（计算机软件与理论专业论文）安全多播组密钥的管理方案研究.pdf

摘要 摘要 多播是一种介于单播和广播之间的高效网络传输机制。它能够提供一种满足 群组应用的消息交互模式，从而有效地降低网络带宽的占用、减轻网络负载等， 所以多播在实时数据传送、多媒体会议、网络游戏等方面有着广泛的应用。但是 多播的安全问题却阻碍了多播技术的进一步应用。 目前，单播的安全问题己经得到了很好地解决。但多播相比单播有着更加复 杂的体系结构，因此多播通信中仍存在着很多安全问题需要进一步研究。其中， 多播组密钥的管理就是安全多播的核心问题之一。 多播组密钥管理的目标是高效地产生、分发和更新通信的组密钥。本文重点 研究了多播组密钥管理方案是如何产生、分发和更新组密钥以及由此产生的扩展 性、健壮性和可靠性问题等。 针对组密钥管理方案中的平坦型组密钥管理方案可扩展性差的问题，本文提 出了一种基于秘密份额的平坦型组密钥管理方案。通过性能的分析和比较，该方 案不仅解决了平坦型组密钥管理方案可扩展性差的问题，而且易于进行批量更新 密钥，提高系统更新密钥的效率。 最后，对相对于独立更新的批量更新策略进行了研究。本文提出了一种相对 于固定周期的批量更新方案一基于队列的批量更新方案，并结合基于秘密份额的 更新机制进行了性能的分析和验证。结果表明该方案相对于固定周期的批量更新 方案，不仅能够根据请求到达的情况动态更新密钥，减少密钥的更新次数，提高 了密钥更新的灵活性，而且降低了系统更新密钥的开销，提高了系统的更新效率， 有一定实用性。 关键词：秘密份额，独立更新，周期固定的批量更新，队列 a b s t r a c t a b s t r a c t m u l t i c a s ti sah i g he t t i e i e n e ym e c h a n i s ma p p l i e dt on e t w o r kt r a n s p o r tb e t w e e n u n i c a s ta n db r o a d c a s t i ta f f o r d so l l et om a n ya n dm a n yt om a n yt r a n s p o r tm o d em e e t g r o u pa p p l i e a t i o ms y s t e m i tc a l lr e d u c en e t w o r kb a n d w i d t ha n da l l e v i a t et h es e r v e r l o a d m u l t i c a s th a sb e e na p p l i e dw i d e l yi nm a n yw a y s ，s u c h 嬲r e a l - t i m ed a t at r a n s p o r t , m u l t i m e d i ac o n f e r e n c ea n dn e t w o r kg a m e , e r e h o w e v e r , t h e r ea l s oe x i s ts o m ei s s u e s w h i c h w o u l db l o c kf u r t h e rm u l t i e a s ta p p l i c a t i o n t h i si sm u l t i c a s ts e c u r i t y a tp r e s e n t , u n i c a s ts e c u r i t yi sw e l lr e s o l v e d i - i o w c v c r ，s i n c et h ea r c h i t e c t u r eo f m u l t i e a s ti sm o l ec o m p l e xt h a nt h a to fu n i e a s t , t h e r ea l em a n yp r o b l e m sn e e d e dt o r e s e a r c hf l l r t h c ri nm u l t i c a s ts e c u r i t y a b o v ea l lo ft h e s es e c u r i t yp r o b l e m s ，g r o u pk e y m a n a g e m e n ti so n o o ft h ev i t a lp r o b l e m s t h eg o a lo fg r o u pk e ym a n a g e m e n ti st h eg e n e r a t i o n , d i s t r i b u t i o na n du p d a t i n go f s e c u r ec o m m u n i c a t i o nk e y se f f e c t i v e l y t h ee m p h a s e so ft h i st h e s i sf i l et of i n dm u l t i c a s t k e ym a n a g e m e n tm e t h o d sh o w t og