CN101783804A - 可提高安全协定封包处理效能的方法 - Google Patents

Abstract

本发明公开一种可提高安全协议封包处理效能的方法，主要对欲进行传输的封包数据进行判断，以得知该封包数据是否属于安全协议通道，若确定传输的封包数据属于某一安全协议通道，便可得知该封包数据之后将会被封装成为一安全协议封包，并可使得该封包数据不用经过网关器内的防火墙及/或Netfilter，此外亦不需要对该封包数据进行网络地址转换，借此将有利于提高安全协定封包的处理效能。

Description

可提高安全协定封包处理效能的方法

技术领域

本发明涉及一种可提高安全协议封包处理效能的方法，主要对欲进行传输的封包数据进行判断，借此以提高安全协议封包的处理效能。

背景技术

请参阅图1，为现有封包数据的传输示意图。如图所示，一般而言封包数据可以IP封包或是安全协议封包(IPSec)进行传送，在以IP封包进行数据的传送时，由于IP封包本身并不具有任何安全的特性，因此在传输的过程中IP封包很有可能被拦截，并被查看或修改IP封包的内容。

安全协议封包是针对位于网络层的Internet Protocol所提出的安全性协议，并可有效提高封包数据传送时的安全性。一般来说安全协议封包主要可使用传输模式(Transport mode)或通道模式(Tunnel mode)进行传输，以传输模式进行封包数据的传输时，仅需要加密或认证上层协议的数据。例如在同一个局域网络(LAN)中包括有第一计算机(PC1)111与第三计算机(PC3)115，其中第一计算机111与第三计算机115可直接建立联机(不必经由路由器或防火墙)，且第一计算机111及第三计算机115具有处理安全协议封包的能力，并可使用安全协议的传输模式。

在以通道模式进行安全协议封包的传输时，安全协议会加密或认证整个封包，然后在最外面再加上一个新的IP表头。当安全协议联机两端的计算机有一端或两端不具处理安全协议封包能力，而必须通过具有安全协议能力的路由器或网关器来代为处理安全协议封包时，即必须使用通道模式。

此外，在以通道模式进行安全协议封包的传输时，要先在两个网关器(Gateway)之间建立一条安全协议通道(IPSec Tunnel)，例如可在第一网关器13与第二网关器15之间建立安全协议通道17，当第一计算机111要将数据传送至第二计算机113时，第一计算机111会先将封包数据传送至第一网关器13，而第一网关器13会将封包数据封装成安全协议封包，并将安全协定封包经由安全协议通道17传送至第二网关器15。第二网关器15会进一步对所接收的安全协议封包进行解密，以还原成为封包数据并传送至第二计算机113，借此以完成第一计算机111与第二计算机113之间的数据传输。

第一计算机111将封包数据传送至第一网关器13时，第一网关器13内的Netfilter或防火墙(Firewall)131会接收封包数据，之后再将封包数据交给安全协议模块(IPSec Module)133。安全协议模块133可将封包数据加密封装为安全协议封包，待封装完成后安全协议模块133会在将安全协定封包交给Netfilter或防火墙131，并以Netfilter或防火墙131进行安全协议封包的传送。

在经过分析后可以发现，网关器13/15在处理安全协议封包时会消耗相当多的时间与资源，例如网关器13/15必须进行安全协议封包的加密或解密。此外，在以网关器13/15接收或发送安全协议封包的过程中，封包数据需要经过安全协议模块133及Netfilter或防火墙131之间多个接点(例如5个Hook点)，进而影响到安全协定封包的处理效能。

发明内容

本发明的主要目的，在于提供一种可提高安全协议封包处理效能的方法，主要用以对网关器处理安全协议封包的过程进行优化，以降低网关器的负担及处理的时间，借此有利于提高网关器处理安全协议封包的效率。

本发明的次要目的，在于提供一种可提高安全协议封包处理效能的方法，其中网关器在处理封包数据的过程当中，可使得属于安全协议通道的封包数据绕开网关器内的Netfilter或防火墙，借此以减少网关器及/或处理器的负担及处理的时间，并达到提高整体效能的目的。

