WO2012013003A1 - 一种数据报文的处理方法及系统 - Google Patents

一种数据报文的处理方法及系统 Download PDF

Info

Publication number
WO2012013003A1
WO2012013003A1 PCT/CN2010/080258 CN2010080258W WO2012013003A1 WO 2012013003 A1 WO2012013003 A1 WO 2012013003A1 CN 2010080258 W CN2010080258 W CN 2010080258W WO 2012013003 A1 WO2012013003 A1 WO 2012013003A1
Authority
WO
WIPO (PCT)
Prior art keywords
data packet
security level
network
value
field
Prior art date
Application number
PCT/CN2010/080258
Other languages
English (en)
French (fr)
Inventor
张世伟
符涛
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012013003A1 publication Critical patent/WO2012013003A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Definitions

  • the present invention relates to the field of data communications, and in particular, to a method for processing data packets of different security levels by an access device and a border gateway.
  • the nodes in the Internet are managed by multiple organizations in many countries, and some nodes are trusted. Or it may be untrustworthy. Users in the network may receive data packets from trusted nodes, and may also receive data packets from untrusted nodes.
  • the IP network is a network shared by multiple services. It is possible to transmit packets of high security level services and also transmit packets of low security level services. In many cases, the intermediate nodes of the network cannot simply discard these packets if they are not secure enough. If the packets are simply discarded, services will be interrupted and services will be affected. Experience.
  • the current IP network does not provide a corresponding processing method for the packets of different security levels.
  • the packets of different security levels are simply mixed and transmitted together. This causes the final destination node to distinguish the data packets from security.
  • the network, or the insecure network is unable to differentiate services for security levels, and the security of the Internet cannot be fundamentally improved.
  • the object of the present invention is to provide a method and system for processing a data message, so that the network device uses the security level information to classify the data message.
  • the existing IP packets do not have a field that identifies the security level of the packet. Therefore, when receiving the packet, the terminal user or the service server cannot distinguish which data packets are secure and trusted, and which data packets are not trusted. Therefore, the distinguishing process cannot be performed, which leaves an attack space for the untrusted node to impersonate the trusted node to attack the user or the service server, so that the security of the network cannot be fundamentally improved. Therefore, the present invention carries a security level in the IPV6 packet to solve the above security risks and fundamentally improve the security of the IP network.
  • the present invention discloses a data packet processing method, including: a data packet sending end sends a data packet, and the packet header of the data packet includes a security packet for indicating the security of the data packet. a field of a level, where the value of the field is set by the data message sending end, or is set by a network side device that transmits the data message;
  • the data message receiving end receives the data message, reads the value of the field, and processes the data message according to the security level of the data message indicated by the read value.
  • the value of the field when the value of the field is set by the data packet sending end, whether the transmission level belongs to the allowed security level range, and if yes, transmitting the data packet to the data packet receiving end.
  • the network side device that transmits the data packet determines that the security level of the data packet indicated by the value of the field does not belong to the allowed security level range, the value of the field is updated, and the update operation is performed.
  • the data packet is transmitted to the data packet receiving end, wherein the security level of the data packet indicated by the value of the field updated by the network side device belongs to an allowed security level range.
  • the value of the field is set by the network side device that transmits the data packet: in the process of transmitting the data packet, after the network side device receives the data packet, if it is determined to receive
  • the value of the field is set according to the security level of the received data packet.
  • the step of processing, by the data message receiving end, the data packet according to the security level of the data packet indicated by the read value comprises:
  • the data packet receiving end determines that the security level of the data packet indicated by the value of the read field belongs to the allowed security level range, the data packet is normally processed, if the data packet receiving end If it is determined that the security level of the data packet indicated by the value of the read field does not belong to the allowed security level range, the data packet is discarded.
  • the network side device at least includes a network access server.
  • the network side device at least includes the first network access server and the first network of the first network where the data packet sending end is located. a first border gateway of the first network, a second border gateway of the second network where the data packet receiving end is located, and a second network access server of the second network; wherein, the second border gateway receives The data packet transmitted by the first border gateway is converted according to the inter-network protocol of the first network and the second network, and the security level of the data packet is converted according to the security level of the converted data packet. Set the value of the field.
  • the invention also discloses a data message processing system, which comprises a data message sending end, a network side device and a data message receiving end, wherein:
  • the data packet sending end is configured to send a data packet, where the packet header of the data packet includes a field for indicating a security level of the data packet;
  • the network side device is configured to transmit the data packet sent by the data packet sending end to the data packet receiving end;
  • the data packet receiving end is configured to receive the data packet, and read a value of a field in the packet header of the data packet for indicating a security level of the data packet, and according to the read field
  • the data packet is processed by the security level of the data packet indicated by the value.
  • the data packet sending end is further configured to set a value of a field in the packet header of the data packet for indicating a security level of the data packet;
  • the network side device is further configured to: determine, when the data packet is transmitted, the security of the data packet indicated by the value of the field used to indicate the security level of the data packet in the packet header of the data packet Whether the level belongs to the allowed security level range, and if it belongs to the allowed security level range, the data packet is transmitted to the data packet receiving end, and if it does not belong to the allowed security level range, the value of the field is updated.
  • the data packet after the update operation is transmitted to the data packet receiving end, wherein the security level of the data packet indicated by the value of the field updated by the network side device belongs to an allowed security level range.
  • the network side device is further configured to: determine, during the transmission of the data packet, whether the value of the field used to indicate the security level of the data packet in the packet header of the received data packet is invalid. When the value of the field is invalid, according to the security level setting of the received data message, After the value of the field, the data message is sent to the data message receiving end.
  • the network side device at least includes the first network access server of the first network where the data packet sending end is located, a first border gateway of the first network, a second border gateway of the second network where the data packet receiving end is located, and a second network access server of the second network;
  • the second border gateway is configured to: when receiving the data packet transmitted by the first border gateway, according to the inter-network protocol of the first network and the second network, during the data packet transmission process, Converting the security level of the data packet, and resetting the value of the field according to the security level of the converted data packet.
