CN101299665A

CN101299665A - 报文处理方法、系统及装置

Info

Publication number: CN101299665A
Application number: CNA2008100932585A
Authority: CN
Inventors: 张日华; 朱志强; 侯贵斌; 孟祥东; 毛世峰; 何荣; 谢文辉; 陈玉柱; 苏然; 徐勇; 程志军
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2008-05-19
Filing date: 2008-05-19
Publication date: 2008-11-05
Anticipated expiration: 2028-05-19
Also published as: CN101299665B

Abstract

本发明公开了一种报文处理方法，包括：检测存在IPSEC隧道时，对数据报文进行加密，所述加密的密码为通过隧道协商获得的密码；通过配置了IPSEC策略的接口转发所述加密的数据报文。本发明还公开了另一种报文处理方法、报文处理系统及报文处理装置。应用本发明无需将ACL规则与IPSEC策略进行绑定，也无需将数据报文进行分类以确定是否进隧道处理，在配置了IPSEC策略的接口只需要对数据报文用协商的密钥进行加密或解密后，就进行IPSEC隧道处理，简化了数据报文的处理流程；并且本发明不仅可以用在配置有IP地址的三层设备，还可以应用在配置有管理IP地址的二层设备，扩大了报文处理的应用范围。

Description

报文处理方法、系统及装置

技术领域

本发明涉及通信技术领域，特别涉及报文处理方法、系统及装置。

背景技术

通常VPN(Virtual Private Network，虚拟专用网络)设备都支持IPSEC(Security Architecture for IP network，IP层协议安全结构)协议，IPSEC协议是一种为保护网络数据报文通信而提供的安全协议族，主要是针对数据报文通过公共网络时的数据安全性、有效性、完整性和合法性等问题而进行的加密和认证。

VPN设备之间的通信通过建立IPSEC隧道，并在IPSEC隧道中进行有规则的数据报文保护，保护规则基于ACL(Access Control List，访问控制列表)规则实现，ACL规则中定义了需要保护的数据报文的类型，该类型通过数据报文的源IP地址、目的IP地址、协议号、源端口或目的端口等属性进行限制，定义好的每一条ACL规则与相应的IPSEC策略进行绑定，IPSEC策略中定义了IPSEC隧道的信息、协商模式、协议类型、加解密算法等信息。假设VPN设备A通过与VPN设备B之间建立的IPSEC隧道首次向VPN设备B传输数据报文，则首先在VPN设备A侧对该数据报文进行安全策略的匹配，即通过分析该数据报文的类型获得对应的ACL规则，通过该ACL规则匹配相应的IPSEC策略，然后根据匹配到的安全策略中的信息通过IKE(Internet Key Exchange，网络密钥交换)自动进行安全联盟的协商建立，安全联盟的协商主要包括密钥的生成，ACL规则的确认以及双方的身份认证等，最后应用建立的安全联盟进行数据报文的传输。

发明人在对现有技术的研究过程中发现，现有技术由于通过IPSEC隧道进行保护的数据报文必须定义ACL规则，因此要求设备必须支持ACL功能，限制了IPSEC隧道的应用范围；由于现有IPSEC隧道主要基于设备的接口IP进行配置，即为传输的数据报文配置的源IP地址为接口IP地址，而由于网络层的功能限制，仅有三层网络中的设备接口才能对数据报文配置IP地址，而二层网络中的设备接口无法配置IP地址，仅能进行转发，导致现有的数据报文只能在三层网络设备间传输，而无法应用于二层网络设备。

发明内容

本发明实施例的目的在于提供报文处理方法、系统及装置，以使应用IPSEC隧道进行传输的报文无需进行ACL规则匹配就可应用IPSEC安全策略进行报文传输，扩大了IPSEC隧道的应用范围，使其能够应用于二层设备。

为实现本发明实施例的目的，本发明实施例提供如下技术方案：

一种报文处理方法，包括：

检测存在IPSEC隧道时，对数据报文进行加密，所述加密的密码为通过隧道协商获得的密码；

通过配置了IPSEC策略的接口转发所述加密的数据报文。

一种报文处理方法，包括：

配置了IPSEC策略的接口接收加密数据报文；

检测存在IPSEC隧道时，对所述数据报文进行解密，所述解密的密码为通过隧道协商获得的密码。

一种数据报文处理系统，包括：发送端设备和接收端设备，

所述发送端设备，用于检测存在IPSEC隧道时，对数据报文进行加密，所述加密的密码为与所述接收端设备通过隧道协商获得的密码，并通过配置了IPSEC策略的接口转发所述加密的数据报文；

