述 用户标识和所述用户身份信息之间的映射关系；
所述溯源处理单元 73 ,还用于在获取所述 IPv6地址信息对应的用户标识 之后， 根据所述映射关系， 获得与所述用户标识对应的所述用户身份信息。
进一步的， 所述溯源处理单元 73 ,还用于在获取所述 IPv6地址信息对应 的用户标识之后， 根据所述用户标识， 从认证服务器获取与所述用户标识对 应的用户身份信息。
实施例八
本实施例提供一种 IPV6地址溯源系统， 该 IPV6地址溯源系统可以执行 本发明任意实施例的方法，该 IPV6地址溯源系统可以包括本发明任意实施例 所述的 IPV6地址溯源装置； 该 IPV6地址溯源装置的结构可以参见上述实施 例， 不再详述。
图 9为本发明 IPV6地址溯源系统一实施例的结构示意图，可选的， 该系 统可以包括： 接入设备 91、 IPv6地址溯源装置 92; 其中，
所述接入设备 91 , 用于在所述 IPv6地址溯源装置接收需要溯源的目的 IPV6地址之前， 向所述 IPv6地址溯源装置发送所述用户标识、 以及与所述 用户标识对应的所述 IPv6地址信息；
所述 IPv6地址溯源装置 92 , 还用于保存所述用户标识与所述 IPv6地址 信息的对应关系。
例如， 本实施例的 IPv6地址溯源装置 92可以是 AAA服务器。
进一步的，所述 IPv6地址溯源装置 92,还用于根据所述用户标识获取自 身存储的与所述用户标识对应的用户身份信息， 并保存所述 IPV6地址信息、 所述用户标识和所述用户身份信息之间的映射关系； 以及， 在获取所述 IPv6 地址信息对应的用户标识之后， 根据所述映射关系， 获得与所述用户标识对 应的所述用户身份信息。
图 10为本发明 IPV6地址溯源系统另一实施例的结构示意图， 可选的， 该系统可以包括：接入设备 1001、 IPv6地址溯源装置 1002和认证服务器 1003; 其中， 所述 IPv6地址溯源装置 1002 , 还用于在获取所述 IPv6地址信息对应 的用户标识之后， 根据所述用户标识， 从所述认证服务器 1003获取与所述用 户标识对应的用户身份信息。
例如， 本实施例的 IPv6地址溯源装置 92可以是单独的溯源服务器。 本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步骤 可以通过程序指令相关的硬件来完成， 前述的程序可以存储于一计算机可读 取存储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述 的存储介质包括： ROM, RAM, 磁碟或者光盘等各种可以存储程序代码的介 质。
最后应说明的是： 以上各实施例仅用以说明本发明的技术方案， 而非对 其限制； 尽管参照前述各实施例对本发明进行了详细的说明， 本领域的普通 技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改， 或者对其中部分或者全部技术特征进行等同替换； 而这些修改或者替换， 并 不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权 利 要 求 书
1、 一种 IPV6地址溯源方法， 其特征在于， 包括：
接收需要溯源的目的 IPv6地址；
釆用最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息， 所 述 IPv6地址信息包括 IPv6地址或 IPv6前缀信息；
获取所述 IPv6地址信息对应的用户标识。
2、 根据权利要求 1所述的方法， 其特征在于， 在所述接收需要溯源的目 的 IP V6地址之前， 所述方法还包括：
接收接入设备发送的所述用户标识、 以及与所述用户标识对应的所述 IPv6地址信息；
保存所述用户标识与所述 IPv6地址信息的对应关系。
3、 根据权利要求 2所述的方法， 其特征在于， 还包括：
根据所述用户标识获取自身存储的与所述用户标识对应的用户身份信 息， 并保存所述 IPV6地址信息、所述用户标识和所述用户身份信息之间的映 射关系；
所述获取所述 IPv6地址信息对应的用户标识之后， 还包括： 根据所述映 射关系， 获得与所述用户标识对应的所述用户身份信息。
4、 根据权利要求 2所述的方法， 其特征在于， 所述获取所述 IPv6地址 信息对应的用户标识之后， 还包括：
根据所述用户标识， 从认证服务器获取与所述用户标识对应的用户身份 信息。
5、 根据权 1〜4任一所述的方法， 其特征在于， 所述 IPV6前缀信息包括 如下的其中一项：
IPV6前缀、 IPV6- PD前缀、 接口标识。
6、 一种 IPV6地址溯源装置， 其特征在于， 包括：
信息接收单元， 用于接收需要溯源的目的 IPv6地址；
地址匹配单元， 用于釆用最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息 , 所述 IPv6地址信息包括 IPv6地址或 IPv6前缀信息；
