CN114172750B - 基于加密机制的网络通信方法、装置及存储介质 - Google Patents

Abstract

本发明公开了一种基于加密机制的网络通信方法、装置及存储介质，其中，所述方法包括：当第一子网中的终端设备通过交换机向多个子网间的网关发送ARP请求消息时，位于交换机和网关之间的加密路由器拦截ARP请求消息；加密路由器向终端设备返回携载了加密路由器的MAC地址的ARP应答消息；终端设备经由交换机并根据加密路由器的MAC地址向加密路由器发送报文；加密路由器经由网关并在加密通道中将报文传输至报文所指向的目标终端所在的第二子网。本发明所提供的技术方案能够解决局部二层组网扩容加密的组网问题，避免额外的配置调整，降低网络部署难度，达到用户对于网络变化无感知的效果。

Description

基于加密机制的网络通信方法、装置及存储介质

技术领域

本发明涉及通信技术领域，尤其涉及一种基于加密机制的网络通信方法、装置及存储介质。

背景技术

近年来通信技术迅猛发展，终端、网络、服务都取得了显著进展，为人们的生活和娱乐提供了便利，改变了人们的生活。

其中，二层网络结构只有核心层和接入层，网络中的交换机根据媒体接入控制层（Media Access Control，MAC）地址表进行数据包的转发，有则转发，无则泛洪，将数据包广播发送到所有端口。二层网络因其结构模式运行简单，常被用于搭建局域网。

现有技术里，在传统互联网网络中，已有的客户网络为了增强网络安全性，在增加网络加密管道时会在接入交换机与网关之间插入加密设备，但是不同的方式插入加密设备时都存在相关的技术问题。

在添加加密设备时，如果兼顾已有的网络组网，通常以二层的方式将加密设备插入到网络中间，但是这种插入加密设备的方式存在二层网络无法将用户流量直接路由到三层加密隧道的技术问题。如果插入加密设备时以三层方式进行组网，又会面临客户需要对现有的网络进行三层网络改造调整的技术问题，网络部署难度高，工作量比较大。

发明内容

本发明提供了一种基于加密机制的网络通信方法、装置及存储介质，旨在有效解决现有技术中局部二层组网扩容加密的组网问题，通过采用ARP代理的方式能够避免对终端设备和网关设备进行额外的配置调整，降低了网络部署难度，可以达到用户对于网络变化无感知的效果。

根据本发明的一方面，本发明提供一种基于加密机制的网络通信方法，所述方法包括：

当第一子网中的终端设备通过交换机向多个子网间的网关发送ARP请求消息时，位于所述交换机和所述网关之间的加密路由器拦截所述ARP请求消息；

所述加密路由器向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

所述终端设备经由所述交换机并根据所述加密路由器的MAC地址向所述加密路由器发送报文；

所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网。

进一步地，所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网包括：

在所述加密路由器接收到所述报文后，将所述报文进行加密，并将所述加密后的报文传输至所述网关，以触发所述网关将所述加密后的报文传输至所述第二子网。

进一步地，所述加密路由器和所述交换机通过第一物理端口连接，所述加密路由器和所述网关通过第二物理端口连接，其中，所述第一物理端口和所述第二端口物理位于同一个虚拟局域网。

进一步地，所述方法还包括：

在所述加密路由器通过所述加密通道将所述报文传输至所述第二子网之前，在所述加密路由器和所述第二子网中的加密路由器之间建立所述加密通道。

进一步地，所述在所述加密路由器和所述第二子网中的加密路由器之间建立所述加密通道包括：

所述加密路由器通过启用预设的逻辑端口并经由网关与所述第二子网中的加密路由器建立所述加密通道。

进一步地，所述加密路由器拦截所述ARP请求消息包括：

所述加密路由器根据所述ARP请求消息中的以太帧头中的协议号拦截所述ARP请求消息。

进一步地，所述方法还包括：

在所述加密路由器拦截所述ARP请求消息之前，所述加密路由器通过启用ARP代理功能来代理所述网关应答所述ARP请求消息。

根据本发明的另一方面，本发明还提供了一种基于加密机制的网络通信方法，用于加密路由器，其特征在于，所述方法包括：

拦截第一子网中的终端设备通过交换机向多个子网间的网关发送的ARP请求消息；

向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

接收所述终端设备经由所述交换机并根据所述加密路由器的MAC地址发送的报文，并经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网。

