[发明专利]结合稳定性与安全性的边界网关协议改进方法及装置

说明书

本发明公开了一种结合稳定性与安全性的边界网关协议改进方法及装置，其中，方法包括：将标记BGP路由更新起源的安全根本原因信息添加至每一条通告路由；根据所述安全根本原因信息结合路由AS_PATH信息计算路由稳定性指标；以及将所述稳定性指标添加至BGP路由决策过程，以降低恶意协议攻击路径优先级。该方法权衡了BGP的稳定性和安全性，在抑制路由抖动的同时，提高了协议的安全性，防御协议操纵攻击，且原理简单、配置灵活易实现。

技术领域

本发明涉及互联网技术领域，特别涉及一种结合稳定性与安全性的边界网关协议改进方法及装置。

背景技术

互联网被划分为数以万计的不同行政管理区域，称为AS(AutonomousSystem，自治系统)。每个自治系统通常遵循一套专属的路由策略，并且与其他一个或多个自治系统相连。自治系统内部可以使用ISIS或者OSPF等IGP(Internal Gateway Protocol，内部网关协议)进行通信，而自治系统之间的通信则是依靠BGP(Border Gateway Protocol，边界网关协议)完成的。表1为按照优先级从高到低的顺序列出了路由决策过程的步骤，如表1所示，BGP是基于属性向量的路由协议，BGP路由器根据这些属性来选出最佳路由。

表1

BGP是一种去中心化的协议，的收敛和更新过程是通过网络中的路由器之间彼此交换路由信息，各自独立选择路径而逐步增量完成的，由于各节点的计算处理能力和优先级设置及出入口过滤策略都或多或少有所不同，节点间的具体交互顺序和选择结果并不是完全可控的。这样一来，一些会降低网路正常性能的异常路由更新行为就有可能出现，比如过快过多的通告撤回路由消息，或是所选路径周而复始永不休止得交换更迭等等，这些异常的路由更新行为，可以统称为“路由抖动”。研究人员提出了可以抑制路由抖动的相关机制——路由RFD(Routing Flap Damping，抖动阻尼技术)和MRAI(Minimal RouteAdvertisement Interval，最小路由通告间隔技术)等，并在互联网中得到了广泛的部署使用，减少了许多无谓的网络资源消耗。

由于BGP设计之初是基于网络中的实体均可以彼此信任的前提，所以并没有添加任何安全机制，一旦网络中存在恶意的AS，就可以轻易地发起各种攻击，包括控制平面的前缀劫持、欺骗、篡改或伪造路由信息，或是未经授权的前缀聚合或者解聚合等，还有数据平面的丢弃、重路由或者延迟数据包等。研究人员提出了各种各样的安全措施来限制BGP中的非法行为，包括使用加密机制来保护控制平面的安全，授权和验证收到路由的完整性和隐含前缀所有权的真实性，即加入了源认证和路径认证机制；此外，还提出了用于加强数据平面安全性能的方案，例如检查控制平面选定的路由是否真正在数据平面中被用于数据包转发的验证方案等。

然而，在现有技术中，即使BGP使用了上述对控制平面的加密和对数据平面的验证机制，攻击者无法进行劫持和欺骗类的恶意行为，单从BGP本身协议设计的角度出发，还是存在着严重的安全漏洞，这类利用协议复杂性发起的攻击称为协议操纵攻击。上述为降低网络中BGP路由更新频率而使用的RFD机制和MRAI机制，本意是提高稳定性能，降低通信开销，却在无意间引入了安全漏洞。即使在加入了加密机制的“安全”网络环境中，依然有可能发起协议操纵攻击，使得BGP中一些基本的属性得不到保证，如网络可达性和策略一致性，造成严重的危害。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的一个目的在于提出一种结合稳定性与安全性的边界网关协议改进方法，该方法具有在抑制路由抖动的同时，提高了协议的安全性，防御协议操纵攻击的优点。

本发明的另一个目的在于提出一种结合稳定性与安全性的边界网关协议改进装置。