溯源处理单元， 用于获取所述 IPv6地址信息对应的用户标识。
7、 根据权利要求 6所述的 IPV6地址溯源装置， 其特征在于， 所述信息接收单元， 还用于在所述接收需要溯源的目的 IPV6地址之前， 接收接入设备发送的所述用户标识、 以及与所述用户标识对应的所述 IPv6地 址信息；
所述地址溯源装置还包括： 映射建立单元， 用于保存所述用户标识与所 述 IPv6地址信息的对应关系。
8、 根据权利要求 7所述的 IPV6地址溯源装置， 其特征在于，
所述映射建立单元， 还用于根据所述用户标识获取自身存储的与所述用 户标识对应的用户身份信息， 并保存所述 IPV6地址信息、所述用户标识和所 述用户身份信息之间的映射关系；
所述溯源处理单元，还用于在获取所述 IPv6地址信息对应的用户标识之 后， 根据所述映射关系， 获得与所述用户标识对应的所述用户身份信息。
9、 根据权利要求 7所述的 IPV6地址溯源装置， 其特征在于，
所述溯源处理单元，还用于在获取所述 IPv6地址信息对应的用户标识之 后， 根据所述用户标识， 从认证服务器获取与所述用户标识对应的用户身份 信息。
10、根据权利要求 6〜9任一所述的 IPV6地址溯源装置， 其特征在于， 所 述 IPV6前缀信息包括如下的其中一项：
IPV6前缀、 IPV6- PD前缀、 接口标识。
11、 一种 IPV6地址溯源系统， 其特征在于， 包括： IP V6地址溯源装置； 所述 IPV6地址溯源装置， 用于接收需要溯源的目的 IPv6地址； 并釆用 最长匹配方式选择与所述目的 IPv6地址匹配的 IPv6地址信息， 所述 IPv6地 址信息包括 IPv6地址或 IPv6前缀信息； 以及， 获取所述 IPv6地址信息对应 的用户标识。
12、 根据权利要求 11所述的系统， 其特征在于， 还包括： 接入设备； 所述接入设备，用于在所述 IPv6地址溯源装置接收需要溯源的目的 IPV6 地址之前， 向所述 IPv6地址溯源装置发送所述用户标识、 以及与所述用户标 识对应的所述 IPv6地址信息；
所述 IPv6地址溯源装置， 还用于保存所述用户标识与所述 IPv6地址信 息的对应关系。
13、 根据权利要求 12所述的系统， 其特征在于， 所述 IPv6地址溯源装置，还用于根据所述用户标识获取自身存储的与所 述用户标识对应的用户身份信息， 并保存所述 IPV6地址信息、所述用户标识 和所述用户身份信息之间的映射关系； 以及， 在获取所述 IPv6地址信息对应 的用户标识之后， 根据所述映射关系， 获得与所述用户标识对应的所述用户 身份信息。
14、 根据权利要求 12所述的系统， 其特征在于， 还包括： 认证服务器； 所述 IPv6地址溯源装置， 还用于在获取所述 IPv6地址信息对应的用户 标识之后， 根据所述用户标识， 从所述认证服务器获取与所述用户标识对应 的用户身份信息。
15、根据权 11〜14任一所述的系统， 其特征在于， 所述 IPV6前缀信息包 括如下的其中一项： IPV6前缀、 IPV6- PD前缀、 接口标识。
PCT/CN2012/087654 2012-12-27 2012-12-27 Ipv6地址溯源方法、装置和系统 WO2014101041A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP12890816.7A EP2928141A4 (en) 2012-12-27 2012-12-27 METHOD, DEVICE AND SYSTEM FOR IPV6 ADDRESS TRACKING
PCT/CN2012/087654 WO2014101041A1 (zh) 2012-12-27 2012-12-27 Ipv6地址溯源方法、装置和系统
CN201280002617.6A CN103229488B (zh) 2012-12-27 2012-12-27 IPv6地址溯源方法、装置和系统
US14/747,559 US9973399B2 (en) 2012-12-27 2015-06-23 IPV6 address tracing method, apparatus, and system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2012/087654 WO2014101041A1 (zh) 2012-12-27 2012-12-27 Ipv6地址溯源方法、装置和系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/747,559 Continuation US9973399B2 (en) 2012-12-27 2015-06-23 IPV6 address tracing method, apparatus, and system

