專(zhuān)利名稱(chēng)：用于在加密的通信關(guān)系中編址和路由的方法和系統(tǒng)的制作方法
用于在加密的通信關(guān)系中編址和路由的方法和系統(tǒng)
未來(lái)的無(wú)線(xiàn)電i殳備將比目前的無(wú)線(xiàn)電i更備具有明顯更為靈活的應(yīng)用 可能性。這通過(guò)"軟件限定的無(wú)線(xiàn)電(SDR)"的概念來(lái)實(shí)現(xiàn)。SDR提供 了如下可能性無(wú)線(xiàn)電方法(波形)作為軟件來(lái)加載，并且波形和無(wú)線(xiàn)電 設(shè)備的配置靈活地通過(guò)軟件控制來(lái)改變。現(xiàn)代的無(wú)線(xiàn)電傳輸方法在此也可 以支持根據(jù)網(wǎng)際協(xié)議(IP)標(biāo)準(zhǔn)來(lái)傳輸數(shù)據(jù)包。這能夠?qū)崿F(xiàn)利用標(biāo)準(zhǔn)IP 應(yīng)用和已知的也被用于互聯(lián)網(wǎng)的概念。
根據(jù)安全要求，敏感的信息必須能夠加密地傳輸(通信安全， COMSEC )。這例如可以通過(guò)使用IPsec標(biāo)準(zhǔn)來(lái)實(shí)現(xiàn)，該IPsec標(biāo)準(zhǔn)在S. Kent, K. Seo所著的"Security Architecture for the Internet Protocol" (IETFRFC4301 ， 2005年12月)中進(jìn)行了描述。
該標(biāo)準(zhǔn)能夠針對(duì)被加密的信息實(shí)現(xiàn)兩種不同的傳輸方法傳輸模式和 隧道模式，如在圖l中所示的那樣。在傳輸模式中，只加密IP包中的有 用數(shù)據(jù)，而IP報(bào)頭(尤其是具有發(fā)送方和接收方的IP地址的IP報(bào)頭) 并不被修改。在隧道模式中，加密整個(gè)原始IP包并且添加新的報(bào)頭。新 的報(bào)頭包括加密設(shè)備的地址作為源地址，而不包括原始源節(jié)點(diǎn)的地址。同 樣，在新的報(bào)頭中的目標(biāo)地址是解密設(shè)備的目標(biāo)地址而不是真正的接收設(shè) 備的目標(biāo)地址。由此可以有效地防止?jié)撛诘墓粽吣軌蚪柚吹刂泛湍繕?biāo) 地址檢測(cè)通信方之間發(fā)生的通信。該潛在的攻擊者看到僅僅數(shù)據(jù)在這兩個(gè) 加密設(shè)備之間交換。數(shù)據(jù)傳輸?shù)膶?shí)際的終端用戶(hù)對(duì)該潛在的攻擊者而言保 持隱藏。
對(duì)于安全性重要的和機(jī)密的通信，使用隧道模式。通過(guò)隧道模式形成 兩個(gè)彼此完全分離的網(wǎng)絡(luò)層。紅色層是機(jī)密層。只有授權(quán)的人員能訪(fǎng)問(wèn)紅 色網(wǎng)絡(luò)。而黑色網(wǎng)絡(luò)^^〉共接入網(wǎng)絡(luò)，并且由此歸類(lèi)為不安全的。來(lái)自紅 色網(wǎng)絡(luò)的機(jī)密信息僅允許通過(guò)黑色網(wǎng)絡(luò)加密地傳輸。由于嚴(yán)格使用隧道模 式，所以這些網(wǎng)絡(luò)開(kāi)頭不具有彼此的信息。從紅色網(wǎng)絡(luò)層來(lái)看的隧道模式 是至另 一紅色網(wǎng)絡(luò)的透明的隧道并且隱藏了其后面存在的黑色網(wǎng)絡(luò)層。圖 l表明了該狀況。用戶(hù)A和D不知道可能存在的附加的網(wǎng)絡(luò)用戶(hù)X和Y， 其中這些附加的網(wǎng)絡(luò)用戶(hù)參與了在B和C之間的數(shù)據(jù)的傳送。然而，這種完全分離也對(duì)整個(gè)網(wǎng)絡(luò)架構(gòu)有不利的影響。在加密i殳備中， 必須有哪些紅色網(wǎng)絡(luò)被連接到黑色解密設(shè)備的信息。這是必需的，由此可 以在隧道模式的情況下將合適的黑色目標(biāo)地址登記到新生成的IP報(bào)頭 中。
在通信網(wǎng)絡(luò)中包括有多個(gè)網(wǎng)絡(luò)用戶(hù)。如圖2中所示，多個(gè)終端設(shè)備可 以使用相同的加密設(shè)備。每個(gè)加密設(shè)備都具有機(jī)密紅色地址和公開(kāi)黑色地 址。機(jī)密子網(wǎng)的終端設(shè)備將數(shù)據(jù)以不加密的方式發(fā)送給加密設(shè)備。該加密 設(shè)備在隧道模式中將數(shù)據(jù)加密，并且將數(shù)據(jù)通過(guò)不安全的通信連接傳送給 接收的加密設(shè)備。在那里，數(shù)據(jù)被解密并且傳送給接收方。
網(wǎng)絡(luò)的加密i殳備的黑色地址自動(dòng)通過(guò)具有地址自動(dòng)配置的協(xié)議來(lái)確 定。為了在黑色網(wǎng)絡(luò)層級(jí)中路由，使用傳統(tǒng)的路由協(xié)議。信令信息的交換 負(fù)責(zé)在黑色網(wǎng)絡(luò)內(nèi)的拓樸的相容性。而對(duì)于終端設(shè)備的連接，必須也能夠 在紅色網(wǎng)絡(luò)與黑色網(wǎng)洛之間交換數(shù)據(jù)。這又以知曉加密設(shè)備的黑色地址與 紅色地址之間的地址映射為前提。而所使用的IPsec隧道模式阻止了已知 的黑色地址直接映射到紅色地址上。
由此，在兩個(gè)網(wǎng)絡(luò)中共同的并且同時(shí)的路由不再可能。為了在兩個(gè)加 密設(shè)備之間自動(dòng)地交換紅色網(wǎng)絡(luò)的路由信息，例如可以使用IPsec發(fā)現(xiàn)協(xié) 議(IPsec國(guó)Discovery-Protokoll)。
