[go: up one dir, main page]

WO2010110530A1 - Ipv6 네트워크 내 호스트 차단 및 탐색방법 - Google Patents

Ipv6 네트워크 내 호스트 차단 및 탐색방법 Download PDF

Info

Publication number
WO2010110530A1
WO2010110530A1 PCT/KR2010/000263 KR2010000263W WO2010110530A1 WO 2010110530 A1 WO2010110530 A1 WO 2010110530A1 KR 2010000263 W KR2010000263 W KR 2010000263W WO 2010110530 A1 WO2010110530 A1 WO 2010110530A1
Authority
WO
WIPO (PCT)
Prior art keywords
host
packet
blocking
information
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/KR2010/000263
Other languages
English (en)
French (fr)
Inventor
서승호
문해은
이동호
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Netman Co Ltd
Original Assignee
Netman Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Netman Co Ltd filed Critical Netman Co Ltd
Priority to CN201080002700.4A priority Critical patent/CN102165741B/zh
Priority to JP2011525998A priority patent/JP4975190B2/ja
Priority to US13/121,681 priority patent/US8189580B2/en
Publication of WO2010110530A1 publication Critical patent/WO2010110530A1/ko
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • the present invention relates to a host blocking and discovery method in an IPv6 network, and more particularly, to a host blocking and discovery method in an IPv6 network using a neighbor discovery protocol (NDP) in an IPv6 network environment.
  • NDP neighbor discovery protocol
  • IPv4 a 32-bit address system
  • Citing information from the Korea Internet & Security Agency IPv6 portal http://IPv6.vsix.net) predicts that IPv4 addresses will be exhausted after about 791 days as of January 20, 2009.
  • IPv6.vsix.net the transition from IPv4 network to IPv6 network is already in progress, and the demand for using IPv6 is increasing.
  • IPv6 supports automatic configuration of IP address. When it is automatically assigned, it is necessary to check the IP of all devices and maintain the information in terms of managing network resources.
  • An object of the present invention is to find a host discovery method for efficient management of main network resources in an IPv6 environment, and to block and discover hosts in an IPv6 network that can establish a higher level of security by blocking unauthorized network access. To provide a method.
  • the present invention transmits a Neighbor Solicitation (NS) packet in which an IP to be searched is set at an ICMPv6 target address to the network, requesting host information for the discovery IP, and then transmits the host. Waiting for a predetermined time in consideration of the processing speed and transmission rate according to the network environment and state, determining whether a NA (Neighbor Advertisement) packet of the IP to be searched after the predetermined time is received, and the NA for the request packet If a packet is received, obtaining host information from the packet.
  • NA Neighbor Advertisement
  • a step of requesting router information by transmitting a RS (Router Solicitation) packet to a network, waiting for a predetermined time in consideration of the processing speed of the router and the transmission speed according to the network environment and state after the packet transmission Determining whether a Router Advertisement (RA) packet is received after waiting for a predetermined time, and if the RA packet for the request packet is received, obtaining router information from the packet.
  • RS Raster Solicitation
  • the method comprises: capturing an NDP packet, determining whether the captured packet is one of RS, NS, NA, and if the determination result is one of RS, NS, NA, the host in the captured packet. Acquiring the information, or obtaining the router information from the captured packet if the RA is the determination result.
  • the host information may optionally further include field information of a NA (Neighbor Advertisement) packet.
  • NA Neighbor Advertisement
  • the router information includes link-layer address information and IP address information.
  • the router information may further include field information of a Router Advertisement (RA) packet.
  • RA Router Advertisement
  • an IP address and a link-layer address of host information or router information are managed as a list.
  • a policy for network blocking of a host if a policy for network blocking of a host is set, capturing a neighbor discovery protocol (NDP) packet in a network, and determining whether to include a blocking policy according to the type of the captured packet. And, if the determination result is included in the blocking policy, blocking the host by generating a modulated NA packet for the host IP and transmitting the multicast packet to a multicast or unicast IP.
  • NDP neighbor discovery protocol
  • NA packets modulated with respect to the blocking host IP are received. And generating and transmitting the multicast or unicast IP to block the host.
  • a modulated NA packet is set by setting a link-layer address of a neighbor advertisement packet (NA) to a virtual link layer address or a specific link layer address that does not exist in a corresponding network.
  • the host may be blocked by multicasting or unicasting.
  • a policy for blocking a network of a host is managed as a list.
  • the policy for network blocking of the host includes an IP address or a link-layer address.
  • the policy further includes a policy start time and expiration time in the policy for network blocking of the host.
  • the step of blocking the host is characterized in that the blocking of the host by transmitting a modulated NA packet to the blocking host to fail the IP assignment to the network interface of the blocking host.
  • the step of blocking the host may transmit a modulated NA packet of the blocking host to the hosts in the network to which the blocking host belongs to the neighbor cache as the modified NA packet information for the blocking host. It is characterized in that the host is blocked by using a method of preventing communication with the blocking host by updating a cache).
  • a neighbor discovery protocol (NDP) packet captured in a network is a router solicitation (RS) or router advertisement packet (RA), it is determined whether or not to block the host using source information. do.
  • NDP neighbor discovery protocol
  • the NDP Neighbor Discovery Protocol
  • NS neighbor solicitation
  • determining whether the host is blocked using the source information, and when the determination result source information is the blocking host Determining whether a DAD (Duplicate Address Detection) confirmation packet is included, and determining a blocking host using destination information when the source information is not a blocking host.
  • DAD Downlicate Address Detection
  • the neighbor discovery protocol (NDP) packet captured in the network is a neighbor advertisement (NA)
  • determining whether the source information is a blocking host and if the determination result source information is not a blocking host, Determining whether the information is a blocking host.
  • the source information includes any one or more of a source link-layer address, a source IP address, and a target address of an ICMPv6 header.
  • the destination information includes any one or more of a destination link-layer address, a destination IP address, and a target address of the ICMPv6 header.
  • FIG. 1 is a flowchart illustrating a host discovery method using an NS packet and an NA packet according to the present invention.
  • FIG. 2 is a flowchart illustrating a host discovery method using an RS packet and an RA packet according to the present invention.
  • FIG. 3 is a flowchart illustrating a host and router discovery method through NDP packet analysis captured in a network according to the present invention.
  • FIG. 4 is a flowchart illustrating a blocking method of a host according to the present invention.
  • a neighbor discovery protocol (NDP) is used for discovery and blocking of a host in IPv6.
  • the discovery of a host is divided into three types, the first of which requests host information of a discovery IP using a NS (Neighbor Solicitation) packet, and the host responds with a NA (Neighbor Advertisement) packet.
  • the host information is obtained from the received packet.
  • the router requests a router information by using a router solicitation (RS) packet, and obtains router information from the received packet when the router receiving the RS packet responds with a router advertisement packet (RA). .
  • RS router solicitation
  • RA router advertisement packet
  • host and router information may be obtained according to types.
  • the present invention relates to host blocking and discovery in an IPv6 network environment, and may be confused with IPv4 when specified as IP. Therefore, for items not specifically designated as IPv4, IPv6 and IPv6 networks are meant.
  • IPv6 the base technology in IPv6 will be described.
  • ICMP stands for Internet Control Message Protocol, which allows you to send and receive messages about network status, and operates at the same Layer 3 network layer as IP.
  • ICMP is basically a protocol operating in IPv4 and its main functions are shown in Table 1.
  • Table 1 division function Explanation Error Messages Destination Unreachable Message sent to the sender when a packet fails to reach its destination, containing various detailed error messages depending on network conditions Time Exceeded Messages that occur because the time-to-live value is set to 0 Redirect Message used when sending data through a router other than the default router on a network with multiple routers Source Quench Message sent to the sender when too much data is received by the destination for processing.
  • IPF is the ICMP used in Six.
  • the basic functions are the same as ICMP, and some protocols (ARP, RARP, IGMP) used in IPv4 are additionally included as shown in Table 2.
  • Router Solicitation Message that the host raises to find the router Router Advertisement Message used when the router sends to the hosts the information needed to communicate (prefix, MTU ).
  • Neighbor Solicitation Message issued by host to verify link layer address of neighboring host Neighbor advertisement A message sent by the host to the other host to announce its link layer address when an NS request is made. Redirect Same as IPv4
  • NDP is a protocol that IPF uses to communicate with neighboring hosts in Sixth environment. It is included in ICMPv6 and replaces the function of Address Resolution Protocol (ARP) in IPv4 environment. The main functions of NDP are shown in Table 3.