e n e r a t e , d i s t r i b u t ea n du p d a t ek e y se f f e c t i v e l ya n dt o s o l v et h ep r o b l e m so fs e a l a b i l i t y , r o b u s t n e s sa n dr e l i a b i l i t y a i m i n ga tt h eu n s e a l a b i l i t yl i e si nt h ef l a tg r o u pk e ym a n a g e m e n t , t h i st h e s i s p u r p o s e saf l a tg r o u pk e ym a n a g e m e n tb a s e do i ls e c r e ts h a r e , w h i c hn o to n l y s o l v e st h e u n s c a l a b i l i t yb u ta l s ob a t e l ar e k e y se a s i l y i nt h ee n d , t h i st h e s i sr e s e a r c h e sb a t c hr e k e ya n dp u r p o s e st h eb a t c hr e k e yb a s e d t oq u e u e w ea n a l y s i st h ep e r f o r m a n c eo ft h eb a t c hr e k e yb a s e dt oq u e u ee o r n b i n e d 、历l t h eg r o u pm a n a g e m e n tb a s e d0 1 1s e c r e ts h a r e t h er e s u l ts h o w st h a ti tc a nn o to n l yb a t c h r e k e yd y n a m i c a l l ya c c o r d i n gt ot h eq u e s t sb u ta l s od e c r e a s et h er e k e yt i m e sa n d a l l e v i a t ek e y $ e i v e r sr e k e yc o s tc o m p a r e dw i t hb a t c hr e k e y i n gb a s e do nf i x e dp e r i o d b u ta l s oi sf l e x i b l e k e y w o r d s ：s e c r e ts h a r e ，i n d i v i d u a lr e k e y , b a t c hr e k e yb a s e do i lf i x e dp e r i o d ，q u e u e 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作 及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方 外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为 获得电子科技大学或其它教育机构的学位或证书而使用过的材料与 我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的 说明并表示谢意。 签名： 隰矿侈占月 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文的 规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘， 允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文的全 部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描 等复制手段保存、汇编学位论文 ( 保密的学位论文在解密后应遵守此规定) 签名：敛7 i p 7 y导师签名：二憋 隰加p 矽日 第亭绪论 1 研究背景 第一章绪论 随着i n t e r n e t 和视频音频技术的迅速发展，越来越多的群组应用如流媒体、 视频会议、视频点播、付费电视、网络游戏、分布式仿真等都需要从一个主机向 多个接收终端或者从多个主机向多个接收终端发送同一信息。如果采用目前网络 应用中主要的通信传输方式一单播( u n i c a s t ) 通信方式，服务器需要为每一个接受 者提供一个相同内容的撤文在网络上传输如图卜i 所示，占用了大量网络带宽资 源，加重了拉送端服务器的负担，所以单播不能适应出现的越来越多的组应用。 网络中的另一种传输方式广播通信( b r o a d c a s t ) 虽然能够避免单描通信中服务器 为每一个接收者提供一个相同内容的报文拷贝，可以把一个报文一次性发送给所 有的主机，但是并非所有的主机都需要这些报文，因而浪费了网络资源，极大地 降低了网络的处理能力。 