CN101166084A

CN101166084A - 防止组播用户攻击的安全方法

Info

Publication number: CN101166084A
Application number: CNA2006101499262A
Authority: CN
Inventors: 姚义; 冯健; 杨自鹏; 高峰
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2006-10-17
Filing date: 2006-10-17
Publication date: 2008-04-23
Anticipated expiration: 2026-10-17
Also published as: CN101166084B

Abstract

本发明公开了一种防止组播用户攻击的安全方法，涉及组播通信技术，为解决防止组播用户攻击而发明。本发明防止组播用户攻击的安全方法是这样实现的：转发用户IGMP报文的设备收到IGMP报文后不是立刻转发，而是延迟转发，设定一个定时器，定时到才转发；如果在一个周期内又收到此用户的相同组的加入，离开报文，取最新的报文。这样能够有效的防止用户的攻击，减少网络中的IGMP报文。为了进一步减低IGMP报文，采用合并IGMP报文的方法。本发明适用于数据的组播通信。

Description

防止组播用户攻击的安全方法

技术领域

本发明涉及组播通信技术，尤其涉及一种用来实现在网络上减少组播报文处理、防止组播用户攻击的安全方法。

背景技术

目前的数据网络上开展的组播视频业务一般采用如图1所示的组网模型：网络***包括视频业务***、IP城域网、宽带接入网和用户网络四个组成部分。

视频业务***实现视频用户管理和视频编码等功能，将视频业务流送入城域网；IP城域网通过IP组播功能将视频业务流送到宽带接入网；宽带接入网实现用户宽带上网接入认证管理、视频组加入/离开控制功能，并将用户所需的视频流发送给用户；用户网络包含CPE(用户驻地设备)、PC、视频STB(机顶盒)等设备，这些设备内部互联形成一个家庭局域网，用户如果需要加入或离开某一个频道，那么就需要发送IGMP(互联网组播成员管理协议)加入和离开报文。

宽带接入网一般包括汇聚交换机和边缘设备如DSLAM(数字用户线接入复用器)。当用户比较多时，就需要汇聚交换机有很强的对IGMP报文的处理能力。虽然在边缘设备上可以采用IGMP PROXY(代理)功能，当用户可以选择的频道比较多时，抑制的报文是有限的。

PC或者STB点播组播节目时，采用发送IGMP REPORT加入报文的方式。IGMP有三个版本，分别为V1，V2，V3，目前一般采用IGMPV2。当IP报头的协议号为2时，表明是IGMP报文。IGMPV2报文内容格式如图2所示：

Type：表示IGMP报文类型。

0x16成员报告报文，表示加入一个组；

0x17离开报文，表示离开一个组；

0x11成员查询，组播路由器用来查询是否有用户存在，分为通用查询和特定查询。特定查询是查询某个组是否存在用户；通用查询是查询哪个组有用户。

Max Response Time最大响应时间，缺省值为10秒，即收到查询报文后，在此时间内响应发送REPORT报文。

Group Address组地址，表示要加入或者离开或者特定查询的组地址。

图3是现有技术的一般流程图，该流程图适用于组播控制点和组播转发点都在汇聚设备的情况。

步骤1：收到汇聚设备的IGMP查询报文，收到查询报文的端口记录为路由端口；如果收不到查询报文，就静态配置一个路由端口；或者以其他方式设定或者学习到路由端口。

步骤2：当用户需要加入一个频道或者需要离开一个频道，或者切换频道时，需要发送IGMP加入或者离开报文。

步骤3：边缘设备收到IGMP报文后，判断IGMP报文是否正确，如果正确，向同一个VLAN(虚拟局域网)的路由端口进行转发。

步骤4：汇聚设备收到IGMP报文，判断是加入报文，还是离开报文；如果是加入，进行认证，是否能够加入，如果能够加入，判断用户是否已经加入，如果已经加入，退出；如果没有加入，形成带有此用户的组播转发表；如果是离开报文，判断此用户有没有加入，如果没有加入，退出；如果已经加入，从组播转发表中删除此用户。

IGMP PROXY代理功能是，收到组中第一个用户的加入报文，会向上转发加入报文；收到组中最后一个用户的离开报文，会向上转发离开报文。

即当一个用户加入一个频道，需要发送一个加入报文；当边缘设备没有起IGMP PROXY时，加入报文从边缘设备透传到汇聚交换机；当一个用户离开一个频道时，会发送一个离开报文，离开报文从边缘设备透传到汇聚交换机。这就给用户提供了一个可攻击的机会：用户不断的发送IGMP报文，造成组播网络上很多的IGMP报文，使得汇聚交换机CPU非常忙。即使起了IGMP PROXY，从代理功能可以看出，对于用户不断的相继发送加入，离开报文，网络上照样有很多的IGMP报文。

