CN102907040A

CN102907040A - 数据传输的方法、设备和系统

Info

Publication number: CN102907040A
Application number: CN2012800004853A
Authority: CN
Inventors: 卢胜文
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2012-05-29
Filing date: 2012-05-29
Publication date: 2013-01-30
Also published as: WO2012126432A3; WO2012126432A2

Abstract

本发明实施例提供了一种数据传输的方法、设备和系统。该方法包括：根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该安全域中的加解密设备之间的数据传输；向该安全域中的每一个加解密设备发送加解密信息，该加解密信息包括该安全域内通信的加解密算法和密钥，用于该每一个加解密设备根据该加解密信息对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。本发明实施例的数据传输的方法、设备和系统，通过安全管理设备确定用于安全域内数据传输的加解密算法和密钥，能够在保证安全域内数据传输安全的同时，集中协商和管理安全域内数据传输的算法和密钥，减少密钥协商的压力。

Description

数据传输的方法、设备和系统技术领域

本发明涉及通信领域，并且更具体地，涉及数据传输的方法、设备和系统。背景技术

随着计算机技术的飞速发展，网络已经成为社会发展的重要保证。如何保证数据不被泄密，是影响网络发展的一个重要原因，端到端的数据加密有利于防止信息被泄密。例如，在两个网络通过不可信的网络连接时，可以在两个网络的入口网络设备上启用链路加密，保证数据穿过不可信网络时是加密的；因此，在客户端访问服务器端时，可以在客户端和服务器端进行数据加密，保证客户端与服务器端通信时数据不被窃听。

然而，在两个主机间或者客户端和服务器端之间进行数据传输并对数据加解密时，需要在主机间或者客户端和服务器端之间进行密钥的协商，密钥的协商和管理会给设备的中央处理器 (Central Processing Unit, 简称 "CPU" )带来巨大的压力。

因此，需要一种合适的方案，在保证数据传输安全的同时，减少密钥协商和管理的压力。发明内容

本发明实施例提供一种数据传输的方法、设备和系统，能够保证数据传输的安全，减少密钥协商的压力。

一方面，提供了一种数据传输的方法，包括：根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该安全域中的加解密设备之间的数据传输；向该安全域中的每一个加解密设备发送加解密信息，该加解密信息包括该安全域内通信的加解密算法和密钥，用于该每一个加解密设备根据该加解密信息对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。另一方面，提供了一种数据传输的方法，包括：接收安全管理设备发送的加解密信息，该加解密信息包括用于安全域中的加解密设备之间数据传输的加解密算法和密钥，该加解密算法和密钥是该安全管理设备根据该安全域中的加解密设备列表及每一个加解密设备支持的加解密算法确定的；根据该加解密信息，对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。

另一方面，提供了一种安全管理设备，包括：确定单元，用于根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该安全域中的加解密设备之间的数据传输；发送单元，用于向该安全域中的每一个加解密设备发送加解密信息，该加解密信息包括该确定单元确定的该安全域内通信的加解密算法和密钥，用于该该安全域中每一个加解密设备根据该加解密信息对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。

另一方面，提供了一种加解密设备，包括：接收单元，用于接收安全管理设备发送的加解密信息，该加解密信息包括用于与包含本加解密设备的安全域中的其他加解密设备之间数据传输的加解密算法和密钥，该加解密算法和密钥是安全管理设备根据该安全域中的加解密设备列表及每一个加解密设备支持的加解密算法确定的；加解密单元，用于根据该接收单元接收的该加解密信息，对与该安全域中的其他加解密设备间传输的数据进行加密或解密。

另一方面，提供了一种用于数据传输的系统，该系统包括：一个安全管理设备和至少两个加解密设备，其中，该安全管理设备用于根据包含所述加解密设备的安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定该安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该安全域中的加解密设备之间的数据传输，并向该安全域中的每一个加解密设备发送加解密信息，该加解密信息包括该加解密算法和密钥；该加解密设备用于接收该安全管理设备发送的加解密信息，该加解密信息包括用于与安全域中的其他加解密设备之间数据传输的加解密算法和密钥，并根据该加解密信息，对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。基于以上技术方案，本发明实施例的数据传输的方法、设备和系统，通过安全管理设备确定用于安全域内数据传输的加解密算法和密钥，集中协商和管理安全域内数据传输的加解密算法和密钥，减少密钥协商和管理的压力。附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图 1示出了根据本发明实施例的数据传输的方法的流程图。

图 2示出了根据本发明另一实施例的数据传输的方法的流程图。

图 3示出了根据本发明另一实施例的数据传输的方法的流程图。

图 4示出了根据本发明实施例的安全管理设备的结构框图。

图 5示出了根据本发明另一实施例的安全管理设备的结构框图。

图 6示出了根据本发明另一实施例的安全管理设备的结构框图。

图 7示出了根据本发明实施例的加解密设备的结构框图。

图 8示出了根据本发明另一实施例的加解密设备的结构框图。

图 9示出了根据本发明实施例的数据传输的系统的结构框图。具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应理解，本发明实施例的技术方案可以应用于各种通信系统，例如：全球移动通讯（ Global System of Mobile communication, 简称 "GSM" ) 系统、码分多址（Code Division Multiple Access, 简称 "CDMA" ) 系统、宽带码分多址（Wideband Code Division Multiple Access, 简称 "WCDMA" )系统、通用分组无线业务（General Packet Radio Service, 简称 "GPRS" )、长期演进 ( Long Term Evolution,简称 "LTE" )系统、 LTE频分双工( Frequency Division Duplex, 简称 "FDD" ) 系统、 LTE时分双工（ Time Division Duplex, 简称 "TDD" )、通用移动通信系统 ( Universal Mobile Telecommunication System, 简称 "UMTS" )、因特网和数据通信领域等。

图 1是根据本发明实施例的数据传输的方法 100的流程图。如图 1所示，该方法 100包括：

S110、根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该安全域中的加解密设备之间的数据传输；

S120、向该安全域中的每一个加解密设备发送加解密信息，该加解密信息包括该安全域内通信的加解密算法和密钥，用于该每一个加解密设备根据该加解密信息对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。

在本发明实施例中，安全域是指域内各设备相互信任、设备之间的通信是安全可信的，且往往由同一安全管理设备进行安全管理的网络、系统或设备集合，例如一个虚拟专用网络（Virtual Private Network , 简称 "VPN" )、一个公司内部通信网络等、或者一个 VPN 中的部分设备。安全域的加解密设备是指在这些域内设备上进行加解密操作的加解密设备，例如，同一个 VPN内的多台计算机 (由计算机自身进行加解密操作 ), 或一个公司内需要进行数据通信的计算机内的配置的网卡（由网卡进行加解密操作）等。

通常，在安全管理设备上会有安全域所包含的加解密设备的列表，表明哪些加解密设备是属于这个安全域的。安全管理设备可以根据安全域中所包含的加解密设备的列表及每一个加解密设备支持的加解密算法，确定用于加解密该安全域中每一个加解密设备之间传输的数据的加解密算法和密钥，并分别向安全域中每一个加解密设备发送包括该加解密算法和密钥的加解密信息，以便于该每一个加解密设备在与该安全域中的其他加解密设备间传输相应数据时，利用该加解密算法和密钥加密或解密传输的数据。

因此，本发明实施例的保障数据传输安全的方法，通过安全管理设备确定用于安全域内通信的对数据进行加解密的加解密算法和密钥，能够在保证数据传输安全的同时，集中协商和管理安全域内数据传输的算法和密钥，减少密钥协商的压力。

本发明实施例中的加解密设备，可以为计算机设备，也可以为网卡；其中，网卡是一种具体的可以将计算机、工作站、服务器等设备连接到网络上的通信接口装置，也可以是网络适配器（network adapter )等实现类似功能的装置。在本发明实施例中，在加解密设备为网卡时，通过网卡对数据进行加解密，能够进一步避免在计算机设备上加解密数据给 CPU带来的巨大压力。

优选的，在安全管理设备确定加解密算法和密钥之前，安全管理设备可以通过接收安全域中的每一个加解密设备发送的各自支持的加解密算法，来获得安全域中每一个加解密设备支持的加解密算法，其中，每一个加解密设备将所支持的加解密算法发送至该安全管理设备，具体可以是：在每个加解密设备都有一个所支持的加解密算法的列表，加解密设备将相关信息发送给该安全管理设备。当然，也可以由安全管理设备直接配置安全域中的每一个加解密设备各自支持的加解密算法来获取每一个加解密设备支持的加解密算法。

本发明实施例中，安全管理设备可以配置安全域中的加解密设备列表，具体方法可以为：直接配置安全域中的加解密设备列表，说明某个安全域内所包含的加解密设备，可以釆用加解密设备的互联网协议（ Internet Protocol, 简称 "IP" )地址、媒体接入控制（Media Access Control, 简称 "MAC" )地址、设备标识等标识加解密设备，如表 1所示。

表 1

也可以预先设置安全域所包含的加解密设备的条件，如 IP地址的范围、归属的虚拟局域网（ Virtual Local Area Network, 简称 "VLAN" )等，再根据相应的条件，配置安全域的加解密设备列表，例如，设置安全域群 1的条件为 IP地址的范围为如 10.1.80.* , 然后将网络内符合 IP范围条件的加解密设备配置在加解密设备列表中。通过配置安全域中的加解密设备列表，可以进一步灵活地明确哪些设备可以由安全管理设备集中协商和管理安全域内数据传输的算法和密钥，进而有效减少密钥协商的压力。