本发明的又一目的，在于提供一种可提高安全协议封包处理效能的方法，其中网关器可将所接收的封包数据的来源地址(source address)及/或目的地址(destination address)及/或安全系数索引(SPI)与安全协议通道表(IPSec tunneltable)进行比对，借此以判断该封包数据是否属于某一安全协议通道。

本发明的又一目的，在于提供一种可提高安全协议封包处理效能的方法，由于安全协议封包本身已是一种加密数据，可在没有防火墙存在的状况下进行安全的传输，此外亦不需要网络地址转换(NAT)进行网络地址转换，因此可使得属于安全协议通道的封装数据绕开网关器内的Netfilter或防火墙，以提高安全协定封包的处理效能。

本发明的又一目的，在于提供一种可提高安全协议封包处理效能的方法，其中网关器在完成封包数据的判断后，会进一步对属于安全协议通道的封包数据进行标示，借此可不用重复对经过判断的封包数据进行判断。

为达上述目的，本发明提供可提高安全协议封包处理效能的方法，包括有以下步骤：一计算机传送一封包数据至一网关器；网关器判断封包数据属于一安全协议通道；封包数据绕开网关器的Netfilter及/或防火墙；以一安全协议模块将封包数据封装成为一安全协议封包：及网关器通过安全协议通道将安全协议封包传送至另一网关器。

本发明还提供另一种可提高安全协议封包处理效能的方法，包括有以下步骤：一网关器由广域网接收一封包数据；网关器判断封包数据属于一安全协议通道；封包数据绕开网关器的Netfilter及/或防火墙；以一安全协议模块将封包数据进行还原：及网关器将经过还原的封包数据传送至一计算机。

此外，本发明还进一步提供一种可提高安全协议封包处理效能的方法，包括有以下步骤：一第一计算机传送一封包数据至一第一网关器，且封包数据属于一安全协议通道；封包数据绕开第一网关器的Netfilter及/或防火墙；以第一网关器的一安全协议模块将封包数据封装成为一安全协议封包：第一网关器通过安全协议通道将安全协议封包传送至一第二网关器；安全协定封包绕开第二网关器的Netfilter及/或防火墙；以第二网关器的一安全协议模块将安全协议封包进行还原；及第二网关器将经过还原的安全协议封包传送至一第二计算机。

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1为现有封包数据的传输示意图；

图2为本发明封包数据一实施例的传输示意图；

图3为本发明可提高安全协定封包处理效能的方法一实施例的方法流程示意图；

图4为本发明可提高安全协定封包处理效能的方法又一实施例的方法流程示意图。

其中，附图标记

111  第一计算机                  113  第二计算机

115  第三计算机                  117  第四计算机

13   第一网关器                  131  防火墙

133  安全协议模块                15   第二网关器

17   安全协议通道

211  第一计算机                  213  第二计算机

215  第三计算机                  217  第四计算机

23   第一网关器                  231  防火墙

233  安全协议模块                25   第二网关器

251  防火墙                      253  安全协议模块

27   安全协议通道                29   因特网

具体实施方式

下面结合附图对本发明的结构原理和工作原理作具体的描述：

请参阅图2，为本发明封包数据一实施例的传输示意图。一般而言计算机可通过网关器并利用网络进行数据传输，在本发明实施例中包括有一第一计算机(PC1)211、一第二计算机(PC2)213、一第三计算机(PC3)215、一第四计算机(PC4)217、一第一网关器23及一第二网关器25，其中第一计算机211及第三计算机215与第一网关器23相连接，且第一计算机211及第三计算机215位于同一个局域网络(LAN)，而第二计算机213及第四计算机217则与第二网关器25相连接，且第二计算机213及第四计算机217位于同一个局域网络。

第一计算机211及第三计算机215可通过第一网关器23上网，并进行封包数据的传输。在本发明实施例中，第一网关器23包括有一Netfilter或防火墙231，而第二网关器25亦包括有一Netfilter或防火墙251，当第一计算机211或第三计算机215要进行封包数据的传送时，例如封包数据为一IP封包时，可将封包数据传送至第一网关器23，并以第一网关器23内的Netfilter或防火墙231过滤封包数据，或是对封包数据进行网络地址转换(NAT)，借此以完成封包数据的传送。

