CN103929423A - 处理电力规约的IPSec VPN安全转发方法与系统 - Google Patents

Abstract

本发明提供一种处理电力规约的IPSec VPN安全转发方法与系统，在IP数据包在进入IPSEC VPN设备时，根据IP报文分组信息在安全策略库SPD库中查找符合IP数据包的安全策略SP，根据安全策略SP对IP报文分组信息进行数据解密处理，得到原始数据报文，再根据安全策略SP中的特征值信息对原始数据报文进行电力规约特征值信息识别，判断当前IP数据包报文是否需要转发。电力规约特征识别的安全策略，实现对承载电力业务的IP数据包进行细粒度检查匹配，防止数据包的隧道内攻击，避免在IPSec VPN设备中添加大量防火墙策略以及数据包两次进入协议栈所带来的性能下降和增加运行维护难度等问题，提升了IPSEC VPN数据包转发的性能及安全性。

Description

处理电力规约的IPSec VPN安全转发方法与系统

技术领域

本发明涉及电力行业数据通信技术领域，特别是涉及一种处理电力规约的IPSec VPN安全转发方法与系统。 

背景技术

电力作为国家能源基础设施，直接关系到工民用电安全，出现故障将导致城市出现大面积停电事故，严重影响民众生活及经济发展。为此，国家相关部门和电力企业出台了多项规定和制度以保障电力二次系统的安全，防止病毒、黑客入侵等集团式攻击。 

IPSec VPN设备工作在网络层，可以提供数据源认证、数据流保密、数据完整性及抗重放等服务。作为常用的网络层安全防护设备，IPSec VPN设备可以部署在电力行业的各种网络中，对电力企业的各类运行业务进行安全保护，防止数据因被窃取、篡改、伪造影响相关运行业务的正常运行。特别在电力调度数据网及配电自动专网中，使用IPSec VPN设备能够很好对电力调度数据和配电自动化业务数据进行安全保护，防止数据、被窃取、篡改、伪造，保证了数据的机密性、完整性，也实现了数据源的认证，但IPSec VPN需要具有防火墙功能才能有效的防止黑客入侵等安全事故的发生。 

IPSec VPN设备对数据进行解密后得到原始数据报文，会把原始报文重新抛入IP协议栈进行防火墙过滤处理，这样对可以有效地对原始数据报文进行电力规约检查，防止隧道内的电力规约报文存在病毒及入侵信息。但这样导致所有加密报文都需要两次经过IP协议栈进行处理，对IPSec VPN设备的性能有极大的影响，导致其性能降低，其数据包解密及转发的存在较大的延时。 

发明内容

基于此，有必要针对现有处理电力规约的IPSec VPN安全转发方法复杂， 容易导致IPSec VPN设备性能降低问题，对数据包解密及转发的存在较大的延时的问题，提供一种简单的处理电力规约的IPSec VPN安全转发方法与系统，以提高IPSec VPN设备性能，降低其对数据包解密及转发的延时。 

一种处理电力规约的IPSec VPN安全转发方法，包括步骤： 

接收IP数据包，解析获取IP数据包信息； 

根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP，其中，所述安全策略SP为具有电力规约特征值识别的安全策略； 

根据查找到的安全策略SP，对所述IP数据包进行解密，得到原始数据报文； 

根据查找到的安全策略SP中的电力规约特征值信息对所述原始数据报文进行特征值识别，若原始数据报文符合电力规约特征匹配规则，则将所述原始数据报文转发，若原始数据报文不符合电力规约特征匹配规则，则将所述原始数据报文丢弃，其中，电力规约特征匹配规则为采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容。 

一种处理电力规约的IPSec VPN安全转发系统，包括： 

信息解析模块，用于接收IP数据包，解析获取IP数据包信息； 

遍历查找模块，用于根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP，其中，所述安全策略SP为具有电力规约特征值识别的安全策略； 

原始报文获取模块，用于根据查找到的安全策略SP，对所述IP数据包进行解密，得到原始数据报文； 

处理模块，用于根据查找到的安全策略SP中的电力规约特征值信息对所述原始数据报文进行特征值识别，若原始数据报文符合电力规约特征匹配规则，则将所述原始数据报文转发，若原始数据报文不符合电力规约特征匹配规则，则将所述原始数据报文丢弃，其中，电力规约特征匹配规则为采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容。 

