CN105337954A - 卫星通信中ip报文的加密、解密方法及装置 - Google Patents

Abstract

本发明公开了一种卫星通信中IP报文的加密、解密方法及装置，其中，卫星通信中IP报文的加密方法包括：接收信源数据，其中，信源数据包括：数据部分和TCP/UDP包头部分；对数据部分承载的数据进行加密处理，得到密文数据部分；发送包括TCP/UDP包头部分和密文数据部分的IP报文，其中，所述TCP/UDP包头部分未进行所述加密处理。通过本发明，同时满足加密和QoS要求。

Description

卫星通信中IP报文的加密、解密方法及装置

技术领域

本发明涉及通信领域，具体而言，涉及一种卫星通信中IP报文的加密、解密方法及装置。

背景技术

传输控制协议(TransmissionControlProtocol，简称为TCP)被应用于卫星通信中，由于卫星通信与计算机网络通信存在一定差异，将TCP应用于卫星通信环境时，出现了新的问题，例如，卫星信道的高传输延时、较大的误码率以及带宽不对等。

目前，针对卫星通信中IP报文的如何进行加密处理的问题，目前尚未提出有效的解决方案。

发明内容

针对卫星通信中IP报文的加密的问题，本发明提供了一种卫星通信中IP报文的加密、解密方法及装置，以至少解决上述问题。

根据本发明的一个方面，提供了一种卫星通信中IP报文的加密方法，包括：接收信源数据，其中，所述信源数据包括：数据部分和TCP/UDP包头部分；对所述数据部分承载的数据进行加密处理，得到密文数据部分；发送所述包括所述TCP/UDP包头部分和所述密文数据部分的IP报文，其中，所述TCP/UDP包头部分未进行所述加密处理。

可选地，对所述数据部分承载的数据进行加密处理之前，还包括：判断所述数据部分承载的数据是否为IP层的信令数据；对所述数据部分承载的数据进行加密处理包括：当所述数据部分承载的数据不是所述IP层的信令数据时，对所述数据部分承载的数据进行加密处理；当所述数据部分承载的数据是所述IP层的信令数据时，不对所述数据部分承载的数据进行加密处理。

可选地，上述方法还包括：在所述IP报文中添加用于指示是否对所述数据部分承载的数据进行了所述加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式。

可选地，上述方法还包括：在所述IP报文中添加经传输密钥加密后的密钥，其中，所述密钥为所述数据部分所承载的数据解密的密钥。

根据本发明的另一个方面，提供了一种卫星通信中IP报文的解密方法，包括：接收信源数据，其中，所述信源数据包括数据部分和TCP/UDP包头部分，其中，所述TCP/UDP包头部分为透传方式的数据；对所述数据部分承载的数据进行解密处理。

可选地，所述信源数据携带有用于指示是否对所述数据部分承载的数据进行了加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式；对所述数据部分承载的数据进行解密处理之前，还包括：根据所述指示信息判断是否对所述数据部分承载的数据进行解密处理；对所述数据部分承载的数据进行解密处理，包括：当所述指示信息指示为密传模式时，对所述数据部分承载的数据进行所述解密处理；当所述指示信息指示为透传模式时，不对所述数据部分承载的数据进行所述解密处理。

可选地，所述信源数据还携带有对所述数据部分承载的数据进行解密的密钥；对所述数据部分承载的数据进行解密处理，包括：根据所述密钥对所述数据部分承载的数据进行所述解密处理。

根据本发明的再一个方面，提供了一种卫星通信中IP报文的加密装置，包括：接收模块，用于接收信源数据，其中，所述信源数据包括：数据部分和TCP/UDP包头部分；加密模块，用于对所述数据部分承载的数据进行加密处理，得到密文数据部分；发送模块，用于发送所述包括所述TCP/UDP包头部分和所述密文数据部分的IP报文，其中，所述TCP/UDP包头部分未进行所述加密处理。

