WO2014185639A1 - IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템 - Google Patents

IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템 Download PDF

Info

Publication number
WO2014185639A1
WO2014185639A1 PCT/KR2014/003700 KR2014003700W WO2014185639A1 WO 2014185639 A1 WO2014185639 A1 WO 2014185639A1 KR 2014003700 W KR2014003700 W KR 2014003700W WO 2014185639 A1 WO2014185639 A1 WO 2014185639A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
ipsec
information
gateway
header
Prior art date
Application number
PCT/KR2014/003700
Other languages
English (en)
French (fr)
Inventor
심재희
홍후표
Original Assignee
주식회사 엔텔스
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from KR1020130078317A external-priority patent/KR101447858B1/ko
Application filed by 주식회사 엔텔스 filed Critical 주식회사 엔텔스
Publication of WO2014185639A1 publication Critical patent/WO2014185639A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0471—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying encryption by an intermediary, e.g. receiving clear information at the intermediary and encrypting the received information at the intermediary before forwarding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the technology described below relates to an IPSec gateway device, a packet transmission method of an IPSec gateway, and a network system using the IPSec gateway device.
  • the difference between the mobile communication system and the wired communication system is that the terminals constantly move. Therefore, the mobile communication system should build the system and provide the service in consideration of the mobility of the terminal.
  • the mobile communication system provides a seamless service to a user through various handover techniques between base stations.
  • the network system when the contents of the packet are changed due to the movement of the terminal or an error occurring in the network device, the network system mostly discards the corresponding packet and controls to transmit a new packet.
  • Research related to the occurrence of packet error or packet loss mainly relates to a technique for quickly detecting packet loss or a technique for reducing the packet error itself.
  • the technique described below is intended to provide a technique for recovering packet information when packet recovery is possible by analyzing the encrypted region information without immediately discarding the packet even when the information of the non-encrypted region of the IPSec gateway and the IPSec peer does not match. do.
  • An IPSec gateway device for solving the above problems is a packet receiver that receives a packet from a terminal or a server, and analyzes an unencrypted area of the received packet to determine whether the gateway device matches IPSec session information held before packet reception.
  • Encryption area analysis unit for decoding the encrypted area of the packet when the non-encryption area does not match the IPSec session information, and determines whether the decrypted information matches the encryption key value of the IPSec session information, the decrypted information And an encryption key value, the IPSec session information resetting unit for updating the information of the non-encryption area to the IPSec session information, and a packet transmitting unit for transmitting the packet with the updated IPSec session information.
  • the non-encrypted region may be i) an outer IP header of the packet or ii) an outer IP header and a UDP header of the packet.
  • the encryption domain analyzer finds an IPSec session using an IPSec Security Parameter Index (SPI) value and compares the encryption key of the found IPSec session with the decrypted information.
  • SPI Security Parameter Index
  • the IPSec session information resetting unit updates the source IP information of the IP header to the IPSec session information when only the IP header is added to the non-encrypted area, and adds the IP header and the UDP header to the non-encrypted area. Update source IP information and source port information of UDP header to IPSec session information.
  • a packet transmission method of an IPSec gateway includes receiving a packet by the gateway, determining whether the IPSec session information retained by the gateway before receiving the packet matches a non-encrypted region of the received packet, and deciphering the IPSec session information. If the areas do not match, the gateway decrypts the encrypted area of the received packet, the gateway determines whether the encrypted area and the encryption key value of the IPSec session information match, and the decrypted encryption area and the encryption key value If there is a match, the gateway includes updating and transmitting the information of the non-encrypted area to the IPSec session information.
  • the updating step updates the information of the non-encrypted area on the found IPSec session information using the IPSec Security Parameter Index (SPI) value.
  • SPI Security Parameter Index
  • the gateway updates the source IP information of the IP header to the IPSec session information, and if the IP header and the UDP header are added to the non-encrypted zone, the gateway The source IP information of the IP header and the source port information of the UDP header are updated to the IPSec session information.
  • a network system in another aspect of the present invention, includes a terminal requesting a data service, a service server providing a data service, and a gateway forming IPSec secure tunneling with the terminal and controlling packet transmission between the terminal and the service server.
  • the gateway decrypts the encryption area of the packet, and when the decrypted information matches the encryption key value of the IPSec session information, the non-encryption is performed. Update the information of the realm to IPSec session information and send the packet to the destination.
  • the technique described below allows a gateway that receives an IPSec packet to dynamically update a subscriber session table to enable continuous service even when a seamless service is not provided between networks.
  • the technique described below enables effective service by providing service continuity even when an abnormal situation occurs in a terminal such as packet loss and an IPSec concentrator.