根据本发明的另一方面，本发明还提供了一种基于加密机制的网络通信装置，用于加密路由器，其特征在于，所述装置包括：

消息拦截单元，用于拦截第一子网中的终端设备通过交换机向多个子网间的网关发送的ARP请求消息；

应答单元，用于向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

报文处理单元，用于接收所述终端设备经由所述交换机并根据所述加密路由器的MAC地址发送的报文，并经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网。

根据本发明的另一方面，本发明提供了一种存储介质，所述存储介质中存储有多条指令，所述指令适于由处理器加载以执行如上所述的任一基于加密机制的网络通信方法、装置及存储介质。

通过本发明中的上述实施例中的一个实施例或多个实施例，至少可以实现如下技术效果：

在本发明所公开的技术方案中，在二层网络中的二层交换机和三层网关之间插入加密路由器，通过加密路由器代理三层网关的功能，可以兼容已有的二层组网，实现三层网络加密，解决了二层组网扩容加密的组网问题。通过该方式插入加密设备能够使加密路由连接到三层加密隧道，且能够兼容现有的二层组网，降低了网络部署难度，达到用户对于网络变化无感知的效果。

附图说明

下面结合附图，通过对本发明的具体实施方式详细描述，将使本发明的技术方案及其它有益效果显而易见。

图1为二层网络及加密诉求示意图；

图2为二层网络ARP学习过程示意图；

图3为本发明实施例提供的一种基于加密机制的网络通信方法的步骤流程图；

图4为本发明实施例提供的ARP代理及加密示意图；

图5为本发明提供的用于加密路由器的基于加密机制的网络通信方法的流程示意图；

图6为本发明提供的用于加密路由器的基于加密机制的网络通信装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，在不做特别说明的情况下，一般表示前后关联对象是一种“或”的关系。

以下对本发明涉及的技术术语进行描述：

ARP（Address Resolution Protocol，地址解析协议）是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到局域网络上的所有主机，并接收返回消息，以此确定目标的物理地址。收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，局域网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存。

MAC（Media Access Control，媒体接入控制层）定义了数据帧如何在介质上进行传输，在局域网中，硬件地址又称为物理地址或MAC地址。物理寻址在此处被定义，信号通过物理拓扑的路径的逻辑拓扑也在此处被定义。线路控制、出错通知、帧的传递顺序和可选择的流量控制也在这MAC层实现。

例如，在现有方案中，典型的二层组网如图1所示，图1为二层网络及加密诉求示意图，该二层网络包括机房A和机房B，在机房B中有两个终端设备，网络地址分别为10.1.1.2和10.1.1.3。当机房B的网络中新出现一个网络地址为10.1.1.2的终端设备时，该终端设备通过二层交换机接入网络，连接到网络地址为10.1.1.1三层网关上。在该二层网络中，不同机房之间进行数据传输时，两个机房之间的流量通过明文进行传输。这种组网方式存在信息传输的过程中数据容易被窃取，具有安全隐患的技术问题。所以，为了保障数据的安全性，在该二层网络中，机房A和机房B中之间存在需要对网络组网加密的诉求。

现有技术中，二层网络的ARP学习过程如图2所示，当机房B中网络地址为10.1.1.2的一个终端设备需要加入二层网络时，终端设备发起ARP请求，经过二层交换机送达到网关设备10.1.1.1中。当网关设备收到ARP请求后，需要向终端设备回复ARP应答，网关设备发送ARP应答报文到终端设备，完成ARP学习后终端设备就知道了网关的IP地址与MAC地址的对应关系，后续发送IP报文时，终端设备将网关的MAC封装到以太头中以向网关发送报文。

在本发明所公开的技术方案中，将加密设备插入接入交换机与网关之间，加密设备启用ARP代理，对于终端设备进行网关的ARP代理，对于网关设备进行终端的ARP代理可以兼容已有的二层组网，实现三层网络加密，解决了二层组网扩容加密的组网问题，达到用户对于网络变化无感知的效果。

