CN114301632A - 一种IPsec数据处理方法、终端及存储介质 - Google Patents

Abstract

本申请涉及一种IPsec数据处理方法、终端及存储介质，属于网络安全的技术领域，其方法包括：获取当前数据流的第一个数据包；记录第一个数据包的五元组信息，获得会话五元组；查找SA；基于会话五元组建立会话；将SA记录到会话中；获取当前数据流的后续数据包；记录后续数据包的五元组信息，获得后续五元组；判断后续五元组与会话五元组是否匹配；若是，则提取会话中的SA；基于SA对后续数据包进行加密或解密。本申请具有提高IPsec加密或解密的速度，降低IPsec协议栈处理数据包的开销的效果。

Description

一种IPsec数据处理方法、终端及存储介质

技术领域

本申请涉及网络安全的技术领域，尤其是涉及一种IPsec数据处理方法、终端及存储介质。

背景技术

目前IPsec作为一种在IP层对数据进行加密认证的网络传输协议在网络安全领域发挥越来越重要的作用。IPsec协议对数据的保护主要通过认证头(AH)、封装安全载荷（ESP）、安全关联（SA）、秘钥协议（IKE）四部分来完成。

随着不同多样化的应用场景的出现，以及网络数据量吞吐的增加，IPsec隧道增多，IPsec加解密的效率成为了限制性能的主要因素。虽然可以通过一些硬件加解密机制来提升IPsec加解密的效率，但是这一方面增加了硬件成本，另一方面这种做法并没降低IPsec协议栈处理数据包的开销。

发明内容

为了降低IPsec协议栈处理数据包的开销，本申请提供一种IPsec数据处理方法、终端及存储介质。

第一方面，本申请提供一种IPsec数据处理方法，采用如下的技术方案：

一种IPsec数据处理方法，包括：

获取当前数据流的第一个数据包；

记录所述第一个数据包的五元组信息，获得会话五元组；

查找SA；

基于所述会话五元组建立会话；

将所述SA记录到所述会话中；

获取当前数据流的后续数据包；

记录所述后续数据包的五元组信息，获得后续五元组；

判断所述后续五元组与所述会话五元组是否匹配；

若是，则提取所述会话中的SA；

基于所述SA对所述后续数据包进行加密或解密。

通过采用上述技术方案，记录当前数据流的第一个数据包的五元组信息，获得会话五元组，然后根据会话五元组建立会话，然后查找与第一个数据包匹配的SA，并将SA记录到会话上，方式较为简便。然后获取当前数据流后续的数据，即后续数据包，并根据后续数据包的五元组信息获取后续五元组，当后续五元组与会话五元组匹配时，提取当前会话上的SA，然后通过提取到的SA对数据流中通过的后续数据包进行加密或者解密，不需要每次处理数据包的时候都重新查找SA，从而能提高IPsec加密或解密的速度，降低IPsec协议栈处理数据包的开销。

作为优选，所述查找SA的方式对于解密方向是基于三元组查找，对于加密方向是基于路由信息查找。

通过采用上述技术方案，通过三元组和路由信息查找SA较为方便快捷，能够提高查找效率。

作为优选，所述提取所述会话中的SA之前还包括：

根据所述后续五元组获取哈希值；

获取哈希表；

所述哈希表包括相互关联的预设哈希值和预设会话；

将所述哈希值与所述预设哈希值进行匹配，并获得匹配结果；

当所述匹配结果为匹配成功时，获取所述哈希表中相应的所述预设会话；

将所述预设会话作为所述会话。

通过采用上述技术方案，根据后续

五元组获取哈希值，然后获取哈希表，并将哈希值与哈希表中的预设哈希值进行匹配，当匹配成功之后获取哈希表中的预设会话，然后将预设会话作为会话。进而能够有效的提高会话获取的准确性。

作为优选，当所述匹配结果为不成功时，执行如下步骤：

记录匹配不成功的所述哈希值；

查找新SA；

基于所述哈希值建立新会话；

将所述新SA记录到所述新会话上。

通过采用上述技术方案，当哈希值与预设哈希值匹配不成功，说明此时会话还未创建，此时记录后续五元组并根据后续五元组建立新会话，同时查找新SA，并将新SA记录到新会话上，能够有效的将不同的数据包建立新的会话，从而方便后续数据包的处理，进而能够提高数据的处理速度。

