本發(fā)明涉及一種互聯(lián)網(wǎng)安全溯源技術(shù)，具體地說是一種WIFI安全體系架構(gòu)。

背景技術(shù)：

隨著人們對互聯(lián)網(wǎng)的使用越來越普及，互聯(lián)網(wǎng)給人們帶來許多便利的同時，也帶來了很多風險和挑戰(zhàn)。例如：少數(shù)人利用互聯(lián)網(wǎng)發(fā)布和傳播不利于社會穩(wěn)定言論；這些威脅和挑戰(zhàn)事件多數(shù)是來自于內(nèi)部合法用戶的“合法”操作，僅靠某些安全產(chǎn)品如防火墻等的日志和控制功能并不能很好的滿足對這些互聯(lián)網(wǎng)安全事件的審計要求。

安全溯源是基于信息流的數(shù)據(jù)采集、分析、識別的軟件。通過實時審計網(wǎng)絡(luò)數(shù)據(jù)流，根據(jù)用戶設(shè)定的安全控制策略，對受控對象的活動進行信息收集。目前，采用在用戶側(cè)網(wǎng)絡(luò)中外加審計設(shè)備的方式進行信息收集，由于外加的審計設(shè)備安裝于客戶端，用戶隱私保護意識越來越強，不易被用戶接受，可能會發(fā)生自行拆除現(xiàn)象，拆除并不影響用戶上網(wǎng)，導致審計設(shè)備的實際應(yīng)用覆蓋率偏低，對信息的收集不全面，影響網(wǎng)絡(luò)信息安全溯源工作的正常展開。

目前互聯(lián)網(wǎng)中存在兩類網(wǎng)間協(xié)議，即地址分配方式分別為IPv4和IPv6,這兩類地址分配方式互不兼容，使用戶無法跨協(xié)議互訪。但是IPv4地址分配已經(jīng)枯竭，為解決該問題，廣泛采用了地址復用技術(shù)，加重了安全溯源工作的復雜程度。而IPv6具有廣闊的地址空間，推廣使用IPv6可以使安全溯源工作變得相對容易，但又帶來了IPv6客戶端訪問IPv4網(wǎng)絡(luò)資源的兼容性問題。

技術(shù)實現(xiàn)要素：

針對現(xiàn)有技術(shù)中網(wǎng)絡(luò)信息安全溯源工作難以展開以及IPv6、IPv4網(wǎng)絡(luò)資源互不兼容等不足，本發(fā)明要解決的問題是提供一種能夠解決兼容性問題的同時有利于普及安全溯源工作的WIFI安全體系架構(gòu)。

為解決上述技術(shù)問題，本發(fā)明采用的技術(shù)方案是：

本發(fā)明一種WIFI安全體系架構(gòu)，包括：IPv4/IPv6互通應(yīng)用平臺、安全監(jiān)管平臺、客戶端設(shè)備以及IPv6線路，將四者通過加密算法實現(xiàn)強制綁定，其中IPv4/IPv6互通應(yīng)用平臺、安全監(jiān)管平臺為云端設(shè)備，通過IPv6線路與骨干網(wǎng)進行通訊連接；客戶端設(shè)備為終端控制設(shè)備，通過IPv6單棧線路與骨干網(wǎng)進行通訊連接；客戶端設(shè)備與終端之間維持輕量化雙棧協(xié)議，以保證對終端應(yīng)用程序的兼容性；客戶端設(shè)備中安裝具有信息收集功能的安全插件，將收集到的信息自動上傳至安全監(jiān)管平臺。

IPv4/IPv6互通應(yīng)用平臺維護包含以下信息的靜態(tài)表，實現(xiàn)鑒權(quán)：授權(quán)終端硬件特征碼、可用IP地址或IP地址范圍以及授權(quán)終端硬件特征碼的算法參數(shù)。

IPv4/IPv6互通應(yīng)用平臺對授權(quán)已注冊客戶端設(shè)備發(fā)送來的IPv4/v6包進行解封裝和再封裝，實現(xiàn)跨協(xié)議棧訪問，并記錄IPv4/IPv6的地址映射關(guān)系。