在本发明实施例中，具体的，安全管理设备可以根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，为安全域中每一个加解密设备选取相同的用于安全域内通信加解密算法和密钥，而这个加解密算法是该安全域中所有加解密设备都支持的。

具体可以为，安全管理设备在获取了安全域中每一个加解密设备支持的加解密算法后，在有多种公共加解密算法符合选择要求的情况下，可以按随机或者指定的优先级来选择釆用何种算法用来加密，如可以在安全管理设备中配置策略来决定。密钥的选择则一般选择一个随机数作为密钥，或者由一个随机数生成一个密钥。

因此，本发明实施例的保障数据传输安全的方法，通过安全管理设备确定用于安全域内通信的加解密数据的加解密算法和密钥，为安全域内的所有加解密设备统一选择同样的加解密算法和密钥，在保证安全域内的加解密设备间的数据传输安全的同时，通过集中协商和管理安全域内数据传输的算法和密钥，减少密钥协商的压力。

进一步的，安全域中的加解密设备还可以配置数据传输权限，即是否可以与安全域外的其他设备进行通信，具体优选的，可以在安全管理设备中进行配置，在安全管理设备中配置该安全域中的加解密设备的数据传输权限，数据传输权限可以配置为是否可以与该安全域外的设备进行数据传输，如表 2所示。

表 2

优选的，当安全域中的每一个加解密设备只能与该安全域中的其他加解密设备传输数据，则安全管理设备为该安全域中的每一个加解密设备分配相同的加解密算法和密钥后，可以只向每一个加解密设备发送用于加解密数据的加解密算法和密钥，该每一个加解密设备在接收到数据或需要发送数据时，则可以根据该加解密算法和密钥对传输的数据进行加密或解密实现通信；而若安全域中的加解密设备除与该安全域中的其他加解密设备传输数据之外，还可以与该安全域以外的其他设备传输数据时，则安全管理设备还需向安全域内的每一个加解密设备发送该安全域中其他加解密设备的设备标识信息，以便于该每一个加解密设备在对与该安全域中的其他加解密设备传输的数据进行加解密时，能够釆用接收到的该设备标识确定所对应的加解密算法和密钥进行正确加密或解密。

在本发明实施例中，当该安全域中的加解密设备的数据传输权限为可以与该安全域外的设备进行数据传输时，安全管理设备向安全域中的每一个加解密设备发送的加解密信息进一步包括设备标识，用于加解密设备根据该设备标识确定该安全域内通信的加解密算法和密钥适用的该安全域中的其他加解密设备，其中，该设备标识包括：该安全域中的其他加解密设备的互联网协议（Internet Protocol, 简称 "IP" )地址、该安全域中的其他加解密设备的媒体接入控制（Media Access Control, 简称 "MAC" )地址、该安全域中的其他加解密设备的标识（Identifier, 简称 "ID" )、包括该安全域的虚拟局域网（Virtual Local Area Network, 简称 "VLAN" ) 的 ID、才艮文的特征信息中的至少一种。其中，在加解密信息中包括 VLAN的 ID而不包括其他加解密设备的 IP地址、 MAC地址、 ID时，说明该 VLAN只包括该安全域中的加解密设备。

即，本发明的实施例中，可以通过加解密设备的 IP地址、 MAC地址、

ID、 VLAN ID, 报文的特征信息来确定安全域内的其他加解密设备，即可以理解为，根据加解密设备的 IP地址、 MAC地址、 ID、 VLAN ID, 文的特征信息等确定加解密算法和密钥。

本发明的实施例中，例如，可以按照流分类策略确定安全域内的其他加解密设备的方式。这里所说的流分类策略，优选的，可以釆用配置访问控制列表（Access Control List, 简称 "ACL" )规则来实现，即依据报文的特征信息来区分不同的流。通常可以配置是>¾文的各种特征信息，例如 IP、 MAC, VLAN, 四层协议、四层端口，或其它可以进行报文分类的内容等进行流识另' J , 然后按流进行加解密处理。当然，此时向安全域中的每一个加解密设备发送的加解密信息中包括 ·艮文的特征信息。相应的，安全域中各个加解密设备接收到安全管理设备发送的安全域内通信的加解密算法和密钥，以及该加解密算法和密钥对应的 ^¾文特征信息时，也可以建立相应的表项，当各个加解密设备之间需要传输数据时，各个加解密设备可以通过已建立的表项获取相应的加解密算法和密钥，并利用该加解密算法和密钥对需要传输的数据进行加解密。

应理解，在本发明实施例中，一个加解密设备可以对应于一个 IP地址 (或 MAC地址），也可以对应于多个 IP地址（或 MAC地址），其中，在对应于多个 IP地址（或 MAC地址 )时，该加解密设备对应的多个 IP地址（或 MAC 地址）可以属于同一安全域，也可以属于不同的安全域，即可以为该多个 IP地址确定相同的加解密算法和密钥，也可以为该多个 IP地址确定不同的算法和密钥。当然，此时安全设备上的安全域的配置信息中，也会具体细化到该安全域中每一个加解密设备的具体 IP地址（或 MAC地址）。

在本发明实施例中，在某一加解密设备对应于一个 IP地址（或 MAC地址），且该一个 IP地址（或 MAC地址）不仅与安全域中的设备进行通信，还需要与安全域外的设备进行通信时，则需要向该加解密设备发送该安全域中的其他加解密设备的 IP地址（或 MAC地址）；在本发明实施例中，在某一加解密设备对应于多个 IP地址（或 MAC地址），且该多个 IP地址（或 MAC 地址）属于不同的安全域时，安全管理设备不仅需要向该加解密设备发送安全域中其他加解密设备的 IP地址（或 MAC地址），还需要发送该加解密设备在该安全域中通信中使用的 IP地址（或 MAC地址），以便该加解密设备能够根据接收到的自身 IP地址，确定该接收到的加解密算法和密钥具体用在哪个安全域（也就是 IP地址）所对应的数据传输中。

例如，加解密设备 1对应于 IP1和 IP2,加解密设备 2对应于 IP3和 IP4, 加解密设备 3对应于 IP5和 IP6。其中，安全管理设备确定 IP1、 IP3和 IP5 属于同一安全域，并将该安全域对应的加解密算法和密钥确定为算法和密钥 ( 1 ); 安全管理设备确定 IP2、 IP4和 IP6属于同一安全域，并将该安全域对应的加解密算法和密钥为算法和密钥（2 ); 并且确定该两个安全域都需要与各自安全域外通信，并且由于一个加解密设备具有两个 IP地址，所以安全管理设备在向各个加解密设备发送的加解密信息中需要包括 IP1、 IP3和 IP5 以及算法和密钥（1 ), IP2、 IP4和 IP6以及算法和密钥（2 )。各个加解密设备接收到安全管理设备发送的加解密算法和密钥以及加解密算法和密钥对应的 IP地址时，可以建立相应的表项，例如，对于加解密设备 1 而言，可以建立如下表项：

ΙΡ1+ΙΡ3->算法和密钥（1 )

ΙΡ1+ΙΡ5->算法和密钥（1 )

IP2+IP4->算法和密钥（2 )

IP2+IP6->算法和密钥（2 ) 从而，各个加解密设备之间需要传输数据时，可以通过已建立的表项获取相应的加解密算法和密钥，并利用该加解密算法和密钥对该需要传输的数据进行加解密。

在本发明实施例中，在加解密信息包括该安全域中每一个加解密设备的 IP地址、 MAC地址、 ID以及包括该安全域的 VLAN 的 ID、报文的特征信息中的至少一种时，则可以建立以下表项：

C IP地址 /MAC地址 /ID (本端 ) + IP地址 /MAC地址 /ID (对端）〕 /VLAN 艮文的特征信息- >算法和密钥

其中，该安全域中的每一个加解密设备在收发数据时，可以按照最长匹配的方式进行查表，以获取相应的加解密算法和密钥。

应理解，本发明实施例可以应用于物理机应用场景，也可以应用于虚拟机（ Virtual Machine , 简称 " VM" )应用场景。在 VM应用场景下，可以通过加解密设备的输入输出虚拟化技术，将每一个加解密设备虚拟成一个或多个虚拟加解密设备，并为每一个 VM分配一个或多个虚拟加解密设备。其中，当一个 VM包括多个虚拟加解密设备时，该多个虚拟加解密设备可以是由一个加解密设备虚拟化而成的，也可以是由多个加解密设备虚拟化而成的。例如，在本发明实施例中，当加解密设备为网卡时，可以通过网卡的输入输出虚拟化技术，将每一个网卡虚拟成一个或多个虚拟网卡，并为每一个 VM分配一个或多个虚拟网卡。虚拟网卡也可以称之为队列，则本发明实施例的虚拟网卡的 ID可以称之为队列号。在本发明实施例中，当加解密设备为网卡时，在虚拟机应用场景中，可以将虚拟交换卸载到网卡上，可以保证虚拟机流量经过网卡。

