CN107547564A - 一种报文处理的方法及装置 - Google Patents

Abstract

本申请实施例提供了一种报文处理的方法和装置，属于通信技术领域。所述方法应用于第一传输设备，所述方法包括：接收待传输的业务报文，所述业务报文包括应用层信息；当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；向第二传输设备发送加密后的业务报文。采用本申请实施例提供的一种报文处理的方法和装置，可以实现传输设备对应用层报文的细粒度识别，从而只对特定的部分应用层报文进行加密保护，避免了传输设备的资源浪费。

Description

一种报文处理的方法及装置

技术领域

本申请涉及通信技术领域，特别是涉及一种报文处理的方法及装置。

背景技术

随着信息技术的快速发展，网络应用正在从传统、小型业务系统逐渐向大型、关键业务系统扩展。网络所承载的数据应用也日益增加，呈现复杂化、多元化趋势。为了提高数据传输的安全性，人们在通信网络中设置了具有安全防护功能的传输设备，即防火墙设备。防火墙设备除了可以识别恶意报文以外，还可以对需要传输的重要业务报文进行加密处理。

防火墙设备中配置有访问控制列表(英文：Access Control List，简称：ACL)和加密策略。ACL中包含有对业务报文的识别规则，识别规则通常由五元组信息构成，即源地址、目的地址、源端口号、目的端口号和协议。防火墙设备接收到业务报文后，获取业务报文的五元组信息。如果该业务报文的五元组信息与ACL中的五元组信息相匹配，则基于配置的加密策略对该业务报文进行加密，然后将加密后的业务报文再发送给其他传输设备。

例如，ACL的识别规则定义为：源地址范围为10.10.10.0/24，目的地址范围为30.30.30.0/24，如果业务报文的源地址在10.10.10.0/24范围内且目的地址在30.30.30.0/24范围内，则对该业务报文进行加密，否则，不对该报文加密。

基于现有技术的方案，防火墙设备也可对传输层之上的应用层报文进行保护。防火墙设备对应用层报文进行保护时，是对全部的应用层报文均进行了保护，也即是，对于不涉及保护的应用层报文也都进行了加密保护，这造成了防火墙设备资源的大量浪费。

发明内容

本申请实施例的目的在于提供一种报文处理的方法和装置，以实现细粒度的应用层报文识别，从而只对特定的部分应用层报文进行加密保护，避免了传输设备的资源浪费。具体技术方案如下：

第一方面，本申请实施例提供了一种报文处理的方法，所述方法应用于第一传输设备，所述方法包括：

接收待传输的业务报文，所述业务报文包括应用层信息；

当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；

向第二传输设备发送加密后的业务报文。

可选的，所述基于预设的加密策略，对所述业务报文进行加密处理，包括：

根据所述第一传输设备的ACL中与所述应用层信息相匹配的识别信息，确定对应的加密策略；

基于确定出的加密策略，对所述业务报文进行加密处理。

可选的，所述方法还包括：

向所述第二传输设备发送协商请求，所述协商请求中携带有所述ACL包含的识别信息；

接收所述第二传输设备发送的协商响应消息，所述协商响应消息中携带有所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息；

生成所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息对应的加密策略。

可选的，所述方法还包括：

接收第三传输设备发送的协商请求；

如果所述协商请求中携带有所述第三传输设备的ACL中的识别信息，且所述第一传输设备的ACL中存在所述识别信息，则向所述第三传输设备发送协商响应消息，所述协商响应消息中携带有所述第三传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息。

可选的，所述当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理之前，还包括：

在预设的特征库中，确定与所述应用层信息相匹配的特征项；

如果所述特征项对应的安全检测结果为通过，则判断所述第一传输设备的ACL包含的识别信息中，是否存在与所述应用层信息相匹配的识别信息。

第二方面，本申请实施例提供了一种报文处理的装置，所述装置应用于第一传输设备，所述装置包括：

第一接收模块，用于接收待传输的业务报文，所述业务报文包括应用层信息；

加密模块，用于当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；

第一发送模块，用于向第二传输设备发送加密后的业务报文。

可选的，所述加密模块，具体用于：

根据所述第一传输设备的ACL中与所述应用层信息相匹配的识别信息，确定对应的加密策略；

基于确定出的加密策略，对所述业务报文进行加密处理。

可选的，所述装置还包括：

第二发送模块，用于向所述第二传输设备发送协商请求，所述协商请求中携带有所述ACL包含的识别信息；

第二接收模块，用于接收所述第二传输设备发送的协商响应消息，所述协商响应消息中携带有所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息；