削1 - 1 单播通信原理 i p 多播是介于单播和广播之间的一种组通信方式，不仅避免了单播通信中 服务器必须为每一个接收者提供一个相同内容的报文拷贝，而且可以把一个报文 一次性发送给组中所有成员而非阋段中所有的主机，减少了对带宽的占用，减轻 了服务器负荷，减少网络的拥塞，改善传送数据的质量，并可能从根本上改变网 络的体系结构，使得i p 多播成为州络学术界的研究热点之一。 然而，由于网络的丌放性和多播技术的局限性，使得多播通信的安全性难以 勺_ | 1囝洒 一 ； 匦 嘤一 电子科技大学硕士学位论文 得到保证。为了保证多播安全通信，保证通信数据的机密性、完整性和一致性， 就需要将多播通信内容用组密钥加密，然后再进行传输，因此，安全多播组密钥 的管理成为安全多播通信的重要研究内容。 1 1 1 课题来源 本课题来源于电子科技大学博士点基金项目和国家8 6 3 计划课题。 1 1 2 研究的目的和意义 由于多播技术独特的优越性，使得多播不仅成为学术界的一个重要的研究领 域，而且也获得了如c i s c o 、a t t 、i n t e l 、m i c r o s o f t 、i b m 等厂商的支持，并已 取得了一定范围的商业应用。然而多播通信中存在很多安全问题，极大的影响了 多播技术的推广如一台主机可以不受限制地在任何时候加入或者退出没有安全认 证的某个多播组，发送和获取多播数据，特别是恶意用户会利用多播存在的安全 漏洞对组应用系统进行攻击，造成安全隐患。因此，对多播安全问题特别是核心 问题之一一多播组密钥管理进行研究有着重大的理论意义和实用意义。 1 2 多播的安全现状 目前单播的安全问题得到了很好的解决，但是由于多播相单播的体系结要复 杂的多，所以相比起单播来多播系统的安全性也要复杂得多，保证多播传输数据 的机密性、完整性、一致性就变得更加困难。多播安全通信的目标需要达到两个 方面的要求：一方面，只有注册并获得认可的发送者才可以向该组发送数据，另 一方面，只有注册并成为合法的组成员的接收者才可以接收该组的通信数据。然 而由于目前多播通信标准不能很好达到安全多播的安全的要求，使得多播通信内 容不能得到很好的保护，所以，目前的多播通信标准不能有效地防止组外恶意的 攻击者对组应用系统进行窃听、篡改、假冒等主动和被动的攻击。目前多播安全 问题主要表现在这几个方耐z 】： ( 1 ) 数据机密性。它确保护计算机系统中或者网络中被传输的数据是不受被动 攻击。 ( 2 ) 数据完整性。数据完整性保证计算机系统或网络中传输的信息在存储、传 输和使用的过程中是完整的即没有受到非授权用户的创建、修改、插入、删除或 2 第一章绪论 重放等操作。 ( 3 ) 源认证。所谓源认证就是对向组中发送的数据的来源的认证，包括两个方 面：一是组认证，接收方能从接收的数据报文辨别出该报文是来自组内成员而不 是来自未经验证的组外成员；二是组成员认证，接收方不仅能从接收到的数据报 文辨别出该报文是来自组内成员的，而且能够具体是那个成员发送的。 ( 4 ) 访问控制和组管理。这个问题主要涉及以下几个方面： 加入多播组的新成员的认证； 安全的将用于对传输的数据进行加密的组密钥分发给组成员，以保证数据 传输的机密性： 确保前后向安全性即加入组的成员不能获得加入组之前的通信数据和离 开组的成员不能获得离开组后的通信数据除非重新加入多播组； ( 5 ) 不可抵赖性。为了确信参与者的真实同一性，在信息交互过程中，所有参 与者都不可能否认或抵赖曾经完成的操作和承诺。不可抵赖性分为：发送不可抵 赖( 发送方不能抵赖所发送的数据，) 和接收不可抵赖( 接收方不能抵赖所收到的 数据) 。不可抵赖性可以有效防止拒绝式服务攻击d o s 或者d d o s 。 ( 6 ) 密钥管理体系结构。密钥管理体系结构主要研究的是多播安全关联的建立 过程和消息有效载荷类型、格式以及多播应用系统中组密钥管理的关键算法。 安全多播的安全问题中最为核心问题是组密钥管理和源认证【3 l 。多播的组密钥 管理论上当成员关系发生变化时要及时更新组密钥以确保系统的前后向安全性同 时兼顾效率；源认证应能解决对发送源的认证问题，保证接收到的数据确实是来 自它所声称的源而不是其他的源发送的。本文研究的是多播安全的核心问题之一 一组密钥的管理。 1 3 组密钥管理方案的研究现状 在9 0 年代初期，国内外的学者对多播组密钥管理研究主要局限于应用于静态 的或规模较小的组的组密钥管理方案。但近年来国内外的研究机构和学者对应用 于动态性较强或者组规模较大的组密钥管理方案做了很好的探索研究。 最早提出的组密钥管理方案之一一组密钥管理协议( g r o u pk e ym a n a g e p r o t o c 0 1 ) 。在该方案在中，由g c ( g r o u pc o n t r 0 1 ) 产生组密钥，并和组中的所有 成员共享该组密钥，用于加密和解密通信数据以确保通信的安全性。当新成员要 加入多播组时，组控制中心就生成一个组密钥报文g k p ( g r o u pk e yp a c k e t ) 并单播 电子科技大学硕士学位论文 给新成员，其中组密钥报文包含用于加密通信数据的组密钥t e k ( g r o u pt r a f f i c e n e r y p t i o nk e y ) 和用于加密组密钥的密钥k e k ( g r o u pk e ye n c r y p t i o nk e y ) ，然后组 控制中心用与其他组成员的共享的旧组密钥加密g k p ，多播发送给组中的成员。 