CN114465755B - 基于IPSec传输异常的检测方法、装置及存储介质 - Google Patents

Abstract

本发明一种基于IPSec传输异常的检测方法、装置及存储介质，其中方法包括获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若否查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动IPSec策略的接口和IPSec接口已配置所述NAT策略；将NAT策略引用的ACL所拒绝的IP地址设为IPSec引用的ACL中的IP地址和将IPSec引用的ACL匹配为经过NAT策略转换后的IP地址。本发明避免对IPSec保护的数据流进行NAT转换，实现对IPSec传输异常的检测和修复，提高了用户体验。

Description

基于IPSec传输异常的检测方法、装置及存储介质

技术领域

本发明涉及数据传输检测技术领域，具体涉及一种基于IPSec传输异常的检测方法、装置及存储介质。

背景技术

IPSec(Internet Protocol Security)互联网安全协议，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议，其目的是为互联网协议IPv4和IPv6提供具有较强的互操作能力、高质量以及基于密码的安全，包括加密、认证和数据防篡改功能，确保用户数据可以通过安全的IPSec隧道实现端到端的安全、保密传输。

现如今IPSec已经成为架构虚拟专用网络(Virtual Private Network，VPN)的基础，具备良好的安全性；由于IPSec是IP层上的协议，因此很容易在全世界范围内形成一种规范，具有非常好的通用性；IPSec不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协议认证头(Authentication Header，AH)、封装安全有效载荷(Encapsulating Security Payload，ESP)协议、密钥管理协议(Internet KeyExchange，IKE)和用于网络认证及加密的一些算法等。

但是现有的VPN系统在使用IPSec隧道建立成功之后往往会出现传输异常，进而导致用户无法获知传输异常的原因并进行修复。

发明内容

本发明的目的在于提供一种基于IPSec传输异常的检测方法、装置及存储介质，可以解决现有技术中现有的VPN系统在使用IPSec隧道建立成功之后，出现传输异常时用户无法获知传输异常原因的问题。

本发明的目的是通过以下技术方案实现的：

本发明提供一种基于IPSec传输异常的检测方法，包括以下步骤：

步骤S1、获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；

步骤S2、检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若是则判定运营商对IPSec报文进行了限制，若否则执行后续步骤；

步骤S3、查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动所述IPSec策略的接口和IPSec接口已配置所述NAT策略，则进入下一步；

步骤S4、将所述NAT策略引用的ACL所拒绝的IP地址设为所述IPSec引用的ACL中的IP地址和将所述IPSec引用的ACL匹配为经过NAT策略转换后的IP地址。

进一步的，所述执行后续步骤还具体指：

检测IPSec策略是否正确应用到IPSec隧道接口上；

检测ACL保护的数据流是否包含真实的业务网段，若否则检测IPSec节点两端的ACL是否配置正确；

检测IPSec的认证算法是否为SHA-2加密算法，若是则检测获取的加密报文是否被丢弃；

加密报文未被丢弃且IPSec连接认证失败则将IPSec节点两端的加密算法设为一致。

进一步的，所述检测IPSec节点两端的ACL是否配置正确的条件包括：

若所述IPSec节点两端之间设有NAT设备，则检测所述NAT设备是否开启NAT穿越，若否则开启所述NAT穿越。

进一步的，所述开启所述NAT穿越之前，检测所述NAT穿越的安全协议是否为ESP协议，若否则修改为ESP协议。

本发明还提供一种IPSec传输装置，所述IPSec传输装置包括至少一个处理器以及与所述处理器通信连接的存储器；

所述存储器存储有被所述处理器执行的指令，所述指令被所述处理器执行，以使所述处理器执行前述的基于IPSec传输异常的检测方法。

本发明还提供一种存储介质，所述的存储介质中存储有计算机程序，运行所述计算机程序，执行前述的基于IPSec传输异常的检测方法。

本发明的有益效果在于：

本发明通过获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若是则判定运营商对IPSec报文进行了限制；查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动所述IPSec策略的接口和IPSec接口已配置所述NAT策略；将所述NAT策略引用的ACL所拒绝的IP地址设为所述IPSec引用的ACL中的IP地址和将所述IPSec引用的ACL匹配为经过NAT策略转换后的IP地址。本发明避免对IPSec保护的数据流进行NAT转换，实现对IPSec传输异常的检测和修复，提高了用户体验。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见的，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为基于IPSec传输异常的检测方法一个实施例的步骤示意图；

