CN102932229A - 一种对数据包进行加解密处理的方法 - Google Patents

Abstract

本发明涉及数据包加解密技术，本发明公开了一种对数据包进行加解密处理的方法，其具体包含以下步骤：步骤1，物理网卡接收以太帧，判断以太帧接收的网卡是否属于桥设备，如是，则将以太帧提交到桥协议栈，如否，则将以太帧提交到IP协议栈；步骤2，桥协议栈识别以太帧，如果以太帧为单播帧，则识别以太帧的属性，非单播帧则由桥协议栈直接处理；步骤3，当以太帧的属性为IP数据包时，提交该数据包到IP协议栈；步骤4，将提交到IP协议栈的数据包进行加解密处理。通过桥协议栈识别出IP数据帧，并将IP数据包提交给上层（传输层）进行VPN加解密处理，利用链路层和传输层对数据帧不同的处理方式，实现IPSECVPN设备在网桥模式下利用IP协议栈对数据帧进行加解密处理。

Description

一种对数据包进行加解密处理的方法

技术领域

本发明涉及信息安全技术领域，尤其涉及一种对数据包进行加解密处理的方法。

背景技术

 PSEC VPN设备接入网络时可以采用两种部署模式：网关部署模式和网桥部署模式。在网关部署模式中，IPSEC VPN设备内外网接口路由不同，作为路由器或NAT转换设备，实现路由转发以及对内提供上网和对外提供服务等工作。一般用于新建的网络中或者用户准备用VPN网关替代原有路由器/防火墙的地方。在网桥部署模式中，IPSEC VPN作为网桥设备接入到路由器（防火墙）和交换机（后端业务）之间，透明转发除VPN报文之外所有数据。网桥工作在数据链路层，根据MAC地址来转发帧，IPSEC协议工作在传输层，采用网桥模式部署的IPSEC VPN设备对所有目的地址非本地的数据包均进行转发，导致在网桥模式下难以对数据包进行加解密处理，如果在数据链路层单独实现对数据帧进行加解密处理又非常复杂。

发明内容

针对上述的网桥模式下难以对数据包进行加解密处理的技术问题，本发明公开了一种对数据包进行加解密处理的方法。

本发明的目的通过下述技术方案来实现：

一种对数据包进行加解密处理的方法，其具体包含以下步骤：

步骤1，物理网卡接收以太帧，判断以太帧接收的网卡是否属于桥设备，如是，则将以太帧提交到桥协议栈，如否，则将以太帧提交到IP协议栈；

步骤2，桥协议栈识别以太帧，如果以太帧为单播帧，则识别以太帧的属性，非单播帧则由桥协议栈直接处理；

步骤3，当以太帧的属性为IP数据包时，判断IP协议栈中该桥接口是否配置了IP地址，是，则修改以太帧描述符属性，并提交该数据包到IP协议栈，否则将以太帧提交桥协议栈处理；当以太帧的属性为802.1Q数据帧时，判断IP协议栈中是否存在接收该数据帧的子接口，有则继续判断IP协议栈中该桥接口是否配置了IP地址，是，则修改以太帧描述符属性，并提交该数据包到IP协议栈，否则将以太帧提交桥协议栈进行处理；

步骤4，将提交到IP协议栈的数据包进行加解密处理后，IP协议栈根据路由表把该处理后的IP数据包提交给网桥接口，网桥接口通过物理网卡转发处理后的IP数据帧。

更进一步地，上述步骤2中桥协议栈识别以太帧具体为：桥协议栈中的数据甄别器根据以太帧中的目的MAC地址识别出数据帧为多播帧、组播帧还是单播帧。

更进一步地，上述步骤2中桥协议栈对非单播帧的处理具体为:如果以太帧为多播帧或者组播帧，则直接通过桥协议栈进行广播、转发或者本地接收。

本发明的有益效果：通过桥协议栈识别出IP数据帧，并将IP数据包提交给上层（传输层）进行VPN加解密处理，利用链路层和传输层对数据帧不同的处理方式，实现IPSEC VPN设备在网桥模式下利用IP协议栈对数据帧进行加解密处理，简化了IPSEC VPN设备在网桥模式下的开发难度，增加了IPSEC VPN设备的网络适应能力。 

附图说明

图1 为本发明的对数据包进行加解密处理的方法流程图。

具体实施方式

如说明书附图1所示的本发明的对数据包进行加解密处理的方法流程图。本发明公开了一种对数据包进行加解密处理的方法，其具体包含以下步骤：

步骤1，物理网卡接收以太帧，判断以太帧接收的网卡是否属于桥设备，如是，则将以太帧提交到桥协议栈，如否，则将以太帧提交到IP协议栈；

步骤2，桥协议栈识别以太帧，如果以太帧为单播帧，则识别以太帧的属性，非单播帧则由桥协议栈直接进行处理；

步骤3，当以太帧的属性为IP数据包时，判断IP协议栈中该桥接口是否配置了IP地址，是，则修改以太帧描述符属性，并提交该数据包到IP协议栈，否则将以太帧提交桥协议栈处理；当以太帧的属性为802.1Q数据帧时，判断IP协议栈中是否存在接收该数据帧的子接口，有则继续判断IP协议栈中该桥接口是否配置了IP地址，是，则修改以太帧描述符属性，并提交该数据包到IP协议栈，否则将以太帧提交桥协议栈进行处理；