為了更好地理解根據(jù)本發(fā)明所提出的解決方案和目前現(xiàn)有技術(shù)的解 決方案的問(wèn)題，以下給出了對(duì)IP網(wǎng)絡(luò)的編址的筒要介紹。
為了能夠在全球互聯(lián)網(wǎng)中在兩個(gè)用戶(hù)之間發(fā)送數(shù)據(jù)，需要唯一地標(biāo)識(shí) 終端用戶(hù)。于是，傳送節(jié)點(diǎn)可以按照目標(biāo)地址確定發(fā)送方和接收方之間的 最佳路徑，而發(fā)送方不必知道確切的路徑。為了能夠唯一地標(biāo)識(shí)用戶(hù)，地 址由網(wǎng)絡(luò)標(biāo)識(shí)符和設(shè)備標(biāo)識(shí)符構(gòu)成。該網(wǎng)絡(luò)標(biāo)識(shí)符標(biāo)識(shí)用戶(hù)所處的網(wǎng)絡(luò)， 而設(shè)備標(biāo)識(shí)符確定了網(wǎng)絡(luò)中的各個(gè)用戶(hù)。在此，完整地址通過(guò)將兩個(gè)地址 部分彼此組合來(lái)形成，如圖3中所表示的那樣。
網(wǎng)絡(luò)內(nèi)的所有設(shè)備都使用相同的網(wǎng)絡(luò)標(biāo)識(shí)符，而設(shè)備標(biāo)識(shí)符各不相 同。因此， 一旦終端用戶(hù)進(jìn)行了網(wǎng)絡(luò)切換，則該終端用戶(hù)就需要改變其網(wǎng) 絡(luò)標(biāo)識(shí)符。這是必需的，由此不必用信號(hào)為互聯(lián)網(wǎng)中的每個(gè)傳送節(jié)點(diǎn)通知 終端設(shè)備的新連接，而是根據(jù)網(wǎng)絡(luò)標(biāo)識(shí)符可以直接推斷出網(wǎng)絡(luò)。終端設(shè)備 的網(wǎng)絡(luò)標(biāo)識(shí)符對(duì)全局網(wǎng)絡(luò)內(nèi)的路由是必需的。
設(shè)備標(biāo)識(shí)符對(duì)所有參與該網(wǎng)絡(luò)的設(shè)備應(yīng)當(dāng)是特有的并且是唯一的。該設(shè)備標(biāo)識(shí)符例如基于網(wǎng)卡的MAC地址，但也可以根據(jù)其他參數(shù)來(lái)生成。 由此，借助i殳備標(biāo)識(shí)符已經(jīng)可以唯一地標(biāo)識(shí)^l備。該i更備標(biāo)識(shí)符是恒定的 并且不隨時(shí)間改變。
由于黑色網(wǎng)絡(luò)的路由協(xié)議，所以加密設(shè)備只知道所有參與該網(wǎng)絡(luò)的用 戶(hù)的黑色地址。為了能夠建立在分別處于紅色網(wǎng)絡(luò)中的終端用戶(hù)之間的安 全連接，首先必須在解密設(shè)備的黑色地址與連接到該解密設(shè)備的紅色網(wǎng)絡(luò) 之間進(jìn)行唯一的和機(jī)密的分配。紅色和黑色地址的分配可以借助IPsec發(fā) 現(xiàn)協(xié)議來(lái)確定。該協(xié)議的流程圖在圖4中示出并且描述了借助證書(shū)的認(rèn) 證。然而，該^人證也可能借助事先交換的密鑰(預(yù)共享密鑰，PSK)來(lái)進(jìn) 行，而在此并未進(jìn)一步描述。
為了獲取在加密設(shè)備的黑色和紅色地址之間的機(jī)密的映射，加密設(shè)備 A將"問(wèn)候試探(Hello Probe)"消息發(fā)送給特別為此而設(shè)置的多播地址。 由此，所有參與該網(wǎng)絡(luò)的用戶(hù)都獲得該消息。該消息包含加密設(shè)備A的 具有認(rèn)iiE^構(gòu)的有效簽名的安全汪書(shū)。附加地，該證書(shū)還包含加密設(shè)備A 的密鑰。在獲得該消息之后，加密設(shè)備B借助認(rèn)證機(jī)構(gòu)的根證書(shū) (Root-Zertifikat) ;JM^查證書(shū)的真實(shí)性，并且借助加密設(shè)備A的簽名或 者密鑰來(lái)認(rèn)證該證書(shū)。在成功認(rèn)證之后，加密設(shè)備B將"問(wèn)候答復(fù)(Hello Reply)"消息回送給加密設(shè)備A。該"問(wèn)候答復(fù)"消息包含加密i殳備B 的相同的信息。在通過(guò)加密設(shè)備A檢驗(yàn)這些信息之后，開(kāi)始安全關(guān)聯(lián)(SA) 的協(xié)商，在該協(xié)商中尤其是確定所使用的加密算法以及認(rèn)證和密鑰的有效 性持續(xù)時(shí)間。由于通信方目前并不知曉對(duì)方的紅色地址，所以SA協(xié)商不 能在IPsec隧道模式中進(jìn)行，而是必須在IPsec傳輸模式中進(jìn)行。在此， 數(shù)據(jù)包的IP報(bào)頭在加密設(shè)備之間以未加密的方式傳輸，并且僅數(shù)據(jù)報(bào)的 實(shí)際內(nèi)$*加密。在SA協(xié)商成功之后，加密設(shè)備可以將其紅色地址以加 密方式在IPsec傳輸模式中傳輸。在此之后，才可能建立加密設(shè)備之間的 隧道連接。
