劉玉貞，李 珩，李炳彰

一種基于數(shù)字證書的安全I(xiàn)S-IS路由協(xié)議

劉玉貞1，2，李 珩2，李炳彰2

（1.通信網(wǎng)信息傳輸與分發(fā)技術(shù)重點(diǎn)實(shí)驗(yàn)室，河北石家莊050081；2.中國電子科技集團(tuán)公司第五十四研究所，河北石家莊050081）

為提高IS-IS路由協(xié)議安全性，增強(qiáng)抵御惡意網(wǎng)絡(luò)攻擊能力，通過分析IS-IS協(xié)議的報(bào)文格式和工作機(jī)理，提出其存在的缺陷性。基于數(shù)字證書的身份認(rèn)證的設(shè)計(jì)思想，提出在協(xié)議對等體認(rèn)證流程和協(xié)議報(bào)文兩方面對IS-IS協(xié)議進(jìn)行安全擴(kuò)展的方法，設(shè)計(jì)了安全I(xiàn)S-IS協(xié)議軟件。通過試驗(yàn)證明了所提出的安全擴(kuò)展方法可有效提高IS-IS協(xié)議的安全性。

路由協(xié)議；IS-IS；數(shù)字證書；安全擴(kuò)展

引用格式：劉玉貞，李 珩，李炳彰.一種基于數(shù)字證書的安全I(xiàn)S-IS路由協(xié)議［J］.無線電工程，2016，46（5）：17-21.

0 引言

近些年通信網(wǎng)絡(luò)的安全問題受到越來越多的關(guān)注［1］，路由系統(tǒng)作為網(wǎng)絡(luò)正常有序工作的基礎(chǔ)［2］，其安全問題對通信網(wǎng)絡(luò)安全至關(guān)重要。路由協(xié)議在方便路由信息管理和傳遞的同時［3］，也存在一些缺陷，如：協(xié)議本身缺乏對等體間的認(rèn)證機(jī)制；傳送的路由信息等內(nèi)容缺乏加密機(jī)制；路由協(xié)議通過TCP、UDP或IP協(xié)議傳送，從而TCP、UDP和IP協(xié)議本身的缺陷或?qū)崿F(xiàn)漏洞將直接威脅路由系統(tǒng)的安全［4］。

利用路由協(xié)議漏洞實(shí)施的攻擊破壞性強(qiáng)、影響范圍大，可實(shí)施的攻擊包括：路由表偽造攻擊、路由欺騙、拒絕服務(wù)攻擊、路由震蕩攻擊和重放攻擊等。因此，加強(qiáng)路由協(xié)議的安全性就成為了提高網(wǎng)絡(luò)可靠穩(wěn)定運(yùn)行能力的重中之重。

IS-IS路由協(xié)議是目前內(nèi)部網(wǎng)關(guān)協(xié)議的主流協(xié)議之一，由于其在大型網(wǎng)絡(luò)環(huán)境中性能優(yōu)、穩(wěn)定性好、收斂快和可擴(kuò)展性強(qiáng)，已被大多數(shù)ISP網(wǎng)絡(luò)用作骨干路由協(xié)議［5］。所以如何保證 IS-IS協(xié)議的安全、防止惡意攻擊就成為了確保網(wǎng)絡(luò)正常可靠運(yùn)行的關(guān)鍵問題。

但目前域內(nèi)路由協(xié)議安全性研究方面的主要成果集中在OSPF路由協(xié)議，對于IS-IS路由協(xié)議安全增強(qiáng)方法的研究較少。本文將基于數(shù)字證書實(shí)現(xiàn)雙向身份認(rèn)證的方法應(yīng)用于IS-IS協(xié)議，確保了協(xié)議對等體之間的相互信任，并在此過程中產(chǎn)生會話密鑰。同時利用IS-IS協(xié)議報(bào)文使用TLV擴(kuò)展性好的優(yōu)點(diǎn)，通過增加專用安全認(rèn)證TLV，實(shí)現(xiàn)IS-IS協(xié)議的完整性保護(hù)，增強(qiáng)協(xié)議的安全性和抗攻擊能力。

