CN103973674A - 主备同步信息的方法及装置 - Google Patents

Abstract

一种主备同步信息的方法及装置，该方法包括：第一防火墙和第二防火墙通过交换机组成主备倒换状态；第一防火墙通过隧道发送报文给接收端，将报文中的第一sn号加1以得到第二sn号；同步模块接收来自第一防火墙发送的第二sn号，每单位时间同步第二sn号和隧道的spi信息给第二防火墙；计算模块将第二sn号和第一sn号的差值除以单位时间得到sn号增长速度值；第二防火墙接收到第二sn号和隧道的spi信息后，通过隧道的spi信息找到对应的隧道，并在对应的隧道上记录第二sn号和sn号增长速度值；当第一防火墙与第二防火墙通过交换机进行主备倒换时，计时模块计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号。

Description

主备同步信息的方法及装置

技术领域

本发明涉及通信领域，具体地涉及一种主备同步信息的方法及装置。

背景技术

虚拟专用网络（Virtual Private Network），简称VPN，用于在公用网络上建立专用网络，进行加密通讯。在企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。VPN可通过服务器、硬件、软件等多种方式实现。

SSLVPN是基于安全套接层协议(Security Socket Layer-SSL)建立远程安全访问通道的VPN技术。它是近年来兴起的VPN技术，其应用随着Web的普及和电子商务、远程办公的兴起而发展迅速。

随着全球互联网业务的不断发展，由原来的以下载为主变成下载和上传并重，黑客行为越来越普遍，而且后果也越来越严重。例如，如果员工从家里的计算机通过公司虚拟专网（Virtual Private Network，VPN）访问企业资源，在其创建隧道前后，其他人（例如儿童）在这台电脑上下载了一个感染了病毒的游戏，那么，病毒就很有可能经过VPN在企业局域网内传播。另外，如果黑客侵入了这台没有保护的个人电脑，就能获得了经过VPN隧道访问公司局域网的能力。

在ssl vpn功能当中，加密后的数据为用户不可见的加密数据，加密数据报文头中都带有sn号（此sn号就是ssl vpn抗攻击参数）

，此号码在协商之后的第一个加密报文头中携带，每发送一个报文就会加1，当有黑客对报文进行攻击时，报文的接收端网络设备通过sn号的值可以判断报文是否为重复报文或者报文是否被修改，通过认证将被攻击的报文丢弃。但是现有技术1中的缺点在于：由于sn号随着报文时时增长，同步sn号实现困难，当主设备出现故障时，整个系统无法继续运行。

现有技术2中，主设备和备设备建立同步通道，将主设备的所有端口与备设备一一备份，主设备发送报文给接收端同时备份该报文同步给备用设备，当主备切换时，由于报文已经备份到备设备，所以主备设备继续运行。但是现有技术2的缺点在于：在报文的传输过程中没有抗攻击的作用，当有黑客对报文进行抓取或修改时，现有技术2无法察觉，另外主设备的处理能力有限，当主设备发送的是大报文同时备份该大报文同步给备用设备，两个大报文的传输可能会超过主设备的处理能力，可能将不能完成信息的同步操作，进而影响系统的服务质量。

发明内容

本发明的目的是提供一种主备同步信息的方法及装置带来的有益效果：通过每发送一个报文时，报文中的sn号加1，避免了黑客对报文进行拦截和修改；将同步后的sn号记录在隧道上并通过隧道的spi信息对sn号定位，使得主设备出故障时，设备主备切换过程中耗时短、效率高、用户无感知，提高了服务质量。

根据本发明的一个方面提出了一种主备同步信息的方法，该方法包括：第一防火墙和第二防火墙通过交换机组成主备倒换状态；第一防火墙通过隧道每发送一个报文给接收端时，报文中的第一sn号加1，在一定时间第一sn号进行加1处理得到第二sn号；同步模块接收来自第一防火墙发送的第二sn号，每单位时间同步第二sn号和隧道的spi信息给第二防火墙；计算模块将第二sn号和第一sn号的差值除以单位时间得到sn号增长速度值；第二防火墙接收到第二sn号和隧道的spi信息后，通过隧道的spi信息找到对应的隧道，并在对应的隧道上记录第二sn号和sn号增长速度值；当第一防火墙与第二防火墙通过交换机进行主备倒换时，计时模块计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号。