所述接收端设备，用于通过配置了IPSEC策略的接口接收到所述加密的数据报文并检测存在IPSEC隧道时，对所述数据报文进行解密，所述秘密的密码为与所述发送端设备通过隧道协商获得的密码。

一种报文处理装置，包括：

检测单元，用于检测是否存在IPSEC隧道；

加密单元，用于所述检测单元检测存在所述IPSEC隧道时，对数据报文进行加密，所述加密的密码为通过隧道协商获得的密码；

转发单元，用于通过配置了IPSEC策略的接口转发所述加密的数据报文。

一种报文处理装置，包括：

接收单元，用于通过配置了IPSEC策略的接口接收加密数据报文；

检测单元，用于检测所述接口是否存在IPSEC隧道；

解密单元，用于所述检测单元检测存在所述IPSEC隧道时，对所述数据报文进行解密，所述解密的密码为通过隧道协商获得的密码。

由以上本发明实施例提供的技术方案可见，本发明实施例中发送端设备检测存在IPSEC隧道时，用通过隧道协商获得的密码对数据报文进行加密，并通过配置了IPSEC隧道的接口转发该加密的数据报文，接收端设备通过配置和了IPSEC策略的接收到加密的数据报文并检测存在IPSEC隧道时，用通过隧道协商获得的密码对该数据报文进行解密。应用本发明实施例，无需将ACL规则与IPSEC策略进行绑定，也无需将数据报文进行分类以确定是否进隧道处理，在配置了IPSEC策略的接口只需要对数据报文用协商的密钥进行加密或解密后，就进行IPSEC隧道处理，简化了数据报文的处理；并且本发明实施例不仅可以用在配置有IP地址的三层设备，还可以应用在配置有管理IP地址的二层设备，扩大了报文处理的应用范围。

附图说明

图1为本发明一种报文处理方法的第一实施例流程图；

图2为本发明一种报文处理方法的第二实施例流程图；

图3为本发明另一种报文处理方法的第一实施例流程图；

图4为本发明另一种报文处理方法的第二实施例流程图；

图5为应用本发明报文处理实施例的组网结构示意图；

图6为本发明报文处理系统的实施例框图；

图7为本发明一种报文处理装置的第一实施例框图；

图8为本发明一种报文处理装置的第二实施例框图；

图9为本发明另一种报文处理装置的第一实施例框图；

图10为本发明另一种报文处理装置的第二实施例框图。

具体实施方式

本发明实施例提供了报文处理的方法、系统及装置，发送端设备检测存在IPSEC隧道时，对数据报文进行加密，并通过配置了IPSEC策略的接口转发所述加密的数据报文；接收端设备通过配置了IPSEC策略的接口接收到所述加密的数据报文并检测存在IPSEC隧道时，对所述数据报文进行解密。

为了使本技术领域的人员更好地理解本发明实施例提供的技术方案，下面结合附图和具体实施方式对本发明实施例提供的技术方案作进一步的详细说明。

本发明一种报文处理方法的第一实施例流程如图1所示：

步骤101：检测存在IPSEC隧道时，用通过隧道协商获得的密码对数据报文进行加密。

其中，当接口所在的设备为三层设备时，通过为该接口配置的IP地址发起隧道协商；当接口所在的设备为二层设备时，通过该设备的管理IP地址发起隧道协商。

步骤102：通过配置了IPSEC策略的接口转发该加密后的数据报文。

其中，IPSEC策略包括隧道协商模式、协议类型或加密解密算法、隧道对端IP、预共享密钥等；数据报文包括IP报文、ICMP(InternetControl Message Protocol，网络控制消息协议)报文或ARP(AddressResolution Protocol，地址解析协议)报文等。

本发明一种报文处理方法的第二实施例流程如图2所示，该实施例示出了发送端设备在发送数据报文时的详细处理流程：

步骤201：准备从设备接口发送数据报文。

发送端设备选择一个设备接口用于发送当前的数据报文到接收端设备。

步骤202：判断该接口是否配置了IPSEC策略，若是，则执行步骤203；否则，执行步骤206。

不同于现有技术中的IPSEC策略，本发明实施例中IPSEC策略定义了IPSEC隧道的信息、协商模式、加密解密算法等，而不必与ACL规则绑定。

步骤203：检测是否存在IPSEC隧道，若是，则执行步骤204；否则，执行步骤207。

判断该接口配置了IPSEC策略后，本发明中无需对数据报文进行分类以决定是否进隧道处理，而是只要发送该数据报文的接口配置了IPSEC策略，从该接口发出的数据报文全部进隧道处理。