第一网关器23还包括有一安全协议模块(IPSec Module)233，而第二网关器25亦包括有一安全协议模块253，借此可通过第一网关器23将第一计算机211及第三计算机215所传送的封包数据封装成安全协议封包(IPSec packet)，并通过安全协议通道27进行安全协议封包的传送。例如，可在第一网关器23及第二网关器25之间建立一安全协议通道27，借此第一网关器23可将封包数据封装成安全协议封包，并经由安全协议通道27将安全协议封包传送至第二网关器25，而第二网关器25则可将接收的安全协议封包进行解密还原成封包数据，并将封包数据传送至第二计算机213或第四计算机217。

在本发明实施例中，网关器23/25在接收到计算机211/213/215/217所传送的封包数据后，会进一步对封包数据进行判断，若该封包数据属于某一条安全协议通道(IPSec Tunnel)，便可得知该封包数据之后将会被封装成安全协议封包，并可使得该封包数据由Netfilter或防火墙231/251退出，或使得封包数据绕开Netfilter或防火墙231/251，而直接以安全协议模块233/253将封包数据封装成为安全协议封包，并进行安全协议封包的传送。

例如第一计算机211可将封包数据传送至第一网关器23，当第一网关器23判断该封包数据属于安全协议通道27时，便可使得该封包数据由Netfilter或防火墙231退出，并直接以安全协议模块233将封包数据封装成为安全协议封包，而后再通过安全协议通道27将安全协议封包传送至第二网关器25。当第二网关器25判断该封包数据属于安全协议通道27时，便可得知该封包数据为安全协议封包，并可使得该封包数据由Netfilter或防火墙251退出，并直接以安全协议模块253对封包数据进行还原。

安全协议封包主要是在封包数据上封装一层安全协议通道，以完成内网数据在公网上传输的方法，且在传输的过程中具有相当高的安全性，因此可不需要Netfilter或网络地址转换(NAT)进行网络地址转换，亦可不使用防火墙对封包进行过滤。在本发明中判断属于安全协议通道的封包数据会绕开网关器23/25内的Netfilter或防火墙231，借此以减少网关器23/25及/或微处理器的运算量及负担，并有利于提高安全协定封包的处理效能。

请参阅图3，为本发明可提高安全协定封包处理效能的方法一实施例的流程示意图。请配合参照图2，为了提高说明的便利性，本发明主要是以第一计算机211经由第一网关器23进行封包数据传送为说明实施例，当然在实际应用时亦可通过不同的计算机及网关器进行封包数据的传输。在通过网络进行封包数据的传输时，首先可由第一计算机211将封包数据传送至第一网关器23，如步骤31所示。

网关器在接收计算机所传送的封包数据后，将会进一步判断所接收的封包数据是否属于一安全通道协议通道，例如第一网关器23会判断第一计算机211所传送的封包数据是否属于安全协议通道27，如步骤32所示。在本发明一实施例中，当第一网关器23与第二网关器25之间建立一条安全协议通道后，将会以安全协议通道表(IPSec tunnel table)对所建立的安全协议通道的属性进行记录，例如安全协议通道表中可记录安全协议通道的来源地址(source address)及/或目的地址(destination address)及/或安全系数索引(SPI)，借此将可以封包数据内的来源地址及/或目的地址及/或安全系数索引与安全协议通道表进行比对。

若可以在安全协议通道表内找到一个安全协议通道的来源地址及/或目的地址与封包数据的来源地址及/或目的地址相同，便可得知该封包数据是属于该安全协议通道，换言之，该封包数据之后将会被封装成为安全协议封包，并可继续进行步骤34。反之，若无法在安全协议通道表内找到一个安全协议通道的来源地址及/或目的地址与封包数据的来源地址及/或目的地址相同，则表示该封包数据后续并不会经由安全协议通道进行传送，并可继续进行步骤33。

