CN106453214A - 用于检验用户合法性的方法、装置和系统 - Google Patents

Abstract

本发明公开一种用于检验用户合法性的方法、装置和系统。其中AFTR网关在接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息，判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中。若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则AFTR网关建立相应的隧道；否则AFTR网关拒绝隧道建立请求。从而在无需对现网架构进行改造的情况下，可有效提高系统的安全防范能力。

Description

用于检验用户合法性的方法、装置和系统

技术领域

本发明涉及通信领域，特别涉及一种用于检验用户合法性的方法、装置和系统。

背景技术

在传统的轻型双栈(DS-Lite)环境中，用户通过B4(Base BridgeBroadband Element，基本桥接宽带单元)发起PPP(Point to Point，点到点)连接并取得AFTR(Address Family Transition Router，地址族转换路由器)的FQDN(Fully Qualified Domain Name，完全合格域名)域名后，即可向AFTR发起隧道建立请求，如图1所示。而AFTR并未对来自B4的隧道建立请求进行任何合法性检测，由于AFTR本身采用公网地址对外提供服务，且该地址很容易被探测得到，因此造成较为严重安全隐患。即，使用公网地址的AFTR网关设备将会很容易受到各类欺骗性攻击导致瘫痪，如图2所示。

例如，用户通过CPE(Customer Premises Equipment，用户侧设备)出口抓包，即可很轻易地得到AFTR的公网IPv6服务地址(及DS-Lite隧道终点地址)，此地址被非法用户得到后，只需要对路由做简单设置，即可伪装为合法用户向AFTR发起隧道建立请求，而AFTR也会相应该请求，为其提供服务。

因此系统的安全防范能力急需提高。

发明内容

本发明实施例提供一种用于检验用户合法性的方法、装置和系统。通过利用BRAS服务器为合法用户终端分配的IPv6地址前缀信息对隧道建立请求进行合法性检验，从而可有效提高系统的安全防范能力。

根据本发明的一个方面，提供一种用于检验用户合法性的方法，包括：

在接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息；

判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中；

若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道；

若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

在一个实施例中，在接收到BRAS服务器为合法用户终端分配的IPv6地址前缀信息后，将接收到的IPv6地址前缀信息存储在本地的IPv6前缀表中。

在一个实施例中，在接收到前缀删除请求后，将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除，其中BRAS服务器在检测到合法用户终端下线后发送所述前缀删除请求。

根据本发明的另一方面，提供一种用于检验用户合法性的AFTR网关，包括接收单元、提取单元、识别单元和配置单元，其中：

接收单元，用于接收隧道建立请求；

提取单元，用于在接收单元接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息；

识别单元，用于判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中；

配置单元，用于根据识别单元的判断结果，若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道；若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

在一个实施例中，上述网关还包括维护单元，其中：

维护单元，用于在接收单元接收到BRAS服务器为合法用户终端分配的IPv6地址前缀信息后，将接收到的IPv6地址前缀信息存储在本地的IPv6前缀表中。

在一个实施例中，维护单元还用于在接收单元接收到前缀删除请求后，将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除，其中BRAS服务器在检测到合法用户终端下线后发送所述前缀删除请求。

根据本发明的另一方面，提供一种用于检验用户合法性的系统，包括AFTR网关、BRAS服务器，其中：

AFTR网关，为上述任一实施例涉及的AFTR网关；

BRAS服务器，用于在接收到用户终端发送的接入请求后，对用户终端进行合法性检验；若判断用户终端为合法用户终端，则为用户终端分配IPv6地址前缀信息，并将分配的IPv6地址前缀信息发送给AFTR网关，以便AFTR网关将分配的IPv6地址前缀信息存储在本地的IPv6前缀表中。

在一个实施例中，BRAS服务器还用于在检测到合法用户终端下线后，向AFTR网关发送前缀删除请求；以便AFTR网关将将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除。