  • the host discovers a router existing in the network by using router solicitation and router advertisement messages and receives prefix information of the network.
  • Address resolution IPF replaces IPv4's Address Resolution Protocol (ARP) in Six NDP.
  • the host verifies the link layer address of the neighbor node using a neighbor solicitation and a neighbor advertisement message. Redirect Same functionality as the redirect message in IPv4, which is used to send data through a router other than the default router in a network with multiple routers.
  • Router Advertisement A packet that informs a host of its own information.
  • the router provides the host with its link layer address, IP, prefix, and MTU information.
  • RA packets are periodically provided by multicast IP, and are often provided at the request of an RS packet.
  • Neighbor Solicitation A packet in which a host requests link layer address information to communicate with a peripheral host. After configuring an IP, it is also used to determine if the IP is already in use on the network (DAD).
  • IP is configured to check whether the IP is already in use through the DAD process.
  • DAD is a method of checking whether an IP to be used is currently in use on a network, and expects no response by sending an NS packet containing the IP to be used on the network.
  • Hosts in the network that receive the NS packet for DAD verification send a NA packet to the host that sent the NS packet if it is identical compared to its IP, and update the neighbor cache if it is not the same.
  • the host performing the DAD receives the NA packet, it determines that the IP to be used is already in use.
  • the host A to be used first transmits NS packets at a RetransTimer time interval by the set DupAddrDetectTransmits value, and then waits for a RetransTimer time. If there is no NA packet response over the RetransTimer time, the newly allocated IP is assigned to the interface and communication starts. On the other hand, when another host B is using the IP, if host A tries to use the same IP, host B sends an NA packet to host A to inform that it is already in use. In this way, the host A fails to assign the IP by checking the NA packet for the corresponding IP.
  • a host connected to a network may be searched by using an NDP (Neighbor Solicitation) packet, an Neighbor Advertisement (NA) packet, a Router Solicitation (RS) packet, and a Router Advertisement (RA) packet.
  • NDP Neighbor Solicitation
  • NA Neighbor Advertisement
  • RS Router Solicitation
  • RA Router Advertisement
  • the host information referred to herein basically means link-layer address information and IP address information, and may optionally further include field information of the NA packet according to a situation.
  • the router information basically means link-layer address information and IP address information, and may optionally further include field information of the RA packet according to a situation.
  • FIG. 1 is a flowchart illustrating a host discovery method using an NS packet and an NA packet according to the present invention.
  • an NS packet in which an IP to be searched is set at an ICMPv6 target address is transmitted to the network to request host information for the search IP (step S11).
  • the processor waits for a predetermined time in consideration of the processing speed of the host and the transmission speed according to the network environment and state (step S12).
  • step S13 it is determined whether an NA packet of an IP to be searched is received. If an NA packet for a request packet is received, host information is obtained from the corresponding packet (step S14). On the other hand, if there is no NA packet received in step S13, the process ends.
  • FIG. 2 is a flowchart illustrating a host discovery method using an RS packet and an RA packet according to the present invention.
  • router information is requested by transmitting an RS packet to a network (step S21).
  • the router waits for a predetermined time in consideration of the processing speed of the router and the transmission speed according to the network environment and state (step S22).
  • step S23 it is determined whether the RA packet is received (step S23), and if the RA packet is received, router information is obtained from the packet (step S24). On the other hand, if there is no RA packet received in step S23, the processing ends.
  • FIG. 3 is a flowchart illustrating a host and router discovery method through NDP analysis captured in a network according to the present invention.
  • step S31 if an NDP packet is captured (step S31), it is determined whether the packet is one of RS, NS, NA (step S33).
  • step S32 If the result of the determination is one of RS, NS, NA, host information is obtained from the captured packet (step S32). If the packet is not one of RS, NS, NA, it is determined whether it is an RA packet (step S34).
  • router information is obtained from the captured packet (step S35).
  • step S34 If the RA packet is not in step S34, the processing ends.
  • the host blocking of the present invention uses a duplicate address detection (DAD) operation, and a modulated neighbor advertisement packet (NA) packet of a blocking host, which is described below, refers to a link-layer address of a blocking host to a corresponding network. It means a NA packet in which a virtual link layer address or a specific link layer address that does not exist is set.
  • DAD duplicate address detection
  • NA modulated neighbor advertisement packet
  • a DAD acknowledgment packet is captured for a host to use an IP in the network
  • the host responds with a modulated NA packet of the blocking host.
  • the blocking host that receives the NA packet determines that the corresponding IP is already in use by the DAD operation, and IP allocation to the network interface fails.
  • the modulated NA packet of the blocking host is transmitted as an all-node multicast IP. do.
  • Hosts in the network receive the modulated NA packet of the blocking host and update the neighbor cache to fail communication with the blocking host.
  • a blocking IP address or a blocking link layer address is set as setting information when setting a policy for blocking a host, and both items may be set. It may also optionally include a start time and end time of the policy.
  • capturing an NDP packet confirms the type of packet (RS, RA, NS, NA) and determines whether it is included in the blocking policy according to the type of packet. If it is included in the blocking policy, check whether it is a DAD acknowledgment packet, if it is a DAD acknowledgment packet, respond with NA packet modulated by the blocking host, and if not, block it with all-node multicast IP. Blocking is performed by transmitting the modulated NA packet of the host. On the other hand, if the policy is not included, the packet is ignored and allowed to communicate.
  • blocking is performed using a method of transmitting a modulated NA packet of the blocking host to all-node multi IP in addition to the method of responding with a modulated NA packet to the blocking host. You may.
  • FIG. 4 is a flowchart illustrating a blocking method of a host according to the present invention.
  • the source information is a source link-layer address or a source IP address
  • the destination information is a destination link-layer address or a destination IP address.
  • the method of distinguishing the blocking hosts is based on the IP address and the link layer address information.
  • the target address of the ICMP6 header is replaced with source IP or destination IP address information for processing.
  • step S41 when an NDP packet is captured (step S41), it is determined whether the captured packet is a router solicitation (RS) or a router advertisement (RA) (step S42).
  • RS router solicitation
  • RA router advertisement
  • step S43 it is determined whether the source information is a blocking host (step S43). If the determination result indicates that the source information is the blocking host, the modulated NA packet of the blocking host is transmitted to the all-node multicast IP (step S51).
  • step S44 If it is not an RS packet or an RA packet in step S42, it is determined whether it is a neighbor solicitation (NS) packet (step S44). If the determination result is NS packet, it is determined whether the source information is a blocking host (step S45). If the determination result indicates that the source information is a blocking host (step S47), and if the DAD confirmation packet transmits the NA packet modulated to the blocking host (step S52), the processing ends. If it is determined in step S47 that the packet is not a DAD confirmation packet, the process ends after step S51.
  • NS neighbor solicitation
  • step S45 If the source information is not the blocking host in step S45, it is determined whether the destination information is the blocking host (step S46).
  • step S51 If the destination information is determined to be a blocking host, the process ends after step S51. If it is determined in step S46 that it is not a blocking host, the process ends.
  • step S48 determines whether it is a NA (Neighbor Advertisement) packet. If the result of the determination is an NA packet, it is determined whether the source information is a blocking host (step S49). If it is determined that the source information is a blocking host, the process ends after performing step S51. On the other hand, if it is determined that the host is not the blocked host, it is determined whether the destination information is the blocked host (step S50). If the destination information is determined to be a blocking host, the process ends after performing step S51 similarly, and if the destination information is not determined to be a blocking host, the process ends. On the other hand, if the result of the determination in step S48 is not a NA packet, the process ends.
  • NA Neighbor Advertisement

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

본 발명은 IPv6를 사용하는 네트워크에서 호스트의 탐지와 인가되지 않은 네트워크 접근에 대한 차단을 수행하는 IPv6네트워크 내 호스트 차단 및 탐색방법이 개시된다. 본 발명은 탐색하고자 하는 IP를 ICMPv6 목표 어드레스(target address)에 설정한 NS(Neighbor Solicitation) 패킷을 네트워크에 전송하여 탐색 IP에 대한 호스트 정보를 요청하는 단계, 패킷 전송 후 호스트의 처리속도와 네트워크환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기하는 단계, 일정시간 대기 후 탐색하고자 하는 IP의 NA(Neighbor Advertisement) 패킷이 수신되었는지를 판정하는 단계, 및 요청패킷에 대한 NA 패킷이 수신되었으면 해당 패킷에서 호스트 정보를 획득하는 단계를 포함하는 IPv6 네트워크 내 호스트 탐색방법을 제공한다.