可选地，所述装置还包括：判断模块，与所述接收模块相连接，用于判断所述数据部分承载的数据是否为IP层的信令数据；所述加密模块，与所述判断模块相连接，用于在所述判断模块的判断结果为否时，对所述数据部分承载的数据进行加密处理；在所述判断结果为是时，不对所述数据部分承载的数据进行加密处理；第一添加模块，用于在所述IP报文中添加用于指示是否对所述数据部分承载的数据进行了所述加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式；第二添加模块，用于在所述IP报文中添加经传输密钥加密后的密钥，其中，所述密钥为所述数据部分所承载的数据解密的密钥。

根据本发明的再一个方面，提供了一种卫星通信中IP报文的解密装置，包括：接收模块，用于接收信源数据，其中，所述信源数据包括数据部分和TCP/UDP包头部分，其中，所述TCP/UDP包头部分为透传方式的数据；所述信源数据携带有用于指示是否对所述数据部分承载的数据进行了加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式；判断模块，与所述接收模块相连接，用于根据所述指示信息判断是否对所述数据部分承载的数据进行解密处理；解密模块，与所述判断模块相连接，用于在所述指示信息指示为密传模式时，对所述数据部分承载的数据进行所述解密处理；当所述指示信息指示为透传模式时，不对所述数据部分承载的数据进行所述解密处理。

通过本发明，对TCP/UDP报文的数据部分承载的速度进行加密，对TCP/UDP包头部分采用透传方式传输，在保证卫星通信安全性的同时还能够保证IP报文的处理速度，进而同时满足加密和QoS要求。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的卫星通信中IP报文的加密方法的流程图；

图2是根据本发明实施例的卫星通信中IP报文的解密方法的流程图；

图3是根据本发明实施例的卫星通信中IP报文的处理方法的流程图；

图4是根据本发明实施例的卫星通信中IP报文的加密装置的结构框图；

图5是根据本发明实施例的卫星通信中IP报文的解密装置的结构框图；

图6是星状网下小站A上传数据文件到主站的密传数据的流程图；以及

图7是网状网下小站A数据传输到小站B的密传数据的流程图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

IP协议应用到卫星通信中时，卫星通信对数据加密有一定要求，以达到安全通信的要求。为此，本发明实施例提供了一种卫星通信中IP报文的加密技术，包括加密和解密两个部分。由于卫星通信有较高的时延要求，为了提高TCP/UDP报文处理速度，本发明实施例中，对TCP/UDP报文的数据部分进行密传，对TCP/IP包头部分进行透传。

图1是根据本发明实施例的卫星通信中IP报文的加密方法的流程图，如图1所示，该方法包括步骤101至步骤103。

步骤101，接收信源数据，其中，信源数据包括：数据部分和TCP/UDP包头部分。

步骤102，对数据部分承载的数据进行加密处理，得到密文数据部分。

步骤103，发送包括TCP/UDP包头部分和密文数据部分的IP报文，其中，TCP/UDP包头部分未进行加密处理。

通过本发明实施例，对TCP/UDP报文的数据部分承载的速度进行加密，对TCP/UDP包头部分采用透传方式传输，在保证卫星通信安全性的同时还能够保证IP报文的处理速度，进而同时满足加密和QoS要求。

TCP/UDP报文的数据部分可以是数据也可以是信令。对数据的加密可以提高数据的安全性。但是对信令的加密将降低TCP/UDP报文的处理速度，从而提高了报文处理时延。

为此，在本发明实施例的一个可选实施方式中，在上述步骤102之前，还可以判断数据部分承载的数据是否为IP层的信令数据。上述步骤102可以包括：当数据部分承载的数据不是IP层的信令数据时，对数据部分承载的数据进行加密处理；当数据部分承载的数据是IP层的信令数据时，不对数据部分承载的数据进行加密处理。也就是说，相对于对数据部分承载的非信令数据的加密传输，在该可选实施方式中，对信令数据采取透传的方式。

