[实用新型]路由装置

说明书

技术领域

本实用新型的原理涉及计算机网络，并且更具体地，涉及防止在计算机网络中的攻击行为。

背景技术

计算机网络汇集了多个相互连接的计算设备，它们交换数据并共享资源。在基于分组的网络中(例如因特网)，计算设备通过将数据分成被称作分组的小块来交换数据。这些分组各自经过网络从源设备路由到目标设备。目标设备从这些分组中提取数据并把这些数据组组装为其原始格式。将数据分割为分组使得源设备可以仅重新发送在传输期间那些可能丢失的个别的分组。

基于分组的计算机网络越来越多地使用标签交换协议，该协议用于业务工程及其他目的。在标签交换网络中，标签交换路由器(Label Switching Routers，缩写为LSR)使用多协议标签交换(Multi-Protocol Label Switching，缩写为MPLS)信令协议来建立标签交换路径(Label Switched Path，缩写为LSP)。所述LSR利用MPLS协议从下游LSR中接收MPLS标签映象，然后将MPLS标签映象播发(advertise)给上游LSR。当LSR从上游路由器中接收MPLS分组的时候，其根据在其转发表中的信息来交换MPLS标签，然后传送所述分组到适当的下游LSR。

传统的LSR通常假设所连接的任何给定的上游LSR都是“可信任的”，以仅使用实际已被播发给该上游LSR的标签发送MPLS分组。然而，这引起潜在的安全脆弱性问题，这是由于LSR可能从源而不是从已被播发标签映象的上游LSR中接收MPLS分组。换句话说，根据一个或多个LSP的相应的标签映象，通过输出MPLS分组，恶意源可以“欺骗(spoof)”上游LSR。如果下游LSR接收该欺骗的MPLS分组以及标签，交换所述分组并且传送这些分组到下游LSR的话，则出现了安全漏洞。即使并未上行发送该LSP信号给所述源，该恶意源也已经成功地(或者可能非故意地)将MPLS分组插入到了LSP中。

检测和避免MPLS欺骗会是一项困难的任务，用于基于分组系统的常规检测方案可能不适用。例如，通常应用于基于分组网络中的常规方法仅仅是检验所接收的分组的源地址。但是，在MPLS上下文中通常没有与分组相关的源地址。

因此，某些LSR试图通过检验为MPLS而启动的接口上所接收的分组来防止MPLS欺骗。如果对于特定的接口未启动MPLS，LSR就丢弃该分组。然而，在MPLS启动接口上接收欺骗的MPLS业务时，该方法将避免不了安全漏洞，对于不同服务提供商之间的接口，或MPLS是在服务提供商和客户间的接口上启动而言，这将很容易发生。

实用新型内容

本发明旨在提供一种路由装置，用于解决现有技术中在MPLS启动接口上接收欺骗的MPLS业务时所面临的安全漏洞问题。

在另一个实施例中，一种路由装置，包括：路由引擎，用于维护反映网络拓扑结构的路由信息；以及接口卡，其插于路由设备的插槽中，电连接至路由引擎，并使用接口播发用于标签交换路径的标签，其中，一旦接收到具有标签的分组，则接口卡校验分组是否在最初用来播发标签的接口上接收到的。

在另一个实施例中，一种计算机可读介质，包括指令，其用于促使可编程处理器播发LSP标签，其中标签与接口相关，接收具有该标签的分组，并且校验分组是在该接口上接收到的。

本实用新型提供了维护网络安全的技术，且更具体来说，实现了检测和防范MPLS欺骗。这些技术允许以某种方式扩展与信令协议相关的软件模块，该方式允许路由装置检验多协议标签交换(MPLS)分组是否是从合法的、MPLS标签实际上已被播发的上游路由装置所接收到的。所述技术可被应用到任何信令协议中，例如具有业务工程的资源预留协议(Resource Reservation SetupProtocol with Traffic Engineering，缩写为RSVP-TE)，标签分发协议(LDP)，或者边界网关协议(BGP)。

附图说明

图1是示出根据本实用新型原理的一个系统实例的方框图，其中，标签交换路由器(LSR)对输入的多协议标签交换(MPLS)分组进行欺骗检查。

图2是示出根据本实用新型原理的对输入的MPLS分组进行欺骗检查的路由器的典型实施例的方框图。

图3是示出根据本实用新型原理的转发表实例的方框图，该转发表已被扩展以结合附加的欺骗检查域。

图4是示出用于虚拟路由器的示例性的远程自治系统表的方框图。

图5是示出与虚拟路由器和远程自治系统相关的接口表实例的方框图。