[发明专利]一种组播安全接入装置及方法

说明书

本发明公开了一种组播安全接入装置及方法，所述组播安全接入装置包括第一单元和第二单元，组播源侧的第一单元通过在第一单元以及接入组播源的二层交换机的端口上应用不同的访问控制列表，使第一单元以及接入组播源的二层交换只转发合法注册的组播源发送的组播数据包，不转发非法的组播源发送的任何组播数据包，实现了对组播源的控制。组播接收设备侧的第二单元通过在第二单元以及接入组播接收设备的二层交换的端口上应用不同的访问控制列表，使第二单元以及接入组播源的二层交换只接受合法注册的组播接收设备发送的加入其有权限加入的组播组的IGMP消息，不接收非法的组播接收设备发送的任何IGMP消息，实现了对组播接收设备的控制。

技术领域

本发明属于数据传输领域，尤其涉及一种组播安全接入装置及方法。

背景技术

组播技术解决了数据包的单点发送、多点接收的问题，实现了数据包在IP网络中点到多点的高效传送，能够大量节约网络带宽、降低网络负载。

组播技术带来诸多优点的同时，也存在着不可控的问题。首先，组播用户可以随意加入和退出一个组播组，而网络管理者却无法控制用户加入和退出组播组，从而无法保证只有合法的组播用户能够接收组播数据；其次，在组播网络中，管理者同样无法对组播源进行控制，从而使非法的组播数据在组播网络中进行传播成为可能。基于上述的原因，在IP监控系统中部署组播时，同样需要能够对组播源、组播接收者进行相应的控制，保证视频组播数据由合法的组播源进行发送，并且由合法的组播接收者进行接收，实现视频监控数据在组播中安全可靠的传输。

发明内容

本发明的目的是提供一种组播安全接入装置及方法，以解决现有组播技术中组播源和组播接收者不可控的问题。

为了实现上述目的，本发明技术方案如下：

一种组播安全接入装置，用于在组播网络中对组播源及组播接收设备进行管理和控制，所述组播网络中设置有管理服务器，所述组播安全接入装置包括第一单元和第二单元，所述第一单元包括组播源检测模块和第一组播安全模块，所述第二单元包括组播接收设备检测模块和第二组播安全模块，其中：

所述组播源检测模块，用于在检测到组播数据包后，查询第一单元的ARP表，得到所有组播源的IP地址，并通过查询管理服务器得到合法注册的组播源的组播地址，从而得到包括组播源IP地址和组播地址的组播源信息列表；

所述第一组播安全模块，用于根据组播源信息列表以及通过查询接入组播源的第一单元或二层交换机的ARP表得到的接入组播源的端口信息生成组播源安全策略表，并根据组播源安全策略表生成针对每个组播源的访问控制列表，在每个组播源接入的第一单元或二层交换机上的端口上应用针对该组播源的访问控制列表，使接入组播源的第一单元或二层交换机只转发在管理服务器上合法注册的组播源发送的组播数据包，不转发没有在管理服务器上注册的组播源发送的任何组播数据包；

所述组播接收设备检测模块，用于在检测到组播接收设备发送的IGMP消息后，查询第二单元的ARP表，得到所有组播接收设备的IP地址，并通过查询管理服务器得到组播接收设备对应的登录用户及其有权限加入的组播组，从而得到包括组播接收设备IP地址、登录用户有权限加入的组播组的组播接收设备信息列表；

所述第二组播安全模块，用于根据组播接收设备信息列表以及通过查询接入组播接收设备的第二单元或二层交换机的ARP得到的接入组播接收设备的端口信息生成组播接收设备安全策略表，并根据组播接收设备安全策略表生成针对每个组播接收设备的访问控制列表，在每个组播接收设备接入的第二单元或二层交换机上的端口上应用针对该组播接收设备的访问控制列表，允许在管理服务器上合法注册的组播接收设备加入有权限加入的组播组，禁止没有在管理服务器注册的组播接收设备加入任何组播组。

进一步地，所述组播源检测模块在检测到组播数据包后，查询第一单元的ARP表，得到所有组播源的IP地址，并通过查询管理服务器得到合法注册的组播源的组播地址，从而得到包括组播源IP地址和组播地址的组播源列表，包括：