CN1770767A - 对vpn报文进行tcp应用层协议封装的系统及其方法 - Google Patents

Abstract

本发明公开了一种对VPN报文进行TCP应用层协议封装的系统及其方法，涉及一种网络通信封装的系统及其方法，尤其涉及一种虚拟专用网设备之间进行IP层安全协议通信过程中，穿越防火墙和特殊的路由器等设备，顺利地进行网络通信的系统及其方法。本系统由网络协议栈(1)、IPSec和因特网密钥交换协议模块(2)、TCP隧道模块(3)、TCP代理模块(4)以及应用封装库模块(5)组成；本方法把VPN报文封装在TCP应用层协议中，例如伪装成HTTP应用。本发明除了支持常用的HTTP应用以外，也可以扩展支持其他TCP应用，从而增加了系统对网络环境的适应能力，可以根据网络环境的要求，自动地选择合适的应用进行封装通信。

Description

对VPN报文进行TCP应用层协议封装的系统及其方法

技术领域

本发明涉及一种网络通信封装的系统及其方法，尤其涉及一种虚拟专用网(Virtual Private Network，简称VPN)设备之间进行IPSec(IP Security，IP层安全协议)通信过程中，穿越防火墙和特殊的路由器等设备，顺利地进行网络通信的系统及其方法。

背景技术

随着Internet(因特网)的发展，越来越多的企业、高校和政府机关开始采用因特网进行通信应用。为了能够方便地管理网络，有效地对网络进行控制，网络管理人员都会在局域网的出口处设置各种防火墙或代理服务，这样一方面保证了外部Internet访问局域网内部的安全，另一方面又可以控制局域网内部人员对外的访问权限，例如只允许常见应用的访问。可这样也有它的副作用，即限制了一些正当应用的开展，如虚拟专用网(VPN)就是这样一种应用。

为了保护网络数据尤其是私有信息传输的安全性，VPN技术通过加密和验证网络流量来保护在公共网络上传输的私有信息不会被窃取和篡改，从而在并不安全的Internet上开辟了一个安全的私有网络，目前正得到越来越多的应用。但是如上所述一些防火墙、路由器，尤其是ISP(因特网服务供应商)、公共场所例如酒店等的网络设备，对VPN加密报文存在着访问控制和兼容性等问题，从而限制了VPN应用在这些环境的开展。在这种环境下，用户的VPN通信根本无法进行正常的传输。

为了解决这个问题，传统的方法就是通知网络管理员修改控制规则，对VPN通信放行，但这费时费力，而且有些网管也不配合。更有甚者如果某些路由设备和代理服务根本就不兼容VPN，这就更没办法了。因此传统的方法是被动的，治标不治本的。

发明内容

本发明的目的就是克服上述现有系统和方法的缺点与不足，而提供一种对VPN报文进行TCP应用层协议封装的系统及其方法，本发明能够大大提高VPN通信对防火墙、路由器等网络设备的穿越能力。

本发明的目的是这样实现的：

VPN报文包括密钥协商报文和IPSec加密报文，因此通过把这两种报文封装在TCP应用协议中，就能实现支持所有的Internet链路的目标。目前最普遍的TCP应用是HTTP(超文本传输协议)应用，因此把VPN报文封装在HTTP协议中，伪装成HTTP应用，就可以达到我们的目的。

1、对VPN报文进行TCP应用层协议封装的系统

如图1，本系统由网络协议栈(TCP/IP)1、IPSec和因特网密钥交换协议模块(IPSec/IKE)2、TCP隧道模块(TCPP)3、TCP代理模块(TCPT)4以及应用封装库模块5组成；网络协议栈(TCP/IP)1、IPSec和因特网密钥交换协议模块(IPSec/IKE)2、TCP隧道模块(TCPT)3、TCP代理模块(TCPP)4依次调用，串联行成一个闭环系统，同时TCP代理模块(TCPP)4则单向调用应用封装库模块5提供的功能函数。

本系统的工作关系是：网络协议栈(TCP/IP)1负责接收和发送网络通信报文；进入和外出的VPN报文均由IPSec和因特网密钥交换协议模块(IPSec/IKE)2负责处理；隧道模块(TCPT)3把需要进行TCP封装处理的VPN报文交给TCP代理模块(TCPP)4进行发送；外出的报文最终通过网络协议栈模块(TCP/IP)1发送到链路上。

所述的网络协议栈(TCP/IP)1，是Internet网络通信协议栈，其典型代表是Windows、UNIX、Linux等网络操作系统。

所述的IPSec和因特网密钥交换协议模块(IPSec/IKE)2，是一种用来进行因特网密钥协商和进行IPSec报文的加密和解密处理的模块，其典型实现是Internet开源软件FreeSWAN；FreeSWAN是一种在Linux操作系统上实现的IPSec和因特网密钥交换协议的软件。

