CN104348923B - 基于IPSec VPN的通信方法、装置与系统 - Google Patents

Abstract

本公开涉及一种基于IPSec VPN的通信方法、装置与系统。该方法包括在SA建立过程中，通信发起方定义多个第一IPv6地址并利用这些地址形成IPv6地址列表；将该列表发送至通信接收方；接收通信接收方反馈的IPv6地址列表，反馈的IPv6地址列表中增加了通信接收方根据多个第一IPv6地址生成的多个第二IPv6地址，利用多个第二IPv6地址与多个第一IPv6地址在反馈的IPv6地址列表中形成多个IPv6地址对；利用反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；动态选择反馈的IPv6地址列表中的任一个IPv6地址对进行通信。本公开可以提升IPv6网络中的IPSec VPN的安全性。

Description

基于IPSec VPN的通信方法、装置与系统

技术领域

本公开涉及IPv6网络，特别地，涉及一种基于IPSec（Internet ProtocolSecurity）VPN（Virtual Private Network，虚拟专用网）的通信方法、装置与系统。

背景技术

IPSec VPN技术是一种在通信两端进行报文加密以防止报文被截获、篡改的安全保密技术。

一般情况下，IPSec VPN的通信建立包括如下几个过程：

第一阶段：协商阶段，该阶段一般采用ISAKMP（Internet Security Associationand Key Management Protocol，Internet安全连接和密钥管理协议）协议来完成共享密钥、加密算法与认证机制的协商。

第二阶段：在ISAKMP保护机制的基础上，建立IPSec SA（Security Association，安全联盟）阶段，SA包含了通信所需要的安全密钥与具体的IPSec类型，其中，具体的IPSec类型为AH（Authentication Head，认证头）或者ESP（Encapsulating Security Payload，封装安全载荷）等。

第三阶段：在随后的通信过程中将按照协商的各种算法、认证机制、加密密钥等对通信报文进行加密。

由此可见，IPSec VPN的安全性完全取决于加密算法的强度，一旦加密算法出现问题或者密钥交互被攻击，就有可能导致通信被监听。此外，在网络中如果对整个IPSec VPN的通信过程进行监听，并将所有报文保存下来，通过字典攻击、暴力破解等方法也有可能对整个通信过程进行解密。

综上所述，目前现有的IPSec VPN技术存在一定的安全漏洞。

发明内容

本公开鉴于以上问题中的至少一个提出了新的技术方案。

本公开在其一个方面提供了一种基于IPSec VPN的通信方法，其可以提升IPv6网络中的IPSec VPN的安全性。

本公开在其另一方面提供了一种基于IPSec VPN的通信装置，其可以提升IPv6网络中的IPSec VPN的安全性。

本公开在其又一方面提供了一种基于IPSec VPN的通信系统，其可以提升IPv6网络中的IPSec VPN的安全性。

根据本公开，提供一种基于IPSec VPN的通信方法，包括：

在安全联盟建立过程中，通信发起方定义多个第一IPv6地址并利用多个第一IPv6地址形成IPv6地址列表；

将IPv6地址列表发送至通信接收方；

接收通信接收方反馈的IPv6地址列表，反馈的IPv6地址列表中增加了通信接收方根据多个第一IPv6地址生成的多个第二IPv6地址，利用多个第二IPv6地址与多个第一IPv6地址在反馈的IPv6地址列表中形成多个IPv6地址对；

利用反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；

动态选择反馈的IPv6地址列表中的任一个IPv6地址对进行通信。

在本公开的一些实施例中，多个第一IPv6地址具有相同的地址前缀，不同的接口地址；多个第二IPv6地址具有相同的地址前缀，不同的接口地址。

在本公开的一些实施例中，动态选择反馈的IPv6地址列表中的任一个IPv6地址对的方式包括按通信时间的不同进行选择、按发送报文的大小进行选择、按约定的随机码的不同进行选择、以及按累计字节数量进行选择。

