[发明专利]一种SRv6信任域的边界过滤方法及装置

说明书

本申请实施例公开了一种SRv6信任域的边界过滤方法及装置，该方法包括：信任域的边缘节点接收目的地址为BSID的SRv6报文后，可以根据报文中的BSID和报文的SRH中的目标字段对报文进行验证，在报文通过验证的情况下转发报文，在报文未通过验证的情况下丢弃报文。在本申请实施例中，不仅要求信任域外的节点利用BSID接入信任域，而且，还要结合分段路由头中的目标字段对进入信任域的报文进行验证。利用本申请实施例的方案，相较于仅利用BSID对报文进行SRv6边界过滤而言，能够有效减少攻击报文对网络资源的占用，因此可以减少利用SRv6技术进行报文转发带来的安全隐患。

本申请要求于2020年04月02日提交中国专利局、申请号为202010256371.1、发明名称为“一种基于SRv6信任域的边界过滤方法及设备”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本申请涉及通信领域，尤其涉及一种报文转发方法及装置。

背景技术

互联网协议第6版段路由(Segment Routing Internet Protocol Version 6，SRv6)技术，可以将分段路由(segment routing，SR)技术应用于互联网协议第六版(internet protocol version 6，IPv6)报文的转发。

目前，利用SRv6技术进行报文转发时，存在一定的安全隐患。

发明内容

本申请实施例提供了一种报文转发方法，可以大大降低攻击报文对SRv6信任域网络资源的占用。

第一方面，本申请实施例提供了一种报文转发方法，该方法可以由SRv6信任域的边缘节点执行。信任域的边缘节点接收到来自信任域外的SRv6报文时，可以对该SRv6报文进行验证，并在第一报文通过验证的情况下转发第一报文。该方法包括：信任域的边缘节点接收第一报文，第一报文为SRv6报文，且第一报文的目的地址为绑定段标识(bindingsegment ID，BSID)。信任域的边缘节点接收到第一报文之后，可以根据第一报文中的BSID和第一报文的分段路由头(segment routing header，SRH)中的目标字段对第一报文进行验证，并在第一报文未通过验证的情况下丢弃第一报文。在本申请实施例中，不仅要求信任域外的节点利用BSID接入信任域，而且，还要结合分段路由头中的目标字段对第一报文进行验证。利用本申请实施例的方案，相较于信任域的边源节点仅利用BSID对第一报文进行边界过滤而言，能够有效识别出攻击报文，通过及时丢弃未通过验证的大量攻击报文，有效减少了攻击报文对信任域网络资源的占用，有效减少利用SRv6技术进行报文转发带来的安全隐患。

本申请中所述的SRv6信任域，也可以称之为SRv6安全域。

在一种实现方式中，边缘节点可以基于控制管理设备的指示，根据BSID和第一报文的SRH中的目标字段对第一报文进行验证。具体地，边缘节点可以接收来自于控制管理设备的安全防护策略，所述安全防护策略用于指示所述边缘节点根据所述BSID和所述SRH中的目标字段对所述第一报文进行验证。

在一种实现方式中，考虑到当SRv6报文需要跨信任域转发时，信任域可以提供一个BSID来表示该SRv6报文在信任域内的转发路径。因此BSID的下一跳SID在理论上用于指示信任域直接交互的域外节点。因此，所述目标字段可以包括所述BSID的下一跳SID。边缘节点可以利用BSID的下一跳SID确定第一报文是否被转发至合法的目的节点，或者，边缘节点可以利用BSID确定第一报文是否会对信任域造成攻击。