  • the data packet receiving end is configured to process the data packet by: determining that the security level of the data packet indicated by the value of the read field belongs to an allowed security level range The data packet is processed normally. When it is determined that the security level of the data packet indicated by the value of the read field does not belong to the allowed security level range, the data packet is discarded.
  • the technical solution of the present invention adds security information to the packet header of the data packet, so that the data packet receiving end can perform corresponding processing according to the security information of the data packet, which is convenient for the network node, the server or the terminal user to
  • the security information selects and filters the packets, which improves the ability of the entire network to distinguish and process packets of different security levels.
  • FIG 1 shows the "3 ⁇ 4 header" of the existing RFC1883 (IPV6 first edition);
  • FIG. 2 is a schematic diagram of the "3 ⁇ 4 header" of the existing RFC2460 (IPV6 second edition);
  • FIG. 3 is a schematic diagram of a packet header of an IP data packet provided by the present invention.
  • FIG. 5 is a flowchart of transmitting an IP data packet in the embodiment. Preferred embodiment of the invention
  • the two versions of the IPV6 header are RFC1883 (IPV6 first edition) and RFC2460 (IPV6 second edition).
  • the IPV6 headers of these two versions mainly change the QOS traffic management part of the first 32 bits.
  • QOS manages the 4-bit priority field (riority) and the 24-bit flow label field.
  • the composition is shown in Figure 1.
  • RFC2460 the priority and flow label sections are changed to the 8-bit traffic class and the 20-bit flow label field, as shown in Figure 2. Show.
  • the invention adds a field for indicating the security level of the data packet in the IPV6 packet header.
  • the traffic type and the flow label (the traffic class and the Flow label) space in the IPV6 packet can be compressed.
  • Bit space, used to provide information about the security level, for example, the security level can be 0 ⁇ 15 for a total of 16 security levels. The remaining 24 bits are still used by the traffic type and the flow label.
  • the other parts of the IP packet header have the same format and meaning.
  • the meaning of the two labels is the same, but the number range is compressed, as shown in Figure 3: That is to say, the traffic type and the flow label in the original IPV6 packet header can be reduced by 4 bits, and then a 4-bit security level field (hereinafter referred to as SL field) can be added to indicate the security level of the data packet.
  • SL field 4-bit security level field
  • the embodiment provides a data packet processing system, which includes at least a data packet sending end, a network side device, and a data packet receiving end.
  • the packet sending end is configured to send a data packet, and the packet header of the sent data packet includes a field for indicating a security level of the data packet;
  • the network side device is configured to transmit the data packet sent by the data packet sending end to the data packet receiving end;
  • the data packet receiving end is configured to receive the data packet, and read a field in the packet header of the data packet for indicating the security level of the data packet, and according to the security level of the data packet indicated by the read field. Processing data packets;
  • the data packet receiving end normally processes the data packet when determining that the security level of the data packet indicated by the value of the read field belongs to the allowed security level range, and determines the data indicated by the value of the read field. If the security level of the packet does not fall within the allowed security level, the data packet is discarded.
  • the value of the field used to indicate the security level of the data packet in the packet header of the data packet may be set by the data packet sending end;
  • the network side device when transmitting the data packet, the network side device further determines the security of the data packet indicated by the value of the field used to indicate the security level of the data packet in the packet header of the data packet to be transmitted. Whether the level belongs to the allowed security level range. If yes, the data packet is transmitted to the data packet receiving end. If it does not belong to the allowed security level range, the value of the field is updated, and the data packet after the operation is updated. The data packet receiving end is transmitted to the data packet receiving end, wherein the security level of the data packet indicated by the value of the updated field of the network side device belongs to an allowed security level range.
  • the value of the field used to indicate the security level of the data packet in the packet header of the data packet may also be set by the network side device, that is, the network side device determines the received data packet during the data packet transmission process.
  • the field indicating the security level of the data packet is invalid.
  • the level is set to the value of the field, and the data packet after the setting operation is sent to the data message receiving end.
  • the value of the field is valid, the data message is directly transmitted to the data message receiving end.
  • the network side device at least includes the first network access server of the first network where the data packet sending end is located, and the first network first.
  • the border gateway the second border gateway of the second network where the data receiving end is located, and the second network access server of the second network.
  • the second border gateway when receiving the data packet transmitted by the first border gateway, converts the security level of the data packet according to the inter-network protocol of the first network and the second network, and according to the converted data packet.
  • the security level sets the value of the above field, and then the data packet after the setting operation is transmitted to the data message receiving end through the access server of the second network.
  • the following uses the network architecture shown in Figure 4 to illustrate that the above system transmission carries a security level.
  • the process of informational data messages The data message sending end (ie, the information sender A) and the data message receiving end (the information receiver B) are located on different networks, and the two different networks (hereinafter referred to as network one and network two, respectively,
  • the network where user A is located is called network one, and the network where user B is located is called network 2) is divided into different security domains: 4 is set to security domain 1 and security domain 2.
  • User A and user B access their respective networks through network access servers C1 and C2, respectively, and the two networks communicate with each other through interworking gateways D1 and D2.
  • the process is shown in Figure 5 and includes the following steps:
  • Step 501 The information sender A sends a data packet to the information receiver B.
  • the packet header of the sent data packet includes a field for indicating the security level of the data packet.
  • the value of this field is set by the sender of the information A;
  • the value of the field set by the information sender A in the message header of the data packet to indicate the security level of the data packet corresponds to the security level of the data message.
  • the security level of the data packet indicated by the value of the field is configured by the system.
  • the security level of the data packet may be related to the user type and datagram in addition to the security level of the user.
  • the file type and other parameters are related, that is, the system comprehensively considers the security level of the user, the user type of the sender of the data packet, and the data packet type to configure the security level of each data packet.
  • Step 502 When the network access server C1 of the network 1 where the user A is located receives the data packet sent by the A, the user A checks whether the security level of the data packet is used in the packet header of the data packet. Reasonable, if it is reasonable, it is forwarded directly to the border gateway D1. If it is unreasonable, the security level of the data packet is modified to a reasonable security level, and then the modified data packet is forwarded to the border gateway D1;
  • the data header of the data packet is used to indicate whether the security level of the data packet is reasonable: each network pre-configures the security level range of the data packet for each data packet sent by each user, therefore, each The security level of the data packet indicated by the value of the field used to indicate the security level of the data packet in the packet header of the data packet sent by the user must be within the allowed security level, that is, the packet of the data packet.