步骤204：用通过隧道协商获得的密码对数据报文进行加密。

在进行隧道协商时，发送端设备获得了对数据报文进行加密的密码，相应的，接收端设备能够获得对数据报文进行解密的密码。该配置了IPSEC策略且存在IPSEC隧道的接口对需要发送的数据报文进行加密，以使数据报文能够进IPSEC隧道进行处理。

步骤205：通过配置了IPSEC策略的接口转发该加密的数据报文，结束当前流程。

步骤206：对数据报文进行转发，结束当前流程。

该接口当前未配置IPSEC策略，数据报文不需要进IPSEC隧道处理，按照通常的流程进行转发即可。

步骤207：发起隧道协商并丢弃该数据报文，结束当前流程。

判断配置了IPSEC策略的接口不存在IPSEC隧道，该发送端设备需要与接收端设备之间进行IPSEC隧道的协商。如果发送端设备和接收端设备均为三层设备，则通过接口配置的IP地址作为协商报文的源IP地址封装报文，并通过该协商报文与接收端设备之间进行IPSEC隧道协商；如果发送端设备和接收端设备均为二层设备，则两个设备通常位于同一子网中，由于二层设备接口未配置接口IP地址，因此发送端设备使用该设备的管理IP作为协商报文的源地址与接收端设备之间进行IPSEC隧道协商。

本发明另一种报文处理方法的第一实施例流程如图3所示：

步骤301：配置了IPSEC策略的接口接收到加密数据报文。

步骤302：检测存在IPSEC隧道时，用通过隧道协商获得的密码对数据报文进行解密。

本发明另一种报文处理方法的第二实施例流程如图4所示，该实施例示出了接收端设备在接收数据报文时的详细处理流程：

步骤401：接口接收到数据报文。

步骤402：判断该接口是否配置了IPSEC策略，若是，则执行步骤403；否则，执行步骤407。

步骤403：判断该数据报文是否为加密数据报文，若是，则执行步骤404；否则，执行步骤408。

步骤404：检测该接口是否存在IPSEC隧道，若是，则执行步骤405；否则，执行步骤408。

步骤405：用通过隧道协商获得的密码对该数据报文进行解密。

在进行隧道协商时，发送端设备获得了对数据报文进行加密的密码，相应的，接收端设备能够获得对数据报文进行解密的密码。该配置了IPSEC策略且存在IPSEC隧道的接口对接收到的加密数据报文进行解密，以使该数据报文能够实现IPSEC隧道处理。

步骤406：判断对该数据报文进行解密是否成功，若是，则执行步骤407；否则，执行步骤408。

步骤407：转发所述数据报文，结束当前流程。

该接口未配置IPSEC策略时，则将接收到的数据报文按照通常流程进行转发即可；当对加密数据报文按照协商的解密密码解密后，即可进行正常流程转发。

步骤408：丢弃该数据报文，结束当前流程。

该接口配置了IPSEC策略，但是所接收到的数据报文没有加密时，说明该数据报文为非法数据报文，将该数据报文直接丢弃；或者当该接口未存在IPSEC隧道时，无需对该数据报文进行IPSEC隧道处理，将该数据报文直接丢弃；或者对加密数据报文解密失败，则无法对该报文进行IPSEC隧道处理，将该数据报文直接丢弃。

下面详细描述应用本发明实施例进行报文处理的过程，该应用的组网结构示意图如图5所示：

其中A项目组位于北京，B项目组位于深圳，A项目组和B项目组之间使用公共网络Internet进行数据报文的传输。如果两个项目组由于某种需要必须处于同一网络之中，假设都处于192.168.0.0网络，子网掩码为255.255.255.0，为了安全考虑在两地接入Internet处各增加一台安全设备，假设项目组A接入网络的安全设备为VPN-A，项目组B接入网络的安全设备为VPN-B，VPN-A与Internet连接的接口为VPN-A-E0/0，VPN-B与Internet连接的接口为VPN-B-E0/0；两台设备设置为透明模式，即VPN-A和VPN-B均为二层设备，这两台设备均配置了各自的管理IP，这样相当于在这两台设备上各配置一个公网IP地址。

