CN103414556A - 一种ike密钥协商策略查找方法 - Google Patents

Abstract

本发明涉及通信技术领域，尤其是涉及一种快速实现IKE密钥协商策略查找的方法。本发明所要解决的技术问题是：针对上述存在的问题，提供一种根据对端的32位IPv4地址进行策略的查找，采用多级哈希处理机制的IKE密钥协商策略的快速查找方法，查找接入设备的IP地址对应的VPN安全策略，大大提升了VPN设备进行IKE密钥协商的处理速度和的并发能力。本发明通过查找IP地址对应4级哈希数组中的VPN安全策略，并增加删除及插入VPN安全策略表的功能实现本发明。本发明应用于IKE密钥协商策略查找领域。

Description

一种IKE密钥协商策略查找方法

技术领域

本发明涉及通信技术领域，尤其是涉及一种快速实现IKE密钥协商策略查找方法。

背景技术

IPSec是通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族（一些相互关联的协议的集合），用以提供公用和专用网络的端到端加密和验证服务，保障数据的机密性、来源可靠性（认证）、无连接的完整性并提供抗重播服务。IPSec协议族由两大部分组成：（1）密钥交换协议（IKE）；（2）安全报文协议（ESP/AH）。IKE是IPSec协议族的重要组成部分。IKE基于VPN安全策略进行密钥、算法、和封装包头信息等IPSec VPN安全参数的协商，将产生最终用于数据通讯保护的安全报文协议的安全关联（含密钥和封装包头信息等安全参数）。IKE密钥协商过程涉及到VPN安全策略表的查表操作，而32位的对端IP 地址是主要的索引和关键字。常用的一般为线性单一链表结构和顺序查找方法，实现起来简单易用。但要支持大规模的IPSec VPN组网，需要对IKE密钥协商过程的查表技术进行优化。哈希链表是使用较多的查表优化方案，但高效易用的哈希算法较难设计，哈希冲突和超长链表的处理都需要消耗比较多的系统资源。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供一种根据对端的32位IPv4地址进行策略的查找，采用多级哈希处理机制的IKE密钥协商策略的快速查找方法，无论是VPN设备主动发起IKE密钥协商还是被动接受通讯对端的IKE密钥协商，均到内存中的4级哈希数组查找接入设备的IP地址对应的VPN安全策略，大大提升了VPN设备进行IKE密钥协商的处理速度和的并发能力。

本发明采用的技术方案如下：

一种IKE密钥协商策略查找方法包括：

步骤1：初始化VPN设备，在本端VPN设备中建立对端IP地址及对应VPN安全策略的4级哈希数组；

步骤2：获取IKE密钥协商中对端设备接入本端VPN设备的IP地址，若本端VPN设备的4级哈希数组中具有对端设备IP地址，则通过查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略；若本端VPN设备的4级哈希数组没有该对端设备IP地址，则将对端设备IP地址及其对应的安全策略插入本端VPN设备的4级哈希数组；若此前在本端VPN设备的4级哈希数组中注册的对端设备IP地址及其对应的VPN安全策略不需要时，则将对端设备IP地址及对应的VPN安全策略从本端VPN设备的4级哈希数组中删除；其中本端VPN设备的4级哈希数组分别对应对端设备IP地址的“A.B.C.D”四个8bits字段，每级哈希数组均包含256个元素，对应于IP 地址的一个8bits字段，本端VPN设备的第四级哈希数组指针指向对端设备IP地址及对应的VPN安全策略；

所述本端VPN设备指的是设置有4级哈希数组的VPN设备，对端设备是与本端VPN设备进行数据通讯的，并需要根据其IP地址在本端VPN设备的4级哈希数组中查找对应的安全策略的设备。

所述查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略，是当且仅当对端设备IP地址的4个8bits字段 和本端VPN设备的4级哈希数组中每一级所对应IP地址的8bits 字段相匹配后，才能获取该对端设备IP地址所对应的安全策略，