Publications (1)

Publication Number Publication Date
WO2014101041A1 true WO2014101041A1 (zh) 2014-07-03

Family

ID=48838363

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/087654 WO2014101041A1 (zh) 2012-12-27 2012-12-27 Ipv6地址溯源方法、装置和系统

Country Status (4)

Country Link
US (1) US9973399B2 (zh)
EP (1) EP2928141A4 (zh)
CN (1) CN103229488B (zh)
WO (1) WO2014101041A1 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104333615A (zh) * 2014-11-05 2015-02-04 中国联合网络通信集团有限公司 一种地址溯源方法及装置
CN105991785A (zh) * 2015-02-09 2016-10-05 中兴通讯股份有限公司 网络接入用户的追踪方法及装置
CN105323329A (zh) * 2015-06-30 2016-02-10 清华大学 IPv6地址生成、解析方法及装置
US10659543B2 (en) * 2017-10-04 2020-05-19 Toluna Israel Limited System and methods for tracking the usage of digital services
US10652950B2 (en) * 2017-11-16 2020-05-12 Cisco Technology, Inc. Method and system for providing signed user location information
CN108206765B (zh) * 2018-03-30 2021-08-06 新华三技术有限公司 PPPoE上线恢复方法、BRAS设备及AAA服务器
CN109040338A (zh) * 2018-07-26 2018-12-18 赛尔网络有限公司 基于时空的IPv6地址溯源方法
CN110290234B (zh) * 2019-07-16 2021-10-01 广东热点软件技术服务有限公司 节点地址溯源的方法、装置、系统、设备和存储介质
CN113225407B (zh) * 2021-04-29 2022-07-26 全球能源互联网研究院有限公司 一种设备标识信息管理方法、装置、电子设备及存储介质
CN116684869B (zh) * 2023-07-20 2023-09-29 华中科技大学 一种基于IPv6的园区无线网可信接入方法、系统及介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100770354B1 (ko) * 2006-08-03 2007-10-26 경희대학교 산학협력단 ＩＰｖ6 네트워크에서 공격자 호스트의 ＩＰ를 역추적하는방법
CN101710906A (zh) * 2009-12-18 2010-05-19 工业和信息化部电信传输研究所 IPv6地址的结构、分配及溯源的方法和装置
CN102790812A (zh) * 2012-07-31 2012-11-21 中国联合网络通信集团有限公司 基于移动终端的ip地址溯源方法、设备和系统
CN102801821A (zh) * 2012-08-10 2012-11-28 中国联合网络通信集团有限公司 地址生成和解析方法、用户设备和网络节点