通过上述可选实施方式，实现了对数据进行加密，对信令进行透传，从而保证数据的加密性，同时保证信令数据的处理时延。

在本发明实施例中，为了便于数据接收方进行解密，还可以在IP报文中添加用于指示是否对数据部分承载的数据进行了加密处理的指示信息，其中，当进行了加密处理时，指示信息指示为密传模式；当未进行加密处理时，指示信息指示为透传模式。

在本发明实施例的一个可选实施方式中，还可以在IP报文中添加经传输密钥加密后的密钥，其中，密钥为数据部分所承载的数据解密的密钥。

下面对本发明实施例的卫星通信中IP报文的解密方法进行描述。

图2是根据本发明实施例的卫星通信中IP报文的解密方法的流程图，如图2所示，该方法包括步骤201至步骤202。

步骤201，接收信源数据，其中，信源数据包括数据部分和TCP/UDP包头部分，其中，TCP/UDP包头部分为透传方式的数据。

步骤202，对数据部分承载的数据进行解密处理。

与上述加密方法对应，在本发明实施例的一个可选实施方式中，信源数据还可以携带用于指示是否对数据部分承载的数据进行了加密处理的指示信息，其中，当进行了所述加密处理时，指示信息指示为密传模式；当未进行所述加密处理时，指示信息指示为透传模式。

在上述步骤202之前，还可以根据指示信息判断是否对数据部分承载的数据进行解密处理；上述步骤202可以包括：当指示信息指示为密传模式时，对数据部分承载的数据进行解密处理；当指示信息指示为透传模式时，不对数据部分承载的数据进行解密处理。

可选地，信源数据还携带有对数据部分承载的数据进行解密的密钥，上述步骤202可以根据该密钥对数据部分承载的数据进行解密处理。在本发明实施例中，密钥为经过了加密处理，在解密之前可以先对加密的密钥进行解密处理。

上述的加密和解密方法可以是小站执行也可以是加密机等加密和解密设备执行。

本发明实施例的上述加密方法和解密方法可以应用与星状网和网状网。在网状网中，小站之间可以通过网络直接传输数据，例如，小站A通过网络向小站B发送数据，这里的网络是指必要的网络设备，例如路由设备。在星状网中，小站A将数据传输到主站，主站向主站B发送数据，从而实现小站A和小站B之间的数据传输。

在本发明实施例的一个实施方式中，在形状网中，小站A向小站B传输数据，可选地，小站A和主站之间采用第一传输密钥，小站B和主站之间采用第二传输密钥，此时可以由密钥管理中心进行传输密钥的转换处理，可选处理过程参见图3及以下描述。

图3是根据本发明实施例的卫星通信中IP报文的处理方法的流程图，如图3所示，该方法包括步骤301至步骤304。

步骤301，接收来自第一小站的信源数据，其中，该信源数据包括：数据部分和TCP/UDP包头部分，其中，TCP/UDP包头部分为透传方式的数据，该信源数据中携带有经过第一传输密钥加密后的密钥，该密钥为对数据部分承载的数据解密的密钥。

在本发明实施例中，第一小站或与第一小站对应的加密设备/装置可以采用如图1所示的加密方法，在此不再赘述。

步骤302，对所述第一传输密钥加密后的密钥进行解密处理，对上述数据部分承载的数据解密的密钥。

步骤303，按照第二传输密钥对上述解密得到的密钥进行加密。

步骤304，向主站发送包含第二传输密钥加密后的密钥的信源数据，其中，主站向第二小站转发该信源数据。

在本发明实施例中，第二小站或与第二小站对应的解密设备/装置可以采用如图2所示的解密方法，在此不再赘述。

与上述加密方法对应，在本发明实施例的一个可选实施方式中，信源数据还可以携带用于指示是否对数据部分承载的数据进行了加密的指示信息，其中，当进行了加密时，指示信息指示为密传模式；当未进行加密时，指示信息指示为透传模式。在上述步骤302之前，还可以根据上述指示信息判断是否对数据部分承载的数据进行解密。当指示信息指示为密传模式时，执行上述步骤302；当指示信息指示为透传模式时，直接向第二小站发送接收到的信源数据。