当组通信密钥到期或者组成员离开时，组控制中心就产生新的g k p ，用k e k 加密 后多播给组成员。g k m p 方案优点在于组控制中心和组中的成员拥有的密钥占用 较小的存贮空间，且比较容易实现；缺点就是：1 ) 离开的组成员仍然能够解密 g k p 获得离开组后的新通信组密钥，如果要保证后向的安全性就要重新建立一个 组；2 ) 对于成员动态安全性问题没有很好解决；3 ) 密钥的更新代价和组成员的数 量即组规模呈线性关系，可扩展性差。 为了解决密钥更新带来的可扩展性差的问题，w o n g 和w a l l n e r 提出了一种特 殊的密钥图一逻辑密钥层次树( l k h ) 【4 】。该方案通过利用辅助密钥方法将组成员离 开组的密钥更新代价降低到0 0 0 9 d n ) ，其中n 代表组成员的数量，d 为树的度数。 l k h 方案在管理密钥方面具有相当的高效性和安全性，但也有一定的局限性，该 方案不适合应用大型的动态组( 成员关系变动频繁的组) 。 后来，基于逻辑密钥树的改进研究有很多方案，这些改进方案主要集中在几 个方面：减少主控制中心和组成员保存的密钥数量；降低密钥更新的延迟和对网 络带宽占用；提高对组成员关系变化频繁的适应性。w a l d v o g e l 和r a f a e l i 分别提 出的i k h + 【5 】和l k h + 2 1 6 1 方案对新成员的加入和组成员的离开进行了优化，减少了 g c 保存密钥的数量，降低了密钥占用存储空间：b a l e n s o n 提出的单向函数树o f t ( o n e 州a yf u n a i o l lt r e e ) 【7 1 方案。该方案采用了二叉密钥树结构，当更新密钥时 组控制中心发送给成员的信息不是新密钥而是更新密钥所需要的参数，收到更新 消息的组成员利用收到更新消息中参数可以自行计算出新密钥，这样减少密钥更 新的消息量，使的密钥更新开销由o ( 2 1 0 9 2 n ) 降为o ( 1 0 9 2 n ) 。p e g u e r o l e s 等人提出了 一种利用伪随机函数计算更新密钥的方案【8 j ，使得成员和g c 存储密钥数量减少。 s e l c u k 等】提出利用成员变化的概率构造密钥树的方案【9 】，当组成员加入多播组时， 需要按照局部最优和全局最优方式计算插入代价。许勇和陈恺提出基于成员行为 的l k h 方案【1 0 1 ，该方案对成员离开和加入组的行为进行了区分：对组成员离开多 播组的行为，只更通信的新组密钥，余下辅助密钥暂缓更新。该方案一方面减少 了组管理者生成密钥的数量，另一方面也减少了组管理者的计算开销。 m i t t r a 提出的分层分组式组密钥管理方案i o l u s i o 】方案是将一个大型的组分 解成若干个子组，每个子组存在一个控制结点，这些控制结点组成了组密钥管理 的层次i ，小组内部的结点组成了密钥管理的层次i i 。两个层次可以独立地选择 4 第一章绪论 密钥管理方式：集中式或者分布式，在每个层次上采用何种方式都会继承这些方 式的优缺点。但分层分组式管理方案在子组间传输数据需要多次加解密操作，使 得根结点可能成了系统可靠性和安全性的瓶颈。 为了增强对组成员关系变化的适应性，y a u gl 等提出定量或定时批量处理成 员关系变化的批量更新密钥的方案】是相对与独立更新方案另一种更新策略，它 不是在每次组成员关系变化时立即更新密钥，而是等待一段时间或者等到成员关 系变化的数量达到一定值时，再处理收到的所有请求，并产生一套新的密钥和密 钥更新消息，发给整个组更新密钥。批量更新的策略虽然牺牲了组应用系统的安 全性，但增强了系统对组成员关系变化的承受能力。 所以，多播安全领域还是一个较新的学术领域，还存在许多的问题尤其它的 组密钥管理机制等待着我们去探索、去研究。 1 4 本文研究的内容 本文主要研究了多播安全中的关键技术一多播组密钥管理，并做了如下工作： 首先，通过大量阅读相关文献，了解多播安全的现状和国内外组密钥管理方 案的研究现状，并介绍组播技术的相关理论； 其次，对不同种类的多播密钥管理方案进行深入分析研究，并对典型的组密 钥管理方案优缺点进行了总结与比较。 再次，本文利用有限域的插值理论提出了一种基于秘密份额的平坦型组密钥 管理方案，给出了密钥管理操作的具体过程，并且和其他方案在密钥存储量、加 密计算量等方面进行了性能分析和比较。分析结果表明，该方案有良好的可扩展 性，较容易进行批量更新，有着较小的更新开销，并且能很好防止同谋破解； 最后，本文研究了批量更新密钥的策略，并提出了一种基于队列的批量更新 密钥方案。本文对该方案进行了性能的分析，并结合基于秘密份额组密钥管理算 法进行验证。结果表明该方案相比固定周期的批量更新方案不仅能根据请求到达 的情况动态更新组密钥，有着较高的灵活性，而且降低密钥的更新开销，有很好 的实用性。 