在本发明实施例中，当该安全域中的加解密设备虚拟化的虚拟加解密设备配置为可以与该安全域外的设备进行数据传输时，该加解密信息进一步包括设备标识，用于确定该加解密算法和密钥所对应的该安全域中的其他加解密设备虚拟化的虚拟加解密设备，该设备标识包括：

该安全域中的其他加解密设备虚拟化的虚拟加解密设备的 IP地址、该安全域中的其他加解密设备虚拟化的虚拟加解密设备的 MAC地址、该安全域中的其他加解密设备虚拟化的虚拟加解密设备的 ID、包括该安全域中的每一个加解密设备虚拟化的虚拟加解密设备的 VLAN的 ID、报文的特征信息中的至少一种。其中，在加解密信息只包括 VLAN的 ID而不包括虚拟加解密设备的 IP地址、 MAC地址、 ID时，则该 VLAN只包括该安全域中加解密设备虚拟化的虚拟加解密设备。

在本发明实施例中，一个加解密设备可以虚拟成多个虚拟加解密设备，该多个虚拟加解密设备可以属于同一个安全域，也可以属于不同的安全域；在本发明实施中，每一个虚拟加解密设备可以对应于不同的 IP地址（或 MAC 地址），并且一个虚拟加解密设备虚拟的多个 IP地址可以属于同一安全域，也可以属于不同的安全域。

在本发明实施例中，安全管理设备在确定某一加解密设备只虚拟化成为一个虚拟加解密设备，且该一个虚拟加解密设备只对应于一个 IP地址（或 MAC 地址）时，则安全管理设备只需向该加解密设备发送与该加解密算法和密钥对应的安全域内的其他加解密设备虚拟化的虚拟加解密设备的 IP地址（或 MAC地址），若某一加解密设备虚拟化成多个虚拟加解密设备，或者虚拟化的一个虚拟加解密设备具有多个 IP地址（或 MAC地址）时，则还需要向该加解密设备发送与该加解密算法和密钥对应的该加解密设备虚拟化的虚拟加解密设备的 IP地址（或 MAC地址）。

此处的加解密设备以网卡为例说明，例如，网卡 1被虚拟化成虚拟网卡 ( Virtual Network Interface Card, 简称 "vNIC" ) vNICl和 vNIC 2, 网卡 2 被虚拟化成 vNIC 3和 vNIC 4,网卡 3被虚拟化成 vNIC 5和 vNIC 6,且 vNICl 对应于 IP1 , vNIC2对应于 IP2, vNIC3对应于 IP3 , vNIC4对应于 IP4, vNIC5 对应于 IP5, vNIC6对应于 IP6; 假设，安全管理设备确定 IP 1、 IP2、 IP3、 IP4、 IP5和 IP6属于同一安全域，则可以为该安全域中的虚拟网卡确定算法和密钥（3 ), 如果该虚拟网卡不与该安全域外进行通信，则可以只向该各个网卡发送算法和密钥即可；如果该虚拟网卡需要与安全域外进行通信，则在发送算法和密钥的同时，还需要向各个网卡发送其他网卡虚拟化的虚拟网卡的 IP地址，并且各个网卡接收到安全管理设备发送的加解密算法和密钥，以及该加解密算法和密钥对应的 IP地址时，可以建立相应的表项，例如，对于网卡 1而言，建立的表项为：

IP3 ->算法和密钥（3 )

IP4 ->算法和密钥（3 )

IP5 ->算法和密钥（3 )

IP6 ->算法和密钥（3 ) 例如，再^^设 IP 1、 IP3和 IP5属于同一安全域，安全管理设备可以为该安全域确定加解密算法和密钥为算法和密钥（4 ); 且^^设 IP2、 P4和 IP6 属于同一安全域，安全管理设备为该安全域确定加解密算法和密钥为算法和密钥（5 ), 虽各个安全域不与安全域外进行通信，则由于同一网卡虚拟化不同的虚拟网卡，则在向某一网卡加解密算法和密钥的同时，还需要向该网卡发送该安全域对应的该网卡虚拟的虚拟网卡的 IP地址，各个网卡接收到安全管理设备发送的加解密算法和密钥以及加解密算法和密钥对应的本身虚拟化的虚拟网卡的 IP地址之后，可以建立相应的表项，例如，对于网卡 1 而言，建立的表项为：

IP1>算法和密钥（4 )

IP2>算法和密钥（5 )

再例如，网卡 1被虚拟化成为 vNIC 1 , 网卡 2被虚拟化成为 vNIC 2, 网卡 3被虚拟化成为 vNIC 3 , 其中， vNIC 1对应的 IP地址为 IP1和 IP2, vNIC 2对应的 IP地址为 IP3和 IP4, vNIC3对应的 IP地址为 IP5和 IP6; 安全管理设备可以确定 IP1、 P3和 IP5属于同一安全域，并且为该安全域确定的加解密算法和密钥为算法和密钥（6 ), IP2、 P4和 IP6属于同一安全域，且为该安全域确定的加解密算法和密钥为算法和密钥（7 ), 如果该两个安全域中的 IP地址都需要与各自安全域外进行通信，所以需要向各个网卡发送加解密算法和密钥的同时，还需要发送算法和密钥对应的其他虚拟网卡的 IP 地址，并且由于一个虚拟网卡对应于不同的 IP地址，所以还需向各个网卡发送该算法和密钥对应的本身虚拟化的虚拟网卡的 IP地址；各个网卡接收到安全管理设备发送的加解密算法和密钥以及加解密算法和密钥对应的 IP 地址之后，可以建立相应的表项，例如，对于网卡 1而言，建立的表项为：

ΙΡ1+ ΙΡ3->算法和密钥（6 )

ΙΡ1+ ΙΡ5->算法和密钥（6 )

IP2+ IP4->算法和密钥（7 )

IP2+ IP6->算法和密钥（7 )

从而，各个网卡之间的虚拟网卡需要传输数据时，各个网卡可以通过已建立的表项获取相应的加解密算法和密钥，并利用该加解密算法和密钥对该需要传输的数据进行加解密。

因此，本发明实施例的保障数据传输安全的方法，当安全域内的加解密设备配置为可以与安全域外的设备进行数据传输时，安全管理设备在向安全域内的每一个加解密设备发送包含安全域内的加解密算法和密钥的加解密信息时，进一步在加解密信息中包含安全域内其他加解密设备的设备标识，可以保障加解密设备能够确定对与安全域内其他加解密设备间传输的数据进行加解密时所使用的加解密算法和密钥。

在本发明实施例中，在每一个加解密设备支持的加解密算法是在安全管理设备上静态配置时，在其中一个加解密设备鉴权认证通过后，安全管理设备在向该加解密设备发送用于加解密数据的加解密算法和密钥的同时，可以向该加解密设备发送该安全域中所有其他加解密设备的 IP地址，也可以向该加解密设备只发送已鉴权认证通过的加解密设备的 IP地址，并在其他加解密设备鉴权认证通过后，再发送其他加解密设备的 IP地址。

在本发明实施例中，对应于一个加解密算法和密钥的安全域可以是根据具体情况划分的，例如，可以为某一办公室或公司的所有加解密设备或虚拟加解密设备确定一个用于加解密数据的加解密算法和密钥，再例如，安全管理设备可以根据 VLAN所包括的加解密设备，将该 VLAN下的所有加解密设备或虚拟加解密设备配置为属于同一安全域，并在向该 VLAN下的所有加解密设备或所有虚拟加解密设备对应的加解密设备发送加解密算法和密钥的同时，发送该 VLAN的 ID。

应理解，确定用于加解密数据的加解密算法和密钥的安全域不仅可以根据加解密设备、加解密设备虚拟化而成的虚拟加解密设备或者 VLAN进行划分，也可以根据别的情况进行划分，例如，安全管理设备上可以配置安全域只对应于某些加解密设备下发送特定数据格式的情况，可以根据具体情况 (如：报文的特征信息）而定，本发明实施例并不对此进行限定。

在本发明实施例中，安全管理设备上的安全域设置也可以配置为根据数据的源 IP地址 (或 MAC地址 )和目的 IP地址 (或 MAC地址 )进行划分，例如，在数据发送方的 IP地址为 IP1 , 数据接收方的 IP地址为 IP2时确定为一个安全域，在数据发送方的 IP地址为 IP2, 数据接收方的 IP地址为 IP1 时确定为另一个安全域，即可以理解为，对于两个 IP地址进行相互信息交互时，对于某一 IP地址来说，向另一个 IP地址发送数据时加密使用的算法和密钥可以不同于接收另一 IP地址发送的数据进行解密时使用的算法和密钥。应理解， IP1和 IP2只是一个实施例， IP1和 IP2可以分别对应于一个 IP 地址，也可以分别对应于多个 IP地址，本发明实施例并不对此进行限定。即，安全管理设备可以在开始就配置一个该安全域中所包含的所有加解密设备的列表；也可以仅配置属于该安全域的条件，如，归属于同一个

VLAN、发送特定^艮文格式（如：文的特征信息）、 IP地址（或 MAC地址）范围等，然后将符合条件的加解密设备配置到安全域的加解密设备列表中，优选的，可以在加解密设备初始加入网络，进行鉴权认证时添加。

