CN108243082B - 一种数据传输方法及设备 - Google Patents

Abstract

本发明实施例提供了一种数据传输方法及设备，应用于传输点和网关之间设置有移动边缘设备的网络，移动边缘设备获得第一隧道的密钥后(第一隧道为第一传输点与网关之间的隧道，第一隧道的密钥包括对第一隧道传输的报文进行加密和解密的参数)，执行以下操作：从与传输点之间的接口接收第一报文；根据第一报文中封装的第一隧道的信息，使用第一隧道对应的解密参数解密第一报文；确定是否转发解密后的第一报文给本地服务器处理，若是，将解密后的第一报文发送给本地服务器。可以看出，移动边缘设备对从与传输点之间的接口接收到的报文进行解密，解密后的报文进行数据分流决策，在确定报文由本地服务器处理时发送给本地服务器，实现了数据分流。

Description

一种数据传输方法及设备

技术领域

本发明涉及通信技术领域，尤其涉及一种数据传输方法及设备。

背景技术

传输点的安装位置和时间灵活，在很多场景下部署传输点可以很好的扩展覆盖范围和提升网络容量，因此在移动网络中设置传输点越来越普遍。

随着OTT(Over The Top，指通过互联网向用户提供各种应用服务)业务的大规模发展，移动通信网络逐步管道化，并成为移动互联网中生产价值较低的环节。为了提升移动互联网的增值价值，移动通信网络需要与移动互联网业务深度融合。另一方面移动数据流量的激增以及移动用户对业务体验要求的不断提升，使得移动运营商传统网络的承载能力遭受冲击。针对这些问题，一般引入移动边缘设备来解决。

现有的移动网络中的部署有大量的传输点，而网络中有些地方没有部署分组传送网络(Packet Transport Network，简称PTN)，这些网络中的传输点通过网络与网关相连。传输点与网关通过组网时，一般把移动边缘设备放置在传输点与网关之间。基于上述架构，如何利用移动边缘设备实现数据分流，是目前亟需解决的问题。

发明内容

本发明实施例提供一种数据传输方法及设备，用以实现数据分流。

本发明实施例提供的数据传输方法，应用于在传输点和网关之间设置有移动边缘设备的网络，所述方法包括：

移动边缘设备获得第一隧道的密钥后，执行以下操作，其中，所述第一隧道为第一传输点与网关之间的隧道，所述第一隧道的密钥包括用于对第一隧道传输的报文进行加密的加密参数和进行解密的解密参数；

从与传输点之间的接口接收第一报文，所述第一报文包括外层的封装信息以及内层的第一用户报文；

根据所述第一报文中封装的第一隧道的信息，使用所述第一隧道对应的解密参数解密所述第一报文；

确定是否转发解密后的第一报文给本地服务器处理，若是，则将解密后的第一报文发送给本地服务器。

可选地，若确定不转发给本地服务器处理，则还包括：

根据所述第一隧道的加密参数对解密后的第一报文进行加密；

对加密后的第一报文进行隧道封装，封装后的第一报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的第一报文。

可选地，根据所述解密参数解密所述第一报文之后，还包括：确定解密后的第一报文的类型；

确定是否转发解密后的第一报文给本地服务器处理，包括：若报文类型为通用分组无线服务隧道协议用户面GTPU报文，则确定是否转发解密后的GTPU报文给本地服务器处理；

若报文类型为流控制传输协议SCTP报文，则所述方法还包括：

根据所述加密参数对解密后的SCTP报文进行加密；

对加密后的SCTP报文进行隧道封装，封装后的SCTP报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的SCTP报文。

可选地，所述移动边缘设备维护有映射表，所述映射表中包括隧道信息以及网关侧的序列号；

所述移动边缘设备对加密后的第一报文进行隧道封装的过程中，根据所述第一隧道的隧道信息查询所述映射表，得到对应的网关侧的序列号，将获取到的序列号封装在第一报文中；

通过所述移动边缘设备与网关之间的接口发送封装后的第一报文之后，还包括：将所述映射表中与所述第一隧道的信息对应的网关侧的序列号进行递增。

可选地，还包括：

所述移动边缘设备从与本地服务器之间的接口接收第二报文，所述第二报文为第二用户报文；

根据所述第二报文的目的IP地址，确定对应的第二传输点以及第二隧道；

根据所述第二隧道的加密参数对所述第二报文进行加密；

对加密后的第二报文进行隧道封装，封装后的第二报文中携带有所述移动边缘设备维护的第二传输点侧的序列号，用于保证所述移动边缘设备通过与第二传输点之间的接口发送的报文的序列号连续；

通过与传输点之间的接口发送封装后的第二报文。

可选地，所述移动边缘设备维护有映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述移动边缘设备对加密后的第二报文进行隧道封装的过程中，根据所述第二隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第二报文中；