  • the security level of the data message indicated by the value of the field used to indicate the security level of the data packet is considered to be reasonable within the security level range, and is not considered reasonable within the level range;
  • the network access server C1 modifies the security level of the data packet to a reasonable security level.
  • the security level may be related to the security level of the user, Information about the user type, data packet type, etc.
  • the rating is within the range of allowed security levels.
  • the network access server C1 may discard the data packet without modifying it.
  • Step 503 The border gateway D1 of the network 1 where the user A is located receives the data packet and sends it to the border gateway D2 of the network 2 where the user B is located;
  • Step 504 After receiving the data packet, the border gateway D2 converts the security level of the data packet according to the inter-network protocol, and sends the converted data packet to the network access server C2 of user B.
  • the security level definitions of the two networks are not completely consistent. In this case, the security level of data packets needs to be remapped. For example, data packets that are very secure and trustworthy in Network A are not necessarily secure and trustworthy in Network B, so some security level adjustments are required.
  • the border gateway D2 performs the security level information conversion index according to the inter-network protocol, maps the security level of the data packet to the security level corresponding to the network 2, and resets the datagram according to the security level of the mapped data packet.
  • the value of the field used to indicate the security level of the data packet in the packet header, that is, the setting value of the field indicates the security level of the data packet in the network 2;
  • the security level of the data packet in the packet header of the data packet received by the border gateway D2 of the network 2 from the border gateway D1 of the network 1 is 15 (assuming that the level 15 is the security level of the data packet of the network one) The highest level), when the border gateway D2 performs security level information conversion according to the inter-network protocol, the security level 15 of the data packet can be converted to level 3 (at this time, the level 3 is the security level of the data packet of the network two). The most advanced).
  • Step 505 The network access server C2 of the user B receives the data packet sent by the border gateway D2, and determines whether the value of the field in the packet header of the data packet indicating the security level of the data packet is allowed to be sent to the user. B, if allowed, send to user B, if not allowed, directly discard The data message;
  • Step 506 The user B receives the data packet, and reads the value of the field in the packet header of the data packet for indicating the security level of the data packet, if the value of the read field indicates the data packet. If the security level is the security level allowed by the user B, the data packet is sent to the corresponding upper application of the user B;
  • Step 507 The upper application of the user B checks whether the data packet is a data packet requesting the content on the user B. If yes, the application of the user B performs corresponding processing according to the security level of the data packet. If not, discard the data packet;
  • the user B decides to return all the information containing the confidentiality to the user A according to the security level of the data packet, or returns the restricted or filtered information to the user A, or refuses to provide the corresponding information;
  • Step 508 When the network access server C2 of the user B receives the corresponding data packet returned by the user B, the network access server C2 checks the field in the packet header of the data packet for indicating the security level of the data packet. Whether the security level of the data packet indicated by the value is within the security level allowed by user B. If yes, the data packet is directly sent to D2. If it is not within the range allowed by B, the packet header of the data packet is modified. The value of the field used to indicate the security level of the data packet is sent to the D2, where the value of the field indicates that the security level of the data packet is the security level allowed by the user B;
  • Step 509 After receiving the data packet returned by the network access server C2, the border gateway D2 of the network 2 sends the returned data packet to the border gateway D1 of the network one;
  • Step 510 After receiving the data packet, the border gateway D1 of the network 1 converts the security level of the data packet according to the internet protocol, and sends the converted data packet to the network of the network 1 where the user A is located.
  • the border gateway D1 of the network 1 converts the security level of the data packet according to the internet protocol, and sends the converted data packet to the network of the network 1 where the user A is located.
  • the server C1 Into the server C1;
  • the security level of the data packet is converted, and the border gateway D1 modifies the value of the field used to indicate the security level of the data packet in the packet header of the data packet, so that the value of the modified field indicates The security level of the data packet in network one.
  • Step 511 When the network entry server C1 receives the data packet, it is determined whether the security level of the data packet is allowed to be sent to the user A, and if it is allowed to be sent to the user A, it is sent to the A. If not allowed, the data packet is directly discarded;
  • Step 512 After receiving the data packet, the user A checks whether the security level of the data packet is the security level allowed by the user A. If yes, the data packet is sent to the corresponding application of the user A, and the user A The upper-layer application performs corresponding processing according to the security level. If it is not the security level allowed by user A, the data packet is discarded;
  • the security level of the data packet is detected, that is, the value of the field used to indicate the security level of the data packet in the header of the data packet, and the datagram indicated by the value of the read field is determined. Whether the security level of the text is the security level allowed by user A;
  • the user A decides to return all the information containing the confidentiality to the user B according to the security level of the data packet, or returns the restricted or filtered to the user B.
  • Information or refuse to provide corresponding information.
  • the security level of the transmitted data must be changed accordingly. For example, if there is no direct connection between network one and network two, it needs to be unsafe.
  • the network three transits, then the security level of the data packets transited through the network three must be remapped according to the security level of the network three.
  • the update of the security level of the data message is mainly handled by an interworking node (e.g., border gateway D).
  • data of more than one security level can be issued.
  • user A can be allowed to send data messages with security levels of 0, 1, and 4. That is to say, there is an allowed set of security levels for each data message sent by the user.
  • the network access server checks the data packet sent by the user, it determines whether the security level carried in the data packet sent by the user is within the security level set allowed by the user.
  • the encryption method such as VPN traversal
  • the network 3 since the network uses the encryption method, It can be considered that the network 3 through which the data packet passes is secure.
  • the network element in the network 3 does not need to modify the security level of the received data packet, that is, when the network 3 receives the data packet sent by the network, it is completely complete. Transparently transmitted to the network 2, and when the network 2 receives the data packet forwarded by the network 3, directly switches the security level of the data packet according to the network protocol of the network (ie, network 2) and the network 1. Change it.
  • the present invention adds security information to the packet header of the data packet, so that the data packet receiving end can perform corresponding processing according to the security information of the data packet, facilitating the network node, the server, or the terminal user.
  • the selection and filtering of messages based on security information improves the ability of the entire network to differentiate and handle different security levels >3 ⁇ 4.