所述的TCP隧道模块(TCPT)3，是一种用来对IPSec和因特网密钥交换协议报文进行格式分析和进行TCP封装预处理的模块；该模块作为一个操作系统核心层模块运行，根据外出的VPN报文的源地址、目的地址来进行TCP封装规则的匹配，如果匹配，那么把报文送入缓冲对列，并通知TCP代理模块(TCPT)4。

所述的TCP代理模块(TCPP)4，是一种用来对报文进行TCP应用协议的封装和解封装以及发送和接收通信报文的模块，是系统的核心模块。该模块主要作为一个应用层守护进程来进行TCP通信，一方面从缓冲队列中提取外出的VPN报文，并调用应用封装库模块5提供的函数对报文进行应用封装，然后通过TCP连接把封装后的数据发送出去；另一方面，接收对方的TCP封装数据，并调用应用封装库提供的函数对报文进行应用解封装，并把还原出来的报文交给网络协议栈(TCP/IP)1。

所述的应用封装库模块5，是一种用来提供各种应用通信的封装功能给TCPP调用的函数库，例如HTTP(超文本传输协议)应用和FTP(文件传输协议)应用等。

本系统目前只提供HTTP(超文本传输协议)应用。应用封装库模块5主要包括对报文进行封装调用的函数例程和对数据进行解封装还原出原始报文的函数例程。

2、对VPN报文进行TCP应用层协议封装的方法

如图4，如果网络系统中存在两个VPN设备(第一VPN设备9和第二VPN设备11)，需要进行TCP应用封装后的VPN通信，那么本方法包括下列步骤：

第一步，设置需要进行TCP应用封装的VPN隧道，即在系统配置隧道的时候，VPN客户端设备可以设置隧道是否需要进行TCP应用封装；如果选择，那么在进行VPN协商之前，就把对应规则写到TCP隧道模块(TCPT)3中。

第二步，第一VPN设备9对外出的VPN报文进行TCP封装规则的检查，即第一VPN设备9的TCP隧道模块(TCPT)3首先接收IPSec和因特网密钥交换协议模块(IPSec/IKE)2外出协商通信的报文，然后检查报文的目的IP是否匹配规则状态集；如果匹配，那么就把报文入队，并通知TCP代理模块(TCPP)4；队列中可以包含报文所属的通信套接口。

第三步，第一VPN设备9对外出的VPN报文进行TCP应用封装处理，即TCP代理模块(TCPP)4从队列中把报文取出，然后判断是否已经和第二VPN设备11建立了一条TCP的连接，如果没有，那么就要向对方设备地址新建一个TCP连接；接着就调用应用封装库模块5把报文进行应用封装，并发送出去。

第四步，第二VPN设备11接收并处理进入的TCP封装数据，即与此同时第二VPN设备11的TCP代理模块(TCPP)4在知名端口上进行监听；该端口可以进行设置，缺省应是80端口；如果有连接进来，那么就会接收该连接，并产生新的套接口；然后把对方发来的数据读出，解封装还原成原始的VPN报文并发给网络协议栈(TCP/IP)1。

第五步，第二VPN设备11对已方应答报文进行TCP应用封装处理，即如果第二VPN设备11网络有应答报文，那么第二VPN设备11的TCP隧道模块(TCPT)3会匹配规则，把该应答报文交给其TCP代理模块(TCPP)4；TCP代理模块(TCPP)4再把报文封装后通过连接发送出去。

第六步，第一VPN设备9对来自第二VPN设备11的应答的TCP封装数据进行解封装处理，即此时第一VPN设备9的TCP代理模块(TCPP)4在所有的外出套接口上进行监听，如果收到对方的应答，那么TCP代理模块(TCPP)4就接受数据，并把报文解封装，重新把还原后的VPN报文丢到网络协议栈(TCP/IP)1；此后的报文就会交给IPSec和因特网密钥交换协议模块(IPSec/IKE)2去分别处理，从而完成了一次双方报文通信的交互过程。

为了提供对不同应用支持的扩展性，应用封装模块提供了应用程序封装接口，调用者把应用类型、数据和参数传入，封装模块根据应用类型进行相应的封装。目前系统提供HTTP封装，也可扩展支持其他TCP应用。

如果一个TCP连接长时间没有通信，那么系统会定时检查并删除该连接。如果有通信，那么也会很快进行触发，重建连接。

经过普通的TCP封装后的IPSec报文格式如图2所示。图中灰色的部分是原始的IPSec报文，其中分为IPv4(网络协议版本4)头、IPSec头(即AH认证头和ESP加密封装头)和安全负载。而新封装的应用层包括新的IPv4头、TCP头和具体的应用协议头部信息。