在本发明实施例中，第一传输密钥与第二传输密钥不同。

图4是根据本发明实施例的卫星通信中IP报文的加密装置的结构框图，如图4所示，该装置包括：接收模块410，用于接收信源数据，其中，信源数据包括：数据部分和TCP/UDP包头部分；加密模块420，用于对数据部分承载的数据进行加密处理，得到密文数据部分；发送模块430，用于发送包括TCP或UDP包头部分和密文数据部分的IP报文，其中，TCP/UDP包头部分未进行加密处理。

在本发明实施例的一个可选实施方式中，上述装置还可以包括：判断模块440，与接收模块410相连接，用于判断数据部分承载的数据是否为IP层的信令数据；加密模块420，与判断模块440相连接，用于在判断模块440的判断结果为否时，对数据部分承载的数据进行加密处理；在判断结果为是时，不对数据部分承载的数据进行加密处理。

可选地，上述装置还可以包括：第一添加模块450，用于在IP报文中添加用于指示是否对数据部分承载的数据进行了加密处理的指示信息，其中，当进行了加密处理时，指示信息指示为密传模式；当未进行加密处理时，指示信息指示为透传模式。

可选地，上述装置还包括：第二添加模块460，用于在IP报文中添加经传输密钥加密后的密钥，其中，密钥为数据部分所承载的数据解密的密钥。

图5是根据本发明实施例的卫星通信中IP报文的解密装置的结构框图，如图5所示，该装置可以包括：接收模块510，用于接收信源数据，其中，信源数据包括数据部分和TCP/UDP包头部分，其中，TCP/UDP包头部分为透传方式的数据；解密模块520，用于对数据部分承载的数据进行解密处理。

与上述方法对应，信源数据可以携带用于指示是否对数据部分承载的数据进行了加密处理的指示信息，其中，当进行了加密处理时，指示信息指示为密传模式；当未进行加密处理时，指示信息指示为透传模式。

在本发明实施例的一个可选实施方式中，上述装置还可以包括：判断模块530，与接收模块510相连接，用于根据上述指示信息判断是否对数据部分承载的数据进行解密处理；解密模块520，与判断模块530相连接，用于在指示信息指示为密传模式时，对数据部分承载的数据进行解密处理；当指示信息指示为透传模式时，不对数据部分承载的数据进行解密处理。

可选地，信源数据还携带有对数据部分承载的数据进行解密处理的密钥；解密模块520，用于根据该密钥对数据部分承载的数据进行解密处理。

下面对本发明实施例的可选实施方式进行描述。

在该可选实施例中，基于卫星通信系统的星状网和网状网拓扑结构分别设计IP数据通信流程和数据格式，其中采用的密码算法是国际标准的AES算法。

一、密传和透传模式下的IP加密数据格式设计

密传：信源数据进入密码机后，对TCP数据包和UDP数据包的数据部分进行加密处理，包头不进行加密处理，以密文形式传输到信宿，需要进行相应解密处理的工作模式。

透传：信源数据进入密码机后，对TCP数据包和UDP数据包的数据内容和包头都不进行加密处理，以透明的形式传输到信宿，不需要进行解密处理的工作模式。

使用配置文件的方式对密码机使用透传模式还是密传模式进行手工选择。如密码机被配置使用密传模式，信源数据经过信源加解密机处理后的数据结构如下：

表1

其中，数据格式中8bits标志位标明该数据是密传模式，SK是加密数据的密钥，256bits是经传输密钥加密后的SK，传输密钥是通信双方根据ECDH计算出的，Ciphertext是加密的密文部分。

