CN101753531A

CN101753531A - 利用https/http协议实现IPsec协议封装的方法

Info

Publication number: CN101753531A
Application number: CN200810207349A
Authority: CN
Inventors: 康浩; 吴方军; 郑尚渝; 陈凯; 孙琦; 郝学芳; 滕波; 李锟
Original assignee: Shanghai Andatong Information Security Technology Co ltd
Current assignee: Shanghai Andatong Information Security Technology Co ltd
Priority date: 2008-12-19
Filing date: 2008-12-19
Publication date: 2010-06-23
Anticipated expiration: 2028-12-19
Also published as: CN101753531B

Abstract

一种利用https/http协议实现IPsec协议封装的方法，利用TCP协议实现IPsec协议封装，将UDP协议封装的IKE/IPSec报文进一步封装成TCP报文进行传输。本发明是一种创新型的IPSec VPN隧道封装方法，通过TCP协议对IKE和IPSec数据报文进行封装，克服了当前IPSec隧道只能通过UDP进行封装的局限性，同时具有保持对UDP封装等兼容性的优点，提供了一种解决异地网络安全互连的加密通信的新方法。

Description

利用https/http协议实现IPsec协议封装的方法

技术领域

本发明属于网络、通信技术领域，涉及解决异地网络安全互连的加密通信技术。

背景技术

随着通信基础设施建设和互联网络技术的飞速发展，各行各业纷纷借助互联网络技术来加快总公司和分公司信息的流动速度，提升企业的综合竞争力。VPN技术，就是一种目前业界主流的解决异地网络安全互连的加密通信协议。

VPN(Virtual Private Network)指综合利用包封装技术、加密技术，密钥交换技术、PKI技术，在公用的互联网络上，建立安全虚拟专用网络。数据在通信时通过VPN技术封装和加密。这样VPN技术能够有效保证，在一个开放的、没有安全保障的互联网上传输的数据的安全，保证数据信息的“机密性”、“完整性”和“不可抵赖性”。

目前主流的VPN技术中，主要的技术标准是IPSec VPN。

IPSec VPN技术：标准参加RFC 2401-RFC2409，主要应用两个协议：IKE协议和IPSec协议。IKE协议通过UDP 500端口进行通信，用来协商隧道加密密钥。ESP协议是报文加密封装协议。

IPSec VPN作为主流的V P N协议，具有传输效率高、实现简单、应用范围广的优势，但技术局限性在于其协议IKE和ESP对NAT设备的要求，由于NAT协议早于IPSec协议开发，因此NAT设备并不能有效地识别ESP协议，并做出正确的转换。为了让IPSec报文能穿越NAT设备，提出了使用UDP 4500协议封装IKE和IPSec保文的方案，该方案大大提升了IPSec协议的应用范围。但其要求网络环境开放UDP 4500端口，仍然具有一定的局限性。

综上所述，目前面临的主要技术问题是：

1、IPSec VPN要求开放UDP 4500端口，但是网络环境往往只开放了TCP80端口或者TCP 443端口。

2、数据包的处理要求高效，不能经过应用层的处理之后再转入内核网络层，因此TCP隧道的封装不能使用系统TCP协议栈。

3、对于已有的IPSec协议，新方案改动要求对系统的影响降到最低，并且能保持对标准协议的兼容性。

发明内容

本发明的目的在于提供一种利用https/http协议实现IPsec协议封装的方法，克服现有技术的上述缺点。

本发明IPSEC通信的两端，一端作为服务器，另外一端作为客户端。客户端首先通过同服务器建立一个TCP连接；第二步客户端请求服务器准备进行TCP封装通信；第三步服务器端为客户端分配一个虚拟UDP端口作为客户端的唯一标识，同时维护客户端TCP信息和UDP端口的映射表；第四步，客户端和服务器之间通过TCP连接信息和虚拟UDP端口信息进行隧道封装和解封装；第五步，当通信结束之后，服务器端释放所占用的资源。