1 IS-IS協(xié)議

為了實(shí)現(xiàn)廣泛的網(wǎng)際互連，國際標(biāo)準(zhǔn)化組織（ISO）于20世紀(jì)80年代提出了開放系統(tǒng)互連體系（OSI）即7層網(wǎng)絡(luò)模型，并同ITU-T一起設(shè)計(jì)了一種名為OSI的網(wǎng)絡(luò)協(xié)議。為了實(shí)現(xiàn)對ISO的無連接網(wǎng)絡(luò)協(xié)議（CLNP）進(jìn)行路由選擇，ISO提出了IS-IS路由協(xié)議。由于IP協(xié)議的應(yīng)用遠(yuǎn)比OSI開放系統(tǒng)應(yīng)用廣泛，發(fā)展迅猛，為增加對IP協(xié)議的路由選擇能力，IETF對IS-IS進(jìn)行了擴(kuò)充（RFC1195），可以同時支持OSI和TCP/IP雙重環(huán)境，這個協(xié)議稱為集成IS-IS，也叫雙IS-IS［6］。

作為一種鏈路狀態(tài)路由選擇協(xié)議，IS-IS具有良好的可擴(kuò)展性。IS-IS支持分層路由以用于大型網(wǎng)絡(luò)，它將一個域分為多個L1路由區(qū)域，L1路由區(qū)域間通過L2域連接。同一L1區(qū)域內(nèi)使用L1路由，不同L1區(qū)域間使用L2路由互通，L2域稱為骨干路由域［7］。

1.1 IS-IS協(xié)議報(bào)文

在IS-IS中，路由協(xié)議使用3大類報(bào)文：Hello報(bào)文、鏈路狀態(tài)數(shù)據(jù)包（Link State Packets，LSP）和序列號數(shù)據(jù)包（Sequence Numbers Packets，SNP）。Hello報(bào)文用來建立和維持IS-IS路由器之間的鄰接關(guān)系；LSP鏈路狀態(tài)數(shù)據(jù)包用來承載和泛洪路由器的鏈路狀態(tài)信息，并且鏈路狀態(tài)數(shù)據(jù)庫是路由器進(jìn)行SPF計(jì)算的依據(jù)；SNP用來進(jìn)行鏈路狀態(tài)數(shù)據(jù)庫的同步，并且用來對LSP進(jìn)行請求和確認(rèn)。通過使用這些數(shù)據(jù)包，IS-IS完成鄰接關(guān)系的建立、鏈路狀態(tài)信息的擴(kuò)散和鏈路狀態(tài)數(shù)據(jù)庫的同步。

每種類型報(bào)文PDU都有一個特定的類型號，路由器通過類型號來識別所收到的PDU報(bào)文類型。IS-IS協(xié)議PDU類型如表1所示。

表1　IS-IS協(xié)議PDU類型

所有IS-IS PDU起始的8個字節(jié)都是數(shù)據(jù)報(bào)頭的頭部字段，并且對于所有的PDU數(shù)據(jù)包類型都是相同的，如圖1所示。

圖1　IS-IS報(bào)頭字段

跟在各種類型IS-IS PDU報(bào)頭之后的是TLV （Type/Length/Value）字段，PDU報(bào)頭與TLV字段構(gòu)成一個完整的IS-IS PDU。使用TLV的最大優(yōu)點(diǎn)就是增強(qiáng)了協(xié)議的擴(kuò)展性，當(dāng)需要擴(kuò)展協(xié)議的功能時，只需要定義新的TLV就可以。

1.2 IS-IS協(xié)議工作流程

1.2.1 連接關(guān)系的建立和維護(hù)

IS-IS相鄰路由器之間利用周期性發(fā)送Hello PDU建立并維護(hù)鄰接關(guān)系。IS-IS路由協(xié)議把網(wǎng)絡(luò)分為點(diǎn)對點(diǎn)子網(wǎng)和廣播子網(wǎng)2種子網(wǎng)類型。在點(diǎn)對點(diǎn)子網(wǎng)中，IS傳送點(diǎn)對點(diǎn)的IIH PDU到不屬于外部路由域的鏈路上。IS-IS協(xié)議要求點(diǎn)對點(diǎn)鏈路兩端的IS應(yīng)先交換IIH PDU，以便雙方確認(rèn)對方的IS身份，并回應(yīng)點(diǎn)對點(diǎn)IIH建立鄰接關(guān)系。IS根據(jù)保持時間字段的數(shù)值來更新本地鄰居列表中的相應(yīng)記錄；在廣播網(wǎng)絡(luò)上，IS根據(jù)所在層發(fā)送Hello PDU，接收L1鄰居IIH和L2鄰居IIH，建立鄰接關(guān)系。