发明内容

本发明要解决的技术问题是在现有组播通信网络的基础上，提供一种防止组播用户攻击的安全方法，通过控制减少网络中的IGMP报文，从而防止组播用户的攻击。

为了解决以上技术问题，本发明的技术方案是这样实现的：防止组播用户攻击的安全方法，包括步骤：

1)转发用户互联网组播成员管理协议报文的设备，记录在一段时间内接收到的各用户在各组中的最新互联网组播成员管理协议报文；

2)转发用户互联网组播成员管理协议报文的设备，发送所述一段时间内记录的各用户在各组中的最新互联网组播成员管理协议报文。

其中，所述步骤1)具体为：

11)在转发用户互联网组播成员管理协议报文的设备上设置定时器；

12)转发用户互联网组播成员管理协议报文的设备，记录接收到的各用户在各组中的最新加入、离开报文。

其中，所述定时器的周期为20毫秒，其大小能够调节。

其中，所述步骤12)具体为：

121A)转发用户互联网组播成员管理协议报文的设备，接收用户互联网组播成员管理协议报文，同时记录用户的特征；

122A)转发用户互联网组播成员管理协议报文的设备，判断是否起了互联网组播成员管理协议侦听功能，如果起了，判断所接收到的用户互联网组播成员管理协议报文是加入报文还是离开报文，

如果是加入报文，判断此用户是否已经加入，如果没有加入，形成软件转发表；

如果是离开报文，判断此用户是否已经加入，如果已经加入，从软件转发表中删除此用户；

123A)若转发用户互联网组播成员管理协议报文的设备，在所述定时器设定时间内，又收到相同用户的相同组的加入、离开报文，则删除老的记录，记录最新的加入、离开报文。

其中，所述步骤12)还具体为：

121B)转发用户互联网组播成员管理协议报文的设备，接收用户互联网组播成员管理协议报文，同时记录用户的特征；

122B)若转发用户互联网组播成员管理协议报文的设备，在所述定时器设定时间内，又收到相同用户的相同组的加入、离开报文，则删除老的记录，记录最新的加入、离开报文；

123B)转发用户互联网组播成员管理协议报文的设备，判断是否起了互联网组播成员管理协议代理功能，如果起了，判断是否存在组播认证，

如果存在组播认证，记录组中用户的第一次加入报文或者先前已经加入的离开报文；

如果不存在组播认证，记录组中第一个用户的最新加入报文或者最后一个用户的最新离开报文。

优选的，转发用户互联网组播成员管理协议报文的设备，对记录的各用户的最新加入、离开报文进行合并。

其中，所述步骤2)具体为：定时器设定时间到，或合并的各用户的最新加入、离开报文达到最大传送单元时，转发用户互联网组播成员管理协议报文的设备，转发该合并的各用户的最新加入、离开报文。

与现有技术相比，本发明在转发用户互联网组播成员管理协议报文的设备上，通过设定定时器，迟延转发用户的加入、离开报文，并且只转发各用户在各组中的最新互联网组播成员管理协议报文，这样，能够大大减少网络中的报文数量，减轻了报文处理设备的负担。

起用IGMP SNOOPING的功能，能够先写软件转发表，定时器时间到后，再写硬件转发表，这样，能够防止用户不断的发加入，离开报文，而不断地写驱动，从而导致设备运行很慢的情况发生。

启用IGMP PROXY代理功能，收到组中第一个用户的加入报文，会向上转发加入报文；收到组中最后一个用户的离开报文，会向上转发离开报文。这样，也能在一定程度上抑制报文。

采用合并IGMP报文的方法，能够进一步减低IGMP报文，从而减少网络中的IGMP报文，这样能够有效的防止用户的攻击。

附图说明

图1是组播视频***的组网结构示意图。

图2是IGMPV2报文格式。

图3是目前通用的转发流程。

图4是本发明的流程。

图5是本发明的合并IGMP报文的格式。

图6是本发明的合并IGMP报文的其中一个用户格式。

图7是是组播视频***的部分组网结构示意图。

具体实施方式

下面结合附图对本发明作进一步的详细说明。

如图4所示，在需要转发用户IGMP报文的设备上，包含以下特征：

收到用户的IGMP报文，不立刻转发，而是延迟转发。为此，设定一个定时器，定时到才转发；定时器的周期为20毫秒，其大小能够调节。

如果在一个周期内又收到此用户的相同组的加入，离开报文，取最新的报文。为达到上述要求，需要记录下用户的特征，包括用户的IP地址，MAC地址，以及用户所在的端口和虚拟局域网(VLAN)ID。

