域內路由協議安全可信機制研究與實現.pdf

1、隨著Internet技術的普及和迅速發(fā)展，各種網絡服務（云計算、電子商務、物聯網、視頻會議等）已經和我們的日常工作和生活緊密相連，但Internet中IGP協議路由安全可信機制還不夠完善。運行IGP的路由器通過鏈路狀態(tài)數據庫同步來獲得整個網絡的拓撲結構，但是在這些鏈路狀態(tài)路由信息在數據同步過程中保護機制不健全，面臨著被攻擊等威脅。針對IGP路由協議的攻擊呈現出增長的趨勢，所以研究IGP路由協議的安全可信機制非常重要。
　　本文對O

2、SPF和IS-IS兩種域內路由協議在工作機制、收斂性、可擴展性和安全性方面進行了深入的對比研究，得出OSPF和IS-IS兩種協議的優(yōu)缺點和適用性。OSPF具有更豐富的路由策略、多種區(qū)域類型、協議數據包和電路類型，更適合中小型網絡和企業(yè)使用。IS-IS相對簡單、穩(wěn)定和可擴展性好，在巨量路由條目的情況下，IS-IS的處理比OSPF更有效率，更適合網絡運營商和ISP部署。另外，通過實驗測試，在相同網絡環(huán)境條件下，OSPF和集成IS-IS收斂時

3、間基本在5.6秒左右，兩種協議的收斂時間基本相等，如果除去5秒的SPF計算等待時間，OSPF比集成IS-IS的收斂時間快10％左右。
　　在OSPF協議的路由安全可信機制方面，一方面，采用基于LSA數字簽名與認證技術來進行路由器鏈路狀態(tài)數據庫的同步，增強路由信息的安全性，另一方面，基于最新的類SDN架構-I2RS（Interface torouting system）網絡架構提出了一種新的OSPF集中可信驗證框架。在該框架下，路由

4、器內部實現一個可信驗證代理，路由器RIB Manager向可信代理開放IGP協議路由信息的北向接口，并定義接口功能，接口數據交互報文格式，實現可信代理模塊對OSPF進程中路由信息的讀寫操作?？尚糯戆崖酚尚畔魉徒o遠端的集中路由可信驗證服務器，路由集中可信驗證對路由域內所有路由器上的路由信息進行數據一致性驗證，對受外部入侵者篡改、插入等虛假路由信息向可信代理下發(fā)反饋的路由策略，可信代理模塊進行相應操作，從而形成對路由信息的閉環(huán)控制結構。