通过所述移动边缘设备与传输点侧之间的接口发送封装后的第二报文之后，还包括：将所述映射表中与所述第二隧道的识别信息对应的传输点侧的序列号进行递增。

可选地，还包括：

所述移动边缘设备从与网关之间的接口接收第三报文，所述第三报文包括外层的封装信息以及内层的第三用户报文；

根据所述第三报文的目的IP地址，确定对应的第三传输点以及第三隧道；

根据所述第三隧道的加密参数对所述第三报文进行加密；

对加密后的第三报文进行隧道封装，封装后的第三报文中携带有所述移动边缘设备维护的第三传输点侧的序列号，用于保证所述移动边缘设备通过与第三传输点之间的接口发送的报文的序列号连续；

通过与传输点之间的接口发送封装后的第三报文。

可选地，所述移动边缘设备维护有映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述移动边缘设备对加密后的第三报文进行隧道封装的过程中，根据所述第三隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第三报文中；

通过所述移动边缘设备与传输点侧之间的接口发送封装后的第三报文之后，还包括：将所述映射表中与所述第三隧道的识别信息对应的传输点侧的序列号进行递增。

本发明实施例提供的移动边缘设备，应用于在传输点和网关之间设置有移动边缘设备的网络，所述设备包括：

第一接口模块：用于从与传输点之间的接口接收第一报文；

业务处理模块：用于在获得第一隧道的密钥后，根据所述第一报文中封装的第一隧道的信息，使用所述第一隧道对应的解密参数解密所述第一报文；以及，用于确定是否转发解密后的第一报文给本地服务器处理；其中，所述第一隧道为第一传输点与网关之间的隧道，所述第一隧道的密钥包括用于对第一隧道传输的报文进行加密的加密参数和进行解密的解密参数；

第二接口模块：用于在所述业务处理模块确定将解密后的第一报文转发给本地服务器处理的情况下，将解密后的第一报文发送给本地服务器。

可选地，所述业务处理模块还用于：

若确定不转发给本地服务器处理，则执行以下步骤：

根据所述第一隧道的加密参数对解密后的第一报文进行加密；

对加密后的第一报文进行隧道封装，封装后的第一报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的第一报文。

可选地，所述业务处理模块还用于：

根据所述解密参数解密所述第一报文之后，确定解密后的第一报文的类型；

所述业务处理模块具体用于：若报文类型为通用分组无线服务隧道协议用户面GTPU报文，则确定是否转发解密后的GTPU报文给本地服务器处理；

所述业务处理模块还用于：若报文类型为流控制传输协议SCTP报文，则执行以下步骤：

根据所述加密参数对解密后的SCTP报文进行加密；

对加密后的SCTP报文进行隧道封装，封装后的SCTP报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的SCTP报文。

可选地，还包括：

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及网关侧的序列号；

所述业务处理模块具体用于：对加密后的第一报文进行隧道封装的过程中，根据所述第一隧道的隧道信息查询所述映射表，得到对应的网关侧的序列号，将获取到的序列号封装在第一报文中；

所述业务处理模块还用于：通过所述移动边缘设备与网关之间的接口发送封装后的第一报文之后，将所述映射表中与所述第一隧道的识别信息对应的网关侧的序列号进行递增。

可选地，第二接口模块还用于：接收从与本地服务器之间的接口接收第二报文；

所述业务处理模块还用于：根据所述第二报文的目的IP地址，确定对应的第二传输点以及第二隧道；根据所述第二隧道的加密参数对所述第二报文进行加密；以及，对加密后的第二报文进行隧道封装，封装后的第二报文中携带有所述移动边缘设备维护的第二传输点侧的序列号，用于保证所述移动边缘设备通过与第二传输点之间的接口发送的报文的序列号连续；

所述第一接口模块还用于：通过与传输点之间的接口发送封装后的第二报文。

可选地，还包括:

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述业务处理模块具体用于：对加密后的第二报文进行隧道封装的过程中，根据所述第二隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第二报文中；

所述业务处理模块还用于：通过所述移动边缘设备与传输点侧之间的接口发送封装后的第二报文之后，将所述映射表中与所述第二隧道的识别信息对应的传输点侧的序列号进行递增。

可选地，还包括：

第三接口模块：用于从与网关之间的接口接收第三报文；

所述业务处理模块还用于：根据所述第三报的目的IP地址，确定对应的第三传输点以及第三隧道；根据所述第三隧道的加密参数对所述第三报文进行加密；以及，对加密后的第三报文进行隧道封装，封装后的第三报文中携带有所述移动边缘设备维护的第三传输点侧的序列号，用于保证所述移动边缘设备通过与第三传输点之间的接口发送的报文的序列号连续；

所述第一接口模块还用于：通过与传输点之间的接口发送封装后的第三报文。

可选地，还包括：

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述业务处理模块具体用于：对加密后的第三报文进行隧道封装的过程中，根据所述第三隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第三报文中；

所述业务处理模块还用于：通过所述移动边缘设备与传输点侧之间的接口发送封装后的第三报文之后，还包括：将所述映射表中与所述第三隧道的识别信息对应的传输点侧的序列号进行递增。

