[發明專利]方法、網絡裝置、隧道入口點裝置及存儲介質

有效

• 申請號: 202011183855.4
• 申請日: 2020-10-29
• 公開（公告）號: CN113132342B
• 公開（公告）日: 2023-06-23
• 發明（設計）人: 阿希什·蘇雷什·古勒;賈格迪什·納拉辛哈·格蘭迪
• 申請（專利權）人: 瞻博網絡公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L69/22;H04L61/2592;H04L101/686
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 王紅艷

本公開涉及方法、網絡裝置、隧道入口點裝置及存儲介質。示例網絡裝置經由網絡隧道接收封裝的網絡分組；從封裝的網絡分組中提取IPv6報頭信息；從封裝的網絡分組中提取IPv4報頭信息；基于IPv6報頭信息和IPv4報頭信息，確定封裝的網絡分組是冒名頂替的網絡分組；并且響應于檢測到冒名頂替的網絡分組，向隧道入口點(TEP)裝置發送消息，該消息包括表示IPv6報頭信息和IPv4報頭信息的數據。隧道入口點(TEP)裝置可以接收該消息，并使用該消息來檢測冒名頂替的IPv6流量，例如，當封裝分組的IPv6報頭和IPv4報頭與消息中指定的IPv6報頭和IPv4報頭匹配時。以這種方式，TEP裝置可以阻止、速率限制或重定向冒名頂替的網絡流量。

技術領域

本公開涉及計算機網絡，并且更具體地，涉及防止計算機網絡內的攻擊。

背景技術

計算機網絡是交換數據和共享資源的互連計算裝置的集合。在基于分組的網絡(例如，互聯網)中，計算裝置通過將數據分成稱為分組的小塊來傳送數據。分組使用互聯網協議(IP)地址和傳輸控制協議(TCP)通過網絡從源裝置單獨路由到目的裝置。目的裝置從分組中提取數據，并將數據組裝成原始形式。將數據分成分組，使得源裝置能夠僅重新發送那些在傳輸期間可能丟失的單個分組。

專用網絡可以包括由單個企業擁有或管理的多個裝置，例如，計算機。這些裝置可以被分組到多個站點網絡中，這些站點網絡又可以在地理上分布在廣闊的區域中。每個站點網絡可以包括一個或多個局域網(LAN)。隨著虛擬專用網(VPN)技術的出現，企業現在可以通過公共網絡(例如，互聯網)在站點網絡之間安全地共享數據。在一個典型的實現中，一個或多個“網絡隧道”通過中間網絡被設計成在地理上分布的站點之間傳輸數據和其他網絡通信。

IP版本4(IPv4)是至今仍在使用的IP的早期版本。IP版本6(IPv6)是至今也在使用的較新版本的IP。因為有些網絡使用IPv4，而其他網絡使用IPv6，所以許多計算機網絡將IPv4分組封裝到IPv6分組中，反之亦然，以便分別在使用IPv6或IPv4的網絡中傳輸。例如，兩個站點網絡可以使用IPv4，在兩個站點網絡之間傳輸數據的網絡隧道可以使用IPv6。結果，網絡裝置可以使用具有封裝的地址和端口映射(MAP-E)或其他中繼技術，以將IPv4分組封裝成IPv6分組以便在IPv6網絡隧道內傳輸。在可在https://tools.ietf.org/html/rfc7597處獲得的O.Troan、Ed.等人的“Mapping?of?Address?and?Port?withEncapsulation(MAP-E)”RFC?7597，2015年7月中討論更多關于MAP-E的細節，其全部內容通過引用結合于此。

傳統隧道入口點(TEP)路由器假定任何給定的上游計算裝置都可以受“信任”，來僅發送有效的封裝分組。然而，這帶來了潛在的安全漏洞，因為TEP路由器可能會從惡意源接收封裝的分組。即，惡意源可以通過將無效的IPv4分組封裝到具有有效IPv6報頭信息的IPv6分組中，來“冒名頂替(spoof)”上游計算裝置。當接收站點網絡的MAPE-E邊界中繼(BR)裝置試圖通過丟棄封裝的分組來防止冒名頂替時，在該封裝的分組中，來自IPv6報頭的源地址和端口號與封裝的IPv4分組中的源地址和端口號不相關，此時，因為封裝的分組已經通過隧道網絡傳輸而已經消耗了網絡資源。這使得這些網絡容易受到分布式拒絕服務(DDoS)攻擊。

發明內容