CN115987717A - 一种隧道报文处理方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请实施例提供一种隧道报文处理方法、装置、电子设备及存储介质，涉及边界安全技术领域。该方法包括接收交换板发送的隧道报文；对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。在该方法中，若正反向报文没有分流到同一业务板，则将隧道报文换板至反向报文所在业务板进行处理，保证了会话的完整性，解决了正反向报文由不同业务板处理的问题。

Description

一种隧道报文处理方法、装置、电子设备及存储介质

技术领域

本申请涉及边界安全技术领域，具体而言，涉及一种隧道报文处理方法、装置、电子设备及存储介质。

背景技术

随着Internet的日益膨胀，现有的IPv4地址已经十分紧缺，IPv6地址逐步投入使用，在IPv6成为主流协议之前，如何保证IPv6网络与现有IPv4网络正常通信以及IPv4网络向IPv6平稳过渡的问题亟需解决，IP隧道技术应运而生。

网络安全设备，因部分安全业务模块基于会话正、反向报文处理业务的特点，需保证同一会话的正、反向报文由相同业务板处理，保证会话连接的完整性；对网络安全设备而言，IP隧道报文传输时，一端是正常的IP报文，一端是包含两层IP特征信息的隧道报文，交换板基于源、目的IP哈希分流，存在将会话的正反向报文分流到不同业务板处理的情况。

发明内容

本申请实施例的目的在于提供一种隧道报文处理方法、装置、电子设备及存储介质，若正反向报文没有分流到同一业务板，则将隧道报文换板至反向报文所在业务板进行处理，保证了会话的完整性，解决了正反向报文由不同业务板处理的问题。

本申请实施例提供了一种隧道报文处理方法，应用于业务板，所述方法包括：

接收交换板发送的隧道报文；

对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；

若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。

在上述实现过程中，隧道报文解封装，依据内层报文特征信息哈希计算获取反向报文所在业务板，若正、反向报文分流到不同业务板，通过将隧道报文转板发送到反向报文所在业务板的方式，解决了会话正、反向报文由不同业务板处理的问题，保证了会话的完整性。

进一步地，所述对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板，包括：

对所述隧道报文解封装，以获取内层报文特征信息；

基于所述内层报文特征信息获取反向报文的业务板槽位号；

基于所述业务板槽位号判断正反向报文是否分流到相同业务板。

在上述实现过程中，由内层报文特征信息获取反向报文的业务板槽位号，通过槽位号判断正反向报文是否处于同一业务板，该方法简单快速，不会增加会话信息维护以及实现的复杂度。

进一步地，所述基于所述业务板槽位号判断正反向报文是否分流到相同业务板，包括：

获取当前业务板的本板槽位号；

判断所述本板槽位号是否等于所述业务板槽位号；

若不相等，则正反向报文分流到不同业务板。

在上述实现过程中，通过本板槽位号是否等于业务板槽位号进行判断，简单、快速。

进一步地，所述方法还包括：

若本板槽位号等于所述业务板槽位号，则基于内层报文创建或匹配会话，以对所述隧道报文进行业务处理。

在上述实现过程中，若本板槽位号等于业务板槽位号，则隧道报文可在当前业务板上继续处理。

本申请实施例还提供一种隧道报文处理装置，应用于业务板，所述装置包括：

接收模块，用于接收交换板发送的隧道报文；

判断模块，用于对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；

转板模块，用于若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。

在上述实现过程中，隧道报文解封装，依据内层报文特征信息哈希计算获取反向报文所在业务板，若正、反向报文分流到不同业务板，通过将隧道报文转板发送到反向报文所在业务板的方式，解决了会话正、反向报文由不同业务板处理的问题，保证了会话的完整性。

进一步地，所述判断模块包括：

解封装模块，用于对所述隧道报文解封装，以获取内层报文特征信息；

槽位号获取模块，用于基于所述内层报文特征信息获取反向报文的业务板槽位号；

业务板确定模块，用于基于所述业务板槽位号判断正反向报文是否分流到相同业务板。

在上述实现过程中，由内层报文特征信息获取反向报文的业务板槽位号，通过槽位号判断正反向报文是否处于同一业务板，该方法简单快速，不会增加会话信息维护以及实现的复杂度。