IPv4/IPv6互通應(yīng)用平臺的控制流程如下：

終端應(yīng)用程序發(fā)起會話請求；

客戶端設(shè)備(CPE)對終端應(yīng)用程序的請求進行判斷，

客戶端設(shè)備對終端設(shè)備發(fā)出的請求進行判斷；

判斷客戶端是否為IPv6客戶端，如果是IPv6客戶端，則判斷是否為IPv6客戶端向IPv6服務(wù)器發(fā)出的請求；

如果是IPv6客戶端向IPv6服務(wù)器發(fā)出的請求，則客戶端設(shè)備直接向目的地址轉(zhuǎn)發(fā)IP包。

如果不是IPv6客戶端向IPv6服務(wù)器發(fā)出的請求，則為IPv6客戶端向IPv4服務(wù)器發(fā)出的請求，IPv6客戶端設(shè)備向IPv4/IPv6互通應(yīng)用平臺轉(zhuǎn)發(fā)IP包。

如果不是IPv6客戶端，則為IPv4客戶端，將IPv4協(xié)議包全部封裝為IPv6協(xié)議包，該IPv6協(xié)議包通過隧道協(xié)議向IPv4/IPv6互通應(yīng)用平臺轉(zhuǎn)發(fā)。

7IPv6協(xié)議包向IPv4/IPv6互通應(yīng)用平臺轉(zhuǎn)發(fā)IP包的同時維系與IPv4/IPv6互通應(yīng)用平臺的隧道會話。

隧道會話的建立及維系通過SHA-1算法實現(xiàn)動態(tài)密匙交換，并進行單向鑒權(quán)。

本發(fā)明具有以下有益效果及優(yōu)點：

1.本發(fā)明實現(xiàn)了IPv4/IPv6互通應(yīng)用平臺-安全監(jiān)管平臺-IPv6網(wǎng)絡(luò)線路-客戶端設(shè)備的強制綁定關(guān)系，使安全監(jiān)管平臺的等效應(yīng)用覆蓋率達到百分之百，有效保證了網(wǎng)絡(luò)信息安全溯源工作的正常展開，對于社會穩(wěn)定以及國家安全具有重大意義。

2.本發(fā)明通過應(yīng)用互通平臺實現(xiàn)了IPv4/v6網(wǎng)絡(luò)資源的跨協(xié)議棧訪問，解決了當前IPv6網(wǎng)站側(cè)信息資源不足的問題，提高了IPv6客戶端訪問IPv4網(wǎng)絡(luò)資源的兼容性。

附圖說明

圖1為本發(fā)明上網(wǎng)環(huán)境防控體系拓撲圖；

圖2為本發(fā)明中IPv6訪問IPv4的方法流程圖。

具體實施方式

下面結(jié)合說明書附圖對本發(fā)明作進一步闡述。

如圖1所示，本發(fā)明一種WIFI安全體系架構(gòu)，IPv4/IPv6互通應(yīng)用平臺、安全監(jiān)管平臺、客戶端設(shè)備以及IPv6線路，將四者通過加密算法實現(xiàn)強制綁定，其中IPv4/IPv6互通應(yīng)用平臺、安全監(jiān)管平臺為云端設(shè)備，通過IPv6線路與骨干網(wǎng)進行通訊連接；客戶端設(shè)備為終端控制設(shè)備，通過IPv6單棧線路與骨干網(wǎng)進行通訊連接；客戶端設(shè)備與終端之間維持輕量化雙棧協(xié)議，以保證對終端應(yīng)用程序的兼容性；客戶端設(shè)備中安裝具有信息收集功能的安全插件，將收集到的信息自動上傳至安全監(jiān)管平臺。

IPv4/IPv6互通應(yīng)用平臺對授權(quán)已注冊客戶端設(shè)備發(fā)送來的IPv4/v6包進行解封裝和再封裝，實現(xiàn)跨協(xié)議棧訪問，并記錄IPv4/IPv6的地址映射關(guān)系。

IPv4/IPv6互通應(yīng)用平臺維護包含以下信息的靜態(tài)表，實現(xiàn)鑒權(quán)：授權(quán)終端硬件特征碼、可用IP地址或IP地址范圍以及授權(quán)終端硬件特征碼的算法參數(shù)。