為了能夠與另 一紅色網(wǎng)絡(luò)的特定的用戶(hù)通信，首先必須在這兩個(gè)紅色 網(wǎng)落t間建立防竊聽(tīng)的隧道。這需要關(guān)于負(fù)責(zé)相應(yīng)終端設(shè)備的加密設(shè)備和 與此相連的紅色網(wǎng)絡(luò)的知識(shí)。由于IPsec發(fā)現(xiàn)協(xié)議僅僅支持與每個(gè)單個(gè)的 加密設(shè)備進(jìn)行映射信息的順序交換，所以必須在所有加密設(shè)備之間成對(duì)地 建立隧道，以便獲取網(wǎng)絡(luò)中所有加密設(shè)備的地址分配的完整的知識(shí)。由此， 在最差的情況下，為了建立至目前未知的紅色用戶(hù)的連接，必須以所有可 能的加密設(shè)備來(lái)使用IPsec發(fā)現(xiàn)協(xié)議。因此，對(duì)源的加密設(shè)備的開(kāi)銷(xiāo)隨著加密設(shè)備的數(shù)目N線(xiàn)性增加開(kāi)銷(xiāo)~0 (N)。對(duì)于將新的加密設(shè)備及其 連接的網(wǎng)絡(luò)合并到總網(wǎng)絡(luò)中，因此必須借助任何其他的加密設(shè)備執(zhí)行 IPsec發(fā)現(xiàn)協(xié)議。由此，總網(wǎng)絡(luò)的潛在信令開(kāi)銷(xiāo)以O(shè) (N2)增加。
除了開(kāi)銷(xiāo)之外，為了在自己的網(wǎng)絡(luò)中標(biāo)識(shí)紅色終端設(shè)備，IPsec發(fā)現(xiàn) 協(xié)議同樣必須在網(wǎng)絡(luò)切換時(shí)被執(zhí)行。如所描述的那樣，在網(wǎng)絡(luò)切換時(shí)改變 網(wǎng)絡(luò)標(biāo)識(shí)符，由此也改變了加密設(shè)備的完整地址。由此，連接到該加密設(shè) 備上的終端設(shè)備在新的網(wǎng)絡(luò)中不再可以被標(biāo)識(shí)。因此，又必須借助新的網(wǎng) 絡(luò)的任何其他的加密設(shè)備執(zhí)行IPsec發(fā)現(xiàn)協(xié)議，以便所有加密設(shè)備相互都 知曉相應(yīng)的秘密地址分配，并且由此同樣知曉終端設(shè)備連接到其上的紅色 網(wǎng)絡(luò)。
該特性在無(wú)線(xiàn)電網(wǎng)絡(luò)中是特別關(guān)鍵的。在具有有限的無(wú)線(xiàn)電資源的環(huán) 境中，由于IPsec發(fā)現(xiàn)協(xié)議導(dǎo)致的增加的信令開(kāi)銷(xiāo)在其中拓樸結(jié)構(gòu)經(jīng)常改 變的高動(dòng)態(tài)的環(huán)境中是特別關(guān)鍵的。附加地，特別是在無(wú)線(xiàn)電環(huán)境中會(huì)出 現(xiàn)單個(gè)終端設(shè)備的頻繁的網(wǎng)絡(luò)切換，即加密設(shè)備連同終端設(shè)備一起的頻繁 的網(wǎng)絡(luò)切換。在此所需的IPsec發(fā)現(xiàn)協(xié)議的執(zhí)行的數(shù)目還會(huì)進(jìn)一步加重?zé)o 線(xiàn)電資源的負(fù)荷，由此在無(wú)線(xiàn)電環(huán)境中，隧道加密模式的應(yīng)用的有意義的 通信不再是可能的，因?yàn)樾帕顢?shù)據(jù)通信量極大地增加。
因此，本發(fā)明的任務(wù)是提出一種用于安全通信的方法和系統(tǒng)，該方法 能夠以低的信令開(kāi)銷(xiāo)實(shí)現(xiàn)高的數(shù)據(jù)安全性和系統(tǒng)的可用性。
該任務(wù)在方法方面通ii權(quán)利要求1的特征來(lái)解決，而在系統(tǒng)方面通過(guò) 權(quán)利要求15的特征來(lái)解決。從屬權(quán)利要求包含根據(jù)本發(fā)明的方法或者根 據(jù)本發(fā)明的系統(tǒng)的有利的改進(jìn)方案。
通過(guò)本發(fā)明提出了 一種用于基于紅色網(wǎng)絡(luò)地址與黑色設(shè)備標(biāo)識(shí)符之 間唯一的關(guān)聯(lián)獲得當(dāng)前路由信息的有效方法。該關(guān)聯(lián)例如可以通過(guò)唯一的 函數(shù)或者通過(guò)查找表來(lái)描述。該方法避免了為了獲得當(dāng)前的紅色網(wǎng)絡(luò)拓樸 結(jié)構(gòu)和相應(yīng)的路由信息而進(jìn)行信令消息和路由消息的費(fèi)時(shí)和加重資源負(fù) 荷的交換。這些信息可以借助黑色設(shè)備標(biāo)識(shí)符與紅色網(wǎng)絡(luò)地址的唯一的關(guān) 聯(lián)直接由已知的黑色網(wǎng)絡(luò)拓樸結(jié)構(gòu)來(lái)導(dǎo)出。如果設(shè)備以其在黑色網(wǎng)絡(luò)中的 黑色設(shè)備標(biāo)識(shí)符而被已知，則可以通過(guò)關(guān)聯(lián)立即推斷出連接到該用戶(hù)的紅 色網(wǎng)絡(luò)。
查找表的概念利用了首先事先配置并且存儲(chǔ)在加密設(shè)備中的、針對(duì)黑 色設(shè)備標(biāo)識(shí)符與紅色網(wǎng)絡(luò)之間的關(guān)聯(lián)的表。通過(guò)使用根據(jù)本發(fā)明的方法，可以省去使用IPsec發(fā)現(xiàn)協(xié)議，并JLi^免了為了在用戶(hù)的紅色網(wǎng)絡(luò)之間交換路由信息而需要的信令傳輸。尤其是在具有有限的無(wú)線(xiàn)電資源的無(wú)線(xiàn)電環(huán)境中，可以通過(guò)省去IPsec發(fā)現(xiàn)協(xié)議而明顯地提高無(wú)線(xiàn)電網(wǎng)絡(luò)的可用性。