进一步地，所述业务板确定模块包括：

本板槽位号获取模块，用于获取当前业务板的本板槽位号；

槽位号判断模块，用于判断所述本板槽位号是否等于所述业务板槽位号；

业务板确定模块，用于若本板槽位号不等于所述业务板槽位号，则正反向报文分流到不同业务板。

在上述实现过程中，通过本板槽位号是否等于业务板槽位号进行判断，简单、快速。

进一步地，所述装置还包括：

报文处理模块，用于若本板槽位号等于所述业务板槽位号，则基于内层报文创建或匹配会话，以对所述隧道报文进行业务处理。

在上述实现过程中，若本板槽位号等于业务板槽位号，则隧道报文可在当前业务板上继续处理。

本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行计算机程序以使所述电子设备执行上述中任一项所述的隧道报文处理方法。

本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述中任一项所述的隧道报文处理方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种隧道报文处理方法的流程图；

图2为本申请实施例提供的分布式系统下隧道报文处理方法的流程图；

图3为本申请实施例提供的对隧道报文的处理流程图；

图4为本申请实施例提供的业务板是否相同的判断过程流程图；

图5为本申请实施例提供的反向报文业务板的具体处理流程图；

图6为本申请实施例提供的IP隧道使用场景中的报文交互处理示意图；

图7为本申请实施例提供的一种隧道报文处理装置的结构框图；

图8为本申请实施例提供的另一种隧道报文处理装置的结构框图。

图标：

100-接收模块；200-判断模块；210-解封装模块；220-槽位号获取模块；230-业务板判断模块；231-本板槽位号获取模块；232-槽位号判断模块；233-业务板确定模块；300-转板模块；400-报文处理模块。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

实施例1

请参看图1，图1为本申请实施例提供的一种隧道报文处理方法的流程图。该方法可以应用于业务板。为了解决分布式系统下，IP隧道使用场景会话完整性的问题，当前主要采用会话表项信息同步的方式。

IP隧道报文传输，对网络设备而言，存在两种情况：第一种，接收普通IP报文，对外发送隧道报文；接收报文处理并基于IP特征信息创建会话，经过安全业务处理后正向报文封装成隧道报文的形式对外发送，隧道报文发送前判断若反向报文分流到不同业务板，则将正向报文的会话信息同步到反向报文所在业务板。

第二种，接收隧道报文，对外发送普通IP报文，隧道报文处理解封装获取内层报文，基于内层报文特征信息创建会话，并根据内层报文特征信息判断若反向报文分流到不同业务板，则将会话信息同步到反向报文所在业务板；通过会话表项信息同步的方式保证报文处理时同一业务板上会话信息的完整性。

但是IP隧道报文传输处理过程，增加了会话信息同步的处理，会话的更新、修改、删除都需及时同步，增加了会话信息维护及实现的复杂度。

正反向报文在不同业务板上处理，使得应用识别、流重组、应用解码、杀毒、入侵检测等基于正反向报文提供安全业务处理的应用层安全引擎无法正常处理隧道报文。

而本方法通过转板发送的方式，将隧道报文转板发送至反向报文所在业务板进行处理，简单快速，不会增加会话信息维护及实现的复杂度，保证了会话连接的完整性，而且保证如应用识别、流重组、应用解码、杀毒、入侵检测等应用层安全引擎的正常处理流程。

该方法具体包括以下步骤：

步骤S100：接收交换板发送的隧道报文；

步骤S200：对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；

步骤S300：若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。

IP隧道技术是一种数据包封装技术，利用一种网络协议来传输另一种网络协议报文，它将原始IP包封装在另一个数据包的数据净荷中进行传输，当中间网络不支持域中的协议时，能够提供一种在域之间传输数据包的方式，目前较为常用的IP隧道技术有GRE、ISATAP、6in4、6to4等。

如图2所示，为分布式系统下隧道报文处理方法的流程图，交换板接收到报文之后，基于源IP、目的IP将报文哈希分流到对应的业务板进行处理。业务板接收到交换板发送的报文后，首先对该报文进行二、三层解析处理并判断该报文是否为隧道报文。如图3所示，为对隧道报文的处理流程图，步骤S200具体可以包括以下步骤：

步骤S210：对所述隧道报文解封装，以获取内层报文特征信息；

步骤S220：基于所述内层报文特征信息获取反向报文的业务板槽位号；

步骤S230：基于所述业务板槽位号判断正反向报文是否分流到相同业务板。

基于隧道报文内层报文特征信息二次哈希分流，通过将隧道报文转板发送到反向报文所在业务板的方式，实现分布式设备隧道报文传输时会话正反向报文由相同业务板处理的功能，保证了会话连接的完整性，且无需进行会话同步、老化删除等维护工作，降低实现复杂度，该方法的实用性更高。