1 5 本文的组织结构 电子科技大学硕士学位论文 本文共分为六章： 第一章，介绍研究背景，多播通信中存在的安全问题以及国内外对组密钥管 理的研究现状： 第二章，简要介绍多播技术，介绍了多播的原理、多播发展、多播体系结构、 i n t e m e t 组管理协议( i g m p ) 及多播的路由协议和多播转发机制； 第三章，对多播的组密钥管理方案中的典型方案进行了深入的研究，并对各 种方案的优缺点进行了总结与比较； 第四章，针对平坦型组密钥管理方案可扩展性差的问题，本文提出了一种基 于秘密份额的组密钥管理方案，详细介绍了算法的思想，管理的操作过程，并进 行性能分析和比较； 第五章，介绍相对于独立更新的批量更新密钥方式，并提出一种基于队列的 批量更新方案，结合基于秘密份额的组密钥管理方案和固定周期的批量更新方案 进行了性能的分析比较和验证； 第六章，对全文进行总结，并给出了今后进一步的研究方向。 6 第二章i p 多播技术 第二章i p 多播技术 i p 多播技术能够有效地解决一个主机向特定的多个接收土机高效发送消息的 问题，减少不必要的重复发送，有效地利用阿络带宽，减轻服务器负荷，减少网 络的拥塞，改善传送数据的质量。 21 多播技术概述 211 多播的原理 多播( m u t t i c a s t ) 是介于单播和多播之间的一种一到多或者多到多的通信方式， 是一种通过相应的多插路由控制把数据包从一个或者多个发送者次性发送给多 个特定的接收者的通信方式，也就是说通过多播可以把一个分组转发到用一个特 殊的地址标识的多个结点，进而转发给这些结点。和单播不同，多播服务器只需 要为所有的接收者提供一个i p 报文拷贝，然后由路由中的路由器根据需要复制数 据包转发给接受者如图2 - 1 。多播技术避免了单播技术服务器必须为每一个接收者 供一个相同内容的i p 报文拷贝在网络上重复地传输，有效降低占用带宽，减轻服 务器负荷，并能改善传送数据的质量，减少网络的拥塞和服务器的负担。 嘴 凰鹂 幽2 l 多擗通信原理 在多橘通信中，通常采用下面三种通信模式： 1 ) 单点对多点的通信模式( 1 一，n ) 。只有一个信息源，而信息接收者可以有很 箧尹 蜃睹 罗一 曼雠 电子科技大学硕士学位论文 多个。这种模式主要应用于视频广播、新闻发布和多方同步备份等； 2 ) 多点对多点的通信模式 。信息发送者和接收者都有多个，这种模式 主要适用于远程教育、视频会议系统等； 3 ) 多点对点的通信模式( n - i ) 。多个发送者，一个接收者的应用模式。通 常是双向请求响应应用，任何一端( 多点或点) 都有可能发起请求。典型应用包 括：资源查找、数据收集、网络竞拍、信息询问。 2 1 2 多播技术的发展历史 2 0 世纪8 0 年代中期，斯坦福大学的博士生s t e v ed e e r i n g 在他的两篇论文h o s t g r o u p ：am u l t i c a s te x t e n s i o nt ot h ei n t e m e tp r o t o c o l 和h o s te x t e n s i o n s f o ri p m u l t i c a s t i n g 1 2 】中提出了口多播通信的可能性。1 9 9 2 年3 月多播主干网m b o n e 建 立，并利用建立的m b o n e 成功地举行了一次网络会议。但多播的发展是非常缓慢 的，多播技术和w w w 虽处于同一时期，第一个w w w 浏览器出现于1 9 9 0 年， 到1 9 9 3 年已发展到6 0 0 个w w w 站点，而多播直到1 9 9 7 年以后出现的一些设计 精巧的多播路由协议如p i m d m 、p i m s m 等，才使多播i p 数据包能正确而又迅 速地发送给成千上万的接收者，才使得m 多播技术的应用才开始快速发展。其主 要原因是i p 多播通信模式需要相当复杂的多播路由器，要求路由器能提供每个组 和每个源的信息状态，并且随着i n t e r n e t 越来越复杂给多播的进一步发展带来了困 难。目前，p 多播已经可以运行在任意体系结构的网络之上，包括因特网、a t m 、 帧中继、s m d s 和卫星，并应用到许多领域，如视频会议、多媒体、新闻发布和 来自太空的远程实况广播等方面。 2 2 多播技术 多播技术涵盖的内容非常丰富，从地址分配机制、组成员管理，多播报文转 发树、多播路由协议、可靠性等诸多方面。下面我们对多播的相关知识进行介绍。 2 2 1 多播地址机制 在多播网络中，多播将所有的接收终端定义为一个组，用唯一的一个d 类地 址即多播地址来标识格式如图2 2 所示。地址前四比特为“1 1 1 0 ，指出是一个多 第二章多播技术 播地址，其余的2 8 位比特表示了特殊的组播地址。多播的地址范围从2 2 4 0 0 0 到 2 3 9 2 5 5 2 5 5 2 5 5 ，每个地址表示一个多播组。 i - - 字节0 - - - ii - - - - - 字节l - - - - ii - - - - - 字节2 - - - - i 卜字节3 3 2 位即地址 重蚕垂三蚕三覆薹蚕薹薹茎三i i 重主薹至薹主蘑e 蜀l 坐兰兰i 坚竺坚坚圈竺竺圈坚兰竺竺矽 固定为il l l o 图2 - 2i p 地址格式 整个口多播地址的空间划分三部分：预留多播地址、用户分配的多播地址和 本地管理多播地址如图2 3 所示： 2 3 9 0 0 0 2 3 8 2 5 5 2 5 5 2 5 5 2 2 4 0 0 2 2 4 0 0 2 5 5 4 0 室 r 1 t 2 2 o o 一卫 图2 - 3 组地址分配 m 多播地址的空间中的地址2 2 4 0 0 0 - - 2 2 4 0 0 2 5 5 被i a n a 预留下来做特殊的 用途。