本发明处理电力规约的IPSec VPN安全转发方法与系统，在IP数据包在进入IPSEC VPN设备时，根据IP报文分组信息在安全策略库SPD库中查找符合 IP报文分组信息的安全策略SP，根据安全策略SP对IP报文分组信息进行数据解密处理，得到原始数据报文，再根据安全策略SP中的特征值信息对原始数据报文进行电力规约特征值信息识别，判断当前IP数据包报文是否需要转发。电力规约特征识别的安全策略，实现对承载电力业务的IP数据包进行细粒度检查匹配，有效防止了恶意入侵者通过隧道内向主站前置服务器发起的攻击和入侵，同时避免在IPSec VPN设备中添加大量防火墙策略以及数据包两次进入协议栈所带来的性能下降和增加运行维护难度等问题，大大提高了IPSEC VPN设备在安全策略配置及应用方面的灵活性，简化了IPSEC VPN在实际部署中的策略配置，提升了IPSEC VPN数据包转发的性能及安全性，增加了IPSEC VPN在部署和维护过程中的可用性和易用性。 

附图说明

图1为本发明处理电力规约的IPSec VPN安全转发方法第一个实施例的流程示意图； 

图2为本发明处理电力规约的IPSec VPN安全转发方法第二个实施例的流程示意图； 

图3为本发明处理电力规约的IPSec VPN安全转发方法中其中一个具体实施例的详细流程示意图； 

图4为本发明处理电力规约的IPSec VPN安全转发系统第一实施例的结构示意图； 

图5为本发明处理电力规约的IPSec VPN安全转发系统第二实施例的结构示意图； 

图6为配电自动化专网的安全防护拓扑图。 

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下根据附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施仅仅 用以解释本发明，并不限定本发明。 

IPSec VPN即指采用IPSec协议来实现远程接入的一种VPN技术，是由Internet Engineering Task Force(IETF)定义的安全标准框架，用以提供公用和专用网络的端对端加密和验证服务。IPSEC是一套比较完整成体系的VPN技术，它规定了一系列的协议标准。导入IPSEC协议，原因有2个，一个是原来的TCP/IP体系中间，没有包括基于安全的设计，任何人，只要能够搭入线路，即可分析所有的通讯数据。IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能。另外一个原因，是因为Internet迅速发展，接入越来越方便，很多客户希望能够利用这种上网的带宽，实现异地网络的的互连通。IPSEC协议通过包封装技术，能够利用Internet可路由的地址，封装内部网络的IP地址，实现异地网络的互通。 

本发明处理电力规约的IPSec VPN安全转发方法与系统，实现可对电力规约（比如101/104规约）进行特征值识别的IPSec安全策略SP，根据其特征值识别的结果决定是否转发，其特征值预置，比如101/104规约报文开头的68H。 

IP数据包进入IPSec VPN设备后，IP协议栈将根据IP数据包头部的信息确定安全策略SP是否允许应用于所述IP数据包。系统将根据IP数据包分组信息在安全策略数据库SPD中进行遍历，已查找出满足要求的安全策略SP。根据安全策略SP对IP数据包进行解密，对解密得到的原始报文进行特征值识别。 

如图1所示，一种处理电力规约的IPSec VPN安全转发方法，包括步骤： 

S200：接收IP数据包，解析获取IP数据包信息。 

IPSec VPN设备接收到IP数据包，对IP数据包进行解析，获取得到IP数据包信息。在这里，非必要的，IP数据包解析获得IP数据包的源地址、目的地址、端口信息和协议号信息等信息，将这些解析获得的信息定义为IP数据包信息。 

S400：根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP，其中，所述安全策略SP为具有电力规约特征值识别的安全策略。 

在获取了IP数据包信息之后，直接遍历IPSec VPN设备中内嵌的安全策略库SPD，查找出满足当前应用环境要求的安全策略SP，在这里，安全策略SP是实现可对电力规约（比如101/104规约）进行特征值识别的IPSec安全策略。 

S600：根据查找到的安全策略SP，对所述IP数据包进行解密，得到原始数据报文。 

根据查找到的安全策略SP，对接收到的IP数据包进行解密，获取到原始数据报文。 

S800：根据查找到的安全策略SP中的电力规约特征值信息对所述原始数据报文进行特征值识别，若原始数据报文符合电力规约特征匹配规则，则将所述原始数据报文转发，若原始数据报文不符合电力规约特征匹配规则，则将所述原始数据报文丢弃，其中，电力规约特征匹配规则为采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容。 