所述查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略具体过程包括：

步骤1：根据对端设备IP地址“A”字段数值直接映射第一级哈希数组元素并获取第二级哈希数组指针；

步骤2：根据第二级哈希数组指针及对端设备IP地址“B”字段数值直接映射第二级哈希数组元素并获取第三级哈希数组指针；

步骤3：根据第三级哈希数组指针及对端设备IP地址“C”字段数值直接映射第三级哈希数组元素并获取第四级哈希数组指针；

步骤4：根据第四级哈希数组指针及对端设备IP地址“D”字段数值直接映射第四级哈希数组元素并获取对端设备IP地址对应的IKE密钥协商VPN安全策略；

其中直接映射指的是当前字段的数值获取哈希数组元素的索引值，获取指的是索引值得到所对应的数组元素存储的地址。

所述将对端设备IP地址及其对应的安全策略插入本端VPN设备的4级哈希数组具体过程是：

步骤31：获取对端设备IP地址；

步骤32：根据对端设备IP地址“A”字段8bits数值直接映射至第一级哈希数组元素，如该元素指向第二级哈希数组的指针为空，则分配256个元素作为第二级哈希数组并将指针指向该数组；否则返回步骤31；

步骤33：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素，如该元素指向第三级哈希数组的指针为空，则分配256个元素作为第三级哈希数组并将指针指向该数组；否则返回步骤32；

步骤34：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素，如该元素指向第四级哈希数组的指针为空，则分配256个元素作为第四级哈希数组并将指针指向该数组；否则返回步骤33；

步骤35：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素，将VPN安全策略的内容填入该IP地址对应的数据，否则返回步骤34；

步骤36：步骤22至步骤27循环进行，直到所有的VPN安全策略读入完毕，形成4级哈希数组形式的VPN策略表。

所述将对端设备IP地址及对应的VPN安全策略从本端VPN设备的4级哈希数组中删除具体过程是：

步骤41：根据对端设备IP地址“A”、“B”、“C”、“D”字段4个8bits数值逐次直接映射至第一到第四级哈希数组元素，获取对端设备IP地址对应的IKE密钥协商VPN安全策略并删除，然后将对应的第四级哈希数组元素置为空指针；

步骤42：如第四级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第三级哈希数组元素置为空指针；

步骤43：如第三级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第二级哈希数组元素置为空指针；

步骤44：如第二级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第一级哈希数组元素置为空指针。

所述建立对端设备IP地址及对应的VPN安全策略表是当且仅当上一级哈希数组中对应IP地址的8bits 字段相匹配后，才会进行下一级的哈希数组的256个元素的分配，并将上级哈希数组的相应元素指针指向该数组内存空间地址。

所述在本端VPN设备中建立对端IP地址及对应VPN安全策略的4级哈希数组具体过程是：

步骤11：预分配第一级哈希数组的8bits的元素，并将其指针预置位空； 

步骤12：取VPN安全策略中的对端32位IPv4地址，对应于IP地址的“A.B.C.D”；步骤13：根据“A”字段8bits数值直接映射至第一级哈希数组元素，如该元素指向第二级哈希数组的指针为空，则分配256个元素作为第二级哈希数组并将指针指向该数组；否则返回步骤12；

步骤14：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素，如该元素指向第三级哈希数组的指针为空，则分配256个元素作为第三级哈希数组并将指针指向该数组；否则返回步骤13；

步骤15：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素，如该元素指向第四级哈希数组的指针为空，则分配256个元素作为第四级哈希数组并将指针指向该数组；否则返回步骤14；

步骤16：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素，将VPN安全策略的内容填入该IP地址对应的数据，否则返回步骤15；

步骤17：步骤22至步骤27循环进行，直到所有的VPN安全策略读入完毕，形成4级哈希数组形式的VPN策略表。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

大大提升了VPN设备进行IKE密钥协商的处理速度和的并发能力，使得VPN设备的并发隧道数可以达到上万级别，并且缩短了隧道建立时间，上万规模的并发隧道可以在分钟级的时间内建立成功。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1是本发明的四级哈希数组结构图一个实施例。

具体实施方式

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书（包括任何附加权利要求、摘要和附图）中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