优选地，报文为加/解密报文。

优选地，报文携带sn号。

优选地，第一防火墙通过隧道每发送一个报文给接收端时，报文中的第一sn号加1具体包括：第一防火墙通过隧道发送第一个报文给第二防火墙时，报文中的第一sn号的初始值为1。

优选地，每单位时间同步第二sn号和隧道的spi信息给第二防火墙具体包括：如果在单位时间内，第一防火墙没有发送报文给第二防火墙时，同步模块不同步第二sn号和隧道的spi信息给第二防火墙。

根据本发明的另一个方面，提供了一种主备同步信息的装置，该装置包括：第一防火墙和第二防火墙通过交换机组成主备倒换设备；第一防火墙，用于通过隧道每发送一个报文给接收端时，报文中的第一sn号加1，在一定时间第一sn号进行加1处理得到第二sn号；同步模块，用于接收来自第一防火墙发送的第二sn号，每单位时间同步第二sn号和隧道的spi信息给第二防火墙；计算模块，用于将第二sn号和第一sn号的差值除以单位时间得到sn号增长速度值；第二防火墙，用于接收到第二sn号和隧道的spi信息后，通过隧道的spi信息找到对应的隧道，并在对应的隧道上记录第二sn号和sn号增长速度值；计时模块，用于当第一防火墙与第二防火墙通过交换机进行主备倒换时，计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号。

优选地，报文携带sn号。

优选地，同步模块，用于接收来自第一防火墙发送的第二sn号，每单位时间同步第二sn号和隧道的spi信息给第二防火墙具体包括：如果在单位时间内，第一防火墙没有发送报文给第二防火墙时，同步模块不同步第二sn号和隧道的spi信息给第二防火墙。

本发明提供的一种主备同步信息的方法及装置通过每发送一个报文时，报文中的sn号加1，避免了黑客对报文进行拦截和修改；将同步后的sn号记录在隧道上并通过隧道的spi信息对sn号定位，使得主设备出故障时，设备主备切换过程中耗时短、效率高、用户无感知，提高了服务质量。

附图说明

图1是现有技术中主备同步信息的方法流程图；

图2是根据本发明第一实施方式的主备同步信息的方法流程图；

图3是根据本发明第二实施方式的主备同步信息的装置示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

现有技术中的主备同步信息的方法是：主设备和备设备建立同步通道，将主设备的所有端口与备设备一一备份，主设备发送报文给接收端同时备份该报文同步给备用设备，当主备切换时，由于报文已经备份到备设备，所以主备设备继续运行。

但是现有技术在报文的传输过程中没有抗攻击的作用，当有黑客对报文进行抓取或修改时，现有技术无法察觉。另外主设备的处理能力有限，当主设备发送的是大报文同时备份该大报文同步给备用设备，两个大报文的传输可能会超过主设备的处理能力，可能将不能完成信息的同步操作，进而影响系统的服务质量。

图1是现有技术中主备同步信息的方法流程图。如图1所示，现有技术中主备同步信息的方法主要包括以下步骤：

步骤101、主设备和备设备建立同步通道。

步骤102、将主设备的所有端口与备设备一一备份。

步骤103、主设备发送报文给接收端并备份该报文同步给备设备。

步骤104、主备切换，主备设备继续运行。

当主备切换时，由于报文已经备份到备设备，所以主备设备继续运行。

图2是根据本发明第一实施方式的主备同步信息的方法流程图。

如图2所示，本发明的主备同步信息的方法主要包括以下步骤：

步骤201、第一防火墙和第二防火墙通过交换机组成主备倒换状态。

具体地，主备倒换环境是通过两台主备倒换设备加上一个交换机实现的，此时第一防火墙为主设备，第二防火墙为备设备，对设备状态的切换通过交换机实现，两台主备设备发送的是带有标记的普通网络报文，如果每次第一防火墙接收到一个加密报文都需要同步主备设备的状态，那就会加重第一防火墙和第二防火墙的负担。所以用交换机对第一防火墙和第二防火墙进行主备状态切换，当第一防火墙出故障时，第二防火墙自动的从备状态转化为主状态，第一防火墙从主状态转化为备状态。