本发明实施例提供的数据传输方法及设备，应用于在传输点和网关之间设置有移动边缘设备的网络，移动边缘设备获得第一隧道的密钥后(第一隧道为第一传输点与网关之间的隧道，第一隧道的密钥包括用于对第一隧道传输的报文进行加密的加密参数和进行解密的解密参数)，执行以下操作：从与传输点之间的接口接收第一报文；根据所述第一报文中封装的第一隧道的信息，使用所述第一隧道对应的解密参数解密所述第一报文；确定是否转发解密后的第一报文给本地服务器处理，若是，则将解密后的第一报文发送给本地服务器。可以看出，移动边缘设备对从与传输点之间的接口接收到的报文，利用第一隧道对应的解密参数进行解密，从而可根据解密后的报文进行数据分流决策，并在确定由本地服务器处理时发送给本地服务器，实现了数据分流。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中网络中小站的一种接入方式示意图；

图2为现有技术中在网络中部署移动边缘设备的示意图；

图3为现有技术中部署有移动边缘网络设备的通用网络架构示意图；

图4为本发明实施例中提供的将数据报文分流至本地服务器的方法流程示意图；

图5为本发明实施例中确定解密后的第一报文的类型的方法流程示意图；

图6为为本发明实施例提供的数据报文从本地服务器传输至传输点的方法流程示意图；

图7为为本发明实施例提供的数据报文从网关侧传输至传输点的方法流程示意图；

图8为本发明实施例提供的移动边缘设备的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

图1示例性的示出了现有技术中传输点在网络中的一种接入方式。其中，传输点可以是LTE系统或其演进系统中的演进型基站(Evolutional Node B，简称为eNB或e-NodeB)、宏基站、微基站(也称为“小基站”或“小站”)、微微基站、接入站点(Access Point，简称为AP)或传输站点(Transmission Point，简称为TP)等，也可以是未来网络中的基站，如5G网络中的基站。

参见图1，该网络中可包括：小站(图中标识为smallcell)、服务安全网关(图中标识为服务SeGW)、家庭基站网关(图中标识为HeNB GW)、分组传送网(图中标识为L3PTN)、操作维护中心(Operation and Maintenance Center，简称OMC)、移动管理实体(MobilityManagement Entity，简称MME)、业务接入网关。每个小站与服务SeGW之间分别建立有IPsec隧道，通过IPsec隧道传输的报文需要进行加密，以增加数据传输的安全性。

为了提升网络的增值价值，移动通信网络需要与移动互联网业务深度融合，另外，为了缓解因为移动数据流量的激增，以及移动用户对业务体验要求的不断提升，对移动运营商传统网络造成的网络承载能力，需要在网络中引入移动边缘设备。图2示例性的示出了在网络中部署移动边缘设备的示意图。

从图2可以看出，移动边缘设备部署在接近小站的位置，移动边缘设备与小站、服务SeGW、本地服务器互连。其中，为了保证上下行数据的安全以及正常传输，小站与服务SeGW之间需要建立IPsec隧道，以保证数据报文传输的安全。通过IPsec隧道传输的报文，在IPsec头中包含序列号(sn)，该序列号是从1开始的32位单增序列号，不允许重复，唯一地标识了每一个发送的数据报文，接收端接收到报文后，通过校验该报文IPsec头中的序列号来判断该报文是否已经被接收过，若已经接收过，则拒收该数据报文。

图3示例性地示出了部署有移动边缘设备的通用网络架构。如图所示，各传输点与网关之间分别建立有IPsec隧道。移动边缘设备上包括以下接口：与传输点之间的接口、与本地服务器之间的接口以及与网关之间的接口。

可以看出，由于传输点与网关之间建立有IPsec隧道，若移动边缘设备识别不了从该IPsec隧道传输的数据报文，就会导致无法使用数据分流策略进行数据分流。另外，由于移动边缘设备进行数据分流，因此需要由移动边缘设备对IPsec头中的序列号进行统一维护，以保证移动边缘设备通过与网关间的接口发送的IPsec隧道报文的序列号连续，以及从与传输点间的接口发送的IPsec隧道报文的序列号连续，从而保证数据报文正常传输。

图3示出的传输点为传输点1、传输点2、传输点3，以及示出的本地服务器为本地服务器1、本地服务器2、本地服务器3，当然传输点和本地服务器也可以是别的数量，本发明实施例对此不做限制。

为解决上述提到的问题，本发明实施例提出了一种数据传输方法。

本发明以下的实施例中以传输点和网关之间进行数据报文的传输为例，描述将数据报文分流至本地服务器的传输过程。

参见图4，为本发明实施例提供的将数据报文分流至本地服务器的方法流程示意图，具体的，该方法以将数据报文从传输点分流至本地服务器为例进行描述。

传输点和网关之间建立有隧道，该隧道采用加密技术进行数据传输，比如可以是IPsec隧道。在隧道建立过程中，传输点和网关之间进行隧道密钥协商。该隧道密钥包括用于对该隧道传输的报文进行加密的加密参数和进行解密的解密参数。在隧道密钥协商完成后，传输点向移动边缘设备发送密钥通知消息，其中携带协商完成的隧道密钥。该密钥通知消息还用于指示移动边缘设备对此后该传输点发送来的报文进行本地分流决策，以便实现数据分流。移动边缘设备在未接收到该密钥通知消息前，对于传输点和网关之间交互的报文(包括认证报文、密钥协商报文等)进行透传。