在一个实施例中，上述系统还包括认证服务器，其中：

BRAS服务器具体将分配的IPv6地址前缀信息发送给认证服务器；

认证服务器，用于将接收到的IPv6地址前缀信息存储在本地的合法前缀表中，还将接收到的IPv6地址前缀信息转发给AFTR网关。

在一个实施例中，BRAS服务器具体在检测到合法用户终端下线后，向认证服务器发送前缀删除请求；

认证服务器还用于根据接收到的前缀删除请求，将分配给相应合法用户终端的IPv6地址前缀信息从本地的合法前缀表中删除，并将前缀删除请求转发给AFTR网关。

本发明通过利用BRAS服务器为合法用户终端分配的IPv6地址前缀信息对隧道建立请求进行合法性检验，仅在隧道建立请求中包括的IPv6地址前缀包括在AFTR网关本地的IPv6前缀表中，才建立相应的隧道，从而可有效提高系统的安全防范能力。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中合法用户上线的示意图。

图2为现有技术中非法用户入侵的示意图。

图3为本发明用于检验用户合法性的方法一个实施例的示意图。

图4为本发明AFTR网关一个实施例的示意图。

图5为本发明AFTR网关另一实施例的示意图。

图6为本发明用于检验用户合法性的系统一个实施例的示意图。

图7为本发明用于检验用户合法性的系统另一实施例的示意图。

图8为本发明用户终端接入网络的处理流程示意图。

图9为本发明AFTR网关接收到隧道建立请求时的处理流程示意图。

图10为本发明BRAS服务器发现合法用户下线时的处理流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图3为本发明用于检验用户合法性的方法一个实施例的示意图。如图3所示，本实施例的方法步骤可由AFTR网关执行。

步骤301，在接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息。

步骤302，判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中。若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则执行步骤303；若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则执行步骤304。

步骤303，建立相应的隧道。之后，不再执行本实施例的其它步骤。

步骤304，拒绝隧道建立请求。

基于本发明上述实施例提供的用于检验用户合法性的方法，通过利用预先分配的IPv6地址前缀信息对隧道建立请求进行合法性检验，仅在隧道建立请求中包括的IPv6地址前缀包括在AFTR网关本地的IPv6前缀表中，才建立相应的隧道，从而可有效提高系统的安全防范能力。

优选的，AFTR网关可对本地的IPv6前缀表进行维护。例如，在接收到BRAS服务器为合法用户终端分配的IPv6地址前缀信息后，将接收到的IPv6地址前缀信息存储在本地的IPv6前缀表中。

此外，在接收到前缀删除请求后，将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除，其中BRAS服务器在检测到合法用户终端下线后发送所述前缀删除请求。从而可根据用户的上下线状态即时调整本地的IPv6前缀表。

图4为本发明AFTR网关一个实施例的示意图。如图4所示，该AFTR网关可包括接收单元401、提取单元402、识别单元403和配置单元404。其中：

接收单元401，用于接收隧道建立请求。

提取单元402，用于在接收单元401接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息。

识别单元403，用于判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中。

配置单元404，用于根据识别单元403的判断结果，若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道；若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

基于本发明上述实施例提供的用于检验用户合法性的AFTR网关，通过利用预先分配的IPv6地址前缀信息对隧道建立请求进行合法性检验，仅在隧道建立请求中包括的IPv6地址前缀包括在AFTR网关本地的IPv6前缀表中，才建立相应的隧道，从而可有效提高系统的安全防范能力。

图5为本发明AFTR网关另一实施例的示意图。与图4所示实施例相比，在图5所示实施例中，还进一步包括维护单元501。其中：

维护单元501，用于在接收单元401接收到BRAS(BroadbandRemote Access Server，宽带远程接入服务器)服务器为合法用户终端分配的IPv6地址前缀信息后，将接收到的IPv6地址前缀信息存储在本地的IPv6前缀表中。

优选的，维护单元501还用于在接收单元401接收到前缀删除请求后，将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除，其中BRAS服务器在检测到合法用户终端下线后发送所述前缀删除请求。