其中地址2 2 4 0 0 0 保留不做分配，其它地址供路由协议及拓扑查找和维护 协议使用。该范围内的多播地址属于局部范畴，所以不论生存时间t r l 值是多少， 多播数据包都不会被路由器转发出去。 2 2 4 0 1 0 - - 2 3 8 2 5 5 2 5 5 2 5 5 的地址是供用户申请的多播地址。用户可以申请该 范围内的多播地址来构建多播应用系统，在该范围内的申请的多播地址在全网范 围内有效。 2 3 9 0 0 0 - 2 3 9 2 5 5 2 5 5 2 5 5 的地址为本地管理多播地址( a d m i n i s t r a t i v e l ys e o p e d a d d r e s s e s ) ，仅在特定的本地范围内实用有效，不能在i n t e r n e t 范围内应用。 在逻辑层面上，当口层收到多播数据报文时，根据多播目的i p 地址查找多播 转发表，对报文进行转发。而在物理层面上网络协议需要把第三层的i p 网络地址 映射成第二层的物理地址，为此i a n a 将m a c 地址范围0 1 ：0 0 ：5 e ：0 0 ：o o ： o o 到0 1 ：g o ：5 e ：7 f ：f f ：f f 分配给多播使用，具体的映射方法如图2 4 所示， 由于多播d 地址前4 位固定为1 1 1 0 ，所以只能将2 8 位的口多播地址空间映射到 9 电子科技大学硕士学位论文 2 3 位的m a c 地址空间中去。由于在映射过程中多播组地址的高5 位被忽略，因 此，这种映射并不是惟一的，有3 2 个口多播地址可以映射到同一m a c 地址上。 3 2 位喇 t 触地址 图2 4p 组地址到m a c 的映射 2 2 2 多播协议的体系结构 多播路由协议是多播协议体系中最为核心的功能。根据协议的作用范围，多 播协议可以分：主机与路由器之间的协议即多播成员管理协议和路由器与路由器 之间协议，主要是各种路由协议。其中，组成员管理协议i g m p ( 互联网组管理协 议) 的任务就是对新成员的加入和组成员退出进行管理，目前组管理协议i g m p 已 经发展到i 第三版i g m p v 3 ，同时为了能够有效抑制多播数据在二层网络中的扩 散，又引入了i g m ps n o o p i n g 】二层多播协议。而多播路由协议的主要作用就是如 何快速高效地将多播数据包转发给组成员。多播路由协议又可以分为域内 ( i n t r a - d o m a i n ) 和域间( i n t e r - d o m a i n ) 多播路由协议两类。域内多播路由协议是 应用于路由器自治域内，主要的协议包括p i m s m 、p i m - d m 、d v m r p 、m o s r t 等协议，域内间多播路由协议是应用自治区域之间的多播路由协议，负责在自治 域之间转发多播数据包，主要的协议有多协议边界网关协议m b g p 等。 可以看出：路由器和主机通过i g m p 协议和二层多播协议建立起直联连网段 内的多播组成员的关系信息，使得多播路由器知道每个接口下有哪些多播组的成 员。域内多播路由协议根据i g m p 维护的多播组成员关系信息，运用多播路由算 法构造多播分发树，路由器根据构造的多播路由转发树进行多播数据包的转发。 域间多播路由协议根据网络中配置的域问多播路由策略，在各自治系统( a s ， a u t o n o m o u ss y s t e m ) f ；j 发布具有多播能力的路由信息以及多播源信息，使多播数据 能在域间进行转发。 2 2 2 1 多播成员管理协议1 6 m p i o 第二章m 多播技术 i g m p 是运行在主机和与主机直接相连的多播路由器之间组管理协议。通过 i g m p 实现对多播组成员的管理，i g m p 协议作用可以分成两个方面： 一方面，主机利用i g m p 协议向本地的多播路由器发送通告，告知本地的多 播路由器希望加入某个特定多播组； 另一方面，路由器利用i g m p 协议周期性发出地查询消息，以确定该网段是 否存在属于某个多播组的成员，从而实现对组成员关系信息的收集与维护。在多 播网络中，路由器运行i g m p 协议记录的是某个多播组在本地是否存在组成员， 而不是多播组与主机之间的对应关系。 目前，i g m p 存在三个版本：i g m p v i ，i g m p v 2 和i g m p v 3 。i g m p v l 由 r f c l l l 2 中定义了两种类型的i g m p 消息：成员身份查询和成员身份报告。当某 个主机想加入该多播组，该主机就向某个多播组的i g m p 发出成员身份报告消息， 向本地多播路由器表明自己希望加入该多播组。路由器通过定时发出i g m p 成员 身份查询消息来确认子网中是否还有一个主机希望接收该多播组的数据。