步骤202、第一防火墙通过隧道发送报文给接收端，将报文中的第一sn号加1以得到第二sn号。

具体地，第一防火墙通过隧道发送第一个报文给接收端时，报文中的第一sn号的初始值为1，此时第一防火墙将报文中的第一sn号加1以得到第二sn号，将得到的第二sn号（通过同步模块）同步发送到第二防火墙备份。在安全套接层虚拟专网(Secure Sockets Layer Virtual Private Network，ssl vpn）功能当中，加密后的报文为用户不可见的加密报文，加密报文中都带有sn号，该sn号就是ssl vpn抗攻击参数，协商之后的第一个加密报文头中携带sn号，从初始值1开始每发送一个报文就会加1，也就是说，只要是从第一防火墙正常发送的加密报文，加密报文中的sn号都是连续编号，即当前发送报文的sn号比上次发送报文的sn号增加1。解密报文的接收端网络设备通过判断sn值是否重复可以判断报文是否为重复报文。当有黑客试图对报文进行抓取后复制此报文并大量重发此报文时，由于重复报文的sn号相同，根据sn号的记录就可以判断报文是否重复，如果sn号大于上一个加密报文，则属于第一防火墙正常发出的报文，从而不用进行任何处理。如果黑客只将报文的sn号进行简单的修改，则必然与第一防火墙正常发出的报文的sn号重复，那么加密报文就会认证不通过并丢弃报文。在加密报文中，ssl vpn隧道将整个报文进行认证，此时包括了加密头及其加密头中的sn号，如果sn号被修改，加密就会认证不通过，所以sn号在ssl vpn隧道环境中起着极其重要的作用。

步骤203、同步模块接收来自第一防火墙发送的第二sn号，每单位时间同步第二sn号和隧道的spi信息给第二防火墙。

具体地，spi（Serial Peripheral Interface）信息是一种高速同步串行通信协议，具体地，由于这个sn号是随每个加密报文时时增长变化的，所以本发明通过单位时间内同步模块同步一次sn号和隧道的spi信息，本实施例设单位时间为5秒钟，第一防火墙发送出sn号给第二防火墙后5秒钟内，检测是否发送过加解密报文，如果有则同步一次sn号和spi信息，每个报文发送可携带多组隧道的sn号，sn号与spi信息一一对应，如果5秒钟内没有发送过加解密报文，则不发送sn号和spi信息。如果第一防火墙发送或者接收到加解密报文时，发现加解密报文中断了且超过了5秒钟，那么设备开始计时5秒钟，到了5秒钟之后再发送sn号和spi信息同步给第二防火墙。同步模块同步隧道的spi信息是为了当第一防火墙和第二防火墙倒换时定位sn号便于查找sn号，避免主备切换给装置带来的影响。

步骤204、计算模块将第二sn号和第一sn号的差值除以单位时间得到sn号增长速度值。

具体地，通过上次发送的sn号（第一sn号）和本次发送的sn号（第二sn号）的差值除以5秒钟，算出每秒发送的报文个数为传输报文的速度也是sn号增长速度值，并将sn号增长速度值记录到此ssl vpn隧道中。

步骤205、第二防火墙接收到第二sn号和隧道的spi信息后，通过隧道的spi信息找到对应的隧道，并在对应的隧道上记录第二sn号和sn号增长速度值。

具体地，当第二防火墙接收到第一防火墙发送过来的sn号与spi信息之后，通过spi号找到对应的ssl vpn隧道，并在此隧道记录发送过来的sn号，还有将sn号增长速度值也记录到此ssl vpn隧道中。

步骤206、当第一防火墙与第二防火墙通过交换机进行主备倒换时，计时模块计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号。

具体地，当第一防火墙出现异常时，第一防火墙和第二防火墙进行倒换，此时第二防火墙由备份状态切换成主状态，计算倒换的时间与上次发送sn号同步信息的时间差，假设为3秒钟，那么就根据ssl vpn隧道上记录的sn号和sn号增长速度值，计时模块计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号，便可知下一个要发送报文的sn号或下一个接收报文的sn号。