Description

IPV6 네트워크 내 호스트 차단 및 탐색방법
본 발명은 IPv6 네트워크 내 호스트 차단 및 탐색방법에 관한 것으로, 특히 IPv6 네트워크 환경에서 NDP(Neighbor Discovery Protocol)을 이용한 IPv6 네트워크 내 호스트 차단 및 탐색방법에 관한 것이다.
32비트 주소체계인 IPv4의 고갈이 점차 현실화 되어가고 있다. 한국인터넷 진흥원 IPv6포탈(http://IPv6.vsix.net)의 정보를 인용하면 2009년 1월 20일 현재 약 791일 후에 IPv4 주소가 고갈될 것이라고 예측하고 있으며, 주소고갈을 인지한 많은 기업 및 관공서에서는 이미 IPv4 네트워크 망에서 IPv6 네트워크 망으로의 전환사업이 진행되고 있어 IPv6를 사용하는 수요가 점점 늘고 있는 추세이다.
그리고 IPv6에서는 IP주소의 자동설정을 지원하는데, 이렇게 자동으로 할당이 될 경우 네트워크의 자원을 관리하는 측면에서는 모든 장비의 IP를 확인하고 해당 정보를 유지해야 할 필요가 발생하게 된다.
또한, IP주소의 자동설정이 되기 때문에 악의적 사용자가 아무런 제약 없이 네트워크 주요장비에 접근할 수 있는 문제가 발생하기 때문에, 이런 사용자들에 대한 관리 및 차단이 필요하다.
본 발명의 목적은, IPv6 환경에서 네트워크 주요자원의 효율적인 관리를 할 수 있는 호스트 탐색방법과 인가되지 않은 호스트의 네트워크 접근을 차단하여 한 단계 높은 보안환경을 구축할 수가 있는 IPv6 네트워크 내 호스트 차단 및 탐색방법을 제공하는데에 있다.
이러한 목적을 달성하기 위하여 본 발명은 탐색하고자 하는 IP를 ICMPv6 목표 어드레스(target address)에 설정한 NS(Neighbor Solicitation) 패킷을 네트워크에 전송하여 탐색 IP에 대한 호스트 정보를 요청하는 단계, 패킷 전송 후 호스트의 처리속도와 네트워크환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기하는 단계, 일정시간 대기 후 탐색하고자 하는 IP의 NA(Neighbor Advertisement) 패킷이 수신되었는지를 판정하는 단계, 및 요청패킷에 대한 NA 패킷이 수신되었으면 해당 패킷에서 호스트 정보를 획득하는 단계를 포함한다.
본 발명의 다른 특징에 따르면, RS(Router Solicitation) 패킷을 네트워크에 전송하여 라우터 정보를 요청하는 단계, 패킷 전송 후 라우터의 처리속도와 네트워크환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기하는 단계, 일정시간 대기 후 RA(Router Advertisement) 패킷이 수신되었는지를 판정하는 단계, 및 요청패킷에 대한 RA 패킷이 수신되었으면 해당 패킷에서 라우터 정보를 획득하는 단계를 포함한다.
본 발명의 또 다른 특징에 따르면, NDP 패킷을 캡처하는 단계와, 캡처한 패킷이 RS, NS, NA중 하나인지를 판정하는 단계, 및 판정결과 RS, NS, NA 중 하나라면 캡처된 패킷에서 호스트 정보를 획득하거나, 판정결과 RA라면 캡처된 패킷에서 라우터 정보를 획득하는 단계를 포함한다.
본 발명의 또 다른 특징에 따르면, 호스트 정보는 NA(Neighbor Advertisement) 패킷의 필드정보를 선택적으로 더 포함할 수가 있다.
본 발명의 또 다른 특징에 따르면, 라우터 정보는 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 포함한다.
본 발명의 또 다른 특징에 따르면, 라우터 정보는 RA(Router Advertisement) 패킷의 필드정보를 선택적으로 더 포함할 수가 있다.
본 발명의 또 다른 특징에 따르면, 호스트 정보 또는 라우터 정보 중 IP 어드레스와 링크층 어드레스(link-layer address)를 리스트로 관리하는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, 호스트의 네트워크 차단을 위한 정책이 설정되면, 네트워크 내에서 NDP(Neighbor Discovery Protocol) 패킷을 캡처하는 단계, 캡처한 패킷의 종류에 따라 차단정책 포함 여부를 판정하는 단계, 및 판정 결과 차단정책에 포함될 경우, 호스트 IP에 대해서 변조된 NA 패킷을 생성하여 멀티캐스트(multicast) 또는 유니캐스트(unicast) IP로 전송함으로써 호스트의 차단을 실시하는 단계를 포함한다.
본 발명의 또 다른 특징에 따르면, 호스트의 네트워크 차단을 위한 정책이 설정되면, 네트워크 내에서 차단호스트의 NDP(Neighbor Discovery Protocol) 패킷이 캡쳐되지 않은 상황에서, 차단호스트 IP에 대해서 변조된 NA 패킷을 생성하여 멀티캐스트(multicast) 또는 유니캐스트(unicast) IP로 전송함으로써 호스트의 차단을 실시하는 단계를 포함하는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, NA(Neighbor Advertisement) 패킷의 링크층 어드레스(link-layer address)를 해당 네트워크에 존재하지 않는 가상의 링크층 어드레스 또는 특정 링크층 어드레스로 설정한 변조된 NA 패킷을 멀티캐스트(multicast) 하거나 유니캐스트(unicast) 함으로써 호스트의 차단을 수행하는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, 호스트의 네트워크 차단을 위한 정책이 리스트로 관리되는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, 호스트의 네트워크 차단을 위한 정책은 IP 어드레스 또는 링크층 어드레스(link-layer address)를 포함한다.
본 발명의 또 다른 특징에 따르면, 호스트의 네트워크 차단을 위한 정책에서 정책 시작시간과 만료시간을 더 포함한다.
본 발명의 또 다른 특징에 따르면, 호스트의 차단을 실시하는 단계는 차단 호스트에 변조된 NA 패킷을 전송하여 차단 호스트의 네트워크 인터페이스에 IP할당을 실패하게 함으로써 호스트의 차단을 수행하는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, 호스트의 차단을 실시하는 단계는 차단 호스트가 속한 네트워크 내 호스트들에게 차단 호스트의 변조된 NA 패킷을 전송하여 차단 호스트에 대한 변조된 NA 패킷 정보로 이웃 캐시(neighbor cache)를 갱신하게 함으로써 차단 호스트와 통신이 되지 않게 하는 방법을 이용하여 호스트의 차단을 수행하는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, 네트워크 내에서 캡처된 NDP(Neighbor Discovery Protocol) 패킷이 RS(Router Solicitation) 또는 RA(Router Advertisement) 패킷이라면, 근원지 정보를 이용하여 차단호스트 여부를 판정하는 것을 특징으로 한다.
본 발명의 또 다른 특징에 따르면, 네트워크 내에서 캡처된 NDP(Neighbor Discovery Protocol) 패킷이 NS(Neighbor Solicitation)라면, 근원지 정보를 이용하여 차단호스트인지 판정하는 단계, 판정결과 근원지 정보가 차단호스트일 경우 DAD(Duplicate Address Detection) 확인 패킷인지 판정하는 단계, 및 근원지 정보가 차단호스트가 아닐 경우 목적지 정보를 이용하여 차단호스트를 판정하는 단계를 포함한다.
본 발명의 또 다른 특징에 따르면, 네트워크 내에서 캡처된 NDP(Neighbor Discovery Protocol) 패킷이 NA(Neighbor Advertisement)라면, 근원지 정보가 차단호스트인지 판정하는 단계, 및 판정결과 근원지 정보가 차단호스트가 아니라면 목적지 정보가 차단호스트인지 판정하는 단계를 포함한다.
본 발명의 또 다른 특징에 따르면, 근원지 정보는 소스 링크층 어드레스(source link-layer address), 소스 IP 어드레스(source IP address), ICMPv6 헤더의 목표 어드레스(target address)중 어느 하나 이상을 포함한다.
본 발명의 또 다른 특징에 따르면, 목적지 정보는 목적지 링크층 어드레스(destination link-layer address), 목적지 IP 어드레스(destination IP address), ICMPv6 헤더의 목표 어드레스(target address)중 어느 하나 이상을 포함한다.
상기의 구성에 의하면, IPv6 환경에서 네트워크 주요자원의 효율적인 관리와 보호를 할 수 있으며, 특히 인가되지 않은 호스트의 네트워크 접근을 차단하여 한 단계 높은 보안환경을 구축할 수 있다.