当判断封包数据后续不会经由安全协议通道进行传送时，便需要以第一网关器23内的Netfilter及/或防火墙231对该封包数据进行处理及传输，如步骤33所示。在此一步骤中，可以Netfilter或NAT对进行网络地址转换，以防火墙过滤封包数据的数据，而后再进行封包数据的传送，借此以提高封包数据在传送时的安全性。

若封包数据是属于某一安全协议通道，例如安全协议通道27，则可使得该封包数据绕开第一网关器23内的Netfilter及/或防火墙231，如步骤34所示。一般来说第一计算机211在将封包数据传送至第一网关器23时，会在第一网关器23的Netfiler及/或防火墙231的入口处对封包数据进行判断，当确认封包数据属于某一条安全协议通道27，便进一步使得该封包数据由Netfiler及/或防火墙231退出，或绕开Netfiler及/或防火墙231。

对封包数据而言第一接点(Hook点)通常都是Preinput，因此可在Preinput处对封包数据进行判断。此外亦可依据判断的结果在封包数据上设置一个标志，例如对属于一安全协议通道的封装数据上设置标志，借此其它的接点(Hook点)将可由封包数据上的标志得知该封包数据是否属于一安全协议通道，而不用再花时间对相同的封包数据进行判断。

当封包数据绕开Netfilter及/或防火墙231或由Netfilter及/或防火墙231退出后，将会进一步通过安全协议模块233将该封包数据封装成为一安全协议封包，如步骤35所示。当封包数据被封装成为安全协议封包后，便可经由该安全协议封包所属的安全协议通道进行数据传送，例如第一网关器23经由一安全协议通道27将安全协议封包传送至第二网关器25，如步骤36所示。

经由上述的步骤将可对封包数据进行判断，使得封包数据经过Netfilter及/或防火墙231后再进行传输，或是使得封包数据由Netfilter及/或防火墙231退出，并以安全协议模块233将封包数据封装成为安全协议封包，而后再通过安全协议通道27进行安全协议封包的传输，借此将可有效提高(第一)网关器23处理及传输安全协议封包的效能。

请参阅图4，为本发明可提高安全协定封包处理效能的方法又一实施例的流程示意图。请同时参阅图2，为了提高说明的便利性，本发明主要是以第二网关器25将封包数据传送至第二计算机213为说明的实施例，当然在实际应用时亦可通过不同的计算机及网关器进行封包数据的传输。网关器可用以由广域网接收一封包数据，例如第二网关器25可经由安全协议通道27由第一网关器23接收一安全协议封包，当然第二网关器25亦可由因特网(Internet)29由第一网关器23或其它装置接收一封包数据，如步骤41所示。

网关器在接收封包数据后可进一步判断该封包数据是否属于一安全协议通道，例如第二网关器25由广域网(WAN)口接收封包数据，并进一步对该封包数据进行判断，如步骤42所示。在本发明一实施例中，可在preinput处判断所接收的封包数据是否属于安全协议通道27，例如可将封包数据的来源地址及/或目的地址及/或安全系数索引与安全协议通道表进行比对。

若可以在安全协议通道表内找到一个相符合的安全协议通道，便可得知该封包数据是属于该安全协议通道，换言之，该封包数据为安全协议封包，并可继续进行步骤44。反之，若无法在安全协议通道表内找到一个符合的安全协议通道，则表示该封包数据并不属于也不是经由安全协议通道进行传送，换言之该封包数据不是安全协议封包，并可继续进行步骤43。

当判断封包数据不是经由安全协议通道所进行传送时，便需要以第二网关器25的Netfilter及/或防火墙251对该封包数据进行处理及过滤，如步骤43所示。在此一步骤中，需要以Netfilter或NAT对封包数据进行网络地址转换，并以防火墙过滤封包数据，而后再进行封包数据的传输，借此以提高封包数据在传送时的安全性。