下面结合图3-图5描述本发明的基于加密机制的网络通信方法、装置。

图3所示为本发明实施例所提供的基于加密机制的网络通信方法的步骤流程图，所述基于加密机制的网络通信方法包括：

步骤101：当第一子网中的终端设备通过交换机向多个子网间的网关发送ARP请求消息时，位于所述交换机和所述网关之间的加密路由器拦截所述ARP请求消息；

步骤102：所述加密路由器向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

步骤103：所述终端设备经由所述交换机并根据所述加密路由器的MAC地址向所述加密路由器发送报文；

步骤104：所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网。

以下对上述步骤101~104进行具体描述。

上述步骤101中，当第一子网中的终端设备通过交换机向多个子网间的网关发送ARP请求消息时，位于所述交换机和所述网关之间的加密路由器拦截所述ARP请求消息。

示例性地，在二层网络中，通信网络包括多个通信子网，每个子网包括终端设备和二层交换机，不同的子网连接到一个三层网关。图4为本发明实施例提供的ARP代理及加密示意图，在该通信网络中，包括第一子网（机房B）和第二子网（机房A），不同的子网通过同一个网关互联。为了在兼容已有二层组网的情况下实现三层组网加密，在二层交换机和三层网关之间设置了加密路由器，加密路由器可以代理网关的功能。

如图4所示，当第一子网（机房B）中出现一个需要入网的终端设备时，该终端设备通过交换机向网关发送ARP请求消息，其中，在该通信网络中，网关为连接多个子网的网关，在交换机和网关之间插入了的加密路由器。当加密路由器捕捉到终端设备发送给网关的ARP请求消息时拦截所述ARP请求消息。图4为本发明实施例提供的ARP代理及加密示意图，在第一子网（机房B）中，二层交换机和网关之间添加了加密路由器，该加密路由器可以获取网络地址为10.1.1.2的终端设备所发送的ARP请求消息。

上述步骤102中，所述加密路由器向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息。

示例性地，当加密路由器拦截了ARP请求消息后，加密路由器解析ARP请求消息，当确定有终端设备入网时，加密路由器将自身的MAC地址装载到ARP应答消息中，并将ARP应答消息返回到二层交换机，交换机再将ARP应答消息返回到终端设备。

上述步骤103 中，所述终端设备经由所述交换机并根据所述加密路由器的MAC地址向所述加密路由器发送报文。

示例性地，当终端设备需要进行数据传输而发送报文到网关时，由于加密路由器代理了网关的功能向终端设备返回了MAC地址，所以当终端设备发送数据时所确定的目的地址为加密路由器的MAC地址，终端设备将该MAC地址加载到报文中以在第一子网（机房B）中进行数据传输。

上述步骤104 中，所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网（机房A）。

示例性地，在加密路由器收到终端设备发送的报文后，对报文进行三层转发，经由网关传输并通过加密隧道将报文发送至报文所指向的目标终端所在的第二子网（机房A）。

在本发明所公开的技术方案中，在二层网络中的二层交换机和三层网关之间插入加密路由器，通过加密路由器代理三层网关的功能，可以兼容已有的二层组网，实现三层网络加密，解决了二层组网扩容加密的组网问题。通过该方式插入加密设备能够使加密路由连接到三层加密隧道，且能够兼容现有的二层组网，降低了网络部署难度，达到用户对于网络变化无感知的效果。

进一步地，在本发明所公开的技术方案中，在步骤104中，所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网（机房A）包括：在所述加密路由器接收到所述报文后，将所述报文进行加密，并将所述加密后的报文传输至所述网关，以触发所述网关将所述加密后的报文传输至所述第二子网（机房A）。

示例性地，加密路由器主要是实现对数据传输过程的加密，在使用加密路由器的时候，对于应用层未加密处理的数据，在网络传输中以明文的方式进行传输，所以存在被窃取或监听的风险。通过加密路由器对两点之间传输的数据进行加密，可以避免数据被窃取和监听。当加密路由器接收到报文后，为了保障数据的安全，对所述以明文方式传输的报文进行加密，防止存在安全隐患。加密路由器对并报文进行加密后，将报文传输至网关以触发网关将加密后的报文传输至到第二子网（机房A）。