移动边缘设备可维护有映射表，所述映射表中包括隧道识别信息以及隧道密钥。移动边缘设备接收到的密钥通知消息中包含隧道识别信息(比如隧道在传输点侧的IP地址)以及相应隧道的密钥，移动边缘设备可将该隧道识别信息以及该隧道的密钥存储于该映射表。

进一步地，该映射表中还可包括用户承载信息，所述用户承载信息可包括UE-IP(为UE分配的业务IP地址)、eNB-IP(传输点的IP地址)，SGW-IP(网关的IP地址)，SGW-TEID(网关侧的隧道端点标识信息)等信息。所述用户承载信息可携带于上述密钥通知消息发送给移动边缘设备，也可以通过业务面学习的方式获得或通过其它方式获得。

进一步地，上述映射表中还可包括传输点侧的序列号和网关侧的序列号，这两个序列号由移动边缘设备进行维护。

表1示例性地示出了一种映射表的结构。

表1

表1中，IPsec隧道的加密参数和解密参数可包括：

Initiator’s SPI：表示发送数据报文传输的串行外设接口(Serial PeripheralInterface，简称SPI)；

Responder’s SPI：表示接收数据报文的SPI；

SK_ei(security key_encryption Initiator)：表示发起方的加密密钥；

SK_er(security key_encryption Responder)：表示响应方的解密密钥；

Encryption algorithm：表示对数据报文进行加密的加密演算法；

SK_ai(security key_algorithm Initiator)：表示发起方的完保密钥；

SK_ar(security key_algorithm Responder)：表示响应方的完保密钥；

Integrity algorithm：表示密钥的完整性算法。

如图所示，下面的流程以移动边缘设备获得第一隧道的密钥后，对第一传输点发送的第一报文进行本地分流决策的过程为例进行描述，本实施例中，该第一传输点与网关之间的隧道称为第一隧道。该流程可由移动边缘设备执行，具体包括以下步骤：

步骤401：移动边缘设备从与传输点之间的接口接收第一报文。

其中，第一报文可包含外层封装信息以及内层加密后的数据包，该外层封装信息包括第一隧道信息，具体可包括源地址和目的地址，其中，源地址为第一隧道在传输点侧的IP地址。

步骤402：根据第一报文中封装的第一隧道的信息，使用第一隧道对应的解密参数解密第一报文。

其中，移动边缘设备中可维护有如表1所示的映射表。以表1所示的映射表为例，该步骤中，移动边缘设备可根据接收到的第一报文外层封装的源地址(第一隧道在传输点侧的IP地址)查询上述映射表，得到第一隧道的解密参数，并使用查询到的解密参数解密第一报文，得到内层封装的数据包。

步骤403：确定是否转发解密后的第一报文给本地服务器。若是，转入步骤404，否则，转入步骤405。

该步骤中，可预先设置数据分流策略表，移动边缘设备可根据解密后的内存封装数据包的包头部分的UE-IP地址查询该数据分流策略表，从而确定是否将该数据包发送给本地服务器进行处理。表2示出了一种数据分流策略表的结构。

表2

以表2为例，移动边缘设备可根据解密得到的数据包中的源IP地址(UE-IP)地址查询表2，如果匹配到对应的本地服务器IP地址，则转入步骤404，否则转入步骤405。其中，第一报文的封装格式可以是：外层隧道封装信息(如IPsec头)以及内层封装的第一用户报文报文，因此解密得到的第一报文也可称为第一用户报文。

步骤404：将解密得到的IP报文发送给本地服务器。

该步骤中，移动边缘设备可根据查询到的本地服务器IP地址，将解密得到的IP报文从与相应本地服务器之间的接口发送给本地服务器进行处理。

步骤405：将解密得到的IP报文进行加密，并在外层封装第一隧道信息后，通过移动边缘设备与网关之间的接口发送。

该步骤中，以表1所示的映射表为例，移动边缘设备可根据IP报文中的源IP地址查询表1，得到对应的第一隧道加密参数、第一隧道封装信息，其中，第一隧道封装信息中可包括第一隧道识别信息(比如隧道IP地址)以及网关侧的序列号；移动边缘设备根据查询到的加密参数对该IP报文进行加密，根据查询到的第一隧道封装信息，对加密后的IP报文进行隧道封装(隧道封装信息中包含有移动边缘设备维护的网关侧的序列号)；移动边缘设备再通过移动边缘设备与网关之间的接口发送封装后的报文。其中，为了保证移动边缘设备通过与网关之间的接口发送的报文的序列号连续，移动边缘设备在发送封装后的报文后，可将表1中该网关侧的序列号递增。

考虑到通过上述传输点与网关之间的隧道传输的报文可能会有多种类型，比如可通过上述隧道传输流控制传输协议(Stream Control Transmission Protocol，简称SCTP)报文，也可传输通用分组无线服务隧道协议用户面(GPRSTunneling Protocol UserPlane，简称GTPU)报文。此处的SCTP报文指的是传输点与移动管理实体之间的信令数据包，GTPU报文指的是业务面的数据包，而移动边缘设备只完成对业务数据包的分流，不对SCTP报文进行报文解析。因此不需要对SCTP报文进行本地分流，而对GTPU进行本地分流。因此，在本发明的另一些实施例中，可选地，根据步骤402解密第一报文之后，还可用图5所示的流程替代图4中的步骤403～步骤405。