作为优选，所述查找新SA之前还包括：

判断所述后续五元组是否完整；

若是，则继续执行后续步骤；

若否，则停止执行。

通过采用上述技术方案，判断后续五元组是否完整能够有效的节省时间，当不完整时，说明数据包有缺陷，则不需要继续建立新会话，从而能够节省数据的处理时间。

作为优选，所述记录所述第一个数据包的五元组信息之后还包括：

判断所述五元组信息是否完整；

若否，则获取所述当前数据流的下一个数据包，作为新的所述第一个数据包；

若是，则进行下一步。

通过采用上述技术方案，对第一个数据的五元组信息的完整性进行判断，能够确保开始获取的五元组信息完整，能够降低由于五元组信息不完整造成的后续查找过程出现错误的可能性，从而能够提高查找效率。

第二方面，本申请提供一种智能终端，采用如下的技术方案：

一种智能终端，包括：

存储器，存储有智能计算程序；

处理器，在运行所述智能计算程序时，能够执行上述任一项所述方法的步骤。

通过采用上述技术方案，存储器能够对信息进行存储，处理器能够对信息进行调取并发出控制指令，保证程序的有序执行并实现上述方案的效果。

第三方面，本申请提供一种计算机可读存储介质，采用如下的技术方案：

一种计算机可读存储介质，存储有能够被处理器加载并执行上述任一种方法的计算机程序。

通过采用上述技术方案，当所述计算机可读存储介质被装入任一计算机后，任一计算机就能执行本申请提供的一种文档自动化审查方法。

综上所述，本申请包括以下至少一种有益技术效果：

通过获取已经建立的会话上的SA，然后通过提取到的SA对数据流中通过的数据包进行加密或者解密，不需要每次处理数据包的时候都重新查找SA，从而能提高IPsec加密或解密的速度，降低IPsec协议栈处理数据包的开销。

附图说明

图1是本申请实施例提供的一种IPsec数据处理方法的整体流程图；

图2是本申请实施例中获取会话的流程示意图；

图3是本申请实施例中判断后续五元组完整性的流程示意图；

图4是本申请实施例中建立新会话的流程示意图；

图5是本申请实施例中判断五元组信息是否完整的流程示意图。

具体实施方式

以下结合附图1-5对本申请作进一步详细说明。

本申请实施例公开一种IPsec数据处理方法。

参照图1，IPsec数据处理方法包括：

S1.获取当前数据流的第一个数据包；

S2.记录第一个数据包的五元组信息，获得会话五元组；

S3.查找SA；

S4.基于会话五元组建立会话；

S5.将SA记录到会话中；

S6.获取当前数据流的后续数据包；

S7.记录后续数据包的五元组信息，获得后续五元组；

S8.判断后续五元组与会话五元组是否匹配；

S9.若是，则提取会话中的SA；

S10.基于SA对后续数据包进行加密或解密。

首先获取当前数据流的第一个数据包，同时记录第一个数据包的五元组信息，也就是源IP地址、源端口、目的IP地址、目的端口和传输层协议这五个量，从而获得会话五元组。然后查找SA，且在本实施例中，SA的查找方式对于解密方向是基于三元组进行查找，具体的首先从数据包中获取到三元组信息，然后根据三元组信息计算哈希值，利用哈希值查找到当前需要解密的流的SA，对于加密方向是基于路由信息进行查找。具体的首先从数据包中获取到源IP和目的IP然后查找路由，此时查找到的应该是ipsec接口，每个ipsec口都绑定了相应的SA。路由信息包括：源IP、目的IP、接口、优先级。三元组包括：源IP协议号、目的IP地址和SPI这三个量。查找到的SA与第一个数据包相互匹配，然后通过SA能够对第一个数据包加密或者解密，然后根据获得的会话五元组建立会话，也就是根据第一个数据包的五元组信息建立会话，并将匹配的SA记录到当前数据流的会话上。之后，才可以从会话上提取被记录的SA。

