[发明专利]使用聚集路由器密钥转发数据分组的方法和设备

权利要求书

1.一种支持分组交换网络的路由器(402，702)中接收的数据分组的转发的方法，包括以下步骤：

-基于从密钥管理器接收的聚集路由器密钥和相关联的聚集有关的指令来配置转发表，每个聚集路由器密钥表示目的地的集合，

-接收包括从发送方密钥或路由器密钥来推导的入口标记的数据分组，

-应用匹配函数到所接收的入口标记和所述转发表中的至少一个条目以便查找匹配的表条目，所述条目包括候选入口密钥和外出端口指示，

-根据还包括相关联的聚集有关的指令的找到的匹配表条目，为所述分组选择外出端口，

-根据所述匹配表条目中的所述聚集有关的指令，创建出口标记，以及

-将附加有所创建的出口标记的所述分组从所选择的外出端口发送到下一跳路由器。

2.如权利要求1所述的方法，其中所述匹配函数包括应用标记推导函数TDF到表条目中的所述候选入口密钥以推导候选入口标记，并且如果所述候选入口标记满足与所述分组中所接收的入口标记的预定关系，则认为找到匹配。

3.如权利要求2所述的方法，其中所述预定关系是相等，即，如果所述候选入口标记等于所述分组中的所述入口标记，则认为找到匹配。

4.如权利要求1-3的任一项所述的方法，其中通过应用另一标记推导函数TDF′到所述匹配表条目中的出口密钥来创建所述出口标记。

5.如权利要求1-4的任一项所述的方法，其中所接收的数据分组还包含与所述转发表中条目或条目集合相关联的密钥索引，并且所述密钥索引用于查找适当的一个条目/多个条目以便应用所述匹配函数。

6.如权利要求1-5的任一项所述的方法，其中通过将从所述匹配表条目中一个或多个出口密钥所推导的一个或多个另外的子标记并靠着所接收的入口标记附加到所述分组以执行聚集，或者通过从所述分组删除一个或多个另外的子标记以执行解聚集，创建所述出口标记。

7.如权利要求6所述的方法，其中通过在执行聚集时应用预定合并函数(C)到所接收的入口标记和所述一个或多个另外的子标记，创建所述出口标记。

8.如权利要求7所述的方法，其中所述合并函数是串连或XOR函数。

9.如权利要求1-5的任一项所述的方法，其中目的地密钥和路由器密钥的分层方案用于执行路由的聚集，并且通过将所接收的入口标记换成从所述匹配表条目中的出口密钥所推导的新标记、以及还添加相关联的聚集信息到所述出口标记，创建所述出口标记，其中所述聚集信息能够用于确定原始目的地。

10.如权利要求9所述的方法，其中所述分层路由器密钥方案借助于函数f(p，q)从根值(x)生成，其中p是当前树层次上方节点位置的路由器密钥值，以及q是指示所述当前树层次内节点位置的整数，其中端主机的目的地密钥对应于所述树结构的叶，以及所述叶上方在一个或多个树层次上的任何f值能够用作聚集路由器密钥。

11.如权利要求10所述的方法，其中结果的密钥方案由能够沿从所述根(x)向下的路径、根据以下链：(x，f(x)，f(f(x))，…，f(f(…f(x)…)))所计算的密钥值来组成。

12.一种分组交换网络的路由器(402，702)中的设备，用于支持所述路由器中接收的数据分组的转发，所述设备包括：

-转发单元(402b，706)，适用于基于从密钥管理器(400，700)接收的聚集路由器密钥和相关联的聚集有关的指令来配置转发表，每个聚集路由器密钥表示目的地的集合，

-入口单元(704)，适用于接收包括从发送方密钥或路由器密钥所推导的入口标记的数据分组(P)，以及

-出口单元(708)，用于发送所述数据分组(P′)到下一跳节点，

其中所述转发单元包括：

-标记匹配单元(706b)，适用于应用匹配函数到所接收的入口标记和所述转发表中至少一个条目以便查找匹配的表条目，所述条目包括候选入口密钥和外出端口指示，并且还适用于根据还包括相关联的聚集有关的指令的找到的匹配表条目，为所述分组选择外出端口，以及

-标记创建单元(706c)，适用于根据所述匹配表条目中的所述聚集有关的指令来创建出口标记，以及将所述出口标记附加到所述分组，所述分组要由所述出口单元从所选择的外出端口发送到下一跳路由器。