本发明相关说明

1、            第一级哈希数组元素指的是4级哈希数组的第一级哈希数组元素；第二级哈希数组元素指的是4级哈希数组的第二级哈希数组元素；第三级哈希数组元素指的是4级哈希数组的第三级哈希数组元素；第四级哈希数组元素指的是4级哈希数组的第四级哈希数组元素。

实施例一：一种IKE密钥协商策略查找方法，包括：

步骤1：初始化VPN设备，在本端VPN设备中建立对端IP地址及对应VPN安全策略的4级哈希数组；

步骤2：获取IKE密钥协商中对端设备接入本端VPN设备的IP地址，若本端VPN设备的4级哈希数组中具有对端设备IP地址，则通过查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略；若本端VPN设备的4级哈希数组没有该对端设备IP地址，则将对端设备IP地址及其对应的安全策略插入本端VPN设备的4级哈希数组；若此前在本端VPN设备的4级哈希数组中注册的对端设备IP地址及其对应的VPN安全策略不需要时，则将对端设备IP地址及对应的VPN安全策略从本端VPN设备的4级哈希数组中删除；其中本端VPN设备的4级哈希数组分别对应对端设备IP地址的“A.B.C.D”四个8bits字段，每级哈希数组均包含256个元素，对应于IP 地址的一个8bits字段，本端VPN设备的第四级哈希数组指针指向对端设备IP地址及对应的VPN安全策略；

所述本端VPN设备指的是设置有4级哈希数组的VPN设备，对端设备是与本端VPN设备进行数据通讯的，并需要根据其IP地址在本端VPN设备的4级哈希数组中查找对应的安全策略的设备。

实施例二：在实施例一基础上，所述查找对端设备IP地址及对应的VPN安全策略表具体过程是：

无论是VPN设备主动发起IKE密钥协商还是被动接受通讯对端的IKE密钥协商，均到VPN设备内存中的四级哈希数组查找相应的VPN安全策略。所述建立对端设备IP地址及对应的VPN安全策略表是当且仅当上一级哈希数组中对应IP地址的8bits 字段相匹配后，才会进行下一级的哈希数组的256个元素的分配，并将上级哈希数组的相应元素指针指向该数组内存空间地址。

实施例三：在实施例一或二基础上，所述查找对端设备IP地址及对应的VPN安全策略表具体过程是：

步骤21：首先获取IKE密钥协商对端的32位IPv4地址，形如“A.B.C.D”并根据“A”字段8bits数值直接映射第一级哈希数组元素并获取第二级哈希数组指针，

步骤22：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素并获取第三级哈希数组指针；

步骤23：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素并获取第四级哈希数组指针，；

步骤24：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素并获取IKE密钥协商VPN安全策略。

实施例四：在实施例一基础上，所述将对端设备IP地址及其对应的安全策略插入本端VPN设备的4级哈希数组具体过程是：

步骤31：获取对端设备IP地址；

步骤32：根据对端设备IP地址“A”字段8bits数值直接映射至第一级哈希数组元素，如该元素指向第二级哈希数组的指针为空，则分配256个元素作为第二级哈希数组并将指针指向该数组；否则返回步骤31；

步骤33：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素，如该元素指向第三级哈希数组的指针为空，则分配256个元素作为第三级哈希数组并将指针指向该数组；否则返回步骤32；

步骤34：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素，如该元素指向第四级哈希数组的指针为空，则分配256个元素作为第四级哈希数组并将指针指向该数组；否则返回步骤33；

步骤35：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素，将VPN安全策略的内容填入该IP地址对应的数据，否则返回步骤34；

步骤36：步骤22至步骤27循环进行，直到所有的VPN安全策略读入完毕，形成4级哈希数组形式的VPN策略表。

实施例五：在实施例一或四之一基础上，将对端设备IP地址及对应的VPN安全策略从本端VPN设备的4级哈希数组中删除具体过程是：

步骤41：根据对端设备IP地址“A”、“B”、“C”、“D”字段4个8bits数值逐次直接映射至第一到第四级哈希数组元素，获取对端设备IP地址对应的IKE密钥协商VPN安全策略并删除，然后将对应的第四级哈希数组元素置为空指针；