进一步的，在本发明实施例中，为了保证数据的安全性，安全管理设备可以不断更新用于加解密数据的加解密算法和密钥，例如，可以周期性的更换加解密算法和密钥，并在当加解密算法和密钥对应的加解密设备数量越多时，更换加解密算法和密钥的周期性越短，也可以在更换加解密算法和密钥的同时，更新加解密算法和密钥对应的加解密设备或虚拟加解密设备，本发明实施例并不对此进行限定。应理解， S110中确定的加解密算法和密钥，可以为更新的加解密算法和密钥，也可以是确定加解密设备鉴权认证通过后，首次确定的加解密算法和密钥。

在本发明实施例中，在获得安全管理设备更新的加解密算法和密钥之后，各加解密设备可以记录新的加解密算法和密钥，并在需要向其他加解密设备传输数据时，启用新的加解密算法和密钥对需要传输的数据进行加密。

由于加解密设备在收到新的加解密算法和密钥的之后，可能会收到其他加解密设备利用旧的加解密算法和密钥进行加密的数据，如果加解密设备利用新的加解密算法和密钥进行解密，则会解密错误，为了保证加解密算法和密钥切换过程中，数据能够被正确解密，加解密设备需要保存新旧加解密算法和密钥。

在本发明实施例中， S120 中向该安全域中的每一个加解密设备发送加解密信息之前，方法 100还可以还包括：

确定对应于该安全域内通信的加解密算法和密钥的版本标识（ Identifier, 简称 "ID" );

贝' J S120中向该安全域中的每一个加解密设备发送的加解密信息还可以包括：对应于该安全域内通信的加解密算法和密钥的版本标识，该版本标识用于该每一个加解密设备在向该安全域中的其他加解密设备之间传输数据时携带，以便该安全域中的其他加解密设备使用该版本标识对应的该安全域内通信的加解密算法和密钥解密该数据。即，安全管理设备在确定加解密算法和密钥时，可以确定对应于该加解密算法和密钥的版本标识，并在向每一个加解密设备发送的加解密信息中包括该加解密算法和密钥，以及对应于该加解密算法和密钥的版本标识。每一个加解密设备在收到该加解密信息时，保存该加解密算法和密钥，以及对应于该加解密算法和密钥的版本标识。

并且，该安全域中的任一加解密设备在向该安全域中的其他加解密设备发送数据时，根据该加解密算法和密钥，对向该安全域中的其他加解密设备发送的数据进行加密，并在向该安全域中的其他加解密设备发送的携带加密的数据的报文中，携带该对应于该加解密算法和密钥的版本标识；在接收到该安全域中的其他加解密设备发送的携带该对应于该加解密算法和密钥的版本标识的文时，根据该对应于该加解密算法和密钥的版本标识，获取该加解密算法和密钥，并根据该加解密算法和密钥，对该安全域中的其他加解密设备发送的该报文中携带的加密数据进行解密。

下面以网卡作为加解密设备进行举例说明。例如，由网卡 1 虚拟化的 vNIC 1、由网卡 2虚拟化的 vNIC2以及由网卡 3虚拟化的 vNIC3的 IP地址分别为 IP1、 P2和 IP3 , 其中，该三个虚拟网卡属于同一安全域，且需要与安全域外进行通信，安全管理设备分别向网卡 1、网卡 2以及网卡 3发送包括加解密算法和密钥（没算法为 3DES, 密钥为 key )、对应于该加解密算法和密钥的新版本标识以及该加解密算法和密钥对应的 IP地址 ( IP1、 P2和 IP3 )的加解密信息。网卡 1、网卡 2和网卡 3接收到安全管理设备发送的加解密信息之后，可以分别建立表项，其中，若网卡 1、网卡 2和网卡 3分别只虚拟化成为一个虚拟网卡，则网卡 1可以建立以下表项：

IP2 (对端） ->新 3DES+新 Key+新版本标识 +旧 3DES+旧 Key+ 旧版本标识

IP3 (对端） ->新 3DES+新 Key+新版本标识 +旧 3DES+旧 Key+ 旧版本标识

网卡 2可以建立以下表项：

IP1 (对端）- >新 3DES+新 Key+新版本标识 +旧 3DES+旧 Key+ 旧版本标识

IP3 (对端） ->新 3DES+新 Key+新版本标识 +旧 3DES+旧 Key+ 旧版本标识网卡 3可以建立以下表项：

若网卡 1、网卡 2以及网卡 3都不只虚拟化成为一个虚拟网卡，则网卡 1可以建立以下表项：

IP1 (本端 ) +IP2 (对端 ) ->新 3DES+新 Key+新版本标识 +旧 3DES+ 旧 Key+ 旧版本标识

IP1 (本端 ) +IP3 (对端 ) ->新 3DES+新 Key+新版本标识 +旧 3DES+ 旧 Key+ 旧版本标识

且网卡 2可以建立以下表项：

IP2 (本端） +IP1 (对端 ) ->新 3DES+新 Key+新版本标识 +旧 3DES+ 旧 Key+ 旧版本标识

IP2 (本端 ) +IP3 (对端 ) ->新 3DES+新 Key+新版本标识 +旧 3DES+ 旧 Key+ 旧版本标识

且网卡 3可以建立以下表项：

IP3 (本端） +IP1 (对端）- >新 3DES+新 Key+新 ID+旧 3DES+旧 Key+ 旧 ID

IP3 (本端 ) +IP2 (对端 ) ->新 3DES+新 Key+新版本标识 +旧 3DES+ 旧 Key+ 旧版本标识

假设 vNICl需要向 vNIC2发送数据，可以根据以上表项获取加解密算法和密钥（3DES 和 Key ), 通过该加解密算法和密钥对需要发送的数据进行加密，并在携带该加密数据的报文中加入该新版本标识， vNIC 1向 vNIC2 发送处理后的报文，网卡 2接收到网卡 1 的报文时，可以通过该报文获取 vNICl的 IP地址 IP1 (和 vNIC2的 IP地址 IP2 ), 并通过 IP1 (和 IP2 )确定表项，并根据该新版本标识在该表项中获取加解密算法和密钥，从而可以通过该加解密算法和密钥对数据进行解密。

因此，本发明实施例中，安全管理设备在向加解密设备发送的加解密信息中携带加解密算法和密钥所对应的版本标识，加解密设备通过在携带加密数据的 4艮文中加入用于加密数据的加解密算法和密钥对应的版本标识，可以方便接收到该报文的其他加解密设备通过报文中携带的该加解密算法和密钥对应的版本标识，确定正确的加解密算法和密钥，对数据进行解密，能够保证数据被正确解密，也就实现了加解密算法和密钥能够周期性的刷新，从而进一步保障了安全域内的数据传输安全，且由安全管理设备统一进行加解密算法和密钥的协商和管理。

在本发明实施例中，在 S120中根据安全域中每一个加解密设备支持的加解密算法，确定加解密算法和密钥之前，该方法还包括：

分别与该安全域中的每一个加解密设备通过安全管理协议进行鉴权认证，确定与该安全域中的每一个加解密设备的该鉴权认证通过。

即，保障安全域内的每一个加解密设备都是通过鉴权认证，是安全可信的。此时，安全管理设备只会对已经鉴权认证通过的加解密设备发送包含加解密算法和密钥的加解密信息，保障安全域内通信的安全性。。

其中，该安全管理协议可以为安全套接层（ Secure Sockets Layer, 简称 "SSL" )协议或因特网协议安全性（ Internet Protocol Security ,简称 "IPSEC" ) 协议或密钥安全协议（ Key Security , 简称 "Key Sec" ), 也可以为其它安全管理协议。

在本发明实施例中，安全管理设备对每一个加解密设备进行鉴权认证，，以保障安全域内的加解密设备都是安全可信的。

因此，本发明实施例的保障数据传输安全的方法，通过安全管理设备确定用于安全域内的加解密数据的加解密算法和密钥，能够在保证数据传输安全的同时，集中协商和管理密钥，减少密钥协商的压力。

以上已从安全管理设备侧描述根据本发明实施例的保障数据传输安全的方法，以下将从加解密设备侧（上述安全域中的任一加解密设备）描述根据本发明实施例的保障数据传输安全的方法。

图 2是根据本发明实施例的数据传输安全的方法 200的流程图。如图 2 所示，方法 200包括：

S210、接收安全管理设备发送的加解密信息，该加解密信息包括用于安全域中的加解密设备之间数据传输的加解密算法和密钥，该加解密算法和密钥是该安全管理设备根据该安全域中的加解密设备列表及每一个加解密设备支持的加解密算法确定的；

S220、根据该加解密信息，对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。

安全域中的任一加解密设备在接收到安全管理设备发送的包括加解密算法和密钥的加解密信息之后，当与该安全域中的其他加解密设备间传输数据时，可以利用该加解密算法和密钥，对该传输的数据进行加密或解密。

因此，本发明实施例的数据传输安全的方法，接收安全管理设备确定的用于安全域内的加解密数据的加解密算法和密钥，该加解密算法和密钥是安全管理设备根据该安全域中的每一个加解密设备支持的加解密算法确定的，当与该安全域中的其他加解密设备间传输数据时，利用该加解密算法和密钥对数据进行加密或解密，能够在保证数据传输安全的同时，集中协商和管理安全域内通信的加解密算法和密钥，减少密钥协商的压力。