  • FIG. 1 is an example of a block diagram showing the configuration of a network system including an IPSec gateway.
  • LTE mobile communication network
  • FIG. 3 illustrates an example of a configuration of a packet transmitted through a WLAN.
  • FIG. 4 is an example of a block diagram showing the configuration of an IPSec gateway device for updating IPSec session information.
  • FIG. 5 is an example of a flowchart of a packet transmission method in which an IPSec gateway analyzes a packet and recovers the packet without a retransmission request when the packet can be recovered.
  • first, second, A, B, etc. may be used to describe various components, but the components are not limited by the terms, but merely for distinguishing one component from other components. Only used as For example, without departing from the scope of the present invention, the first component may be referred to as the second component, and similarly, the second component may also be referred to as the first component.
  • each process constituting the method may occur differently from the stated order unless the context clearly indicates a specific order. That is, each process may occur in the same order as specified, may be performed substantially simultaneously, or may be performed in the reverse order.
  • an IPSec peer (a terminal) that exchanges data with an IPSec gateway according to a mobile terminal (3G / 4G) or a terminal receiving a data service through a WLAN, changing a connection path, or restarting a NAT device above the terminal If the information of the unencrypted area does not match between the server, server, etc.).
  • the movement of the terminal or the change of the access path occurs when the user changes the network path provided with the data service or one of the access paths does not work properly. For example, in a home or an office, a user may change a connection path from an LTE network to a WLAN in order to receive data service through an inexpensive WiFi network. Alternatively, if the user cannot access the WLAN or if the WLAN device fails, the user may change the access path from the WLAN to the LTE network.
  • the IPSec gateway device 140 the packet transmission method of the IPSec gateway 140, and the network system 100 including the gateway device 140 will be described in detail with reference to the drawings.
  • FIG. 1 is an example of a block diagram illustrating a configuration of a network system 100 including an IPSec gateway 140.
  • the network system 100 providing IPSec mobility of the terminal 110 includes a terminal 110 requesting a data service, a service server 150 providing a data service, a mobile communication AP, and a packet data network gateway (PGW) 123.
  • the mobile communication network 120 includes a WLAN 130 including a Wi-Fi AP 131, and forms IPSec secure tunneling with the terminal 110, and the terminal 110 forms a mobile communication network 120 or a WLAN 130.
  • IPSec gateways 140 and 140 that control access to the service server 150 through e.g.
  • the service server 150 is a server that provides content or a service to the terminal 110.
  • the service server 150 may be a server that provides a business service through a personal terminal, such as a Bring Your Own Device (BYOD) service. 1 shows that service server 150 is located inside a particular system with a firewall.
  • BYOD Bring Your Own Device
  • the terminal 110 includes a general mobile terminal, a smart phone, a tablet PC, a notebook computer, a personal computer, and the like. Devices capable of accessing a network provided by a mobile communication provider or a WiFi network are all included in the terminal 110 of the present invention.
  • the mobile communication network 120 generally refers to a network using 2G, 3G, LTE, LTE-Advanced, and the like. For convenience of explanation, it is assumed that a network provided by a mobile service provider is LTE (4G, 4G-Advanced).
  • the mobile communication network 120 includes a base station (eNB) 121, a serving gateway 122 (SGW), and a packet data network gateway (PGW).
  • WLAN 130 includes a Wi-Fi AP 131.
  • eNB base station
  • SGW serving gateway 122
  • PGW packet data network gateway
  • WLAN 130 includes a Wi-Fi AP 131.
  • each network includes other components as well, but FIG. 1 exemplarily shows only the components necessary for describing the invention. Configurations and detailed operations of the mobile communication network 120 and the WLAN 130 are well known to those skilled in the art, and thus detailed descriptions thereof will be omitted.
  • the IPSec gateway 140 of the present invention may use other paths in addition to the access path shown in FIG. 1, and although not illustrated, the IPSec gateway 140 may also be applied to a packet transmission between the terminal 110 and the terminal 110.
  • the present invention is applicable to a case where a packet is transmitted / received (a terminal and a server, a terminal, a terminal, etc.), and the IPSec gateway 140 forms IPSec secure tunneling with at least one of the packets that are transmitted and received.
  • the terminal 110 accesses the service server 150 through the LTE network 120
  • the terminal 110 forms IPSec tunneling with the IPSec gateway 140 via the mobile communication network 120.
  • the terminal 110 accesses the service server 150 through the WLAN 130
  • the terminal 110 forms IPSec tunneling with the IPSec gateway 140 via the WLAN 130. It is assumed that the system where the service server 150 is located uses a separate security protocol.