经过HTTP协议封装后的IPSec报文格式如附图3所示。图中灰色的部分是原始的IPSec报文，其中分为IPv4头、IPSec头(即AH认证头和ESP加密封装头)和安全负载。而新封装的应用层则包括新的IPv4头、TCP头和HTTP协议头部信息。

因此从报文封装可以看出，如果采用HTTP封装，那么IPSec报文的内容，包括IP头、IPSec头和安全数据全部作为HTTP协议的传输内容被封装在HTTP通信报文中。这样在外界看来，报文是普通的HTTP通信报文。而当这种报文通过防火墙的访问规则检查的时候，因为报文的传输层协议是TCP，报文的通信端口是常规的80，因此就可以匹配绝大部分的防火墙的安全规则，也就可以被放行。

本发明和传统方式相比具有以下优点：

1、采用创新的TCP应用封装的方法，可以使IPSec和Internet密钥交换等UDP(用户数据包协议)以及其他非TCP协议的报文能够伪装成某种TCP应用，从而顺利地通过防火墙、路由器等网络设备的限制。

2、某些特殊链路对UDP等非TCP报文支持的不好，丢包率很大，传统的VPN通信无法在这种链路中正常的进行。通过采用本发明，可以使VPN能够顺利地在这种恶劣链路中进行通信。

3、本发明可以兼容NAT(网络地址转换)协议，能够穿越任何一种常见的NAT设备，而不会引发数据问题。

4、本发明也可以支持应用代理，例如HTTP代理、Socks(套接层)代理等服务，通过代理上网通信。

5、本发明除了支持常用的HTTP应用以外，也可以扩展支持其他TCP应用。从而增加了系统对网络环境的适应能力，可以根据网络环境的要求，自动地选择合适的应用进行封装通信。

附图说明

图1-对IPSec进行TCP应用封装的系统框图；

图2-对IPSec报文进行TCP应用封装的格式；

图3-对IPSec报文进行HTTP应用封装的格式；

图4-VPN设备对IPSec报文进行HTTP应用封装示意图；

图5-VPN设备对IPSec报文进行HTTP应用封装流程图；

图6-VPN设备对IPSec报文进行HTTP应用解封装流程图。

其中：

1-网络协议栈；

2-IPSec和因特网密钥交换协议模块；

3-TCP隧道模块；

4-TCP代理模块；

5-应用封装库模块；

6-IPSec报文；

7-经过HTTP封装后的IPSec报文IPSec over HTTP；

8-第一子网；

9-第一VPN设备；

10-防火墙；

11-第二VPN设备；

12-第二子网。

主要缩略语：

VPN(Virtual Private Network)-虚拟专用网；

IPSec(IP Security)-IP层安全协议；

Internet-因特网；

ISP-因特网服务供应商：

TCP-传输控制协议；

HTTP-超文本传输协议；

TCP/IP-网络协议栈；

IPSec/IKE-IPSec和因特网密钥交换协议模块；

TCPT-TCP隧道模块；

TCPP-TCP代理模块。

具体实施方式

下面结合附图进一步说明：

以HTTP应用封装为例，图4体现了进行HTTP协议封装的VPN通信的全过程。

图4中，第一VPN设备9、第二VPN设备11分别保护不同的第一子网8和第二子网12。两台VPN设备之间有一台防火墙10，防火墙10只对外开放的80端口，只允许WWWW访问。在这种情况下，两台VPN设备9、11之间如果要建立VPN隧道，传统的IPSec通信报文将无法穿越防火墙10的限制。为了能够顺利进行通信，两台VPN设备9、11需要启动HTTP应用协议封装功能，才能穿越防火墙10。

首先在第一VPN设备9上配置VPN隧道需要进行HTTP应用封装，那么当第一VPN设备9向第二VPN设备11进行VPN协商和通信的时候，就会触发两台VPN设备9、11之间建立一个TCP连接。在该连接上，将对IPSec报文进行HTTP的封装。

如图5，VPN设备对IPSec报文进行HTTP应用封装流程是：

对VPN报文进行规则匹配检查a→检查报文的外出TCP连接b→连接是否建立c(是)→对报文进行应用封装处理→通过TCP连接发送封装后的报文；

连接是否建立c(否)→建立新的连接d→对报文进行应用封装处理并发送。

首先发送系统判断外出的报文是否匹配需要进行TCP应用封装的报文，可以通过地址、协议和端口进行检查。如果匹配，那么就触发系统进行应用封装。应用封装模块检查报文是否有已经建立好的TCP连接，如果没有那么就根据报文的目的地址，重新建立新的TCP连接。如果有已经建立好的连接，那么就不用再建立。然后系统开始调用应用封装函数对报文进行应用封装，在报文头部之前扩展了新的应用层的信息，具体格式如图3所示。封装后的报文被系统通过建立好的连接发送出去。