进一步地，判断是否起了IGMP SNOOPING(侦听)功能，如果起了，判断是加入报文还是离开报文，如果是加入报文，判断此用户是否已经加入，如果没有加入，形成软件转发表。如果是离开报文，判断此用户是否已经加入，如果已经加入，从软件转发表中删除此用户。这样，能够防止用户不断的发加入，离开报文，而不断地写驱动，从而导致设备运行很慢的情况发生。

如果定时周期没有到，而又收到相同用户(用户IP地址，用户MAC地址，以及用户所在的端口完全相同)的相同组的IGMP报文，报文类型可以不一样，即可以加入或者离开，去掉原来的记录，记录最新的报文。这样能够有效的防止用户的攻击，减少网络中的IGMP报文。

进一步地，判断是否起了IGMP PROXY，如果起了，对最新的报文，判断是加入报文还是离开报文，如果是加入报文，判断是否是组中的第一个用户加入，如果不是，去掉最新的加入报文；如果是离开报文，判断是否是组中最后一个用户离开，如果不是，去掉最新的离开报文。这样，也能在一定程度上抑制报文。

如果定时周期到，就发送记录下来的报文；

进一步地，为了达到更大的降低网络IGMP报文的能力，采用合并用户IGMP报文的方法。合并的格式可以采用图5，图6所示的方法。

如果定时器到或者达到最大传送单元(MTU)，就发送合并的IGMP报文。

为达到发送报文的要求，收到IGMP的查询报文，所在端口需要记录为路由端口，同时需要记录VLAN ID。或者如果收不到IGMP查询报文，需要设置静态路由端口，或者以其他方式设置或者学习路由端口。

合并的报文，向相同VLAN ID的路由端口转发。

进一步地，如果定时周期到，判断是否起了IGMP SNOOPING，如果起了，把软件转发表写进芯片。

进一步地，如果收到查询报文，形成路由端口的同时，需要把所有的组所有的用户的信息合并成IGMP报文。

为了保证一旦用户提出申请，就可以直接从上游路由器收到数据流，从而保证IPTV业务流的延迟和切换频道时间问题，往往采用配置静态组播的方法，建立业务接入控制点到组播源间的组播数据透明通道。

根据图7所示的部分组网示意图：三个视频终端，其MAC地址分别为MAC1，MAC2，MAC3，IP地址分别为IP1，IP2，IP3，接在用户汇聚设备的端口1，2，3；网络中有4个组播频道，分别为G1，G2，G3，G4；视频终端用户可以加入不同的频道。

下面在需要转发IGMP报文的设备上，就是否起IGMP SNOOPING，IGMP PROXY，分别给与说明。

不起IGMP SNOOPING，不起IGMP PROXY的情况：

步骤101，设置定时器，定时器时长为20毫秒，但大小可以设定。

步骤102，网络中是否有查询器，如果没有，需要配置路由端口。

步骤103，视频终端1发送IGMP REPORT(IGMP请求加入)，请求加入组1。收到用户的报文，记录下用户的IP地址，MAC地址，用户所在端口，以及加入或者离开的组地址。

步骤104，如果定时器时间到，立刻转发收到的加入报文，发向路由端口；

步骤105，如果定时器时间没有到，第二个视频终端2请求加入组2，将终端2的信息合并到新的IGMP中，同样IP2，MAC2从报文中取。

步骤106，如果定时器时间到，把合并的报文发送给路由端口。

步骤107，如果定时时间没到，第三个视频终端从频道3切换到频道4，会发送频道3的离开报文和频道4的加入报文，把离开报文和加入报文合并到新的IGMP报文中，同样IP3，MAC3从报文中取。如果定时器时间到，把合并的报文发送到路由端口。

步骤108，如果定时器时间没有到，而视频终端1发送离开频道1又加入频道1(可以用一发包工具)，由于终端1开始有加入频道1，现在立刻收到离开频道1的报文，去掉原来的加入，记录最新的离开报文；由于又立刻收到频道1的加入，去掉刚才的离开，记录最新的加入。