当A项目组中的某台计算机M要访问B项目组的某台计算机N(假设该计算机的IP地址为IP1)时，由于不知道计算机N的MAC地址，因此计算机M需要首先发送一个ARP报文，该ARP报文采用广播的方式在网络中发送，用于查找IP1的MAC地址，而该广播的ARP报文会从VPN-A设备的VPN-A-E0/0接口发送出去，此时该ARP报文可以进隧道后发到VPN-B设备上，具体的，由VPN-A对ARP报文进行加密，密码为与VPN-B设备进行隧道协商时获得的密码，该密码位于VPN-A的IPSEC策略中。如果此时VPN-A与VPN-B之间的IPSEC隧道不存在，则两个设备之间首先使用各自配置的管理IP进行隧道协商，以获取对后续传输报文进行加密或解密的密码。

VPN-B设备接到该加密的ARP报文后，进IPSEC隧道进行解密处理，解密的密码为与VPN-A进行IPSEC隧道协商时获得的密码，并转发该ARP报文到B项目组的所有计算机，计算机N应答的报文同样会通过VPN-B发送，并按照IPSEC隧道返回VPN-A，由于应答报文中包含了计算机N的MAC地址，因此A项目组的计算机就学到了计算机N的MAC地址，相应的VPN-A设备的接口VPN-A-E0/0也学到了计算机N的MAC地址。

当A项目组中的计算机正式访问计算机N时，可以在VPN-A设备上找到出接口VPN-A-E0/0，然后与传输ARP报文一样，将数据报文进IPSEC隧道后发送到VPN-B，VPN-B接收到该数据报文后进行解密，然后将解密后的数据报文发送到计算机N，由此就实现了整个报文的传输过程。

与本发明报文处理方法的实施例相对应，本发明还提供了报文处理系统的实施例。

本发明报文处理系统的实施例框图如图6所示，该系统包括：发送端设备610和接收端设备620。

其中，发送端设备610用于检测存在IPSEC隧道时，对数据报文进行加密，所述加密的密码为与所述接收端设备通过隧道协商获得的密码，并通过配置了IPSEC策略的接口转发所述加密的数据报文；接收端设备620用于通过配置了IPSEC策略的接口接收到所述加密的数据报文并检测存在IPSEC隧道时，对所述数据报文进行解密，所述秘密的密码为与所述发送端设备通过隧道协商获得的密码。

与本发明报文处理方法和系统的实施例相对应，本发明还提供了一种报文处理装置的实施例，该报文处理装置通常位于发送端设备，用于发送数据报文。

本发明一种报文处理装置的第一实施例框图如图7所示，该装置包括：检测单元710、加密单元720和转发单元730。

其中，检测单元710用于检测是否存在IPSEC隧道；加密单元720用于所述检测单元710检测存在所述IPSEC隧道时，对数据报文进行加密，所述加密的密码为通过隧道协商获得的密码；转发单元730用于通过配置了IPSEC策略的接口转发所述加密的数据报文。

本发明一种报文处理装置的第二实施例框图如图8所示，该装置包括：检测单元810、协商单元820、加密单元830和转发单元840。

其中，检测单元810用于检测是否存在IPSEC隧道，以及转发数据报文的接口是否配置有IPSEC策略；协商单元820用于所述检测单元810检测不存在所述IPSEC隧道时，发起隧道协商；加密单元830用于所述检测单元810检测存在所述IPSEC隧道时，对数据报文进行加密，所述加密的密码为通过隧道协商获得的密码；转发单元840用于通过配置了IPSEC策略的接口转发所述加密单元830加密的数据报文，以及所述检测单元810检测到所述接口未配置所述IPSEC策略时，对所述报文进行转发。

与本发明报文处理方法和系统的实施例相对应，本发明还提供了另一种报文处理装置的实施例，该报文处理装置通常位于接收端设备，用于接收数据报文。

本发明另一种报文处理装置的第一实施例框图如图9所示，该装置包括：接收单元910、检测单元920和解密单元930。

其中，接收单元910用于通过配置了IPSEC策略的接口接收加密数据报文；检测单元920用于检测所述接口是否存在IPSEC隧道；解密单元930用于所述检测单元检测存在所述IPSEC隧道时，对所述数据报文进行解密，所述解密的密码为通过隧道协商获得的密码。

本发明另一种报文处理装置的第二实施例框图如图10所示，该装置包括：接收单元1010、检测单元1020、丢弃单元1030、解密单元1040、判断单元1050和转发单元1060。

其中，接收单元1010用于通过配置了IPSEC策略的接口接收加密数据报文；检测单元1020用于检测所述接口是否存在IPSEC隧道；丢弃单元1030用于接收到的数据报文为未加密的数据报文，或所述检测单元1020检测所述接口不存在IPSEC隧道时，丢弃所述数据报文；解密单元1040用于所述检测单元1020检测存在所述IPSEC隧道时，对所述数据报文进行解密，所述解密的密码为通过隧道协商获得的密码；判断单元1050用于判断对所述数据报文进行解密是否成功，若是，则通过所述转发单元1060转发所述数据报文，否则，通过所述丢弃单元1030丢弃所述数据报文；转发单元1060还用于未配置所述IPSEC策略的接口接收到所述加密数据报文时，对所述数据报文进行转发。