在本公开的一些实施例中，通信接收方根据多个第一IPv6地址的个数生成与多个第一IPv6地址个数相同的多个第二IPv6地址。

根据本公开，还提供了一种基于IPSec VPN的通信装置，包括：

IPv6地址列表形成单元，用于在安全联盟建立过程中定义多个第一IPv6地址，并利用多个第一IPv6地址形成IPv6地址列表；

地址列表发送单元，用于将IPv6地址列表发送至通信接收方；

地址列表接收单元，用于接收通信接收方反馈的IPv6地址列表，反馈的IPv6地址列表中增加了通信接收方根据多个第一IPv6地址生成的多个第二IPv6地址，利用多个第二IPv6地址与多个第一IPv6地址在反馈的IPv6地址列表中形成多个IPv6地址对；

通信连接建立单元，用于利用反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；

地址对选择单元，用于动态选择反馈的IPv6地址列表中的任一个IPv6地址对进行通信。

在本公开的一些实施例中，多个第一IPv6地址具有相同的地址前缀，不同的接口地址；多个第二IPv6地址具有相同的地址前缀，不同的接口地址。

在本公开的一些实施例中，地址对选择单元动态选择反馈的IPv6地址列表中的任一个IPv6地址对的方式包括按通信时间的不同进行选择、按发送报文的大小进行选择、按约定的随机码的不同进行选择、以及按累计字节数量进行选择。

在本公开的一些实施例中，反馈的IPv6地址列表中的多个第一IPv6地址的个数与多个第二IPv6地址的个数相等。

根据本公开，还提供了一种基于IPSec VPN的通信系统，包括通信发起方设备和通信接收方设备，其中，通信发起方设备中包含前述实施例中的基于IPSec VPN的通信装置。

在本公开的技术方案中，由于在通信发起方与通信接收方之间建立多个通信连接，在发送数据报文时可以动态选择反馈的IPv6地址列表中的任一个IPv6地址，使得报文发送的通道并不固定，进而使得对报文的截获和解密变得更加困难，因此可以显著提升IPv6网络中的IPSec VPN的安全性。

附图说明

此处所说明的附图用来提供对本公开的进一步理解，构成本申请的一部分。在附图中：

图1是本公开IPv6接口地址跳变技术的实现原理示意图。

图2是本公开一个实施例的基于IPSec VPN的通信方法的流程示意图。

图3是本公开一个实施例的基于IPSec VPN的通信装置的结构示意图。

图4是本公开一个实施例的基于IPSec VPN的通信系统的结构示意图。

具体实施方式

下面将参照附图描述本公开。要注意的是，以下的描述在本质上仅是解释性和示例性的，决不作为对本公开及其应用或使用的任何限制。除非另外特别说明，否则，在实施例中阐述的部件和步骤的相对布置以及数字表达式和数值并不限制本公开的范围。另外，本领域技术人员已知的技术、方法和装置可能不被详细讨论，但在适当的情况下意在成为说明书的一部分。

传统的IPSec VPN中不包含通信地址列表的协商，IPSec VPN的通信也是由一个SOCKET完成的。本公开下述实施例利用了IPv6的海量地址特性，如图1所示，首先在IPSecVPN协商机制中引入了通信地址列表协商的方法，然后基于地址列表协商引入了多组SOCKET实现IPSec VPN通信过程中的地址跳变技术，通过该技术，通信的流量不仅被加密，而且还被分散到不同的SOCKET中，使得对报文的截获和解密变得更加困难，因此下述实施例可以显著提升IPv6网络中的IPSec VPN的安全性。

图2是本公开一个实施例的基于IPSec VPN的通信方法的流程示意图。

如图2所示，该实施例可以包括以下步骤：

S202，在安全联盟建立过程中，通信发起方定义多个第一IPv6地址并利用多个第一IPv6地址形成IPv6地址列表；

具体地，通信发起方可以随机生成多个第一IPv6地址，第一IPv6地址的个数可以预先设定，在系统性能允许的前提下，第一IPv6地址的个数越多，IPSec VPN的通信安全性越高。