步骤109，如果定时器到，或者合并的报文达到MTU，就发向路由端口。

如果起IGMP SNOOPING的情况，为了防止用户不断的发加入，离开，而不断地写驱动，导致设备很慢，可以先写软件转发表，定时器时间到后，再写硬件转发表。

起IGMP SNOOPING，不起IGMP PROXY的情况：

步骤201，设置定时器，定时器时长为20毫秒，但大小可以设定。

步骤202，网络中是否有查询器，如果没有，需要配置路由端口。

步骤203，视频终端1发送IGMP REPORT(IGMP请求加入)，请求加入组1。收到用户的报文，记录下用户的IP地址，MAC地址，用户所在端口，以及加入或者离开的组地址。

步骤204，由于是第一次加入，写软件转发表。

步骤205，如果定时器时间到，立刻转发收到的加入报文，发向路由端口；把软件转发表写到驱动，形成硬件转发表。

步骤206，如果定时器时间没有到，第二个视频终端2请求加入组2，将终端2的信息合并到新的IGMP中，同样IP2，MAC2从报文中取。同时写频道2的软件转发表

步骤207，如果定时器时间到，把合并的报文发送给路由端口。把软件转发表写到驱动。

步骤208，如果定时时间没到，第三个视频终端从频道3切换到频道4，会发送频道3的离开报文和频道4的加入报文，把离开报文和加入报文合并到新的IGMP报文中，同样IP3，MAC3从报文中取。软件转发表从频道3中删除用户3和在频道4中增加用户3。如果定时器时间到，把合并的报文发送到路由端口。软件转发表写驱动：从频道3种删除用户3，如果在频道3中是最后一个用户，删除频道3的转发表；同时形成频道4的转发表。

步骤209，如果定时器时间没有到，而视频终端1发送离开频道1又加入频道1(可以用一发包工具)，由于终端1开始有加入频道1，现在立刻收到离开频道1的报文，去掉原来的加入，记录最新的离开报文；由于又立刻收到频道1的加入，去掉刚才的离开，记录最新的加入。对于这种情况，软件转发表没有变化。

步骤210，如果定时器到，或者合并的报文达到MTU，就发向路由端口。由于软件转发表没有变化，因此不需要写驱动。

不起IGMP SNOOPING，起IGMP PROXY的情况：

步骤301，设置定时器，定时器时长为20毫秒，但大小可以设定。

步骤302，网络中是否有查询器，如果没有，需要配置路由端口。

步骤303，视频终端1发送IGMP REPORT(IGMP请求加入)，请求加入组1。收到用户的报文，记录下用户的IP地址，MAC地址，用户所在端口，以及加入或者离开的组地址。

步骤304，如果定时器时间到，判断是否存在组播认证，如果存在认证，判断视频终端1是否第一次加入频道1，如果是，立刻转发收到的加入报文，发向路由端口；如果不存在认证，判断频道1中，视频终端1是否第一个用户，如果是，立刻转发收到的加入报文，发向路由端口；

步骤305，如果定时器时间没有到，第二个视频终端2请求加入组2。判断是否存在组播认证，如果存在认证，判断视频终端2是否第一次加入频道2；如果不存在认证，判断频道2中，视频终端2是否第一个用户。如果是，将终端2的信息合并到新的IGMP中，同样IP2，MAC2从报文中取。

步骤306，如果定时器时间到，把合并的报文发送给路由端口。

步骤307，如果定时时间没到，第三个视频终端从频道3切换到频道4，会发送频道3的离开报文和频道4的加入报文。判断是否存在组播认证，如果存在认证，判断终端3以前是否加入频道3，如果加入，离开报文进行合并；同样判断终端3是不是第一次加入频道4，如果是，把加入报文进行合并。同样IP3，MAC3从报文中取。如果不存在组播认证，判断终端3是不是频道3的最后一个用户，如果是，离开报文进行合并；判断频道4中，视频终端3是否第一个用户，如果是，把加入报文进行合并。定时器时间到，把合并的报文发送到路由端口。

步骤308，如果定时器时间没有到，而视频终端1发送离开频道1又加入频道1(可以用一发包工具)，由于终端1开始有加入频道1，现在立刻收到离开频道1的报文，去掉原来的加入，如果不存在组播认证，判断终端1是不是频道1的最后一个用户，如果是，记录最新的离开报文，如果存在组播认证，也记录最新的离开报文；由于又立刻收到频道1的加入，判断是否存在组播认证，如果存在认证，判断视频终端1是否第一次加入频道1，或者如果不存在认证，判断频道1中，视频终端1是否第一个用户，如果是，去掉刚才的离开，记录最新的加入。