图2为基于IPSec传输异常的检测方法另一个实施例的步骤示意图；

图3为IPSec传输装置组成示意图。

附图标记如下：

110-处理器、120-存储器。

具体实施方式

下面结合附图对本公开实施例进行详细描述。

以下通过特定的具体实例说明本公开的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本公开的其他优点与功效。显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。本公开还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本公开的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

请参阅图1，本申请实施例提供一种基于IPSec传输异常的检测方法，包括以下步骤：

步骤S1、获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；

在本申请的实施例中，采用了四层TCP/IP通讯协议包括第一层网络访问层，第二层网络层，第三层传输层，第四层应用层。

步骤S2、检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若是则判定运营商对IPSec报文进行了限制，若否则执行后续步骤；

步骤S3、查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动所述IPSec策略的接口和IPSec接口已配置所述NAT策略，则进入下一步；

步骤S4、将所述NAT策略引用的ACL所拒绝的IP地址设为所述IPSec引用的ACL中的IP地址和将所述IPSec引用的ACL匹配为经过NAT策略转换后的IP地址。

本实施例中，需要说明的是，转发流程中IPSec模块应位于NAT模块(NAT Server、目的NAT和源NAT)之后，故应确保NAT Server和目的NAT不影响IPSec对保护的数据流的处理。

进一步的，请参阅图2，本申请的基于IPSec传输异常的检测方法另一个实施例包括：

步骤S201、获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；

步骤S202、检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若是则判定运营商对IPSec报文进行了限制，若否则执行后续步骤；

步骤S203、检测IPSec策略是否正确应用到IPSec隧道接口上；

步骤S204、检测ACL保护的数据流是否包含真实的业务网段，若否则检测IPSec节点两端的ACL是否配置正确；

需要说明的是，IPSec节点两端的ACL配置非正确或不同意则对应进行修改；进一步优选地，查看是否已启用IPSec策略的接口；查看IPSec接口是否已配置NAT策略；若已启动IPSec策略的接口和已配置NAT策略，则将NAT引用的ACL规则所拒绝的IP地址设为IPSec引用的ACL规则中的IP地址、和将IPSec引用的ACL规则匹配为经过NAT转换后的IP地址。

步骤205、检测IPSec的认证算法是否为SHA-2加密算法，若是则检测获取的加密报文是否被丢弃；

IPSec的认证算法不仅仅限于SHA-2加密算法，在此不做具体限定，IPSec的认证算法还可以为：SHA加密算法、MD5加密算法等。

步骤S206、加密报文未被丢弃且IPSec连接认证失败则将IPSec节点两端的加密算法设为一致。

所述检测IPSec节点两端的ACL是否配置正确的条件包括：

若所述IPSec节点两端之间设有NAT设备，则检测所述NAT设备是否开启NAT穿越，若否则开启所述NAT穿越。

IPSec节点两端的加密算法设为一致以实现相互通讯；进一步地，若IPSec节点两端使用的认证算法均为SHA-2加密算法且IPSec节点两端数据传输流量不通、则启用SHA-2算法兼容；IPSec中使用SHA-2算法时，如果IPSec隧道两端设备的厂商不同或两端产品的版本不同，由于不同厂商或者不同产品之间加密解密的方式可能不同，会导致IPSec流量不通，因此需开启SHA-2算法兼容功能，使得两端的加密解密方式相一致。