如果多 播路由器发出的身份查询消息得到回应就继续向该网段转发多播数据包；相反如 果连续发出3 个i g m p 成员身份查询消息而没有收到任何回应，路由器便认为该 子网中没有组成员并停止转发流向该子网的多播数据包。 i g m pv 2 是目前通用的版本。它在i g m pv l 的基础上添加了组成员快速离开 机制。相比i g m p v i ，在i g m p v 2 增加了两种类型的消息：版本2 的成员身份报 告和退出主机组消息。i g m p v 2 是在i g m p v l 的基础上增加了主机退出组的机制， 利用退出主机组消息，主机可以主动地告知本地的多播路由器它要离开某个多播 组，路由器收到退出主机组消息后便发出一个针对该组的查询消息来确认网段中 是否还有其他主机希望接收发向该组的数据包。如果没有收到回应，路由器便认 为该网段中不存在组成员并停止转发流向该分支的数据包。退出主机组机制的加 入大大缩短了主机退出组的延迟时间，使得多播路由器可以更早地停止没有要求 和不必要的通信。 i g m pv 3 是向下兼容的，不仅具备了i g m pv 2 的功能，而且支持基于信源的 过滤。通过i g m pv 3 协议，接收主机不仅向路由器表明它希望接收多播数据包而 且能具体到它希望接收来自某个具体的源的多播数据包。 主机通过i g m p 协议向路由器发出加入组的i g m p 报告或者发送i g m p 报告 来响应一个i g m p 查询，对每个至少还包含一个主机的组均要发回i g m p 报告。 当组中存在多于一个成员时，主机收到路由器的查询消息后，并不立即响应，而 是经过一定的随机时延后在进行响应，如果该随机延迟的时间内却收到了发自其 电子科技大学硕士学位论文 它主机的相同报告，则该主机就不必发送重复的响应报告，这就是主机响应消息 抑制。通过主机消息抑制避免了组中多个用户同时响应i g m p 查询消息造成拥塞。 2 2 2 2 多播路由协议 多播路由器通过i g m p 协议收集和维护组成员关系信息知道所在的所在域中 是否存在多播成员，多播路由协议就可以根据组中成员关系信息来决定是否进入 到相应组通讯中即是否进入多播的转发树中。多播路由协议是一种运行于多播路 由器之间的协议，多播路由器通过它来构建转发树并路由多播数据包。按照多播 路由协议应用范围可以分为域内( i n u a - d o m a i n ) 和域间多播路由协议 ( i n t e r - d o m a i n ) 。域内多播路由协议是应用在路由自治域内的一种广播式交互消息 协议，目前主要的域内多播路由协议包括d v m r p 、m o s p f 、p i m s m d m 等；而 域问多播路由协议是应用于自治区域之间的一种多播路由协议，主要解决分层结 构网络中的多播路由问题，主要的域间多播路由协议有m b g p ( 多协议边界网关 协议) 等。图2 5 显示了多播路由协议的分类。 组播 路由 协议 域内 域间 d v n 冲 m o s r f p i n i s h i 便小l c b t 图2 - 5 多播路由协议的分类 下面我们详细介绍目前应用最为广泛的几类域内多播路由协议。 d v m r p ( d i s t a n c ev e c t o rm u l t i c a s tr o u t i n gp r o t o c 0 1 ) 1 4 】 d v m r p 是第一个在m b o n e 上得到普遍使用的多播路由协议，它是在单播路 由协议r i p 的基础上扩充了支持多播的功能。两者都使用距离向量算法得到网络 的拓扑信息，不同之处在于r i p 协议是根据路由表前向转发数据，而d v m r p 则 是基于逆向路径转发的。所以d v m r p 协议通过发送探测消息来进行邻居发现， 然后通过路由交换来进行单播寻径和确定上下游依赖关系。 d v m r p 采用逆向路径转发( a p f ) 进行多播包转发。当多播源第一次发送多播 报文时，使用截断逆向路径多播( t r u n c a t e dr p f ) 算法沿着多播源的转发树向下转发 1 2 第二章口多播技术 多播报文，把多播报文转发给组成员。当叶子路由器下的接受主机不再需要该组 的多播数据包时，叶子路由器就向着多播源方向距离该叶子路由器最近的上一级 路由器发送剪枝消息，路由器收到剪枝消息，如果该路由器其他接口也没有多播 成员，则继续向上级路由器发送剪枝消息；如果该路由器其他接口还有组成员 存在，则该路由器对收到该消息的接口置为剪枝状态，并停止转发数据。剪枝状 态关联着一个定时器，当定时器超时，剪枝状态又重新变为转发状态，多播数据 再次沿着这些分支流下。当剪枝区域内出现了组成员时，为了减少等待时间，下 游的路由器立即主动向上游发送嫁接消息，请求上游剪枝状态变为转发状态。可 见，d v m r p 是由数据触发驱动，建立多播路由表，而转发树的建立过程可以概括 为“扩散与剪枝修( b r o a d c a s ta n dp r u n e ) 。转发特点可以概括为“被动接受，主动 退出疗。 m o s p f ( m u l t i c a s to p e ns h o r tp a t hf o r w a r d ) 【1 5 1 m o s p f 是一种开放最短路径优先的路由协议。