CN111726292A - 一种基于nhrp架构的nhrp协议隔离方法 - Google Patents
一种基于nhrp架构的nhrp协议隔离方法 Download PDFInfo
- Publication number
- CN111726292A CN111726292A CN201911224330.8A CN201911224330A CN111726292A CN 111726292 A CN111726292 A CN 111726292A CN 201911224330 A CN201911224330 A CN 201911224330A CN 111726292 A CN111726292 A CN 111726292A
- Authority
- CN
- China
- Prior art keywords
- nhrp
- tenant
- protocol
- address
- node
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/14—Routing performance; Theoretical aspects
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/26—Special purpose or proprietary protocols or architectures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Computer Security & Cryptography (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明提供了一种基于NHRP架构的NHRP协议隔离方法,所述方法针对NHRP协议注册、动态地址获取方式和地址解析的特点,基于NHRP协议(RFC2332),增加扩展字段用于注册、标识spoke节点的租户信息。基于限制租户作用域的原则,依据网络报文中的租户信息,执行基于租户的spoke节点注册、地址解析等操作,从而控制协议注册、地址解析的响应范围,避免了租户网络信息暴露给其他租户的缺陷,进而达到基于租户的NHRP协议隔离,最终解决了现有NHRP协议中租户网络信息泄露的安全问题。
Description
技术领域
本发明涉及网络安全和数据通信技术领域,特别涉及一种基于NHRP架构的NHRP协议隔离方法。
背景技术
一种基于NHRP架构的NHRP协议隔离方法。其技术组成:
NBMA网络(Non-Broadcast Multiple Access):用来描述如X.25和帧中继这类本身并不具有支持广播和多播能力的多路访问网络;
NHRP协议(Next Hop Resolution Protocol):提供NBMA网络上源站点获取目标站点“下一跳”IP地址的方法,解决多点网络的通信技术;
NHRP地址获取方式:NHRP协议采用注册、请求、解析的方式使得Spoke自动获取其它Spoke的路由信息。Spoke节点采用注册的方式,向Hub中心发送NHRP协议的注册请求,Hub中心获取维护Spoke节点的地址和路由信息。Spoke节点通过发送地址解析请求的方式,从Hub中心自动学习其它Spoke的路由信息;
NHRP地址泄漏问题:当租户A的Spoke_A通过Hub中心学习租户B的SpokeB的地址信息时,Hub中心发送Spoke B的网络信息到Spoke_A。也意味着租户B的网络信息,暴露给其他租户,以此类推任一租户的网络信息,都存在暴露给其他租户的风险,由此产生网络信息泄露的安全问题。
发明内容
本发明提供了一种基于NHRP架构的NHRP协议隔离方法,基于NHRP协议的租户标识扩展字段,通过改进节点注册请求响应和地址解析报文请求响应的处理方式,达到基于NHRP架构的NHRP协议隔离,解决同一HUB中心下不同租户的地址信息泄露问题。
具体步骤如下:
(1)在基于NHRP架构的NHRP协议隔离方法中SPOKE节点配置为网关模式;
a) 基于多租户的spoke和Hub中心的网络拓扑如图1所示;
b) Spoke节点配置为NAT网关模式,spoke节点互相不知道对端spoke节点的公网地址;
(2)Spoke节点通过基于租户的注册报文,完成spoke节点向HUB中心登记注册。在标准NHRP(RFC2332)协议注册报文的基础之上,增加扩展字段,包括租户信息;
a) NHRP协议由三部分组成,固定部分,强制部分和扩展部分。固定部分是所有NHRP数据包类型共有的。强制部分必须存在,其内容由包的类型决定。扩展部分根据数据包类型而有所不同,并且不是必需出现;
b)基于租户标识的扩展字段位于NHRP协议的扩展部分,NHRP协议的租户扩展字段如图2所示;
(3)HUB中心接收到登记注册请求后,依据租户和spoke节点信息,建立基于租户的spoke节点、地址信息、路由信息表;以租户为索引的地址信息表结构图如图3所示;
(4)SpokeA节点通过HUB中心获取SpokeB节点的地址和路由信息时, spoke节点基于RFC2332协议的地址获取类型报文,增加扩展字段,包括租户信息;
(5)HUB中心接收到SpokeA节点请求SpokeB的地址信息后,执行以下操作,其流程图如图4所示:
a)分析请求报文,提取SpokeA节点的租户信息;
b)基于SpokeA网络报文的租户信息,查找基于租户的地址信息表,获取SpokeB的地址信息;如果spokeA所属的租户地址表中没有spokeB的地址信息,那么设置协议标志“协议地址不可达”;
c)基于RFC2332协议,增加包含租户信息的扩展字段,构造发送地址解析响应包,响应SpokeA的请求;
d) SpokeA获取到SpokeB的地址信息,后续节点间流量将在spokeA与spokeB的地址对间传输;
e)本***能始终保证spokeA只能获取同租户的spoke节点信息,从而实现基于租户的NHRP协议隔离。
上述发明中的有益效果为:
(1)扩展NHRP协议,可使多个租户安全地复用一个HUB中心,节约HUB中心的设备资源;
(2)简化HUB中心的节点配置,无须为每个租户创建配置,NHRP协议模块实现自动化路由配置,大大减少维护量。
附图说明
图1为本发明的一种基于NHRP架构的NHRP协议隔离方法的网络拓扑图。