在生成多个第一IPv6地址的过程中，需要注意的是，这些第一IPv6地址具有相同的地址前缀，不同的接口地址，其中，具有相同的地址前缀以避免对网络路由的影响。

其中，形成的IPv6地址列表可以如下述表1所示：

地址序号	第一IPv6地址
		1	IPv6地址1
2	IPv6地址2
		3	IPv6地址3
…	…
		n	IPv6地址n

表1

其中，表1中的第一IPv6地址是通信发起方生成的地址。

S204，将IPv6地址列表发送至通信接收方，一方面，通信接收方可以保留通信发起方的IPv6地址，另一方面，通信接收方还可以根据通信发起方的IPv6地址生成通信接收方可使用的IPv6地址。

S206，接收通信接收方反馈的IPv6地址列表，反馈的IPv6地址列表中增加了通信接收方根据多个第一IPv6地址生成的多个第二IPv6地址，利用多个第二IPv6地址与多个第一IPv6地址在反馈的IPv6地址列表中形成多个IPv6地址对；

具体地，通信接收方根据多个第一IPv6地址的个数生成与多个第一IPv6地址个数相同的多个第二IPv6地址。例如，如果IPv6地址列表中第一IPv6地址的个数为n个，则通信接收方也随机生成n个第二IPv6地址，以与第一IPv6地址配对使用。

在生成多个第二IPv6地址的过程中，需要注意的是，这些第二IPv6地址也具有相同的地址前缀，不同的接口地址。

其中，反馈给通信发起方的IPv6地址列表如下所示：

地址对序号	第一IPv6地址	第二IPv6地址
			1	IPv6地址1	IPv6地址1’
2	IPv6地址2	IPv6地址2’
			3	IPv6地址3	IPv6地址3’
…	…	…
			n	IPv6地址n	IPv6地址n’

表2

其中，表2中的第二IPv6地址是通信接收方根据表1中的第一IPv6地址的个数生成的地址。

将包含第二IPv6地址的IPv6地址列表反馈给通信发起方的目的是为了双方通信连接的建立。

S208，利用反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；

例如，为了使算法简便，可以在第1地址对IPv6地址1与IPv6地址1’之间建立通信连接，在第2地址对IPv6地址2与IPv6地址2’之间建立通信连接，…，在第n地址对IPv6地址n与IPv6地址n’之间建立通信连接。

S210，动态选择反馈的IPv6地址列表中的任一个IPv6地址对进行通信。这样，从第三方角度看，这一通信过程的IPv6地址将不断改变，这样对通信过程进行跟踪将更为困难。

具体地，动态选择反馈的IPv6地址列表中的任一个IPv6地址对的方式可以包括但不限于按通信时间的不同进行选择、按发送报文的大小进行选择、按约定的随机码的不同进行选择、以及按累计字节数量进行选择。

（1）按通信时间的不同进行选择：例如，通信双方可以约定，以连接个数为周期，通信开始的第1分钟选择第1个通信连接传输数据，在通信开始的第2分钟选择第2个通信连接传输数据，依此类推，在通信开始的第n分钟选择第n个通信连接传输数据，在通信开始的第n＋1分钟选择第1个通信连接传输数据。当然，时间的单位不限定为分钟，可以是秒或其他单位。

（2）按发送报文的大小进行选择：例如，如果连接个数为n个，则可以将报文的大小分为n类，不同大小的报文分别由不同的连接进行数据的传输，这样也打散了通信的数据。

（3）按约定的随机码的不同进行选择：例如，通信双方约定好随机码的生成算法与随机种子，使得通信双方每次生成的随机码相同，根据生成的随机码选择通信信道，这样在保证通信双方可以正常通信的前提下，增加了使用通信信道的随机性。

（4）按累计字节数量进行选择：在通信开始，通信双方均开始记录接收的和发送的字节数，在累计的字节数达到设定字数时，通信双方按照约定一起切换到已建立的新的通信信道上，这样也可以随机化通信双方对通信信道的使用。

该实施例由于在通信发起方与通信接收方之间建立多个通信连接，在发送数据报文时可以动态选择反馈的IPv6地址列表中的任一个IPv6地址，使得报文发送的通道并不固定，进而使得对报文的截获和解密变得更加困难，因此可以显著提升IPv6网络中的IPSecVPN的安全性。