该协议将数据包在最小开销路 径上进行传送，这里的开销是表示链路状态的一种量度。当然表示链路开销的除 了路径中的跳数外，还有负载平衡信息( 流量较低的链路被赋予的开销值比流量 高的链路的开销值低，这样可以平衡网络中的通信量) 、应用程序需要的q o s ( 如 果某个应用要求低延迟，那么卫星链路就会具有较高的开销值) 等。 m o s p f 是o s p f 协议的基础上作了增强使之支持口组播路由的多播路由协 议。m o s p f 像d v m r p 一样也包含单播协议o s p f ，所以使得具有组播能力的路 由器可以和单播路由器可以进行互操作。在一个o s p f m o s p f 网络中每个路由器 都维持一个最新的全网的拓扑结构图。 每个m o s p f 路由器都通过i g m p 协议周期性的收集多播组成员关系信息。然 后将收集到信息和链路状态信息发送到路由域中的除自己之外的所有路由器。域 中的每个路由器将根据从临近路由器接收到的信息更新他们的内部连接状态信 息。由于每个路由器都清楚整个网络的拓扑结构，就能够利用d i j k s t r a 独立地计算 出一棵以多播源和多搔组成员分别作为树的根和叶子的最小开销的扩展树。通过 计算出的扩展树将多播数据包从源发送到多播组成员。由于每个路由器利用周期 性的共享链路状态信息，有着较大的重复计算量。为了减少计算量并有效使用计 算结果，路由器只需要在它接收到第一个多播数据包时计算扩展树，一旦这个扩 展树被计算出来，其信息就会被存储下来用于后继数据包的路由。 p i m 。o m ( p r o t o c o li n d e p e n d e n tm u l t i c a s td e n s em o d e ) 1 6 】 p i m 是d v m r p 和m o s p f 的替代方案，能够在i n t e r n e t 上提供可扩展的域间 1 3 电子科技大学硕士学位论文 多播路由而不依赖于任何单播协议。p i m - d m 协议操作方式与d v m r p 类似。在 p i m - d m 域中，运行p i m d m 协议的路由器周期性的发送h e l l o 消息发现邻接的 p i m d m 路由器，并维护邻居关系。通过比较h e l l o 消息上携带的优先级和p 地 址，在多路访问网络中网段选举指定路由器d r ，充当i g m p v l 的查询器。 p i m d m 协议利用下面的假设来构建多播转发树：当多播源发送多播数据时， 域内所有的网络结点都需要接收数据，然后通过“扩散剪枝 的方式进行多播数 据包的转发。多播源发送数据时，沿途路由器向除多播源对应的r p f 接口之外的 所有接口f l o o d i n g 多播数据包。这样，p i m - d m 域中所有网络结点都会收到这 些多播数据包。为了完成多播转发，沿途的路由器需要为组g 和源s 创建相应的 多播路由项( s ，g ) 。( s ，g ) 多播路由项包括多播源地址、多播组地址、入接1 2 1 、出 接口列表、定时器和标志等。 如果网络中某个分支已经没有多播组成员，则该区域内的路由器会向多播源 方向距离最近的上一级路由器发送剪枝消息，上级路由器收到剪枝消息将通往该 区域的转发接口置为剪枝状态，并且停止向该分支转发多播数据流。当剪枝状态 关联的定时器超时，剪枝状态又重新变为转发状态，多播数据再次沿着这些分支 流下。和d v m r p 相似，当剪枝区域内出现了多播组成员时，不必等待上游剪枝 状态超时，主动向上游发送嫁接报文，使剪枝状态变为转发状态。 p i m - d m 的工作过程可以概括为：邻居发现、构建s p t 树、嫁接阶段、a s s e r t 机制。 p i m s m ( p r o t o c o li n d e p e n d e n tm u l t i c a s ts p a r s em o d e ) 1 1 7 1 在p i m - s m 域中，邻居发现机制与p i m - d m 相同，也是通过运行p i m - s m 协 议在各路由器之间周期性地发送h e l l o 消息来发现邻接的p i m 路由器，同时借助 h e l l o 消息为共享网络选举本网段中组播信息的唯一转发者d r ( d e s i g n a t e d r o u t e r ) 。这里，d r 负责为与其直连的组成员向多播树根结点的方向发送“加 剪枝 消息，或是将直连多播源的数据发向多播分发树。 p i m - s m 通过建立多播分发树来进行多播数据包的转发。p i m - s m 通过显式的 加入剪枝机制来完成多播分发树的建立与维护。 p i m s m 中还涉及到r p 的选举机制。自举路由器b s r 是p i m s m 网络里的 管理核心，负责收集网络中候选r p ( c r p ) 发来的宣告信息，然后形成组播组和 r p 的映射数据库，并发布到整个p i m s m 网络，从而使网络内的所有路由器都 会知道r p 的位置。由于通过r p 转发的组播信息量巨大，为了缓解r p 的负担同 时优化共享树的拓扑结构，此时需要p i m - s m 域中还配置有候选汇集点 1 4 第二章口多播技术 r p ( c a n d