图2为本发明的一种基于NHRP架构的NHRP协议隔离方法的NHRP协议的租户扩展字段图。
图3为本发明的一种基于NHRP架构的NHRP协议隔离方法的以租户为索引的地址信息表结构图。
图4为本发明的一种基于NHRP架构的NHRP协议隔离方法的NHRP协议地址请求响应流程图。
具体实施方式
针对本发明实现的技术创新特征和目的功效便于理解,结合图示和列举实例,进行阐述本发明。
如图2所示,为本发明实例网络拓扑。实际设置过程如下:
(1)Hub节点配置如下:
a)设置Hub节点的两个IP地址:公网IP地址、隧道mpgre0的IP地址
b)设置接口interface mpgre0,接口具有如下参数
c)holding-time 3600
d)multicast dynamic
e)cisco-authentication secret
f)shortcut
g)redirect
h)non-caching
(2)Spoke节点配置如下:
a)设置Spoke节点的IP地址:能够上公网的IP地址、隧道mpgre0的IP地址和spoke连接私网的IP地址;
b)隧道接口配置如下:interface mpgre0
c)holding-time 3600
d)multicast dynamic
e)cisco-authentication secret
f)shortcut
g)redirect
h)non-caching
i)map Hub“节点的mpgre0的IP地址”/24 “Hub节点的公网IP地址”register
j)shortcut-target “spoke节点私网的IP地址”/24 holding-time 1800
k)interface br-lan
l)shortcut-destination
(3)用支持NHRP租户扩展功能的NHRP模块替换原有开源NHRP模块;
(4)启动NHRP模块;
(5)从发起方租户A的SPOKEA局域网终端PCA,ping对端租户B的SPOKEB局域网终端PCB操作(同一HUB下SPOKE);可以验证PCA是否ping通PCB,如果无法获取租户B的SPOKEB地址,那么本方法已经生效,达到NHRP协议隔离的效果。
上面所述的实施例仅仅是对本发明的优选实施方式进行描述,并非对本发明的范围进行限定,在不脱离本发明设计精神前提下,本领域普通工程技术人员对本发明技术方案做出的各种变形和改进,均应落入本发明的权利要求书确定的保护范围内。
Claims (4)
1.一种基于NHRP架构的NHRP协议隔离方法,其特征在于,包括以下具体步骤:
(1)在基于NHRP架构的NHRP协议隔离方法中SPOKE节点配置为网关模式;
(2)Spoke节点通过基于租户的注册报文,完成spoke节点向HUB中心登记注册,在标准NHRP(RFC2332)协议注册报文的基础之上,增加扩展字段,包括租户信息;
(3)HUB中心接收到登记注册请求后,依据租户和spoke节点信息,建立基于租户的地址信息和路由信息表;
(4)SpokeA节点通过HUB中心获取SpokeB节点的地址和路由信息时, spoke节点基于RFC2332协议的地址获取类型报文,增加扩展字段,包括租户信息;
(5)HUB中心接收到SpokeA节点请求SpokeB的地址信息后,执行以下操作:
a)分析请求报文,提取SpokeA节点的租户信息;
b)基于SpokeA网络报文的租户信息,查找基于租户的地址信息表,获取SpokeB的地址信息;如果spokeA所属的租户地址表中没有spokeB的地址信息,那么设置协议标志“协议地址不可达”;
c)基于RFC2332协议,增加包含租户信息的扩展字段,构造发送地址解析响应包,响应SpokeA的请求;
d)SpokeA获取到SpokeB的地址信息,后续节点间流量将在spokeA与spokeB的地址对间传输;
e)本***能始终保证spokeA只能获取同租户的spoke节点信息,从而实现基于租户的NHRP协议隔离。
2.根据权利要求1所述的基于NHRP架构的NHRP协议隔离方法,其特征在于:spoke节点通过携带租户标识扩展字段的NHRP协议注册报文,完成spoke节点向Hub中心的注册。
3.根据权利要求1所述的基于NHRP架构的NHRP协议隔离方法,其特征在于:Hub节点通过基于租户标识扩展字段的地址注册报文,建立基于租户的spoke节点地址信息表。
4.根据权利要求1所述的基于NHRP架构的NHRP协议隔离方法,其特征在于:Hub节点通过基于租户标识扩展字段的地址请求报文,执行基于同租户的spoke节点地址查询和响应。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201911224330.8A CN111726292A (zh) | 2019-12-04 | 2019-12-04 | 一种基于nhrp架构的nhrp协议隔离方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201911224330.8A CN111726292A (zh) | 2019-12-04 | 2019-12-04 | 一种基于nhrp架构的nhrp协议隔离方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
CN111726292A true CN111726292A (zh) | 2020-09-29 |
Family
ID=72563988
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201911224330.8A Pending CN111726292A (zh) | 2019-12-04 | 2019-12-04 | 一种基于nhrp架构的nhrp协议隔离方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN111726292A (zh) |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20100142410A1 (en) * | 2008-12-09 | 2010-06-10 | Olivier Huynh Van | System and method for providing virtual private networks |
