一種辨別報文源地址真偽的方法
2023-05-18 19:31:01 2
專利名稱：一種辨別報文源地址真偽的方法
技術領域：
本發明涉及網絡通信技術領域，尤其涉及一種辨別報文源地址真偽的方法。
背景技術：
在目前的網絡中，普遍存在使用大量源地址為偽造的報文向目標發起攻擊的情況。為了對付報文的攻擊，需要確定攻擊報文的真實地址與其攜帶的源地址是否相符。現有技術普遍在路由器接收到報文時使用使用單播反向路徑轉發(uRPF)技術來檢測該報文源地址的真實性。
但對於負載分擔路由情況下，如何進行uRPF，尚無有效的算法。
如圖1所示，當攻擊點本身地址為204.69.207.0/24，但在發起攻擊時，卻使用隨機產生的偽地址向網際網路服務提供商(ISP)A發起報文流，如果不對該報文源地址進行識別，被攻擊端無法識別出攻擊報文的真實地址，無法對攻擊端進行處理。
為對付這種攻擊，現有技術確定了使用uRPF技術來檢測攻擊報文的技術。
在邊緣路由器router2在收到報文時，使用目的IP位址(DIP)進行轉發信息查詢，確定報文去向；使用源地址(SIP)在路由表(FIB)中進行uRPF查詢，確定報文的來源。
進行uRPF查詢將有如下幾種情況uRPF FIB查詢失敗，這說明源IP位址(SIP)無法路由，網際網路服務提供商(ISP)的應答報文也無法到達發起者。
雖然uRPF FIB查詢成功，但報文的源埠與轉發信息表中的目的埠不符，這說明報文來源埠不正確。
如果查詢到的是負載分擔路由，需要進一步分析各個負載分擔信息表，在這種情況下逐一查詢負載分擔中的各條轉發信息，當查到有一個轉發表項如果符合，則說明報文來源正確；如果查詢到的負載分擔信息表都不符合，說明報文源地址為偽造。
當遇到一個源地址為偽造的報文，現有技術對負載分擔路由的情況進行嚴格的uRPF檢查，需要對等價多路徑(ECMP)的等價路由轉發表項進行循環讀取並檢查，當其中一條轉發路徑與報文源埠一致，則認為uRPF成功；當對所有等價路徑一一檢查完畢後，發現所有等價路徑都與報文源埠不一致，才能認定uRPF失敗。
現有技術這種確認uRPF失敗的操作大量耗費接口帶寬和處理器處理時間，無法支持高速轉發的性能要求。
發明內容
本發明的目的是提供一種辨別報文源地址真偽的方法，用於在路由器接收到一條報文後判斷是否轉發該報文。
本發明的目的是通過以下技術方案實現的一種辨別報文源地址真偽的方法，包括路由器為負載分擔路由表設置用於識別路由地址真實性的信息，路由器接收報文後根據修改後的路由表對報文攜帶的源地址進行單播反向路徑查詢，確定報文的源地址的真實性。
所述為路由表設置用於識別路由地址真實性的信息並確定源地址真實性的方法包括
為單板的路由表項設置用於標識該路由表項與本單板相關關係的本板相關標誌域，通過對該域的檢測確定報文攜帶的源地址是否與本板相關，當源地址與本板無關，則確定該地址為偽造地址；在路由表項中設置用於標識本板各埠與報文攜帶的源地址關係的地址相關埠標識域以及單板埠有效性的有效埠域，在確定源地址與本板相關後，將報文進入路由器所經過的埠號與地址相關埠標識域和有效埠域的值進行比較，根據比較結果確定報文源地址真偽。
通過所述比較確定報文進入路由器所經過的埠是否為與報文攜帶的源地址相連的埠且為路由器的有效埠，如果是，則報文的源地址為真實地址，如果不是，則報文的源地址為偽地址。
所述比較通過報文進入路由器所經過的埠號與地址相關埠標識域的值以及有效埠域的值進行的與邏輯運算實現。
路由器可由包括多埠單板在內的多個單板組成或僅由多個單埠單板組成，對於由包括多埠單板在內的多個單板組成的路由器，通過為負載分擔路由表設置用於識別路由地址真實性信息的方法確定報文源地址真實性，對於僅由多個單埠單板組成的路由器，通過根據負載分擔路由表中的路由轉發信息配置多個與本板相關的單跳路由表並反向查詢該單跳路由表的方法確定報文源地址真實性。
一種辨別報文源地址真偽的方法，包括路由器根據單板上原有負載分擔路由表中的路由轉發信息設置僅與本板相關的單跳路由表，根據所述單跳路由表進行反向查詢確定報文源地址真偽。
