CN109862000B

CN109862000B - 一种Linux网络层的端对端加密方法和系统

Info

Publication number: CN109862000B
Application number: CN201910058656.1A
Authority: CN
Inventors: 戚建淮; 郑伟范; 宋晶; 伍贤云
Original assignee: Shenzhen Y&D Electronics Information Co Ltd
Current assignee: Shenzhen Y&D Electronics Information Co Ltd
Priority date: 2019-01-22
Filing date: 2019-01-22
Publication date: 2021-08-17
Anticipated expiration: 2039-01-22
Also published as: CN109862000A

Abstract

一种Linux网络层的端对端加密方法，包括：S1、在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包并对所述数据包进行加密并转发；S2、在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包并对所述加密后的数据包进行解密并转发。实施本发明的Linux网络层的端对端加密方法，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。

Description

一种Linux网络层的端对端加密方法和系统

技术领域

本发明涉及信息安全技术领域，更具体地说，涉及一种Linux网络层的端对端加密方法和系统。

背景技术

信息安全防护问题是技术问题，更是涉及人因的系统问题，而目前最好的方法就是使用专业的加密软件对其机密数据进行加密，这样的话，加密直接作用于数据本身，只要加密算法不被破解，数据依然是安全的。数据加密作为一项基本技术是所有通信安全的基石。数据加密过程是由形形色色的加密算法来具体实施，它以很小的代价提供很大的安全保护。在多数情况下，数据加密是保证信息机密性的唯一方法。

在端对端的网络通讯中，如果需要对网络数据进行加密处理，通常采用VPN隧道方式进行安装部署，但通常会对原有的网络结构有所更改，没有实现端对端的透明加密，并且对数据加密长度不增加不减少，避免由于数据包长度改变对原有的业务处理流程的改变，导致意想不到的问题发生。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种不会改变数据包原有长度，因此加密时间短、传输效率高的Linux网络层的端对端加密方法和系统。

本发明解决其技术问题所采用的技术方案是：构造一种Linux网络层的端对端加密方法，包括：

S1、在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包并对所述数据包进行加密并转发；

S2、在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包并对所述加密后的数据包进行解密并转发。

在本发明所述的Linux网络层的端对端加密方法中，所述步骤S1进一步包括：

S11、将数据包从源地址经至少第一端口和第二端口发送到目标地址；

S12、在所述第一端口通过钩子机制从Linux网络层获取数据包；

S13、解析所述数据包并对所述数据包进行加密；

S14、将加密的数据包转发到所述第二端口。

在本发明所述的Linux网络层的端对端加密方法中，在所述步骤S12中，在所述第一端口通过钩子机制从Linux网络层获取多个数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个数据包构成的包池。

在本发明所述的Linux网络层的端对端加密方法中，所述步骤S13进一步包括：

S131、采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理；

S132、对过滤后的所述数据包进行加密处理。

在本发明所述的Linux网络层的端对端加密方法中，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；其中在所述步骤S131中，对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议。

在本发明所述的Linux网络层的端对端加密方法中，所述步骤S2进一步包括：

S21、在所述第二端口通过钩子机制从Linux网络层获取所述加密后的数据包；

S22、解析所述加密后的数据包并对所述数据包进行解密；

S23、将解密的数据包转发到所述目标地址。

在本发明所述的Linux网络层的端对端加密方法中，在所述步骤S21中，在所述第二端口通过钩子机制从Linux网络层获取多个所述加密后的数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个所述加密后的数据包构成的包池。

在本发明所述的Linux网络层的端对端加密方法中，所述步骤S22进一步包括：

S221、采用用户态进程从所述钩子数据包队列获取所述加密后的数据包，并对所述加密后的数据包进行解析和过滤处理；

S222、对过滤后的所述加密后的数据包进行解密处理。

在本发明所述的Linux网络层的端对端加密方法中，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；其中在所述步骤S221中，对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议。

本发明解决其技术问题采用的另一技术方案是，构造一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现以上所述的Linux网络层的端对端加密方法。