  • the IPSec gateway 140 decrypts the encrypted area of the received packet when the unencrypted area of the packet transmitted by the IPSec peer does not match the IPSec session information formed in the IPSec gateway 140. If the decrypted encryption area matches the IPSec session information, the IPSec gateway 140 determines that the unencrypted area of the received packet is appropriate, and updates the current IPSec session information with information of the unencrypted area of the received packet.
  • FIG. 2 is a diagram illustrating a configuration of a packet transmitted through a mobile communication network (LTE).
  • FIG. 2 (a) illustrates a case in which the PGW assigns a public IP to the terminal 110
  • FIG. 2 (b) illustrates a case in which the PGW assigns a private IP to the terminal 110.
  • the packet of FIG. 2 (b) additionally has a separate UDP header inside the outer IP header.
  • FIG. 3 illustrates an example of a configuration of a packet transmitted through a WLAN.
  • FIG. 3 (a) illustrates a case in which the Wi-Fi AP 131 assigns a public IP to the terminal 110
  • FIG. 2 (b) illustrates a case where the Wipia AP assigns a private IP to the terminal 110.
  • the packet of FIG. 2 (b) additionally has a separate UDP header inside the outer IP header.
  • An additional reason for using UDP headers is that IP can be tampered with by NAT devices. If the IP is tampered with, NAT service on the ESP header is disabled.
  • the present invention proposes a method or apparatus for recovering (update) a packet when the non-encrypted area of the packet received by the IPSec gateway 140 and the previously formed IPSec session information do not match.
  • FIG. 4 is an example of a block diagram showing the configuration of an IPSec gateway 140 device for updating IPSec session information.
  • the IPSec gateway 140 analyzes the packet receiving unit 141 which receives the packet from the terminal 110 or the server, and an unencrypted area of the received packet, and determines whether the gateway device matches the IPSec session information held before the packet is received.
  • the non-encryption area analysis unit 142 to determine, if the non-encryption area does not match the IPSec session information, decrypts the encryption area of the packet, and the encryption area to determine whether the decrypted information matches the encryption key value of the IPSec session information
  • the analyzer 143 transmits a packet for transmitting an IPSec session information reset unit 144 for updating the information in the non-encrypted area to the IPSec session information and a packet for which the IPSec session information is updated. Part 145 is included.
  • the packet receiver 141 receives a packet from the PGW or the Wi-Fi AP 131, but this is merely an example.
  • a packet may be received from the service server 150 providing the data service. 4 assumes a process in which a packet generated by the terminal 110 is transmitted to the service server 150.
  • the non-encrypted area is i) the outer IP header of the packet or ii) the outer IP header and UDP header of the packet.
  • the outer IP header is an unencrypted area when the access path device uses a public IP.
  • the outer IP header and a UDP header is an unencrypted area when the access path device uses a private IP.
  • the non-encryption area analysis unit 142 analyzes i) an outer IP header of a packet or ii) an outer IP header and a UDP header of the packet, thereby forming an IPSec session established between the current IPSec peers (eg, a terminal and a service server). Compare the information.
  • the information of the outer IP header includes a source IP and a destination IP
  • the information of the UDP header includes a source port number and a destination port number.
  • the encryption area analysis unit 142 determines that the information of the non-encryption area of the received packet and the IPSec session information are inconsistent, the encryption area analysis unit decrypts the encrypted area. As described above, for some reasons, only unencrypted regions may not match.
  • the encryption domain analyzer 143 searches for an IPSec session by using an IPSec Security Parameter Index (SPI) value, and compares the encryption key and the decrypted information of the found IPSec session.
  • SPI IPSec Security Parameter Index
  • SPI is a tag added to the header when using IPSec tunneling for IP traffic. SPI is used to distinguish different traffic streams using different encryption rules and algorithms. Therefore, the encryption region analyzer 143 searches for an IPSec session corresponding to the received packet based on the SPI value of the received packet. The encryption region analyzer 143 decrypts the encryption region of the received packet by using the found encryption information of the IPSec session, and determines whether the decrypted information and the information of the IPSec session match.
  • the encrypted area analyzer 143 determines that the decoded information and the IPSec session information match, the unencrypted information of the received packet is reflected in the IPSec session information. If the encryption area matches the existing IPSec session information, there is a high probability that the currently received packet is a lossless packet. Therefore, the non-encryption information of the currently received packet is reflected in the IPSec session information.
  • the IPSec session information reset unit 144 assigns source IP information of the IP header to IPSec.
  • the source IP information of the IP header and the source port of the UDP header Update the information to IPSec session information.
  • the packet transmitter 145 transmits the updated packet to the destination.