以下參照附圖描述了本發(fā)明的實(shí)施例。其中


圖1示出了 IPsec中的傳輸模式和隧道模式；
圖2示出了在使用IPsec隧道模式時(shí)的網(wǎng)絡(luò)的拓樸結(jié)構(gòu)；
圖3示出了 IP網(wǎng)絡(luò)中的編址方案；
圖4示出了 IP發(fā)現(xiàn)協(xié)議的流程圖5示出了加密設(shè)備中的、用于在黑色和紅色地址之間映射的查找
表；
圖6示出了具有查找表的加密設(shè)備的內(nèi)部結(jié)構(gòu)；圖7示出了機(jī)密網(wǎng)絡(luò)內(nèi)的隧道模式；以及
圖8示出了根據(jù)本發(fā)明的、用于在加密的通信關(guān)系中編址和路由的系統(tǒng)的實(shí)施例。
由于通#密設(shè)備4使機(jī)密紅色網(wǎng)絡(luò)層(以下簡(jiǎn)稱(chēng)為紅色網(wǎng)絡(luò)層)與黑色公共網(wǎng)絡(luò)層(以下簡(jiǎn)稱(chēng)為黑色網(wǎng)絡(luò)層)分離，所以首先在這兩個(gè)網(wǎng)絡(luò)層中必須彼此獨(dú)立地將網(wǎng)絡(luò)拓樸結(jié)構(gòu)映射到相應(yīng)路由器的路由表17中。因?yàn)楹谏酚杀?7基本上包含了關(guān)于黑色公共網(wǎng)絡(luò)2的用戶(hù)的所有信息，所以通過(guò)使用這些信息也可以在紅色機(jī)密側(cè)減少信令消息。這可以通過(guò)引入唯一的關(guān)聯(lián)來(lái)實(shí)現(xiàn)，該唯一的關(guān)聯(lián)描述了在黑色公開(kāi)設(shè)備標(biāo)識(shí)符與紅色機(jī)密網(wǎng)絡(luò)地址8之間的關(guān)系。這種映射描述了哪些紅色網(wǎng)絡(luò)通過(guò)加密設(shè)備連接到具有某個(gè)黑色設(shè)備標(biāo)識(shí)符的黑色側(cè)。關(guān)于具有各自的黑色設(shè)備標(biāo)識(shí)符的設(shè)備的可到達(dá)性的知識(shí)由此能夠?qū)崿F(xiàn)對(duì)連接到其上的紅色網(wǎng)絡(luò)的說(shuō)明。
該概念例如可以通過(guò)在所有參與的加密設(shè)備4中的預(yù)先配置的表或者通過(guò)唯一的映射例如數(shù)學(xué)函數(shù)來(lái)實(shí)現(xiàn)。作為映射規(guī)則的基礎(chǔ)，使用設(shè)備的唯一的黑色標(biāo)識(shí)符。這種設(shè)備標(biāo)識(shí)符的例子是對(duì)應(yīng)于IPv6協(xié)議的主機(jī)ID或者M(jìn)AC地址。
在黑色公共地址中得到不同的圖像。在黑色公共網(wǎng)絡(luò)2內(nèi)，所有用戶(hù)必須使用相同的網(wǎng)絡(luò)標(biāo)識(shí)符。由于網(wǎng)絡(luò)的切換，該網(wǎng)絡(luò)標(biāo)識(shí)符改變。由此，黑色公共網(wǎng)絡(luò)標(biāo)識(shí)符不適于標(biāo)識(shí)加密設(shè)備4。然而，唯一的設(shè)備標(biāo)識(shí)符例地址的IPv6接口 ID能夠?qū)崿F(xiàn)在任意網(wǎng)絡(luò)環(huán)境中標(biāo)識(shí)加密i殳備4。
由此，借助黑色設(shè)備標(biāo)識(shí)符可以標(biāo)識(shí)在紅色側(cè)3的所連接的網(wǎng)絡(luò)。圖5舉例地示出了黑色(非機(jī)密)和紅色(機(jī)密)地址部分8之間的關(guān)系。由于對(duì)加密設(shè)備4的安全性要求，所以查找表6或路由表17的信息絕不允許分布在黑色公共網(wǎng)絡(luò)2中，而是只允許在加密設(shè)備4內(nèi)分析。
由此，用于在每個(gè)加密設(shè)備4中建立表的信息必須在運(yùn)行之前被預(yù)先配置。由于加密i殳備4連同與其相連的網(wǎng)絡(luò)(例如在無(wú)線(xiàn)電網(wǎng)絡(luò)中)的移動(dòng)性以及被包含到不同的區(qū)域網(wǎng)絡(luò)中，所以表?xiàng)l目的數(shù)目會(huì)變大。因此，在加密設(shè)備4中必須設(shè)置足夠的存儲(chǔ)器，以便能夠容納這些表格。
借助查找表6中的附加的條目，可以標(biāo)記和知悉其他連接到加密設(shè)備4上的紅色機(jī)密網(wǎng)絡(luò)3。這在圖5中例如是路由器R6上的網(wǎng)絡(luò)w。
其他的網(wǎng)絡(luò)通?？梢酝ㄟ^(guò)在各自網(wǎng)絡(luò)內(nèi)的網(wǎng)絡(luò)通道NtJ來(lái)到達(dá)。網(wǎng)絡(luò)通道的地址在此借助協(xié)議在網(wǎng)絡(luò)中公布。由此，每個(gè)用戶(hù)可以借助網(wǎng)絡(luò)通道的黑色非機(jī)密地址識(shí)別網(wǎng)絡(luò)通道。而如果網(wǎng)絡(luò)通道定位在加密設(shè)備4的紅色機(jī)密網(wǎng)絡(luò)3內(nèi)，則地址的筒單的信號(hào)表示是不可能的。在查找表6內(nèi)負(fù)責(zé)網(wǎng)絡(luò)通道的加密設(shè)備4的附加信息避開(kāi)了該問(wèn)題。用于檢測(cè)網(wǎng)絡(luò)通道的附加的信令由此是多余的。建立至重要的網(wǎng)絡(luò)用戶(hù)的隧道因此亳無(wú)疑問(wèn)是可能的。