도 1은 본 발명에 따른 NS 패킷과 NA 패킷을 이용한 호스트 탐색방법을 나타내는 흐름도이다.
도 2는 본 발명에 따른 RS 패킷과 RA 패킷을 이용한 호스트 탐색방법을 나타내는 흐름도이다.
도 3은 본 발명에 따른 네트워크에서 캡처되는 NDP 패킷 분석을 통한 호스트 및 라우터 탐색방법을 나타내는 흐름도이다.
도 4는 본 발명에 따른 호스트의 차단방법을 나타내는 흐름도이다.
이하, 첨부한 도면을 참조하여 본 발명의 실시 예를 상세하게 설명한다.
본 발명에 따르면, IPv6에서 호스트의 탐색 및 차단을 위해서 NDP(Neighbor Discovery Protocol)을 이용한다.
구체적으로 호스트의 탐색은 세 가지로 나누어지는데, 첫 번째는 NS(Neighbor Solicitation; 이웃 요청) 패킷을 이용하여 탐색 IP의 호스트정보를 요청하고, 해당 호스트가 NA(Neighbor Advertisement; 이웃 광고) 패킷으로 응답을 하면 수신된 패킷에서 호스트정보를 획득한다.
두 번째는, RS(Router Solicitation; 라우터 요청) 패킷을 이용하여 라우터 정보를 요청하고, RS 패킷을 수신 받은 라우터가 RA(Router Advertisement; 이웃 광고) 패킷으로 응답하면 수신된 패킷에서 라우터정보를 획득한다.
세 번째는, 네트워크에서 NDP 패킷을 캡처한 후 종류에 따라 호스트 및 라우터 정보를 획득할 수 있다.
본 발명은 IPv6 네트워크 환경에서의 호스트 차단 및 탐색에 관한 것으로 IP라고 명시했을 경우 IPv4와 혼동이 될 수 있다. 그러므로 특별히 IPv4라고 명시하지 않은 항목에 대해서 IPv6 및 IPv6 네트워크를 의미하는 것으로 한다.
먼저, 본 발명을 설명하기에 앞서 IPv6에서의 기반기술에 대해 설명한다.
1) ICMP
ICMP는 Internet Control Message Protocol의 약자로서 네트워크 상태에 대한 메시지를 주고받을 수 있도록 하는 것으로, IP와 동일한 Layer3의 네트워크층(Network Layer)에서 동작한다. ICMP는 기본적으로 IPv4에서 동작하는 프로토콜이며 주요기능은 표 1과 같다.
표 1
구분 기능 설명
Error Messages Destination Unreachable 패킷이 목적지에 도달하지 못할 경우 송신지에 보내는 메시지로, 네트워크 상황에 따라 다양한 세부 에러 메시지가 포함됨
Time Exceeded TTL(Time-to-Live)값이 0으로 설정됨으로 인해 발생하는 메시지
Redirect 여러 개의 라우터가 존재하는 네트워크에서 기본 라우터 외에 다른 라우터를 통해 데이터를 전송할 때 사용되는 메시지
Source Quench 목적지에서 처리하기에 너무 많은 양의 데이터를 수신할 때 송신지에 보내는 메시지
Parameter Problem IP 데이터그램 자체에 문제가 있을 경우 발생하는 메시지
Informational Messages Echo Request /Echo Reply 원격시스템 동작상태 확인 메시지
Timestamp Request /Timestamp Reply 송신 시스템에서 특정 네트워크의 대기시간을 파악하는데 사용되는 메시지
Address Mask Request /Address Mask Reply 호스트가 로컬 네트워크의 서브넷 마스크를 파악하는데 사용되는 메시지
Router Solicitation /Router Advertisement 호스트가 사용자의 설정 없이 동적으로 라우터 정보를 갱신할 때 사용되는 메시지
2) ICMPv6
아이피브이 식스에서 사용되는 ICMP로, 기본적인 기능은 ICMP와 동일하며 IPv4에서 사용되던 일부 프로토콜(ARP, RARP, IGMP)이 추가로 표 2와 같이 포함되었다.
표 2
구분 기능 설명
Error Messages Destination Unreachable IPv4와 동일
Packet Too Big 송신지와 수신지 사이 경로에 MTU를 초과하는 경우 발생하는 메시지아이피브이 식스는 송신지와 수신지만이 패킷을 분할/결합을 할 수 있다.
Time Exceeded IPv4와 동일
Parameter Problems IPv4와 동일
Informational Messages Echo Request / Echo Reply IPv4와 동일
Group Membership Multicast group에 포함/제외/질의 등이 필요할 때 사용되는 메시지
Router Solicitation 호스트가 라우터를 찾기 위해 발생시키는 메시지
Router Advertisement 라우터가 호스트들에게 통신을 위해 필요한 정보(prefix, MTU...)를 전송할 때 사용되는 메시지
Neighbor Solicitation 호스트가 인접 호스트의 링크층 어드레스를 확인하기 위해 발생시키는 메시지
Neighbor Advertisement NS 요청이 있을 때 해당 호스트가 자신의 링크층 어드레스를 알리기 위해 상대편 호스트에게 보내는 메시지
Redirect IPv4와 동일
3) NDP(Neighbor Discovery Protocol)
NDP는 아이피브이 식스 환경에서 인접 호스트와 통신을 하기 위해 사용되는 프로토콜로 ICMPv6에 포함되어 IPv4 환경에서 ARP(Address Resolution Protocol)가 수행하는 기능을 대신한다. NDP의 주요기능은 표 3과 같다.
표 3
기능 설명
Router and Prefix Discovery 호스트는 라우터 요청(Router Solicitation)과 라우터 광고(Router Advertisement) 메시지를 이용하여 네트워크에 존재하는 라우터를 발견하고 해당 네트워크의 prefix 정보를 수신받는다.
Address Resolution 아이피브이 식스의 NDP에서 IPv4의 ARP(Address Resolution Protocol)의 기능을 대신한다. 호스트는 이웃 요청(Neighbor Solicitation)과 이웃 광고(Neighbor Advertisement) 메시지를 이용해서 인접 노드의 링크층 어드레스를 확인한다.
Redirect IPv4의 redirect메시지와 기능이 동일하다.여러 개의 라우터가 존재하는 네트워크에서 기본 라우터 외에 다른 라우터를 통해 데이터를 전송할 때 사용되는 메시지
4) NDP 패킷 종류 및 용도
ND의 주요기능을 구현하기 위해 표 4의 패킷을 사용한다.
표 4
구분 설명
RS(Router Solicitation) 호스트가 빠른 네트워크 정보 획득을 위해 RA 정보를 요청하는 패킷
RA(Router Advertisement) 라우터가 자신의 정보를 호스트에게 알려주는 패킷으로, 자신의 링크층 어드레스, IP를 비롯하여 prefix, MTU정보를 호스트에게 제공한다. RA패킷은 주기적으로 multicast IP로 제공되며, RS패킷의 요청에 의해서 수시로 제공된다.
NS(Neighbor Solicitation) 호스트가 주변 호스트와 통신하기 위해 링크층 어드레스 정보를 요청하는 패킷. IP를 구성한 후 해당 IP가 네트워크에 이미 사용 중인지 아닌지 확인하기 위해(DAD) 사용되기도 함
NA(Neighbor Advertisement) NS의 요청에 의해서 보내지거나, 호스트가 자신의 정보(링크층 어드레스, 라우터 동작 유무)를 빠르게 전파하기 위해 multicast IP로 제공되는 패킷
Redirect 네트워크에 하나 이상의 라우터가 존재할 경우 더 나은 경로로 보내기 위해 호스트에게 패킷의 경로를 바꾸게 하는 패킷
5) DAD(Duplicate Address Detection)
IPv6에서 IP를 구성하는 방법은 수동설정과 자동설정(stateless, stateful)이 있는데, 어느 방법으로 IP를 구성하더라도 DAD 과정을 거쳐서 IP가 이미 사용 중인지 아닌지 확인하도록 되어 있다. DAD란 사용하려는 IP가 현재 네트워크에서 사용 중인지 아닌지 확인하는 방법으로, 사용하려는 IP가 포함된 NS 패킷을 네트워크에 전송하여 응답이 오지 않기를 기대하는 것이다. DAD 확인을 위한 NS 패킷을 수신 받은 네트워크 내의 호스트들은 자신의 IP와 비교하여 동일하다면 NS 패킷을 보낸 호스트에게 NA 패킷을 보내고, 동일하지 않으면 이웃 캐시(neighbor cache)를 업데이트 한다. 한편, DAD를 수행하는 호스트는 NA 패킷을 수신 받았다면 사용하려는 IP가 이미 사용 중인 것으로 판단한다.
DAD를 수행하는 과정을 간단하게 설명하면, 먼저 사용하고자 하는 호스트 A가 설정된 DupAddrDetectTransmits 값만큼 RetransTimer 시간 간격으로 NS 패킷을 전송한 후 RetransTimer 시간만큼 대기한다. RetransTimer 시간이 지나도록 NA 패킷 응답이 없을 경우 인터페이스에 새로 구성한 IP를 할당하고 통신을 시작한다. 반면, 다른 호스트 B가 해당 IP를 사용 중일 때, 호스트 A가 동일한 IP를 사용하고자 시도할 경우 호스트 B는 NA 패킷을 호스트 A로 보내어 이미 사용 중인 IP임을 알린다. 이와 같이, 호스트 A가 해당 IP에 대한 NA 패킷을 확인함으로써 IP 할당에 실패하게 된다.