步骤42：如第四级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第三级哈希数组元素置为空指针；

步骤43：如第三级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第二级哈希数组元素置为空指针；

步骤44：如第二级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第一级哈希数组元素置为空指针。

实施例六：在实施例一至五基础上，在本端VPN设备中建立对端IP地址及对应VPN安全策略的4级哈希数组具体过程是：

在IPSec VPN设备上进行初始化工作，四级哈希数组作为内存中的VPN安全策略快速检索结构，在设备初始化时结合VPN安全策略配置文件完成内存中哈希数组的初始化。首先，预分配顶级哈希数组的256个元素并将其指针预置为空（NULL）。

步骤1:从VPN安全策略配置文件（位于IPSec VPN设备的持久性存储介质上，如硬盘等）逐条读入VPN安全策略。每条VPN安全策略均包括对端IP地址、加密算法、杂凑算法、密钥有效期以及各种密钥和初始化向量等。对于每条VPN安全策略，如图1所示，均照以下步骤处理： 

步骤11：获取VPN安全策略中的对端设备32位IPv4地址，形如“A.B.C.D”；根据“A”字段8bits数值直接映射第一级哈希数组元素，如该元素指向第二级哈希数组的指针为空，则分配256个元素作为第二级哈希数组并将指针指向该数组；

步骤12：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素，如该元素指向第三级哈希数组的指针为空，则分配256个元素作为第三级哈希数组并将指针指向该数组；

步骤13：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素，如该元素指向第四级哈希数组的指针为空，则分配256个元素作为第四级哈希数组并将指针指向该数组；

步骤14：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素，将VPN安全策略的内容，如对端IP地址、加密算法、杂凑算法、密钥有效期以及各种密钥和初始化向量等填入该元素。找到192.168.2.3对应的安全策略。

步骤15：以上步骤循环进行直到所有对端设备的VPN安全策略读入完毕，形成四级哈希数组形式的VPN安全策略表。以后如果有新增策略，均按照以上步骤进行。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。 

Claims (7)

1.一种IKE密钥协商策略查找方法，其特征在于包括：

步骤1：初始化VPN设备，在本端VPN设备中建立对端IP地址及对应VPN安全策略的4级哈希数组；

步骤2：获取IKE密钥协商中对端设备接入本端VPN设备的IP地址，若本端VPN设备的4级哈希数组中具有对端设备IP地址，则通过查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略；若本端VPN设备的4级哈希数组没有该对端设备IP地址，则将对端设备IP地址及其对应的安全策略插入本端VPN设备的4级哈希数组；若此前在本端VPN设备的4级哈希数组中注册的对端设备IP地址及其对应的VPN安全策略不需要时，则将对端设备IP地址及对应的VPN安全策略从本端VPN设备的4级哈希数组中删除；其中本端VPN设备的4级哈希数组分别对应对端设备IP地址的“A.B.C.D”四个8bits字段，每级哈希数组均包含256个元素，对应于IP 地址的一个8bits字段，本端VPN设备的第四级哈希数组指针指向对端设备IP地址及对应的VPN安全策略；

所述本端VPN设备指的是设置有4级哈希数组的VPN设备，对端设备是与本端VPN设备进行数据通讯的，并需要根据其IP地址在本端VPN设备的4级哈希数组中查找对应的安全策略的设备。

2.根据权利要求1所述的一种IKE密钥协商策略查找方法，其特征在于所述查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略，是当且仅当对端设备IP地址的4个8bits字段 和本端VPN设备的4级哈希数组中每一级所对应IP地址的8bits 字段相匹配后，才能获取该对端设备IP地址所对应的安全策略。