实现可对电力规约（比如101/104规约）进行特征值识别的IPSec安全策略SP，根据其特征值识别的结果决定是否转发，其特征值预置，比如101/104规约报文开头的68H。电力规约特征匹配是指采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容，如电力104规约数据包和101可变帧长的数据包以68H开头，16H结尾，101规约的固定帧长的数据以10H开头，以16H结尾。 

本发明处理电力规约的IPSec VPN安全转发方法，在IP数据包在进入IPSECVPN设备时，根据IP报文分组信息在安全策略库SPD库中查找符合IP报文分组信息的安全策略SP，根据安全策略SP对IP报文分组信息进行数据解密处理，得到原始数据报文，再根据安全策略SP中的特征值信息对原始数据报文进行电力规约特征值信息识别，判断当前IP数据包报文是否需要转发。电力规约特征识别的安全策略，实现对承载电力业务的IP数据包进行细粒度检查匹配，有效防止了恶意入侵者通过隧道内向主站前置服务器发起的攻击和入侵，同时避免在IPSec VPN设备中添加大量防火墙策略以及数据包两次进入协议栈所带来的性能下降和增加运行维护难度等问题，大大提高了IPSEC VPN设备在安全策略 配置及应用方面的灵活性，简化了IPSEC VPN在实际部署中的策略配置，大大提升了IPSEC VPN数据包转发的性能及安全性，增加了IPSEC VPN在部署和维护过程中的可用性和易用性。 

在其中一个实施例中，所述根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP具体为： 

根据IP数据包信息，遍历安全策略库SPD，查看是否有对应IP数据包要求的安全策略SP，若有，则进行下一步IP数据包解密处理，若无，则进行预设系统默认处理。 

如图2所示，在其中一个实施例中，所述S200具体包括步骤： 

S220：接收IP数据包； 

S240：解析所述IP数据包，获取IP数据包的源地址、目的地址、端口信息和协议号信息； 

S260：将IP数据包的源地址、目的地址、端口信息和协议号信息定义为IP数据包信息。 

如图2所示，在其中一个实施例中，所述S400具体包括步骤： 

S420：根据所述IP数据包的源地址，遍历所述安全策略库SPD； 

S440：查找与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP； 

S460：定义查找到的与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP为满足IP数据包要求的安全策略SP。 

根据IP数据包的源地址，遍历整个安全策略库SPD，判断是否可以查找到与IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP，当查找到时，定义查找到的与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP为满足IP数据包要求的安全策略SP。 

为了更进一步详细解释本发明处理电力规约的IPSec VPN安全转发方法详细流程，下面用具体实例并结合图3，详细介绍本发明处理电力规约的IPSec VPN 安全转发的技术方案及其带来的有益效果，在本具体实施例中为便于简单说明安全策略SP用SP缩写指代，安全策略库SPD用SPD缩写指代。 

如图3所示，本发明处理电力规约的IPSec VPN安全转发方法的其中一个实施例的详细流程步骤如下： 

1、对IP数据包头部信息进行解析，提取其源地址、目的地址和协议号信息； 

2、如果为TCP或者UDP数据包，对TCP或者UDP分组头部信息进行解析，提取其源端口和目的端口信息； 

3、根据数据包的源地址在SPD中进行查找，查找该数据包的源地址、目的地址、源端口、目的端口查找得到匹配的SP； 

4、根据数据包的协议在SPD中进行查找，查找该数据包的协议号是否和SPD中SP的协议号匹配； 

5、所有信息均匹配则命中SP，不然则未命中。 

6、根据SP安全策略对IP数据包进行解密处理，得到原始数据报文； 

7、根据SP安全策略中的特征值信息对原始数据报文的检查，如果原始数据报文中具有特征值信息，则查找路由把原始数据报文转发出去。如果无法匹配则丢弃该报文。 

通过具有电力规约特征识别的安全策略，实现对承载电力业务的IP数据包及应用层数据进行细粒度检查匹配。有效防止了恶意入侵者通过隧道内向主站前置服务器发起的攻击和入侵，同时避免在IPSec VPN设备中添加大量防火墙策略以及数据包两次进入协议栈所带来的性能下降和增加运行维护难度等一系列问题，大大提高了IPSEC VPN设备在安全策略配置及应用方面的灵活性，简化了IPSEC VPN在实际部署中的策略配置，大大提升了IPSEC VPN数据包转发的性能，增加了IPSEC VPN在部署和维护过程中的可用性和易用性。 