如果密码机被配置使用透传模式，信源数据经过信源加解密机处理后的数据结构如下：

表2

信宿密码机接到网关传来的数据后，判读数据格式中8Bits标志位，从而决定对传来数据进行解密处理或者透传的后处理。信宿密码机对密传数据或透传数据处理后的数据结构，与进入信源密码机前的数据结构与内容完全一致，是标准的IP数据包的格式：

表3

IP header

TCP header

Plaintext

二、星状网密钥协商与加密数据流程设计

密钥协商过程

1，星状网小站A的星状网加解密机开机；

2，计算小站A的Diffie-Hellman参数；

3，星状网小站A的加解密机将其Diffie-Hellman参数及星状网身份信息发送给VSATHUB；

4，VSATHUB从DVB数据中获取星状网小站A的Diffie-Hellman参数及其星状网身份信息；

5，VSATHUB将星状网小站A的Diffie-Hellman参数及其星状网身份信息转发给KMC；

6，KMC接收到星状网小站A的Diffie-Hellman参数及其星状网身份信息，并依据其计算KMC与星状网小站A的传输密钥；

7，KMC将自身的Diffie-Hellman参数发送给VSATHUB；

8，VSATHUB使用DVB将KMC的Diffie-Hellman参数进行打包；

9，VSATHUB将KMC的Diffie-Hellman参数发送给星状网小站A；

10，星状网小站A计算其与KMC的传输密钥，完成星状网密钥协商过程。

加密数据流程

以小站A的PC上传数据文件到主站为例，介绍星状网情况下的加密数据流程设计，下图中密钥管理中心(KMC)仅示出了加密流程涉及到的密码设备和密钥管理设备。

图6是星状网下小站A上传数据文件到主站的密传数据的流程图，如图6所示，包括以下过程：

1，小站A应用PC输出的标准TCP格式数据(如表4所示)。

表4

IP header

TCP header

Plaintext

上述报文中，IPheader的源地址为PC，目标地址为FTP服务器。

2，小站A密码机进行加密，加密后的数据如表5所示。

表5

上述报文中，IPheader的源地址为PC，目标地址为FTP服务器。

3，小站Amoderm进行处理，处理后的数据如表6所示。

表6

上述报文中，IPheader的源地址为PC，目标地址为FTP服务器。

4，主站DPS处理后，数据被强制转发至边界路由器，数据格式如表7所示。

表7

上述报文中，IPheader的源地址为PC，目标地址为FTP服务器。

5，在边界路由器和密钥管理设备之间定义一个GRE隧道，数据会被处理为以下格式转发：

表8

上述报文中，最左侧的IPheader的源地址为边界路由器地址，目标地址为密钥管理设备的地址。

6，密钥管理设备收到该数据后，通过判读8bits标志位，判断为密传数据，将数据包拆成3个部分：IP头、加密头以及数据负载部分，从IP头中解出该IP包的源地址(小站A的PC机)和目的地址(FTPSever)后，从数据库中找出其对应的传输密钥，将加密头和小站A与中心计算出的传输密钥发送至解密设备解密模块，数据格式如下：