이하, 본 발명에 따른 호스트의 탐색과 차단방법에 대해 구체적으로 설명한다.
<호스트의 탐색>
NDP의 NS(Neighbor Solicitation) 패킷과 NA(Neighbor Advertisement) 패킷, RS(Router Solicitation) 패킷과 RA(Router Advertisement) 패킷을 이용하여 네트워크에 연결된 호스트를 탐색할 수 있다. 또한 네트워크에서 캡처되는 NDP 패킷 분석을 통하여 호스트 및 라우터를 탐색할 수 있다.
여기에서 언급되는 호스트정보는 기본적으로 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 뜻하며 상황에 따라 NA 패킷의 필드정보를 선택적으로 더 포함할 수 있다.
그리고 라우터정보는 기본적으로 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 뜻하며 상황에 따라 RA 패킷의 필드정보를 선택적으로 더 포함할 수 있다.
도 1은 본 발명에 따른 NS 패킷과 NA 패킷을 이용한 호스트 탐색방법을 나타내는 흐름도이다.
먼저, 탐색하고자 하는 IP를 ICMPv6 목표 어드레스(target address)에 설정한 NS 패킷을 네트워크에 전송하여 탐색 IP에 대한 호스트정보를 요청한다(단계 S11).
패킷 전송 후 호스트의 처리속도와 네트워크 환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기한다(단계 S12)
이어, 일정시간 대기 후 탐색하고자 하는 IP의 NA 패킷이 수신되었는지를 판정하고(단계 S13), 요청패킷에 대한 NA 패킷이 수신되었으면 해당 패킷에서 호스트정보를 획득한다(단계 S14). 반면, 단계 S13에서 수신된 NA 패킷이 없으면 처리를 종료한다.
도 2는 본 발명에 따른 RS 패킷과 RA 패킷을 이용한 호스트 탐색방법을 나타내는 흐름도이다.
먼저, RS 패킷을 네트워크에 전송하여 라우터 정보를 요청한다(단계 S21).
패킷 전송 후 라우터의 처리속도와 네트워크 환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기한다(단계 S22).
이어, 일정시간 대기 후 RA 패킷이 수신되었는지를 판정하고(단계 S23), RA 패킷이 수신되었으면 해당 패킷에서 라우터정보를 획득한다(단계 S24). 반면, 단계 S23에서 수신된 RA 패킷이 없으면 처리를 종료한다.
도 3은 본 발명에 따른 네트워크에서 캡처되는 NDP분석을 통한 호스트 및 라우터 탐색방법을 나타내는 흐름도이다.
먼저, NDP패킷이 캡처되면(단계 S31), 패킷이 RS, NS, NA 중 하나인지 판정한다(단계 S33).
판정결과 RS, NS, NA 중 하나라면 캡처된 패킷에서 호스트 정보를 획득하고(단계 S32), 패킷이 RS, NS, NA 중 하나가 아니라면, RA패킷인지 판정한다(단계 S34).
판정결과 RA라면 캡처된 패킷에서 라우터정보를 획득한다(단계 S35).
단계 S34에서 RA패킷이 아니라면 처리를 종료한다.
<호스트의 차단>
본 발명의 호스트 차단은 DAD(Duplicate Address Detection) 동작을 이용하며, 아래에서 언급되는 차단호스트의 변조된 NA(Neighbor Advertisement) 패킷이란, 차단호스트의 링크층 어드레스(link-layer address)를 해당 네트워크에 존재하지 않는 가상의 링크층 어드레스 또는 특정 링크층 어드레스를 설정한 NA 패킷을 뜻한다.
구체적으로, 네트워크에서 호스트가 IP를 사용하기 위한 DAD확인 패킷이 캡처되면, 해당 패킷을 분석한 후 접근을 차단해야 할 필요가 있을 경우 차단호스트의 변조된 NA 패킷으로 응답한다. NA 패킷을 수신 받은 차단호스트는 DAD동작으로 해당 IP가 이미 사용 중이라고 판단하게 되고, 네트워크 인터페이스에 IP할당이 실패하게 된다.
추가적으로, 이미 DAD동작을 마치고 IP를 할당한 상태의 호스트를 차단해야 할 경우 해당 호스트의 NDP패킷이 캡처되면 차단호스트의 변조된 NA 패킷을 전 노드 멀티캐스트(all-node multicast) IP로 설정하여 전송한다. 내트워크 내의 호스트들은 차단호스트의 변조된 NA 패킷을 수신 받고 이웃 캐시(neighbor cache)를 갱신하여 차단호스트와 통신에 실패하게 된다.
본 발명의 호스트 차단방법에 있어서, 호스트의 차단을 위한 정책 설정시 설정정보로 차단 IP 어드레스 또는 차단 링크층 어드레스가 설정되며 두 항목 모두 다 설정될 수도 있다. 또한 선택적으로 정책의 시작시간과 종료시간을 더 포함할 수 있다.
본 발명에 따르면, NDP패킷을 캡처하면 패킷의 종류(RS, RA, NS, NA)를 확인하고 패킷의 종류에 따라 차단정책에 포함되는지 여부를 판정한다. 판정결과 차단정책에 포함된다면 DAD확인 패킷인지 아닌지 확인하고, DAD확인 패킷이라면, 차단호스트로 변조된 NA 패킷으로 응답하고, DAD확인 패킷이 아니라면, 전 노드 멀티캐스트(all-node multicast) IP로 차단호스트의 변조된 NA 패킷을 전송하여 차단을 수행한다. 한편, 정책에 포함되지 않는다면 해당 패킷을 무시하여 통신을 허용한다.
추가적으로, DAD확인 패킷으로 판정되면 차단 호스트로 변조된 NA 패킷으로 응답하는 방법 외에, 전 노드 멀티캐스트(all-node multi) IP로 차단 호스트의 변조된 NA 패킷을 전송하는 방법을 이용하여 차단을 수행할 수도 있다.
이하, 본 발명에 따른 호스트 차단방법을 구체적으로 설명한다.
도 4는 본 발명에 따른 호스트의 차단방법을 나타내는 흐름도이다.
여기서, 근원지 정보는 소스 링크층 어드레스(source link-layer address) 또는 소스 IP 어드레스가 되며, 목적지 정보는 목적지 링크층 어드레스(destination link-layer address) 또는 목적지 IP 어드레스이다. 그리고 차단 호스트를 구분하는 방법은 IP 어드레스와 링크층 어드레스 정보를 기초로 한다. 추가적으로, 근원지와 목적지 정보 구분할 때 패킷의 종류에 따라 소스 IP 어드레스 또는 목적지 IP 어드레스가 유효하지 않을 경우가 발생할 수 있다. 이 경우에는 ICMP6헤더의 목표 어드레스(target address)를 근원지 IP 또는 목적지 IP 어드레스 정보로 대체하여 처리한다.
도 4를 참조하면, NDP 패킷이 캡처되면(단계 S41), 캡처된 패킷이 RS(Router Solicitation) 또는 RA(Router Advertisement)인지 판정한다(단계 S42).
판정결과 RS 또는 RA라면, 근원지 정보가 차단호스트인지 판정한다(단계 S43). 판정결과 근원지 정보가 차단 호스트이면, 전 노드 멀티캐스트 IP로 차단호스트의 변조된 NA 패킷을 전송하고(단계 S51), 존재하지 않는다면 처리를 종료한다.
단계 S42에서 RS 패킷 또는 RA패킷이 아니라면, NS(Neighbor Solicitation) 패킷인지 판정한다(단계 S44). 판정결과 NS패킷이라면, 근원지 정보가 차단호스트인지 판정한다(단계 S45). 판정결과 근원지 정보가 차단호스트라면 DAD확인 패킷인지 판정하고(단계 S47), DAD확인 패킷이라면 차단호스트로 변조된 NA 패킷을 전송한 후(단계 S52) 처리를 종료한다. 단계 S47에서 DAD확인 패킷이 아니라고 판정되면 단계 S51을 수행한 후 처리를 종료한다.
단계 S45에서 근원지 정보가 차단호스트가 아니라면 목적지 정보가 차단호스트인지 판정한다(단계 S46).
목적지 정보가 차단호스트로 판정되면, 단계 S51를 수행한 후 처리를 종료한다. 단계 S46에서 차단호스트가 아닌 것으로 판정되면 처리를 종료한다.
한편, 상기의 단계 S44에서 NS 패킷이 아니라면, NA(Neighbor Advertisement) 패킷인지 판정한다(단계 S48). 판정결과 NA 패킷이라면, 근원지 정보가 차단호스트인지 판정하고(단계 S49), 차단 호스트라고 판정되면, 단계 S51를 수행한 후 처리를 종료한다. 반면, 차단호스트가 아닌 것으로 판정되면 목적지 정보가 차단호스트인지 판정한다(단계 S50). 목적지 정보가 차단호스트로 판정되면 마찬가지로 단계 S51를 수행한 후 처리를 종료하고, 목적지 정보가 차단호스트가 아닌 것으로 판정되면 처리를 종료한다. 한편, 단계 S48에서의 판정결과 NA 패킷이 아니면 처리를 종료한다.
이상에서는 본 발명의 실시 예를 중심으로 설명하였지만, 당업자의 수준에서 다양한 변경을 가할 수 있음은 물론이다. 따라서, 본 발명의 권리범위는 상기한 실시 예에 한정되어 해석될 수 없으며, 이하에 기재되는 특허청구범위에 의해 해석되어야 한다.