如图5所示，为本发明实施例中确定解密后的第一报文的类型的方法流程示意图，该方法具体包括以下步骤：

步骤501：确定IP报文的类型，若IP报文为SCTP报文，则转入步骤502；若IP报文为GTPU报文，转入步骤503。

步骤502：移动边缘设备对解密得到的IP报文进行加密、封装，通过与网关侧的接口发送。

该步骤中，以表1所示的映射表为例，移动边缘设备可根据IP报文中的源IP地址查询表1，得到对应的第一隧道加密参数、第一隧道封装信息，其中，第一隧道封装信息中可包括第一隧道识别信息(比如隧道IP地址)以及网关侧的序列号；移动边缘设备根据查询到的加密参数对该IP报文进行加密，根据查询到的第一隧道封装信息，对加密后的IP报文进行隧道封装(隧道封装信息中包含有移动边缘设备维护的网关侧的序列号)；移动边缘设备再通过移动边缘设备与网关之间的接口发送封装后的报文。其中，为了保证移动边缘设备通过与网关之间的接口发送的报文的序列号连续，移动边缘设备在发送封装后的报文后，可将表1中该网关侧的序列号递增。

步骤503：确定是否转发IP报文给本地服务器处理，若是，转入步骤505；若确定不转发给本地服务器处理，转入步骤504。

该步骤中，确定是否转发IP报文给本地服务器处理的具体步骤可参见上面所述的步骤403，在此不做详细的介绍。

步骤504：将解密得到的IP报文进行加密，并在外层封装第一隧道信息后，通过移动边缘设备与网关之间的接口发送。

该步骤中，移动边缘设备对解密得到的IP报文进行加密，并在外层封装第一隧道信息的具体步骤可参见步骤405或者步骤502，在此不做详细的描述。

步骤505：将解密得到的IP报文通过移动边缘设备与本地服务器之间的接口发送给本地服务器。

该步骤中，移动边缘设备可根据查询到的本地服务器IP地址，将解密后得到的IP报文从与相应本地服务器之间的接口发送给本地服务器进行处理。

参见图6，为本发明实施例提供的数据报文从本地服务器传输至传输点的方法流程示意图。本实施例中，本地服务器与第二传输点之间的隧道称为第二隧道。该流程可由移动边缘设备执行，具体包括以下步骤：

步骤601：移动边缘设备从与本地服务器之间的接口接收第二报文。

其中，第二报文可以是未加密的IP报文，该IP报文的头部可包括源IP地址和目的IP地址，其中，源IP地址为本地服务器的IP地址、目的IP地址为第二传输点的IP地址(UE-IP)。

步骤602：根据第二报文的目的IP地址，确定对应的第二传输点以及第二隧道，根据第二隧道的加密参数对所述第二报文进行加密，对加密后的第二报文进行隧道封装。

该步骤中，移动边缘设备可根据接收到的第二报文的IP头中的目的地址(第二传输点的UE-IP地址)查询表1所示的映射表，得到对应的第二隧道的加密参数、第二隧道封装信息，其中，第二隧道封装信息中可包括第二隧道识别信息(比如隧道IP地址)以及传输点侧的序列号；移动边缘设备根据查询到的加密参数对该IP报文进行加密，根据查询到的第二隧道封装信息，对加密后的IP报文进行隧道封装(隧道封装信息中包含有移动边缘设备维护的传输点侧的序列号)；移动边缘设备再通过移动边缘设备与传输点之间的接口发送封装后的报文。其中，为了保证移动边缘设备通过与传输点之间的接口发送的报文的序列号连续，移动边缘设备在发送封装后的报文后，可将表1中该传输点侧的序列号递增。

步骤603：通过与传输点之间的接口发送封装后的第二报文。

参见图7，为本发明实施例提供的数据报文从网关侧传输至传输点的方法流程示意图。本实施例中，网关与第三传输点之间的隧道称为第三隧道。该流程可由移动边缘设备执行，具体包括以下步骤：

步骤701：移动边缘设备从与网关之间的接口接收第三报文。

其中，第三报文可包含外层隧道封装信息以及内层加密后的IP报文，该外层隧道封装信息包括第三隧道信息，具体可包括源地址和目的地址，其中，源地址为第三隧道在网关侧的IP地址，目的地址为第三隧道在第三传输点侧的IP地址。

步骤702：根据所述第三报文外层隧道封装信息中的目的IP地址，确定对应的第三传输点以及第三隧道，根据第三隧道的解密参数对所述第三报文进行解密，得到解密后的IP报文。

步骤703：根据解密后的IP报文中的目的IP地址(第三传输点的UE-IP地址)查询得到第三隧道的加密参数和封装信息，其中，第三隧道封装信息中可包括第三隧道识别信息(比如隧道IP地址)以及传输点侧的序列号；移动边缘设备根据查询到的加密参数对该IP报文进行加密，根据查询到的第三隧道封装信息，对加密后的IP报文进行隧道封装(隧道封装信息中包含有移动边缘设备维护的传输点侧的序列号)；移动边缘设备再通过移动边缘设备与传输点之间的接口发送封装后的报文。其中，为了保证移动边缘设备通过与传输点之间的接口发送的报文的序列号连续，移动边缘设备在发送封装后的报文后，可将表1中该传输点侧的序列号递增。