本发明解决其技术问题采用的另一技术方案是，构造一种Linux网络层的端对端加密系统，包括：

第一抓取模块，用于在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包；

数据加密模块，用于对所述第一抓取模块抓取的数据包进行加密处理，并转发加密后的数据包；

第二抓取模块，用于在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包；

数据解密模块，用于对所述第二抓取模块抓取的数据包进行解密处理，并转发解密后的数据包。

实施本发明的Linux网络层的端对端加密方法和系统，以及计算机可读存储介质，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。进一步地，还可以对获取的数据包进行解析过滤，从而实现对源地址的访问以向目标地址的数据包传送，实现了对数据包的安全信息的掌握以及对数据包传送的安全控制。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明的Linux网络层的端对端加密方法的第一实施例的流程图；

图2是本发明的Linux网络层的端对端加密方法的第二实施例的流程图；

图3是图2所示的端对端加密方法的逻辑示意图；

图4是本发明的Linux网络层的端对端加密系统的第一实施例的流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明涉及一种Linux网络层的端对端加密方法，包括：S1、在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包并对所述数据包进行加密并转发；S2、在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包并对所述加密后的数据包进行解密并转发。实施本发明的Linux网络层的端对端加密方法，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。

图1是本发明的Linux网络层的端对端加密方法的第一实施例的流程图。如图1所示，在步骤S1中，在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包并对所述数据包进行加密并转发。在本发明的一个优选实施例中，数据包可以从端口A经端口C、端口D、端口E、端口F传送到端口B。此时，可以将端口C或者端口D作为第一端口。优选将端口C作为第一端口。此时，在该第一端口，利用Linux内核中的Netfilter中的钩子机制从Linux网络层获取数据包，然后对所述数据包进行加密。随后将加密后的数据包转发给端口D，端口D再将该加密后的数据包转发给端口E。

在步骤S2中，在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包并对所述加密后的数据包进行解密并转发。在本发明的优选实施例中，在端口E，利用Linux内核中的Netfilter中的钩子机制从Linux网络层获取该加密的数据包，然后对该加密的数据包进行解密。随后将解密后的数据包转发给目标端口B。当然，在本发明的其他优选实施例中，也可以将端口D作为第二端口。

本领域技术人员知悉，可以采用本发明中的任何加密或者解密算法对数据包进行加密和解密，此外，所述数据包的传输路径可以包括多个传输端口。所述第一端口和第二端口可以是设置在所述数据包传输路径上的任何两个端口，只要第一端口靠近源端口，而第二端口靠近目标端口即可。当然，优选地，所述第一端口是传输路径上最靠近源端口的端口，而所述第二端口是传输路径上最靠近目标端口的端口。

实施本发明的Linux网络层的端对端加密方法，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。

图2是本发明的Linux网络层的端对端加密方法的第二实施例的流程图。图3是图2所示的端对端加密方法的逻辑示意图。下面将参照图3对图2所示的实施例进行说明如下。

在步骤S1中，将数据包从源地址经至少第一端口和第二端口发送到目标地址。如图3所示，在本实施例中，可以将数据包P从源地址A传送到目标地址B，其中可以经过第一端口C和第二端口D进行数据包的转发。当然，在本发明的其他优选实施例中，在所述第一端口和第二端口之间还设置多个传送端口。

在步骤S2中，在所述第一端口通过钩子机制从Linux网络层获取数据包。Netfilter是Linux内核的防火墙框架，用户可以通过iptables命令向该防火墙框架添加策略匹配数据包，然后达到修改/拦截/放行数据包的目的。而钩子机制是Netfilter防火墙框架的一部分，通过该钩子机制可以从Linux网络层获取数据包。如图3所示，在端口C，可以过钩子机制从Linux网络层获取多个数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个数据包构成的包池。