本發(fā)明通過以上靜態(tài)表和加密算法實現(xiàn)IPv4/IPv6互通應(yīng)用平臺、安全監(jiān)管平臺、IPv6單棧線路以及客戶端設(shè)備的強制綁定，非授權(quán)客戶端設(shè)備不能被應(yīng)用于本架構(gòu)中，從而解決了信息安全問題。

如圖2所示，IPv4/IPv6互通應(yīng)用平臺的控制流程如下：

終端應(yīng)用程序發(fā)起會話請求；

客戶端設(shè)備(CPE)對終端應(yīng)用程序的請求進行判斷，

客戶端設(shè)備對終端設(shè)備發(fā)出的請求進行判斷；

判斷客戶端是否為IPv6客戶端，如果是IPv6客戶端，則判斷是否為IPv6客戶端向IPv6服務(wù)器發(fā)出的請求；

如果是IPv6客戶端向IPv6服務(wù)器發(fā)出的請求，則客戶端設(shè)備直接向目的地址轉(zhuǎn)發(fā)IP包。

如果不是IPv6客戶端向IPv6服務(wù)器發(fā)出的請求，則為IPv6客戶端向IPv4服務(wù)器發(fā)出的請求，IPv6客戶端設(shè)備向IPv4/IPv6互通應(yīng)用平臺轉(zhuǎn)發(fā)IP包。

在判斷客戶端是否為IPv6客戶端時，如果不是IPv6客戶端，則為IPv4客戶端，將IPv4協(xié)議包全部封裝為IPv6協(xié)議包，該IPv6協(xié)議包通過隧道協(xié)議向IPv4/IPv6互通應(yīng)用平臺轉(zhuǎn)發(fā)，同時維系與IPv4/IPv6互通應(yīng)用平臺的隧道會話。隧道會話的建立及維系通過SHA/1算法實現(xiàn)動態(tài)密匙交換，并進行單向鑒權(quán)。

本實施例中，客戶端設(shè)備(CPE)為網(wǎng)關(guān)設(shè)備或其衍生產(chǎn)品，可以安裝于公共場所、企事業(yè)單位或家庭中，網(wǎng)關(guān)設(shè)備內(nèi)設(shè)有IPv6地址池(IPv6Pool)，通過具有信息收集功能的安全插件將收集信息自動上傳至安全監(jiān)管平臺，實現(xiàn)對網(wǎng)絡(luò)信息的監(jiān)管。

由于IPv4/IPv6互通應(yīng)用平臺做為代理服務(wù)器，其對IPv4/IPv6包進行解封裝和再封裝，并記錄IPv4/IPv6的地址映射關(guān)系。這樣，每個通過該客戶端設(shè)備上網(wǎng)的終端設(shè)備，其IP地址均被記錄在客戶端設(shè)備即網(wǎng)關(guān)設(shè)備的IPv6P ARP列表中，當終端設(shè)備與該網(wǎng)關(guān)設(shè)備斷開連接，從另一網(wǎng)關(guān)設(shè)備設(shè)備登錄網(wǎng)絡(luò)時，其終端特征信息例如MAC地址會記錄在新網(wǎng)關(guān)設(shè)備設(shè)備上ARP列表中，并向安全監(jiān)管平臺發(fā)送，安全監(jiān)管平臺將刷新MAC地址記錄以及MAC地址與IP地址的對應(yīng)關(guān)系，實現(xiàn)信息(如終端設(shè)備)位置信息的溯源。

本實施例中，通過SHA-1算法實現(xiàn)隧道會話的建立及維系，該算法取客戶端設(shè)備的MAC地址(共48位)的后32位及產(chǎn)品系列號做為算法的輸入信息，輸出鑒權(quán)碼發(fā)送至IPv4/IPv6互通應(yīng)用平臺進行單向鑒權(quán)，實現(xiàn)授權(quán)客戶端設(shè)備的安全管理。

本發(fā)明還可以應(yīng)用在賓館及酒店等場所，由于IPv6具有地址空間廣闊的特點，可實現(xiàn)每個客房一段公網(wǎng)IP地址，并可以建立房間號與地址段的靜態(tài)對應(yīng)關(guān)系，進一步簡化信息溯源，保證網(wǎng)絡(luò)信息安全可控。