(12) TŁUMACZENIE PATENTU EUROPEJSKIEGO (19) PL (11) PL/EP (96) Data i numer zgłoszenia patentu europejskiego:

Transkrypt

1 RZECZPOSPOLITA POLSKA (12) TŁUMACZENIE PATENTU EUROPEJSKIEGO (19) PL (11) PL/EP (96) Data i numer zgłoszenia patentu europejskiego: (13) (51) T3 Int.Cl. H04L 12/66 ( ) H04L 29/06 ( ) Urząd Patentowy Rzeczypospolitej Polskiej (97) O udzieleniu patentu europejskiego ogłoszono: Europejski Biuletyn Patentowy 2013/09 EP B1 (54) Tytuł wynalazku: METODA I INSTRUMENT DO REALIZACJI PRZEKAZYWANIA Z UWZGLĘDNIANIEM ODWROTNEJ ŚCIEŻKI NIEPOWTARZALNEGO ADRESU (30) Pierwszeństwo: CN (43) Zgłoszenie ogłoszono: w Europejskim Biuletynie Patentowym nr 2011/15 (45) O złożeniu tłumaczenia patentu ogłoszono: Wiadomości Urzędu Patentowego 2013/06 (73) Uprawniony z patentu: ZTE Corporation, Shenzhen, CN (72) Twórca(y) wynalazku: PL/EP T3 PENG SUN, Shenzhen, CN YUPING ZHAN, Shenzhen, CN (74) Pełnomocnik: rzecz. pat. Mariusz Kondrat KONDRAT KANCELARIA PRAWNO-PATENTOWA Al. Niepodległości 223/ Warszawa Uwaga: W ciągu dziewięciu miesięcy od publikacji informacji o udzieleniu patentu europejskiego, każda osoba może wnieść do Europejskiego Urzędu Patentowego sprzeciw dotyczący udzielonego patentu europejskiego. Sprzeciw wnosi się w formie uzasadnionego na piśmie oświadczenia. Uważa się go za wniesiony dopiero z chwilą wniesienia opłaty za sprzeciw (Art. 99 (1) Konwencji o udzielaniu patentów europejskich).

2 Opis DZIEDZINA TECHNIKI [0001] Niniejszy wynalazek dotyczy dziedziny łączności, a ściślej dotyczy metody i urządzeń służących do realizacji unicastowego przekazywania z uwzględnianiem odwrotnej ścieżki (URPF) INFORMACJE UZUPEŁNIAJĄCE [0002] W przypadku ataku sieciowego z wykorzystaniem fałszywego adresu źródłowego, komputer hackera wysyła dużą liczbę komunikatów synchronizacji (SYN) protokołu kontroli transmisji (TCP) z fałszywymi adresami źródłowymi do komputera hosta będącego ofiarą ataku, zajmując w ten sposób zasoby sesji translacji adresu sieci (NAT) bramy zabezpieczającej, uniemożliwiając w ten sposób wszystkim klientom w sieci lokalnej normalne korzystanie z sieci. [0003] URPF to skuteczny środek zwiększenia bezpieczeństwa trasowania, wykorzystuje się go głównie do zapobiegania atakom sieciowym wykorzystującym podszywanie się pod adres źródłowy. URPF wykorzystuje następujący mechanizm przesyłania pakietów danych: gdy router otrzymuje pakiet danych, sprawdza tablicę trasowania i określa, czy trasowanie, który zwraca źródłowy adres IP pakietu danych wchodzi z interfejsu, gdzie pakiet danych jest odbierany; jeśli tak, pakiet danych przesyłany jest w normalny sposób; w przeciwnym wypadku, uznaje się, że źródłowy adres IP jest adresem fałszywym, i wówczas pakiet danych jest odrzucany. Mechanizm przekazywania z uwzględnianiem odwrotnej ścieżki odgrywa pewną rolę w zapobieganiu atakom wykorzystującym złośliwy, fałszywy adres źródła i technikę rozproszonej odmowy usługi (DDoS). [0004] Na przykład, jeśli router otrzyma pakiet danych ze źródłowym adresem IP a, ale brak jest trasy (trasy niezbędnej do wstecznej transmisji pakietu danych) dla adresu IP a w tablicy trasowania, wówczas router odrzuci pakiet danych. URPF zapobiega atakowi SMURF i innym atakom wykorzystującym podszywanie się pod adres IP na dostawcę Internetu (ISP) (strona biurowa). W ten sposób sieć i klientów można chronić przed wtargnięciem z Internetu i innych miejsc. [0005] Z punktu widzenia ochrony, im bardziej brzegowe są urządzenia, tym lepsza jest ochrona sieci. Jednocześnie, w przypadku urządzeń brzegowych, ruch sieciowy jest relatywnie mniejszy, a aktywacja funkcji ochrony ma niewielki wpływ na jakość przesyłu w sieci. 1