Abstract

本发明提供一种数据报文的处理方法和系统，所述方法包括：数据报文发送端发送数据报文，所述数据报文的报文头中包括用于指示数据报文的安全等级的字段，其中，所述字段的值由所述数据报文发送端设置，或者由传输所述数据报文的网络侧设备设置；数据报文接收端接收所述数据报文，读取所述字段的值，并根据所读取的值所指示的数据报文的安全等级对所述数据报文进行处理。本发明提高了整个网络区分和处理不同安全等级报文的能力。

Description

一种数据报文的处理方法及系统
技术领域
本发明涉及数据通信领域， 尤其涉及一种接入设备和边界网关对不同安 全等级的数据报文的处理方法。
背景技术
现有互联网^ ^于 IP技术构建的， IP网络的开放性促成了互联网的繁荣， 也带来了大量的安全问题， 互联网中的节点受多个国家的多个机构管理， 有 些节点是可信任的， 也可能是不可信任的。 网络中的用户可能收到信任节点 的数据报文， 也可能收到不可信任节点的数据报文。
同时， IP网络是多业务共享的网络，既可能传输高安全级别业务的报文， 也需要传输一些低安全级别业务的报文。 出于业务应用的需要， 在很多情况 下， 网络的中间节点即使发现一些数据报文不够安全， 也不能简单地将这些 报文丟弃， 若简单丟弃则会造成业务中断， 影响用户的业务体验。
当前的 IP网络对上述不同安全等级的报文没有提供相应的处理方法， 只 是将不同安全等级的报文简单的混合在一起传输， 这就导致最终的目的节点 无法区分数据报文是来源于安全的网络， 还是不安全的网络， 从而无法针对 安全等级进行区分服务， 互联网的安全无法得到根本改善。
发明内容
本发明的目的是提供一种数据报文的处理方法及系统， 以便网络设备利 用安全级别信息对数据报文进行分类处理。
现有 IP报文中没有标识报文安全级别的字段， 因而终端用户或者业务服 务器在收到报文时， 无法分辨出哪些数据报文是安全可信的， 哪些数据报文 是不够可信的， 从而无法进行区分处理， 这就为不可信节点冒充可信节点攻 击用户或者业务服务器留下了攻击空间，使网络的安全性无法得到根本提升。 为此本发明在 IPV6报文中携带安全级别， 以解决上述安全隐患，从根本上提 高 IP网的安全性。
为了解决上述技术问题， 本发明公开了一种数据报文的处理方法， 包括： 数据报文发送端发送数据报文， 所述数据报文的报文头中包括用于指示 数据报文的安全等级的字段， 其中， 所述字段的值由所述数据报文发送端设 置， 或者由传输所述数据报文的网络侧设备设置；
数据报文接收端接收所述数据报文， 读取所述字段的值， 并根据所读取 的值所指示的数据报文的安全等级对所述数据报文进行处理。
优选地， 上述方法中， 当所述字段的值由数据报文发送端设置时， 传输 级是否属于允许的安全级别范围， 如果是， 则将所述数据报文传输给所述数 据报文接收端。
优选地， 传输所述数据报文的网络侧设备若判断所述字段的值所指示的 数据报文的安全等级不属于允许的安全级别范围， 则更新所述字段的值， 将 更新操作后的数据报文传输给所述数据报文接收端， 其中， 经所述网络侧设 备更新后的字段的值所指示的数据报文的安全等级属于允许的安全级别范 围。
优选地， 上述方法中， 所述字段的值由传输所述数据报文的网络侧设备 设置指： 在数据报文的传输过程中， 所述网络侧设备接收数据报文后， 若判 断所接收到的数据报文的报文头中用于指示数据报文的安全等级的字段无效 时， 则根据接收到的数据报文的安全等级设置所述字段的值。
优选地， 所述数据报文接收端根据所读取的值所指示的数据报文的安全 等级对所述数据报文进行处理的步骤包括：
若所述数据报文接收端判断读取的所述字段的值所指示的数据报文的安 全等级属于允许的安全级别范围， 则正常处理所述数据报文， 若所述数据报 文接收端判断读取的所述字段的值所指示的数据报文的安全等级不属于允许 的安全级别范围， 则丟弃该数据报文。
优选地， 所述网络侧设备至少包括网络接入服务器。 优选地， 所述数据报文发送端与所述数据报文接收端位于不同网络时， 所述网络侧设备至少包括所述数据报文发送端所在第一网络的第一网络接入 服务器、 所述第一网络的第一边界网关、 所述数据报文接收端所在第二网络 的第二边界网关以及所述第二网络的第二网络接入服务器； 其中， 所述第二边界网关接收到所述第一边界网关传输的数据报文时， 根据所述第一网络和第二网络的网间协议， 转换所述数据报文的安全等级， 并根据转换后的数据报文的安全等级重新设置所述字段的值。 本发明还公开了一种数据报文的处理系统， 包括数据报文发送端、 网络 侧设备以及数据报文接收端， 其中：
所述数据报文发送端设置成发送数据报文， 所述数据报文的报文头中包 括用于指示数据报文的安全等级的字段；
所述网络侧设备设置成将所述数据报文发送端发送的数据报文传输到所 述数据报文接收端；
所述数据报文接收端设置成接收所述数据报文， 读取所述数据报文的报 文头中用于指示数据报文的安全等级的字段的值， 并根据所读取的字段的值 所指示的数据报文的安全等级对所述数据报文进行处理。
优选地， 上述系统中， 所述数据报文发送端还设置成设置所述数据报文 的报文头中用于指示数据报文的安全等级的字段的值；
所述网络侧设备还设置成： 在传输所述数据报文时， 判断所述数据报文 的报文头中用于指示数据报文的安全等级的字段的值所指示的数据报文的安 全等级是否属于允许的安全级别范围， 如果属于允许的安全级别范围， 则将 所述数据报文传输给所述数据报文接收端 ,如果不属于允许的安全级别范围 , 则更新所述字段的值，将更新操作后的数据报文传输给所述数据报文接收端， 其中， 经所述网络侧设备更新后的字段的值所指示的数据报文的安全等级属 于允许的安全级别范围。
优选地， 所述网络侧设备还设置成： 在数据报文的传输过程中， 判断所 接收到的数据报文的报文头中用于指示数据报文的安全等级的字段的值是否 无效， 当所述字段的值无效时， 根据接收到的数据报文的安全等级设置所述 字段的值之后， 才将该数据报文发送给所述数据报文接收端。
优选地，当所述数据报文发送端与所述数据报文接收端位于不同网络时， 所述网络侧设备至少包括所述数据报文发送端所在第一网络的第一网络接入 服务器、 所述第一网络的第一边界网关、 所述数据报文接收端所在第二网络 的第二边界网关以及所述第二网络的第二网络接入服务器；
其中， 所述第二边界网关设置成： 在数据报文的传输过程中， 接收到所 述第一边界网关传输的数据报文时， 根据所述第一网络和第二网络的网间协 议， 转换所述数据报文的安全等级， 并根据转换后的数据报文的安全等级重 新设置所述字段的值。
优选地， 所述数据报文接收端是设置成通过如下方式对所述数据报文进 行处理： 在判断读取的所述字段的值所指示的数据报文的安全等级属于允许 的安全级别范围时， 正常处理所述数据报文， 当判断读取的所述字段的值所 指示的数据报文的安全等级不属于允许的安全级别范围时， 则丟弃该数据报 文。