生成模块，用于生成所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息对应的加密策略。

可选的，所述装置还包括：

第三接收模块，用于接收第三传输设备发送的协商请求；

第三发送模块，用于如果所述协商请求中携带有所述第三传输设备的ACL中的识别信息，且所述第一传输设备的ACL中存在所述识别信息，则向所述第三传输设备发送协商响应消息，所述协商响应消息中携带有所述第三传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息。

可选的，所述装置还包括：

匹配模块，用于在预设的特征库中，确定与所述应用层信息相匹配的特征项；

判断模块，用于如果所述特征项对应的安全检测结果为通过，则判断所述第一传输设备的ACL包含的识别信息中，是否存在与所述应用层信息相匹配的识别信息。

本申请实施例提供的报文处理的方法和装置，第一传输设备接收待传输的业务报文，该业务报文包括应用层信息。当第一传输设备的ACL包含的识别信息中，存在与应用层信息相匹配的识别信息时，基于预设的加密策略，第一传输设备对业务报文进行加密处理，向第二传输设备发送加密后的业务报文。基于本方案，第一传输设备可对应用层的业务报文进行识别，对需要进行加密传输的应用层报文进行加密处理后传输，也即，实现传输设备对应用层报文的细粒度识别，只对特定的部分应用层报文进行加密保护，避免了传输设备的资源浪费。

当然，实施本申请的任一产品或方法必不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对本申请实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种报文处理系统框架示意图；

图2为本申请实施例提供的一种报文处理的方法流程图；

图3为本申请实施例提供的一种传输设备的协商方法流程图；

图4为本申请实施例提供的一种报文处理的装置结构示意图；

图5为本申请实施例提供的一种报文处理的装置结构示意图；

图6为本申请实施例提供的一种报文处理的装置结构示意图；

图7为本申请实施例提供的一种报文处理的装置结构示意图

图8为本申请实施例提供的一种传输设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例提供了一种报文处理的方法，该方法可以应用于通信网络中具有安全防护功能的传输设备，比如防火墙设备。如图1所示，为本申请实施例提供的一种报文处理系统框架示意图。上述系统包括：第一传输设备、第二传输设备、第一终端和第二终端；其中，第一终端与第一传输设备连接，第二终端与第二传输设备连接。

基于本申请实施例提供的报文处理的方法，第一传输设备接收待传输的业务报文，该业务报文包括应用层信息。当第一传输设备的ACL包含的识别信息中，存在与该业务报文中的应用层信息相匹配的识别信息时，第一传输设备会基于预设的加密策略，对业务报文进行加密处理，然后对加密后的业务报文进行转发。基于本申请，能够实现传输设备对应用层报文的细粒度识别，可以只对特定的应用层报文进行加密保护，避免了传输设备的资源浪费。

如图2所示，本申请实施例提供的报文处理的方法应用在第一传输设备，该第一传输设备可具体为防火墙设备、网关、路由器等网络设备。该方法的处理过程可以如下：

步骤201，接收待传输的业务报文。

其中，该业务报文包括应用层信息。

具体地，在实施中，传输设备(例如，第一传输设备与第二传输设备)之间可以建立通信隧道，比如互联网协议安全(英文：Internet Protocol Security，简称：IPsec)隧道。传输设备可以通过建立的通信隧道传输业务报文。当某用户设备需要传输业务报文时，该用户设备可以向与本设备连接的传输设备(例如，第一传输设备)发送待传输的业务报文，第一传输设备则可以接收到该业务报文。其中，用户设备可以为用户终端或服务器等。

第一传输设备接收到业务报文后，可以对该业务报文进行解析，获取该业务报文包括的应用层信息。其中，第一传输设备通常具有基于应用层信息的安全检测功能，如DPI检测功能，这样，第一传输设备接收到的业务报文后，可以通过DPI检测功能，识别出业务报文包括应用层信息。第一传输设备获取业务报文包括的应用层信息。