包括：

1.TCP封装格式。将IPSec和IKE报文封装在TCP协议之中，从而能解决网络适应性问题。

2.TCP封装处理模块。在内核态直接完成TCP头部的封装和解封装，从而保证数据包的高效处理。

3.TCP隧道维护模块。TCP隧道建立维护模块负责TCP隧道的建立和撤销，由客户端和服务器端共同完成。TCP Client同TCP Server建立一个TCP连接，并且由服务器方分配一个虚拟UDP端口，完成UDP和TCP的映射。

由于采用了上述方案，本发明的优点是：

在IPSEC VPN用户进行VPN通信接入时，不仅可以通过UDP协议封装的方式穿透防火墙，还可以通过TCP协议穿透防火墙，增强IPSEC协议的网络适应性和应用范围。

附图说明

图1是IKE/IPSec报文通过TCP进行封装格式示意图。

图2是IPSec Over TCP模块结构图。

具体实施方式

以下结合附图所示实施例对本发明作进一步的说明。

利用TCP协议实现IPsec协议封装的方法有三个重要的组成部分，一是：IPSec封装包的形式；二是：IKE/IPSEC文的TCP封装模块；三是：TCP通道的建立和删除模块。

一、TCP封装IKE/IPSec数据包的格式

TCP封装IPSec封装包的格式如图1，数据包从IP依次开始是IP头部、TCP头部、UDP头部、以及最后的IKE/IPSEC数据。

二、TCP Client和TCP Server的交互流程以及映射表项的使用

第一步，TCP Client向TCP Server发起一个TCP连接请求；

第二步，TCP Server监听在服务端口，收到请求之后，接受该连接；

第三步，TCP Client发送一个自定义请求保文，要求建立一个TCP封装通道；

第四步，TCP Server接受该请求，分配一个未使用的虚拟UDP端口号，并将该虚拟UDP端口号附带在应答报文中发送给客户端；同时，TCP Server将(虚拟端口号、客户端IP地址、TCP客户端端口、TCP服务端端口、TCP序列号、TCP确认号、TCP窗口)7元组信息写入本地映射表中；

第五步，TCP Server定期检查该表，如果长时间没有使用，将主动清除表项，回收虚拟UDP端口资源。

三、TCP封装处理模块

TCP的封装处理模块介于IKE/IPSEC模块和网卡之间，当网卡收到数据包之后，先经过TCP封装模块的解封装处理，然后再到IKE/IPSEC模块处理。对于发包，当IKE/IPSEC模块处理完毕之后，最后在发包之前交给TCP封装处理模块，进行TCP的协议格式封装，然后发送。客户端和服务端的处理流程相似，以服务端为例，流程如下：

1.发送流程

如附图1封包格式所示，当UDP封装的数据包到达TCP封装模块的时候，处理流程如下：

(1)根据数据包中查找TCP-UDP映射表，如果目的IP地址和端口不在映射表中，直接发送，否则进行后续步骤；

(2)在报文中插入一个TCP头部，依照步骤(1)找到的映射表项信息填充TCP头部的20个字节；其中重要的是源和目的端口号、序列号和确认号以及校验和；

(3)根据本次发送到数据的长度，更新发送序列号；

(4)计算TCP校验和；

(5)重新计算IP头部校验和；

(6)发送数据包；

(7)结束。

2.收包处理流程

如附图1封包格式所示，当TCP封装的数据包到达TCP封装模块的时候，TCP封装模块需要将数据包进行TCP头部的解封装处理流程如下：

(1)根据TCP地址端口信息查找TCP-UDP映射表，如果没有找到，按原有流程处理；否则，继续步骤(2)

(2)如果找到，检查TCP，UDP头部的合法性；

(3)更新映射表项的确认序列号；

(4)去掉TCP头部；

(5)重新计算IP头部校验和；

(6)提交给IKE/IPSEC处理模块；

(7)结束。

上述的对实施例的描述是为便于该技术领域的普通技术人员能理解和应用本发明。熟悉本领域技术的人员显然可以容易地对这些实施例做出各种修改，并把在此说明的一般原理应用到其他实施例中而不必经过创造性的劳动。因此，本发明不限于这里的实施例，本领域技术人员根据本发明的揭示，对于本发明做出的改进和修改都应该在本发明的保护范围之内。例如，本发明所述通过TCP进行IPSEC封装的方法，比较常用的TCP端口是HTTP 80端口和HTTPS 443端口，但本发明不仅限于IPSec Over HTTP/HTTPS，依据本发明的方法使用其他TCP端口进行封装也在本发明的保护范围之内。