除了避免了在網(wǎng)絡(luò)內(nèi)高的信令通信量之外，使用查找表6的概念也能夠?qū)崿F(xiàn)維持黑色公共網(wǎng)絡(luò)和紅色機(jī)密網(wǎng)絡(luò)2、 3的實(shí)時(shí)的一致性。 一旦黑色路由協(xié)議認(rèn)識(shí)到黑色網(wǎng)絡(luò)2中的用戶(hù)的不可到達(dá)性，則這可以用信號(hào)通知加密設(shè)備4。這又可以借助表來(lái)推斷不可到達(dá)的用戶(hù)的紅色機(jī)密地址8。由此，可以直接更新紅色終端設(shè)備的路由表17。因此，數(shù)據(jù)包可以直接在紅色路由器內(nèi)被拒絕。因此可以完全省去在連接到不同加密設(shè)備的紅色網(wǎng)^J、司的路由信息交換。紅色機(jī)密網(wǎng)絡(luò)3自動(dòng)地并且在短時(shí)之后識(shí)別黑色公共網(wǎng)絡(luò)2的基本拓樸結(jié)構(gòu)。
在描述了查找表6的原理結(jié)構(gòu)之后，以下將借助查找表6來(lái)說(shuō)明數(shù)據(jù)處理和信息獲取的大致過(guò)程。
圖6示出了加密設(shè)備4的示意性結(jié)構(gòu)。加密設(shè)備4的黑色公共側(cè)2連續(xù)地從黑色公共層2中獲和洛由信息，即網(wǎng)絡(luò)信息18。借助其他加密設(shè)備4的被交換的黑色公共設(shè)備標(biāo)識(shí)符，管理過(guò)程19可以在查找表中標(biāo)識(shí)分別相連的紅色機(jī)密網(wǎng)絡(luò)3。網(wǎng)^kft息18將管理過(guò)程19傳送給紅色機(jī)密層3。由此，加密設(shè)備4獲得關(guān)于所連接的其他紅色網(wǎng)絡(luò)3的可到達(dá)性信息。
紅色機(jī)密路由器17由此立即能夠識(shí)別所有潛在可到達(dá)的紅色網(wǎng)絡(luò)3。黑色爿^共層2的拓樸結(jié)構(gòu)實(shí)時(shí)映射到紅色網(wǎng)絡(luò)3的拓樸結(jié)構(gòu)上。由此，一方面可以節(jié)約許多信令開(kāi)銷(xiāo)，另 一方面可以立即識(shí)別特定的加密設(shè)^^及其連接的終端設(shè)備的不可到達(dá)性，并且必要時(shí)適當(dāng)i^此做出反應(yīng)。在加密設(shè)備內(nèi)的加密過(guò)程20負(fù)責(zé)解密至紅色機(jī)密層3的數(shù)據(jù)包并且加密至黑色層2的數(shù)據(jù)包。
該方法的第二優(yōu)點(diǎn)在加密來(lái)自紅色機(jī)密層的紅色機(jī)密數(shù)據(jù)時(shí)得到。加密過(guò)程20可以借助查找表6立即推斷出目標(biāo)終端設(shè)備的主管解密設(shè)備。IPsec發(fā)現(xiàn)協(xié)議的高開(kāi)銷(xiāo)的執(zhí)行可以被取消。只要解密設(shè)備被記錄在查找表6中并且與該網(wǎng)絡(luò)連接，則數(shù)據(jù)流實(shí)際上可以沒(méi)有延遲地被加密并且進(jìn)一步輸送。
為了使查找表6的大小最小化，連接到加密設(shè)備4上的紅色機(jī)密網(wǎng)絡(luò)3可以使用分等級(jí)的編址。這意味著，即使附加的路由器分離了各個(gè)網(wǎng)絡(luò)，所有i殳備的地址也源自相同的地址范圍。由此，可以it免如圖5中所示的那樣對(duì)于加密設(shè)備需要多個(gè)表?xiàng)l目。通過(guò)分等級(jí)的編址，加密設(shè)備4的所有被連接的終端設(shè)備可以在地址條目8下概括并且記錄到查找表6中。
附加地，還可能在加密設(shè)備4之間周期性地交換查找表6。對(duì)此，加密設(shè)備4必須與另一加密設(shè)備4建立防竊聽(tīng)的隧道。通過(guò)該隧道于是可以調(diào)整表6。這具有的優(yōu)點(diǎn)是，還可以在加密設(shè)備4的運(yùn)行時(shí)間期間改變表6的配置。由此，例如在網(wǎng)關(guān)21處的加密設(shè)備4可以在網(wǎng)絡(luò)中分配附加的紅色機(jī)密網(wǎng)絡(luò)地址。此外，在運(yùn)行之前所需的配置開(kāi)銷(xiāo)可以被最小化，因?yàn)橐部梢栽谶\(yùn)行期間訪(fǎng)問(wèn)查找表6的信息。
在進(jìn)行IPsec發(fā)現(xiàn)協(xié)議時(shí)必需的信令是有影響的。特別是在具有有限的數(shù)據(jù)傳輸率的無(wú)線(xiàn)電環(huán)境中，這附加地減小了可^f吏用的傳輸容量。通過(guò)在加密設(shè)備4中使用預(yù)先配置的查找表6，可以完全省去使用IPsec發(fā)現(xiàn)協(xié)議。所連接的紅色機(jī)密網(wǎng)絡(luò)3可以在短時(shí)之后借助查找表6根據(jù)黑色非機(jī)密網(wǎng)絡(luò)2的拓樸結(jié)構(gòu)導(dǎo)出。這附加地減少了網(wǎng)絡(luò)資源的浪費(fèi)，因?yàn)榻饷茉O(shè)備及連接其上的紅色網(wǎng)絡(luò)的不可到達(dá)性已在發(fā)送設(shè)備中或者在加密設(shè)備4中被識(shí)別。此外，如果使用對(duì)紅色機(jī)密網(wǎng)絡(luò)IO的分等級(jí)的編址，則可以進(jìn)一步減小所需的查找表6的大小。借助各個(gè)加密設(shè)備4之間的表6的交換，另外在運(yùn)行期間的調(diào)整也是可能的。由此，可以明顯地減小運(yùn)行之前的配置