3.根据权利要求1所述的一种IKE密钥协商策略查找方法，其特征在于所述查找本端VPN设备的4级哈希数组得到对端设备IP地址对应的VPN安全策略具体过程包括：

步骤1：根据对端设备IP地址“A”字段数值直接映射第一级哈希数组元素并获取第二级哈希数组指针；

步骤2：根据第二级哈希数组指针及对端设备IP地址“B”字段数值直接映射第二级哈希数组元素并获取第三级哈希数组指针；

步骤3：根据第三级哈希数组指针及对端设备IP地址“C”字段数值直接映射第三级哈希数组元素并获取第四级哈希数组指针；

步骤4：根据第四级哈希数组指针及对端设备IP地址“D”字段数值直接映射第四级哈希数组元素并获取对端设备IP地址对应的IKE密钥协商VPN安全策略；

其中直接映射指的是当前字段的数值获取哈希数组元素的索引值，获取指的是索引值得到所对应的数组元素存储的地址。

4.根据权利要求3所述的一种IKE密钥协商策略的查找方法，其特征在于所述将对端设备IP地址及其对应的安全策略插入本端VPN设备的4级哈希数组具体过程是：

步骤31：获取对端设备IP地址；

步骤32：根据对端设备IP地址“A”字段8bits数值直接映射至第一级哈希数组元素，如该元素指向第二级哈希数组的指针为空，则分配256个元素作为第二级哈希数组并将指针指向该数组；否则返回步骤31；

步骤33：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素，如该元素指向第三级哈希数组的指针为空，则分配256个元素作为第三级哈希数组并将指针指向该数组；否则返回步骤32；

步骤34：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素，如该元素指向第四级哈希数组的指针为空，则分配256个元素作为第四级哈希数组并将指针指向该数组；否则返回步骤33；

步骤35：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素，将VPN安全策略的内容填入该IP地址对应的数据，否则返回步骤34；

步骤36：步骤22至步骤27循环进行，直到所有的VPN安全策略读入完毕，形成4级哈希数组形式的VPN策略表。

5.根据权利要求4所述的一种IKE密钥协商策略的查找方法，其特征在于所述将对端设备IP地址及对应的VPN安全策略从本端VPN设备的4级哈希数组中删除具体过程是：

步骤41：根据对端设备IP地址“A”、“B”、“C”、“D”字段4个8bits数值逐次直接映射至第一到第四级哈希数组元素，获取对端设备IP地址对应的IKE密钥协商VPN安全策略并删除，然后将对应的第四级哈希数组元素置为空指针；

步骤42：如第四级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第三级哈希数组元素置为空指针；

步骤43：如第三级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第二级哈希数组元素置为空指针；

步骤44：如第二级哈希数组的256个元素已经全部为空，则删除这个哈希数组并将对应的第一级哈希数组元素置为空指针。

6.根据权利要求1至5之一所述的一种IKE密钥协商策略查找方法，其特征在于所述建立对端设备IP地址及对应的VPN安全策略表是当且仅当上一级哈希数组中对应IP地址的8bits 字段相匹配后，才会进行下一级的哈希数组的256个元素的分配，并将上级哈希数组的相应元素指针指向该数组内存空间地址。

7.根据权利要求6所述的一种IKE密钥协商策略查找方法，其特征在于所述在本端VPN设备中建立对端IP地址及对应VPN安全策略的4级哈希数组具体过程是：

步骤11：预分配第一级哈希数组的8bits的元素，并将其指针预置位空； 

步骤12：取VPN安全策略中的对端32位IPv4地址，对应于IP地址的“A.B.C.D”；步骤13：根据“A”字段8bits数值直接映射至第一级哈希数组元素，如该元素指向第二级哈希数组的指针为空，则分配256个元素作为第二级哈希数组并将指针指向该数组；否则返回步骤12；

步骤14：根据第二级哈希数组指针及“B”字段8bits数值直接映射第二级哈希数组元素，如该元素指向第三级哈希数组的指针为空，则分配256个元素作为第三级哈希数组并将指针指向该数组；否则返回步骤13；

步骤15：根据第三级哈希数组指针及“C”字段8bits数值直接映射第三级哈希数组元素，如该元素指向第四级哈希数组的指针为空，则分配256个元素作为第四级哈希数组并将指针指向该数组；否则返回步骤14；

步骤16：根据第四级哈希数组指针及“D”字段8bits数值直接映射第四级哈希数组元素，将VPN安全策略的内容填入该IP地址对应的数据，否则返回步骤15；

步骤17：步骤22至步骤27循环进行，直到所有的VPN安全策略读入完毕，形成4级哈希数组形式的VPN策略表。

Images