基于SDN的互联网域间路由研究

互联网流量的爆发式增长,叠加互联网流量固有的突发性特点,使得网络流量不均衡现象日益加剧。传统BGP协议由于缺乏全网拓扑和全局流量观,只能遵循标准BGP选路原则,在解决流量调度和负载均衡方面存在不足。针对BGP协议存在的局限性,研发了基于RR+的互联网骨干网流量调度系统,并应用于ChinaNet骨干网的网内中继、网间互联出口、IDC出口等多个流量优化场景。更进一步地,提出了一种基于SDN的互联网域间路由架构,通过在域间控制器之间交换BGP路由,无需在域内和域间运行BGP协议,极大地简化了网络协议,并能够实现灵活的流量调度和负载均衡。     

基于度约束最小生成树的域间路由恢复算法

低速拒绝服务攻击对于域间路由系统造成威胁,已有失效恢复算法未能有效解决恢复拓扑计算的时间复杂度高和节点聚合控制等问题,为此,提出一种基于度约束最小生成树的失效恢复算法.通过设计基础迁移子算法和复杂迁移子算法,在满足度约束的条件下根据遭袭路由系统生存拓扑构建新的恢复拓扑,并针对上述两类迁移子算法,分别提出关键点选择子算法,用于判定和计算迁移过程所需的关键节点.理论分析和仿真实验结果证明,该算法生成的恢复拓扑在有效控制节点度的同时,具有较优的性能.     

改进型基于MPLS的HMIPv6的快速切换

针对现有的多协议标签交换(MPLS)和层次移动IPv6(HMIPv6)融合的方案仍然存在时延大、丢包率高等问题,提出了一种改进的基于MPLS的HMIPv6方案。本方案通过将多播技术应用于移动锚点(MAP),并且在切换完成之前提前完成新链路上标签交换路径(LSP)的建设,实现了移动节点(MN)移交切换时延的最小化,使得在切换过程中大大降低服务中断现象,最大限度地保证新链路建立完成之前数据包不被丢失。最后通过NS-2仿真与比较,结果表明本方案跟现有方案相比能够大大减少移动过程中的丢包率和传输时延,提高移动IP     

基于关键节点的域间路由安全机制

BGP作为Internet域间路由的基本协议, 其安全问题一直受到学界的关注, 特别是安全性与实现难度之间的折中。针对传统解决方案S-BGP(secure BGP)的不足, 在定义关键节点KN(key node)的基础上, 利用KN对路由信息安全验证的特殊功能, 提出了更加轻量级的解决方案——基于关键节点的域间路由安全机制 SR-KN(secure routing based on key node)。通过对比分析表明, SR-KN在保证BGP安全的前提下, 减少了全网证书规模及存储量, 且具有更好的收敛性能。     

自动交换光网络E-NNI研究

本文研究了自动交换光网络E-NNI的定义、参考位置和E-NNI业务调用配置方式.分析了E-NNI路由、信令和保护恢复及自动发现的协议进展、需求、框架和实现方式.     

ASON管理系统的设计和实现

文章提出了一种分层的域间自动交换光网络管理系统方案，设计了相关的网络管理信息模型，并对ASON管理系统的关键实现技术进行了介绍，最后给出了所实现的ASON管理系统的部分试验结果。     

一种多级跨域访问控制管理模型

访问控制管理为维护访问控制策略的安全、一致提供了重要保障。针对现有访问控制管理模型存在指派关系复杂、扩展性差、缺乏对跨域访问管理有效支撑的问题,结合多级跨域系统特性和访问控制管理的细粒度要求,文章提出了多级跨域访问控制管理模型,给出了模型的基本元素、元素关系、约束条件和管理规则。与现有研究相比,该模型具有良好的可扩展性,支持细粒度的管理操作,能够有效支撑多级跨域环境下安全、统一的访问控制管理。     

实现域间路由系统安全的系统化方法和有效工具

本文在全面分析域间路由安全威胁的基础上提出实现域间路由安全的系统化方法，从安全策略检测、路由协议增强、路由器健壮性设计、路由行为监测以及安全能力测试等多个角度来增强域间路由系统的安全能力，并建立域间路由系统的安全能力模型；探讨了各种安全功能的交互关系、多视图之间的互补与合作以及安全能力部署等问题；同时，，给出了路由器安全配置检测工具、安全测试工具和路由监测系统的基本实现方案。     

下一代互联网域间路由安全：威胁与对策

基于BGP的域间路由系统是下一代互联网的关键基础设施.本文系统地分析了下一代互联网域间路由系统的脆弱性,建立了下一代互联网域间路由的攻击模型对各种攻击目标和攻击方式进行描述,并从多个层次对BGP-4和BGP4＋的安全能力进行分析与比较.此外,我们给出了路由攻击检测系统方案,该方法可有效实现域间路由系统的安全控制     

支持域间分布式分组过滤的BGP扩展

可信任是下一代互联网的重要特征.目前,互联网的路由系统只按照分组的目的IP地址转发分组,携带虚假源IP地址的伪造分组也会被传输到目的地,这会在威胁接收方安全的同时,隐藏发送方的真实身份.可信任互联网的路由系统不仅需要能够正确地转发分组,而且能够验证分组来自正确的发送方.基于路由的域间分布式分组过滤是过滤伪造分组的有效方法.提出了BGP的路由选择通知功能扩展,为域间分组过滤提供过滤标准.在扩展的支持下,边界路由器能够鉴别进入本自治系统的分组的真实性,过滤掉伪造其他自治系统地址的分组.模拟结果表明,路由选择通知不会对BGP正常的路由功能产生负面影响,选择合理的路由选择时钟参数,可以在同时取得较小带宽开销和较快收敛速度的情况下,为域间分布式分组过滤提供支持.