開(kāi)銷(xiāo)，因?yàn)椴⒎撬袟l目都必須祐:預(yù)先配置。
圖7示出了兩個(gè)紅色機(jī)密網(wǎng)絡(luò)3之間的隧道模式，其中在加密的通信關(guān)系1中實(shí)施根據(jù)本發(fā)明的用于編址和路由的方法。在兩個(gè)終端用戶(hù)之間的連接或通信關(guān)系延伸到兩個(gè)不同的彼此分離的網(wǎng)絡(luò)層2、 3上，其中與網(wǎng)絡(luò)層2、 3關(guān)聯(lián)的路由層彼此不同。這兩個(gè)網(wǎng)絡(luò)層2、 3與其路由層的劃界通過(guò)加密設(shè)備4來(lái)進(jìn)行，該加密設(shè)備連接到第一網(wǎng)絡(luò)層2和第二網(wǎng)絡(luò)層3，該第一網(wǎng)絡(luò)層是公共可訪(fǎng)問(wèn)的并且不安全的黑色網(wǎng)絡(luò)，第二網(wǎng)絡(luò)層是非7>共可訪(fǎng)問(wèn)的紅色網(wǎng)絡(luò)。
在第二路由層中，分別確定當(dāng)前的網(wǎng)絡(luò)拓樸結(jié)構(gòu)，其中網(wǎng)絡(luò)層2、 3中之一的網(wǎng)絡(luò)拓樸結(jié)構(gòu)的確定與第二網(wǎng)絡(luò)層3、 2的網(wǎng)絡(luò)拓樸結(jié)構(gòu)的確定無(wú)關(guān)地進(jìn)行，其中該第二網(wǎng)絡(luò)層被用于對(duì)外屏蔽的機(jī)密通信；并且該網(wǎng)絡(luò)拓樸結(jié)構(gòu)被存儲(chǔ)在相應(yīng)的路由表17中。在此，在整個(gè)網(wǎng)絡(luò)中存在的加密設(shè)備4內(nèi)的接口 7設(shè)置有第二路由層的地址8至第一路由層的地址8的一對(duì)一的關(guān)聯(lián)，使得M發(fā)現(xiàn)也可能超出兩個(gè)網(wǎng)絡(luò)層2、 3的邊界。這也表示在圖2中。
第一網(wǎng)絡(luò)層2是公共域，例如固定網(wǎng)絡(luò)或者全球范圍內(nèi)運(yùn)營(yíng)的移動(dòng)無(wú)線(xiàn)電網(wǎng)絡(luò)的一部分，例如UMTS (通用無(wú)線(xiàn)通信系統(tǒng))或者GSM (全球移動(dòng)通信系統(tǒng))網(wǎng)絡(luò)的一部分，而第二網(wǎng)絡(luò)層3是機(jī)密域，例如對(duì)外屏蔽的公司網(wǎng)絡(luò)等等，其中相應(yīng)的地址8在路由層上同樣劃分成公共地址8和機(jī)密地址8。
在加密設(shè)備4本身中，在網(wǎng)絡(luò)運(yùn)行期間設(shè)置有可更新的查找表6，該查找表被預(yù)先配置。接口 7起到在公共和機(jī)密網(wǎng)絡(luò)層2、 3之間的受控的通道的作用，并且因此也起到在公共和機(jī)密路由層之間的邊界的作用。
圖8示出了才艮據(jù)本發(fā)明的系統(tǒng)11的一個(gè)實(shí)施例，該系統(tǒng)在具有至少兩個(gè)彼此分離的、不同的網(wǎng)絡(luò)層2、 3的總網(wǎng)絡(luò)內(nèi)在加密的通信關(guān)系1中用于進(jìn)行編址和路由。在此，黑色網(wǎng)絡(luò)層2通過(guò)至少一個(gè)加密設(shè)備4而相對(duì)于第二網(wǎng)絡(luò)層3劃界。兩個(gè)網(wǎng)絡(luò)層的網(wǎng)絡(luò)拓樸結(jié)構(gòu)存儲(chǔ)在根據(jù)本發(fā)明的系統(tǒng)11的分離域12、 13中的路由器17的路由表中。
在域12、 13之間設(shè)置有協(xié)議實(shí)例14作為中間域15，其中協(xié)議實(shí)例14分別具有至兩個(gè)域12、 13之一的雙向通信路徑16并且例如根據(jù)IPsec 標(biāo)準(zhǔn)來(lái)實(shí)現(xiàn)。第一網(wǎng)絡(luò)層2在總網(wǎng)絡(luò)內(nèi)定義為公共域2并且對(duì)應(yīng)于公共可 訪(fǎng)問(wèn)的網(wǎng)絡(luò)2，如例如固定網(wǎng)絡(luò)或者移動(dòng)無(wú)線(xiàn)電網(wǎng)絡(luò)。在總網(wǎng)絡(luò)內(nèi)的第二 網(wǎng)絡(luò)層3設(shè)計(jì)為機(jī)密域并且對(duì)應(yīng)于例如非公共的、被屏蔽的網(wǎng)絡(luò)3，例如 對(duì)應(yīng)于公司網(wǎng)絡(luò)或者物流網(wǎng)絡(luò)。在相應(yīng)的網(wǎng)絡(luò)層2、 3或關(guān)聯(lián)的路由層中 的地址可以作為公共地址和機(jī)密地址8而彼此區(qū)分。
在根據(jù)IPv6標(biāo)準(zhǔn)的實(shí)施例中，在未加密側(cè)12以及在加密側(cè)13，路 由器17都連接到協(xié)議實(shí)例14，其中路由器17也包括路由表。
在根據(jù)本發(fā)明的系統(tǒng)11的加密側(cè)12的路由器17通過(guò)限定的傳輸方 法與公共網(wǎng)絡(luò)2相連，使得借助該網(wǎng)絡(luò)可以建立通信連接，因?yàn)樗鶎?shí)施的 傳輸方法與公共網(wǎng)絡(luò)2的傳輸方法兼容。
