[发明专利]一种开放式真实IPv6源地址过滤与验证方法

摘要

本发明属于真实IPv6源地址过滤认证技术领域，其特征在于，在自治域边界路由器出口处的一个过滤设备上配置了一个与该路由器协同工作的过滤规则生成引擎和过滤引擎，前者根据自治域控制服务器的通讯报文生成某种真实源地址过滤策略的过滤规则表，并切换过滤策略，这些策略包括SPM、SAVE、入口过滤等等，也可以是嵌入的其他策略；后者具有互联网控制信息协议报文处理模块、签名处理模块和边界标记模块，可根据过滤策略对来自内部网络接口或来自边界路由器转发引擎的报文进行验证和过滤。本发明可灵活嵌入过滤策略，过滤规则表为各种过滤策略的嵌入提供了统一而且高效的数据层面支持。

主权项

1一种开放式真实IPv6源地址过滤与验证方法，其特征在于，依次含有以下步骤：步骤(1)，在位于自治域边界路由器向外的接口处，且与该路由器协同工作的一个过滤设备上配置以下模块：过滤规则生成引擎，根据自治域控制服务器基于TCP协议发送的通讯报文动态生成过滤规则表并且切换过滤规则；所述过滤规则表由前缀映射表、自治域发送端签名表和自治域接收端签名表共三个部分组成，其中：前缀映射表是把地址前缀映射到对应策略所需的数据的映射表，采用基于最长前缀匹配来进行搜索的一种Trie树，每个节点保存对应策略所需要的数据；自治域发送端签名表保存有自治域发送报文到其他自治域所应该给报文添加的签名；自治域接收端签名表保存有自治域接收到来自其他自治域的报文时，这些报文所应该具有的正确签名，签名表由一个数组实现，数组的索引是自治域的编号，数组的内容是相应的签名；所述通讯报文含有：IPv6报头、TCP报头、策略类型号、报文类型号以及信息更新字段，其中策略是指过滤策略，多种过滤策略可以被选择，以下5种是已经被实现并验证的：SPM、源地址强制认证协议SAVE、入口过滤、基于端到端签名的策略、以及基于路径标记的策略，其中SPM是Spoofing Prevention Method的缩写；策略类型号是各个策略的编号；报文类型指定了当前报文是策略切换报文还是还是规则信息更新报文；信息更新报文是一个可变长字段，更新的是前缀映射字段或者发送端签名表、接收端签名表；过滤引擎，根据所选过滤规则表的表项来判断是否对IPv6报文进行过滤，并且有选择地基于签名的过滤规则表的内容决定是否对报文进行添加、删除和检查签名，或者对报文进行边界标记操作，或者进行互联网控制信息协议报文的处理，因此，过滤引擎还含有签名模块、边界标记模块和互联网控制信息协议报文处理模块；步骤(2)，所述过滤与验证方法依次按以下步骤实现：步骤(2.1)，过滤规则生成引擎从控制链路接收到所述控制服务器送达的过滤策略更改报文，解析报文后，更新过滤策略，并把过滤规则表切换到与当前策略相应的过滤规则表；步骤(2.2)，过滤规则生成引擎从另一控制链路接收所述控制服务器送达的过滤规则表信息更新报文，解析该报文后，更新相应过滤规则表的相应表项中的信息；步骤(2.3)，过滤引擎从朝向自治域内部的网络接口中接收到出自治域方向的普通数据报文，判断当前策略是否需要对接收的报文进行签名处理，如果需要，则根据报文的源、目的地址信息在发送端签名表中查找相应的签名信息，并在报文的逐跳可选项中添加签名，若不存在逐跳可选项，则增加逐跳可选项之后再添加签名；若不需要签名处理，则把该报文交给所述边界路由器的转发引擎处理；步骤(2.4)，过滤引擎从所述转发引擎接收到进自治域方向的普通数据报文后，若判断获取的是互联网控制信息协议报文，且当前策略对报文又添加签名处理，则按以下步骤处理：步骤(2.4.1)，若互联网控制信息协议报文的类型是报文过长Packer-Too-Big，则判断报文的目的地址是否属于本地自治域，如果是，执行下一步骤：步骤(2.4.2)，判断报文内部携带的原报文摘要信息中目的地址是否在整个端到端真实源地址联盟中，如果是，把该报文建议的最大传输分组长度信息减少一个签名长度，并重新计算互联网控制信息协议的报文校验和；步骤(2.5)，过滤引擎从转发引擎接收到的进自治域方向的普通数据报文为非互联网控制信息协议报文，则按以下步骤处理：步骤(2.5.1)，过滤引擎从所获取的来自自治域外的报文中，解析出源、目的地址信息；步骤(2.5.2)，根据步骤(2.5.1)得到的源、目的地址查当前过滤规则表中的前缀映射表，根据查表结果是否满足当前策略的要求判断是否对报文进行过滤，若需要过滤，则直接过滤报文；否则执行下一步骤；步骤(2.5.3)，若当前的策略要求对报文中的签名进行检查，则签名处理模块便获取报文源地址前缀对应的自治域编号，再根据接收端签名表的该自治域的相应表项检查报文中逐跳可选项位置的签名是否与接收端签名表中的一致，若不一致，或报文中不含有签名，则过滤报文；否则去掉签名，执行下一步骤；步骤(2.5.4)，判断当前的策略是否要求对步骤(2.5.3)得到的报文进行边界标记，如果不需要，则把该报文交给朝向自治域内部的网络接口转发；如果需要，则在报文中标记指定内容，再转发报文。