步骤704：通过与传输点之间的接口发送封装后的第三报文。

上述实施例中，报文的封装格式是：外层是隧道封装信息，内层是IP报文，当然内层也可以采用别的类型的报文，本发明实施例对此不做限制。

从上述实施例的描述中可以看出，移动边缘设备从与传输点之间的接口接收报文，用该报文对应的隧道的解密参数对报文进行解密，从而可根据解密后的报文进行数据分流决策，并在确定由本地服务器处理时发送给本地服务器，实现了数据分流。另外，由于由移动边缘设备进行数据分流，因此移动边缘设备对IPsec头中的序列号进行统一维护，保证了移动边缘设备通过与网关间的接口发送的IPsec隧道报文的序列号连续，以及从与传输点间的接口发送的IPsec隧道报文的序列号连续，从而保证数据报文正常传输。

基于相同的技术构思，本发明实施例提供了移动边缘设备的结构示意图。

参见图8，为本发明实施例提供的移动边缘设备的结构示意图。该移动边缘设备应用于在传输点和网关之间设置有移动边缘设备的网络，可实现上述实施例描述的流程示意图。

如图8所示，该移动边缘设备包括：第一接口模块801、业务处理模块802和第二接口模块803。

第一接口模块801，用于从与传输点之间的接口接收第一报文，所述第一报文包括外层的封装信息以及内层的第一用户报文；

业务处理模块802，用于在获得第一隧道的密钥后，根据所述第一报文中封装的第一隧道的信息，使用所述第一隧道对应的解密参数解密所述第一报文；以及，用于确定是否转发解密后的第一报文给本地服务器处理；其中，所述第一隧道为第一传输点与网关之间的隧道，所述第一隧道的密钥包括用于对第一隧道传输的报文进行加密的加密参数和进行解密的解密参数；

第二接口模块803，用于在所述业务处理模块确定将解密后的第一报文转发给本地服务器处理的情况下，将解密后的第一报文发送给本地服务器。

可选地，所述业务处理模块还用于：

若确定不转发给本地服务器处理，则执行以下步骤：

根据所述第一隧道的加密参数对解密后的第一报文进行加密；

对加密后的第一报文进行隧道封装，封装后的第一报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的第一报文。

可选地，所述业务处理模块还用于：

根据所述解密参数解密所述第一报文之后，确定解密后的第一报文的类型；

所述业务处理模块具体用于：若报文类型为通用分组无线服务隧道协议用户面GTPU报文，则确定是否转发解密后的GTPU报文给本地服务器处理；

所述业务处理模块还用于：若报文类型为流控制传输协议SCTP报文，则执行以下步骤：

根据所述加密参数对解密后的SCTP报文进行加密；

对加密后的SCTP报文进行隧道封装，封装后的SCTP报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的SCTP报文。

可选地，还包括：

存储模块805：用于存储映射表，所述映射表中包括隧道信息以及网关侧的序列号；

所述业务处理模块具体用于：对加密后的第一报文进行隧道封装的过程中，根据所述第一隧道的隧道信息查询所述映射表，得到对应的网关侧的序列号，将获取到的序列号封装在第一报文中；

所述业务处理模块还用于：通过所述移动边缘设备与网关之间的接口发送封装后的第一报文之后，将所述映射表中与所述第一隧道的信息对应的网关侧的序列号进行递增。

可选地，第二接口模块还用于：接收从与本地服务器之间的接口接收第二报文，所述第二报文为第二用户报文；

所述业务处理模块还用于：根据所述第二报文的目的IP地址，确定对应的第二传输点以及第二隧道；根据所述第二隧道的加密参数对所述第二报文进行加密；以及，对加密后的第二报文进行隧道封装，封装后的第二报文中携带有所述移动边缘设备维护的第二传输点侧的序列号，用于保证所述移动边缘设备通过与第二传输点之间的接口发送的报文的序列号连续；

所述第一接口模块还用于：通过与传输点之间的接口发送封装后的第二报文。

可选地，还包括:

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述业务处理模块具体用于：对加密后的第二报文进行隧道封装的过程中，根据所述第二隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第二报文中；

所述业务处理模块还用于：通过所述移动边缘设备与传输点侧之间的接口发送封装后的第二报文之后，还包括：将所述映射表中与所述第二隧道的识别信息对应的传输点侧的序列号进行递增。

可选地，还包括：

第三接口模块804：用于从与网关之间的接口接收第三报文，所述第三报文包括外层的封装信息以及内层的第三用户报文；

所述业务处理模块还用于：根据所述第三报文的目的IP地址，确定对应的第三传输点以及第三隧道；根据所述第三隧道的加密参数对所述第三报文进行加密；以及，对加密后的第三报文进行隧道封装，封装后的第三报文中携带有所述移动边缘设备维护的第三传输点侧的序列号，用于保证所述移动边缘设备通过与第三传输点之间的接口发送的报文的序列号连续；

