[发明专利]网络地址动态跳变的装置及方法

说明书

本发明属于IP分组数据在传送过程中的IP地址变换实现方法技术领域，具体涉及一种网络地址动态跳变的装置及方法，基本思想就是策略管理下的按需通信。首先，当用户主机需要与外界进行通信时才将自己注册到网络中，并获得自己的网络身份；否则，用户主机在网络上不可见。其次，只有主机用户将自己的网络身份告知需要通信的对端，对端主机才能在网络中定位到该主机；其他任何主机在不知道该主机网络身份的条件下，无法访问到该主机。最后，主机的接入过程和主机之间的相互访问都严格受权限控制策略约束，一方面，非授权主机无法接入网络，另一方面，在授权接入的条件下，即使能够获得其他用户的网络标识，双方不属于同一个授权组，彼此之间也无法互访。

技术领域

本发明属于IP分组数据在传送过程中的IP地址变换实现方法技术领域，具体涉及一种网络地址动态跳变的装置及方法。

背景技术

按照互联网的通信原理，每一个设备通过接入网络，配置或者动态获得IP地址后，便可以实现对其他IP网络主机或设备的访问，同时可以使得自己能够被其他IP网络主机或设备访问。正是由于这种开放性和用户的持续在线，进而引入了诸多的安全威胁。

首先，不论用户主机是否需要访问网络中的资源，它都会持续在线，以便能够被其他用户主机访问。这样就给攻击者进行扫描渗透提供了条件。其次，用户主机的IP地址是始终不变的或者在一段时间内保持不变，一旦攻击者通过旁路或者中间人方法获取用户主机之间的通信流量，就可以持续获得用户的通信内容。最后，位于同一个局域网内主机之间没有任何的隔离方法，要么两个主机之间不能任何通信，要么两个主机之间可以进行任何通信，这样一旦一个主机被攻击者控制之后，就可以很容易基于该受控主机进一步进行内网渗透攻击。

发明内容

本发明针对现有网络中主机的持续在线和IP地址持续不变所引入的安全问题，提出一种网络地址动态跳变的装置及方法。

本发明的技术方案是：一种网络地址动态跳变装置，包括数据单元、中央控制单元和管理单元，数据单元包括转发器，负责按照流表规则对IP分组进行修改、转发和统计上报；中央控制单元包括域名解析模块、路由协议模块和域名地址的跳变与映射管理模块，域名解析模块负责基于管理策略动态生成流表规则，路由协议模块负责与其他IP地址动态跳变装置之间进行协议交互，域名地址的跳变与映射管理模块负责维持所有装置之间流表规则的一致性；管理单元包括接入管理策略模块和组管理策略模块，负责对接入用户和接入组的接入控制管理和权限控制管理。

所述的网络地址动态跳变装置，所述转发器单元采用openflow交换机，控制单元和管理单元为软件模块，运行在x86服务器的Linux操作系统之上，转发器和控制单元之间采用SDN的Openflow协议进行互联互通，控制单元和管理单元采用进程间通信进行互通。

一种基于利要求1所述置的跳变方法，所述该动态跳变方法具体包括以下步骤：

步骤一：IDTD设备会针对每次用户注册过程，生成随机的用户标识，保证用户标识的动态跳变和不可猜测；

步骤二：IDTD设备会针对用户的每次查询过程，生成随机的链路IP地址，保证用户网络地址的动态跳变和不可猜测；

步骤三：IDTD设备基于之前用户注册和查询过程中生成的IP地址动态映射规则，针对通信过程中的每一个IP分组进行相应的IP地址改变并转发；

步骤四：IDTD设备在运行过程中，按照定时机制动态改变用户标识、用户网络IP和用户接入IP地址，从而实现端到端通信过程中的网络地址动态跳变。

所述的网络地址动态跳变方法，所述步骤一包括用户注册过程和用户注册信息通告两部分，具体为：