图6为本发明用于检验用户合法性的系统一个实施例的示意图。如图6所示，该系统可包括AFTR网关601、BRAS服务器602，其中：

AFTR网关601，为图4和图5中任一实施例涉及的AFTR网关。

BRAS服务器602，用于在接收到用户终端发送的接入请求后，对用户终端进行合法性检验；若判断用户终端为合法用户终端，则为用户终端分配IPv6地址前缀信息，并将分配的IPv6地址前缀信息发送给AFTR网关601，以便AFTR网关601将分配的IPv6地址前缀信息存储在本地的IPv6前缀表中。

基于本发明上述实施例提供的用于检验用户合法性的系统，AFTR网关通过利用BRAS服务器为合法用户分配的IPv6地址前缀信息对隧道建立请求进行合法性检验，仅在隧道建立请求中包括的IPv6地址前缀包括在AFTR网关本地的IPv6前缀表中，才建立相应的隧道，从而可有效提高系统的安全防范能力。

优选的，BRAS服务器602还用于在检测到合法用户终端下线后，向AFTR网关601发送前缀删除请求；以便AFTR网关601将将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除。

此外，由于溯源的要求，因此还可以利用认证服务器来记录BRAS服务器为合法用户终端分配的IPv6地址前缀信息。

图7为本发明用于检验用户合法性的系统另一实施例的示意图。与图6所示实施例相比，在图7所示实施例中，该系统还可包括认证服务器701。其中：

BRAS服务器602具体将分配的IPv6地址前缀信息发送给认证服务器701。

认证服务器701，用于将接收到的IPv6地址前缀信息存储在本地的合法前缀表中，还将接收到的IPv6地址前缀信息转发给AFTR网关601。

优选的，认证服务器701可以为AAA(Authentication、Authorization、Accounting，验证、授权和记账)服务器。

优选的，BRAS服务器602具体在检测到合法用户终端下线后，向认证服务器701发送前缀删除请求。

认证服务器701还用于根据接收到的前缀删除请求，将分配给相应合法用户终端的IPv6地址前缀信息从本地的合法前缀表中删除，并将前缀删除请求转发给AFTR网关601。

例如，可开通认证服务器701和AFTR网关601之间的接口，用变量更新的方法将认证服务器701中的合法前缀表实时同步到AFTR网关601的IPv6前缀表。

下面通过具体示例对本发明进行说明。

【实施例一】

该实施例涉及新用户终端上线时的处理，如图8所示。

步骤801，用户终端1向BRAS服务器发送接入请求。

步骤802，BRAS服务器在接收到用户终端1发送的接入请求后，对用户终端1进行合法性检验。

步骤803，若判断用户终端1为合法用户终端，则BRAS服务器为用户终端1分配IPv6地址前缀信息。

步骤804，BRAS服务器将分配的IPv6地址前缀信息发送给AAA服务器。

步骤805，认证服务器将接收到的IPv6地址前缀信息存储在本地的合法前缀表中。

步骤806，认证服务器将接收到的IPv6地址前缀信息转发给AFTR网关。

步骤807，AFTR网关将分配的IPv6地址前缀信息存储在本地的IPv6前缀表中。

步骤808，BRAS服务器在判断用户终端1为合法用户终端后，通过CR(Core Router，核心路由器)向AFTR网关发送隧道建立请求。

步骤809，AFTR网关从隧道建立请求中提取出IPv6地址前缀信息。

步骤810，AFTR网关判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中。

步骤811，根据判断结果进行相应处理。

若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道。若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

【实施例二】

该实施例涉及用户终端2向AFTR网关发送隧道建立请求时的处理，如图9所示。

步骤901，用户终端2向AFTR网关发送隧道建立请求。

步骤902，AFTR网关从隧道建立请求中提取出IPv6地址前缀信息。

步骤903，AFTR网关判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中。

步骤904，根据判断结果进行相应处理。

若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道。若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