所述第一接口模块还用于：通过与传输点之间的接口发送封装后的第三报文。

可选地，还包括：

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述业务处理模块具体用于：对加密后的第三报文进行隧道封装的过程中，根据所述第三隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第三报文中；

所述业务处理模块还用于：通过所述移动边缘设备与传输点侧之间的接口发送封装后的第三报文之后，还包括：将所述映射表中与所述第三隧道的识别信息对应的传输点侧的序列号进行递增。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种数据传输方法，应用于在传输点和网关之间设置有移动边缘设备的网络，其特征在于，所述方法包括：

移动边缘设备获得第一隧道的密钥后，执行以下操作，其中，所述第一隧道为第一传输点与网关之间的隧道，所述第一隧道的密钥包括用于对第一隧道传输的报文进行加密的加密参数和进行解密的解密参数，所述移动边缘上设备维护有映射表，所述映射表包括隧道识别信息以及相应隧道的密钥；

从与传输点之间的接口接收第一报文，所述第一报文包括外层的封装信息以及内层的第一用户报文，所述封装信息包括隧道识别信息；

根据所述第一报文中封装的第一隧道的隧道识别信息查询所述映射表，得到所述第一隧道对应的解密参数，并使用所述第一隧道对应的解密参数解密所述第一报文；

确定是否转发解密后的第一报文给本地服务器处理，若是，则将解密后的第一报文发送给本地服务器；若不是，则根据所述第一隧道的加密参数对解密后的第一报文进行加密，对加密后的第一报文进行隧道封装，封装后的第一报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续，通过所述移动边缘设备与网关之间的接口发送封装后的第一报文；

其中，使用所述第一隧道对应的解密参数解密所述第一报文之后，还包括：

确定解密后的第一报文的类型；

若报文类型为通用分组无线服务隧道协议用户面GTPU报文，则确定是否转发解密后的GTPU报文给本地服务器处理，若是，将解密后的GTPU报文通过所述移动边缘设备与所述本地服务器之间的接口发送给所述本地服务器，否则将解密后的GTPU报文进行加密，并在外层封装所述第一隧道信息后，通过所述移动边缘设备与网关之间的接口发送；

若报文类型为流控制传输协议SCTP报文，则根据所述加密参数对解密后的SCTP报文进行加密；对加密后的SCTP报文进行隧道封装，封装后的SCTP报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；通过所述移动边缘设备与网关之间的接口发送封装后的SCTP报文。

2.如权利要求1所述的方法，其特征在于，所述移动边缘设备维护有映射表，所述映射表中包括隧道信息以及网关侧的序列号；

所述移动边缘设备对加密后的第一报文进行隧道封装的过程中，根据所述第一隧道的隧道信息查询所述映射表，得到对应的网关侧的序列号，将获取到的序列号封装在第一报文中；

通过所述移动边缘设备与网关之间的接口发送封装后的第一报文之后，还包括：将所述映射表中与所述第一隧道的信息对应的网关侧的序列号进行递增。

3.如权利要求1所述的方法，其特征在于，还包括：

所述移动边缘设备从与本地服务器之间的接口接收第二报文，所述第二报文为第二用户报文；

根据所述第二报文的目的IP地址，确定对应的第二传输点以及第二隧道；

根据所述第二隧道的加密参数对所述第二报文进行加密；

对加密后的第二报文进行隧道封装，封装后的第二报文中携带有所述移动边缘设备维护的第二传输点侧的序列号，用于保证所述移动边缘设备通过与第二传输点之间的接口发送的报文的序列号连续；

通过与传输点之间的接口发送封装后的第二报文。

4.如权利要求3所述的方法，其特征在于，所述移动边缘设备维护有映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述移动边缘设备对加密后的第二报文进行隧道封装的过程中，根据所述第二隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第二报文中；

通过所述移动边缘设备与传输点侧之间的接口发送封装后的第二报文之后，还包括：将所述映射表中与所述第二隧道的识别信息对应的传输点侧的序列号进行递增。

5.如权利要求1所述的方法，其特征在于，还包括：

所述移动边缘设备从与网关之间的接口接收第三报文，所述第三报文包括外层的封装信息以及内层的第三用户报文；

根据所述第三报文的目的IP地址，确定对应的第三传输点以及第三隧道；

根据所述第三隧道的加密参数对所述第三报文进行加密；

对加密后的第三报文进行隧道封装，封装后的第三报文中携带有所述移动边缘设备维护的第三传输点侧的序列号，用于保证所述移动边缘设备通过与第三传输点之间的接口发送的报文的序列号连续；

通过与传输点之间的接口发送封装后的第三报文。

6.如权利要求5所述的方法，其特征在于，所述移动边缘设备维护有映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述移动边缘设备对加密后的第三报文进行隧道封装的过程中，根据所述第三隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第三报文中；