本发明技术方案在数据报文的报文头中增加了安全信息， 这样数据报文 接收端就可以根据数据报文的安全信息进行相应的处理， 方便网络节点、 月良 务器或者终端用户根据安全信息对报文进行 选和过滤， 提高了整个网络区 分和处理不同安全等级报文的能力。
附图概述
图 1为现有 RFC1883 ( IPV6第一版） 的"¾文头示意图；
图 2为现有 RFC2460 ( IPV6第二版） 的"¾文头示意图；
图 3为本发明所提供的 IP数据报文的报文头示意图；
图 4为本实施例中传输 IP数据 文的网络构架图；
图 5为本实施例中传输 IP数据报文的流程图。 本发明的较佳实施方式
下面结合附图及具体实施例对本发明技术方案做进一步详细说明。
目前， IPV6报文头的两个版本为 RFC1883 ( IPV6第一版）和 RFC2460 ( IPV6第二版） 。 这两个版本 IPV6报文头， 主要是前 32位的 QOS流量管 理部分发生了变化，在 RFC1883中， QOS管理由 4位的优先级字段 ( riority ) 和 24位的流标签（ flow label )字段组成，如图 1所示；在 RFC2460中， priority 和 flow label这两部分被^ ί 改为 8位的业务流类别（ traffic class )和 20位的流 标签（flow label )字段， 如图 2所示。
本发明通过在 IPV6报文头中，增加一个用于指示数据报文的安全级别的 字段，具体来说，可以将 IPV6报文中的流量类型和流标签（ traffic class和 Flow label )空间压缩 4个 bit空间， 用来提供给安全级别的信息， 例如， 安全级别 可以有 0 ~ 15 , 共 16个安全级别。 余下的 24位， 仍由流量类型和流标签使 用， IP报文头的其他部分格式和意义都不变， 这两个标签的意义不变， 只是 编号范围有所压缩， 如图 3所示： 也就是说， 可以将原来 IPV6报文头中的流 量类型和流标签减少 4位， 然后增加 4位安全等级（ security level )字段（下 文简称为 SL字段）， 以指示此数据报文的安全等级的信息， 这样修改后， 报 文头中仍保持 32bit的数据边界， 不影响路由器釆用硬件处理的速度。
实施例
本实施例提供一种数据报文的处理系统， 至少包括数据报文发送端、 网 络侧设备以及数据报文接收端。
据报文发送端设置成发送数据报文， 所发送的数据报文的报文头中包括 用于指示数据报文的安全等级的字段；
网络侧设备设置成将数据报文发送端发送的数据报文传输到数据报文接 收端；
数据报文接收端设置成接收数据报文， 读取数据报文的报文头中用于指 示数据报文的安全等级的字段， 并根据所读取的字段所指示的数据报文的安 全等级对数据报文进行处理； 其中， 数据报文接收端在判断读取字段的值所指示的数据报文的安全等 级属于允许的安全级别范围时， 正常处理所述数据报文， 当判断读取字段的 值所指示的数据报文的安全等级不属于允许的安全级别范围时， 则丟弃该数 据报文。
具体地， 数据报文的报文头中用于指示数据报文的安全等级的字段的值 可由数据报文发送端设置；
此时， 网络侧设备在传输所述数据报文时， 还判断所要传输的该数据报 文的报文头中用于指示数据报文的安全等级的字段的值所指示的数据报文的 安全等级是否属于允许的安全级别范围， 如果是， 则将该数据报文传输给数 据报文接收端， 如果不属于允许的安全级别范围， 则更新该字段的值， 将更 新操作后的数据报文传输给数据报文接收端， 其中， 网络侧设备更新后的字 段的值所指示的数据报文的安全等级属于允许的安全级别范围。
数据报文的报文头中用于指示数据报文的安全等级的字段的值也可以由 网络侧设备设置， 即网络侧设备在数据报文的传输过程中， 判断所接收到的 数据报文的报文头中用于指示数据报文的安全等级的字段是否无效， 当该字 段的值无效（例如数据报文发送端未设置该字段的值） 时， 根据接收到的数 据报文的安全等级设置该字段的值， 并将设置操作后的数据报文发送给数据 报文接收端， 当该字段的值有效时， 直接传输数据报文给数据报文接收端即 可。
还有一些场景中， 数据报文发送端与数据报文接收端位于不同网络时， 网络侧设备至少包括数据报文发送端所在第一网络的第一网络接入服务器、 第一网络的第一边界网关、 数据 ^艮文接收端所在第二网络的第二边界网关以 及第二网络的第二网络接入服务器。 其中， 第二边界网关接收到第一边界网 关传输的数据报文时， 还根据第一网络和第二网络的网间协议， 转换数据报 文的安全等级， 并根据转换后的数据报文的安全等级设置上述字段的值， 再 通过第二网络的接入服务器将设置操作后的数据报文传输给数据报文接收 端。
下面以图 4所示的网络架构所例， 说明上述系统传输携带有安全等级的 信息的数据报文的过程。 其中， 数据报文发送端 （即信息发送者 A )与数据 报文接收端 （信息接收者 B )位于不同网络， 且这两个不同的网络（下文分 别称为网络一和网络二， 其中， 将用户 A所在的网络称为网络一， 将用户 B 所在的网络称为网络二）分属不同的安全域： 4叚设分别为安全域 1和安全域 2。 其中， 用户 A和用户 B分别通过网络接入服务器 C1和 C2接入各自的网 络， 两个网络之间通过互通网关 D1和 D2来互通。 该过程如图 5所示， 包括 以下步骤：
步骤 501： 信息发送者 A向信息接收者 B发送数据报文， 本实施例中， 所发送的数据报文的报文头中包括用于指示该数据报文的安全等级的字段， 在本实施例中， 该字段的值由信息发送者 A设置；
该步骤中， 信息发送者 A在数据报文的报文头中所设置的用于指示该数 据报文的安全等级的字段的值即对应该数据报文的安全等级。
还有一些场景中， 该字段的值所指示的数据报文的安全等级是系统配置 的， 具体地， 数据报文的安全等级除了与用户的安全等级相关外， 也可能与 用户类型、 数据报文类型等参数有关， 即系统综合考虑用户的安全等级、 数 据报文的发送方的用户类型、 数据报文类型等参数配置各数据报文的安全等 级。
步骤 502: 用户 A所在的网络一的网络接入服务器 C1收到 A发出的数 据报文时， 检查用户 A对该数据报文的报文头中用于指示数据报文的安全等 级的设置是否合理， 如果合理， 则直接转发给边界网关 D1 , 如果不合理， 则 修改数据报文的安全等级为合理的安全等级， 然后将修改后的数据报文转发 给边界网关 D1 ;