如图4所示，一种处理电力规约的IPSec VPN安全转发系统，包括： 

信息解析模块100，用于接收IP数据包，解析获取IP数据包信息； 

遍历查找模块200，用于根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP，其中，所述安全策略SP为具有电力规 约特征值识别的安全策略； 

原始报文获取模块300，用于根据查找到的安全策略SP，对所述IP数据包进行解密，得到原始数据报文； 

处理模块400，用于根据查找到的安全策略SP中的电力规约特征值信息对所述原始数据报文进行特征值识别，若原始数据报文符合电力规约特征匹配规则，则将所述原始数据报文转发，若原始数据报文不符合电力规约特征匹配规则，则将所述原始数据报文丢弃，其中，电力规约特征匹配规则为采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容。 

本发明处理电力规约的IPSec VPN安全转发系统，在IP数据包在进入IPSEC VPN设备时，遍历查找模块200根据IP报文分组信息在安全策略库SPD库中查找符合IP报文分组信息的安全策略SP，原始报文获取模块300根据安全策略SP对IP报文分组信息进行数据解密处理，得到原始数据报文，处理模块400根据安全策略SP中的特征值信息对原始数据报文进行电力规约特征值信息识别，判断当前IP数据包报文是否需要转发。电力规约特征识别的安全策略，实现对承载电力业务的IP数据包进行细粒度检查匹配，有效防止了恶意入侵者通过隧道内向主站前置服务器发起的攻击和入侵，同时避免在IPSec VPN设备中添加大量防火墙策略以及数据包两次进入协议栈所带来的性能下降和增加运行维护难度等问题，大大提高了IPSEC VPN设备在安全策略配置及应用方面的灵活性，简化了IPSEC VPN在实际部署中的策略配置，大大提升了IPSEC VPN数据包转发的性能及安全性，增加了IPSEC VPN在部署和维护过程中的可用性和易用性。 

在其中一个实施例中，所述遍历查找模块具体为： 

遍历查找判断模块，用于根据IP数据包信息，遍历安全策略库SPD，查看是否有对应IP数据包要求的安全策略SP，若有，则进行下一步IP数据包解密处理，若无，则进行预设系统默认处理。 

如图5所示，在其中一个实施例中，所述信息解析模块100具体包括： 

接收单元120，用于接收IP数据包； 

解析单元140，用于解析所述IP数据包，获取IP数据包的源地址、目的地 址、端口信息和协议号信息； 

IP数据包信息定义单元160，用于将IP数据包的源地址、目的地址、端口信息和协议号信息定义为IP数据包信息。 

如图5所示，在其中一个实施例中，所述遍历查找模块200具体包括： 

遍历单元220，用于根据所述IP数据包的源地址，遍历所述安全策略库SPD； 

查找单元240，用于查找与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP； 

定义单元260，用于定义查找到的与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP为满足IP数据包要求的安全策略SP。 

为了更进一步本发明处理电力规约的IPSec VPN安全转发方法与系统，下面将用本发明处理电力规约的IPSec VPN安全转发方法与系统在实际生产生活应用的实例进行解释说明。 

如图6所示，图6为配电自动化专网的安全防护拓扑图，图中在配电终端现场和配电主站端均部署了IPSec VPN设备。恶意入侵者利用配电终端作为接入，试图通过主站和终端的IPSec VPN建立的安全隧道向主站前置服务器发起攻击或者入侵。配电终端和主站前置服务器运行基于101规约的配电网自动化业务系统，101规约的特点是以10H或者68H作为帧开始，以16H作为帧结束。 

如果恶意入侵者向主站前置服务器发起端口扫描，此数据不是101规约。部署在主站的IPSEC VPN设备如果不对此报文进行识别诊断，主站前置服务器所有开放的端口将暴露给恶意入侵者，恶意入侵者将寻找开放端口存在的漏洞并入侵进入到主站前置服务器，甚至控制主站前置服务器，造成更为严重的事故。 