在本申请实施例中，第一传输设备中可以预先存储ACL，该ACL中包含识别信息(可称为profile id)。识别信息可以是技术人员配置的用于判断出应用层信息所表征的具体应用的信息，识别信息具有唯一标识性。

例如，识别信息可以为客户端标识，比如QQ标识或迅雷标识等；识别信息还可以是预设的超文本传输协议(英文：Hyper Text Transfer Protocol，简称：HTTP)或统一资源定位器(英文：Uniform Resource Locator，简称：URL)；识别信息还可以是FTP(FileTransfer Protocol，文件传输协议)上传或者下载的文件的标识；识别信息还可以是关键字符。

传输设备之间可以通过协商来确定需要进行加密保护的应用，并确定与该应用对应的识别信息，具体的协商过程下文会进行详细说明。

另外，ACL中还可以包含现有的ACL中的部分或全部信息，比如五元组信息等，本申请实施例不做限定。

第一传输设备可以根据接收到的业务报文的应用层信息，在ACL中进行匹配查找，判断ACL中是否存在匹配的识别信息，如果存在，则第一传输设备执行步骤202，如果不存在，则第一传输设备判定该应用层信息与ACL中的识别信息不匹配。

例如，识别信息是：客户端标识为“迅雷”，第一传输设备可以获取应用层信息中的客户端标识，如果获取到的客户端标识为“微博”，则第一传输设备判定该应用层信息与该识别信息不匹配；如果获取到的客户端标识为“迅雷”，则第一传输设备判定该应用层信息与该识别信息匹配。对于ACL中还包含现有ACL中的信息(即传输层以下的匹配规则)的情况，第一传输设备需要根据该匹配规则和识别信息，分别进行匹配检测，如果业务报文满足该匹配规则，且与识别信息相匹配，则第一传输设备判定该应用层信息需要进行加密。

步骤202，当第一传输设备的访问控制列表ACL包含的识别信息中，存在与应用层信息相匹配的识别信息时，基于预设的加密策略，对业务报文进行加密处理。

具体地，在实施中，第一传输设备可以根据接收到的业务报文的应用层信息，在ACL中进行匹配查找，进而判断ACL包含的识别信息中，是否存在与该应用层信息相匹配的识别信息。

如果ACL包含的识别信息中存在与应用层信息相匹配的识别信息，则第一传输设备基于预设的加密策略，对业务报文进行加密处理；如果ACL包含的识别信息中不存在与应用层信息相匹配的识别信息，则第一传输设备可以对该业务报文进行转发处理，无需进行加密。

例如，识别信息是：客户端标识为“迅雷”，第一传输设备可以获取应用层信息中的客户端标识，如果获取到的客户端标识为“迅雷”，则第一传输设备对该业务报文进行加密。

需要说明的是，对于不同识别信息对应的业务报文，可以采用相同的加密策略进行加密，或者，也可以针对不同的识别信息设置不同的加密策略。

相应的处理过程可以如下：根据第一传输设备的ACL中与应用层数据相匹配的识别信息，第一传输设备确定对应的加密策略；基于确定出的加密策略，第一传输设备对业务报文进行加密处理。

在实施中，加密策略也可称为安全联盟(英文：Security Association，简称：SA)，加密策略可以包括密钥和加密算法等。第一传输设备中可以预先存储多种加密策略，以及识别信息和加密策略的对应关系。第一传输设备确定与应用层数据相匹配的识别信息后，可以从该对应关系中，获取该识别信息对应的加密策略，进而根据确定出的加密策略，对业务报文进行加密处理。

对于ACL中还可以包含现有的ACL中的部分或全部信息的情况，该对应关系可以扩大为保护范围和加密策略的对应关系，该保护范围可以包括识别信息、五元组信息等，本申请实施例不做限定。

步骤203，向第二传输设备发送加密后的业务报文。

在实施中，第一传输设备对业务报文进行加密处理后，根据该业务报文的目的地址，确定该业务报文的接收端设备，进而确定与该接收端设备连接的传输设备(即第二传输设备)。然后，第一传输设备通过与第二传输设备间的IPsec隧道，将加密后的业务报文发送给该第二传输设备，以使第二传输设备将该业务报文转发给接收端设备。