该步骤中， 检查数据报文的报文头中用于指示数据报文的安全等级是否 合理指： 各网络事先为每个用户发送的数据报文配置数据报文的安全等级范 围， 因此， 各用户所发送的数据报文的报文头中用于指示数据报文的安全等 级的字段的值所指示的数据报文的安全等级必须在允许的安全等级范围内， 即数据报文的报文头中用于指示数据报文的安全等级的字段的值所指示的数 据报文的安全等级在该安全等级范围内则认为是合理的， 不在该等级范围内 则认为是不合理的； 网络接入服务器 C1修改数据报文的安全等级为合理的安全等级指，根据 该数据报文的信息 （如系统事先配置的该数据报文的安全等级， 该安全等级 可能与用户的安全等级、 用户类型、 数据报文类型等信息有关） 更新数据报 文的报文头中用于指示数据报文的安全等级的字段的值， 并保证更新后该字 段的值所指示的数据报文的安全等级属于允许的安全等级范围。
还有一些实施例中，当网络接入服务器 C1检查此数据报文中的安全等级 不合理， 也可以不进行修改， 而直接丟弃该数据报文。
步骤 503: 用户 A所在的网络一的边界网关 D1接收上述数据报文，并发 送给用户 B所在的网络二的边界网关 D2;
步骤 504: 边界网关 D2收到上述数据报文后， 根据网间协议转换该数据 报文的安全等级，并将转换后的数据报文发送给用户 B的网络接入服务器 C2; 该步骤中，由于用户 A所在的网络和用户 B所在的网络不是同一个网络， 因此两个网络的安全等级定义不完全一致， 此时需要对数据报文的安全等级 重新映射。 例如， 在网络 A中非常安全可信的数据报文， 在网络 B中并不一 定很安全可信， 因此需要做一些安全等级调整。
在本实施例中， 边界网关 D2根据网间协议进行安全等级信息转换指， 将数据报文的安全等级映射到网络二对应的安全等级， 根据映射后的数据报 文的安全等级重新设置数据报文的报文头中用于指示数据报文的安全等级的 字段的值， 即此时该字段的设置值指示的是在网络二中该数据报文的安全等 级；
例如， 网络二的边界网关 D2从网络一的边界网关 D1收到的数据报文的 报文头中数据报文的安全等级为 15 (假设 15级为网络一的数据报文的安全 等级中的最高级） ， 则边界网关 D2根据网间协议进行安全等级的信息转换 时， 可将数据报文的安全等级 15转换 3级（此时， 3级为网络二的数据报文 的安全等级中的最高级） 。
步骤 505: 用户 B的网络接入服务器 C2, 接收边界网关 D2发送的数据 报文， 判断此数据报文的报文头中用于指示数据报文的安全等级的字段的值 是否允许发送给用户 B, 如果允许， 则发送给用户 B, 若不允许则直接丟弃 该数据报文；
步骤 506: 用户 B接收此数据报文， 读取该数据报文的报文头中用于指 示数据报文的安全等级的字段的值， 如果所读取字段的值所指示的数据报文 的安全等级为用户 B允许的安全级别， 则将该数据报文发送给用户 B的相应 上层应用程序；
步骤 507: 用户 B的上层应用程序查看此数据报文是否为请求用户 B上 的内容的数据报文， 如果是， 则用户 B的应用程序根据此数据报文的安全等 级， 进行相应的处理， 如果不是则丟弃该数据报文；
该步骤中， 用户 B根据数据报文的安全等级， 决定向用户 A返回含有机 密的所有信息， 或者向用户 A返回受限的或者经过过滤的信息， 或者拒绝提 供对应信息；
步骤 508:用户 B的网络接入服务器 C2接收到用户 B返回的相应数据报 文时，网络接入服务器 C2检查此数据报文的报文头中用于指示数据报文的安 全等级的字段的值所指示的数据报文的安全等级是否在用户 B允许的安全等 级范围， 如果是， 则直接将该数据报文发送给 D2, 如果不在 B允许的范围内 则修改数据报文的报文头中用于指示数据报文的安全等级的字段的值后再发 送给 D2,其中，修改后该字段的值指示数据报文的安全等级为用户 B允许的 安全等级；
步骤 509: 网络二的边界网关 D2收到网络接入服务器 C2返回的数据报 文后， 将返回的数据报文发送给网络一的边界网关 D1 ;
步骤 510: 网络一的边界网关 D1收到上述数据报文后， 根据网间协议对 数据报文的安全等级进行转换， 并将转换后的数据报文发送给用户 A所在的 网络一的网络接入服务器 C1；
该步骤中， 对数据报文的安全等级进行转换指， 边界网关 D1 修改数据 报文的报文头中用于指示数据报文的安全等级的字段的值， 使修改后的字段 的值指示在网络一中该数据报文的安全等级。
步骤 511 : 当网^ 入服务器 C1收到上述数据报文时， 判断此数据报文 的安全等级是否被允许发送给用户 A, 如果允许发送给用户 A, 则发送给 A, 若不允许则直接丟弃该数据报文；
步骤 512: 用户 A收到此数据报文后， 检查数据报文的安全等级是否为 用户 A允许的安全等级， 如果是， 则将该数据报文发送给用户 A的相应应用 程序， 用户 A的上层应用程序根据安全等级进行相应的处理， 如果不是用户 A允许的安全等级， 则丟弃该数据报文；
该步骤中， 检测数据报文的安全等级， 即指读取数据报文的报文头中用 于指示数据报文的安全等级的字段的值， 判断读取的字段的值所指示的数据 报文的安全等级是否为用户 A允许的安全等级；
其中， 当数据 文的安全等级为用户 A允许的安全等级时， 用户 A根据 该数据报文的安全等级， 决定向用户 B返回含有机密的所有信息， 或者向用 户 B返回受限的或者经过过滤的信息， 或者拒绝提供对应信息。
在上述流程中， 如果网络中经过了不安全网络， 所传输的数据 4艮文的安 全等级也要相应的变化， 例如， 如果网络一和网络二之间不是直接连接， 而 是需要经过不安全的网络三中转， 那么经过网络三中转的数据报文的安全等 级都要按网络三的安全等级重新映射。 具体地， 该数据报文的安全等级的更 新主要由互通节点 （如边界网关 D )来处理。
另外， 对于每个用户可以发出不止一种安全等级的数据 4艮文， 例如， 可 以允许用户 A发出安全等级分别为 0, 1 , 4的数据报文。 也就是说， 对于每 个用户发送的数据报文对应有一个允许的安全级别集合。 此时， 网络接入服 务器在检查用户发送的数据报文时， 判断用户发出的数据报文中携带的安全 等级是否在此用户允许的安全级别集合内即可。
还有一些实施例中， 网络一和网络二之间传输数据报文的过程中， 若釆 用加密方式（如 VPN穿越）经过了网络三的传输， 由于网络三釆用的是加密 方式， 则可以考虑数据报文经过的网络三是安全的， 网络三中的网元无需对 所收到的数据报文的安全等级进行修改检查， 即网络三收到网络一发送的数 据报文时， 完全透传给网络二， 而网络二收到网络三转发的数据报文时， 直 接按本网络（即网络二）和网络一的网间协议对数据报文的安全等级进行转 换即可。
当然， 本发明还可有其他多种实施例， 在不背离本发明精神及其实质的 但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
工业实用性
与现有技术相比， 本发明通过在数据报文的报文头中增加安全信息， 使 得数据报文接收端可以根据数据报文的安全信息进行相应的处理， 方便网络 节点、 服务器或者终端用户根据安全信息对报文进行 选和过滤， 提高了整 个网络区分和处理不同安全等级>¾文的能力。