US20140115584A1 (en) * | 2011-06-07 | 2014-04-24 | Hewlett-Packard Development Company L.P. | Scalable multi-tenant network architecture for virtualized datacenters |
CN104486225A (zh) * | 2014-12-19 | 2015-04-01 | 杭州华三通信技术有限公司 | 应用于trill网络中的报文转发方法和设备 |
CN108512755A (zh) * | 2017-02-24 | 2018-09-07 | 华为技术有限公司 | 一种路由信息的学习方法及装置 |
-
2019
- 2019-12-04 CN CN201911224330.8A patent/CN111726292A/zh active Pending
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20100142410A1 (en) * | 2008-12-09 | 2010-06-10 | Olivier Huynh Van | System and method for providing virtual private networks |
US20140115584A1 (en) * | 2011-06-07 | 2014-04-24 | Hewlett-Packard Development Company L.P. | Scalable multi-tenant network architecture for virtualized datacenters |
CN104486225A (zh) * | 2014-12-19 | 2015-04-01 | 杭州华三通信技术有限公司 | 应用于trill网络中的报文转发方法和设备 |
CN108512755A (zh) * | 2017-02-24 | 2018-09-07 | 华为技术有限公司 | 一种路由信息的学习方法及装置 |
Non-Patent Citations (1)
Title |
---|
张晶: "基于NHRP协议的下一跳解析客户端设计与实现", 硕士论文电子期刊, pages 3 - 14 * |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
ES2774668T3 (es) | Método de migración de máquina virtual, conmutador y sistema de máquina virtual | |
US7606227B2 (en) | Method, apparatus and system for distributing multicast data | |
WO2016101646A1 (zh) | 以太虚拟网络的接入方法及装置 | |
US6628623B1 (en) | Methods and systems for determining switch connection topology on ethernet LANs | |
CN105812259B (zh) | 一种报文转发方法和设备 | |
CN102271050B (zh) | 一种IPv6网络中网络设备自动配置的方法、网络设备和*** | |
WO2014118622A1 (en) | Method of managing zigbee network in the internet of things | |
CN101076972A (zh) | 获得与基于虚拟专用lan服务(vpls)的网络相关的路径信息 | |
US9866522B2 (en) | Method to control dynamic host configuration protocol pool exhaustion in dynamic network environments | |
WO2011060571A1 (zh) | 一种地址重复检测代理方法、装置及*** | |
EP3289728B1 (en) | Distribution of internal routes for virtual networking | |
CN105187311A (zh) | 一种报文转发方法及装置 | |
CN110493366A (zh) | 一种接入点加入网络管理的方法及装置 | |
US8531974B2 (en) | Technique for testing peers in multicast network domain | |
CN103685007B (zh) | 一种边缘设备报文转发时的mac学习方法及边缘设备 | |
CN105635335B (zh) | 社会资源接入方法、装置及*** | |
JP2002077213A (ja) | 加入者無線アクセスシステム | |
CN105493454A (zh) | 双活接入多链接透明互联(trill)边缘 | |
WO2023284467A1 (zh) | 一种三四地址路由器及其下挂设备管理方法及装置 | |
CN110753135A (zh) | 一种ip地址配置方法、配置设备及存储介质 | |
CN112995038A (zh) | Profinet协议在工业sdn中的接入方法 | |
CN111726292A (zh) | 一种基于nhrp架构的nhrp协议隔离方法 | |
EP2908476A1 (en) | Method and apparatus for sending multi-link transparent interconnected data frame | |
CN111355599B (zh) | 混合网络拓扑发现方法及装置 | |
CN111404816A (zh) | 一种跨网络发送组播报文的方法、装置、***及存储介质 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination |