7-module-mobileIP

1、移動IP1主要內(nèi)容概念功能實體工作過程及關(guān)鍵技術(shù)移動IP的低效率2移動IP的概念移動IP的定義 移動IP是一種在全球Internet上提供移動功能的方案,移動IP提供的是一種IP路由機制,移動節(jié)點可以用一個永久的IP地址連接到任何鏈路上。注意：移動IP只是網(wǎng)絡(luò)層的標(biāo)準(zhǔn),對TCP等其他技術(shù)以及應(yīng)用程序的改進不屬于移動IP的范疇。3移動IP的設(shè)計要求和目標(biāo)設(shè)計要求改變數(shù)據(jù)鏈路層接入點后仍可以通信。移動節(jié)點使用永久IP地址。與非移動IP節(jié)點互通。平安威脅的考慮。選路機制只與目的IP地址有關(guān),與網(wǎng)絡(luò)拓?fù)錈o關(guān)。對現(xiàn)有網(wǎng)絡(luò)的改動（移動節(jié)點本身、少數(shù)提供移動IP功能的主機和路由器）設(shè)計目標(biāo)移動IP的選路只與

2、目的地地址的網(wǎng)絡(luò)前綴有關(guān),而與網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)無關(guān)。4移動IP的歷史 移動IP由IETF的移動IP小組mobileip(IP Routing for Wireless/mobile Hosts) 制定,于1996年11月公布為建議標(biāo)準(zhǔn)(建議標(biāo)準(zhǔn)是一個協(xié)議從因特網(wǎng)草案開展成因特網(wǎng)標(biāo)準(zhǔn)的第一個重要步驟)主要內(nèi)容 RFC 2002：定義了移動IP協(xié)議 RFC 2003、2004: 定義的移動IP使用的隧道技術(shù) RFC 2005：表達了移動IP的應(yīng)用 RFC 2006：定義了移動IP的管理信息庫MIB 關(guān)于優(yōu)化、對IPv6的支持等問題的草案(draft)詳見：html.charters/mobileip-

3、charter.html5移動IP的本質(zhì)移動IP是一個支持主機移動的網(wǎng)絡(luò)層解決方案同IP一樣,移動IP對下層傳輸媒體不做任何要求,可以在不同媒介的網(wǎng)絡(luò)間提供主機移動功能移動IP向上層屏蔽了主機移動的細(xì)節(jié)現(xiàn)有因特網(wǎng)的上層協(xié)議和應(yīng)用都無須改動解決通信對端和移動主機間IP報文的發(fā)送問題通信對端如何將IP報文發(fā)送給移動主機移動主機如何將IP報文發(fā)送給通信對端移動IP通過隧道技術(shù)來實現(xiàn)6移動節(jié)點：它有兩個地址歸屬地址：永久地址,它使移動主機與它歸屬的網(wǎng)絡(luò)相關(guān)聯(lián)轉(zhuǎn)交地址：臨時地址,它與外地網(wǎng)絡(luò)相關(guān)聯(lián)。當(dāng)移動主機從一個網(wǎng)絡(luò)移到另一個網(wǎng)絡(luò)時,轉(zhuǎn)交地址就改變了本地代理：有一個端口與移動節(jié)點本地鏈路相連的路由器,

4、它根據(jù)移動用戶的轉(zhuǎn)交地址,采用隧道技術(shù)轉(zhuǎn)交移動節(jié)點的數(shù)據(jù)包。外地代理：移動節(jié)點的漫游鏈路上的路由器,它通知本地代理自己的轉(zhuǎn)交地址,是移動節(jié)點漫游鏈路的缺省路由器。移動IP的功能實體7移動IP實體及其相互關(guān)系路由器和鏈路構(gòu)成的任意拓?fù)浔镜卮硪苿庸?jié)點外地代理外地代理移動節(jié)點漫游鏈路家鄉(xiāng)鏈路8工作過程及關(guān)鍵技術(shù)移動IP的工作過程涉及三個階段：代理發(fā)現(xiàn)注冊數(shù)據(jù)包傳送9過程一：代理發(fā)現(xiàn)判定它當(dāng)前連在家鄉(xiāng)鏈路上還是漫游鏈路上檢測它是否切換了鏈路當(dāng)連在外漫游鏈路上時,得到一個轉(zhuǎn)交地址10代理播送代理移動節(jié)點主機主機鏈路代理播送本地代理/外地代理周期性播送代理播送消息,鏈路上的所有節(jié)點都收到這個消息。移動節(jié)

5、點檢查代理播送消息,并且決定它所連接的是本地鏈路還是漫游鏈路。連在漫游鏈路上的移動節(jié)點從代理播送消息中得到轉(zhuǎn)交地址。11代理發(fā)現(xiàn)使用ICMP路由器通知報文代理請求消息（10 Router solicitation message）當(dāng)移動節(jié)點發(fā)送此消息時,目的是使鏈路上的所有代理立即發(fā)送一個代理播送消息,移動節(jié)點快速切換鏈路,而代理發(fā)送播送消息的頻率不夠時,會發(fā)送本消息。代理播送消息（9 Router advertisement message） 移動代理播送擴展 類型：16 前綴長度擴展 類型：19 代理發(fā)現(xiàn)使用的消息代理發(fā)現(xiàn)使用的消息12代理播送消息生存時間域( Lifetime )（與移動

6、代理播送擴展中的注冊生存時間Registration Lifetime域無關(guān)）說明代理發(fā)送播送的頻率,這個值主要用來作“移動檢測。由外地代理發(fā)出的播送F比特置為1,同樣,由家鄉(xiāng)代理發(fā)出的播送H比特也置為1。前綴長度被移動節(jié)點用來作“移動檢測。13代理請求消息I P包的生存時間域必須置成 1。14移動節(jié)點如何判定自己的移動1. 用生存時間域作移動檢測利用代理播送消息中ICMP路由器播送局部的生存時間域,這個域告訴移動節(jié)點,每過多長時間它就可以從同一個代理那里收到一個播送如果沒有收到任何播送,它就發(fā)出一個代理請求消息去詢問。2. 用網(wǎng)絡(luò)前綴作移動檢測移動節(jié)點通過比較兩個播送消息的網(wǎng)絡(luò)前綴就可以判定

7、它們是否來自同一條鏈路如果發(fā)現(xiàn)它已移動到新鏈路上了,就應(yīng)向在新鏈路上的外地代理進行注冊15移動節(jié)點收不到任何播送消息時怎么辦設(shè)法在家鄉(xiāng)鏈路上通信可以向它在家鄉(xiāng)鏈路上用的缺省路由器發(fā)送ICMP Echo Request消息,如果這臺缺省路由器給出了應(yīng)答,那么移動節(jié)點很可能正連在它的家鄉(xiāng)鏈路上,這樣就可以繼續(xù)通信了在漫游鏈路上用DHCP和手工配置如果缺省路由器沒有應(yīng)答,那么移動節(jié)點可以認(rèn)為它正連在一條漫游鏈路上無需播送消息的移動檢測（假定可以得到一個配置轉(zhuǎn)交地址）TCP進程監(jiān)測：在它已翻開的TCP連接上檢查最近有沒有轉(zhuǎn)發(fā)進行。如沒有,則移動過了檢查鏈路上的所有包：這些包中沒有一個網(wǎng)絡(luò)前綴與它的轉(zhuǎn)交

8、地址的網(wǎng)絡(luò)前綴一樣16過程二：注冊位置移動時,進行得到轉(zhuǎn)交地址的注冊移動節(jié)點可以通過注冊得到外地鏈路上的外地代理的路由效勞（認(rèn)證）。移動節(jié)點可以通知家鄉(xiāng)代理它的轉(zhuǎn)交地址?；氐奖镜劓溌窌r,重新進行注冊。（注銷）使用的地址超過了生存時間時（使一個要過期的注冊重新生效）17“綁定-Binding家鄉(xiāng)代理必然有一張移動節(jié)點家鄉(xiāng)地址和轉(zhuǎn)交地址的對應(yīng)表,這張表中的一個表項就稱為綁定表項（ Binding Entry）注冊過程的主要目的就是產(chǎn)生、修改或刪除家鄉(xiāng)代理中移動節(jié)點的綁定表項18注冊請求消息注冊應(yīng)答消息注冊消息包括短的定長局部加上一個或者多個變長的擴展局部構(gòu)成。注冊消息在UDP數(shù)據(jù)段中封裝。注冊過程

9、使用的消息19注冊的種類外地代理本地代理移動節(jié)點漫游鏈路路由器和鏈路組成的任意拓?fù)浼亦l(xiāng)鏈路142注冊請求注冊應(yīng)答移動節(jié)點向本地代理注冊轉(zhuǎn)交地址1.移動節(jié)點用外地代理轉(zhuǎn)交地址注冊在一條漫游鏈路上320注冊的種類本地代理移動節(jié)點漫游鏈路路由器和鏈路組成的任意拓?fù)浼亦l(xiāng)鏈路注冊請求注冊應(yīng)答2.移動節(jié)點用配置轉(zhuǎn)交地址注冊在一條漫游鏈路上21注冊的種類本地代理移動節(jié)點路由器和鏈路組成的任意拓?fù)浼亦l(xiāng)鏈路注冊請求注冊應(yīng)答3.移動節(jié)點在回到本地鏈路后進行注銷22注冊消息格式移動-外地認(rèn)證擴展外地-家鄉(xiāng)認(rèn)證擴展B、D、M、G和V比特主要與選路有關(guān)生存時間為零表示移動節(jié)點希望注銷一個轉(zhuǎn)交地址注冊請求消息注冊應(yīng)答消息

10、（定長局部）Code域給出了拒絕的原因23移動節(jié)點何時注冊當(dāng)移動節(jié)點發(fā)現(xiàn)自己從一條鏈路切換到了另一條鏈路上時就開始注冊過程有時即使沒有鏈路的切換,它也進行注冊當(dāng)移動節(jié)點發(fā)現(xiàn)它所連接的外地代理進行了重起時（這可從外地代理播送消息中的序列號得知） ；當(dāng)目前的注冊就要過期時,移動節(jié)點也應(yīng)重新注冊。24移動節(jié)點如何發(fā)送注冊請求消息移動節(jié)點根據(jù)它代理搜索過程中得到的信息,選擇一種注冊種類,并組裝它的注冊請求消息M比特和G比特要求家鄉(xiāng)代理在隧道中采用最小封裝（ Minimal Encapsulation） RFC2004 或通用路由封裝（Generic Routing Encapsulation）RFC1

11、701,而不是RFC 2003中的IP封裝（IP in IP Encapsulation）。移動節(jié)點和外地代理在外地鏈路上能支持 RFC11 4 4 中定義的 Van Jacobson 報頭壓（Header Compression）時,就將V比特置為1。(5.4.8節(jié)）幀頭IP頭UDP頭25如何確定在當(dāng)前鏈路上發(fā)送注冊消息時采用的數(shù)據(jù)鏈路層的目的地址？移動節(jié)點不能在外地鏈路上發(fā)送包含它的家鄉(xiāng)地址的ARP幀。移動節(jié)點應(yīng)記錄下外地代理發(fā)送的代理播送消息中的數(shù)據(jù)鏈路層源地址,從而得到外地代理的數(shù)據(jù)鏈路層地址,移動節(jié)點可將這個地址作為承載注冊消息的數(shù)據(jù)鏈路層幀的數(shù)據(jù)鏈路層目的地址。移動節(jié)點得到外地鏈路

12、上的缺省路由器IP地址的方法這臺缺省路由器是注冊消息經(jīng)過的第一跳,也是所有由移動節(jié)點發(fā)出的數(shù)據(jù)包經(jīng)過的第一跳移動節(jié)點可以通過ARP得到缺省路由器的數(shù)據(jù)鏈路層地址,只要在ARP請求消息中包含的是它的轉(zhuǎn)交地址而不是家鄉(xiāng)地址。移動節(jié)點如何發(fā)送注冊請求消息26外地代理如何處理注冊請求外地代理接收到注冊請求后,要對它進行一系列的有效性檢查移動節(jié)點在注冊請求消息中包含了移動外地認(rèn)證擴展局部,而其中的認(rèn)證算法域（Authenticator ）卻是無效的,即移動節(jié)點在這個外地代理上的認(rèn)證沒有成功移動節(jié)點請求的生存時間（ Lifetime）超過了移動代理所允許的最大值外地代理不支持移動節(jié)點所請求的隧道類型外地代

13、理沒有足夠的資源來支持更多的移動節(jié)點27外地代理如何處理注冊請求注冊應(yīng)答的Code域給出了拒絕的原因有效,則將該消息中繼到移動節(jié)點的家鄉(xiāng)代理那里外地代理將包含注冊請求消息的數(shù)據(jù)包的IP報頭和UDP頭完全剝?nèi)?再加上新的報頭后才送給家鄉(xiāng)代理在中繼注冊請求消息前,外地代理要記錄源數(shù)據(jù)鏈路層地址、源IP地址、源UDP端口號、家鄉(xiāng)代理地址、標(biāo)識域和請求的生存時間,為注冊應(yīng)答和路由數(shù)據(jù)包用。28“R比特的處理移動代理播送擴展的“注冊要求比特,即R比特, 為外地代理提供了一種機制,通知移動節(jié)點必須向它進行注冊,即使移動節(jié)點采用的是配置轉(zhuǎn)交地址,否則外地代理將拒絕為該節(jié)點路由數(shù)據(jù)包。外地代理是一臺外地鏈路上

14、的路由器有時它同時為移動節(jié)點提供路由和拆封功能（當(dāng)移動節(jié)點采用外地代理轉(zhuǎn)交地址時）有時它只向移動節(jié)點提供路由功能（當(dāng)移動節(jié)點采用配置轉(zhuǎn)交地址時）29家鄉(xiāng)代理如何處理注冊請求做一系列和外地代理相似的有效性檢查如果注冊請求是有效的,將對移動節(jié)點的綁定表項進行更新家鄉(xiāng)代理根據(jù)請求開始通過隧道向移動節(jié)點的轉(zhuǎn)交地址傳送數(shù)據(jù)包,或者應(yīng)移動節(jié)點的要求關(guān)閉所有隧道另外,家鄉(xiāng)代理還將發(fā)送代理ARP消息最后,家鄉(xiāng)代理向移動節(jié)點發(fā)送注冊應(yīng)答,告知注冊成功家鄉(xiāng)代理對綁定的更新多重綁定30多重綁定用途：克服乒乓效應(yīng),減少注冊次數(shù)雙播機制實現(xiàn)快速切換多接口實現(xiàn)多連接,多家鄉(xiāng),異構(gòu)切換方法：移動節(jié)點將注冊請求消息中的S比特

15、置1,通知家鄉(xiāng)代理它希望對一個特定的轉(zhuǎn)交地址進行綁定,而保持當(dāng)前別的綁定不變?nèi)绻苿庸?jié)點在兩個蜂窩之間來回切換,它就可以同時注冊這兩條鏈路上的轉(zhuǎn)交地址,這樣無論移動節(jié)點當(dāng)前接收的是哪一個發(fā)射器的信號,它都可以接收通過隧道傳過來的數(shù)據(jù)包處于兩個蜂窩邊界上的移動節(jié)點31移動節(jié)點如何處理注冊應(yīng)答在接收到注冊應(yīng)答后,移動節(jié)點就開始進行自己的有效性檢查如果這條應(yīng)答消息是有效的,那么移動節(jié)點就檢查Code域,看看這次注冊是被家鄉(xiāng)代理（和外地代理）接受還是被拒絕了。常見的拒絕原因有：過長的生存時間（大于外地代理所允許的最大長度）和無效的標(biāo)識域（這時家鄉(xiāng)代理可能期望的是另一個值）-重新嘗試一次注冊。如果Cod

16、e域表示注冊請求已被接受,那么移動節(jié)點就可以調(diào)整它的路由表,以適應(yīng)當(dāng)前鏈路,然后就可以開始通信或繼續(xù)先前的通信了。32節(jié)點如何知道注冊消息的真正發(fā)送者移動節(jié)點為每次注冊請求選擇一個唯一的值寫入標(biāo)識域（ Identification） 第一個目的是使移動節(jié)點可以將注冊應(yīng)答和相應(yīng)的注冊請求對應(yīng)起來,使移動節(jié)點可以判斷一大堆注冊請求中的哪一個被接受了或被拒絕了。第二個目的是防止有人將移動節(jié)點的一個注冊請求消息存下來,之后又送回一個注冊應(yīng)答。所有的數(shù)據(jù)包送到“壞家伙那里。標(biāo)識域的唯一性以及移動-家鄉(xiāng)認(rèn)證擴展（Mobile-Home Authentication Extension）一起阻止這種事情（稱

17、為拒絕效勞攻擊）的發(fā)生。33拒絕效勞攻擊因特網(wǎng)家鄉(xiāng)代理家鄉(xiāng)網(wǎng)絡(luò)外地代理路由器壞家伙外地鏈路移動節(jié)點通信對端偽造的注冊報文34拒絕效勞攻擊 壞家伙向家鄉(xiāng)代理發(fā)送一個偽造的注冊請求消息,家鄉(xiāng)代理將它的IP地址當(dāng)作移動節(jié)點的轉(zhuǎn)交地址。所有發(fā)送給移動節(jié)點報文都將被送給壞家伙壞家伙可以在任意地點實施攻擊移動IP使用IPSec機制,要求移動節(jié)點和家鄉(xiāng)代理之間建立平安協(xié)定(Security Association),對所有的注冊消息都要進行有效的認(rèn)證35重發(fā)攻擊因特網(wǎng)家鄉(xiāng)代理家鄉(xiāng)網(wǎng)絡(luò)外地代理路由器壞家伙外地鏈路移動節(jié)點通信對端記錄注冊報文36重發(fā)攻擊家鄉(xiāng)代理家鄉(xiāng)網(wǎng)絡(luò)外地代理路由器壞家伙移動節(jié)點通信對端記錄的

18、注冊報文因特網(wǎng)37拒絕效勞攻擊為對付這種攻擊 ,移動IP要求對移動節(jié)點和家鄉(xiāng)代理之間的注冊消息進行認(rèn)證。認(rèn)證是一個發(fā)送節(jié)點向接收節(jié)點提供身份證明的過程,常采用一個只有發(fā)送者和接收者知道的秘密值來實現(xiàn)。這種認(rèn)證不可能通過檢查網(wǎng)上的數(shù)據(jù)包進行攻擊。移動 IP在注冊請求消息中采用了標(biāo)識域,以防止這種重發(fā)攻擊的發(fā)生。移動節(jié)點和外地代理以及外地代理和家鄉(xiāng)代理之間的認(rèn)證移動-外地認(rèn)證擴展。外部-家鄉(xiāng)認(rèn)證擴展。由發(fā)送數(shù)據(jù)包的節(jié)點直接將包通過隧道(非移動-家鄉(xiāng)隧道）送往轉(zhuǎn)交地址,而不是先路由到家鄉(xiāng)鏈路上,這顯然效率要高得多。之所以不采用這種優(yōu)化的路由技術(shù),主要是對付拒絕效勞攻擊。38過程三：包傳送路由器路由器

19、本地代理本地鏈路本地代理向其他路由器廣播對移動節(jié)點本地地址的可達性。（代理ARP）路由更新：“我可以到達具有與移動節(jié)點的本地地址相同的網(wǎng)絡(luò)前綴的所有目的地。”39包傳送主機路由器本地代理本地鏈路本地代理的廣播可達性消息吸收了發(fā)往移動節(jié)點本地地址的數(shù)據(jù)包。數(shù)據(jù)包40包傳送外地代理本地代理移動節(jié)點 本地代理截取送往移動節(jié)點本地地址的數(shù)據(jù)包，并通過隧道送往它的轉(zhuǎn)交地址。 外地代理從隧道取出原始數(shù)據(jù)包，并且通過漫游鏈路送給移動節(jié)點。41移動節(jié)點外地代理本地代理從本地代理到外地代理的IP隧道外層報頭報頭凈荷外部凈荷封裝的IP包報頭凈荷原始IP包IP源遠(yuǎn)程主機地址,IP目的移動主機歸屬地址IP源本地代理,

20、IP目的外地代理42移動節(jié)點外地代理本地代理從外地代到移動節(jié)點外層報頭報頭凈荷外部凈荷封裝的IP包報頭凈荷到移動節(jié)點的IP包IP源遠(yuǎn)程主機地址,IP目的移動主機轉(zhuǎn)交地址IP源本地代理,IP目的外地代理43移動節(jié)點主機本地代理路由器路由器路由器外地代理用外地代理轉(zhuǎn)交地址的移動節(jié)點用配置轉(zhuǎn)交地址的移動節(jié)點經(jīng)隧道封裝的數(shù)據(jù)包原始數(shù)據(jù)包移動節(jié)點移動節(jié)點44移動節(jié)點如何發(fā)送數(shù)據(jù)包直接路由原路返回45直接路由因特網(wǎng)外地代理移動節(jié)點家鄉(xiāng)代理10.0.0.450.0.0.120.0.0.4中間路由器通信對端源IP地址目的IP地址10.0.0.450.0.0.110.0.0.X46路由器入口過濾的影響因特網(wǎng)外地

21、代理移動節(jié)點家鄉(xiāng)代理10.0.0.450.0.0.120.0.0.4中間路由器通信對端源IP地址目的IP地址10.0.0.450.0.0.1為了安全，中間路由器對流入的報文進行過濾，將源IP地址不合法的報文丟棄10.0.0.X47反向隧道因特網(wǎng)外地代理移動節(jié)點家鄉(xiāng)代理IP地址：10.0.0.450.0.0.1通信對端20.0.0.1轉(zhuǎn)交地址：20.0.0.410.0.0.X隧道源IP地址隧道宿IP地址20.0.0.410.0.0.1源IP地址目的IP地址10.0.0.450.0.0.1反向隧道源IP地址目的IP地址10.0.0.450.0.0.148移動IP的優(yōu)化路由優(yōu)化切換優(yōu)化49三角路由問

22、題外地代理家鄉(xiāng)代理通信對端移動節(jié)點因特網(wǎng)通信對端能否直接將報文發(fā)給移動節(jié)點的轉(zhuǎn)交地址？50綁定緩存策略通信對端維護一個綁定緩存,存儲它要訪問的移動節(jié)點的對當(dāng)通信對端要向移動節(jié)點發(fā)送報文時,它檢查自己的緩存,找到移動節(jié)點的轉(zhuǎn)交地址,直接將報文通過隧道發(fā)給移動節(jié)點由于移動節(jié)點的轉(zhuǎn)交地址是隨著節(jié)點位置的變化而變化的,所以通信對端要對綁定緩存進行維護51綁定緩存的建立家鄉(xiāng)代理截獲一個目的地址為移動節(jié)點的報文時,它知道通信對端沒有關(guān)于移動節(jié)點的綁定信息,就向通信對端發(fā)送綁定更新消息,通知它移動節(jié)點的家鄉(xiāng)IP地址和轉(zhuǎn)交地址通信對端可以主動向移動節(jié)點的家鄉(xiāng)代理發(fā)送綁定請求消息,家鄉(xiāng)代理使用綁定更新消息將移動節(jié)點的轉(zhuǎn)交地址送給通信對端52綁定緩存的維護采用定時更新機制,刪除過老的綁定信息如果外地代理通過隧道收到一個消息,但對應(yīng)的移動節(jié)點已不在自己的訪問列表中。這說明通信對端