[发明专利]一种SRv6信任域的边界过滤方法及装置

权利要求书

1.一种报文转发方法，其特征在于，包括：

互联网协议第6版段路由SRv6信任域的边缘节点接收第一报文，所述第一报文为SRv6报文，所述第一报文的目的地址是绑定段标识BSID；

所述边缘节点根据所述第一报文中的所述BSID和分段路由头SRH中的目标字段对所述第一报文进行验证；

所述边缘节点丢弃未通过验证的所述第一报文。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述边缘节点接收来自于控制管理设备的安全防护策略，所述安全防护策略用于指示所述边缘节点根据所述BSID和所述SRH中的目标字段对所述第一报文进行验证。

3.根据权利要求1或2所述的方法，其特征在于，所述目标字段包括以下一项或多项：

所述BSID的下一跳SID；

段标识SID列表中的N个SIDs，所述N个SIDs中的第一个SID为所述BSID的下一跳SID，所述N大于等于1；以及

段剩余SL字段。

4.根据权利要求3所述的方法，其特征在于，所述目标字段包括所述BSID的下一跳SID时，所述边缘节点根据所述第一报文中的所述BSID和分段路由头SRH中的目标字段对所述第一报文进行验证，包括：

确定所述BSID为所述信任域中的BSID，并且，确定所述下一跳SID所属的网段不是合法网段，则所述边缘节点确定所述第一报文未通过验证，所述合法网段为所述第一报文的合法目的节点所在的网段。

5.根据权利要求4所述的方法，其特征在于，所述合法网段，是所述合法目的节点的locator路由指示的网段。

6.根据权利要求4或5所述的方法，其特征在于，所述边缘节点从安全防护策略中获取所述合法网段；或者，所述合法网段静态配置在所述边缘节点上。

7.根据权利要求3所述的方法，其特征在于，所述目标字段包括所述BSID的下一跳SID，所述边缘节点根据所述第一报文中的所述BSID和分段路由头SRH中的目标字段对所述第一报文进行验证，包括：

在确定所述BSID为所述信任域中的BSID，并且，确定所述目标字段所属的网段属为第一网段时，则所述边缘节点确定所述第一报文未通过验证，所述第一网段为所述信任域内节点所属的网段。

8.根据权利要求7所述的方法，其特征在于，所述边缘节点从安全防护策略中获取所述第一网段；或者，所述第一网段静态配置在所述边缘节点上。

9.根据权利要求3所述的方法，其特征在于，所述目标字段包括所述SRH的SID列表中的N个SIDs，所述边缘节点根据所述第一报文中的所述BSID和分段路由头SRH中的目标字段对所述第一报文进行验证，N为整数，包括：

所述边缘节点将所述BSID和所述N个SIDs构成的第一SID列表与所述边缘节点存储的SID列表进行比对，若所述边缘节点存储的SID列表中不包括所述第一SID列表，所述边缘节点确定所述第一报文未通过验证，所述边缘节点存储的SID列表用于指示合法路径。

10.根据权利要求3所述的方法，其特征在于，所述目标字段包括所述SRH的SID列表中的N个SIDs，所述边缘节点根据所述第一报文中的所述BSID和分段路由头SRH中的目标字段对所述第一报文进行验证，N为整数，包括：

所述边缘节点对所述BSID和所述N个SIDs构成的第一SID列表进行哈希运算，得到第一哈希值；

若所述边缘节点存储的哈希值中不包括所述第一哈希值，则所述边缘节点确定所述第一报文未通过验证，所述边缘节点存储的哈希值，是通过对指示合法路径的SID列表进行所述哈希运算得到的。

11.根据权利要求9或10所述的方法，其特征在于，所述第一报文包括第一字段，所述第一字段用于指示待验证的SID的数量。