基于本申请实施例提供的报文处理的方法，第一传输设备可对应用层的业务报文进行识别，实现了传输设备对应用层报文的细粒度识别，可只对特定的部分应用层报文进行加密保护，避免了传输设备的资源浪费。

可选的，在步骤202之前，还可以包括第一传输设备对业务报文进行安全检测的步骤，从而过滤掉危险报文，避免传输设备对危险报文进行应用层信息识别，进一步避免传输设备的资源浪费。具体的处理过程可以为：

具体地，第一传输设备可以在预设的特征库中，确定与应用层数据相匹配的特征项，如果特征项对应的安全检测结果为通过，则第一传输设备判断第一传输设备的ACL包含的识别信息中，是否存在与应用层信息相匹配的识别信息。

在实施中，第一传输设备可以基于应用层信息对业务报文进行安全检测，以DPI检测为例，在进行DPI检测时，第一传输设备需要先对该业务报文进行解析，获取该业务报文的应用层信息，然后在预设的特征库中，第一传输设备确定与应用层信息相匹配的特征项。如果匹配出的特征项表示该业务报文为安全报文，则业务报文的安全检测结果为通过。第一传输设备判断第一传输设备的ACL包含的识别信息中，是否存在与应用层信息相匹配的识别信息，以便对该报文进行传输；如果匹配出的特征项表示该业务报文为危险报文，则业务报文的安全检测结果为未通过，第一传输设备可以丢弃该业务报文，以避免恶意报文对用户设备或其他传输设备进行攻击。

本申请实施例还提供了一种传输设备的协商方法，该协商方法用于传输设备确定识别信息对应的加密策略，以第一传输设备向第二传输设备发起协商为例，如图3所示，该协商方法的处理过程包括以下步骤：

步骤301，第一传输设备向第二传输设备发送协商请求，协商请求中携带有第一传输设备的ACL中包含的识别信息。

在实施中，技术人员在第一传输设备中配置ACL后，或者，第一传输设备接收到协商指令后，可以向第二传输设备发送协商请求。该协商请求中可以携带有本地(即第一传输设备)的ACL所包含的识别信息。该协商请求可以是单独的用于针对识别信息进行协商的请求报文，或者，该协商请求也可以通过对现有的协商报文进行扩展得到。

例如，现有技术的互联网密钥交换(英文：Internet Key Exchange，简称：IKE)协商报文中可以扩展出厂商标识(英文：Vendor identification，简称：Vendor ID)载荷，该Vendor ID载荷是厂商ID载荷，用来区分不同厂商，是一个拓展的字段。

本申请实施例中，可以利用Vendor ID载荷来传输本地的ACL所包含的识别信息。以识别信息为A为例，其Vendor ID的描述信息可以为“profile-id-request-A”。

需要说明的是，针对ACL中的各识别信息，可以通过不同的协商请求进行协商，或者，也可以携带在一个协商请求中进行协商。本申请实施例中，以利用Vendor ID载荷来传输第一传输设备中ACL包括的全部识别信息为例进行说明，其他情况与之类似，不再赘述。

步骤302，第二传输设备接收第一传输设备发送的协商请求。

步骤303，第二传输设备向第一传输设备发送协商响应消息。

在实施中，第二传输设备接收到第一传输设备发送的协商请求后，可以对该协商请求进行解析，判断该协商请求中是否携带有识别信息。

对于利用Vendor ID载荷来传输识别信息的情况，如果第二传输设备支持识别信息类型的Vendor ID载荷，则第二传输设备可以获取Vendor ID载荷中的数据，从而判断该Vendor ID载荷中是否存在第一传输设备的ACL中的识别信息。如果存在，则第二传输设备获取该识别信息；如果不存在，则向第一传输设备回复协商响应消息，该协商响应消息中不携带识别信息。

针对第二传输设备获取到的任一识别信息，第二传输设备可以进一步判断本地的ACL中的识别信息中，是否存在该识别信息，如果存在，则该识别信息可记录为协商成功的识别信息，否则，该识别信息记录为协商失败的识别信息。针对协商成功的识别信息，第二传输设备可以向第一传输设备发送协商响应消息，该协商响应消息中可以携带协商成功的识别信息(即第二传输设备的ACL和第一传输设备的ACL中共同包含的识别信息)。