3 [0006] Według Tools Available for Securing IPv6 Networks ( Narzędzia służące do zabezpieczania sieci IPv6 ) (w: Ciprian Popoviciu; Eric Levy Abegnoli; Patrick Grossetete: Deploying IPv6 Networks ( Stosowanie sieci IPv6 ), 10 lutego 2006 roku, Cisco Press, XPOO , ISBN: , str ): polityka bezpieczeństwa wprowadzająca weryfikację adresu źródłowego jest ważna z punktu widzenia eliminacji ataków wykorzystujących podrabianie adresu (spoofing). Polityka taka zapobiega podrabianiu adresu źródłowego na poziomie prefiksu. Powinno się ją wprowadzić możliwie najbliżej niezabezpieczonej lokalizacji. Sieć dostępowa to typowy scenariusz, gdzie można wprowadzać politykę tego typu. Dostawca usługi obsługujący sieć chce mieć pewność, że jego klienci nie będą próbować podszyć się pod adres o prefiksie innym, niż ich własny prefiks. Na rysunku 9 7 ukazano sytuację, gdy hosta A powstrzymano przed wysyłaniem ruchu sieciowego z wykorzystaniem adresu hosta B jako adresu źródłowego. [0007] Według Unicast Reverse Path Forwarding for IPv6 on the Cisco Series Internet Router ( Unicastowe przekazywanie z uwzględnianiem odwrotnej ścieżki dla IPv6 na routerze internetowym Cisco seria ) (1 stycznia 2005 roku, str. 1 18, XP , pobrane z Internetu): funkcja unicastowego przekazywania z uwzględnianiem odwrotnej ścieżki (Unicast RPF) dla IPv6 usuwa część problemów spowodowanych przez wprowadzenie mających niewłaściwą formę lub podrobionych adresów źródłowych IPv6 do sieci poprzez odrzucenie pakietów IPv6, którym brak dającego się zweryfikować adresu źródłowego IPv6. Jeśli funkcja ta zostanie uaktywniona od strony klienta na interfejsie (lub podinterfejsie) procesora interfejsu 5 SPA engine 10 G (10G SIP) serii Cisco 12000, filtruje ona ruch IPv6 w celu ochrony sieci dostawcy usługi i jego klientów. [0008] W związku z tym, realizacja URPF ma zasadnicze znaczenie. Jednak w chwili obecnej, sieć IPv6 nie posiada technologii umożliwiającej realizację kontroli filtrowania adresu źródłowego na urządzeniach dostępowych do pasma. PODSUMOWANIE [0009] W związku z powyższym problemem, polegającym na braku technologii umożliwiającej realizację kontroli filtrowania adresu źródłowego na urządzeniach dostępowych, celem niniejszego wynalazku jest zapewnienie metody i urządzenia umożliwiającego realizację UPRF. [0010] Aby niniejszy wynalazek mógł osiągnąć wyżej opisany cel, zgodnie z jednym aspektem niniejszego wynalazku, zapewniono metodę realizacji URPF. Metoda ta stosowana jest w sieci IPv6, gdzie sieć IPv6 zawiera router i urządzenie w pomieszczeniu klienta, charakteryzując się tym, że sieć IPv6 zawiera także urządzenia dostępowe. 2