在本发明实施例中，该安全域中每一个加解密设备可以由安全管理设备分配相同的加解密算法和密钥用于安全域内加解密设备间数据传输的加解密，并且该加解密算法是该安全域中所有加解密设备都支持的加解密算法。

可以由安全管理设备配置各个加解密设备支持的加解密算法。在安全管理设备没有配置各个加解密设备支持的加解密算法时，本发明实施例中，也可以在 S210接收安全管理设备发送的包括加解密算法和密钥的加解密信息之前，方法 200还可以包括：

向该安全管理设备发送支持的加解密算法。

在本发明实施例中，优选的，安全管理设备中配置有安全域所包含的加解密设备列表以及安全域中加解密设备的数据传输权限信息。当该安全域中的加解密设备的数据传输权限配置为可以与该安全域外的设备进行数据传输时，则加解密设备接收的加解密信息，进一步包括设备标识，用于确定该安全域内通信的加解密算法和密钥所对应的所述安全域中的其他加解密设备，该设备标识包括：

该安全域中的其他加解密设备的 IP地址、该安全域中的其他加解密设备的 MAC地址、该安全域中的其他加解密设备的 ID、包括该安全域的 VLAN 的标识 ID、 4艮文的特征信息中的至少一种。其中，在加解密信息包括 VLAN 的 ID而不包括其他加解密设备的 IP地址、 MAC地址、 ID时，表明 VLAN 只包括该安全域中的加解密设备。

应理解，本发明实施例可以应用于物理机应用场景，也可以应用于虚拟机应用场景。在 VM应用场景下，可以通过加解密设备的输入输出虚拟化技术，将每一个加解密设备虚拟成一个或多个虚拟加解密设备，并为每一个

VM分配一个或多个虚拟加解密设备。其中，当一个 VM对应于多个虚拟加解密设备时，该多个虚拟加解密设备可以由一个加解密设备虚拟而成的，也可以由多个加解密设备虚拟而成的。

在本发明实施例中，当该安全域中的加解密设备虚拟化的虚拟加解密设备配置为可以与该安全域外进行数据传输时，该加解密信息，进一步包括设备标识，用于确定该加解密算法和密钥所对应的该安全域中的其他加解密设备虚拟化的虚拟加解密设备，该设备标识包括：

该安全域中的其他加解密设备虚拟化的虚拟加解密设备的 IP地址、该安全域中的其他加解密设备虚拟化的虚拟加解密设备的 MAC地址、该安全域中的其他加解密设备虚拟化的虚拟加解密设备的 ID、包括该安全域中的每一个加解密设备虚拟化的虚拟加解密设备的 VLAN的 ID、报文的特征信息中的至少一种。其中，在加解密信息只包括 VLAN的 ID而不包括虚拟加解密设备的 IP地址、 MAC地址、 ID时，则该 VLAN只包括该安全域中的加解密设备虚拟化的虚拟加解密设备。

在本发明实施例中， S210 中接收安全管理设备发送的加解密信息，该加解密信息包括用于与安全域中的其他加解密设备之间数据传输的加解密算法和密钥，该加解密算法和密钥是安全管理设备根据该安全域中的加解密和设备列表及每一个加解密设备支持的加解密算法确定的，其中，该加解密信息还可以包括：

对应于该安全域内通信的加解密算法和密钥的版本标识。

即，安全管理设备为了保证数据的安全性，可以不断更新用于加解密数据的加解密算法和密钥，并在发送该加解密算法和密钥的同时，发送该加解密算法和密钥对应的版本标识。

从而，加解密设备在收到该加解密信息时，可以保存该加解密算法和密钥，以及对应于该加解密算法和密钥的版本标识。

在本发明实施例中，在加解密信息包括对应于该加解密算法和密钥的版本标识时， S220 中根据该加解密算法和密钥，对与该安全域中的其他加解密设备之间传输的数据进行加密或解密，可以包括：

在接收到该安全域中的其他加解密设备发送的携带对应于该安全域内通信的加解密算法和密钥的版本标识的报文时，根据该版本标识，获取该安全域内通信的加解密算法和密钥，并根据该安全域内通信的加解密算法和密钥，对该安全域中的其他加解密设备发送的该报文中携带的加密数据进行解密；

在向该安全域中的其他加解密设备发送数据时，根据该安全域内通信的加解密算法和密钥，对该数据进行加密，并在向该安全域中的其他加解密设备发送的携带加密的该数据的报文中，携带该对应于该安全域内通信的加解密算法和密钥的版本标识。

因此，在本发明实施例中，加解密设备通过在携带数据的报文中加入加密数据的加解密算法和密钥对应的版本标识，可以方便接收到该 "¾文的其他加解密设备通过报文中携带的对应于该加解密算法和密钥的版本标识，确定正确的加解密算法和密钥，并对数据进行解密，能够保证数据被正确解密，也就实现了加解密算法和密钥能够周期性的刷新，从而进一步保障了安全域内的数据传输安全。

在本发明实施例中，在 S210确定安全管理设备发送的包括加解密算法和密钥的加解密信息之前，方法 200还可以包括：

通过安全管理协议与该安全管理设备进行鉴权认证，并通过该鉴权认证。

其中，安全管理协议可以为 SSL协议或 IPSEC协议或 Key Security协议，也可以为其它安全管理协议。

从而可以保障安全域内的所有加解密设备均为安全可信的，增加了安全域内的通信安全性。

同样，本发明实施例中的加解密设备，可以为计算机设备，也可以为网卡，在加解密设备为网卡时，通过网卡对数据进行加解密，能够进一步避免在计算机设备上加解密数据给 CPU带来的巨大压力。

因此，本发明实施例的保障数据传输安全的方法，通过安全管理设备确定用于安全域内的加解密数据的加解密算法和密钥，该加解密算法和密钥是安全管理设备根据该安全域中的每一个加解密设备支持的加解密算法确定的，当与该安全域中的其他加解密设备间传输数据时，加解密设备利用该加解密算法和密钥对数据进行加密或解密，能够在保证数据传输安全的同时，集中协商和管理密钥，减少密钥协商的压力。

为了更加方便地理解本发明，下面将结合图 3以虚拟机应用场景，以及加解密设备为网卡为例描述根据本发明实施例的保障数据传输安全的方法

300。

图 3是根据本发明实施例的保障数据传输安全的方法 300的流程图。下面假定网卡 1和安全管理设备、网卡 2和安全管理设备、以及网卡 3 和安全管理设备已经相互通过鉴权认证，其中，可以通过 SSL协议和 IPSEC 协议完成该鉴权认证。并 4叚定网卡 1被虚拟化成为 vNICl和 vNIC2, 网卡 2 被虚拟化成为 vNIC3 , 网卡 3被虚拟化成为 vNIC4, 且 vNICl、 vNIC2 、 vNIC3和 vNIC4对应的 IP地址分别为 IP1、 IP2、 IP3和 IP4; 且 vNICl、 vNIC2 、 vNIC3和 vNIC4分别对应于 VM1、 VM2 、 VM3和 VM4。

S301、网卡 1向安全管理设备发送网卡 1支持的加解密算法。

5302、网卡 2向安全管理设备发送网卡 2支持的加解密算法。

5303、网卡 3向安全管理设备发送网卡 3支持的加解密算法。

5304、安全管理设备根据网卡 1、网卡 2和网卡 3支持的加解密算法，确定用于加解密 vNICl、 vNIC3 、 vNIC4之间传输的数据的，其中， vNICl、 vNIC3和 vNIC4属于同一安全域，并且各个虚拟网卡需要与安全域外进行通信，例如，选择的加解密算法为 3DES, 密钥用 key表示；该安全管理设备并确定各个虚拟网卡的 IP地址。

S305、安全管理设备向网卡 1发送加解密信息，该加解密信息包括已确定的加解密算法和密钥，以及 vNIC3 和 vNIC4的 IP地址，一个网卡虚拟 1虚拟化成了两个虚拟网卡，所以加解密信息中还需要包括 vNICl的 IP地址，另外，在该加解密信息中还可以包括对应于该加解密算法和密钥的版本标识，例如版本标识为 2。

5306、网卡 1在接收到安全管理设备发送的加解密信息之后，可以建立以下表项：

IP1+IP3->3DES + Key+版本标识

IP1+IP4->3DES + Key+版本 1D

5307、安全管理设备向网卡 2发送加解密信息，该加解密信息包括该已确定的加解密算法和密钥 , 以及 vNICl和 vNIC4的 IP地址，以及对应于该加解密算法和密钥的版本标识。

S308、网卡 2在接收到安全管理设备发送的加解密信息之后，因为网卡

2只虚拟化成为一个虚拟网卡，则可以建立以下表项： IP1->3DES + Key+版本标识

IP4->3DES + Key+版本标识

5309、安全管理设备向网卡 3发送该已确定的加解密算法和密钥，以及 vNIC 1和 vNIC3的 IP地址 , 以及对应于该加解密算法和密钥的版本标识。

5310、网卡 3在接收到安全管理设备发送的加解密信息之后，因为网卡 3只虚拟化成为一个虚拟网卡，则可以建立以下表项：

IP1->3DES + Key+版本标识

IP3->3DES + Key+版本标识

5311、 vNICl对应的 VM1需要向 vNIC4对应的 VM3发送数据，网卡 1 通过查询表项 IP1+IP4->3DES + Key+版本标识，获取版本标识为 2对应的加解密算法和密钥，并通过该加解密算法和密钥对数据进行加密，并在携带该数据的报文中加入该 ID, 其中该报文可以通过 SSL进行封装，也可以利用 IPSEC进行封装。封装后的报文可以为：