若封包数据是属于某一安全协议通道，则可使得该封包数据绕开Netfilter及/或防火墙251，如步骤44所示。在实际应用时可在Netfiler及/或防火墙251的入口处对封包数据进行判断，当确认封包数据是属于某一条安全协议通道27，便可使得该封包数据由Netfiler及/或防火墙251退出。例如可在第一接点处对封包数据进行判断，并依据判断的结果在封包数据上设置一个标志，借此其它的接点将可由封包数据上的标志得知该封包数据是否属于一安全协议通道，而不用再花时间对相同的封包数据进行判断。

当确定第二网关器25所接收的封包数据为安全协议封包时，便可使得安全协定封包绕开Netfilter及/或防火墙251或由Netfilter及/或防火墙251退出，并进一步通过安全协议模块253将该安全协议封包还原成为封包数据，如步骤45所示。而后第二网关器25可将经过还原的封包数据传送至第二计算机213，如步骤46所示。

在本发明实施例中主要是对网关器接收安全协议封包的效能进行优化，而图3实施例则是对网关器传送安全协议封包的效能进行优化，在实际应用时可将两者进行合并，并有利于提高安全协议封包整体的处理效能。例如第一计算机211可将封包数据传送至第一网关器23，若该封包数据属于一安全协议通道27，便可使得该封包数据绕开该第一网关器23的Netfilter及/或防火墙231，并以第一网关器23内的安全协议模块231将封包数据封装成为安全协议封包，而后第一网关器23可通过安全协议通道27将安全协议封包传送至第二网关器25。由于该封装数据属于安全协议通道27，并为一安全协定封包，因而可使得安全协定封包绕开第二网关器25的Netfilter及/或防火墙251，并以第二网关器25的安全协议模块253将安全协议封包进行还原，而后再由第二网关器25将经过还原的安全协议封包传送至第二计算机215。

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (11)

1.一种可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：

一计算机传送一封包数据至一网关器；

该网关器判断该封包数据属于一安全协议通道；

该封包数据绕开该网关器的Netfilter及/或防火墙；

以一安全协议模块将该封包数据封装成为一安全协议封包：及

该网关器通过该安全协议通道将该安全协议封包传送至另一网关器。

2.根据权利要求1所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：将该封包数据的来源地址、该封包数据的目的地址及/或该封包数据的安全系数索引与一安全通道表进行比对。

3.根据权利要求1所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：标示属于该安全协议通道的封包数据。

4.根据权利要求1所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：将该封包数据的来源地址及目的地址与一安全通道表进行比对。

5.一种可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：

一网关器由广域网接收一封包数据；

该网关器判断该封包数据属于一安全协议通道；

该封包数据绕开该网关器的Netfilter及/或防火墙；

以一安全协议模块将该封包数据进行还原：及

该网关器将经过还原的封包数据传送至一计算机。

6.根据权利要求5所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：将该封包数据的来源地址、该封包数据的目的地址及/或该封包数据的安全系数索引与一安全通道表进行比对。

7.根据权利要求5所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：标示属于该安全协议通道的封包数据。

8.根据权利要求5所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：将该封包数据的来源地址及目的地址与一安全通道表进行比对。

9.一种可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：

一第一计算机传送一封包数据至一第一网关器，且该封包数据属于一安全协议通道；

该封包数据绕开该第一网关器的Netfilter及/或防火墙；

以该第一网关器的一安全协议模块将该封包数据封装成为一安全协议封包：

该第一网关器通过该安全协议通道将该安全协议封包传送至一第二网关器；

该安全协定封包绕开该第二网关器的Netfilter及/或防火墙；

以该第二网关器的一安全协议模块将该安全协议封包进行还原；及

该第二网关器将经过还原的安全协议封包传送至一第二计算机。

10.根据权利要求9所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：

将该封包数据的来源地址及目的地址与一安全通道表进行比对；及

判断该封包数据是否属于一安全协议通道。

11.根据权利要求1所述的可提高安全协议封包处理效能的方法，其特征在于，包括有以下步骤：

将该封包数据的来源地址、目的地址及安全系数索引与一安全通道表进行比对；及

判断该封包数据是否属于一安全协议通道。

Images