所述設置僅與本板相關的單跳路由表包括對於本板相關的單埠單板，該單板關於報文源地址的唯一路由轉發信息與地址構成單跳路由表；本板相關的多埠單板，將該單板的每條路由轉發信息與地址構成一個單跳路由表，得到多個單跳路由表。
由上述本發明提供的技術方案可以看出，本發明通過為負載分擔路由表添加用於辨別地址真偽的信息項，或通過壓縮路由表的方法簡化了對負載分擔路由表多跳信息的逐一比較和查詢，提高辨別效率，減少對系統處理能力的消耗。
圖1所示為使用分布式路由器的網絡示意圖；圖2所示為使用由單埠單板組成的負載分擔路由器的網絡示意圖；圖3所示為使用包含多埠單板的負載分擔路由器的網絡示意圖。
具體實施例方式
本發明的核心是在路由器中的單板接收報文時，根據所述報文的源地址信息查詢配置有用於識別路由地址真實性的信息，再根據查找結果確定報文源地址的真偽。
對分布式路由器各單板的路由表進行修改，當有報文進入路由器時，根據修改後的路由表，將該報文的源地址作為反向查詢的目的地址進行單播反向路徑查詢，辨別報文中攜帶的源地址信息是否為真實源地址。由於構成路由器的單板可能有單個或者多個埠，可以採用不同的方法對路由表進行修改對含有多埠單板的路由器，為負載分擔路由表設置用於識別路由地址真實性的信息；對僅由單埠單板組成的路由器，將其負載分擔的路由表壓縮為單跳路由表。
具體一點講，本發明在由單埠單板組成的負載分擔路由器中，對於每個單板的本板相關負載分擔路由表，根據負載分擔路由表中的路由信息進行重新設置得到單跳路由表，單跳路由表中僅包含轉發信息中與本板相關的埠，不包含其他埠。進行單播反向路徑查詢時，如果查到單一下一跳的路由表項，則進行埠比較，如果入埠與表項內的埠一致，則uRPF通過；如果查到多下一跳的負載分擔路由表，則說明uRPF失敗，不需要再進行逐一比較。
本發明還可以在負載分擔路由器中為各單板的路由表添加新的信息域，根據報文進入路由器的埠以及新的信息項辨別報文中攜帶的源地址是否為真實源地址。
本發明添加的信息項包括本板相關標誌域、地址相關埠標識域(本板埠bit域)以及有效埠域(本板埠bit mask域)。辨別源地址是否為真實地址時首先需要檢測單板路由表中的本板相關標誌域的值，若該值為無關，則報文攜帶的源地址為偽地址；若該項值為相關，則將報文進入路由器所經過的埠號與地址相關埠標識域和有效埠域的值進行比較，根據比較結果確定報文源地址真偽。
所述比較確定報文進入路由器所經過的埠是否為與報文攜帶的源地址相連的埠且為路由器的有效埠，如果是，則報文的源地址為真實地址，如果不是，則報文的源地址為偽地址。
下面將結合本發明具體實施例附圖對本發明作詳細說明。
圖2所示為包含多埠單板的負載分擔路由器示意圖。
如圖2所示，圖中共有3個分布式路由器router1、router2、router3，其中router2包含單板1，單板2，單板3共三個單板，且單板2為多埠單板，共有8個埠，其中的兩個埠port0，port1連接至地址204.69.207.0/24，其餘埠連接至其他地址；單板2上有一個埠，也連接至地址204.69.207.0/24；單板3上有一個埠，與ISP相連。
這樣，router2與地址204.69.207.0/24之間共有三條等價路由，分別為單板1、單板2的port0以及port1。
當有報文進入路由器，如果報文的SIP為204.69.207.0/24，路由器需要查詢該報文是否確實由204.69.207.0/24發出。如果確實是從204.69.207.0/24發出，則該報文可轉發；如果該報文是從其他地址發出，但報文地址信息中攜帶的SIP卻為204.69.207.0/24，則該報文的SIP位址為偽造，不予轉發。
本發明使用單播反向路徑轉發進行源地址查詢時。由於是進行反向檢查，報文信息中的源地址204.69.207.0/24在反向查詢中成為查詢的目的地址。
對於路由器中的各個單板，其維護的關於同一地址的路由表項均由主控協議模塊下發，且在一般情況下，主控協議模塊下發給各單板的路由表項是完全相同的。在本實施例中，主控協議模塊下發給各單板的地址為204.69.207.0/24的路由表項為表1-1所示