1.2.2 鏈路狀態(tài)信息的交互和維護(hù)

IS-IS需要在每一路由器上維護(hù)鏈路狀態(tài)數(shù)據(jù)庫，以達(dá)到各路由器對網(wǎng)絡(luò)鏈路狀態(tài)的一致描述。當(dāng)鏈路狀態(tài)、網(wǎng)絡(luò)拓?fù)浠蚺渲冒l(fā)生變化時，IS-IS使用LSP通告給其他路由器。路由器周期性地把自己或偽節(jié)點(diǎn)的鄰接關(guān)系廣播到所有鏈路，與其他路由器交互本地地址、L1的IS鄰接關(guān)系、L1的ES鄰接關(guān)系、L2的IS鄰接關(guān)系以及鏈路狀態(tài)信息。當(dāng)狀態(tài)發(fā)生變化時，產(chǎn)生帶有新的序列號的LSP。其他路由器收到新序列號的LSP后，將LSP存儲到鏈路狀態(tài)數(shù)據(jù)庫中，并對LSP進(jìn)行轉(zhuǎn)發(fā)，擴(kuò)散到其他節(jié)點(diǎn)。

IS-IS使用序列號PDU來確認(rèn)收到報(bào)文和維護(hù)鏈路狀態(tài)同步，序列號 PDU分為兩種 PSNP和CSNP。點(diǎn)對點(diǎn)網(wǎng)絡(luò)中使用PSNP進(jìn)行LSP確認(rèn)和LSP同步；廣播網(wǎng)絡(luò)中，使用CSNP來發(fā)布所有LSP的摘要信息。相鄰IS收到摘要信息后判斷LSP的時效性，如果收到的CSNP中包含新的LSP，則回送PSNP申請自己需要的LSP，收到新的LSP后存入鏈路狀態(tài)數(shù)據(jù)庫，從而達(dá)到鏈路狀態(tài)數(shù)據(jù)庫的一致。

2 IS-IS協(xié)議缺陷性分析

2.1 內(nèi)建安全機(jī)制缺陷

IS-IS協(xié)議通過自身的安全機(jī)制保證協(xié)議的正常運(yùn)行。但這些安全機(jī)制存在很多漏洞，使攻擊者實(shí)現(xiàn)路由攻擊成為可能。

2.1.1 IS-IS層次化的路由機(jī)制缺陷

IS-IS引入了區(qū)域的概念，這種路由機(jī)制雖然可以減小攻擊的影響范圍，但是不能防止攻擊的發(fā)生，并且當(dāng)攻擊者攻擊一個LEVEL-1-2路由器，或者攻擊實(shí)體假冒一個LEVEL-1-2路由器，層次化的路由機(jī)制不但不能起到防護(hù)功能，反而會使攻擊變得非常容易。

2.1.2 IS-IS的泛洪機(jī)制的缺陷

泛洪機(jī)制使得IS-IS具有一定的自我糾錯能力，通常被稱作反擊機(jī)制，可以在一定程度上抵御惡意攻擊。但是攻擊者依然可以利用反擊機(jī)制實(shí)現(xiàn)拒絕服務(wù)攻擊等。當(dāng)攻擊者假冒某個路由器產(chǎn)生一個錯誤的路由信息，并泛洪到路由域的每個路由器，真正的路由器接收到該路由信息后，將會觸發(fā)反擊機(jī)制。如果攻擊者以一定頻率發(fā)送攻擊報(bào)文，則會引起路由器不斷糾正路由錯誤，使得路由發(fā)生振蕩，更甚者導(dǎo)致網(wǎng)絡(luò)癱瘓。例如：路由器不能低于最小LSP傳輸間隔更新或發(fā)出一個LSP，如果攻擊者以更高速率和更高的序號泛洪惡意的LSP，LSP擁有者不會在域內(nèi)修正成功該LSP，反而會幫助攻擊者完成攻擊。

