[發明專利]一種內部網關路由鏈路安全管理系統及方法

在審

• 申請號: 202210069334.9
• 申請日: 2022-01-21
• 公開（公告）號: CN114374564A
• 公開（公告）日: 2022-04-19
• 發明（設計）人: 黃興;許信煒;田麗
• 申請（專利權）人: 黃興
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/08;H04L9/06
• 代理公司: 北京挺立專利事務所(普通合伙) 11265
• 代理人: 彭豆

本發明涉及一種內部網關路由鏈路安全管理系統及方法，本發明利用IKE協議自身提供的安全關聯協商機制，在分布式部署的所有路由器節點與安全協商節點之間建立統一的安全關聯及密鑰協商體系，對于已注冊路由器節點采用RIP2協議向臨近路由器節點廣播本地更新的路由表，并利用已協商的安全關聯對路由器節點之間傳送的承載有路由表的報文執行加密和認證；摒棄了原RIP2協議中使用的不安全認證機制，同時對使用的RIP2協議未作較大調整的前提下，通過IKE協議構建完全適于RIP2協議的安全策略，建立路由選擇協議之間的安全通道，同時提供多方參與的聯合認證機制，使傳輸的路由信息具有更高的安全性和可信度。

技術領域

本發明涉及網絡路由安全技術領域，具體涉及應用于內部網關中的路由鏈路安全管理系統、方法。

背景技術

互聯網是由分布式部署的諸多路由器連接起來的網絡，一個數據報文從源地址到目的地址可能要經過多個路由器。路由器從網絡接收分組，根據路由表中指示的路由，將分組轉發到另一個網絡。因此，路由器是互聯網的核心基礎設施，它對一個分組能否順利到達目的地起著至關重要的作用。

隨著網絡連接點與日俱增、網絡拓撲結構的多樣化，目前不論是內部網關還是外部網關，動態路由選擇協議已被廣泛的應用于各個領域。而為了降低路由動態更新的復雜化，因特網將整個互聯網絡按不同地域、不同層次劃分的也越加繁雜。一個自治系統就屬于一個獨立的自治網絡，其最重要的特點就是它有權自主地決定在本系統內部應用何種路由協議，在系統內部建立好路由鏈路后，每個網絡節點再通過系統的邊界路由節點與外界通信，由此可知，內部網關路由的建立是網絡節點與其他網絡實現通信的基礎，為此，保證內部網絡路由鏈路安全尤為重要。

RIPv1(Routing Information Protocol)是內部網關協議中最為知名的一個，由于其采用的是一種分布式的基于距離向量的路由路徑算法，相比于采用鏈路狀態算法的OSPF(Open Shortest Path First)具有運算簡單、便于維護的特點，成為目前各企業內部網絡廣泛使用的路由協議。但是，RIPv1因其存在固有的安全缺陷，即不支持認證，且使用不可靠的UDP協議作為傳輸協議，容易遭受偽造RIP協議報文等攻擊。為此，進一步設計了RIPv2版本協議(詳細規則定義在RFC 1721和RFC 1722中)，RIPv2在原RIP報文中增加了可設置16個字符的認證選項字段，支持明文認證和MD5加密認證兩種方式，字段值分別是16個字符的明文密碼字符串或MD5簽名。

但是，RIPv2協議只是提供了對報文發送方身份的認證機制，且通過明文或證書來實現驗簽的方式并不安全，導致攻擊者可通過暴力攻擊或以中間人偽造雙方身份竊取密鑰信息，進一步實時路由信息的截獲、偽造等攻擊行為。另外，該版本路由協議只提供單向認證服務，即如果對發送方身份認證成功，接收方對本地路由表進行更新后，不會向發送方回傳用于實現接收方身份認證的服務，由此導致廣播的路由表可能會被不可信的節點獲知，帶來潛在的安全隱患。

對于上述安全問題，現有的安全策略主要是依靠建立在網絡層面的安全機制對數據報文提供安全服務，如采用IPsec協議提供的安全隧道(VPN)實現報文的認證與加密。但是，這種協議是采用協商的策略對數據報文整體進行封裝，因為其并不是為了某個獨立的傳輸項目而設計的，故對于如傳送的路由表等有效載荷不提供單獨的保護措施，因此，完全依靠此種方式對內部網關中傳送的路由信息進行保護仍存在著安全隱患。

發明內容

針對上述現實需求和現有技術存在的不足，本發明提供了一種內部網關路由鏈路安全管理方法，該方法具體包括以下步驟：

步驟1)在內部網關的總線上選定一路由器作為本自治系統的安全協商節點，該安全協商節點存儲有基于IKE協議的所有安全關聯；

步驟2)利用安全協商節點與待注冊路由器節點完成路由數據傳輸過程中用到的安全關聯協商，協商通過后將路由器連接到內部網關路由鏈路上；