在一个具体实例中，在SA建立过程中引入了一个IPv6地址池的协商过程，通信发起方可以定义多个第一IPv6地址，组成IPv6地址列表，列表中的第一IPv6地址具有相同的地址前缀，但是具有不同的接口地址。通信发起方将这些地址发送给通信的另一端，即，通信接收方，通信接收方根据IPv6地址列表中的第一IPv6地址的个数生成相同个数的第二IPv6地址，并将生成的多个第二IPv6地址填入表中对应的位置，将填有第一IPv6地址与第二IPv6地址的列表返回给通信发起方。这样列表中的每个IPv6地址对就可以建立一个通信连接，可以是TCP或UDP（User Datagram Protocol，用户数据包协议）。在正式通信前，通信双方需要按照列表中的多个地址对的对应关系建立多个TCP或者UDP通信连接。在实际通信中，通信双方可以按照一定的算法选用通信连接组中的任意一对SOCKET进行通信，并可以按照通信时间的不同、报文大小的不同、约定随机码的不同或按照累计字节量来变更数据传输的SOCKET。这样报文的传输就被分散到不同的通信连接中，增加了中间监听者对报文重组的难度，进而提升了IPSec VPN的通信安全性。

本领域普通技术人员可以理解，实现上述方法实施例的全部和部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算设备可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤，而前述的存储介质可以包括ROM、RAM、磁碟和光盘等各种可以存储程序代码的介质。

图3是本公开一个实施例的基于IPSec VPN的通信装置的结构示意图。

如图3所示，该实施例中的通信装置30可以包括IPv6地址列表形成单元302、地址列表发送单元304、地址列表接收单元306、通信连接建立单元308和地址对选择单元310。其中，

IPv6地址列表形成单元302，用于在安全联盟建立过程中定义多个第一IPv6地址并利用多个第一IPv6地址形成IPv6地址列表；

地址列表发送单元304，用于将IPv6地址列表发送至通信接收方；

地址列表接收单元306，用于接收通信接收方反馈的IPv6地址列表，反馈的IPv6地址列表中增加了通信接收方根据多个第一IPv6地址生成的多个第二IPv6地址，利用多个第二IPv6地址与多个第一IPv6地址在反馈的IPv6地址列表中形成多个IPv6地址对；

通信连接建立单元308，用于利用反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；

地址对选择单元310，用于动态选择反馈的IPv6地址列表中的任一个IPv6地址对进行通信。

该实施例通过在IPSec VPN SA建立过程中引入地址列表协商，并在通信过程中按照协商的方式使通信两端的IPv6地址进行跳变，以增加对IPSec VPN通信进行中间人监听时报文重组的难度，提升了IPSec VPN的安全性。

进一步地，多个第一IPv6地址具有相同的地址前缀，不同的接口地址；多个第二IPv6地址具有相同的地址前缀，不同的接口地址。

反馈的IPv6地址列表中的多个第一IPv6地址的个数与多个第二IPv6地址的个数相等。

地址对选择单元动态选择反馈的IPv6地址列表中的任一个IPv6地址对的方式包括按通信时间的不同进行选择、按发送报文的大小进行选择、按约定的随机码的不同进行选择、以及按累计字节数量进行选择。

图4是本公开一个实施例的基于IPSec VPN的通信系统的结构示意图。

如图4所示，该实施例中的通信系统40可以包括通信发起方设备402和通信接收方设备404，其中，通信发起方设备402中包含基于IPSec VPN的通信装置402a，该基于IPSecVPN的通信装置402a可以通过前述实施例实现。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同和相似的部分可以相互参见。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处可以参见方法实施例部分的说明。

本公开上述实施例具有以下有益效果：

（1）通过通信两端IPv6接口地址跳变来增强IPSec VPN的通信安全性；

（2）可以防止基于VPN报文监听并进行解密的攻击行为；

（3）利用了IPv6的海量地址和多SOCKET通信，实现了基于接口地址跳变的IPSecVPN安全通信，提升了安全性；

（4）由于IPv6地址前缀不变，可以保证网络的路由不受影响。

此外，需要指出的是，本公开基于IPv6的海量地址和地址前缀/接口地址的构成方式，其内容可以应用在未来IPv6网络的IPSec VPN通信中，为IPv6网络中的安全性提供保证。