进一步的，本申请的一种优选实施方式中，所述开启所述NAT穿越之前，检测所述NAT穿越的安全协议是否为ESP协议，若否则修改为ESP协议。

需要说明的是，NAT穿越时安全协议只支持ESP协议。

请参阅图3，本发明还提供一种IPSec传输装置，所述IPSec传输装置包括至少一个处理器110以及与所述处理器110通信连接的存储器120；

处理器110和存储器120可以通过总线或者其他方式连接，图2中以通过总线连接为例。

处理器110用于完成装置10的各种控制逻辑，其可以为通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)、单片机、ARM(Acorn RISCMachine)或其它可编程逻辑器件、分立门或晶体管逻辑、分立的硬件组件或者这些部件的任何组合。还有，处理器110还可以是任何传统处理器、微处理器或状态机。处理器110也可以被实现为计算设备的组合，例如，DSP和微处理器的组合、多个微处理器、一个或多个微处理器结合DSP核、或任何其它这种配置。

存储器120作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块，如本发明实施例中的基于IPSec传输异常的检测方法对应的程序指令。处理器110通过运行存储在存储器120中的非易失性软件程序、指令以及单元，从而执行装置10的各种功能应用以及数据处理，即实现上述方法实施例中的基于IPSec传输异常的检测方法。

存储器120可以包括存储程序区和存储数据区，其中，存储程序区可存储操作装置、至少一个功能所需要的应用程序；存储数据区可存储根据装置10使用所创建的数据等。此外，存储器120可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器120可选包括相对于处理器110远程设置的存储器，这些远程存储器可以通过网络连接至装置10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

所述存储器存储有被所述处理器执行的指令，所述指令被所述处理器执行，以使所述处理器执行前述的基于IPSec传输异常的检测方法。

本发明还提供一种存储介质，所述的存储介质中存储有计算机程序，运行所述计算机程序，执行前述的基于IPSec传输异常的检测方法。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，read-onlymemory)、随机存取存储器(RAM，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上仅为说明本发明的实施方式，并不用于限制本发明，对于本领域的技术人员来说，凡在本发明的精神和原则之内，不经过创造性劳动所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (3)

1.一种基于IPSec传输异常的检测方法，其特征在于，包括以下步骤：

步骤S1、获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；

步骤S2、检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若是则判定运营商对IPSec报文进行了限制，若否，则执行以下步骤：

检测IPSec策略是否正确应用到IPSec隧道接口上；

检测ACL保护的数据流是否包含真实的业务网段，若否则检测IPSec节点两端的ACL是否配置正确，所述检测IPSec节点两端的ACL是否配置正确的条件包括若所述IPSec节点两端之间设有NAT设备，则检测所述NAT设备是否开启NAT穿越，若否则开启所述NAT穿越；

检测IPSec的认证算法是否为SHA-2加密算法，若是则检测获取的加密报文是否被丢弃，加密报文未被丢弃且IPSec连接认证失败，则将IPSec节点两端的加密算法设为一致；

步骤S3、查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动所述IPSec策略的接口和IPSec接口已配置所述NAT策略，则进入下一步；

步骤S4、将所述NAT策略引用的ACL所拒绝的IP地址设为所述IPSec引用的ACL中的IP地址和将所述IPSec引用的ACL匹配为经过NAT策略转换后的IP地址；

所述开启所述NAT穿越之前，检测所述NAT穿越的安全协议是否为ESP协议，若否则修改为ESP协议。

2.一种IPSec传输装置，其特征在于，所述IPSec传输装置包括至少一个处理器以及与所述处理器通信连接的存储器；

所述存储器存储有被所述处理器执行的指令，所述指令被所述处理器执行，以使所述处理器执行权利要求1所述的基于IPSec传输异常的检测方法。

3.一种存储介质，所述的存储介质中存储有计算机程序，其特征在于，运行所述计算机程序，执行权利要求1所述的基于IPSec传输异常的检测方法。