Claims

1.一种解决异地网络安全互连的加密通信方法，其特征在于：利用TCP协议实现IPsec协议封装，将UDP协议封装的IKE/IPSec报文进一步封装成TCP报文进行传输。

2.根据权利要求1所述的解决异地网络安全互连的加密通信方法，其特征在于：在内核态完成TCP头部的封装和解封装。

3.根据权利要求1所述的解决异地网络安全互连的加密通信方法，其特征在于：虚拟UDP端口的分配和使用。

4.根据权利要求3所述的解决异地网络安全互连的加密通信方法，其特征在于：TCP客户端同TCP服务器之间建立一个TCP连接，由服务器方分配一个唯一的虚拟UDP端口，并且通过客户端IP地址和该虚拟端口对客户端进行唯一标识。

5.根据权利要求3所述的解决异地网络安全互连的加密通信方法，其特征在于：服务器端维持一个TCP和UDP端口映射表，根据该映射表完成TCP协议头的封装与解封装。

6.根据权利要求3所述的解决异地网络安全互连的加密通信方法，其特征在于：在IPSEC VPN用户进行VPN通信接入时，不仅可以通过UDP封装的方式穿透防火墙，还可以通过TCP协议穿透防火墙。

7.根据权利要求1所述的解决异地网络安全互连的加密通信方法，其特征在于：所述TCP封装IKE/IPSec数据包的格式：数据包从IP依次开始是IP头部、TCP头部、UDP头部、以及最后的IKE/IPSEC数据。

8.根据权利要求4所述的解决异地网络安全互连的加密通信方法，其特征在于：所述TCP客户端和TCP服务器的交互流程以及映射表项的使用为：

第一步，TCP客户端向TCP服务器发起一个TCP连接请求；

第二步，TCP服务器监听在服务端口，收到请求之后，接受该连接；

第三步，TCP客户端发送一个自定义请求保文，要求建立一个TCP封装通道；

第四步，TCP服务器接受该请求，分配一个未使用的虚拟UDP端口号，并将该虚拟UDP端口号附带在应答报文中发送给客户端；同时，TCP服务器将虚拟端口号、客户端IP地址、TCP客户端端口、TCP服务端端口、TCP序列号、TCP确认号、TCP窗口信息写入本地映射表中；

第五步，TCP服务器定期检查该表，如果长时间没有使用，将主动清除表项，回收虚拟UDP端口资源。

9.根据权利要求1所述的解决异地网络安全互连的加密通信方法，其特征在于：包括：发送流程和收包处理流程，其中：

当UDP封装的数据包到达TCP封装模块的时候：

(1-1)根据数据包中查找TCP-UDP映射表，如果目的IP地址和端口不在映射表中，直接发送，否则进行后续步骤；

(1-2)在报文中插入一个TCP头部，依照步骤(1)找到的映射表项信息填充TCP头部的20个字节。其中重要的是源和目的端口号、序列号和确认号以及校验和；

(1-3)根据本次发送到数据的长度，更新发送序列号；

(1-4)计算TCP校验和；

(1-5)重新计算IP头部校验和；

(1-6)发送数据包；

(1-7)结束

当TCP封装的数据包到达TCP封装模块的时候，TCP封装模块需要将数据包进行TCP头部的解封装处理：

(2-1)根据TCP地址端口信息查找TCP-UDP映射表，如果没有找到，按原有流程处理；否则，继续步骤(2)

(2-2)如果找到，检查TCP，UDP头部的合法性；

(2-3)更新映射表项的确认序列号；

(2-4)去掉TCP头部；

(2-5)重新计算IP头部校验和；

(2-6)提交给IKE/IPSEC处理模块；

(2-7)结束。

10.根据权利要求1所述的解决异地网络安全互连的加密通信方法，其特征在于：所述TCP协议中包括但不限于TCP 80或者HTTPS 443协议。