[发明专利]基于反向检测的IPv6邻居缓存保护方法及其装置

说明书

技术领域

本发明涉及IPv6网络安全通信技术领域，特别涉及一种基于反向检测的IPv6邻居缓存保护方法及其装置。

背景技术

邻居发现协议(Neighbor Discovery Protocol,NDP)是IPv6的一个关键协议，它组合了IPv4中的ARP、ICMP路由器发现和ICMP重定向等协议，并对它们作了改进，解决了同一链路上不同节点之间的信息交互问题。由于其并没有针对链路内的安全威胁给出任何的安全机制，攻击者利用NDP存在的安全漏洞，可以对IPv6子网实施拒绝服务攻击和重定向攻击。IETF标准规定由IPSec AH来保证NDP中数据包的可靠性和完整性，但是并未给出使用方案。安全邻居发现协议(SEcure Neighbor Discovery,SEND)通过引入加密生成地址(Cryptographically Generated Address,CGA)和签名机制来保证NDP的安全，但其产生的计算开销过大，并没有得到广泛使用。

邻居缓存是一组有关单个邻居的信息，它包括的信息有：邻居IP地址与邻居链路层地址映射、邻居可达性状态等。邻居缓存的更新是通过ND报文的交互实现的，而ND协议在设计时并未对报文进行有效保护，因此邻居缓存易遭受欺骗攻击和DoS攻击等。反向检测方法，虽然其一定程度上降低了邻居缓存受攻击的可能，由于反向探测报文没有任何保护机制，攻击者仍然可以发送大量的虚假应答报文，进而轻易绕过反向检测机制，因此，需要一种新的IPv6邻居缓存保护方法，以提高IPv6内网安全性。

发明内容

本发明提供一种基于反向检测的IPv6邻居缓存保护方法及其装置，确保邻居缓存的正确更新，有效抵抗邻居缓存欺骗攻击和拒绝服务攻击等，且资源消耗少，兼容性强。

按照本发明所提供的设计方案，一种基于反向检测的IPv6邻居缓存保护方法，包含如下内容：

目标节点接收到ND报文，在存储队列中创建存储ND报文信息的表项记录，其中，每个节点建立有一个用于ND报文信息存储的存储队列，表项记录中包含源节点的IP地址，源节点的MAC地址，向源节点发送IRD请求报文时间的Timestamp字段，向源节点发送IRD请求报文序号的Sequence字段，及标识是否已向源节点发送IRD请求报文状态的Status字段；

等待时间t后，从存储队列头部选取一个记录，向源节点发送IRD邻居请求报文，其中，0＜t＜τ，IRD邻居请求报文的IRD选项包含：用于表示IRD报文的选项类型值的Type字段，整个选项长度的Length字段，用于显示报文匹配的IRD报文序号的Sequence字段，保留Reserved字段，及用于限制报文响应时长的时间戳的Timestamp字段；通过选取的记录中的Sequence字段和Timestamp字段对IRD邻居请求报文的IRD选项进行相应的数据填充，并将表项记录的Status字段置位；

源节点发送IRD通告报文，在IRD选项中填充相同的Sequence字段及发送通告报文时的时间戳；

目标节点针对收到的IRD通告报文，通过Sequence字段、Status字段及超时时间阈值进行检查，根据检查结果对邻居缓存和存储队列中的相应记录进行处理。

上述的，通过Sequence字段、Status字段及超时时间阈值进行检查，并根据检查结果对邻居缓存和存储队列中的相应记录进行处理，包含内容如下：首先查询存储队列中是否存在相同Sequence字段的记录，如果不存在，则不更新邻居缓存，删除该记录并结束；若存在，则检查存储队列中Status字段是否置位，若未置位，则不更新邻居缓存，删除该记录并结束，若置位，则检验IRD通告报文是否在超时时间阈值内到达，若是，则更新邻居缓存并结束，否则，不更新邻居缓存，删除该记录并结束。

上述的，还包含：通过基于时间戳的RED方法对节点存储队列进行管理，删除存储队列中的表项记录。

优选的，通过基于时间戳的RED方法对节点存储队列进行管理，包含内容如下：对存储队列中每个Timestamp字段非零的表项启动定时器，根据定时器删除存储队列中的表项记录；并根据存储队列平均长度计算节点丢包概率，并根据节点丢包概率丢弃存储队列中的表项记录。