图3是根据本发明第二实施方式的主备同步信息的装置示意图。

如图3所示，本发明的主备同步信息的装置主要包括：第一防火墙301、第二防火墙302、同步模块303、计算模块304、计时模块305、交换机306、接收端307。

第一防火墙301和第二防火墙302通过交换机306组成主备倒换设备。

具体地，第一防火墙301和第二防火墙302通过交换机306组成主备倒换设备，主设备作为控制装置的核心，与外部和业务板进行业务通信，完成装置内各模块的正常运行；而备设备则只作为主设备运行的跟踪信息的备份，与外部和业务板没有通信。当主设备发生故障时，系统自动进行主备切换，由备设备接替主设备的工作，保证业务的正常运行。其中，主备倒换环境是通过两台主备倒换设备加上一个交换机306实现的，此时第一防火墙301为主设备，第二防火墙302为备设备，对设备状态的切换完全通过交换机306，两台主备设备发送的是带有标记的普通网络报文，如果每次第一防火墙301接收到一个加密报文都需要同步主备设备的状态，那就会加重第一防火墙301和第二防火墙302的负担。所以用交换机306对第一防火墙301和第二防火墙302自行主备状态切换，当第一防火墙301出故障时，第二防火墙302自动的从备状态转化为主状态，第一防火墙301从主状态转化为备状态。

第一防火墙301，用于通过隧道发送报文给接收端307，并将报文中的第一sn号加1以得到第二sn号。

具体地，第一防火墙301通过隧道发送第一个报文给接收端307时，报文中的第一sn号的初始值为1，从初始值1开始每发送一个报文就会加1，此时第一防火墙将报文中的第一sn号加1以得到第二sn号，将得到的第二sn号（通过同步模块）同步发送到第二防火墙备份。例如，在t秒内，第一防火墙301发送了3个报文给接收端307，此时sn号为4。接收端307的网络设备通过sn值可以判断报文是否为重复报文，当有黑客试图对报文进行抓取后复制此报文并大量重发此报文时，根据sn号的记录就判断报文是否重复，sn号小于上一个加密报文，则不处理，如果黑客只将报文的sn号进行简单的修改，那么加密报文就会认证不通过并丢弃报文。

同步模块303，用于接收来自第一防火墙301发送的第二sn号，每单位时间同步第二sn号和隧道的spi信息给第二防火墙302。

具体地，加密报文中的sn号通过不可逆的特征进行对比可以判断出该报文是否为攻击报文。由于这个sn号是随每个加密报文时时增长变化的，所以本发明通过单位时间内同步模块303同步一次sn号和隧道的spi信息，本实施例设单位时间为5秒钟，第一防火墙301发送出sn号给第二防火墙302后5秒钟内，检测是否发送过加解密报文，如果有则同步一次sn号和spi信息，每个报文发送可携带多组隧道的sn号，sn号与spi信息一一对应，如果5秒钟内没有发送过加解密报文，则不发送sn号和spi信息。如果第一防火墙301发送或者接收到加解密报文时，发现加解密报文中断了且超过了5秒钟，那么设备开始计时5秒钟，到了5秒钟之后再发送sn号和spi信息同步给第二防火墙302。同步模块303同步隧道的spi信息是为了当第一防火墙301和第二防火墙302倒换时定位sn号便于查找sn号，避免主备切换给装置带来的影响。

计算模块304，用于将第二sn号和第一sn号的差值除以单位时间得到sn号增长速度值。

具体地，通过上次发送的sn号（第一sn号）和本次发送的sn号（第二sn号）的差值除以5秒钟，算出每秒发送的报文个数为传输报文的速度也是sn号增长速度值，并将sn号增长速度值记录到此ssl vpn隧道中。

第二防火墙302，用于接收到第二sn号和隧道的spi信息后，通过隧道的spi信息找到对应的隧道，并在对应的隧道上记录第二sn号和sn号增长速度值。

具体地，当第二防火墙302接收到第一防火墙301发送过来的sn号与spi信息之后，通过spi号找到对应的ssl vpn隧道，并在此隧道记录发送过来的sn号，还有将sn号增长速度值也记录到此ssl vpn隧道中。

计时模块305，用于当第一防火墙301与第二防火墙302通过交换机306进行主备倒换时，计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号。