此外，在該實(shí)施例中，在加密側(cè)13上實(shí)施MANET(移動(dòng)自組網(wǎng)絡(luò)) 協(xié)議而在未加密側(cè)12上實(shí)施IGP協(xié)議(內(nèi)部網(wǎng)關(guān)協(xié)議)用于更新關(guān)聯(lián)的 路由表6，其中作為IGP設(shè)置有OSPF (開(kāi)放最短路徑優(yōu)先)算法。通過(guò) 根據(jù)本發(fā)明的系統(tǒng)11的未加密側(cè)的IPv6路由器17,設(shè)計(jì)了將IP有用數(shù) 據(jù)例如數(shù)字化的語(yǔ)音或者圖像傳輸?shù)綑C(jī)密非公共可訪(fǎng)問(wèn)的網(wǎng)絡(luò)3。
本發(fā)明并不限于所描述的實(shí)施例。所有所描述的或者所示的特征在本 發(fā)明的范圍內(nèi)可以任意地彼此組合。
權(quán)利要求
1.一種用于在至少兩個(gè)不同的網(wǎng)絡(luò)層(2，3)中在網(wǎng)絡(luò)中加密的通信關(guān)系(1)情況下進(jìn)行編址和路由的方法，其中所述至少兩個(gè)不同的網(wǎng)絡(luò)層以不同的路由層彼此分離，其中具有關(guān)聯(lián)的第一路由層的第一網(wǎng)絡(luò)層(2)分別通過(guò)至少一個(gè)加密設(shè)備(4)相對(duì)于具有第二路由層的第二網(wǎng)絡(luò)層(3)被劃界，其中在至少兩個(gè)路由層中彼此無(wú)關(guān)地確定兩個(gè)網(wǎng)絡(luò)層(2，3)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)并且將其存儲(chǔ)在相應(yīng)的路由表(17)中，以及其中在所述至少一個(gè)加密設(shè)備(4)中的接口(7)設(shè)置有從第二路由層的地址(8)至第一路由層的地址(8)一對(duì)一的關(guān)聯(lián)。
2. 根據(jù)權(quán)利要求l所述的方法，其特征在于，第一網(wǎng)絡(luò)層(2)是公 共可訪(fǎng)問(wèn)的并且不安全的網(wǎng)絡(luò)(9)。
3. 根據(jù)權(quán)利要求1或者2所述的方法，其特征在于，第二網(wǎng)絡(luò)層(3) 是用于對(duì)外屏蔽的機(jī)密通信的、非公共可訪(fǎng)問(wèn)的網(wǎng)絡(luò)。
4. 根據(jù)權(quán)利要求1至3中任一項(xiàng)所述的方法，其特征在于,第一網(wǎng) 絡(luò)層(2)是公共域而第二網(wǎng)絡(luò)層(3)是機(jī)密域，并且第一路由層的地址(8)被標(biāo)記為公共地址而第二路由層的地址(8)被標(biāo)記為機(jī)密地址。
5. 根據(jù)權(quán)利要求1至4中任一項(xiàng)所述的方法，其特征在于，在公共 和機(jī)密網(wǎng)絡(luò)層(2， 3)之間或者在公共和機(jī)密路由層之間的接口 (7)在 加密設(shè)備(4)運(yùn)行之前存儲(chǔ)在加密設(shè)備(4)中的查找表(6)中。
6. 根據(jù)權(quán)利要求5所述的方法，其特征在于，在網(wǎng)絡(luò)運(yùn)行期間改變 加密設(shè)備(4)中的查找表(6)。
7. 根據(jù)權(quán)利要求5或者6所述的方法，其特征在于，機(jī)密路由表的 更新借助加密設(shè)備(4)中的查找表(6)從第一公共網(wǎng)絡(luò)層(2)的本地 存在的、時(shí)間上可變的信息獲得。
8. 根據(jù)權(quán)利要求7所述的方法，其特征在于，與加密設(shè)備U)的分 類(lèi)無(wú)關(guān)地在總網(wǎng)絡(luò)中生成用于將機(jī)密地址(8)與公共地址(8)關(guān)聯(lián)的映 射規(guī)則。
9. 根據(jù)權(quán)利要求5至7中任一項(xiàng)所述的方法，其特征在于，作為描 述公共和機(jī)密地址(8)之間關(guān)系的函數(shù)的實(shí)現(xiàn)，查找表(6 )被預(yù)先配置在所有務(wù)使用的加密設(shè)備(4)中。
10. 根據(jù)權(quán)利要求5至7中任一項(xiàng)所述的方法，其特征在于，作為描 述公共和機(jī)密地址(8)之間關(guān)系的函數(shù)的實(shí)現(xiàn)，查找表(6)在所有要使 用的加密設(shè)備(4)中在網(wǎng)絡(luò)運(yùn)行期間被動(dòng)態(tài)地更新。
11. 根據(jù)權(quán)利要求5至7中任一項(xiàng)所述的方法，其特征在于，作為描 述公共和機(jī)密地址(8 )之間關(guān)系的函數(shù)的實(shí)現(xiàn)，查找表(6)的內(nèi)容僅僅 分布在機(jī)密域(3 )內(nèi)。
12. 根據(jù)權(quán)利要求5至7或者9至11中任一項(xiàng)所述的方法，其特征 在于，可選地在查找表(6)內(nèi)進(jìn)行附加的記錄，該附加的記錄指示了連 接到加密設(shè)備(4)的其他機(jī)密網(wǎng)絡(luò)。
13. ^m權(quán)利要求7或者8所述的方法，其特征在于，映射規(guī)則的基 礎(chǔ)是連接到網(wǎng)絡(luò)的設(shè)備的唯一的設(shè)備標(biāo)識(shí)符。
14. 根據(jù)權(quán)利要求13所述的方法，其特征在于，i殳備標(biāo)識(shí)符"^殳計(jì)為 根據(jù)IPv6協(xié)議的主機(jī)標(biāo)識(shí)符或者媒介訪(fǎng)問(wèn)控制(MAC)地址。