4 [0011] Metoda realizacji UPRF według niniejszego wynalazku jest następująca: urządzenie dostępowe uzyskuje wgląd i komunikat ogłoszenia od routera, zaś komunikat ogłoszenia zawiera informacje o prefiksie adresu; urządzenie dostępowe tworzy tablicę prefiksów wykorzystującą uzyskane informacje o prefiksie adresu; następnie urządzenie dostępowe odbiera komunikat z prośbą o dostęp od urządzenia w pomieszczeniu klienta, ustala, czy adres źródłowy IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów i na podstawie wyniku ustalenia podejmuje decyzję, czy przesłać komunikat do routera czy też nie. [0012] Pożądane jest w tych okolicznościach, by komunikat ogłoszenia, do którego uzyskano wgląd i otrzymany przez urządzenie dostępowe był wysyłany periodycznie przez router w ustalonych wcześniej odstępach czasowych, i jeśli urządzenie dostępowe otrzyma nowy komunikat ogłoszenia, metoda ta może także obejmować aktualizację informacji zapisanych w tablicy prefiksów przez urządzenie dostępowe. [0013] Pożądane jest, by metoda obejmowała także: wiekowanie informacji zapisanych w tablicy prefiksów, jeśli informacje zapisane w tablicy prefiksów nie zostaną uaktualnione we wcześniej określonym czasie. [0014] Pożądane jest, by decyzja o przesłaniu komunikatu na podstawie wyniku oceny była podejmowana w następujący sposób: przesłanie komunikatu do routera jeśli wynik oceny to tak ; odrzucenie komunikatu, jeśli wynik oceny to nie. [0015] Zgodnie z innym aspektem niniejszego wynalazku, zapewniono także urządzenie do realizacji UPRF, urządzenie stosowane jest w sieci IPv6, gdzie sieć IPv6 zawiera router i urządzenie w pomieszczeniu klienta, charakteryzując się tym, że sieć IPv6 zawiera także urządzenia dostępowe. [0016] Instrumenty do realizacji UPRF zgodnie z niniejszym wynalazkiem znajdują się w urządzeniu dostępowym w sieci IPv6, w skład instrumentów wchodzi: moduł do uzyskiwania wglądu i otrzymywania, moduł do określania, moduł do odbierania i moduł do przesyłania. Przy czym moduł do uzyskiwania wglądu i otrzymywania służy do uzyskiwania wglądu i otrzymywania komunikatu ogłoszenia od routera; komunikat ogłoszenia zawiera informacje o prefiksie adresu; moduł do określania służy do tworzenia tablicy prefiksów na podstawie uzyskanych informacji o prefiksie adresu; moduł do odbierania służy do odbierania komunikatów z prośbą o dostęp od urządzenia w pomieszczeniu klienta, zaś moduł do przesyłania służy do przesyłania komunikatu do routera, jeśli źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów utworzonej przez moduł do określania. [0017] Pożądane jest, by powyższe instrumenty posiadały także moduł do ustalania podłączony do modułu do odbierania i modułu do przesyłania, służący do ustalania, czy źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów utworzonej 3

5 przez moduł do określania; jeśli odpowiedź brzmi tak, moduł do przesyłania może zadziałać. [0018] Pożądane jest, by w sytuacji gdy komunikat ogłoszenia, do którego uzyskano wgląd i który otrzymano przez moduł do uzyskiwania wglądu i otrzymywania jest wysyłany przez router co pewien wcześniej ustalony okres czasu, i jeśli moduł do uzyskiwania wglądu i otrzymywania otrzyma nowy komunikat ogłoszenia, instrumenty mogą także zawierać moduł do aktualizacji, podłączony do modułu do uzyskiwania wglądu i otrzymywania i modułu do określania, celem aktualizacji informacji zapisanych w tablicy prefiksów. [0019] Pożądane jest, by instrumenty zawierały także moduł do wiekowania podłączony do modułu do określania, celem wiekowania informacji zapisanych w tablicy prefiksów, które nie zostały uaktualnione we wcześniej określonym czasie. [0020] Pożądane jest, by moduł do określania mógł przesyłać utworzoną tablicę prefiksów do modułu do przesyłania, wykorzystując listę kontroli dostępu. [0021] Za pośrednictwem wyżej opisanych rozwiązań technicznych niniejszego wynalazku, komunikat pochodzący z urządzenia w pomieszczeniu klienta jest przetwarzany na podstawie informacji o trasowaniu otrzymanych z interfejsu routera, w porównaniu ze stanem techniki, niniejszy wynalazek rozwiązuje problem braku technologii umożliwiającej realizację kontroli filtrowania adresu źródłowego na urządzeniach dostępowych, dzięki czemu jest on w stanie odfiltrować fałszywy pakiet danych, realizując w ten sposób kontrolę filtrowania na urządzeniach dostępowych. KRÓTKI OPIS RYSUNKÓW [0022] Załączone rysunki umożliwiają lepsze zrozumienie natury niniejszego wynalazku i stanowią część niniejszego zgłoszenia. Przykłady wykonania niniejszego wynalazku i jego ilustracje służą do jego objaśnienia, nie stanowiąc niewłaściwego ograniczenia wynalazku. Na załączonych rysunkach: Fig. 1 to schematyczne przedstawienie scenariusza zastosowania sieciowego zgodnie z jednym z przykładów wykonania niniejszego wynalazku; Fig. 2 to schemat blokowy realizacji URPF zgodnie z jednym z przykładów wykonania niniejszego wynalazku; Fig. 3 to schematyczne przedstawienie zasady realizacji zgodnie z jednym z przykładów wykonania niniejszego wynalazku; 4