步骤4，将提交到IP协议栈的数据包进行加解密处理后，IP协议栈根据路由表把该处理后的IP数据包提交给网桥接口，网桥接口通过物理网卡转发处理后的IP数据帧。

本发明通过桥协议栈识别出IP数据帧，并将IP数据包提交给上层（传输层）进行VPN加解密处理，利用链路层和传输层对数据帧不同的处理方式，实现IPSEC VPN设备在网桥模式下利用IP协议栈对数据帧进行加解密处理，简化了IPSEC VPN设备在网桥模式下的开发难度，增加了IPSEC VPN设备的网络适应能力。桥协议栈识别其数据帧并通过IPSEC VPN设备对应的网桥子接口提交到传输层IP协议栈，IP协议栈对数据帧进行路由查表后，进行对应VPN处理。VPN处理后的新数据帧再次提交到IP协议栈，IP协议栈通过路由信息在新数据帧路由到对应的子接口，子接口对新数据帧进行802.1Q封装后发送到网桥协议栈，网桥协议栈通过MAC地址转发表把新数据帧转发到外端路由器。

例如：划分VLAN 10和VLAN 20，两个VLAN通过TRUNK链路与外端路由器相连。路由器与交换机相连的接口配置子接口10和子接口20,通过子接口10可与后端VLAN 10的业务主机互通，通过子接口20可与后端VLAN 20的业务主机互通。IPSEC VPN设备采用网桥模式接入其网络，并对网桥接口进行子接口配置，分别配置子接口10和子接口20。通过IPSEC VPN子接口10与后端VLAN 10的业务主机和外端路由器的子接口10互通，通过IPSEC VPN子接口20与后端VLAN 20的业务主机和外端路由器的子接口20互通。VLAN 10或者VLAN 20外出的数据帧经过IPSEC VPN设备时，桥协议栈识别其数据帧并通过IPSEC VPN设备对应的网桥子接口提交到传输层IP协议栈，IP协议栈对数据帧进行路由查表后，进行对应VPN处理。

更进一步地，上述所述桥协议栈识别以太帧具体为：桥协议栈中的数据甄别器根据以太帧中的目的MAC地址识别出数据帧为多播帧、组播帧还是单播帧。快速识别出以太帧的目的MAC地址，从而区分出三种不同的以太帧。

更进一步地，上述步骤2中桥协议栈对非单播帧的处理具体为:如果以太帧为多播帧或者组播帧，则直接通过桥协议栈进行广播、转发或者本地接收。在非单播帧的时候采用和现有技术一样的方式进行直接处理，提高了系统的运行效率。采用本发明的实现方式将增加了IPSEC VPN设备的网络适应能力，简化了IPSEC VPN设备在网桥模式下的开发难度。

这里已经通过具体的实施例子对本发明进行了详细描述，提供上述实施例的描述为了使本领域的技术人员制造或适用本发明，这些实施例的各种修改对于本领域的技术人员来说是容易理解的。本发明并不限于这些例子，或其中的某些方面。本发明的范围通过附加的权利要求进行详细说明。

上述说明示出并描述了本发明的一个优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (3)

1.一种对数据包进行加解密处理的方法，其具体包含以下步骤：

步骤1，物理网卡接收以太帧，判断以太帧接收的网卡是否属于桥设备，如是，则将以太帧提交到桥协议栈，如否，则将以太帧提交到IP协议栈；

步骤2，桥协议栈识别以太帧，如果以太帧为单播帧，则识别以太帧的属性，非单播帧则由桥协议栈直接处理；

步骤3，当以太帧的属性为IP数据包时，判断IP协议栈中该桥接口是否配置了IP地址，是，则修改以太帧描述符属性，并提交该数据包到IP协议栈，否则将以太帧提交桥协议栈处理；当以太帧的属性为802.1Q数据帧时，判断IP协议栈中是否存在接收该数据帧的子接口，有则继续判断IP协议栈中该桥接口是否配置了IP地址，是，则修改以太帧描述符属性，并提交该数据包到IP协议栈，否则将以太帧提交桥协议栈进行处理；

步骤4，将提交到IP协议栈的数据包进行加解密处理后，IP协议栈根据路由表把该处理后的IP数据包提交给网桥接口，网桥接口通过物理网卡转发处理后的IP数据帧。

2.如权利要求1所述的对数据包进行加解密处理的方法，其特征在于所述步骤2中桥协议栈识别以太帧具体为：桥协议栈中的数据甄别器根据以太帧中的目的MAC地址识别出数据帧为多播帧、组播帧还是单播帧。

3.如权利要求1或2所述的对数据包进行加解密处理的方法，其特征在于所述步骤2中桥协议栈对非单播帧的处理具体为:如果以太帧为多播帧或者组播帧，则直接通过桥协议栈进行广播、转发或者本地接收。

Images