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1054529A3 (en) * 1999-05-20 2003-01-08 Lucent Technologies Inc. Method and apparatus for associating network usage with particular users
WO2003069509A2 (en) * 2002-02-14 2003-08-21 Transwitch Corporation Efficient ipv4/ipv6 best matching prefix method and apparatus
JP2004032253A (ja) * 2002-06-25 2004-01-29 Hitachi Ltd ネットワーク通信装置および通信方式
KR100951770B1 (ko) * 2005-12-30 2010-04-08 경희대학교 산학협력단 ＩＰｖ6 네트워크에서 ＩＰ를 역추적하는 방법
US20080120707A1 (en) * 2006-11-22 2008-05-22 Alexander Ramia Systems and methods for authenticating a device by a centralized data server
CN101005461B (zh) * 2007-01-16 2010-06-16 中兴通讯股份有限公司 一种IPv6路由表查找、转发的方法
KR101081433B1 (ko) * 2010-06-25 2011-11-09 충남대학교산학협력단 ＩＰｖ６ 기반 네트워크의 공격 패킷의 역추적 방법 및 그 기록매체
US8432914B2 (en) * 2010-11-22 2013-04-30 Force 10 Networks, Inc. Method for optimizing a network prefix-list search
CN103503423A (zh) 2012-01-21 2014-01-08 华为技术有限公司 获取用户信息的方法及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100770354B1 (ko) * 2006-08-03 2007-10-26 경희대학교 산학협력단 ＩＰｖ6 네트워크에서 공격자 호스트의 ＩＰ를 역추적하는방법
CN101710906A (zh) * 2009-12-18 2010-05-19 工业和信息化部电信传输研究所 IPv6地址的结构、分配及溯源的方法和装置
CN102790812A (zh) * 2012-07-31 2012-11-21 中国联合网络通信集团有限公司 基于移动终端的ip地址溯源方法、设备和系统
CN102801821A (zh) * 2012-08-10 2012-11-28 中国联合网络通信集团有限公司 地址生成和解析方法、用户设备和网络节点

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2928141A4 *

Also Published As

Publication number Publication date
EP2928141A1 (en) 2015-10-07
US20150288581A1 (en) 2015-10-08
US9973399B2 (en) 2018-05-15
CN103229488B (zh) 2016-05-25
EP2928141A4 (en) 2016-03-16
CN103229488A (zh) 2013-07-31

Similar Documents

Publication Publication Date Title
WO2014101041A1 (zh) Ipv6地址溯源方法、装置和系统
CN110800331B (zh) 网络验证方法、相关设备及系统
US10142159B2 (en) IP address allocation
US8605582B2 (en) IP network system and its access control method, IP address distributing device, and IP address distributing method
JP6007458B2 (ja) パケット受信方法、ディープ・パケット・インスペクション装置及びシステム
WO2011088657A1 (zh) 互联网地址信息处理方法、装置以及互联网系统
WO2010069181A1 (zh) Ipv6地址配置方法和系统
WO2020253631A1 (zh) Ip地址的配置方法、设备及系统
WO2012088911A1 (zh) Ip终端接入网络的方法和装置
WO2010048874A1 (zh) 一种ip会话标识方法、装置和系统
WO2014117600A1 (zh) 基于dns的用户认证和域名访问控制方法及系统
US8605736B2 (en) Method, system and apparatus for heterogeneous addressing mapping
WO2015196755A1 (zh) 一种身份位置分离网络中的地址分配方法及接入服务节点
WO2011144152A1 (zh) 信息提供方法及家庭网关、家庭网络系统
WO2012089001A1 (zh) 一种ip地址分配方法及装置
WO2013013479A1 (zh) 实体标识符分配系统、溯源、认证方法及服务器
US8438390B2 (en) Method and system for using neighbor discovery unspecified solicitation to obtain link local address
EP3016423A1 (en) Network safety monitoring method and system
WO2007101378A1 (fr) Dispositif, procédé et système pour acquérir une adresse ipv6
US8705471B2 (en) Method and system for implementing ID/locator mapping
WO2011147343A1 (zh) Ip网络中地址分配方法、设备及系统
WO2018039901A1 (zh) 用于ip地址分配的方法、装置、系统和计算机程序产品
JP4019666B2 (ja) ゲートウェイ装置および情報機器
WO2015131327A1 (zh) IPv6地址分配方法及装置
WO2016206300A1 (zh) Ip地址管理方法、上网方法、溯源方法及装置和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12890816

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2012890816

Country of ref document: EP