在步骤S3中，解析所述数据包并对所述数据包进行加密。在本发明的一个优选实施例中，可以先采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理。然后对过滤后的所述数据包进行加密处理。用户态进程可以修改数据包，然后告知Netfilter继续处理数据包或者丢弃。由于用户态进程直接从Linux网络层获得数据包，所以比一般获得数据包的方法更高效。如图3所示，在端口C，采用用户态进程可以从各个钩子数据包队列获取数据包，并对其进行解析，从而获取所述数据包的数据信息，例如源地址、目的地址、源端口、目的端口和传输协议等信息。在本发明的一个优选实施例中，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列。在本优选实施例中，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包。在本实施例中，可以从钩子数据包队列中获取的数据包中提取出源地址、目的地址、源端口、目的端口、传输协议等，能实现对终端源地址的访问控制，同时也可以在黑名单和白名单列表中对源地址进行指定。在本发明中，可以采用本领域中已知的任何加密方法对数据包进行加密。在本发明的简化实施例中，也可以直接解析所述数据包，然后对其进行加密。

在步骤S4中，将加密的数据包转发到所述第二端口。例如，在本实施例中，加密后的数据包从端口C直接转发到端口D。当然，在本发明的其他优选实施例中，所述加密的数据包可以经过多个转发端口才到达端口D。

在步骤S5中，在所述第二端口通过钩子机制从Linux网络层获取所述加密后的数据包。如前所述，Netfilter是Linux内核的防火墙框架，用户可以通过iptables命令向该防火墙框架添加策略匹配数据包，然后达到修改/拦截/放行数据包的目的。而钩子机制是Netfilter防火墙框架的一部分，通过该钩子机制可以从Linux网络层获取数据包。如图3所示，在端口D，可以过钩子机制从Linux网络层获取多个所述加密后的数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个所述加密后的数据包构成的包池。

在步骤S6中，解析所述加密后的数据包并对所述数据包进行解密。如前所述，在本发明的一个优选实施例中，采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理；对过滤后的所述加密后的数据包进行解密处理。如前所述，用户态进程可以修改数据包，然后告知Netfilter继续处理数据包或者丢弃。由于用户态进程直接从Linux网络层获得数据包，所以比一般获得数据包的方法更高效。如图3所示，在端口D，采用用户态进程可以获取所述加密后的数据包，并对所述加密后的数据包进行解析从而获取所述数据包的数据信息，例如源地址、目的地址、源端口、目的端口和传输协议等信息。在本发明的一个优选实施例中，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列。在本优选实施例中，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包。在本实施例中，可以从钩子数据包队列中获取的数据包中提取出源地址、目的地址、源端口、目的端口、传输协议等，能实现对终端源地址的访问控制，同时也可以在黑名单和白名单列表中对源地址进行指定。在本发明中，可以采用本领域中已知的任何解密方法对数据包进行解密。在本发明的简化实施例中，也可以直接解析所述数据包，然后对其进行解密。

在步骤S7中，将解密的数据包转发到所述目标地址。例如，在本实施例中，解密后的数据包从端口D直接转发到目标地址B。当然，在本发明的其他优选实施例中，所述解密的数据包可以经过多个转发端口才到达目标地址B。

实施本发明的Linux网络层的端对端加密方法，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。进一步地，还可以对获取的数据包进行解析过滤，从而实现对源地址的访问以向目标地址的数据包传送，实现了对数据包的安全信息的掌握以及对数据包传送的安全控制。

图4是本发明的Linux网络层的端对端加密系统的第一实施例的流程图。如图4所示，本发明的Linux网络层的端对端加密系统包括第一抓取模块100、数据加密模块200、第二抓取模块300和数据解密模块400。其中所述第一抓取模块100和数据加密模块200可以设置在该第一端口上或者与所述第一端口通信连接。所述第二抓取模块300和数据解密模块可以设置在该第二端口上或者与所述第二端口通信连接。优选地，所述第一端口是传输路径上最靠近源端口的端口，而所述第二端口是传输路径上最靠近目标端口的端口。

所述第一抓取模块100用于在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包。所述数据加密模块200用于对所述第一抓取模块抓取的数据包进行加密处理，并转发加密后的数据包。所述第二抓取模块300用于在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包，所述数据解密模块400用于对所述第二抓取模块抓取的数据包进行解密处理，并转发解密后的数据包。

在本发明中，所述第一抓取模块100、数据加密模块200、第二抓取模块300和数据解密模块400可以基于图1-3中所示的实施例构造，在此就不再累述了。

在本发明的进一步的优选实施例中，所述Linux网络层的端对端加密系统还可以包括两个解析过滤模块，分别用于在加密和解密处理之前，对数据包进行解析和过滤。本领域技术人员知悉，所述解析过滤模块也可以基于图1-3中所示的实施例构造，在此就不再累述了。