步骤309，如果定时器到，或者合并的报文达到MTU，就发向路由端口。

起IGMP SNOOPING和IGMP PROXY的情况，相当于上述两种情况的合并，具体步骤如下：

步骤401，设置定时器，定时器时长为20毫秒，但大小可以设定。

步骤402，网络中是否有查询器，如果没有，需要配置路由端口。

步骤403，视频终端1发送IGMP REPORT(IGMP请求加入)，请求加入组1。收到用户的报文，记录下用户的IP地址，MAC地址，用户所在端口，以及加入或者离开的组地址。

步骤404，由于是第一次加入，写软件转发表。

步骤405，如果定时器时间到，判断是否存在组播认证，如果存在认证，判断视频终端1是否第一次加入频道1，如果是，立刻转发收到的加入报文，发向路由端口；如果不存在认证，判断频道1中，视频终端1是否第一个用户，如果是，立刻转发收到的加入报文，发向路由端口；把软件转发表写到驱动，形成硬件转发表。

步骤406，如果定时器时间没有到，第二个视频终端2请求加入组2，判断是否存在组播认证，如果存在认证，判断视频终端2是否第一次加入频道2；如果不存在认证，判断频道2中，视频终端2是否第一个用户。如果是，将终端2的信息合并到新的IGMP中，同样IP2，MAC2从报文中取。同时写频道2的软件转发表

步骤407，如果定时器时间到，把合并的报文发送给路由端口。把软件转发表写到驱动。

步骤408，如果定时时间没到，第三个视频终端从频道3切换到频道4，会发送频道3的离开报文和频道4的加入报文。软件转发表从频道3中删除用户3和在频道4中增加用户3。判断是否存在组播认证，如果存在认证，判断终端3以前是否加入频道3，如果加入，离开报文进行合并；同样判断终端3是不是第一次加入频道4，如果是，把加入报文进行合并。同样IP3，MAC3从报文中取。如果不存在组播认证，判断终端3是不是频道3的最后一个用户，如果是，离开报文进行合并；判断频道4中，视频终端3是否第一个用户，如果是，把加入报文进行合并。

步骤409，定时器时间到，把合并的报文发送到路由端口。软件转发表写驱动：从频道3种删除用户3，如果在频道3中是最后一个用户，删除频道3的转发表；同时形成频道4的转发表。

步骤410，如果定时器时间没有到，而视频终端1发送离开频道1又加入频道1(可以用一发包工具)，由于终端1开始有加入频道1，现在立刻收到离开频道1的报文，去掉原来的加入。如果不存在组播认证，判断终端1是不是频道1的最后一个用户，如果是，记录最新的离开报文，如果存在组播认证，也记录最新的离开报文；由于又立刻收到频道1的加入，判断是否存在组播认证，如果存在认证，判断视频终端1是否是第一次加入频道1，或者如果不存在认证，判断频道1中，视频终端1是否是第一个用户，如果是，去掉刚才的离开，记录最新的加入。对于这种情况，软件转发表没有变化。

步骤411，如果定时器到，或者合并的报文达到MTU，就发向路由端口。由于软件转发表没有变化，因此不需要写驱动。

Claims

1.一种防止组播用户攻击的安全方法，其特征在于，包括步骤：

2.根据权利要求1所述的防止组播用户攻击的安全方法，其特征在于，所述步骤1)具体为：

3.根据权利要求2所述的防止组播用户攻击的安全方法，其特征在于，所述定时器的周期为20毫秒，其大小能够调节。

4.根据权利要求3所述的防止组播用户攻击的安全方法，其特征在于，所述步骤12)具体为：

5.根据权利要求3所述的防止组播用户攻击的安全方法，其特征在于，所述步骤12)具体为：

6.根据权利要求4或5所述的防止组播用户攻击的安全方法，其特征在于：转发用户互联网组播成员管理协议报文的设备，对记录的各用户的最新加入、离开报文进行合并。

7.根据权利要求6所述的防止组播用户攻击的安全方法，其特征在于：所述步骤2)具体为：定时器设定时间到，或合并的各用户的最新加入、离开报文达到最大传送单元时，转发用户互联网组播成员管理协议报文的设备，转发该合并的各用户的最新加入、离开报文。