当前数据流中创建会话之后，当前数据流中包含对数据包进行加密的SA，当会话建立之后，之后的同一个数据流中数据包进入到当前数据流中进行处理时，提取会话上的SA，然后基于SA对当前的数据包进行加密或者解密。因而不需要每次处理数据包的时候都重新查找SA，从而能提高IPsec加密或解密的速度，降低IPsec协议栈处理数据包的开销。

且，在提取SA之前记录后续数据包的五元组信息，获得后续五元组，并判断后续五元组与会话五元组是否匹配，即判断源IP地址、源端口、目的IP地址、目的端口和传输层协议这五个量是否相同，如果相同就是匹配成功，如果匹配则提取会话中的SA，能够进一步提高匹配的SA的准确性。

进一步的，当需要对当前数据流中后续的数据包进行加密或者解密，则需要对后续数据包中的五元组信息进行匹配，使当前数据流中后续数据包中的五元组信息与会话中的会话五元组匹配，因此在提取会话上的SA之前，参照图2，还包括如下步骤：

S21：根据后续五元组获取哈希值；

S22：获取哈希表；

S23：将哈希值与预设哈希值进行匹配，并获得匹配结果；

S24：当匹配结果为匹配成功时，获取哈希表中相应的预设会话；

S25：将预设会话作为会话。

具体来说，首先获取当前数据流中后续数据包的五元组信息，也就是后续五元组。然后根据后续五元组获取哈希值，接着获取哈希表，哈希表中包括相互关联的预设哈希值和预设会话。接着将哈希值与预设哈希值进行匹配，并获得匹配结果。哈希表为一个预设的表，预设哈希值与预设会话一一对应。当匹配结果为匹配成功时，也就是哈希表中能够查找到与哈希值对应的预设哈希值，此时获取哈希表中的预设会话，并将预设会话作为会话。

如果匹配成功，也就是根据五元组的哈希值能够找到会话，那么就可以判断当前数据包可以使用当前会话进行数据转发，此时就可以从当前数据流中获取基于第一个数据包建立的会话，因而才可以从这个会话中提取到SA对后续的数据包进行加密或者解密，从而能够尽可能的保证数据包有序且有效的进行加密或者解密，同时通过五元组信息的查找，也能提高获取会话的准确性。

参照图3，进一步的，当会话五元组与后续五元组之间对比不成功时，会有两种情况产生，第一种是后续五元组的五个量中有缺失，导致对比不成功；另一种则是后续五元组完整，但是五元组中的信息相互不同，此时就需要对后续五元组的完整性进行判断，因此包括以下步骤：

S31：判断后续五元组是否完整；

S32：若是，则继续执行后续步骤；

S33：若否，则停止执行。

具体来说，判断查找不成功的后续五元组是否完整，也就是对后续五元组的五个量，源IP地址、源端口、目的IP地址、目的端口和传输层协议进行逐一的判断，例如首先判断这个五个量是否有缺失，如果有缺失则说明五元组不完整，否则，就是完整的。在五个量没有缺失的情况下，在对每一个量中的信息进行判断，例如判断源IP地址中的地址是否有缺失，传输协议是否有缺失等，如果有缺失，则证明后续五元组不完整，此时可以停止对该组数据包的处理，从而能够减少后续的不必要的信息处理。

而如果后续五元组是完整的，那么就需要对相应的数据包进行后续的处理，参照图4，具体包括如下步骤：

S41：记录匹配不成功的哈希值；

S42：查找新SA；

S43：基于后续五元组建立新会话；

S44：将新SA记录到新会话上。

具体来说，记录匹配不成功的哈希值，也就是记录匹配不成功但完整的后续五元组，也就是获取了对应的后续数据包，然后通过三元组或者路由信息再次查找SA，从而获得新SA，此时根据后续五元组建立一个新的会话，新的会话是以后续五元组为新的匹配基础，此时在将新SA记录到新会话上，从而获得一个与开始的会话不同的新会话。