表1-1可以看出，該路由表為負載分擔路由表，且同一單板具有多個埠作為負載分擔。在這種情況下，本發明實施例一對現有負載分擔路由表進行修改，為各單板上指定目的地址的路由表設置用於識別路由地址真實性的信息，路由器接收報文後根據修改後的路由表對報文攜帶的源地址進行單播反向路徑查詢，確定報文的源地址的真實性。
所述添加的信息項包括本板相關標誌域，該域的值為相關或無關，表示本板與報文攜帶的源地址是否相關；地址相關埠標識域(本板埠bit域)，該域中每個本板埠對應一位二進位數，用每位二進位數的取值表示本板各埠與報文攜帶的源地址的連接關係；有效埠域(本板埠bit mask域)，該域中用二進位數表示本板的有效埠數，每個埠對應一位二進位數。
在本發明實施例一中，所述本板相關標誌域、地址相關埠標識域以及有效埠域的具體信息如下本板相關標誌域，表示本板是否與路由表中的目的地址相關，1表示相關，0表示不相關。
地址相關埠標識域，表示路由表項中所涉及的本板埠，用一位二進位數表示本板上的一個埠是否在路由表項中被涉及，用1表示涉及，用0表示其餘未涉及的埠。對於本實施例，單板1共有8個埠，分別為埠0～埠7，路由表項涉及單板1中的埠0和埠1，則單板1的埠bit域表示為11000000。
有效埠域，表示本板的埠總數，對於本實施例，單板1共有8個埠，則該域的值表示為11111111；對於只有1個埠的單板，該域的值表示為10000000。
本實施例中0和1所表示的信息並不是固定不變的，可以根據實際情況進行調整。
在本實施例中，為單板2增加本板相關信息後的路由表項如表1-2所示
表1-2根據該路由表項，對進入單板2的源地址為204.69.207.0/24報文進行單播反向路徑轉發查詢，檢查發送該報文的真實源地址是否真正為204.69.207.0/24，以便確定是否轉發該報文，具體包括步驟11、本發明實施例一在進行單播反向路徑轉發時首先需要查詢本板相關標誌域，其中1表示相關，0表示無關。
當本板相關標誌域的信息為0，則所有通過該板進入路由器且目的地址與路由表中目的地址相同的報文均不予轉發，報文攜帶的源地址信息為偽信息；當本板相關標誌域的信息為相關，則繼續進行步驟22。
步驟12、將報文進入單板2的埠號與單板2的路由表中本板埠bit域和本埠bit mask域的值進行與邏輯運算，根據運算值判斷報文地址的真實性。
實施例一中，單板2具有8個埠，其中埠0、埠1與目的地址204.69.207.0/24相連。
當一個目的地址為204.69.207.0/24的報文從埠1進入路由器，根據路由表項的內容，將報文進入路由器的埠與本板埠bit和本板埠bit mask進行與邏輯運算，根據所得的結果判斷報文源地址是否為204.69.207.0/24。若不是真實的地址，則認為該地址為偽造，該報文為攻擊報文，不轉發該報文；若是真實的地址，則認為該報文為有效報文，對其進行正常的轉發。
單板2中的8個埠為埠0-埠7，其中從埠1進入報文時，埠1表示為01000000；將埠1與路由表項中本板bit域和本埠bit mask域進行與操作(01000000)(port bits)(port bits mask)，即(01000000)(11000000)(port11111111)，其結果為1，說明路有表中埠1的單播反向路徑轉發查詢成功，亦即可以斷定從埠1進入的報文，若報文中攜帶的源地址信息為204.69.207.0/24，則該源地址是該報文的真實源地址，該報文為有效報文，路由器將按照該報文的目的地址轉發該報文。
在本發明實施例一中，當一個源地址為204.69.207.0/24的報文從埠4進入路由器，根據路由表項的內容，將報文進入路由器的埠與本板埠bit和本板埠bit mask進行與操作，根據所得的結果判斷該報文地址的真實性。