通过所述移动边缘设备与传输点侧之间的接口发送封装后的第三报文之后，还包括：将所述映射表中与所述第三隧道的识别信息对应的传输点侧的序列号进行递增。

7.一种移动边缘设备，应用于在传输点和网关之间设置有移动边缘设备的网络，其特征在于，所述设备包括：

第一接口模块：用于从与传输点之间的接口接收第一报文，所述第一报文包括外层的封装信息以及内层的第一用户报文，所述封装信息包括隧道识别信息；

业务处理模块：用于在获得第一隧道的密钥后，根据所述第一报文中封装的第一隧道的隧道识别信息，查询映射表，得到所述第一隧道对应的解密参数，并使用所述第一隧道对应的解密参数解密所述第一报文；以及，用于确定是否转发解密后的第一报文给本地服务器处理；其中，所述第一隧道为第一传输点与网关之间的隧道，所述第一隧道的密钥包括用于对第一隧道传输的报文进行加密的加密参数和进行解密的解密参数，所述移动边缘上设备维护有映射表，所述映射表包括隧道识别信息以及相应隧道的密钥；

第二接口模块：用于在所述业务处理模块确定将解密后的第一报文转发给本地服务器处理的情况下，将解密后的第一报文发送给本地服务器；

所述处理模块：还用于根据所述第一隧道的加密参数对解密后的第一报文进行加密，对加密后的第一报文进行隧道封装，封装后的第一报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

所述第二接口模块：还用于在所述业务处理模块确定将解密后的第一报文不转发给本地服务器处理的情况下，通过所述移动边缘设备与网关之间的接口向服务器发送封装后的第一报文；

所述业务处理模块：还用于确定解密后的第一报文的类型；

其中，所述业务处理模块具体用于：确定解密后的所述第一报文的类型为通用分组无线服务隧道协议用户面GTPU报文的情况下，则执行以下操作：

确定是否转发解密后的GTPU报文给本地服务器处理，若是，将解密后的GTPU报文通过所述移动边缘设备与所述本地服务器之间的接口发送给所述本地服务器，否则将解密后的GTPU报文进行加密，并在外层封装所述第一隧道信息后，通过所述移动边缘设备与网关之间的接口发送；

所述业务处理模块具体用于：确定解密后的所述第一报文的类型为流控制传输协议SCTP报文的情况下，则执行以下操作：

根据所述加密参数对解密后的SCTP报文进行加密；

对加密后的SCTP报文进行隧道封装，封装后的SCTP报文中携带有所述移动边缘设备维护的网关侧的序列号，用于保证所述边缘设备通过与网关之间的接口发送的报文的序列号连续；

通过所述移动边缘设备与网关之间的接口发送封装后的SCTP报文。

8.如权利要求7所述的移动边缘设备，其特征在于，还包括：

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及网关侧的序列号；

所述业务处理模块具体用于：对加密后的第一报文进行隧道封装的过程中，根据所述第一隧道的隧道信息查询所述映射表，得到对应的网关侧的序列号，将获取到的序列号封装在第一报文中；

所述业务处理模块还用于：通过所述移动边缘设备与网关之间的接口发送封装后的第一报文之后，将所述映射表中与所述第一隧道的识别信息对应的网关侧的序列号进行递增。

9.如权利要求7所述的移动边缘设备，其特征在于，第二接口模块还用于：接收从与本地服务器之间的接口接收第二报文；

所述业务处理模块还用于：根据所述第二报文的目的IP地址，确定对应的第二传输点以及第二隧道；根据所述第二隧道的加密参数对所述第二报文进行加密；以及，对加密后的第二报文进行隧道封装，封装后的第二报文中携带有所述移动边缘设备维护的第二传输点侧的序列号，用于保证所述移动边缘设备通过与第二传输点之间的接口发送的报文的序列号连续；

所述第一接口模块还用于：通过与传输点之间的接口发送封装后的第二报文。

10.如权利要求9所述的移动边缘设备，其特征在于，还包括:

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述业务处理模块具体用于：对加密后的第二报文进行隧道封装的过程中，根据所述第二隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第二报文中；

所述业务处理模块还用于：通过所述移动边缘设备与传输点侧之间的接口发送封装后的第二报文之后，将所述映射表中与所述第二隧道的识别信息对应的传输点侧的序列号进行递增。

11.如权利要求7所述的移动边缘设备，其特征在于，还包括：

第三接口模块：用于从与网关之间的接口接收第三报文；

所述业务处理模块还用于：根据所述第三报的目的IP地址，确定对应的第三传输点以及第三隧道；根据所述第三隧道的加密参数对所述第三报文进行加密；以及，对加密后的第三报文进行隧道封装，封装后的第三报文中携带有所述移动边缘设备维护的第三传输点侧的序列号，用于保证所述移动边缘设备通过与第三传输点之间的接口发送的报文的序列号连续；

所述第一接口模块还用于：通过与传输点之间的接口发送封装后的第三报文。

12.如权利要求11所述的移动边缘设备，其特征在于，还包括：

存储模块：用于存储映射表，所述映射表中包括隧道识别信息以及传输点侧的序列号；

所述业务处理模块具体用于：对加密后的第三报文进行隧道封装的过程中，根据所述第三隧道的隧道识别信息查询所述映射表，得到对应的传输点侧的序列号，将获取到的序列号封装在第三报文中；

所述业务处理模块还用于：通过所述移动边缘设备与传输点侧之间的接口发送封装后的第三报文之后，还包括：将所述映射表中与所述第三隧道的识别信息对应的传输点侧的序列号进行递增。

Images