Claims

权 利 要 求 书
1、 一种数据报文的处理方法， 包括：
数据报文发送端发送数据报文， 所述数据报文的报文头中包括用于指示 数据报文的安全等级的字段， 其中， 所述字段的值由所述数据报文发送端设 置， 或者由传输所述数据报文的网络侧设备设置；
数据报文接收端接收所述数据报文， 读取所述字段的值， 并根据所读取 的值所指示的数据报文的安全等级对所述数据报文进行处理。
2、 如权利要求 1所述的方法， 其中，
所述字段的值由数据报文发送端设置； 指示的数据报文的安全等级是否属于允许的安全级别范围， 如果是， 则将所 述数据报文传输给所述数据报文接收端。
3、 如权利要求 2所述的方法， 还包括：
传输所述数据报文的网络侧设备若判断所述字段的值所指示的数据报文 的安全等级不属于允许的安全级别范围， 则更新所述字段的值， 将更新操作 后的数据报文传输给所述数据报文接收端， 其中， 经所述网络侧设备更新后 的所述字段的值所指示的数据报文的安全等级属于允许的安全级别范围。
4、 如权利要求 1所述的方法， 其中， 所述字段的值由传输所述数据报文 的网络侧设备通过如下方式设置：
在所述数据报文的传输过程中，所述网络侧设备接收到所述数据报文后， 若判断所述数据报文的报文头中用于指示数据报文的安全等级的所述字段的 值无效时， 则根据所述数据报文的安全等级设置所述字段的值。
5、 如权利要求 1至 4任一项所述的方法， 其中，
所述数据报文接收端根据所读取的值所指示的数据报文的安全等级对所 述数据报文进行处理的步骤包括：
若所述数据报文接收端判断所读取的所述字段的值所指示的数据报文的 安全等级属于允许的安全级别范围， 则正常处理所述数据报文， 若所述数据 报文接收端判断所读取的所述字段的值所指示的数据报文的安全等级不属于 允许的安全级别范围， 则丟弃该数据报文。
6、 如权利要求 5所述的方法， 其中，
所述网络侧设备至少包括网络接入服务器。
7、 如权利要求 5所述的方法， 其中，
所述数据报文发送端与所述数据报文接收端位于不同网络；
所述网络侧设备至少包括所述数据报文发送端所在的第一网络的第一网 络接入服务器、 所述第一网络的第一边界网关、 所述数据报文接收端所在的 第二网络的第二边界网关以及所述第二网络的第二网络接入服务器；
所述方法还包括： 所述网络侧设备通过如下方式转换所述数据报文的安 全等级： 在所述数据报文的传输过程中， 所述第二边界网关接收到所述第一 边界网关传输的所述数据报文时，根据所述第一网络和第二网络的网间协议， 转换所述数据报文的安全等级， 并根据转换后的数据报文的安全等级重新设 置所述数据报文的报文头中用于指示数据报文的安全等级的所述字段的值。
8、 一种数据报文的处理系统， 包括数据报文发送端、 网络侧设备以及数 据报文接收端， 其中：
所述数据报文发送端设置成发送数据报文， 所述数据报文的报文头中包 括用于指示数据报文的安全等级的字段；
所述网络侧设备设置成将所述数据报文发送端发送的所述数据报文传输 到所述数据报文接收端；
所述数据报文接收端设置成从网络侧设备接收所述数据报文， 读取所述 数据报文的报文头中用于指示数据报文的安全等级的所述字段的值， 并根据 所读取的字段的值所指示的数据报文的安全等级对所述数据报文进行处理。
9、 如权利要求 8所述的系统， 其中， 所述数据报文发送端还设置成设置 所述数据报文的报文头中用于指示数据报文的安全等级的所述字段的值； 所述网络侧设备还设置成： 在传输所述数据报文时， 判断所述数据报文 的报文头中用于指示数据报文的安全等级的字段的值所指示的数据报文的安 全等级是否属于允许的安全级别范围， 如果属于允许的安全级别范围， 则将 所述数据报文传输给所述数据报文接收端 ,如果不属于允许的安全级别范围 , 则更新所述字段的值，将更新操作后的数据报文传输给所述数据报文接收端， 其中， 经所述网络侧设备更新后的所述字段的值所指示的数据报文的安全等 级属于允许的安全级别范围。
10、 如权利要求 8所述的系统， 其中，
所述网络侧设备还设置成： 在所述数据报文的传输过程中， 判断所接收 到的所述数据报文的报文头中用于指示数据报文的安全等级的所述字段的值 是否无效， 当所述字段的值无效时， 根据接收到的数据报文的安全等级设置 所述字段的值之后， 才将所述数据报文发送给所述数据报文接收端。
11、 如权利要求 8所述的系统， 其中，
所述数据报文发送端与所述数据报文接收端位于不同网络；
所述网络侧设备至少包括所述数据报文发送端所在第一网络的第一网络 接入服务器、 所述第一网络的第一边界网关、 所述数据报文接收端所在第二 网络的第二边界网关以及所述第二网络的第二网络接入服务器；
其中， 所述第二边界网关设置成： 在所述数据报文的传输过程中， 接收 到所述第一边界网关传输的所述数据报文时， 根据所述第一网络和第二网络 的网间协议， 转换所述数据报文的安全等级， 并根据转换后的数据报文的安 全等级重新设置所述数据报文的报文头中用于指示数据报文的安全等级的所 述字段的值。
12、 如权利要求 8至 11任一项所述的系统， 其中， 所述数据报文接收端 是设置成通过如下方式对所述数据报文进行处理：
在判断读取的所述字段的值所指示的数据报文的安全等级属于允许的安 全级别范围时， 正常处理所述数据报文， 当判断读取的所述字段的值所指示 的数据报文的安全等级不属于允许的安全级别范围时， 则丟弃该数据报文。
PCT/CN2010/080258 2010-07-27 2010-12-24 一种数据报文的处理方法及系统 WO2012013003A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010240679.3 2010-07-27
CN201010240679.3A CN102347932B (zh) 2010-07-27 2010-07-27 一种数据报文的处理方法及系统