如图4所示，为业务板是否相同的判断过程流程图，步骤S230具体包括以下步骤：

步骤S231：获取当前业务板的本板槽位号；

步骤S232：判断所述本板槽位号是否等于所述业务板槽位号；

步骤S233：若不相等，则正反向报文分流到不同业务板。

具体地，隧道报文解封装获取内层报文特征信息(反向报文特征信息与隧道报文内层报文特征信息相对应)。

基于内层报文特征信息哈希计算获取反向报文所在业务板槽位号，通过比较反向报文分流后的业务板槽位号是否等于本板业务板槽位号(本板槽位号)，以判断正、反向报文是否分流到相同业务板。

若反向报文分流后的业务板槽位号不等于本板业务板槽位号，即正、反向报文分流到不同业务板，将解析后的隧道报文重新封装恢复成原始隧道报文并转板发送到反向报文所在业务板处理。

如图5所示，为反向报文业务板的具体处理流程图。反向报文所在业务板接收到转板发送过来的隧道报文，对隧道报文进行解封装，基于内层报文创建/匹配会话，经过安全业务处理后将内层报文对外发送。

该方法还包括：

若本板槽位号等于所述业务板槽位号，则基于内层报文创建或匹配会话，以对所述隧道报文进行业务处理。

若正反向报文分流到相同业务板，则基于当前业务根据内层报文创建/匹配会话并继续后续的安全业务处理，之后对外发送。

该方法可应用于防火墙，示例地，如图6所示，为IP隧道使用场景中的报文交互处理示意图，第一主机(PC1)、第二主机(PC2)是两台只支持IPv6协议栈的主机，第一网络安全设备、第二网络安全设备支持IPv4、IPv6双协议栈并且通过IPv4网络相连，第一主机、第二主机之间通过IP隧道技术实现IPv6报文跨IPv4网络的传输。

以第二网络安全设备为例，对网络安全设备而言，正向报文为封装后的隧道报文，外层源IP为对端隧道IP，目的IP为本地隧道IP，内层报文特征信息源IP为PC1的IP，目的IP为PC2的IP；反向报文为PC2的回复报文，源IP为PC2的IP，目的IP为PC1的IP，与隧道报文内层报文特征信息相对应；依据本申请所提供的报文处理方法，报文交互处理过程具体如下：

步骤S11：PC1与PC2通信，组装正常的IPv6报文，源IP为PC1:的IP，目的IP为PC2的IP。

步骤S12：报文到达网络安全设备1，根据目的IP查路由，发现报文需通过IP隧道对外传输，将原始报文封装成隧道报文对外发送，隧道报文外层源IP为网络设备1隧道IP，目的IP为网络设备2的隧道IP，内层源IP为PC1的IP，目的IP为PC2的IP(此时隧道报文内层IP特征信息即为原始IP报文特征信息，基于内层报文哈希分流必然到当前业务板，因此普通报文封装成隧道报文对外发送的情况无需特殊处理)。

步骤S13：隧道报文到达第二网络安全设备，报文首先经过交换板，交换板基于隧道报文外层源、目的IP哈希分流，将报文分流到第一业务板处理。

步骤S14：第一业务板接收到报文并经过二、三层报文解析，判断报文为隧道报文，隧道报文解封装获取内层报文特征信息。

步骤S15：基于隧道内层报文特征信息哈希计算获取反向报文所在业务板槽位号，通过比较反向报文分流后的业务板槽位号是否等于本板槽位号，判断正、反向报文是否分流到相同业务板。

步骤S16：若正、反向报文分流到不同业务板，则将报文重新封装并恢复为原始隧道报文，转板发送到反向报文所在业务板N。

步骤S17：业务板N接收到转板发送过来的隧道报文，解封装获得内层原始报文、创建(/匹配)会话、安全业务模块处理之后将内层报文发往PC2。

步骤S18：PC2收到PC1的请求报文后发送回复报文(反向报文)，源IP为PC2的IP，目的IP为PC1的IP。

步骤S19：回复报文到达第二网络安全设备，交换板基于源、目的IP哈希分流到业务板N，此时为普通IP报文，创建(/匹配)会话、安全业务处理，之后封装隧道报文发送到第一网络安全设备，第一网络安全设备按照上述接收隧道报文的处理流程解封装处理后发往PC1。