实施本发明的Linux网络层的端对端加密系统，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。进一步地，还可以对获取的数据包进行解析过滤，从而实现对源地址的访问以向目标地址的数据包传送，实现了对数据包的安全信息的掌握以及对数据包传送的安全控制。

本发明进一步涉及一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现所述Linux网络层的端对端加密方法。

实施本发明的计算机可读存储介质，通过利用Linux内核中的Netfilter中的钩子机制，可以在对接收到的数据包长度不作变换的情况下，实现对网络数据的加密，加密后数据包的报文长度保持不变，不需要额外封装数据包，节省加密时间，提高传输效率。进一步地，还可以对获取的数据包进行解析过滤，从而实现对源地址的访问以向目标地址的数据包传送，实现了对数据包的安全信息的掌握以及对数据包传送的安全控制。

以上还借助于说明某些重要功能的功能模块对本发明进行了描述。为了描述的方便，这些功能组成模块的界限在此处被专门定义。当这些重要的功能被适当地实现时，变化其界限是允许的。类似地，流程图模块也在此处被专门定义来说明某些重要的功能，为广泛应用，流程图模块的界限和顺序可以被另外定义，只要仍能实现这些重要功能。上述功能模块、流程图功能模块的界限及顺序的变化仍应被视为在权利要求保护范围内。

本发明还可以通过计算机程序产品进行实施，程序包含能够实现本发明方法的全部特征，当其安装到计算机系统中时，可以实现本发明的方法。本文件中的计算机程序所指的是：可以采用任何程序语言、代码或符号编写的一组指令的任何表达式，该指令组使系统具有信息处理能力，以直接实现特定功能，或在进行下述一个或两个步骤之后实现特定功能：a)转换成其它语言、编码或符号；b)以不同的格式再现。

虽然本发明是通过具体实施例进行说明的，本领域技术人员应当明白，在不脱离本发明范围的情况下，还可以对本发明进行各种变换及等同替代。另外，针对特定情形或材料，可以对本发明做各种修改，而不脱离本发明的范围。因此，本发明不局限于所公开的具体实施例，而应当包括落入本发明权利要求范围内的全部实施方式。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种Linux网络层的端对端加密方法，其特征在于，包括：

S2、在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包并对所述加密后的数据包进行解密并转发；

所述步骤S1进一步包括：

S13、解析所述数据包并对所述数据包进行加密；

S14、将加密的数据包转发到所述第二端口；

在所述步骤S12中，在所述第一端口通过钩子机制从Linux网络层获取多个数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个数据包构成的包池；

所述步骤S13进一步包括：S131、采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；其中对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议；S132、对过滤后的所述数据包进行加密处理；

所述步骤S2进一步包括：

S22、解析所述加密后的数据包并对所述数据包进行解密；

S23、将解密的数据包转发到所述目标地址；

在所述步骤S21中，在所述第二端口通过钩子机制从Linux网络层获取多个所述加密后的数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个所述加密后的数据包构成的包池；

所述步骤S22进一步包括：S221、采用用户态进程从所述钩子数据包队列获取所述加密后的数据包，并对所述加密后的数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议；S222、对过滤后的所述加密后的数据包进行解密处理。

2.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现根据权利要求1所述的Linux网络层的端对端加密方法。

3.一种Linux网络层的端对端加密系统，其特征在于，包括：

数据解密模块，用于对所述第二抓取模块抓取的数据包进行解密处理，并转发解密后的数据包；

所述第一抓取模块进一步用于：将数据包从源地址经至少第一端口和第二端口发送到目标地址，在所述第一端口通过钩子机制从Linux网络层获取多个数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个数据包构成的包池，采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；其中对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议；

所述第二抓取模块进一步用于在所述第二端口通过钩子机制从Linux网络层获取多个所述加密后的数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个所述加密后的数据包构成的包池；采用用户态进程从所述钩子数据包队列获取所述加密后的数据包，并对所述加密后的数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议。