Claims (20)

  1. 탐색하고자 하는 IP를 ICMPv6 목표 어드레스(target address)에 설정한 NS(Neighbor Solicitation) 패킷을 네트워크에 전송하여 탐색 IP에 대한 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 포함하는 호스트 정보를 요청하는 단계;
    패킷 전송 후 호스트의 처리속도와 네트워크 환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기하는 단계;
    상기 일정시간 대기 후 상기 탐색하고자 하는 IP의 NA(Neighbor Advertisement) 패킷이 수신되었는지를 판정하는 단계; 및
    요청패킷에 대한 NA 패킷이 수신되었으면 해당 패킷에서 호스트 정보를 획득하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  2. RS(Router Solicitation) 패킷을 네트워크에 전송하여 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 포함하는 라우터 정보를 요청하는 단계;
    패킷 전송 후 라우터의 처리속도와 네트워크 환경 및 상태에 따른 전송속도를 고려하여 일정시간 대기하는 단계;
    상기 일정시간 대기 후 RA(Router Advertisement) 패킷이 수신되었는지를 판정하는 단계; 및
    요청패킷에 대한 RA 패킷이 수신되었으면 해당 패킷에서 라우터 정보를 획득하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  3. NDP 패킷을 캡처하는 단계와;
    캡처한 패킷이 RS, NS, NA중 하나인지를 판정하는 단계; 및
    판정결과 RS, NS, NA 중 하나라면 캡처된 패킷에서 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 포함하는 호스트 정보를 획득하거나, 판정결과 RA라면 캡처된 패킷에서 라우터 정보를 획득하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  4. 제 1항 또는 제 3항에 있어서,
    상기 호스트 정보는 NA(Neighbor Advertisement) 패킷의 필드정보를 선택적으로 더 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  5. 제 3항에 있어서,
    상기 라우터 정보는 링크층 어드레스(link-layer address) 정보와 IP 어드레스 정보를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  6. 제 2항 또는 제 3항에 있어서,
    상기 라우터 정보는 RA(Router Advertisement) 패킷의 필드정보를 선택적으로 더 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  7. 제 1항 내지 제 3항중 어느 한 항에 있어서,
    상기 호스트 정보 또는 상기 라우터 정보 중 적어도 하나는 IP 어드레스와 링크층 어드레스(link-layer address)를 리스트로 관리하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 탐색방법.
  8. 호스트의 네트워크 차단을 위한 정책이 설정되면, 네트워크 내에서 NDP(Neighbor Discovery Protocol) 패킷을 캡처하는 단계;
    캡처한 패킷의 종류에 따라 차단정책 포함 여부를 판정하는 단계; 및
    판정 결과 차단정책에 포함될 경우, 상기 호스트 IP에 대해서 변조된 NA 패킷을 생성하여 멀티캐스트(multicast) 또는 유니캐스트(unicast) IP로 전송함으로써 호스트의 차단을 실시하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  9. 호스트의 네트워크 차단을 위한 정책이 설정되면, 네트워크 내에서 차단호스트의 NDP(Neighbor Discovery Protocol) 패킷이 캡쳐되지 않은 상황에서, 차단호스트 IP에 대해서 변조된 NA 패킷을 생성하여 멀티캐스트(multicast) 또는 유니캐스트(unicast) IP로 전송함으로써 호스트의 차단을 실시하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  10. 제 8항 또는 제 9항에 있어서,
    상기 NA(Neighbor Advertisement) 패킷의 링크층 어드레스(link-layer address)를 해당 네트워크에 존재하지 않는 가상의 링크층 어드레스 또는 특정 링크층 어드레스로 설정한 변조된 NA 패킷을 멀티캐스트(multicast) 하거나 유니캐스트(unicast) 함으로써 호스트의 차단을 수행하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  11. 제 8항 또는 제 9항에 있어서,
    상기 호스트의 네트워크 차단을 위한 정책이 리스트로 관리되는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  12. 제 8항 또는 제 9항에 있어서,
    상기 호스트의 네트워크 차단을 위한 정책은 IP 어드레스 또는 링크층 어드레스(link-layer address)를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  13. 제 8항 또는 제 9항에 있어서,
    상기 호스트의 네트워크 차단을 위한 정책에서 정책 시작시간과 만료시간을 더 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  14. 제 8항 또는 제 9항에 있어서,
    상기 호스트의 차단을 실시하는 단계는,
    상기 차단 호스트에 변조된 NA 패킷을 전송하여 상기 차단 호스트의 네트워크 인터페이스에 IP할당을 실패하게 함으로써 호스트의 차단을 수행하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  15. 제 8항 또는 제 9항에 있어서,
    상기 호스트의 차단을 실시하는 단계는,
    상기 차단 호스트가 속한 네트워크 내 호스트들에게 상기 차단 호스트의 변조된 NA 패킷을 전송하여 상기 차단 호스트에 대한 변조된 NA 패킷 정보로 이웃 캐시(neighbor cache)를 갱신하게 함으로써 상기 차단 호스트와 통신이 되지 않게 하는 방법을 이용하여 호스트의 차단을 수행하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  16. 제 9항에 있어서,
    상기 네트워크 내에서 캡처된 NDP(Neighbor Discovery Protocol) 패킷이 RS(Router Solicitation) 또는 RA(Router Advertisement) 패킷이라면, 근원지 정보를 이용하여 차단호스트 여부를 판정하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  17. 제 9항에 있어서,
    상기 네트워크 내에서 캡처된 NDP(Neighbor Discovery Protocol) 패킷이 NS(Neighbor Solicitation)라면, 근원지 정보를 이용하여 차단호스트인지 판정하는 단계;
    판정결과 근원지 정보가 차단호스트일 경우 DAD(Duplicate Address Detection) 확인 패킷인지 판정하는 단계; 및
    근원지 정보가 차단호스트가 아닐 경우 목적지 정보를 이용하여 차단호스트를 판정하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  18. 제 9항에 있어서,
    상기 네트워크 내에서 캡처된 NDP(Neighbor Discovery Protocol) 패킷이 NA(Neighbor Advertisement)라면, 근원지 정보가 차단호스트인지 판정하는 단계; 및
    판정결과 근원지 정보가 차단호스트가 아니라면 목적지 정보가 차단호스트인지 판정하는 단계를 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  19. 제 16항 내지 제 18항중 어느 한 항에 있어서,
    상기 근원지 정보는 소스 링크층 어드레스(source link-layer address), 소스 IP 어드레스(source IP address), ICMPv6 헤더의 목표 어드레스(target address)중 어느 하나 이상을 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
  20. 제 17항 또는 제 18항에 있어서,
    상기 목적지 정보는 목적지 링크층 어드레스(destination link-layer address), 목적지 IP 어드레스(destination IP address), ICMPv6 헤더의 목표 어드레스(target address)중 어느 하나 이상을 포함하는 것을 특징으로 하는 IPv6 네트워크 내 호스트 차단방법.
PCT/KR2010/000263 2009-03-20 2010-01-15 Ipv6 네트워크 내 호스트 차단 및 탐색방법 Ceased WO2010110530A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201080002700.4A CN102165741B (zh) 2009-03-20 2010-01-15 在ipv6网络中用于封锁和搜索主机的方法
JP2011525998A JP4975190B2 (ja) 2009-03-20 2010-01-15 ＩＰｖ６ネットワーク内のホストの探索方法
US13/121,681 US8189580B2 (en) 2009-03-20 2010-01-15 Method for blocking host in IPv6 network