S312、网卡 1向网卡 3发送该封装的报文。

S313、网卡 3接收到网卡 1发送的报文之后，经过交换转发处理之后，获知最终的出口为 vNIC4,网卡 3根据 vNICl的 IP地址获取表项 IP1->3DES + Key+版本标识，并通过 ^艮文中携带的版本标识获取，从而可以通过对应的加解密算法和密钥对该数据进行解密，并送至 VM3。

应理解，图 3所示的方法只是本发明的一个实施例，例如，安全管理设备可以确定只包括 vNICl、 vNIC 2、 vNIC3和 vNIC4的 VLAN的 ID, 并在向各个网卡发送的同时，发送该 VLAN的 ID, 各个网卡可以建立与 VLAN 的 ID的表项，并在确定向该 VLAN包括的虚拟网卡传输数据时，通过利用该 VLAN的 ID对应的加解密算法和密钥对该数据进行加密或解密。

还应理解，在本发明的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

因此，本发明实施例的保障数据传输安全的方法，通过接收安全管理设备确定的用于安全域内的加解密数据的加解密算法和密钥，当与该安全域中的其他加解密设备间传输数据时，利用该加解密算法和密钥对数据进行加密或解密，能够在保证数据传输安全的同时，集中协商和管理密钥，减少密钥协商的压力。

以上已结合图 1至图 3描述根据本发明实施例的保障数据传输安全的方法，以下将结合图 4至图 8描述根据本发明实施例的安全管理设备和加解密设备。

图 4是根据本发明实施例的安全管理设备的结构框图。如图 4所示，安全管理设备 400包括：

确定单元 410, 用于根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该安全域中的加解密设备之间的数据传输。

发送单元 420, 用于向该安全域中每一个加解密设备发送加解密信息，该加解密信息包括该确定单元 410确定的该安全域内通信的加解密算法和密钥，用于该安全域中的每一个加解密设备根据该加解密信息对与该安全域中的其他加解密设备之间传输的数据进行加密或解密。

因此，本发明实施例的安全管理设备，通过确定单元确定用于安全域内的加解密数据的加解密算法和密钥，能够在保证数据传输安全的同时，集中协商和管理密钥，减少密钥协商的压力。

可选地，该确定单元 410具体用于：为该安全域中每一个加解密设备选取相同的安全域内通信的加解密算法和密钥，该加解密算法是该安全域中所有加解密设备都支持的加解密算法。

可选地，如图 5和如图 6所示，除确定单元 410和发送单元 420, 该安全管理设备 400还包括：

第一配置单元 430, 用于配置该安全域包含的加解密设备列表。

可选地，如图 5所示，该安全管理设备 400,

还包括接收单元 440, 用于分别接收该安全域中的每一个加解密设备发送的各自支持的加解密算法，并发送给该确定单元 410;

或者，如图 6所示，除确定单元 410, 发送单元 420, 第一配置单元 430 之外，该安全管理设备 400还包括第二配置单元 450, 用于配置该安全域中的每一个加解密设备所支持的加解密算法，则该确定单元 410还用于从该第二配置单元 450获取该加解密算法。可选的，如图 5和如图 6所示，该安全管理设备 400, 还包括：第三配置单元 460,用于配置该安全域中的加解密设备的数据传输权限，该数据传输权限为是否可以与该安全域外的设备进行数据传输。

当然，可选地，该发送单元 420, 还用于从该第三配置单元 460获取该安全域中的加解密设备的该数据传输权限，当该安全域中的加解密设备的数据传输权限为可以与该安全域外的设备进行数据传输时，该发送单元 420发送的该加解密信息进一步包括设备标识，用于所述加解密设备根据该设备标识确定该安全域内通信的加解密算法和密钥适用的该安全域中的其他加解密设备，该设备标识包括：

该安全域中的其他加解密设备的 IP地址、该安全域中的其他加解密设备的 MAC地址、该安全域中的其他加解密设备的 ID、包括该安全域的 VLAN 的 ID、报文的特征信息中的至少一种。其中，在加解密信息包括 VLAN的 ID而不包括其他加解密设备的 IP地址、 MAC地址、 ID时，该 VLAN只包括该安全域中的加解密设备。

可选地，该安全管理设备 400的确定单元 410, 还用于确定对应于该安全域内通信的加解密算法和密钥的版本标识；则发送单元 420发送的该加解密信息，还包括：确定单元 410确定的该对应于该安全域内通信的加解密算法和密钥的版本标识，该版本标识用于该每一个加解密设备在向该安全域中的其他加解密设备之间传输数据时携带，以便该安全域中的其他加解密设备使用该版本标识对应的该安全域内通信的加解密算法和密钥解密该数据。

可选地，该加解密设备为计算机设备。

可选地，该加解密设备为网卡。

在本发明实施例中，在加解密设备为网卡时，通过网卡对数据进行加解密，能够进一步避免在计算机设备上加解密数据给 CPU带来的巨大压力。

应理解，对于图 5而言，安全管理设备 400虽然包含了接收单元 430, 第一配置单元 440和第三配置单元 460, 但是接收单元 440, 第一配置单元 430和第三配置单元 460均为可选单元，即，安全管理设备 400可以只包括接收单元 440, 或只包括第一配置单元 430或只包括第三配置单元 460, 当然，也可以同时包含接收单元 440、第一配置单元 430和第三配置单元 460, 或者包括其中的任两个单元。同样，对于图 6而言，安全管理设备 400虽然包含了第一配置单元 430、第二配置单元 450和第三配置单元 460, 但是，第一配置单元 430、第二配置单元 450和第三配置单元 460均为可选单元，即，可以只包括第一配置单元 430, 或只包括第二配置单元 450或只包括第三配置单元 460, 当然，也可以同时包含第一配置单元 430, 第二配置单元 450和第三配置单元 460, 或者包括其中的任两个单元。还应理解，虽然接收单元 440和第二配置单元 450属于不同的图中，但是安全管理设备可以同时具有接收单元 440和第二配置单元 450, 在安全管理设备同时具有接收单元 440和第二配置单元 450时，可以为该两个单元设置一个优先级，即在一定情况下，接收单元 440接收的加解密算法的优先级高，并在另外的情况下，第二配置单元 450配置的加解密算法的优先级高，应根据具体情况而定，本发明实施例并不对此进行限定。

因此，本发明实施例的安全管理设备，通过确定用于安全域内的加解密数据的加解密算法和密钥，能够在保证数据传输安全的同时，集中协商和管理密钥，减少密钥协商的压力。数据传输安全的方法 100至 300中的安全管理设备，并且安全管理设备 400 中的各个单元的上述和其它操作和 /或功能分别为了实现图 1 至图 3的方法

100至 300的相应流程，为了简洁，在此不再赘述。

以上已结合图 4至图 6描述根据本发明实施的安全管理设备。以下将结合图 7和图 8描述根据本发明实施例的加解密设备。

图 7是根据本发明实施例的加解密设备的结构框图。如图 6所示，加解密设备 500包括：

接收单元 510, 用于接收安全管理设备发送的加解密信息，该加解密信息包括用于与安全域中的其他加解密设备之间数据传输的加解密算法和密钥，该加解密算法和密钥是安全管理设备根据该安全域中的每一个加解密设备支持的加解密算法确定的。

加解密单元 520, 用于根据该接收单元 510接收的该加解密信息，对与该安全域中的其他加解密设备间传输的数据进行加密或解密。

因此，本发明实施例的加解密设备，通过获取安全管理设备确定的用于安全域内的加解密设备加解密数据的加解密算法和密钥对数据进行加解密，能够在保证数据传输安全的同时，通过安全管理设备集中协商和管理密钥，避免节点间协商密钥的压力。可选地，如图 8所示，该加解密设备还包括：

发送单元 530, 用于向该安全管理设备发送支持的加解密算法。

可选地，当该包含本加解密设备的安全域中的加解密设备的数据传输权限为可以与该安全域外的设备进行数据传输时，该接收单元 510接收的该加解密信息进一步包括设备标识，该设备标识包括：

该安全域中的其他加解密设备的 IP地址、该安全域中的其他加解密设备的 MAC地址、该安全域中的其他加解密设备 ID、包括该安全域的 VLAN 的 ID、报文的特征信息中的至少一种；

则，该加解密单元 520, 用于根据该接收单元 510接收的该加解密信息中包括的设备标识，确定该加解密信息中包括该安全域内通信的加解密算法和密钥所适用的该安全域中的其他加解密设备，并根据该加解密算法和密钥对与该安全域中的其他加解密设备间传输的数据进行加密或解密。

可选地，该接收单元 510接收的加解密信息，进一步包括：

对应于该安全域内通信的加解密算法和密钥的版本标识；

则该加解密单元 520, 具体用于：

根据该接收单元 510接收的加解密信息中包括的该版本标识，获取该安全域内通信的加解密算法和密钥，并根据该安全域内通信的加解密算法和密钥对该报文中的加密数据进行解密；