第二VPN设备11在TCP端口上进行监听，并接收进入的封装报文，把报文进行TCP解封装。还原后的报文将重新交给操作系统由IPSec和因特网密钥交换协议模块2进行处理。

如图6，VPN设备对IPSec报文进行HTTP应用解封装流程是：

TCP端口例如80进行监听g→接收进入的TCP报文h→对报文进行合法性检查i→对报文进行应用层协议还原j→还原后的IPSec报文重新交给操作系统k→继续在TCP端口例如80进行监听g。

接收系统首先在TCP端口80处进行监听，如果对方设备有TCP请求进来，那么就和对方建立一个TCP连接。然后通过该连接接受对方传过来的数据。接收到数据后，要对数据进行合法性检查，以防止恶意的攻击。如果检查通过，那么就可以对报文进行应用协议的解封装，还原出原始的VPN报文。还原后的VPN报文再交给操作系统网络协议栈(TCP/IP)1由IPSec和因特网密钥交换协议模块2去做进一步的处理。

TCPP代理模块(TCPP)3负责TCP应用的通信，因此可以在操作系统应用层或者核心层进行实现。系统可以支持的操作系统包括Linux、Windows等，编程语言包括C、C++等。

由于本发明可以扩展支持多种应用，因此具体实施除了HTTP协议外，还可以支持以下几种协议，但不限于以下几种：

1、DNS域名解析协议。由于DNS可以支持TCP，因此采用TCP的DNS应用协议也是可以的。

2、HTTPS协议。HTTPS协议是HTTP协议的安全版，可以采用HTTPS协议进行安全封装通信。

3、SMTP简单邮件传输协议或POP3邮局协议。SMTP和POP3都是一种常用的TCP应用。

以上这些协议可以单独支持，也可以混合支持，以提高系统的网络适应能力。

此外，本发明除了可以应用在VPN通信领域，保护IPSec通信外，也可以应用在其他IP网络通信领域，例如伪装应用、隐蔽通信等。只要网络应用需要伪装成其他的应用进行通信，都可以通过本发明的实施来得到实现。

Claims (4)

1、对VPN报文进行TCP应用层协议封装的系统，其特征在于：

由网络协议栈(1)、IPSec和因特网密钥交换协议模块(2)、TCP隧道模块(3)、TCP代理模块(4)以及应用封装库模块(5)组成；网络协议栈(1)、IPSec和因特网密钥交换协议模块(2)、TCP隧道模块(3)、TCP代理模块(4)依次调用，串联行成一个闭环系统，同时TCP代理模块(4)则单向调用应用封装库模块(5)提供的功能函数；

所述的网络协议栈(1)，是Internet网络通信协议栈；

所述的IPSec和因特网密钥交换协议模块(2)，是一种用来进行因特网密钥协商和进行IPSec报文的加密和解密处理的模块；

所述的TCP隧道模块(3)，是一种用来对IPSec和因特网密钥交换协议报文进行格式分析和进行TCP封装预处理的模块；

所述的TCP代理模块(4)，是一种用来对报文进行TCP应用协议的封装和解封装以及发送和接收通信报文的模块；

所述的应用封装库模块(5)，是一种用来提供各种应用通信的封装功能给TCP代理模块调用的函数库。

2、对VPN报文进行TCP应用层协议封装的方法，其特征在于：

如果网络系统中存在第一VPN设备(9)和第二VPN设备(11)，需要进行TCP应用封装后的VPN通信，那么本方法包括下列步骤：

第一步，设置需要进行TCP应用封装的VPN隧道；

第二步，第一VPN设备(9)对外出的VPN报文进行TCP封装规则的检查；

第三步，第一VPN设备(9)对外出的VPN报文进行TCP应用封装处理；

第四步，第二VPN设备(11)接收并处理进入的TCP封装数据；

第五步，第二VPN设备(11)对己方应答报文进行TCP应用封装处理；

第六步，第一VPN设备(9)对来自第二VPN设备(9)的TCP封装数据进行解封装处理。

3、按权利要求2所述的方法，其特征在于封装流程是：

对VPN报文进行规则匹配检查(a)，检查报文的外出TCP连接(b)，连接建立时对报文进行应用封装处理(e)，通过TCP连接发送封装后的报文(f)；

连接未建立时建立新的连接(d)，对报文进行应用封装处理(e)。

4、按权利要求2所述的方法，其特征在于解封装流程是：

在TCP端口例如80进行监听(g)，接收进入的TCP报文(h)，对报文进行合法性检查(i)，对报文进行应用层协议还原(j)，还原后的IPSec报文重新交给操作系统(k)，同时继续在TCP端口例如80进行监听(g)。

Images