Publications (1)

Publication Number Publication Date
WO2012013003A1 true WO2012013003A1 (zh) 2012-02-02

Family

ID=45529378

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/080258 WO2012013003A1 (zh) 2010-07-27 2010-12-24 一种数据报文的处理方法及系统

Country Status (2)

Country Link
CN (1) CN102347932B (zh)
WO (1) WO2012013003A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210058377A1 (en) * 2019-04-12 2021-02-25 Zafar Khan Registered Encrypted Electronic Message and Redacted Reply System

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106506553B (zh) * 2016-12-28 2019-11-15 北京神州绿盟信息安全科技股份有限公司 一种网际协议ip过滤方法及系统
CN107480540B (zh) * 2017-07-25 2019-10-01 中国工商银行股份有限公司 数据访问控制系统及方法
CN109660551A (zh) * 2018-12-29 2019-04-19 安徽典典科技发展有限责任公司 一种规则组件封装的数据封包及其传输方法
CN114925386B (zh) * 2022-07-15 2022-10-25 飞腾信息技术有限公司 数据处理方法、计算机设备、数据处理系统及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030072307A1 (en) * 2001-10-11 2003-04-17 International Business Machines Corporation Security system for preventing unauthorized packet transmission between customer servers in a server farm
KR20050079459A (ko) * 2004-02-06 2005-08-10 삼성전자주식회사 보안 라우터 및 그 라우팅 방법
CN1864390A (zh) * 2003-10-29 2006-11-15 思科技术公司 用于利用安全性标记提供网络安全性的方法和装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1728714B (zh) * 2004-07-27 2011-07-27 邓里文 一种用于IPv4网络和IPv6网络互通的方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030072307A1 (en) * 2001-10-11 2003-04-17 International Business Machines Corporation Security system for preventing unauthorized packet transmission between customer servers in a server farm
CN1864390A (zh) * 2003-10-29 2006-11-15 思科技术公司 用于利用安全性标记提供网络安全性的方法和装置
KR20050079459A (ko) * 2004-02-06 2005-08-10 삼성전자주식회사 보안 라우터 및 그 라우팅 방법

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210058377A1 (en) * 2019-04-12 2021-02-25 Zafar Khan Registered Encrypted Electronic Message and Redacted Reply System
US11711347B2 (en) * 2019-04-12 2023-07-25 Zafar Khan Registered encrypted electronic message and redacted reply system

Also Published As

Publication number Publication date
CN102347932A (zh) 2012-02-08
CN102347932B (zh) 2016-03-02

Similar Documents

Publication Publication Date Title
Fall et al. Tcp/ip illustrated
Kohler et al. Datagram congestion control protocol (DCCP)
KR101419797B1 (ko) 모바일 ｉｐ 네트워크에서의 라우팅 및 품질 결정
EP2400693B1 (en) Routing and service performance management in an application acceleration environment
KR100910818B1 (ko) 비-ｍａｃｓｅｃ 노드들을 통해 ｍａｃｓｅｃ 패킷들을터널링하기 위한 방법 및 시스템
Baker Rfc1812: Requirements for IP version 4 routers
US7000120B1 (en) Scheme for determining transport level information in the presence of IP security encryption
US20060136722A1 (en) Secure communication system and communication route selecting device
US20120087255A1 (en) Relay apparatus and method therefor
US8320249B2 (en) Method and system for controlling network access on a per-flow basis
US8724630B2 (en) Method and system for implementing network intercommunication
EP2479935A1 (en) Method, system and communication terminal for implementing inter-communication between new network and internet
WO2012013003A1 (zh) 一种数据报文的处理方法及系统
WO2011032450A1 (zh) 网络互通的实现方法和系统
Lastinec et al. A study of securing in-vehicle communication using IPSEC protocol
WO2011082584A1 (zh) 数据报文分类处理的实现方法、网络及终端
Davin et al. Simple gateway monitoring protocol
JP5151197B2 (ja) 通信システム、パケット転送処理装置及びそれらに用いる通信セッション制御方法
CN110602110A (zh) 一种全网端口隔离方法、装置、设备及存储介质
WO2012113198A1 (zh) 一种通信系统和信息交互方法
US8526315B2 (en) Flow state attributes for producing media flow statistics at a network node
JP2004274666A (ja) 暗号装置及びコンソール端末及び管理装置及びプログラム
JP4649242B2 (ja) 端末アダプタ装置
JP2003229880A (ja) 広域監視制御システム
JP4459767B2 (ja) 通信方法及び通信ノード

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10855230

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10855230

Country of ref document: EP

Kind code of ref document: A1