6 Fig. 4 to schematyczne przedstawienie struktury komunikatu zgodnie z przykładem wykonania metody niniejszego wynalazku; Fig. 5 to schemat blokowy realizacji URPF zgodnie z preferowanym przykładem wykonania niniejszego wynalazku; Fig. 6 to schemat blokowy instrumentów do realizacji URPF zgodnie z jednym z przykładów wykonania niniejszego wynalazku; Fig. 7 to schemat blokowy instrumentów do realizacji URPF zgodnie z preferowanym przykładem wykonania niniejszego wynalazku; SZCZEGÓŁOWY OPIS WYNALAZKU Przegląd funkcji [0023] W sieci IPv6, interfejs routera może co jakiś czas wysyłać komunikat ogłoszenia zawierający prefiks łącza, maksymalną jednostkę transmisji łącza (MTU), trasowanie sieci publicznej i inne informacje. Szerokopasmowe urządzenie dostępowe może informacje o trasowaniu interfejsu routera poprzez uzyskanie wglądu do komunikatu, realizując w ten sposób kontrolę filtra adresu źródłowego opartą na sieci IPv6. [0024] W dalszej części niniejszego dokumentu, preferowane przykłady wykonania niniejszego wynalazku będą opisywane w odniesieniu do załączonych rysunków. Należy rozumieć, że preferowane przykłady wykonania, opisane tutaj służą jedynie do ilustracji i objaśnienia niniejszego wynalazku, nie do jego ograniczania. Przy unikaniu konfliktów, przykłady wykonania i funkcje zawarte w przykładach można łączyć ze sobą. [0025] Poniższy opis zawiera jedynie przykład(y) wykonania, ale nie w celu ograniczania zakresu, możliwości zastosowania czy konfiguracji opisanych w niniejszym dokumencie. Wręcz przeciwnie, poniższy opis przykładu(ów) wykonania może stanowić opis przykładu(ów) wykonania w celu realizacji środków opisanych w niniejszym dokumencie przez fachowców w danej dziedzinie. Należy rozumieć że, bez odchodzenia od ducha i zakresu wynalazku opisanych w załączonych zastrzeżeniach, można wprowadzać różne zmiany dotyczące funkcji i układu elementów. Realizacje metody [0026] Zgodnie z przykładami wykonania niniejszego wynalazku, przedstawiono pewną metodę realizacji URPF. 5