具体地，当第一防火墙301出现异常时，第一防火墙301和第二防火墙302进行倒换，此时第二防火墙302由备份状态切换成主状态，计算倒换的时间与上次发送sn号同步信息的时间差，假设为3秒钟，那么就根据ssl vpn隧道上记录的sn号和sn号增长速度值，计时模块305计时倒换的时间再乘以sn号增长速度值得到倒换后传输报文的sn号，便可知下一个要发送报文的sn号或下一个接收报文的sn号。

本发明提供的一种主备同步信息的方法及装置带来的有益效果：通过每发送一个报文时，报文中的sn号加1，避免了黑客对报文进行拦截和修改；将同步后的sn号记录在隧道上并通过隧道的spi信息对sn号定位，使得主设备出故障时，设备主备切换过程中耗时短、效率高、用户无感知，提高了服务质量。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

尽管已经详细描述了本发明的实施方式，但是应该理解的是，在不偏离本发明的精神和范围的情况下，可以对本发明的实施方式做出各种改变、替换和变更。

Claims (8)

1.一种主备同步信息的方法，其特征在于，所述方法包括：

第一防火墙和第二防火墙通过交换机组成主备倒换状态；

所述第一防火墙通过隧道发送报文给接收端，将所述报文中的第一sn号加1以得到第二sn号；

同步模块接收来自所述第一防火墙发送的所述第二sn号，每单位时间同步所述第二sn号和所述隧道的spi信息给所述第二防火墙；

计算模块将所述第二sn号和所述第一sn号的差值除以所述单位时间得到sn号增长速度值；

所述第二防火墙接收到所述第二sn号和所述隧道的spi信息后，通过所述隧道的spi信息找到对应的隧道，并在所述对应的隧道上记录所述第二sn号和所述sn号增长速度值；

当所述第一防火墙与所述第二防火墙通过所述交换机进行主备倒换时，计时模块计时倒换的时间再乘以所述sn号增长速度值得到倒换后传输报文的sn号。

2.根据权利要求1所述的主备同步信息的方法，其特征在于，所述报文为加/解密报文。

3.根据权利要求1所述的主备同步信息的方法，其特征在于，所述报文携带所述sn号。

4.根据权利要求1所述的主备同步信息的方法，其特征在于，所述第一防火墙通过隧道每发送一个报文给接收端时，所述报文中的第一sn号加1具体包括：所述第一防火墙通过隧道发送第一个报文给所述第二防火墙时，所述报文中的第一sn号的初始值为1。

5.根据权利要求1所述的主备同步信息的方法，其特征在于，所述每单位时间同步第二sn号和所述隧道的spi信息给第二防火墙具体包括：如果在单位时间内，所述第一防火墙没有发送报文给所述第二防火墙时，所述同步模块不同步所述第二sn号和所述隧道的spi信息给所述第二防火墙。

6.一种主备同步信息的装置，其特征在于，所述装置包括：

第一防火墙，用于通过隧道发送报文给接收端，并将所述报文中的第一sn号加1以得到第二sn号；

同步模块，用于接收来自所述第一防火墙发送的所述第二sn号，每单位时间同步所述第二sn号和所述隧道的spi信息给所述第二防火墙；

计算模块，用于将所述第二sn号和所述第一sn号的差值除以所述单位时间得到sn号增长速度值；

第二防火墙，用于接收到所述第二sn号和所述隧道的spi信息后，通过所述隧道的spi信息找到对应的隧道，并在所述对应的隧道上记录所述第二sn号和所述sn号增长速度值；

计时模块，用于当所述第一防火墙与所述第二防火墙通过所述交换机进行主备倒换时，计时倒换的时间再乘以所述sn号增长速度值得到倒换后传输报文的sn号；

交换机，用于实现所述第一防火墙和第二防火墙之间的切换以形成主备倒换设备。

7.根据权利要求6所述的主备同步信息的装置，其特征在于，所述报文携带sn号。

8.根据权利要求6所述的主备同步信息的装置，其特征在于，所述同步模块，用于接收来自所述第一防火墙发送的所述第二sn号，每单位时间同步所述第二sn号和所述隧道的spi信息给所述第二防火墙具体包括：如果在单位时间内，所述第一防火墙没有发送报文给所述第二防火墙时，所述同步模块不同步所述第二sn号和所述隧道的spi信息给所述第二防火墙。