进一步地，所述加密路由器和所述交换机通过第一物理端口连接，所述加密路由器和所述网关通过第二物理端口连接，其中，所述第一物理端口和所述第二端口物理位于同一个虚拟局域网。

示例性地，将加密路由器部署在二层交换机的上游后，加密路由器对下与二层交换机通过第一物理端口互联，第一物理端口为二层端口。加密路由器对上与网关通过第二物理端口互联，第二物理端口为二层端口。同时，网络通信系统将这两个物理端口加入同一个虚拟局域网（vlan）。

进一步地，所述方法还包括：在所述加密路由器通过所述加密通道将所述报文传输至所述第二子网（机房A）之前，在所述加密路由器和所述第二子网（机房A）中的加密路由器之间建立所述加密通道。

示例性地，当第一子网（机房B）的加密路由器安插到二层交换机的上游后，为了保障数据在传输过程中的安全性和稳定性，随后与第二子网（机房A）的加密路由器建立用于数据传输的加密隧道。如图4所示，网络通信系统在机房B到机房A之间建立了加密隧道。当加密隧道建立起来后，用户数据流量直接进入加密隧道加密后再发送到网关，最终到达机房A，随后加密路由器对接收到的加密报文进行解密。

进一步地，所述在所述加密路由器和所述第二子网（机房A）中的加密路由器之间建立所述加密通道包括：所述加密路由器通过启用预设的逻辑端口并经由网关与所述第二子网（机房A）中的加密路由器建立所述加密通道。

示例性地，当加密路由器需要和第二子网（机房A）中的加密路由器之间建立加密通道时，加密路由器需要启用预设的逻辑端口。具体来说，加密路由器启用VLANIF端口，VLANIF端口属于逻辑接口，逻辑接口是指物理上不存在且需要通过配置建立的接口，该VLANIF端口路由指向网关，地址与网关同网段。加密路由器启用VLANIF端口经过网关最终与第二子网（机房A）中的加密路由器实现网络互通，建立加密隧道。

进一步地，所述加密路由器拦截所述ARP请求消息包括：所述加密路由器根据所述ARP请求消息中的以太帧头中的协议号拦截所述ARP请求消息。

示例性地，终端设备发送的ARP请求报文中有特定的以太头的协议号，该协议报文在常规二层接口转发时会广播到同一个虚拟局域网内除入口外的其它所有接口。加密路由器需要对该处理方式进行优化，在入口处根据协议号识别ARP请求报文后对其进行拦截，向上送传送到加密路由器的CPU进行处理，并在后续对ARP请求消息进行ARP代理应答。

进一步地，所述方法还包括：在所述加密路由器拦截所述ARP请求消息之前，所述加密路由器通过启用ARP代理功能来代理所述网关应答所述ARP请求消息。

示例性地，在现有技术中，终端设备向三层网关发送了ARP请求后，在未插入加密路由器之前由网关进行ARP应答，应答报文中封装了网关的MAC地址。在本发明所公开的技术方案中，加密路由器通过启用ARP代理功能来代理三层网关的网关功能。二层网络中插入了加密路由器后，加密路由器拦截ARP请求，并代理网关进行ARP应答，将加密路由器的MAC封装到ARP应答中。最终在终端的ARP表中，网关IP地址对应的ARP条目信息中的MAC地址并不是网关真实的MAC地址，而是加密路由器的MAC。

如图5所示，基于与本发明实施例一种基于加密机制的网络通信方法同样的发明构思，本发明还提供了一种基于加密机制的网络通信方法，用于加密路由器，其特征在于，所述方法包括：

步骤201：拦截第一子网中的终端设备通过交换机向多个子网间的网关发送的ARP请求消息；

步骤202：向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

步骤203：接收所述终端设备经由所述交换机并根据所述加密路由器的MAC地址发送的报文，并经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网。

如图6所示，基于与本发明实施例一种基于加密机制的网络通信方法同样的发明构思，本发明还提供了一种基于加密机制的网络通信装置，用于加密路由器，其特征在于，所述装置包括：

消息拦截单元301，用于拦截第一子网中的终端设备通过交换机向多个子网间的网关发送的ARP请求消息；

应答单元302，用于向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

报文处理单元303，用于接收所述终端设备经由所述交换机并根据所述加密路由器的MAC地址发送的报文，并经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网。