7 [0027] Metoda realizacji URPF zgodnie z przykładami wykonania niniejszego wynalazku stosowana jest w sieci IPv6. Fig. 1 to schematyczne przedstawienie scenariusza zastosowania sieciowego zgodnie z jednym z przykładów wykonania niniejszego wynalazku. Jak ukazano na Fig. 1, sieć IPv6 składa się przynajmniej z urządzenia dostępowego 2, routera 3 oraz urządzenia w pomieszczeniu klienta (CPE) 1. Przy czym urządzeniem dostępowym 2 może być, między innymi, jedno z następujących: wielousługowy węzeł dostępowy (MSAN), multiplekser dostępu do DSL (DSLAM) oraz terminal światłowodowy (OLT). [0028] Fig. 2 to schemat blokowy realizacji URPF zgodnie z jednym z przykładów wykonania niniejszego wynalazku. Jak ukazano na Fig. 2, metoda realizacji URPF zgodnie z jednym z przykładów wykonania niniejszego wynalazku składa się głównie z następujących kroków (S202 S206): Krok S202, urządzenie dostępowe uzyskuje wgląd i otrzymuje komunikat ogłoszenia od routera, przy czym komunikat ogłoszenia zawiera informacje o prefiksie adresu; Krok S204, urządzenie dostępowe tworzy tablicę prefiksów na podstawie uzyskanych informacji o prefiksie adresu; Krok S206, urządzenie dostępowe otrzymuje komunikat z prośbą o dostęp od CPE, ustala, czy źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów i decyduje, czy przesłać komunikat do routera w zależności od wyniku ustalenia. [0029] W dalszej części niniejszego dokumentu, szczegóły powyższego procesu przedstawiono na Fig. 3, który jest schematycznym przedstawieniem przykładu zastosowania metody niniejszego wynalazku. (1) Krok S202 [0030] Interfejs routera co pewien okres czasu wysyła komunikat ogłoszenia, zawierające następujące informacje: prefiks łącza, MTU łącza, konkretną trasę przesyłu danych, informację, czy należy używać automatycznej konfiguracji adresu, okres ważności itp. Urządzenie dostępowe (lub szerokopasmowe urządzenie dostępowe) uzyskuje wgląd do komunikatu ogłoszenia wysłanego przez router i otrzymuje komunikat ogłoszenia routera za pośrednictwem portu uplink. Jako że otrzymany komunikat ogłoszenia routera trzeba dalej przesłać do CPE, należy skopiować komunikat ogłoszenia otrzymany za pośrednictwem portu uplink, przy czym jedna kopia przesyłana jest do CPU urządzenia dostępowego celem przetworzenia, zaś druga przesyłana normalnie do CPE. (2) Krok S204 6

8 [0031] Urządzenie dostępowe uzyskuje informacje o prefiksie adresu w komunikacie ogłoszenia routera, przetwarza komunikat zgodnie z jego formatem przedstawionym na Rys. 4, automatycznie tworzy tablicę prefiksów, jak ukazano w Tabeli 1 na podstawie informacji o prefiksie adresu, a następnie wprowadza informacje o prefiksie adresu do poniższej tablicy prefiksów. Tabela 1 Adres prefiksu Maska Identyfikacja wiekowania [0032] Automatycznie wygenerowana tablica prefiksów jest pobierana na poziom przekazywania za pośrednictwem listy kontroli dostępu (ACL). ACL jest globalną ACL, wszystkie dane z linii w pomieszczeniu klienta muszą być przetworzone przez ACL, zanim zostaną przesłane dalej. [0033] Ogólnie rzecz biorąc, wygenerowana ACL kontroli prefiksów może mieć następującą postać: Dopuść IP znajdujący się w tablicy prefiksów Odrzuć wszystkie [0034] Każdy wpis w tablicy prefiksów musi być wiekowany w celu przystosowania do zmiany adresu interfejsu routera. Nowy prefiks segmentu sieci IP będzie emitowany po rekonfiguracji adresów przez router. Zgodnie z powyższym krokiem, urządzenie dostępowe może uzyskać nowy adres IP, tak by transmisja danych następujących nowych segmentów sieci IP po łączu ładowania była realizowana za pośrednictwem urządzenia dostępowego. Pożądane byłoby, gdyby stare wpisy były poddawane procesowi wiekowania tak, by zbędne dane były usuwane z systemu. [0035] Wiekowanie wykonywane jest w oparciu o następującą zasadę: na podstawie przesłanki, że komunikat ogłoszenia dotarł do routera, jeśli zapis, że komunikat ogłoszenia dotarł do routera nie został zasygnalizowany i przetworzony po trzykrotnym odświeżeniu, przyjmuje się, że zapis ten został usunięty na interfejsie routera. [0036] Powyższa obróbka może nie tylko wiekować zapis, ale także zapobiec sytuacji, w której komunikatów z danymi nie można wysłać lub też czas emisji komunikatów zostaje zmieniony na skutek tymczasowej awarii routera, przez co urządzenie dostępowe przez pomyłkę usuwa ważny zapis. (3) Krok S206 7