2.1.3 報(bào)文的認(rèn)證機(jī)制的缺陷

IS-IS協(xié)議提供2種認(rèn)證方式：明文認(rèn)證和MD5認(rèn)證。使用明文認(rèn)證時，口令以明文方式在網(wǎng)絡(luò)中傳輸，任何可訪問到該網(wǎng)絡(luò)的人都可以在網(wǎng)絡(luò)中輕松獲得該口令，有了明文口令后，攻擊者可以很容易偽造和篡改報(bào)文，而在域內(nèi)的路由器看來，這些報(bào)文都是合法的，會被作為正確報(bào)文接收，更改域內(nèi)路由信息，進(jìn)而危及IS-IS路由域的安全?？梢?，在這種認(rèn)證類型下，路由信息的安全性基本上得不到保障。

相對于明文認(rèn)證，MD5認(rèn)證就提供了更高級別的安全性，但其缺陷依然很明顯。使用MD5認(rèn)證時，由于共享密鑰從不在網(wǎng)絡(luò)中傳輸，所以排除了在網(wǎng)絡(luò)中被竊取的可能。但這并不意味著完全的安全，MD5算法現(xiàn)在已證明能夠被破解，當(dāng)其被破解時，攻擊者可以成功入侵路由域，實(shí)施攻擊行為。

2.2 IS-IS報(bào)文缺陷

2.2.1 Hello報(bào)文字段缺陷

Hello報(bào)文頭部中的字段發(fā)生錯誤的時候，驗(yàn)證不通過，會導(dǎo)致報(bào)文的丟棄。所以，只要篡改報(bào)文的某些字段，例如：路由選擇協(xié)議鑒別符、類型和區(qū)域地址等等，就可以造成鄰居Hello報(bào)文不被其他路由器接收，影響鄰接關(guān)系。

Hello報(bào)文的重要作用就是建立和維持鄰居關(guān)系，它周期性地發(fā)出，確保鄰居間雙向通訊。因此，周期性的Hello報(bào)文直接關(guān)系著鄰居關(guān)系的維持。如果在規(guī)定周期內(nèi)路由器沒有接收到鄰居路由器的Hello報(bào)文，將被視為鄰接關(guān)系被破壞。和其他的破壞鄰接關(guān)系的結(jié)果一樣，會帶來一系列問題，使得路由器更新自身LSP，重新進(jìn)行SPF計(jì)算等等。

2.2.2 LSP頭部缺陷

在IS-IS路由協(xié)議中，LSP是其主要交互內(nèi)容，IS-IS中對鏈路狀態(tài)信息的描述都是封裝在LSP中發(fā)布出去。LSP在本路由器的鏈路狀態(tài)數(shù)據(jù)庫中會隨時間老化。剩余生存時間字段是一個跟蹤LSP生存時間的定時器。當(dāng)LSP剩余生存時間字段的值減少為零時，此LSP將被清除，通過泛洪機(jī)制能到達(dá)的所有路由器中也將會被同時清除。當(dāng)發(fā)生這種情況后，發(fā)現(xiàn)剩余生存時間超時的路由器產(chǎn)生一個剩余生存時間為0、序列號更高的新LSP啟動清除過程。這一過程若被惡意攻擊者利用，則會導(dǎo)致不必要的泛洪和LSDB刷新，引起路由震蕩。

序列號字段標(biāo)識一個LSP的序列號，其他路由器根據(jù)這個值來判斷哪個LSP是最新的，它是一個32位符號整數(shù)。路由器在第一次生成任何LSP的時候使用初始序列號，當(dāng)有新的LSP時，序號加一。當(dāng)試圖增加最大序列號0xfffffffe時，必須先將當(dāng)前LSP從路由域中廢止，這通過將LSP老化并重新泛洪實(shí)現(xiàn)。但如果未能及時通過泛洪清除此LSP，則會發(fā)送回滾后的最小序號的LSP，任何新發(fā)出的實(shí)例序號都小于最大序號的LSP，將不被接收。攻擊者可以在路由器中插入此類偽造的LSP，作用時間是最大生存時間+零壽命生存時間。

3 安全I(xiàn)S-IS協(xié)議設(shè)計(jì)及實(shí)現(xiàn)

3.1 設(shè)計(jì)思想

安全I(xiàn)S-IS是在IS-IS協(xié)議基礎(chǔ)上進(jìn)行安全加固實(shí)現(xiàn)的。安全I(xiàn)S-IS路由協(xié)議采用數(shù)字證書作為標(biāo)識協(xié)議實(shí)體有效身份信息的載體，在協(xié)議報(bào)文交互之前首先必須通過協(xié)議對等體的雙向認(rèn)證，雙向認(rèn)證通過后產(chǎn)生會話密鑰，后續(xù)則在協(xié)議報(bào)文中利用會話密鑰生成新的安全認(rèn)證TLV增加到報(bào)文中，為IS-IS報(bào)文提供鄰居間報(bào)文信息交互的完整性保護(hù)和認(rèn)證機(jī)制。