此外，所述的基于加密机制的网络通信装置其他方面以及实现细节与前面所描述的基于加密机制的网络通信方法相同或相似，在此不再赘述。

根据本发明的另一方面，本发明还提供一种存储介质，所述存储介质中存储有多条指令，所述指令适于由处理器加载以执行如上所述的任一基于加密机制的网络通信方法。

综上所述，虽然本发明已以优选实施例揭露如上，但上述优选实施例并非用以限制本发明，本领域的普通技术人员，在不脱离本发明的精神和范围内，均可作各种更动与润饰，因此本发明的保护范围以权利要求界定的范围为准。

Claims (8)

1.一种基于加密机制的网络通信方法，其特征在于，所述方法包括：

当第一子网中的终端设备通过交换机向多个子网间的网关发送ARP请求消息时，位于所述交换机和所述网关之间的加密路由器拦截所述ARP请求消息；

所述加密路由器向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

所述终端设备经由所述交换机并根据所述加密路由器的MAC地址向所述加密路由器发送报文；

所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网；

其中，在所述加密路由器通过所述加密通道将所述报文传输至所述第二子网之前，在所述加密路由器和所述第二子网中的加密路由器之间建立所述加密通道；

所述加密路由器经由所述网关并在加密通道将所述报文传输至所述报文所指向的目标终端所在的第二子网包括：

在所述加密路由器接收到所述报文后，将所述报文进行加密，并将所述加密后的报文传输至所述网关，以触发所述网关将所述加密后的报文传输至所述第二子网。

2.如权利要求1所述的方法，其特征在于，所述加密路由器和所述交换机通过第一物理端口连接，所述加密路由器和所述网关通过第二物理端口连接，其中，所述第一物理端口和所述第二物理端口位于同一个虚拟局域网。

3.如权利要求2所述的方法，其特征在于，所述在所述加密路由器和所述第二子网中的加密路由器之间建立所述加密通道包括：

所述加密路由器通过启用预设的逻辑端口并经由网关与所述第二子网中的加密路由器建立所述加密通道。

4.如权利要求1所述的方法，其特征在于，所述加密路由器拦截所述ARP请求消息包括：

所述加密路由器根据所述ARP请求消息中的以太帧头中的协议号拦截所述ARP请求消息。

5.如权利要求1所述的方法，其特征在于，所述方法还包括：

在所述加密路由器拦截所述ARP请求消息之前，所述加密路由器通过启用ARP代理功能来代理所述网关应答所述ARP请求消息。

6.一种基于加密机制的网络通信方法，用于加密路由器，其特征在于，所述方法包括：

拦截第一子网中的终端设备通过交换机向多个子网间的网关发送的ARP请求消息；

向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

接收所述终端设备经由所述交换机并根据所述加密路由器的MAC地址发送的报文，并经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网；

其中，在所述经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网之前，和所述第二子网中的加密路由器建立所述加密通道；

所述经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网包括：

在接收到所述报文后，将所述报文进行加密，并将所述加密后的报文传输至所述网关，以触发所述网关将所述加密后的报文传输至所述第二子网。

7.一种基于加密机制的网络通信装置，用于加密路由器，其特征在于，所述装置包括：

消息拦截单元，用于拦截第一子网中的终端设备通过交换机向多个子网间的网关发送的ARP请求消息；

应答单元，用于向所述终端设备返回携载了所述加密路由器的MAC地址的ARP应答消息；

报文处理单元，用于接收所述终端设备经由所述交换机并根据所述加密路由器的MAC地址发送的报文，并经由所述网关将所述报文在加密通道中传输至所述报文所指向的目标终端所在的第二子网；

其中，所述报文处理单元还用于，在所述加密路由器通过所述加密通道将所述报文传输至所述第二子网之前，在所述加密路由器和所述第二子网中的加密路由器之间建立所述加密通道；

所述报文处理单元还用于，在所述加密路由器接收到所述报文后，将所述报文进行加密，并将所述加密后的报文传输至所述网关，以触发所述网关将所述加密后的报文传输至所述第二子网。

8.一种存储介质，其特征在于，所述存储介质中存储有多条指令，所述指令适于由处理器加载以执行如权利要求6所述的方法。

Images