9 [0037] Urządzenie dostępowe otrzymuje z CPE komunikat z prośbą o dostęp. Dla każdego otrzymanego komunikatu, trzeba najpierw wysłać zapytanie do tablicy prefiksów; dalej można przesyłać tylko te komunikaty z danymi, których źródłowe adresy IP figurują w tablicy prefiksów, zaś komunikaty z danymi, których źródłowe adresy IP nie figurują w tablicy prefiksów, zostaną odrzucone. [0038] Zgodnie z metodą opisaną w powyższym przykładzie wykonania niniejszego wynalazku, komunikat pochodzący z CPE jest przetwarzany w oparciu o otrzymane informacje interfejsu routera dotyczące trasowania, dzięki czemu fałszywe pakiety danych można odfiltrować i na urządzeniu dostępowym można zrealizować kontrolę filtra adresu. [0039] Fig. 5 to schemat blokowy realizacji URPF zgodnie z preferowanym sposobem realizacji niniejszego wynalazku. Jak ukazano na Fig. 5, metoda realizacji URPF zgodnie z preferowanym przykładem wykonania niniejszego wynalazku składa się głównie z następujących kroków. [0040] Krok S502, router co pewien czas emituje komunikat ogłoszenia, przy czym komunikat ogłoszenia zawiera prefiks łącza, MTU łącza, trasowanie sieci publicznej i inne informacje. [0041] Krok S504, po otrzymaniu komunikatu ogłoszenia, DSLAM przesyła go do CPE, wysyła jedną kopię do CPU i generuje tablicę prefiksów na podstawie informacji o prefiksie łącza zawartych w komunikacie ogłoszenia. [0042] Kroki S502 i S504 odpowiadają krokom S202 i S204 na Fig. 2. [0043] Krok S506, DSLAM uzyskuje wgląd do komunikatu ogłoszenia i uzyskuje informacje dotyczące trasowania na łączu. [0044] Krok S508, CPE wysyła komunikat z prośbą o surfowanie po Internecie do DSLAM, jeśli źródłowy adres IP komunikatu z CPE figuruje w segmencie sieciowym tablicy prefiksów, wówczas komunikat ten jest przesyłany dalej. [0045] Krok S510, jeśli źródłowy adres IP komunikatu z prośbą od CPE nie figuruje w segmencie sieciowym tablicy prefiksów, wówczas komunikat ten jest odrzucany i blokowany. [0046] Kroki S506 S510 odpowiadają krokom S206 na Fig. 2. [0047] Zgodnie z powyższą metodą opisaną w przykładach wykonania niniejszego wynalazku, DSLAM może odfiltrować fałszywy pakiet danych przychodzący z CPE na podstawie 8

10 komunikatu ogłoszenia wysłanego przez router, co zapobiega przedostawaniu się złośliwych komunikatów do sieci i zapewnia bezpieczeństwo sieci. Przykłady wykonania instrumentów [0048] Zgodnie z przykładami wykonania niniejszego wynalazku, zapewnia się instrumenty do realizacji URPF. [0049] Fig. 6 to schemat blokowy instrumentów do realizacji URPF zgodnie z jednym z przykładów wykonania niniejszego wynalazku; zaś Fig. 7 to schemat blokowy instrumentów do realizacji URPF zgodnie z preferowanym przykładem wykonania niniejszego wynalazku. [0050] Instrumenty do realizacji URPF zgodnie z przykładami wykonania niniejszego wynalazku można stosować w sieci IPv6, przy czym sieć IPv6 składa się przynajmniej z urządzenia dostępowego, routera oraz urządzenia w pomieszczeniu klienta. W trakcie konkretnego procesu wdrażania, powyższe instrumenty do realizacji URPF można umiejscowić w urządzeniu dostępowym lub osobno. Jak ukazano na Fig. 6, instrumenty obejmują moduł do uzyskiwania wglądu i otrzymywania 10, moduł do określania 20, moduł do odbierania 30 oraz moduł do przesyłania 40, przy czym moduł do uzyskiwania wglądu i otrzymywania 10 służy do uzyskiwania wglądu i otrzymywania komunikatu ogłoszenia od routera; przy czym komunikat ogłoszenia zawiera informacje o prefiksie adresu; moduł do określania 20 podłączony do modułu do uzyskiwania wglądu i otrzymywania 10 służy do tworzenia tablicy prefiksów na podstawie uzyskanych informacji o prefiksie adresu; moduł do odbierania 30 podłączony do modułu do określania 20 służy do odbierania komunikatów z prośbą o dostęp od urządzenia w pomieszczeniu klienta, zaś moduł do przesyłania 40 podłączony do modułu do odbierania 30 służy do przesyłania komunikatu do routera, jeśli źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów utworzonej przez moduł do określania. Pożądane jest, by moduł do określania 20 przesyłał utworzoną tablicę prefiksów do modułu do przesyłania 40 stosując ACL. [0051] Pożądane jest, jak ukazano na Fig. 7, by instrumenty obejmowały także moduł do ustalania 50 podłączony odpowiednio do modułu do odbierania 30 i modułu do przesyłania 40, w celu ustalenia, czy źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów utworzonej przez moduł do określania i wywołania lub uruchomienia modułu do przesyłania 40, jeśli wynik kontroli jest pozytywny. [0052] Jak ukazano na Fig. 7, pożądane jest, by instrumenty obejmowały także moduł do aktualizacji 60 podłączony odpowiednio do modułu do uzyskiwania wglądu i otrzymywania 10 i modułu do określania 20, w celu aktualizacji informacji zapisanych w tablicy prefiksów 9