單板2中的埠4表示為00001000；將埠4與路由表項中本板bit域和本埠bit mask域進行與操作(00001000)(port bits)(port bits mask)，(00001000)(11000000)(11111111)，即(00001000)(11000000)(11111111)，其結果為0，說明路由表中埠4的單播反向路徑轉發查詢失敗，亦即可以斷定從埠4進入的報文，若報文中攜帶的源地址信息為204.69.207.0/24，則該報文的源地址為偽造，該報文無效，可能是某一個終端發出的攻擊報文，路由器不轉發該報文，並將其丟棄。
本發明實施例一中修改路由表，為路由表添加信息項的方法對於只有一個埠的單板1同樣適用。使用該方法，單板1中目的地址為204.69.207.0/24的路由表項如表1-3所示
表1-3當單板1從其唯一埠接收到一條源地址為204.69.207.0/24的報文時，首先檢查本板相關標誌域，其值為1，表示相關，則繼續進行與邏輯運算檢查。接收報文的埠表示為10000000，將該埠與路由表項中本板bit域和本埠bit mask域進行與操作(00001000)(port bits)(port bits mask)，即(10000000)(10000000)(10000000)，其結果為1，說明從單板1的唯一埠進入路由器的報文，若其源地址為204.69.207.0/24，則該報文的地址為真實地址，路由器轉發該報文。
對於只有一個埠的單板3，其保存的204.69.207.0/24表項如表1-4所示
表1-4由於單板3的埠不與204.69.207.0/24相連，因此在單板3中204.69.207.0/24的路由表項中本板相關項數值為0，即可得出如下結論從單板3埠輸出的報文均無法到達204.69.207.0/24這個地址。
圖3所示為單接口單板組成的負載分擔路由器示意圖。
如圖3所示，在實施例二中router2與地址204.69.207.0/24之間有單板1和單板2兩條等價路由，router2的單板3與網際網路服務提供商(ISP)相連，所述的單板1和單板2均只有一個接口。
在根據本發明進行處理前，router2中各單板均維護同一張由主控協議模塊下發的路由表。在圖3所示的router2的各個單板中，目的地址為204.69.207.0/24路由表項如表2-1所示
表2-1當router2接收到源地址為204.69.207.0/24的報文後，在按照該報文的目的地址轉發該報文前，需將報文的源地址作為反向查詢的目的地址，對報文進行單播反向路徑查詢，檢查該報文攜帶的源地址信息是否為真實地址。
本發明在進行單播反向查詢前對路由器個單板上維護的路由表進行修改。
對於一個單板上的負載分擔路由表，根據該路由表中的信息重新設置路由表，得到僅包含與本板相關的路由轉發信息的路由表。由於各單板均只有一個埠，所以經本發明修改的各單板路由表從負載分擔路由表壓縮為僅含單跳轉發信息的普通路由表。
在刪除其它板轉發信息後，單板1上保存的目的地址為204.69.207.0/24的路由表如表2-2所示
表2-2單板2上保存的204.69.207.0/24的路由表如表2-3所示
表2-3在路由器中，真正應該前往204.69.207.0/24的是從單板3的接口進入的報文，該報文在查詢路由表後得到關於地址204.69.207.0/24的轉發信息。因此，在接口板3上的路由表項需要完整的保存，不能進行刪除，以便從接口板3進入的報文可以得到所有的路由轉發信息。
不刪除單板3上的轉發信息，其目的地址為204.69.207.0/24的路由表依然為
在對單板1、單板2的路由表項進行處理後，當在單板1、單板2上進行反向路徑檢查時，由於每個接口板的路由表項中僅含有一個單跳信息，不再存在負載分擔，無需對多條等價路徑進行循環讀取及檢查，節省運算時間，提高路由效率。
在對單板的路由表進行壓縮後，對路由器中的單板進行單播反向路徑查詢的過程如下步驟21、使用報文的源地址作為目的地址進行反向查詢，如果路由表中沒有維護該目的地址的路由表，則報文源地址超出路由器的控制範圍，說明報文的源地址為偽地址。
步驟22、如果路由表中有該目的地址的路由表，則檢測該路由表為負載分擔路由表還是單跳路由表。