通过本发明实施例的描述可知，应用本发明实施例，无需将ACL规则与IPSEC策略进行绑定，也无需将数据报文进行分类以确定是否进隧道处理，在配置了IPSEC策略的接口只需要对数据报文用协商的密钥进行加密或解密后，就进行IPSEC隧道处理，简化了数据报文的处理；并且本发明实施例不仅可以用在配置有IP地址的三层设备，还可以应用在配置有管理IP地址的二层设备，扩大了报文处理的应用范围。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在发送端设备执行时，包括如下步骤：检测存在IPSEC隧道时，对数据报文进行加密，所述加密的密码为通过隧道协商获得的密码；通过配置了IPSEC策略的接口转发所述加密的数据报文。该程序在接收端设备执行时，包括如下步骤：配置了IPSEC策略的接口接收加密数据报文；检测存在IPSEC隧道时，对所述数据报文进行解密，所述解密的密码为通过隧道协商获得的密码。所述的存储介质，如：ROM/RAM、磁碟、光盘等。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims

1、一种报文处理方法，其特征在于，包括：

通过配置了IPSEC策略的接口转发所述加密的数据报文。

2、根据权利要求1所述的方法，其特征在于，还包括：检测不存在IPSEC隧道时，发起隧道协商。

3、根据权利要求2所述的方法，其特征在于，所述发起隧道协商包括：

所述接口所在的设备为三层设备，通过所述接口配置的IP地址发起隧道协商；或

所述接口所在的设备为二层设备，通过所述设备的管理IP地址发起隧道协商。

4、根据权利要求1所述的方法，其特征在于，还包括：

检测用于转发所述数据报文的接口是否配置有IPSEC策略，若是，则执行所述检测隧道的步骤；否则，对所述报文进行转发。

5、根据权利要求1至4中任意一项所述的方法，其特征在于，所述IPSEC策略包括：隧道协商模式、协议类型、加密解密算法、隧道对端IP或预共享密钥；

所述数据报文包括：IP报文、ICMP报文或ARP报文。

6、一种报文处理方法，其特征在于，包括：

配置了IPSEC策略的接口接收加密数据报文；

7、根据权利要求6所述的方法，其特征在于，还包括：所述配置了IPSEC策略的接口接收到的数据报文为未加密的数据报文时，丢弃所述数据报文。

8、根据权利要求6所述的方法，其特征在于，还包括：检测不存在IPSEC隧道时，丢弃所述数据报文。

9、根据权利要求6所述的方法，其特征在于，还包括：

判断对所述数据报文进行解密是否成功，若是，则转发所述数据报文，否则，丢弃所述数据报文。

10、一种数据报文处理系统，其特征在于，包括：发送端设备和接收端设备，

所述接收端设备，用于通过配置了IPSEC策略的接口接收到所述加密的数据报文并检测存在IPSEC隧道时，对所述数据报文进行解密，所述解密的密码为与所述发送端设备通过隧道协商获得的密码。

11、一种报文处理装置，其特征在于，包括：

检测单元，用于检测是否存在IPSEC隧道；

12、根据权利要求11所述的装置，其特征在于，还包括：

协商单元，用于所述检测单元检测不存在所述IPSEC隧道时，发起隧道协商。

13、根据权利要求11所述的装置，其特征在于，所述检测单元，还用于检测转发所述数据报文的接口是否配置有IPSEC策略；

所述转发单元，还用于所述检测单元检测到所述接口未配置所述IPSEC策略时，对所述报文进行转发。

14、一种报文处理装置，其特征在于，包括：

检测单元，用于检测所述接口是否存在IPSEC隧道；

15、根据权利要求14所述的装置，其特征在于，还包括：

丢弃单元，用于所述配置了IPSEC策略的接口接收到的数据报文为未加密的数据报文，或所述检测单元检测所述接口不存在IPSEC隧道时，丢弃所述数据报文。

16、根据权利要求15所述的装置，其特征在于，还包括：

判断单元，用于判断对所述数据报文进行解密是否成功；

转发单元，用于当解密成功时转发所述解密后的数据报文；

所述丢弃单元还用于，当解密失败时丢弃所述数据报文。