从而，可有效拒绝恶意第三方发送的隧道建立请求。

【实施例三】

该实施例涉及合法用户终端下线时的处理，如图10所示。

步骤1001，BRAS服务器检测合法用户终端3是否下线。

步骤1002，BRAS服务器在检测到合法用户终端3下线后，向AAA服务器发送前缀删除请求。

步骤1003，AAA服务器根据接收到的前缀删除请求，将分配给相应合法用户终端3的IPv6地址前缀信息从本地的合法前缀表中删除。

步骤1004，AAA服务器将前缀删除请求转发给AFTR网关。

步骤1005，AFTR网关将将分配给相应合法用户终端3的IPv6地址前缀信息从本地的IPv6前缀表中删除。

由此，可有效避免恶意第三方利用曾分配给用户终端3的IPv6地址前缀接入网络。

通过实施本发明，可以得到以下有益效果：

1)提出了一种在IPv6过渡时期、在轻型双栈的隧道环境下实现IPv6用户合法性验证的方法。

2)利用BRAS服务器为合法用户分配的IPv6地址前缀，可有效系统的安全防范能力。

3)无需改动现网架构，基本可以忽略时延。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (10)

1.一种用于检验用户合法性的方法，其特征在于，

在接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息；

判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中；

若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道；

若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

2.根据权利要求1所述的方法，其特征在于，还包括：

在接收到BRAS服务器为合法用户终端分配的IPv6地址前缀信息后，将接收到的IPv6地址前缀信息存储在本地的IPv6前缀表中。

3.根据权利要求2所述的方法，其特征在于，还包括：

在接收到前缀删除请求后，将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除，其中BRAS服务器在检测到合法用户终端下线后发送所述前缀删除请求。

4.一种用于检验用户合法性的AFTR网关，其特征在于，包括接收单元、提取单元、识别单元和配置单元，其中：

接收单元，用于接收隧道建立请求；

提取单元，用于在接收单元接收到隧道建立请求时，从隧道建立请求中提取出IPv6地址前缀信息；

识别单元，用于判断提取出的IPv6地址前缀信息是否包括在本地的IPv6前缀表中；

配置单元，用于根据识别单元的判断结果，若提取出的IPv6地址前缀信息包括在本地的IPv6前缀表中，则建立相应的隧道；若提取出的IPv6地址前缀信息未包括在本地的IPv6前缀表中，则拒绝隧道建立请求。

5.根据权利要求4所述的网关，其特征在于，还包括维护单元，其中：

维护单元，用于在接收单元接收到BRAS服务器为合法用户终端分配的IPv6地址前缀信息后，将接收到的IPv6地址前缀信息存储在本地的IPv6前缀表中。

6.根据权利要求5所述的网关，其特征在于，

维护单元还用于在接收单元接收到前缀删除请求后，将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除，其中BRAS服务器在检测到合法用户终端下线后发送所述前缀删除请求。

7.一种用于检验用户合法性的系统，其特征在于，包括AFTR网关、BRAS服务器，其中：

AFTR网关，为权利要求4-6中任一项涉及的AFTR网关；

BRAS服务器，用于在接收到用户终端发送的接入请求后，对用户终端进行合法性检验；若判断用户终端为合法用户终端，则为用户终端分配IPv6地址前缀信息，并将分配的IPv6地址前缀信息发送给AFTR网关，以便AFTR网关将分配的IPv6地址前缀信息存储在本地的IPv6前缀表中。

8.根据权利要求7所述的系统，其特征在于，

BRAS服务器还用于在检测到合法用户终端下线后，向AFTR网关发送前缀删除请求；以便AFTR网关将将分配给相应合法用户终端的IPv6地址前缀信息从本地的IPv6前缀表中删除。

9.根据权利要求8所述的系统，其特征在于，还包括认证服务器，其中：

BRAS服务器具体将分配的IPv6地址前缀信息发送给认证服务器；

认证服务器，用于将接收到的IPv6地址前缀信息存储在本地的合法前缀表中，还将接收到的IPv6地址前缀信息转发给AFTR网关。

10.根据权利要求9所述的系统，其特征在于，

BRAS服务器具体在检测到合法用户终端下线后，向认证服务器发送前缀删除请求；

认证服务器还用于根据接收到的前缀删除请求，将分配给相应合法用户终端的IPv6地址前缀信息从本地的合法前缀表中删除，并将前缀删除请求转发给AFTR网关。