15. —種用于在具有至少兩個(gè)彼此分離的不同網(wǎng)絡(luò)層(2， 3)和關(guān)聯(lián) 的路由層的網(wǎng)絡(luò)內(nèi)在加密的通信關(guān)系(1)中進(jìn)行編址和路由的系統(tǒng)(11 )，其中具有關(guān)聯(lián)的第一路由層的第一網(wǎng)絡(luò)層(2)分別通過(guò)至少一個(gè)加 密設(shè)備(4)而相對(duì)于具有第二路由層的第二網(wǎng)絡(luò)層(3)劃界，其中兩個(gè)網(wǎng)絡(luò)層(2, 3)的網(wǎng)絡(luò)拓樸結(jié)構(gòu)存儲(chǔ)在所述系統(tǒng)(11)的分 離的域(12， 13)中，以及其中設(shè)計(jì)有中間域(15 )，該中間域作為具有兩個(gè)雙向通信路徑(16) 的協(xié)議實(shí)例(14)設(shè)置在分離的域(12， 13)之間。
16. 根據(jù)權(quán)利要求15所述的系統(tǒng)，其特征在于，公共可訪(fǎng)問(wèn)的部分 網(wǎng)絡(luò)設(shè)計(jì)為第一網(wǎng)絡(luò)層(2)并且定義為公共域。
17. 根據(jù)權(quán)利要求15或者16所述的系統(tǒng)，其特征在于，非公共的、 屏蔽的部分網(wǎng)絡(luò)設(shè)計(jì)為第二網(wǎng)絡(luò)層(3)并且定義為機(jī)密域。
18. 根據(jù)權(quán)利要求15至17中任一項(xiàng)所述的系統(tǒng)，其特征在于，第一 路由層的地址(8)作為公共地址而第二路由層的地址(8)作為機(jī)密地址 能夠彼此區(qū)分。
19. 根據(jù)權(quán)利要求15至18中任一項(xiàng)所述的系統(tǒng)，其特征在于，協(xié)議實(shí)例(14)在中間域中才艮據(jù)IPsec標(biāo)準(zhǔn)或者才艮據(jù)其他加密方法來(lái)實(shí)施。
20. 根據(jù)權(quán)利要求15至19中任一項(xiàng)所述的系統(tǒng)，其特征在于，在第 一域(12 )中在未加密側(cè)以及在第二域(13 )中在加密側(cè)，包括路由表(17) 的路由器(17)分別連接到協(xié)議實(shí)例(14)上。
21. 根據(jù)權(quán)利要求15至20中任一項(xiàng)所述的系統(tǒng)，其特征在于，路由 器(17)在加密側(cè)(13)通過(guò)限定的傳輸方法與公共網(wǎng)絡(luò)(2)建立通信 連接。
22. 根據(jù)權(quán)利要求21所述的系統(tǒng)，其特征在于，傳輸方法與公共網(wǎng) 絡(luò)(2)兼容。
23. 根據(jù)權(quán)利要求15至22中任一項(xiàng)所述的系統(tǒng)，其特征在于，在加 密側(cè)(13 )實(shí)施移動(dòng)自組網(wǎng)絡(luò)(MANET )協(xié)議以便更新關(guān)聯(lián)的路由表(17 )。
24. 根據(jù)權(quán)利要求15至23中任一項(xiàng)所述的系統(tǒng)，其特征在于，在未 加密側(cè)(12)實(shí)施內(nèi)部網(wǎng)關(guān)協(xié)i義(IGP)。
25. 根據(jù)權(quán)利要求24所述的系統(tǒng)，其特征在于，在內(nèi)部網(wǎng)關(guān)協(xié)議中 實(shí)施開(kāi)放最短路徑優(yōu)先(OSPF)算法，用于更新關(guān)聯(lián)的路由表(6)。
26. 根據(jù)權(quán)利要求20所述的系統(tǒng)，其特征在于，通過(guò)未加密側(cè)(12) 的路由器(17)將有用數(shù)據(jù)以未加密的方式傳輸?shù)綑C(jī)密的、非公共可訪(fǎng)問(wèn) 的網(wǎng)絡(luò)(3)中。
全文摘要
本發(fā)明涉及一種用于在網(wǎng)絡(luò)的至少兩個(gè)不同的網(wǎng)絡(luò)層(2，3)中在加密通信關(guān)系(1)的情況下進(jìn)行編址和路由的方法和系統(tǒng)(11)，其中所述至少兩個(gè)不同的網(wǎng)絡(luò)層以不同的路由層彼此分離。具有關(guān)聯(lián)的第一路由層的第一網(wǎng)絡(luò)層(2)通過(guò)至少一個(gè)加密設(shè)備(4)而相對(duì)于具有第二路由層的第二網(wǎng)絡(luò)層(3)劃界。在所述至少兩個(gè)路由層中，彼此無(wú)關(guān)地確定兩個(gè)網(wǎng)絡(luò)層(2，3)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)并且將其存儲(chǔ)在相應(yīng)的路由表(17)中。在所述至少一個(gè)加密設(shè)備(4)中的接口(7)設(shè)置有從第二路由層的地址(8)至第一路由層的地址(8)一對(duì)一的關(guān)聯(lián)，以便有效地從第一網(wǎng)絡(luò)層(2)導(dǎo)出第二網(wǎng)絡(luò)層(3)的拓?fù)浣Y(jié)構(gòu)。
文檔編號(hào)H04L29/06GK101517986SQ200780033796
公開(kāi)日2009年8月26日 申請(qǐng)日期2007年9月3日 優(yōu)先權(quán)日2006年9月14日
發(fā)明者亨里克·舍貝爾, 托爾斯滕·朗古特, 英戈·格魯貝爾 申請(qǐng)人:羅德施瓦茲兩合股份有限公司