3.2 協(xié)議對等體認(rèn)證

協(xié)議對等體認(rèn)證過程是在經(jīng)典的 Needham-Schroeder公鑰認(rèn)證協(xié)議的修訂版基礎(chǔ)之上改進(jìn)實(shí)現(xiàn)的。協(xié)議參與主體雙方都事先擁有自己的證書，同時證書的私鑰只有證書持有人本人知道。認(rèn)證過程如圖2所示，分為2個階段：自適應(yīng)組網(wǎng)階段和雙向認(rèn)證階段。

圖2　協(xié)議對等體認(rèn)證過程

3.2.1 自適應(yīng)組網(wǎng)階段

節(jié)點(diǎn)A和節(jié)點(diǎn)B識別到物理鏈路UP后，分別向?qū)Ψ桨l(fā)送自適應(yīng)組網(wǎng)報(bào)文，報(bào)文內(nèi)容包含各自的設(shè)備IP地址和初始鄰居數(shù)。

節(jié)點(diǎn)A和節(jié)點(diǎn)B收到對端節(jié)點(diǎn)的自適應(yīng)組網(wǎng)報(bào)文后，分別記錄對端節(jié)點(diǎn)的設(shè)備IP地址，在后續(xù)發(fā)送自適應(yīng)組網(wǎng)時報(bào)文內(nèi)容為自身設(shè)備IP地址、已識別的鄰居數(shù)及鄰居節(jié)點(diǎn)的設(shè)備IP地址。節(jié)點(diǎn)B收到節(jié)點(diǎn)A的自適應(yīng)組網(wǎng)報(bào)文，發(fā)現(xiàn)節(jié)點(diǎn)A的鄰居地址中包含自身的設(shè)備IP地址，節(jié)點(diǎn)所記錄的鄰居列表中也包含節(jié)點(diǎn)A的設(shè)備IP地址，節(jié)點(diǎn)B與節(jié)點(diǎn)A構(gòu)建鄰接關(guān)系，即雙向鄰居關(guān)系。同理，節(jié)點(diǎn)A也與節(jié)點(diǎn)B構(gòu)建雙向鄰接關(guān)系。

雙向鄰接關(guān)系建立后，根據(jù)設(shè)備IP地址自動選取認(rèn)證的客戶端和服務(wù)器端，由客戶端首先發(fā)起認(rèn)證請求。

3.2.2 雙向認(rèn)證階段

協(xié)議雙向認(rèn)證的具體流程和詳細(xì)處理過程如下：

①A生成ClientHello：A生成一個新鮮的隨機(jī)數(shù)NA，將A的證書、身份標(biāo)識A和隨機(jī)數(shù)NA一起發(fā)送到B。

②B收到ClientHello后，驗(yàn)證A的證書有效性，驗(yàn)證通過后，B生成一個新鮮的隨機(jī)數(shù)NB，使用B的私鑰對［B，NB］進(jìn)行簽名后，與身份標(biāo)識B、隨機(jī)數(shù)NA和NB一同使用A的公鑰加密，并連同B的證書一起發(fā)送給A。

③A收到ServerHello后，驗(yàn)證B的證書有效性，驗(yàn)證通過后，使用A的私鑰對消息進(jìn)行解密得到NA，B，NB和［B，NB］KB-1，驗(yàn)證NA是否是自己發(fā)送的隨機(jī)數(shù)，驗(yàn)證通過后，使用B的公鑰驗(yàn)證簽名，驗(yàn)證通過后，A生成一個新鮮的隨機(jī)數(shù)NA1，A將［A，NA1］使用自己的私鑰簽名后，再連同NB一起使用B的公鑰加密后發(fā)送給B。

④B收到ClientFinish后，使用B的私鑰對消息進(jìn)行解密得到NB，NA1和［A，NA1］KA-1，驗(yàn)證NB是否是自己發(fā)送的隨機(jī)數(shù)，驗(yàn)證通過后，使用A的公鑰驗(yàn)證簽名，驗(yàn)證通過后，B將NA1使用自己的私鑰簽名后，再用A的公鑰加密后發(fā)送給A，通知A身份驗(yàn)證通過。