该协商响应消息可以是单独的请求报文，或者，该协商响应消息也可以通过对现有的协商响应报文进行扩展得到。例如，现有技术的IKE协商报文中可以扩展出Vendor ID载荷。本发明实施例中，可以在利用Vendor ID载荷来传输协商成功的识别信息，以识别信息为A为例，其Vendor ID的描述信息为“profile-id-respond-A”。需要说明的是，针对协商成功的各识别信息，可以通过不同的协商响应消息进行发送，或者，也可以携带在一个协商响应消息中进行发送。本申请实施例以利用Vendor ID载荷来传输协商成功的识别信息为例进行说明，其他情况与之类似，不再赘述。

如果第二传输设备不支持识别信息类型的Vendor ID载荷，则第二传输设备将不会获取Vendor ID载荷中的数据，该情况下，第二传输设备向第一传输设备发送的协商响应消息中将不会携带Vendor ID的描述信息。同样，如果第一传输设备发送的协商请求中未携带Vendor ID的描述信息，则第二传输设备也无法与第一传输设备协商出识别信息对应的加密策略。

步骤304，第一传输设备接收第二传输设备发送的协商响应消息。

其中，协商响应消息中可以携带有第二传输设备的ACL和第一传输设备的ACL中共同包含的识别信息。

在实施中，第一传输设备可以接收第二传输设备发送的协商响应消息，如果该协商响应消息中，携带Vendor ID的描述信息，则第一传输设备认为第二传输设备接受协商或者与本设备属于同一租户内，第一传输设备获取该协商响应消息中携带的识别信息，以便后续生成加密策略。

例如，协商响应消息中携带“profile-id-respond-A”，则说明第二传输设备的ACL中也存在识别信息A。

步骤305，第一传输设备生成第二传输设备的ACL和第一传输设备的ACL中共同包含的识别信息对应的加密策略。

在实施中，第一传输设备获取到该识别信息后，可以生成该识别信息对应的加密策略，并可以建立该识别信息和生成的加密策略的对应关系。如果第一传输设备接收到的协商响应消息中，未携带Vendor ID的描述信息，则第一传输设备认为第二传输设备不接受协商或者不属于同一租户内，第一传输设备不需要生成该识别信息对应的加密策略，此时，第一传输设备可采用现有技术生成加密策略，例如，可以生成某五元组信息对应的加密策略。

需要说明的是，协商成功的识别信息，通常为第一请求设备的ACL中的识别信息的子集，此时，该ACL中还包括除协商成功以外的识别信息，即为协商失败的识别信息，后续第一传输设备接收到与这些识别信息相匹配的业务报文时，可以对该业务报文进行丢弃，不进行传输。

另外，第一传输设备也可以作为协商请求的接收方，相应的，第一传输设备的处理过程可以如下：

第一传输设备接收第三传输设备发送的协商请求。如果协商请求中携带有第三传输设备的ACL中的识别信息，且第一传输设备的ACL中存在相同的识别信息，则第一传输设备向第三传输设备发送协商响应消息，协商响应消息中携带有第三传输设备的ACL和第一传输设备的ACL中共同包含的识别信息。

该步骤的具体处理过程可以参照与上述图3中第二传输设备的相关说明，不再赘述。

本申请实施例提供的报文处理的方法，第一传输设备接收待传输的业务报文，该业务报文包括应用层信息。当第一传输设备的ACL包含的识别信息中，存在与应用层信息相匹配的识别信息时，基于预设的加密策略，第一传输设备对业务报文进行加密处理，向第二传输设备发送加密后的业务报文。基于本方案，第一传输设备可对应用层的业务报文进行识别，对需要进行加密传输的应用层报文进行加密处理后传输，也即，可以实现传输设备对应用层报文的细粒度识别，只对特定的部分应用层报文进行加密保护，避免了传输设备的资源浪费。