或者，根据该接收单元 510接收的该加解密信息中包括的该安全域内通信的加解密算法和密钥，对该数据进行加密，并在向该安全域中的其他加解密设备发送的携带加密的该数据的报文中携带该对应于该安全域内通信的加解密算法和密钥的版本标识。

可选地，该加解密设备 500为计算机设备。

可选地，该加解密设备 500为网卡。

根据本发明实施例的加解密设备 500可对应于本发明实施例中的保障数据传输安全的方法 100至 300中的加解密设备，并且加解密设备 500中的各个单元的上述和其它操作和 /或功能分别为了实现图 1至图 3的方法 100至 300的相应流程，为了简洁，在此不再赘述。

因此，本发明实施例的加解密设备，通过获取安全管理设备确定的用于安全域内的加解密数据的加解密算法和密钥对数据进行加解密，能够在保证数据传输安全的同时，通过安全管理设备集中协商和管理密钥，避免节点间协商密钥的压力。

图 9示出了根据本发明实施例的数据传输的系统的结构框图。如图 9所示，该系统 600包括安全管理设备 610和至少两个加解密设备 620, 其中，该安全管理设备 610用于根据包含该加解密设备 620的安全域中的加解密设备列表及每一个加解密设备 620支持的加解密算法，确定该安全域内通信的加解密算法和密钥，该安全域内通信的加解密算法和密钥用于该加解密设备 620之间的数据传输，并向该安全域中的每一个加解密设备 620发送加解密信息，该加解密信息包括该加解密算法和密钥；

该加解密设备 620用于接收该安全管理设备 610发送的加解密信息，该加解密信息包括用于与安全域中的其他加解密设备 620之间数据传输的加解密算法和密钥，并根据该加解密信息，对与该安全域中的其他加解密设备 620 之间传输的数据进行加密或解密。

可选地，该安全管理设备 610确定安全域内通信的加解密算法和密钥，包括：

该安全管理设备 610, 用于为该安全域中的每一个加解密设备 620选取相同的该安全域内通信的加解密算法和密钥，该加解密算法是该安全域中所有加解密设备 620都支持的加解密算法。

可选地，该安全管理设备 610还用于配置该安全域的加解密设备列表。可选地，在该安全管理设备 610确定该安全域内通信的加解密算法和密钥之前，该加解密设备 620, 还用于向该安全管理设备 610发送支持的加解密算法，或者该安全管理设备 610还用于配置该安全域中的每一个加解密设备 620各自支持的加解密算法。

可选地，该安全管理设备 610还用于配置该安全域中的加解密设备的数据传输权限，该数据传输权限为是否可以与该安全域外的设备进行数据传输。

当该安全域中的加解密设备 620的数据传输权限为可以与该安全域外的设备进行数据传输时，该安全管理设备 610向该加解密设备发送的该加解密信息进一步包括设备标识，该设备标识用于该加解密设备 620确定该加解密算法和密钥所适用的该安全域中的其他加解密设备，包括：该安全域中的其他加解密设备 620的 IP地址、该安全域中的其他加解密设备 620的 MAC地址、该安全域中的其他加解密设备 620的 ID、包括该安全域的 VLAN的 ID、报文的特征信息中的至少一种。

可选地，该安全管理设备 610向该每一个加解密设备发送加解密信息之前，该安全管理设备 610还用于确定对应于该安全域内通信的加解密算法和密钥的版本标识，则该向该加解密设备 620发送的该加解密信息还包括对应于该安全域内通信的加解密算法和密钥的版本标识；

该加解密设备 620, 还用于在向该安全域中的其他加解密设备 620传输数据时携带该版本标识，供该安全域中的其他加解密设备 620使用该版本标识对应的该加解密算法和密钥解密该数据。

可选地，该加解密设备 620为计算机设备或网卡。的安全管理设备 400, 加解密设备 620可对于本发明实施例的装置中的加解密设备 500, 并且该安全管理设备 610以及加解密设备 620中的各个单元的上述和其它操作和 /或功能分别为了实现图 1至图 3中的方法 100至 300的相应流程，为了简洁，在此不再赘述。还应理解，为了简洁，图 9示出了三个加解密设备，仅是作为一个具体的实施例的示例，本发明实施例的数据传输的系统中的加解密设备的数量可以根据具体情况而定，不受图 9示例的限制。

因此，本发明实施例的保障数据传输安全的系统，通过安全管理设备确定的用于安全域内的加解密数据的加解密算法和密钥对数据进行加解密，能够在保证数据传输安全的同时，通过安全管理设备集中协商和管理密钥，避免节点间协商密钥的压力。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括： U盘、移动硬盘、只读存储器（ ROM, Read-Only Memory )、随机存取存储器 ( RAM, Random Access Memory ), 磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims

权利要求

1、一种数据传输的方法，其特征在于，包括：

根据安全域中的加解密设备列表及每一个所述加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，所述安全域内通信的加解密算法和密钥用于所述安全域中的加解密设备之间的数据传输；

向所述安全域中的每一个加解密设备发送加解密信息，所述加解密信息包括所述安全域内通信的加解密算法和密钥，用于所述每一个加解密设备根据所述加解密信息对与所述安全域中的其他加解密设备之间传输的数据进行加密或解密。

2、根据权利要求 1 所述的方法，其特征在于，所述确定安全域内通信的加解密算法和密钥，包括：

为所述安全域中的每一个加解密设备选取相同的安全域内通信的加解密算法和密钥，所述加解密算法是所述安全域中所有加解密设备都支持的加解密算法。

3、根据权利要求 1或 2所述的方法，其特征在于，所述根据安全域中的加解密设备列表及每一个所述加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥之前，所述方法还包括：

配置所述安全域的加解密设备列表。

4、根据权利要求 1至 3中任一项所述的方法，其特征在于，所述根据安全域中的加解密设备列表及每一个所述加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥之前，所述方法还包括：

接收所述安全域中的每一个加解密设备发送的各自支持的加解密算法；或者

配置所述安全域中的每一个加解密设备各自支持的加解密算法。

5、根据权利要求 1至 4中任一项所述的方法，其特征在于，所述根据安全域中的加解密设备列表及每一个所述加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥之前，所述方法还包括：

配置所述安全域中的加解密设备的所述数据传输权限，所述数据传输权限为是否可以与所述安全域外的设备进行数据传输；

则，当所述安全域中的加解密设备的数据传输权限为可以与所述安全域外的设备进行数据传输时，所述加解密信息进一步包括设备标识，用于所述加解密设备根据所述设备标识确定所述安全域内通信的加解密算法和密钥适用的所述安全域中的其他加解密设备，所述设备标识包括所述安全域中的其他加解密设备的 IP地址、所述安全域中的其他加解密设备的 MAC地址、所述安全域中的其他加解密设备的 ID、包括所述安全域的 VLAN的 ID、报文的特征信息中的至少一种。

6、根据权利要求 1至 5中任一项所述的方法，其特征在于，在所述向所述每一个加解密设备发送加解密信息之前，所述方法还包括：

确定对应于所述安全域内通信的加解密算法和密钥的版本标识；则所述加解密信息，还包括：所述对应于所述安全域内通信的加解密算法和密钥的版本标识，所述版本标识用于所述每一个加解密设备在向所述安全域中的其他加解密设备传输数据时携带，以便所述安全域中的其他加解密设备使用所述版本标识对应的所述安全域内通信的加解密算法和密钥解密所述数据。

7、根据权利要求 1至 6中任一项所述的方法，其特征在于，所述加解密设备为计算机设备或网卡。

8、一种数据传输的方法，其特征在于，包括：

接收安全管理设备发送的加解密信息，所述加解密信息包括用于安全域中的加解密设备之间数据传输的加解密算法和密钥，所述加解密算法和密钥是所述安全管理设备根据所述安全域中的加解密设备列表及每一个加解密设备支持的加解密算法确定的；

根据所述加解密信息，对与所述安全域中的其他加解密设备之间传输的数据进行加密或解密。

9、根据权利要求 8所述的方法，其特征在于，所述安全域中的每一个加解密设备由所述安全管理设备选取相同的加解密算法和密钥，所述加解密算法是所述安全域中所有加解密设备都支持的加解密算法。

10、根据权利要求 8或 9中所述的方法，其特征在于，所述接收安全管理设备发送的加解密信息之前，所述方法还包括：

向所述安全管理设备发送支持的加解密算法。

11、根据权利要求 8至 10任一项所述的方法，其特征在于，所述安全域中的加解密设备的所述数据传输权限在所述安全管理设备上进行配置，所述数据传输权限为是否可以与所述安全域外的设备进行数据传输；则，当所述安全域中的加解密设备的数据传输权限为可以与所述安全域外的设备进行数据传输时，所述加解密信息进一步包括设备标识，用于确定所述安全域内通信的加解密算法和密钥适用的所述安全域中的其他加解密设备，所述设备标识包括：所述安全域中的其他加解密设备的 IP地址、所述安全域中的其他加解密设备的 MAC地址、所述安全域中的其他加解密设备的 ID、包括所述安全域的 VLAN的 ID、报文的特征信息中的至少一种。