进一步地，还可以作为IPSec VPN的增强功能，提升IPSec VPN通信的安全性，避免VPN报文被截获后进行破解。

虽然已参照示例性实施例描述了本公开，但应理解，本公开不限于上述的示例性实施例。对于本领域技术人员显然的是，可以在不背离本公开的范围和精神的条件下修改上述的示例性实施例。所附的权利要求的范围应被赋予最宽的解释，以包含所有这样的修改以及等同的结构和功能。

Claims (9)

1.一种基于IPSec VPN的通信方法，其特征在于，包括：

在安全联盟建立过程中，通信发起方定义多个第一IPv6地址并利用所述多个第一IPv6地址形成IPv6地址列表；

将所述IPv6地址列表发送至通信接收方；

接收所述通信接收方反馈的IPv6地址列表，所述反馈的IPv6地址列表中增加了所述通信接收方根据所述多个第一IPv6地址生成的多个第二IPv6地址，利用所述多个第二IPv6地址与所述多个第一IPv6地址在所述反馈的IPv6地址列表中形成多个IPv6地址对；

利用所述反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；

动态选择所述反馈的IPv6地址列表中的任一个IPv6地址对进行通信。

2.根据权利要求1所述的基于IPSec VPN的通信方法，其特征在于，所述多个第一IPv6地址具有相同的地址前缀，不同的接口地址；所述多个第二IPv6地址具有相同的地址前缀，不同的接口地址。

3.根据权利要求1所述的基于IPSec VPN的通信方法，其特征在于，所述动态选择所述反馈的IPv6地址列表中的任一个IPv6地址对的方式包括按通信时间的不同进行选择、按发送报文的大小进行选择、按约定的随机码的不同进行选择、以及按通信双方所接收的和发送的累计字节数量进行选择。

4.根据权利要求1所述的基于IPSec VPN的通信方法，其特征在于，所述通信接收方根据所述多个第一IPv6地址的个数生成与所述多个第一IPv6地址个数相同的所述多个第二IPv6地址。

5.一种基于IPSec VPN的通信装置，其特征在于，包括：

IPv6地址列表形成单元，用于在安全联盟建立过程中定义多个第一IPv6地址并利用所述多个第一IPv6地址形成IPv6地址列表；

地址列表发送单元，用于将所述IPv6地址列表发送至通信接收方；

地址列表接收单元，用于接收所述通信接收方反馈的IPv6地址列表，所述反馈的IPv6地址列表中增加了所述通信接收方根据所述多个第一IPv6地址生成的多个第二IPv6地址，利用所述多个第二IPv6地址与所述多个第一IPv6地址在所述反馈的IPv6地址列表中形成多个IPv6地址对；

通信连接建立单元，用于利用所述反馈的IPv6地址列表中的多个IPv6地址对建立多个通信连接；

地址对选择单元，用于动态选择所述反馈的IPv6地址列表中的任一个IPv6地址对进行通信。

6.根据权利要求5所述的基于IPSec VPN的通信装置，其特征在于，所述多个第一IPv6地址具有相同的地址前缀，不同的接口地址；所述多个第二IPv6地址具有相同的地址前缀，不同的接口地址。

7.根据权利要求5所述的基于IPSec VPN的通信装置，其特征在于，所述地址对选择单元动态选择所述反馈的IPv6地址列表中的任一个IPv6地址对的方式包括按通信时间的不同进行选择、按发送报文的大小进行选择、按约定的随机码的不同进行选择、以及按通信双方所接收的和发送的累计字节数量进行选择。

8.根据权利要求5所述的基于IPSec VPN的通信装置，其特征在于，所述反馈的IPv6地址列表中的多个第一IPv6地址的个数与多个第二IPv6地址的个数相等。

9.一种基于IPSec VPN的通信系统，其特征在于，包括通信发起方设备和通信接收方设备，其中，所述通信发起方设备中包含权利要求5-8中任一项所述的基于IPSec VPN的通信装置。