11 na okoliczność sytuacji, gdy komunikat ogłoszenia, do którego uzyskano wgląd i otrzymany przez moduł do uzyskiwania wglądu i otrzymywania 10 jest wysyłany przez router co pewien wcześniej ustalony okres czasu, i jeśli moduł do uzyskiwania wglądu i otrzymywania 10 otrzymuje nowy komunikat ogłoszenia. [0053] Pożądane jest, by instrumenty obejmowały także moduł do wiekowania 70 podłączony do modułu do określania 20, celem przeprowadzania procesu wiekowania zapisanych informacji, które nie zostały uaktualnione w ustalonym wcześniej czasie w tablicy prefiksów. [0054] Podsumowując, za pomocą powyższych rozwiązań technicznych zawartych w przykładach wykonania niniejszego wynalazku, fałszywy pakiet danych przesłany od klienta można odfiltrować, gwarantując w ten sposób bezpieczeństwo sieci, zaś w rozwiązaniu technicznym zgodnie z przykładami wykonania niniejszego wynalazku, filtrowanie adresu nie wymaga konfiguracji ręcznej, zaś tablica filtra adresu może być dynamicznie odświeżana za pomocą przetwarzania automatycznego; oprócz tego, rozwiązanie techniczne zawarte w przykładach wykonania niniejszego wynalazku nie wpływa na zdolność istniejącego urządzenia do przesyłania i nie nakłada dodatkowych obciążeń. [0055] Najwyraźniej, co powinno być zrozumiałe dla fachowców w danej dziedzinie, moduły lub kroki niniejszego wynalazku można realizować za pomocą uniwersalnego instrumentu do przetwarzania danych; mogą zostać zintegrowane w pojedynczym instrumencie do przetwarzania danych, mogą też zostać rozproszone w sieci zawierającej większą liczbę instrumentów do przetwarzania danych; można je także zaimplementować za pomocą kodów programu wykonywanych przez urządzenie do przetwarzania danych, dzięki czemu mogą być one zapisane w instrumencie do przetwarzania danych i przez niego wykonywane; można z nich także utworzyć odpowiedni moduł obwodu scalonego lub z kilku modułów lub kroków można utworzyć pojedynczy moduł obwodu scalonego. W związku z tym, niniejszy wynalazek nie jest ograniczony do żadnej konkretnej kombinacji podzespołów elektronicznych i oprogramowania. [0056] Powyżej opisano jedynie preferowane przykłady wykonania niniejszego wynalazku, których celem nie jest jego ograniczanie. Fachowcy w danej dziedzinie mogą wprowadzać różne zmiany i poprawki do niniejszego wynalazku. Wszelkie modyfikacje, odpowiedniki i udoskonalenia zgodne z duchem i zasadą niniejszego wynalazku, należy objąć zakresem ochrony niniejszego wynalazku. 10