相应地，基于相同的技术构思，本申请实施例还提供了一种报文处理的装置，如图4所示，所述装置包括：

第一接收模块410，用于接收待传输的业务报文，所述业务报文包括应用层信息；

加密模块420，用于当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；

第一发送模块430，用于向第二传输设备发送加密后的业务报文。

可选的，所述加密模块420，具体用于：

根据所述第一传输设备的ACL中与所述应用层数据相匹配的识别信息，确定对应的加密策略；

基于确定出的加密策略，对所述业务报文进行加密处理。

可选的，如图5所示，本申请实施例提供的一种报文处理的装置还包括：

第二发送模块440，用于向所述第二传输设备发送协商请求，所述协商请求中携带有所述ACL包含的识别信息；

第二接收模块450，用于接收所述第二传输设备发送的协商响应消息，所述协商响应消息中携带有所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息；

生成模块460，用于生成所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息对应的加密策略。

可选的，如图6所示，本申请实施例提供的一种报文处理的装置还包括：

第三接收模块470，用于接收第三传输设备发送的协商请求；

第三发送模块480，用于如果所述协商请求中携带有所述第三传输设备的ACL中的识别信息，且所述第一传输设备的ACL中存在所述识别信息，则向所述第三传输设备发送协商响应消息，所述协商响应消息中携带有所述第三传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息。

可选的，如图7所示，本申请实施例提供的一种报文处理的装置还包括：

匹配模块490，用于在预设的特征库中，确定与所述应用层数据相匹配的特征项；

判断模块4100，用于如果所述特征项对应的安全检测结果为通过，则判断所述第一传输设备的ACL包含的识别信息中，是否存在与所述应用层信息相匹配的识别信息。

本申请实施例提供的报文处理的装置，第一传输设备接收待传输的业务报文，该业务报文包括应用层信息。当第一传输设备的ACL包含的识别信息中，存在与应用层信息相匹配的识别信息时，基于预设的加密策略，第一传输设备对业务报文进行加密处理，向第二传输设备发送加密后的业务报文。基于本方案，第一传输设备可对应用层的业务报文进行识别，对需要进行加密传输的应用层报文进行加密处理后传输，也即，实现对传输设备应用层报文的细粒度识别，可以只对特定的应用层报文进行加密保护，避免了传输设备的资源浪费。

本申请实施例还提供了一种传输设备，如图8所示，包括处理器801、通信接口802、存储器803和通信总线804，其中，处理器801，通信接口802，存储器803通过通信总线804完成相互间的通信，

存储器803，用于存放计算机程序；

处理器801，用于执行存储器803上所存放的程序时，实现如下步骤：

接收待传输的业务报文，所述业务报文包括应用层信息；

当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；

向第二传输设备发送加密后的业务报文。

可选的，所述处理器801执行计算机程序包括的基于预设的加密策略，对所述业务报文进行加密处理指令具体为：

根据所述第一传输设备的ACL中与所述应用层信息相匹配的识别信息，确定对应的加密策略；

基于确定出的加密策略，对所述业务报文进行加密处理。

可选的，所述处理器801执行计算机程序还包括执行下述指令：

向所述第二传输设备发送协商请求，所述协商请求中携带有所述ACL包含的识别信息；

接收所述第二传输设备发送的协商响应消息，所述协商响应消息中携带有所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息；

生成所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息对应的加密策略。

可选的，所述处理器801执行计算机程序还包括执行下述指令：

接收第三传输设备发送的协商请求；

如果所述协商请求中携带有所述第三传输设备的ACL中的识别信息，且所述第一传输设备的ACL中存在所述识别信息，则向所述第三传输设备发送协商响应消息，所述协商响应消息中携带有所述第三传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息。

可选的，所述处理器801执行计算机程序包括的当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理指令之前，所述处理器执行计算机程序还包括执行下述指令：

在预设的特征库中，确定与所述应用层信息相匹配的特征项；

如果所述特征项对应的安全检测结果为通过，则判断所述第一传输设备的ACL包含的识别信息中，是否存在与所述应用层信息相匹配的识别信息。

上述传输设备提到的通信总线804可以是外设部件互连标准(英文：PeripheralComponent Interconnect，简称：PCI)总线或扩展工业标准结构(英文：Extended IndustryStandard Architecture，简称：EISA)总线等。该通信总线804可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口802用于上述传输设备与其他设备之间的通信。