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2009-0024074 2009-03-20
KR20090024074A KR100908320B1 (ko) 2009-03-20 2009-03-20 IPv6 네트워크 내 호스트 차단 및 탐색방법

Publications (1)

Publication Number Publication Date
WO2010110530A1 true WO2010110530A1 (ko) 2010-09-30

Family

ID=41337744

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2010/000263 Ceased WO2010110530A1 (ko) 2009-03-20 2010-01-15 Ipv6 네트워크 내 호스트 차단 및 탐색방법

Country Status (5)

Country Link
US (2) US8189580B2 (ko)
JP (3) JP4975190B2 (ko)
KR (1) KR100908320B1 (ko)
CN (1) CN102165741B (ko)
WO (1) WO2010110530A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9198664B2 (en) 2009-04-01 2015-12-01 Sentreheart, Inc. Tissue ligation devices and controls therefor
US9992159B2 (en) 2012-06-11 2018-06-05 Nec Corporation Communication information detecting device and communication information detecting method

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9270638B2 (en) * 2012-01-20 2016-02-23 Cisco Technology, Inc. Managing address validation states in switches snooping IPv6
KR101352352B1 (ko) * 2012-03-02 2014-01-16 건국대학교 산학협력단 ＩＰｖ6 네트워크에서 호스트 장치 차단 방법, 그리고 이를 구현한 네트워크 관리장치
KR101296376B1 (ko) * 2012-03-02 2013-08-14 건국대학교 산학협력단 ＩＰｖ６ 네트워크에서 호스트 장치 차단 방법, 그리고 이를 구현한 네트워크 관리장치
KR101235157B1 (ko) * 2012-03-09 2013-02-25 (주)넷맨 ＩＰｖ６를 지원하는 네트워크 내 호스트 동작 상태 확인 및 탐색 방법
KR101359369B1 (ko) 2012-09-17 2014-02-07 (주)넷맨 ICMPv6 NIQ를 이용한 네트워크 내 호스트 동작 상태 확인 및 탐색 방법
US9088608B2 (en) * 2013-03-12 2015-07-21 Cisco Technology, Inc. Throttling and limiting the scope of neighbor solicitation (NS) traffic
KR101359372B1 (ko) 2013-12-12 2014-02-07 (주)넷맨 ＤＨＣＰｖ6 패킷을 이용한 네트워크 내 호스트 동작 상태 확인 및 탐색 방법
KR101359373B1 (ko) 2013-12-12 2014-02-07 (주)넷맨 네트워크 내 호스트 동작 상태 확인 및 탐색 방법
KR101359371B1 (ko) 2013-12-12 2014-02-07 (주)넷맨 네트워크에서 발생되는 패킷을 이용한 네트워크 내 호스트 동작 상태 확인 및 탐색 방법
US10305800B2 (en) * 2015-04-15 2019-05-28 Hughes Network Systems, Llc Preferential selection of IP protocol version with domain name matching on proxy servers
JP6476530B2 (ja) * 2015-04-21 2019-03-06 株式会社Pfu 情報処理装置、方法およびプログラム
US11159379B2 (en) * 2016-04-15 2021-10-26 Convida Wireless, Llc Enhanced 6LoWPAN neighbor discovery for supporting mobility and multiple border routers
JP6676460B2 (ja) * 2016-04-28 2020-04-08 キヤノン株式会社 通信装置、制御方法、および、プログラム。
JP7232121B2 (ja) * 2019-05-10 2023-03-02 アズビル株式会社 監視装置および監視方法
CN114124898B (zh) * 2021-10-22 2023-07-21 深圳中科德能科技有限公司 一种智能设备的自动搜索方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030092322A (ko) * 2002-05-29 2003-12-06 삼성전자주식회사 ＩＰｖ4/ＩＰｖ6 통신 방법 및 그 장치
KR100714131B1 (ko) * 2005-12-07 2007-05-02 한국전자통신연구원 ＩＰｖ6 로컬 네트워크에서의 이웃 발견 서비스 거부 공격방지 장치 및 방법
KR100770354B1 (ko) * 2006-08-03 2007-10-26 경희대학교 산학협력단 ＩＰｖ6 네트워크에서 공격자 호스트의 ＩＰ를 역추적하는방법
US20080310323A1 (en) * 2007-06-15 2008-12-18 Qualcomm Incorporated Method and Apparatus for DNS Update Triggered IPv6 Neighbor Advertisement

