[发明专利]基于DHCP监听的ISATAP隧道的认证方法和系统

权利要求书

1.一种基于动态主机配置协议(DHCP)监听的站内自动隧道寻址协议(ISATAP)隧道的认证方法，包括：

A、接入交换机监听IPv4/IPv6双协议栈主机的DHCP请求过程，建立包括所述双协议栈主机的MAC地址、IP地址、租期、虚拟局域网标识和端口号的绑定信息，将该绑定信息封装于绑定报文中发送给ISATAP路由器；

B、要接入IPv6网络的双协议栈主机向ISATAP路由器发送路由器请求报文，请求全局IPv6地址前缀；

C、ISATAP路由器根据所述路由器请求报文中的双协议栈主机IP地址查询绑定信息确定是否发送路由器公告告知所述双协议主机全局IPv6地址前缀。

2.如权利要求1所述的方法，其特征在于，所述步骤A还包括：

所述ISATAP路由器从接收的绑定报文中提取所述绑定信息，根据所述绑定信息建立并更新绑定信息表。

3.如权利要求2所述的方法，其特征在于，所述步骤C包括：

在接收到所述路由器请求报文后，ISATAP路由器验证所述路由请求报文的源IPv6地址中包括的IPv4地址是否在ISATAP路由器的绑定信息表有记录，如果有，则回应带有IPv6全局地址前缀的路由器公告报文(Router Advertisement)告知双协议栈主机IPv6全局地址前缀，如果没有，则不回应，由此使得未授权远程双协议栈主机就不能通过ISATAP路由器获得IPv6地址，不能接入IPv6网络。

4.如权利要求1所述的方法，其特征在于，所述步骤A包括：

A01、接入交换机截获双协议栈主机的DHCP请求报文后建立包括该双协议栈主机的MAC地址、接入端口和虚拟局域网标识的临时绑定；

A02、接入交换机截获发送给双协议栈主机的DHCP应答报文后根据该报文中的MAC地址查询所述临时绑定，根据查询到的临时绑定和提取的所述DHCP应答报文中的IP地址和租期建立包括双协议栈主机的MAC地址、IP地址、租期、虚拟局域网标识和端口号的绑定信息；

A03、接入交换机创建并保存绑定信息后，将绑定信息封装到绑定报文中，根据预先配置的ISATAP路由器地址将绑定信息发送到ISATAP路由器；

A04、ISATAP路由器接收到绑定报文，从所述绑定报文中提取绑定信息保存到本地的绑定信息表中。

5.如权利要求4所述的方法，其特征在于，所述步骤A03中所述接入交换机将所述绑定报文进行加密和散列处理后再向ISATAP路由器发送。

6.如权利要求5所述的方法，其特征在于，所述加密处理为DES加密，所述散列处理为MD5散列处理。

7.一种基于动态主机配置协议(DHCP)监听的站内自动隧道寻址协议(ISATAP)隧道认证系统，所述系统包括双协议栈主机、接入交换机、DHCP服务器和ISATAP路由器，其中：

所述双协议栈主机用于向DHCP服务器请求IPv4地址并在需要接入IPv6网络时向所述ISATAP路由器发送路由器请求以请求全局IPv6地址前缀；

所述接入交换机用于监听IPv4/IPv6双协议栈主机的DHCP请求过程，建立包括所述双协议栈主机的MAC地址、IP地址、租期、虚拟局域网标识和端口号的绑定信息，将该绑定信息封装于绑定报文中发送给ISATAP路由器；

所述DHCP服务器用于响应于所述双协议栈主机的请求，向所述双协议栈主机分配IPv4地址；

所述ISATAP路由器用于根据所述路由器请求报文中的双协议栈主机IP地址查询绑定信息确定是否发送路由器公告告知所述双协议主机全局IPv6地址前缀。

8.如权利要求7所述的系统，其特征在于：所述ISATAP路由器从接收的绑定报文中提取所述绑定信息，根据所述绑定信息建立并更新绑定信息表。

9.如权利要求8所述的系统，其特征在于：在接收到所述路由器请求报文后，ISATAP路由器验证所述路由请求报文的源IPv6地址中包括的IPv4地址是否在ISATAP路由器的绑定信息表有记录，如果有，则回应带有IPv6全局地址前缀的路由器公告报文(Router Advertisement)告知双协议栈主机IPv6全局地址前缀，如果没有，则不回应，由此使得未授权远程双协议栈主机就不能通过ISATAP路由器获得IPv6地址，不能接入IPv6网络。