⑤A收到ServerFinish，恢復(fù)出NA1，驗(yàn)證是否是自己發(fā)出的隨機(jī)數(shù)，驗(yàn)證通過后，雙向認(rèn)證完成。

⑥認(rèn)證完成后，可以使用雙方共享的NA1和NB作為雙方會話密鑰材料，會話密鑰按如下方式產(chǎn)生：密鑰塊=H（NA1，NB，A，B，“A”）+H（NA1，NB，A，B，“BB”）+H（NA1，NB，A，B，“CCC”）+［…］。這種產(chǎn)生方式，一共需要6次哈希運(yùn)算，每次產(chǎn)生20個字節(jié)，且每次運(yùn)算結(jié)果不會重復(fù)，充分保證會話密鑰SK的安全性。

3.3 協(xié)議的安全擴(kuò)展

IS-IS協(xié)議報(bào)文采用 TLV結(jié)構(gòu)，便于協(xié)議擴(kuò)展，安全I(xiàn)S-IS協(xié)議通過增加專用安全認(rèn)證TLV定義，使其具有安全支持能力。攜帶安全認(rèn)證TLV的IS-IS協(xié)議報(bào)文格式如圖3所示。

圖3　攜帶專用安全認(rèn)證TLV的IS-IS報(bào)文格式

攜帶安全認(rèn)證信息的IS-IS使用HMAC-SHA-1產(chǎn)生報(bào)文的完整性保護(hù)信息。當(dāng)路由器產(chǎn)生攜帶安全認(rèn)證信息的協(xié)議報(bào)文時，首先生成原始報(bào)文的摘要，再使用雙向認(rèn)證過程中所產(chǎn)生的會話密鑰，對摘要信息進(jìn)行加密，使用加密后的摘要信息生成類型為251的專用安全認(rèn)證TLV插入到原始PDU報(bào)頭之后，從而生成攜帶安全認(rèn)證信息的協(xié)議報(bào)文，按照協(xié)議規(guī)程進(jìn)行發(fā)送。

當(dāng)其他路由器接收到攜帶安全認(rèn)證信息的協(xié)議報(bào)文時，利用會話密鑰計(jì)算得出加密后的摘要；同時計(jì)算原始報(bào)文的摘要信息，與經(jīng)過加密的摘要比較，如果二者一致，則證明該協(xié)議報(bào)文在傳輸過程中沒有被修改，可以進(jìn)行進(jìn)一步接收處理，反之協(xié)議報(bào)文不被確認(rèn)應(yīng)丟棄。

3.4 安全I(xiàn)S-IS協(xié)議的軟件實(shí)現(xiàn)

安全I(xiàn)S-IS協(xié)議軟件的模塊組成如圖4所示，主要由認(rèn)證處理模塊、協(xié)議報(bào)文收發(fā)驗(yàn)證模塊、數(shù)據(jù)庫管理模塊和鄰居管理模塊等組成。

圖4 軟件組成示意

圖4中，認(rèn)證處理模塊實(shí)現(xiàn)協(xié)議對等體的雙向認(rèn)證及協(xié)議報(bào)文安全認(rèn)證信息的生成及驗(yàn)證功能。

協(xié)議報(bào)文收發(fā)驗(yàn)證模塊完成IS-IS協(xié)議報(bào)文的收發(fā)及攜帶安全認(rèn)證信息的協(xié)議報(bào)文生成及解析功能。

數(shù)據(jù)庫管理模塊是IS-IS協(xié)議的核心模塊，實(shí)現(xiàn)的功能主要包括：周期性地把自己或偽節(jié)點(diǎn)的鄰接關(guān)系廣播到所有鏈路、與其他路由器交互鄰接關(guān)系以及鏈路狀態(tài)信息。當(dāng)鏈路狀態(tài)發(fā)生變化時，產(chǎn)生帶有新的序列號的LSP。將新序號的LSP存儲到鏈路狀態(tài)數(shù)據(jù)庫中，并對LSP進(jìn)行轉(zhuǎn)發(fā)擴(kuò)散。根據(jù)鏈路狀態(tài)數(shù)據(jù)庫計(jì)算IS-IS路由表。