步驟23、當路由表項仍是負載分擔的路由表，則說明對本板的反向查詢失敗；當路由表是單跳路由表，則檢查入埠與出埠是否一致。
如果是一致的，則單播反向路徑查詢成功，報文攜帶的源地址為真實地址，如果不是同一單板，則說明uRPF失敗，也不再對其它單板進行查詢。
本發明實施例一、二對由不同單板組成的路由器採取不同的處理方法。由於在實際應用中全部由單埠單板組成的路由器和由包括多埠單板的路由器可能同時出現在同一系統中，本發明在同一系統中綜合使用實施例一和實施例二的方法，對系統中包含多埠單板的路由器通過設置相關信息的方法進行查詢，對僅包含單埠的路由器通過設置與本板相關的單跳路由表的方法進行查詢。
以上所述，僅為本發明較佳的具體實施方式
，但本發明的保護範圍並不局限於此，任何熟悉本技術領域的技術人員在本發明揭露的技術範圍內，可輕易想到的變化或替換，都應涵蓋在本發明的保護範圍之內。因此，本發明的保護範圍應該以權利要求的保護範圍為準。
權利要求
1.一種辨別報文源地址真偽的方法，其特徵在於，包括路由器為負載分擔路由表設置用於識別路由地址真實性的信息，路由器接收報文後根據修改後的路由表對報文攜帶的源地址進行單播反向路徑查詢，確定報文源地址的真實性。
2.根據權利要求1所述的一種辨別報文源地址真偽的方法，其特徵在於，所述為路由表設置用於識別路由地址真實性的信息並確定源地址真實性的方法包括為單板的路由表項設置用於標識該路由表項與本單板相關關係的本板相關標誌域，通過對該域的檢測確定報文攜帶的源地址是否與本板相關，當源地址與本板無關，則確定該地址為偽造地址；在路由表項中設置用於標識本板各埠與報文攜帶的源地址關係的地址相關埠標識域以及單板埠有效性的有效埠域，在確定源地址與本板相關後，將報文進入路由器所經過的埠號與地址相關埠標識域和有效埠域的值進行比較，根據比較結果確定報文源地址真偽。
3.根據權利要求2所述的一種辨別報文源地址真偽的方法，其特徵在於，通過所述比較確定報文進入路由器所經過的埠是否為與報文攜帶的源地址相連的埠且為路由器的有效埠，如果是，則報文的源地址為真實地址，如果不是，則報文的源地址為偽地址。
4.根據權利要求2所述的一種辨別報文源地址真偽的方法，其特徵在於，所述比較通過報文進入路由器所經過的埠號與地址相關埠標識域的值以及有效埠域的值進行的與邏輯運算實現。
5.根據權利要求1所述的一種辨別報文源地址真偽的方法，路由器可由包括多埠單板在內的多個單板組成或僅由多個單埠單板組成，其特徵在於，對於由包括多埠單板在內的多個單板組成的路由器，通過為負載分擔路由表設置用於識別路由地址真實性信息的方法確定報文源地址真實性，對於僅由多個單埠單板組成的路由器，通過根據負載分擔路由表中的路由轉發信息配置多個與本板相關的單跳路由表並反向查詢該單跳路由表的方法確定報文源地址真實性。
6.一種辨別報文源地址真偽的方法，其特徵在於，包括路由器根據單板上原有負載分擔路由表中的路由轉發信息設置僅與本板相關的單跳路由表，根據所述單跳路由表進行反向查詢確定報文源地址真偽。
7.根據權利要求6所述的一種辨別報文源地址真偽的方法，其特徵在於，所述設置僅與本板相關的單跳路由表包括對於本板相關的單埠單板，該單板關於報文源地址的唯一路由轉發信息與地址構成單跳路由表；本板相關的多埠單板，將該單板的每條路由轉發信息與地址構成一個單跳路由表，得到多個單跳路由表。
全文摘要
本發明提供了一種辨別報文源地址真偽的方法，屬於通信領域，包括路由器為負載分擔路由表設置用於識別路由地址真實性的信息，路由器接收報文後根據修改後的路由表對報文攜帶的源地址進行單播反向路徑查詢，確定報文的源地址的真實性。由上述本發明提供的技術方案可以看出，本發明通過為負載分擔路由表添加用於辨別地址真偽的信息項，或通過壓縮路由表的方法簡化了對負載分擔路由表多跳信息的逐一比較和查詢，提高辨別效率，減少對系統處理能力的消耗。
文檔編號H04L9/00GK101051994SQ200610082960
公開日2007年10月10日 申請日期2006年6月21日 優先權日2006年6月21日
發明者李政, 肖斌 申請人:華為技術有限公司