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3402406B2 (ja) * 1994-09-22 2003-05-06 シンクレイヤ株式会社 ブロードバンド伝送路を用いた電話システム
JP3915230B2 (ja) * 1998-02-27 2007-05-16 株式会社日立製作所 パケット生成方法およびその機能を有する情報処理装置並びにパケット生成プログラムを記録した記録媒体
US20010034831A1 (en) * 2000-04-19 2001-10-25 Brustoloni Jose C. Method and apparatus for providing internet access to client computers over a lan
US20030026230A1 (en) * 2001-08-02 2003-02-06 Juan-Antonio Ibanez Proxy duplicate address detection for dynamic address allocation
US20040240669A1 (en) * 2002-02-19 2004-12-02 James Kempf Securing neighbor discovery using address based keys
KR100484145B1 (ko) * 2002-07-05 2005-04-18 삼성전자주식회사 중복 주소 노드에 가상 주소를 자동으로 할당하는 장치 및방법
JP2004242142A (ja) * 2003-02-07 2004-08-26 Nippon Telegr & Teleph Corp <Ntt> ユーザ管理方法、該方法に使用する加入者収容ルータ装置及び加入者認証サーバ装置、及び該方法を実行させるためのコンピュータプログラム
JP2004334684A (ja) * 2003-05-09 2004-11-25 Nec Corp 障害連絡システム及び障害連絡装置
KR100503470B1 (ko) * 2003-08-13 2005-07-27 삼성전자주식회사 디스트리뷰션시스템에서 빠른 ｄａｄ 수행을 위해 정보를관리하는 빠른 ｄａｄ 관리자 및 이를 이용한 빠른 ｄａｄ수행방법
CN1898918A (zh) * 2003-12-22 2007-01-17 皇家飞利浦电子股份有限公司 自动转移路由器功能的方法
JP2005260615A (ja) * 2004-03-12 2005-09-22 Hitachi Ltd ネットワーク監視装置，ネットワーク監視方法，ネットワーク監視用プログラム及びネットワーク監視用プログラムが格納された記録媒体
JP4179300B2 (ja) * 2005-03-31 2008-11-12 日本電気株式会社 ネットワーク管理方法および装置並びに管理プログラム
US20080232405A1 (en) * 2005-08-25 2008-09-25 Nxp B.V. Method and Circuit for Calculating a Timeout Parameter in a Communication Session
JP2007104396A (ja) * 2005-10-05 2007-04-19 Nippon Telegraph & Telephone East Corp 不正接続防止システムおよび方法、プログラム
JP2007124216A (ja) * 2005-10-27 2007-05-17 Ntt Docomo Inc 通信ノード、アクセスルータ、通信システム及び通信方法
JP2007180686A (ja) * 2005-12-27 2007-07-12 Matsushita Electric Ind Co Ltd 中継通信装置、記憶媒体、集積回路および通信システム
JP5164450B2 (ja) * 2007-06-28 2013-03-21 キヤノン株式会社 通信装置及びその制御方法とプログラム
JP4931234B2 (ja) * 2007-07-05 2012-05-16 キヤノン株式会社 情報処理装置及びその制御方法、並びにプログラム
US8312541B2 (en) 2007-07-17 2012-11-13 Cisco Technology, Inc. Detecting neighbor discovery denial of service attacks against a router
US7953097B2 (en) * 2009-01-09 2011-05-31 Alcatel Lucent Neighbour discovery protocol mediation

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030092322A (ko) * 2002-05-29 2003-12-06 삼성전자주식회사 ＩＰｖ4/ＩＰｖ6 통신 방법 및 그 장치
KR100714131B1 (ko) * 2005-12-07 2007-05-02 한국전자통신연구원 ＩＰｖ6 로컬 네트워크에서의 이웃 발견 서비스 거부 공격방지 장치 및 방법
KR100770354B1 (ko) * 2006-08-03 2007-10-26 경희대학교 산학협력단 ＩＰｖ6 네트워크에서 공격자 호스트의 ＩＰ를 역추적하는방법
US20080310323A1 (en) * 2007-06-15 2008-12-18 Qualcomm Incorporated Method and Apparatus for DNS Update Triggered IPv6 Neighbor Advertisement

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9198664B2 (en) 2009-04-01 2015-12-01 Sentreheart, Inc. Tissue ligation devices and controls therefor
US9992159B2 (en) 2012-06-11 2018-06-05 Nec Corporation Communication information detecting device and communication information detecting method

Also Published As

Publication number Publication date
US20110182293A1 (en) 2011-07-28
US20120207167A1 (en) 2012-08-16
CN102165741A (zh) 2011-08-24
JP4975190B2 (ja) 2012-07-11
US8189580B2 (en) 2012-05-29
KR100908320B1 (ko) 2009-07-17
JP2012502544A (ja) 2012-01-26
JP5798598B2 (ja) 2015-10-21
JP2013258739A (ja) 2013-12-26
JP2012085335A (ja) 2012-04-26
CN102165741B (zh) 2014-10-15

Similar Documents

Publication Publication Date Title
WO2010110530A1 (ko) Ipv6 네트워크 내 호스트 차단 및 탐색방법
US7046666B1 (en) Method and apparatus for communicating between divergent networks using media access control communications
US6888834B1 (en) System and method for providing wireless internet services
KR20040024917A (ko) 아이피 어드레스 할당 장치 및 방법
WO2010072096A1 (zh) IPv6环境下提高邻居发现安全性的方法及宽带接入设备
JP2001257720A (ja) Ｄｎｓサーバ、ｄｈｃｐサーバ、端末および通信システム
WO2007009367A1 (en) A method for duplicate address detection in the two-layer access network supporting ipv6 and a system thereof
WO2010095324A1 (ja) ネットワーク間接続装置
CN102025799A (zh) 一种发现及自动配置设备的ip地址的方法
US20130089092A1 (en) Method for preventing address conflict, and access node
US8396010B2 (en) Self-configuration of a forwarding table in an access node
KR100827143B1 (ko) 패킷 스위치 장비 및 그 방법
JP2012524491A (ja) 加入者装置をＩＰｖ６対応のアグリゲーションネットワークに接続するための方法および装置
JP4832816B2 (ja) 無線式パケット・ベースのネットワークの電力節減
JP2005045472A (ja) 端末及びアドレス生成方法
JP2010239591A (ja) ネットワークシステム、中継装置、およびネットワーク制御方法
WO2012163000A1 (zh) 一种报文转发的方法、设备及系统
CN111541797A (zh) 一种基于ecos的IPV6实现方法
KR20040011936A (ko) 복수의 가상랜으로 구성된 이더넷 상에서의 스위칭 장치와이를 이용한 통신 방법
CN114221892B (zh) Bier网络中设备自动分配方法、装置及电子设备
WO2019212268A1 (ko) Sdn 컨트롤러의 모바일 노드 관리 방법 및 장치
WO2024219755A1 (en) System and methods for routing downlink data packets in a thread network
US20220141177A1 (en) Remote controller source address verification and retention for access devices
KR20170127852A (ko) 하나의 서브넷에서 망분리를 구현하는 방법과 그에 따라 망분리된 네트워크 세그먼트간 arp 프로토콜을 지원하는 방법
KR100702783B1 (ko) 동일 ｍａｃ 주소를 갖는 가입자 단말 처리 시스템 및 처리방법

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201080002700.4

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10756285

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2011525998

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 13121681

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10756285

Country of ref document: EP

Kind code of ref document: A1