12、根据权利要求 8至 11 中任一项所述的方法，其特征在于，所述加解密信息，还包括：

对应于所述安全域内通信的加解密算法和密钥的版本标识；

则，所述根据所述加解密信息，对与所述安全域中的其他加解密设备之间传输的数据进行加密或解密，包括：

在接收到所述安全域中的其他加解密设备发送的携带所述对应于所述安全域内通信的加解密算法和密钥的版本标识的报文时，根据所述版本标识，获取所述安全域内通信的加解密算法和密钥，并根据所述安全域内通信的加解密算法和密钥，对所述报文中的加密数据进行解密；

在向所述安全域中的其他加解密设备发送所述数据时，根据所述安全域内通信的加解密算法和密钥，对所述数据进行加密，并在向所述安全域中的其他加解密设备发送的携带加密的所述数据的报文中，携带所述对应于所述安全域内通信的加解密算法和密钥的版本标识。

13、根据权利要求 8至 12中任一项所述的方法，其特征在于，所述加解密设备为计算机设备或网卡。

14、一种安全管理设备，其特征在于，包括：

确定单元，用于根据安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定安全域内通信的加解密算法和密钥，所述安全域内通信的加解密算法和密钥用于所述安全域中的加解密设备之间的数据传输；发送单元，用于向所述安全域中每一个加解密设备发送加解密信息，所述加解密信息包括所述确定单元确定的所述安全域内通信的加解密算法和密钥，用于所述安全域中的每一个加解密设备根据所述加解密信息对与所述安全域中的其他加解密设备之间传输的数据进行加密或解密。

15、根据权利要求 14所述的安全管理设备，其特征在于，所述确定单元具体用于：为所述安全域中每一个加解密设备选取相同的安全域内通信的加解密算法和密钥，所述加解密算法是所述安全域中所有加解密设备都支持的加解密算法。

16、根据权利要求 14或 15所述的安全管理设备，其特征在于，所述安全管理设备还包括：

第一配置单元，用于配置所述加解密设备列表；

17、根据权利要求 14至 16中任一项所述的安全管理设备，其特征在于，所述安全管理设备还包括：

接收单元，用于分别接收所述安全域中的每一个加解密设备发送的各自支持的加解密算法，并发给所述确定单元；

或者，

第二配置单元，用于配置所述安全域中的每一个加解密设备所支持的加解密算法，则，所述确定单元还用于从所述第二配置单元获取所述加解密算法。

18、根据权利要求 14至 17中任一项所述的安全管理设备，其特征在于，所述安全管理设备还包括：

第三配置单元，用于配置所述安全域中的加解密设备的所述数据传输权限，所述数据传输权限为是否可以与所述安全域外的设备进行数据传输；贝' J , 所述发送单元，还用于从所述第三配置单元获取所述安全域中的加解密设备的所述数据传输权限，当所述安全域中的加解密设备的数据传输权限为可以与所述安全域外的设备进行数据传输时，所述发送单元发送的所述加解密信息进一步包括设备标识，用于所述加解密设备根据所述设备标识确定所述安全域内通信的加解密算法和密钥适用的所述安全域中的其他加解密设备，所述设备标识包括：所述安全域中的其他加解密设备的 IP地址、所述安全域中的其他加解密设备的 MAC地址、所述安全域中的其他加解密设备的 ID、包括所述安全域的虚拟局域网的 ID、报文的特征信息中的至少一种。

19、根据权利要求 14至 18中任一项所述的安全管理设备，其特征在于，所述确定单元，还用于确定对应于所述安全域内通信的加解密算法和密钥的版本标识；

则所述发送单元发送的所述加解密信息，还包括：所述确定单元确定的所述对应于所述安全域内通信的加解密算法和密钥的版本标识，所述版本标识用于所述每一个加解密设备在向所述安全域中的其他加解密设备传输数据时携带，以便所述安全域中的其他加解密设备使用所述版本标识对应的所述安全域内通信的加解密算法和密钥解密所述数据。

20、根据权利要求 14至 19中任一项所述的安全管理设备，其特征在于，所述加解密设备为计算机设备或网卡。

21、一种加解密设备，其特征在于，包括：

接收单元，用于接收安全管理设备发送的加解密信息，所述加解密信息包括用于与包含本加解密设备的安全域中的其他加解密设备之间数据传输的加解密算法和密钥，所述加解密算法和密钥是所述安全管理设备根据所述安全域中的加解密设备列表及每一个加解密设备支持的加解密算法确定的；加解密单元，用于根据所述接收单元接收的所述加解密信息，对与所述安全域中的其他加解密设备间传输的数据进行加密或解密。

22、根据权利要求 21 中所述的加解密设备，其特征在于，所述加解密设备还包括：

发送单元，用于向所述安全管理设备发送支持的加解密算法。

23、根据权利要求 21或 22所述的加解密设备，其特征在于，当所述包含本加解密设备的安全域中的加解密设备的数据传输权限为可以与所述安全域外的设备进行数据传输时，所述接收单元接收的所述加解密信息进一步包括设备标识，所述设备标识包括：

所述安全域中的其他加解密设备的 IP地址、所述安全域中的其他加解密设备的 MAC地址、所述安全域中的其他加解密设备 ID、包括所述安全域的 VLAN的 ID、报文的特征信息中的至少一种；

贝' J , 所述加解密单元，用于根据所述接收单元接收的所述加解密信息中包括的设备标识，确定所述加解密信息中包括所述安全域内通信的加解密算法和密钥所适用的所述安全域中的其他加解密设备，并根据所述加解密算法和密钥对与所述安全域中的其他加解密设备间传输的数据进行加密或解密。

24、根据权利要求 21至 23中任一项所述的加解密设备，其特征在于，所述接收单元接收的加解密信息，进一步包括：

对应于所述安全域内通信的加解密算法和密钥的版本标识；

贝' J , 所述加解密单元，具体用于：根据所述接收单元接收的加解密信息中包括的所述版本标识，获取所述安全域内通信的加解密算法和密钥，并根据所述安全域内通信的加解密算法和密钥对所述文中的加密数据进行解密；或者

根据所述接收单元接收的所述加解密信息中包括的所述安全域内通信的加解密算法和密钥，对所述数据进行加密，并在向所述安全域中的其他加解密设备发送的携带加密的所述数据的报文中携带所述对应于所述安全域内通信的加解密算法和密钥的版本标识。

25、根据权利要求 21至 24中任一项所述的加解密设备，其特征在于，所述加解密设备为计算机设备或网卡。

26、一种数据传输的系统，其特征在于，包括：一个安全管理设备和至少两个加解密设备，其中，

所述安全管理设备用于根据包含所述加解密设备的安全域中的加解密设备列表及每一个加解密设备支持的加解密算法，确定所述安全域内通信的加解密算法和密钥，所述安全域内通信的加解密算法和密钥用于所述加解密设备之间的数据传输，并向所述安全域中的每一个加解密设备发送加解密信息，所述加解密信息包括所述加解密算法和密钥；

所述加解密设备用于接收所述安全管理设备发送的加解密信息，所述加解密信息包括用于与安全域中的其他加解密设备之间数据传输的加解密算法和密钥，并根据所述加解密信息，对与所述安全域中的其他加解密设备之间传输的数据进行加密或解密。

27、根据权利要求 26所述的数据传输的系统，其特征在于，所述安全管理设备确定安全域内通信的加解密算法和密钥，包括：

所述安全管理设备，用于为所述安全域中的每一个加解密设备选取相同的所述安全域内通信的加解密算法和密钥，所述加解密算法是所述安全域中所有加解密设备都支持的加解密算法。

28、根据权利要求 26或 27所述的数据传输的系统，其特征在于，所述安全管理设备还用于配置所述安全域的加解密设备列表。

29、根据权利要求 26至 28中任一项所述的数据传输的系统，其特征在于，在所述安全管理设备确定所述安全域内通信的加解密算法和密钥之前，所述加解密设备，还用于向所述安全管理设备发送支持的加解密算法，或者所述安全管理设备还用于配置所述安全域中的每一个加解密设备各自支持的加解密算法。

30、根据权利要求 26至 29中任一项所述的数据传输的系统，其特征在于，所述安全管理设备还用于配置所述安全域中的所述加解密设备的所述数据传输权限，所述数据传输权限为是否可以与所述安全域外的设备进行数据传输；

则，当所述安全域中的加解密设备的数据传输权限为可以与所述安全域外的设备进行数据传输时，所述安全管理设备向所述加解密设备发送的所述加解密信息进一步包括设备标识，用于所述加解密设备确定所述加解密算法和密钥所适用的所述安全域中的其他加解密设备，所述设备标识包括：所述安全域中的其他加解密设备的 IP地址、所述安全域中的其他加解密设备的 MAC地址、所述安全域中的其他加解密设备的 ID、包括所述安全域的 VLAN的 ID、报文的特征信息中的至少一种。

31、根据权利要求 26至 30中任一项所述的数据传输的系统，其特征在于：

所述安全管理设备向所述每一个加解密设备发送加解密信息之前，所述版本标识，则所述向所述加解密设备发送的所述加解密信息还包括对应于所述安全域内通信的加解密算法和密钥的版本标识；

所述加解密设备，还用于在向所述安全域中的其他加解密设备传输数据时携带所述版本标识，供所述安全域中的其他加解密设备使用所述版本标识对应的所述加解密算法和密钥解密所述数据。

32、根据权利要求 26至 31中任一项所述的数据传输的系统，其特征在于，所述加解密设备为计算机设备或网卡。