鄰居管理模塊通過端口信息接口監(jiān)視端口狀態(tài)的改變，負(fù)責(zé)鄰居鄰接關(guān)系的創(chuàng)建和維持。

IS-IS協(xié)議軟件通過路由輸出接口向路由表管理模塊發(fā)送IS-IS路由表，并從路由表管理模塊接收其他路由協(xié)議如OSPF和BGP等所產(chǎn)生的路由信息；通過端口信息接口從鏈路層獲得當(dāng)前物理端口狀態(tài)信息；通過數(shù)據(jù)收發(fā)接口向鏈路層發(fā)送IS-IS協(xié)議包，以及從鏈路層接收IS-IS協(xié)議包；通過配置管理接口接收來自網(wǎng)管代理軟件的管理信息，實(shí)現(xiàn)ISIS協(xié)議的參數(shù)配置及查詢。

4 結(jié)束語

本文提出的基于數(shù)字證書作為標(biāo)識協(xié)議實(shí)體有效身份信息載體的協(xié)議對等體認(rèn)證機(jī)制和協(xié)議安全擴(kuò)展方法，保證了協(xié)議主體的活現(xiàn)性和消息的新鮮性，所生成的會話密鑰具有保密性、新鮮性和主體關(guān)聯(lián)性，實(shí)現(xiàn)了雙向認(rèn)證安全、雙向密鑰協(xié)商安全及協(xié)議報(bào)文交互的完整性保護(hù)，并在此基礎(chǔ)上進(jìn)行了協(xié)議的設(shè)計(jì)實(shí)現(xiàn)和試驗(yàn)驗(yàn)證。試驗(yàn)結(jié)果表明，IS-IS協(xié)議的安全改進(jìn)方法可為提高網(wǎng)絡(luò)基礎(chǔ)協(xié)議安全性提供一種解決途徑。

［1］ 吳 巍.賽博空間發(fā)展現(xiàn)狀與通信網(wǎng)絡(luò)安全問題［J］.無線電通信技術(shù)，2012，38（3）：1-4.

［2］ 李吉良.下一代網(wǎng)絡(luò)路由交換關(guān)鍵技術(shù)研究［J］.無線電通信技術(shù)，2008，34（2）：1-5.

［3］ DOYLE Jeff.Routing TCP/IPVolume 1［M］.葛建立，吳建章，譯.北京：人民郵電出版社，2002.

［4］ 楊 靜，謝 蒂，王 雷.OSPF路由協(xié)議的安全分析及其漏洞防范［J］.山東大學(xué)學(xué)報(bào)（工學(xué)版），2003，33 （5）：550-553.

［5］ 康京山，韓春剛.集成 IS-IS路由選擇協(xié)議的研究［J］.無線電通信技術(shù)，2007，33（2）：4-7.

［6］ IETF RFC1195.Use of OSI IS-IS for Routing in TCP/IP and DualEnvironments［S］，1990.

［7］ MARTEY A.IS-IS網(wǎng)絡(luò)設(shè)計(jì)解決方案［M］.凡 璇，譯.北京：人民郵電出版社，2002.

A Secure IS-IS Routing Protocol Based on Digital Certificate

LIU Yu-zhen1，2，LI Heng2，LI Bing-zhang2
（1.Science and Technology on Information Transmission and Dissemination in Communication Networks Laboratory，Shijiazhuang Hebei 050081，China；2.The 54th Research Institute of CETC，Shijiazhuang Hebei 050081，China）

To improve the security of the IS-IS routing protocol and increase the defensive ability against network attacks，the defects of the IS-IS routing protocol are discussed by analyzing the protocol packets and mechanisms.This paper proposes a security extension method of IS-IS protocol on the authentication process between protocol peers and the definition of the protocol packet，and designs secure IS-IS protocol software.The experiment results show that the proposed security extension method can effectively improve the security of IS-IS protocol.

routing protocol；IS-IS；digital certificate；security extension

TN393

A

1003-3106（2016）05-0017-05

10.3969/j.issn.1003-3106.2016.05.05

2016-01-23

劉玉貞 女，（1972—），碩士，高級工程師。主要研究方向：通信網(wǎng)絡(luò)以及路由技術(shù)。

李 珩 男，（1981—），碩士，高級工程師。主要研究方向：通信網(wǎng)絡(luò)以及路由技術(shù)。