表9

上述报文中，最左侧IPheader的源地址为密钥管理设备的地址，目标地址为解密设备的地址。

7，解密设备解密模块利用A-中心的传输密钥解出当前加密头中的会话密钥，再将明文的会话密钥发送回密钥管理设备，数据格式如下：

表10

上述报文中，最左侧IPheader的源地址为解密设备的地址，目标地址为密钥管理设备的地址。

8，密钥管理设备将明文的会话密钥以及目的FTP服务器的传输密钥发送至加密设备加密模块，发送至加密模块的数据格式如下：

表11

上述报文中，最左侧IPheader的源地址为密钥管理设备的地址，目标地址为加密设备的地址。

9，加密模块用FTPSever与中心的传输密钥对会话密钥进行加密，发送回密钥管理设备，发送回密钥管理设备的报文格式如下：

表12

上述报文中，最左侧IPheader的源地址为加密设备的地址，目标地址为密钥管理设备的地址。

10，密钥管理设备将整合新的加密头的密文数据，打上新的IP包头，源地址是密钥管理中心(KMC)密钥管理设备，目的地址是边界路由器，发送出去的数据格式：

表13

上述报文中，最左侧IPheader的源地址为密钥管理设备的地址，目标地址为边界路由器的地址。

11，边界路由器会将数据送出的数据格式如下：

表14

12，主站密码机收到密文数据后，将数据解密发送至FTPServer，数据格式：

表15

IP header

TCP header

Plaintext

三、网状网密钥协商与加密数据流程设计

密钥协商流程

1，网状网小站A的星网结合加解密机开机；

2，计算小站A的网状网Diffie-Hellman参数；

3，网状网小站A的加解密机将其网状网Diffie-Hellman参数及其网状网身份信息发送给VSATHUB；

4，VSATHUB从DVB数据中获取网状网小站A的网状网Diffie-Hellman参数及其网状网身份信息；

5，VSATHUB将网状网小站A的网状网Diffie-Hellman参数及其网状网身份信息转发给KMC；

6，KMC接收到网状网小站A的Diffie-Hellman参数，将其加入自身存储的所有的网状网小站的网状网Diffie-Hellman参数表；

7，KMC将自身存储的包含所有的网状网小站的网状网；Diffie-Hellman参数表发送给VSATHUB；

8，VSATHUB使用DVB将网状网Diffie-Hellman参数表进行打包；

9，VSATHUB将网状网Diffie-Hellman参数表对所有的网状网小站进行广播；

10，网状网小站A用接收到Diffie-Hellman参数表计算出其与所有网状网小站的传输密钥表，同时其他网状网小站对自身存储的传输密钥表进行更新，完成网状网密钥协商过程。

加密数据流程

小站A的PC与小站B的PC进行数据交互为例，介绍网状网情况下的加密数据流程设计，由于网状网的两小站可直接进行通信，因此下图中未画出密钥管理中心(KMC)：

图7是网状网下小站A数据传输到小站B的密传数据的流程图，如图7所示，包括以下过程：

1，小站A的PC输出的标准TCP格式数据：

表16

IP header

TCP header

Plaintext

2，小站A的加解密机加密后的数据：

表17

3，小站Amoderm处理后的数据：

表18

4，小站Bmoderm处理后的数据：

表19

5，小站B加解密机通过判读8bits标志位，判断为透传数据利用源地址的传输密钥解出当前加密头中的会话密钥，使用会话密钥对数据进行解密，数据格式如下：

表20

IP header

TCP header

Plaintext

从以上的描述中，可以看出，本发明实现了如下技术效果：

第一，设计了星状网和网状网拓扑下的密钥协商和数据加密流程，可应用于VSAT卫星通信系统；

第二，该密码方案对IP数据包的负载数据部分加密，对IP和TCP头透传处理，包头的Qos优先级字节可直接透传，不影响Qos技术；

第三，IP加密数据格式规定了数据的密传和透传模式，对不需加密的业务数据可采用透传模式；

第四，IP密码机对IP层的信令数据，如三次握手，TCP加速的ACK信息不进行任何处理，直接传输，不影响TCP加速，对这些数据的透明处理，可保证密码机对业务数据的加解密处理速度。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种卫星通信中IP报文的加密方法，其特征在于，包括：