为了防止恶意入侵者发起的攻击和入侵，主站端部署的IPSEC VPN在对配电终端上传的经过终端IPSEC VPN加密的数据进行更为深入的识别和诊断，防止非法的数据报文发送给主站前置服务器。在主站端的IPSEC VPN中，实现具 有对101/104规约特征值识别的安全关联（SP），此SP对应用数据进行10H或者68H作为应用层数据开始的识别，对16H作为应用层数据结束的识别。恶意入侵者经过安全隧道发送过来的加密数据在经过解密还原出原始数据，该SP对原始报文中应用层数据是否是以10H或者68H开始，16H结束。恶意入侵者的端口扫描报文将被有效识别为非101规约报文，则丢弃。这样就可以有效防止前置服务器遭受恶意入侵者的攻击。 

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。 

Claims (8)

1.一种处理电力规约的IPSec VPN安全转发方法，其特征在于，包括步骤：

接收IP数据包，解析获取IP数据包信息；

根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP，其中，所述安全策略SP为具有电力规约特征值识别的安全策略；

根据查找到的安全策略SP，对所述IP数据包进行解密，得到原始数据报文；

根据查找到的安全策略SP中的电力规约特征值信息对所述原始数据报文进行特征值识别，若原始数据报文符合电力规约特征匹配规则，则将所述原始数据报文转发，若原始数据报文不符合电力规约特征匹配规则，则将所述原始数据报文丢弃，其中，所述电力规约特征匹配规则为采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容。

2.根据权利要求1所述的处理电力规约的IPSec VPN安全转发方法，其特征在于，所述根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP具体为：

根据IP数据包信息，遍历安全策略库SPD，查看是否有对应IP数据包要求的安全策略SP，若有，则进行下一步IP数据包解密处理，若无，则进行预设系统默认处理。

3.根据权利要求1或2所述的处理电力规约的IPSec VPN安全转发方法，其特征在于，所述接收IP数据包，解析获取IP数据包信息具体包括步骤：

接收IP数据包；

解析所述IP数据包，获取IP数据包的源地址、目的地址、端口信息和协议号信息；

将IP数据包的源地址、目的地址、端口信息和协议号信息定义为IP数据包信息。

4.根据权利要求3所述的处理电力规约的IPSec VPN安全转发方法，其特征在于，所述根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP具体包括步骤：

根据所述IP数据包的源地址，遍历所述安全策略库SPD；

查找与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP；

定义查找到的与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP为满足IP数据包要求的安全策略SP。

5.一种处理电力规约的IPSec VPN安全转发系统，其特征在于，包括：

信息解析模块，用于接收IP数据包，解析获取IP数据包信息；

遍历查找模块，用于根据所述IP数据包信息，遍历安全策略库SPD，查找对应IP数据包要求的安全策略SP，其中，所述安全策略SP为具有电力规约特征值识别的安全策略；

原始报文获取模块，用于根据查找到的安全策略SP，对所述IP数据包进行解密，得到原始数据报文；

处理模块，用于根据查找到的安全策略SP中的电力规约特征值信息对所述原始数据报文进行特征值识别，若原始数据报文符合电力规约特征匹配规则，则将所述原始数据报文转发，若原始数据报文不符合电力规约特征匹配规则，则将所述原始数据报文丢弃，其中，所述电力规约特征匹配规则为采用正则表达式的方法判断数据包是否满足电力规约数据的格式和内容。

6.根据权利要求5所述的处理电力规约的IPSec VPN安全转发系统，其特征在于，所述遍历查找模块具体为：

遍历查找判断模块，用于根据IP数据包信息，遍历安全策略库SPD，查看是否有对应IP数据包要求的安全策略SP，若有，进行下一步IP数据包解密处理步骤，若无，则进行预设系统默认处理。

7.根据权利要求5或6所述的处理电力规约的IPSec VPN安全转发系统，其特征在于，所述信息解析模块具体包括：

接收单元，用于接收IP数据包；

解析单元，用于解析所述IP数据包，获取IP数据包的源地址、目的地址、端口信息和协议号信息；

IP数据包信息定义单元，用于将IP数据包的源地址、目的地址、端口信息和协议号信息定义为IP数据包信息。

8.根据权利要求7所述的处理电力规约的IPSec VPN安全转发系统，其特征在于，所述遍历查找模块具体包括：

遍历单元，用于根据所述IP数据包的源地址，遍历所述安全策略库SPD；

查找单元，用于查找与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP；

定义单元，用于定义查找到的与所述IP数据包的源地址、目的地址、源端口、目的端口以及协议信息匹配的安全策略SP为满足IP数据包要求的安全策略SP。