对后续出现的数据包获取五元组信息时，可以基于五元组信息进行筛选，从而获得匹配的会话，然后从会话中提取相应的SA对数据包进行加密或解密。

参照图5，进一步的，为了进一步提高数据的查找效率，记录第一个数据包的五元组信息之后还包括如下步骤；

S51.判断五元组信息是否完整；

S52.若否，则获取当前数据流的下一个数据包，作为新的第一个数据包；

S53.若是，则进行下一步。

具体来说，对第一个数据的五元组信息的完整性进行判断，也就是判断源IP地址、源端口、目的IP地址、目的端口和传输层协议这五个量中的信息是否完整，有没有缺失。

如果五元组信息完整，就继续进行下一步，也就是判断所述后续五元组与所述会话五元组是否匹配。如果五元组信息不完整，此时就获取当前数据流中的下一个数据包，也就是第一个数据包之后的下一个数据包，并作为新的第一个数据，从而重新获取五元组信息。

能够确保开始获取的五元组信息完整，能够降低由于五元组信息不完整造成的后续查找过程出现错误的可能性，进而降低后续步骤中查找SA出现错误情况发生的可能性，从而能够提高查找效率。

本申请实施例一种IPsec数据处理方法的实施原理为：当当前数据流的会话建立完成之后，基于当前数据流中通过的数据包，提取当前会话上的SA，然后通过提取到的SA对数据流中通过的数据包进行加密或者解密，不需要每次处理数据包的时候都重新查找SA，从而能提高IPsec加密或解密的速度，降低IPsec协议栈处理数据包的开销。

本申请实施例还公开一种智能终端。

智能终端包括存储器和处理器。存储器，存储有智能计算程序。处理器，运行智能计算程序时执上述IPsec数据处理方法的步骤。智能计算程序能够采用公知的处理程序对信息进行识别、判断、加密、解密和会话的建立等一些列步骤，从而实现提高IPsec数据处理速度。

本申请实施例还公开一种计算机可读存储介质，其存储有能够被处理器加载并执行如上述的IPsec数据处理方法的计算机程序，该计算机可读存储介质例如包括：U盘、移动硬盘、只读存储器(Read-OnlyMemory，ROM)、随机存取存储器(RandomAccessMemory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质

以上均为本申请的较佳实施例，并非依此限制本申请的保护范围，故：凡依本申请的结构、形状、原理所做的等效变化，均应涵盖于本申请的保护范围之内。

Claims (8)

1.一种IPsec数据处理方法，其特征在于，包括：

获取当前数据流的第一个数据包；

记录所述第一个数据包的五元组信息，获得会话五元组；

查找SA；

基于所述会话五元组建立会话；

将所述SA记录到所述会话中；

获取当前数据流的后续数据包；

记录所述后续数据包的五元组信息，获得后续五元组；

判断所述后续五元组与所述会话五元组是否匹配；

若是，则提取所述会话中的SA；

基于所述SA对所述后续数据包进行加密或解密。

2.根据权利要求1所述的方法，其特征在于：所述查找所述SA的方式对于解密方向是基于三元组查找，对于加密方向是基于路由信息查找。

3.根据权利要求1所述的方法，其特征在于，所述提取所述会话中的SA之前还包括：

根据所述后续五元组获取哈希值；

获取哈希表；

所述哈希表包括相互关联的预设哈希值和预设会话；

将所述哈希值与所述预设哈希值进行匹配，并获得匹配结果；

当所述匹配结果为匹配成功时，获取所述哈希表中相应的所述预设会话；

将所述预设会话作为所述会话。

4.根据权利要求3所述的方法，其特征在于，当所述匹配结果为不成功时，执行如下步骤：

记录匹配不成功的所述哈希值；

查找新SA；

基于所述哈希值建立新会话；

将所述新SA记录到所述新会话上。

5.根据权利要求4所述的方法，其特征在于，所述查找新SA之前还包括：

判断所述后续五元组是否完整；

若是，则继续执行后续步骤；

若否，则停止执行。

6.根据权利要求1所述的方法，其特征在于，所述记录所述第一个数据包的五元组信息之后还包括：

判断所述五元组信息是否完整；

若否，则获取所述当前数据流的下一个数据包，作为新的所述第一个数据包；

若是，则进行下一步。

7.一种智能终端，其特征在于，包括：

存储器，存储有智能计算程序；

处理器，在运行所述智能计算程序时，能够执行如权利1至6任一项所述方法的步骤。

8.一种计算机可读存储介质，其特征在于：存储有能够被处理器加载并执行如权利要求1至6中任一种方法的计算机程序。

Images