接收信源数据，其中，所述信源数据包括：数据部分和TCP/UDP包头部分；

对所述数据部分承载的数据进行加密处理，得到密文数据部分；

发送所述包括所述TCP/UDP包头部分和所述密文数据部分的IP报文，其中，所述TCP/UDP包头部分未进行所述加密处理。

2.根据权利要求1所述的方法，其特征在于，

对所述数据部分承载的数据进行加密处理之前，还包括：判断所述数据部分承载的数据是否为IP层的信令数据；

对所述数据部分承载的数据进行加密处理包括：当所述数据部分承载的数据不是所述IP层的信令数据时，对所述数据部分承载的数据进行加密处理；当所述数据部分承载的数据是所述IP层的信令数据时，不对所述数据部分承载的数据进行加密处理。

3.根据权利要求2所述的方法，其特征在于，还包括：

在所述IP报文中添加用于指示是否对所述数据部分承载的数据进行了所述加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式。

4.根据权利要求1至3中任一项所述的方法，其特征在于，还包括：

在所述IP报文中添加经传输密钥加密后的密钥，其中，所述密钥为所述数据部分所承载的数据解密的密钥。

5.一种卫星通信中IP报文的解密方法，其特征在于，包括：

接收信源数据，其中，所述信源数据包括数据部分和TCP/UDP包头部分，其中，所述TCP/UDP包头部分为透传方式的数据；

对所述数据部分承载的数据进行解密处理。

6.根据权利要求5所述的方法，其特征在于，所述信源数据携带有用于指示是否对所述数据部分承载的数据进行了加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式；

对所述数据部分承载的数据进行解密处理之前，还包括：根据所述指示信息判断是否对所述数据部分承载的数据进行解密处理；

对所述数据部分承载的数据进行解密处理，包括：当所述指示信息指示为密传模式时，对所述数据部分承载的数据进行所述解密处理；当所述指示信息指示为透传模式时，不对所述数据部分承载的数据进行所述解密处理。

7.根据权利要求6所述的方法，其特征在于，所述信源数据还携带有对所述数据部分承载的数据进行解密的密钥；对所述数据部分承载的数据进行解密处理，包括：

根据所述密钥对所述数据部分承载的数据进行所述解密处理。

8.一种卫星通信中IP报文的加密装置，其特征在于，包括：

接收模块，用于接收信源数据，其中，所述信源数据包括：数据部分和TCP/UDP包头部分；

加密模块，用于对所述数据部分承载的数据进行加密处理，得到密文数据部分；

发送模块，用于发送所述包括所述TCP/UDP包头部分和所述密文数据部分的IP报文，其中，所述TCP/UDP包头部分未进行所述加密处理。

9.根据权利要求8所述的装置，其特征在于，

所述装置还包括：判断模块，与所述接收模块相连接，用于判断所述数据部分承载的数据是否为IP层的信令数据；

所述加密模块，与所述判断模块相连接，用于在所述判断模块的判断结果为否时，对所述数据部分承载的数据进行加密处理；在所述判断结果为是时，不对所述数据部分承载的数据进行加密处理；

第一添加模块，用于在所述IP报文中添加用于指示是否对所述数据部分承载的数据进行了所述加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式；

第二添加模块，用于在所述IP报文中添加经传输密钥加密后的密钥，其中，所述密钥为所述数据部分所承载的数据解密的密钥。

10.一种卫星通信中IP报文的解密装置，其特征在于，包括：

接收模块，用于接收信源数据，其中，所述信源数据包括数据部分和TCP/UDP包头部分，其中，所述TCP/UDP包头部分为透传方式的数据；所述信源数据携带有用于指示是否对所述数据部分承载的数据进行了加密处理的指示信息，其中，当进行了所述加密处理时，所述指示信息指示为密传模式；当未进行所述加密处理时，所述指示信息指示为透传模式；

判断模块，与所述接收模块相连接，用于根据所述指示信息判断是否对所述数据部分承载的数据进行解密处理；

解密模块，与所述判断模块相连接，用于在所述指示信息指示为密传模式时，对所述数据部分承载的数据进行所述解密处理；当所述指示信息指示为透传模式时，不对所述数据部分承载的数据进行所述解密处理。