自此，完成了分布式系统下IPv6报文通过IP隧道技术跨IPv4网络的报文传输交互过程。

该方法通过将隧道报文转板发送到反向报文所在业务板的方式，保证隧道报文传输时，会话正、反向报文由相同业务板处理，保证了会话连接的完整性；替代基于会话同步的方案，取消会话同步、老化删除等维护工作，降低实现复杂度；正反向报文由相同业务板处理，保证应用层安全引擎能够正常处理威胁检测等。

实施例2

本申请实施例提供一种隧道报文处理装置，应用于业务板，如图7所示，为一种隧道报文处理装置的结构框图，所述装置包括但不限于：

接收模块100，用于接收交换板发送的隧道报文；

判断模块200，用于对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；

转板模块300，用于若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。

如图8所示，为另一种隧道报文处理装置的结构框图，其中，所述判断模块200包括：

解封装模块210，用于对所述隧道报文解封装，以获取内层报文特征信息；

槽位号获取模块220，用于基于所述内层报文特征信息获取反向报文的业务板槽位号；

业务板判断模块230，用于基于所述业务板槽位号判断正反向报文是否分流到相同业务板。

所述业务板判断模块230包括：

本板槽位号获取模块231，用于获取当前业务板的本板槽位号；

槽位号判断模块232，用于判断所述本板槽位号是否等于所述业务板槽位号；

业务板确定模块233，用于若本板槽位号不等于所述业务板槽位号，则正反向报文分流到不同业务板。

所述装置还包括：

报文处理模块400，用于若本板槽位号等于所述业务板槽位号，则基于内层报文创建或匹配会话，以对所述隧道报文进行业务处理。

将隧道报文解封装，依据内层报文特征信息哈希计算获取反向报文所在业务板，若正、反向报文分流到不同业务板，通过将隧道报文转板发送到反向报文所在业务板的方式，解决了会话正、反向报文由不同业务板处理的问题，保证了会话的完整性。

本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行计算机程序以使所述电子设备执行实施例1所述的隧道报文处理方法。

本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行实施例1所述的隧道报文处理方法。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种隧道报文处理方法，其特征在于，应用于业务板，所述方法包括：

接收交换板发送的隧道报文；

对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；

若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。

2.根据权利要求1所述的隧道报文处理方法，其特征在于，所述对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板，包括：

对所述隧道报文解封装，以获取内层报文特征信息；

基于所述内层报文特征信息获取反向报文的业务板槽位号；

基于所述业务板槽位号判断正反向报文是否分流到相同业务板。

3.根据权利要求2所述的隧道报文处理方法，其特征在于，所述基于所述业务板槽位号判断正反向报文是否分流到相同业务板，包括：

获取当前业务板的本板槽位号；

判断所述本板槽位号是否等于所述业务板槽位号；

若不相等，则正反向报文分流到不同业务板。

4.根据权利要求3所述的隧道报文处理方法，其特征在于，所述方法还包括：

若本板槽位号等于所述业务板槽位号，则基于内层报文创建或匹配会话，以对所述隧道报文进行业务处理。

5.一种隧道报文处理装置，其特征在于，应用于业务板，所述装置包括：

接收模块，用于接收交换板发送的隧道报文；

判断模块，用于对所述隧道报文进行处理，以判断正反向报文是否分流到相同业务板；

转板模块，用于若正反向报文分流到不同业务板，则将所述隧道报文封装成原始状态，并转板发送至所述反向报文所在业务板进行处理。

6.根据权利要求5所述的隧道报文处理装置，其特征在于，所述判断模块包括：

解封装模块，用于对所述隧道报文解封装，以获取内层报文特征信息；

槽位号获取模块，用于基于所述内层报文特征信息获取反向报文的业务板槽位号；

业务板确定模块，用于基于所述业务板槽位号判断正反向报文是否分流到相同业务板。

7.根据权利要求6所述的隧道报文处理装置，其特征在于，所述业务板确定模块包括：

本板槽位号获取模块，用于获取当前业务板的本板槽位号；

槽位号判断模块，用于判断所述本板槽位号是否等于所述业务板槽位号；

业务板确定模块，用于若本板槽位号不等于所述业务板槽位号，则正反向报文分流到不同业务板。

8.根据权利要求7所述的隧道报文处理装置，其特征在于，所述装置还包括：

报文处理模块，用于若本板槽位号等于所述业务板槽位号，则基于内层报文创建或匹配会话，以对所述隧道报文进行业务处理。

9.一种电子设备，其特征在于，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行计算机程序以使所述电子设备执行根据权利要求1至4中任一项所述的隧道报文处理方法。

10.一种可读存储介质，其特征在于，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行权利要求1至4任一项所述的隧道报文处理方法。

Images