[发明专利]一种数据转发方法及装置

说明书

本发明公开了一种数据转发方法及装置，数据转发方法包括：转发器接收转发路径、转发路径的标签栈信息以及转发路径所经过的节点的MPLS安全策略；根据所述MPLS安全策略生成MPLS安全策略表；若所述数据包为MPLS数据包则提取所述数据包中的MPLS标签栈信息，将所述MPLS标签栈信息与所述MPLS安全策略表匹配，匹配通过则按照所述转发路径转发所述数据包；本发明的转发器在接收MPLS数据包时进行安全策略检查，提取完整的MPLS标签栈信息，与MPLS安全策略匹配进行匹配若匹配通过则进行转发，否则数据包被认为不安全的而丢弃，这样能够解决SR‑MPLS基于源路由特性的漏洞，保证了所转发的数据包都是确定和可信的。

技术领域

本发明涉及网络通信领域，特别涉及一种数据转发的方法及装置。

背景技术

分段路由基于源路由的技术，允许用户将网络数据包定向到一个特定的目的地，数据包可以被指定一个特定的路径。SR-MPLS相关信息的泄露，攻击者可以利用这些信息，通过野蛮手段耗尽被攻击对象的资源，使目标网络或节点无法提供正常的服务或资源访问，使目标网络拥塞甚至崩溃。

SR-MPLS使用标签栈表示路径，显式路径信息原则上不能泄露到管理域之外。在某些情况下，网络拓扑和标签信息可能会泄露：转发器的控制面和管理面可能泄露网络拓扑信息以及对应的链路和节点的标签信息；通过对数据包的截取和窃听，根据标签栈的内容，可以推测出下游的网络拓扑和标签信息。如果攻击者知道标签的含义，就可以知道转发对应的显式路径，并了解分段路由网络域内的拓扑，攻击者可以通过构造攻击数据包，为攻击数据包构造特定的SR-MPLS标签栈来操纵攻击流量路径，实现精准攻击。

参照图1，攻击者在获取分段路由网络拓扑和链路标签信息后，构造了攻击报文，并且MPLS标签栈构成了环路，造成了网络的拥堵。由此可以看出，在SR-MPLS数据包转发的过程中，当前没有相应的技术对MPLS标签栈进行加密，SR-MPLS信息泄露后，更容易遭受攻击。

发明内容

为了解决上述问题，本发明提供一种安全系数高的数据转发方法及装置。

为了实现上述目的，本发明提供的技术方案是：一种数据转发方法，包括：

转发器接收转发路径、转发路径的标签栈信息以及转发路径所经过的节点的MPLS安全策略；

根据所述MPLS安全策略生成MPLS安全策略表；

转发器接收待转发的数据包并判断所述数据包是否为MPLS数据包；

若所述数据包为MPLS数据包则提取所述数据包中的MPLS标签栈信息，否则根据IP转发流程转发所述数据包；

将所述MPLS标签栈信息与所述MPLS安全策略表匹配，匹配通过则按照所述转发路径转发所述数据包，否则丢弃所述数据包。

在上述技术方案中，进一步的，所述转发路径由路径计算单元基于BGP-LS传递的信息以及业务对网络的约束条件计算所确定。

作为优选的技术方案，所述BGP-LS传递的信息包括链路上每个节点的接口名称。

在上述技术方案中，优选的，所述转发路径的确定具体包括：

路径计算单元根据BGP-LS传递的信息以及业务对网络的约束条件计算完整的转发路径；

生成所述转发路径中的源端节点的标签栈信息；

生成所述转发路径中的中间节点的MPLS安全策略；

将所述转发路径、MPLS标签栈信息以及MPLS安全策略下发给转发器。

优选的，所述判断所述数据包是否为MPLS数据包进一步包括：

解封装所述数据包的二层头报文信息；