12 Zastrzeżenia patentowe 1. Metoda realizacji unicastowego przekazywania z uwzględnianiem odwrotnej ścieżki, stosowanego w sieci IPv6 zawierającej router (3) oraz urządzenie w pomieszczeniu klienta(1), charakteryzująca się tym, że sieć IPv6 zawiera urządzenie dostępowe (2), przy czym urządzenie dostępowe (2) uzyskuje wgląd i otrzymuje komunikat ogłoszenia od routera (3), przy czym komunikat ogłoszenia zawiera informacje o prefiksie adresu (S202); urządzenie dostępowe (2) tworzy tablicę prefiksów opierającą się na uzyskanych informacjach o prefiksie adresu (S204); a także urządzenie dostępowe (2) otrzymuje komunikat z prośbą o dostęp od urządzenia w pomieszczeniu klienta (1) ustalając, czy źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów i decydując, czy komunikat należy przesłać do routera (3) w zależności od wyniku kontroli (S206). 2. Metoda według zastrzeżenia 1, w sytuacji, gdy komunikat ogłoszenia, do którego uzyskano dostęp i otrzymany przez urządzenie dostępowe (2) jest wysyłany co pewien wcześniej ustalony okres czasu przez router (3), i jeśli urządzenie dostępowe (2) otrzyma nowy komunikat ogłoszenia, metoda obejmuje także: urządzenie dostępowe (2) aktualizujące informacje zapisane w tablicy prefiksów. 3. Metoda według zastrzeżenia 2, obejmująca także: wiekowanie informacji zapisanych w tablicy prefiksów, jeśli informacje zapisane w tablicy prefiksów nie zostaną zaktualizowane we wcześniej określonym czasie, przy czym wiekowanie wykonywane jest w oparciu o następującą zasadę: na podstawie przesłanki, że komunikat ogłoszenia dotarł do routera (3), jeśli zapis, że komunikat ogłoszenia dotarł do routera (3) nie został zasygnalizowany i przetworzony po trzykrotnym odświeżeniu, przyjmuje się, że zapis ten został usunięty na interfejsie routera 4. Metoda według zastrzeżenia 1, przy czym podjęcie decyzji o przesłaniu komunikatu dalej na podstawie wyniku ustalenia obejmuje: przesłanie komunikatu do routera (3), jeśli wynik kontroli jest pozytywny; i odrzucenie komunikatu jeśli wynik kontroli jest negatywny; 11

13 5. Instrument do realizacji unicastowego przekazywania z uwzględnianiem odwrotnej ścieżki, stosowanego w sieci IPv6 zawierającej router (3) oraz urządzenie w pomieszczeniu klienta (1), charakteryzująca się tym, że sieć IPv6 zawiera urządzenie dostępowe (2), instrument umiejscowiony jest w urządzeniu dostępowym (2), zaś instrument zawiera: moduł do uzyskiwania wglądu i otrzymywania (10) do uzyskiwania wglądu i otrzymywania komunikatu ogłoszenia od routera (3); przy czym komunikat ogłoszenia zawiera informacje o prefiksie adresu; moduł do określania (20) do tworzenia tablicy prefiksów na podstawie uzyskanych informacji o prefiksie adresu; moduł do odbierania (30) do odbierania komunikatów z prośbą o dostęp od urządzenia w pomieszczeniu klienta (1), oraz moduł do przesyłania (40) do przesyłania komunikatu do routera (3), jeśli źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów utworzonej przez moduł do określania (20). 6. Instrument według zastrzeżenia 5, obejmujący także moduł do ustalania (50) podłączony do modułu do odbierania (30) oraz do modułu do przesyłania (40) celem ustalenia, czy źródłowy adres IP komunikatu z prośbą o dostęp figuruje w tablicy prefiksów utworzonej przez moduł do określania (20); jeśli wynik kontroli jest pozytywny, uruchomiony zostaje moduł do przesyłania (40). 7. Instrument według zastrzeżenia 5, obejmujący także moduł do aktualizacji (60) podłączony odpowiednio do modułu do uzyskiwania wglądu i otrzymywania (10) i modułu do określania (20), w celu aktualizacji informacji zapisanych w tablicy prefiksów. 8. Instrument według zastrzeżenia 7, obejmujący także moduł do wiekowania (70) podłączony do modułu do określania (20), celem przeprowadzania procesu wiekowania zapisanych informacji, które nie zostały uaktualnione w ustalonym wcześniej czasie w tablicy prefiksów, przy czym wiekowanie wykonywane jest w oparciu o następującą zasadę: na podstawie przesłanki, że komunikat ogłoszenia dotarł do routera (3), jeśli zapis, że komunikat ogłoszenia dotarł do routera (3) nie został zasygnalizowany i przetworzony po trzykrotnym odświeżeniu, przyjmuje się, że zapis ten został usunięty na interfejsie routera. 9. Instrument według zastrzeżenia 8, przy czym moduł do przesyłania (40) przesyła komunikat dalej zgodnie z listą kontroli dostępu pobraną z utworzonej tablicy prefiksów. 12

14

15

16

17