存储器803可以包括随机存取存储器(英文：Random Access Memory，简称：RAM)，也可以包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器801可以是通用处理器，包括中央处理器(英文：CentralProcessing Unit，简称：CPU)、网络处理器(英文：Network Processor，简称：NP)等；还可以是数字信号处理器(英文：Digital Signal Processing，简称：DSP)、专用集成电路(英文：Application Specific Integrated Circuit，简称：ASIC)、现场可编程门阵列(英文：Field－Programmable Gate Array，简称：FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

本申请实施例提供的第一传输设备，可以接收待传输的业务报文，该业务报文包括应用层信息。当第一传输设备的ACL包含的识别信息中，存在与应用层信息相匹配的识别信息时，基于预设的加密策略，第一传输设备对业务报文进行加密处理，向第二传输设备发送加密后的业务报文。基于本方案，第一传输设备可对应用层的业务报文进行识别，对需要进行加密传输的应用层报文进行加密处理后传输，也即，实现传输设备对应用层报文的细粒度识别，可以只对特定的应用层报文进行加密保护，避免了传输设备的资源浪费。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。

Claims (10)

1.一种报文处理的方法，其特征在于，所述方法应用于第一传输设备，所述方法包括：

接收待传输的业务报文，所述业务报文包括应用层信息；

当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；

向第二传输设备发送加密后的业务报文。

2.根据权利要求1所述的方法，其特征在于，所述基于预设的加密策略，对所述业务报文进行加密处理，包括：

根据所述第一传输设备的ACL中与所述应用层信息相匹配的识别信息，确定对应的加密策略；

基于确定出的加密策略，对所述业务报文进行加密处理。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

向所述第二传输设备发送协商请求，所述协商请求中携带有所述ACL包含的识别信息；

接收所述第二传输设备发送的协商响应消息，所述协商响应消息中携带有所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息；

生成所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息对应的加密策略。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

接收第三传输设备发送的协商请求；

如果所述协商请求中携带有所述第三传输设备的ACL中的识别信息，且所述第一传输设备的ACL中存在所述识别信息，则向所述第三传输设备发送协商响应消息，所述协商响应消息中携带有所述第三传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息。

5.根据权利要求1所述的方法，其特征在于，所述当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理之前，还包括：

在预设的特征库中，确定与所述应用层信息相匹配的特征项；

如果所述特征项对应的安全检测结果为通过，则判断所述第一传输设备的ACL包含的识别信息中，是否存在与所述应用层信息相匹配的识别信息。

6.一种报文处理的装置，其特征在于，所述装置应用于第一传输设备，所述装置包括：

第一接收模块，用于接收待传输的业务报文，所述业务报文包括应用层信息；

加密模块，用于当所述第一传输设备的访问控制列表ACL包含的识别信息中，存在与所述应用层信息相匹配的识别信息时，基于预设的加密策略，对所述业务报文进行加密处理；

第一发送模块，用于向第二传输设备发送加密后的业务报文。

7.根据权利要求6所述的装置，其特征在于，所述加密模块，具体用于：

根据所述第一传输设备的ACL中与所述应用层信息相匹配的识别信息，确定对应的加密策略；

基于确定出的加密策略，对所述业务报文进行加密处理。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第二发送模块，用于向所述第二传输设备发送协商请求，所述协商请求中携带有所述ACL包含的识别信息；

第二接收模块，用于接收所述第二传输设备发送的协商响应消息，所述协商响应消息中携带有所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息；

生成模块，用于生成所述第二传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息对应的加密策略。

9.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第三接收模块，用于接收第三传输设备发送的协商请求；

第三发送模块，用于如果所述协商请求中携带有所述第三传输设备的ACL中的识别信息，且所述第一传输设备的ACL中存在所述识别信息，则向所述第三传输设备发送协商响应消息，所述协商响应消息中携带有所述第三传输设备的ACL和所述第一传输设备的ACL中共同包含的识别信息。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

匹配模块，用于在预设的特征库中，确定与所述应用层信息相匹配的特征项；

判断模块，用于如果所述特征项对应的安全检测结果为通过，则判断所述第一传输设备的ACL包含的识别信息中，是否存在与所述应用层信息相匹配的识别信息。