  • 4 illustrates the destination as a service server 150, this is only one example.
  • the destination may be the terminal 110 or may be a third recipient.
  • 5 is an example of a flowchart of a packet transmission method in which the IPSec gateway 140 recovers and transmits a packet without a retransmission request when the packet can be recovered by analyzing the packet.
  • the IPSec gateway 140 receives a packet from the terminal 110 or a specific server (901). The IPSec gateway 140 determines whether the received packet is UDP encapsulated (902). UDP encapsulated packets use private IP, and UDP unencapsulated packets use public IP. Whether UDP is encapsulated makes a difference only in the content that is finally updated in the information of the IPSec session.
  • the path that the IPSec gateway 140 determines to be UDP encapsulated is as follows.
  • the IPSec gateway 140 determines whether the information of the non-password and the area matches the existing IPSec session information (903).
  • the existing IPSec session means a session formed through the current IPSec gateway 140. If the non-password and the area information coincide with the existing IPSec session information, the IPSec gateway 140 processes the packet normally (904).
  • the IPSec gateway 140 determines whether the SPI value of the ESP header of the received packet matches the value assigned to the existing (currently set IPSec session). (905). If the SPI value does not match the information of the currently set IPSec session, the IPSec gateway 140 discards the received packet (908).
  • the IPSec gateway 140 decrypts the encryption region of the received packet (906). The IPSec gateway 140 determines whether or not the information of the IPSec session found based on the SPI value and the information of the decrypted encryption region match (907). If the information of the IPSec session and the information of the decrypted encryption area do not match, the IPSec gateway 140 discards the received packet (908).
  • the IPSec gateway 140 updates the information of the non-encryption region to the IPSec session information. In detail, if the information of the IPSec session and the information of the decrypted encryption region do not match, the IPSec gateway 140 updates the source IP information of the IP header and the source port information of the UDP header to the IPSec session information (909). Thereafter, the IPSec gateway 140 transmits the updated information to the destination (910).
  • the path that the IPSec gateway 140 determines is not UDP encapsulated is as follows.
  • the IPSec gateway 140 determines whether the information of the non-password and the area matches the existing IPSec session information (911).
  • the existing IPSec session means a session formed through the current IPSec gateway 140. If the non-password and the area information coincide with the existing IPSec session information, the IPSec gateway 140 processes the packet normally (912).
  • the IPSec gateway 140 determines whether the SPI value of the ESP header of the received packet matches the value assigned to the existing (currently set IPSec session). (913). If the SPI value does not match the information of the currently set IPSec session, the IPSec gateway 140 discards the received packet (916).
  • the IPSec gateway 140 decrypts the encryption region of the received packet (914). The IPSec gateway 140 determines whether the information of the IPSec session found based on the SPI value and the information of the decrypted encryption region match (915). If the information of the IPSec session and the information of the decrypted encryption area do not match, the IPSec gateway 140 discards the received packet (916).
  • the IPSec gateway 140 updates the information of the non-encryption region to the IPSec session information. In detail, if the information of the IPSec session and the information of the decrypted encryption region do not match, the IPSec gateway 140 updates the source IP information of the IP header and the source port information of the UDP header to the IPSec session information (917). Thereafter, the IPSec gateway 140 transmits the updated information to the destination (918).
  • eNB base station
  • IPSec gateway 141 packet receiving unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

IPSec 게이트웨이(140) 장치는 단말(110) 또는 서버로부터 패킷을 수신하는 패킷 수신부(141), 수신한 패킷의 비암호화 영역을 분석하여, 게이트웨이 장치가 패킷 수신 전에 보유한 IPSec 세션 정보와 일치하는지 여부를 판단하는 비암호화 영역 분석부(142), 비암호화 영역이 IPSec 세션 정보와 일치하지 않는 경우 패킷의 암호화 영역을 복호하고, 복호된 정보가 IPSec 세션 정보의 암호화 키값과 일치하는지 여부를 판단하는 암호화 영역 분석부(143), 복호된 정보와 암호화 키값이 일치하는 경우, 비암호화 영역의 정보를 IPSec 세션 정보에 업데이트하는 IPSec 세션 정보 재설정부(144) 및 IPSec 세션 정보가 업데이트된 패킷을 전송하는 패킷 전송부(145)를 포함한다.

Description

IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템
이하 설명하는 기술은 IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 이 IPSec 게이트웨이 장치를 사용하는 네트워크 시스템에 관한 것이다.
이동 통신 시스템이 유선 통신 시스템과 다른 점은, 단말들이 끊임없이 이동을 한다는 것이다. 따라서, 이동 통신 시스템은 단말의 이동성을 고려하여 시스템을 구축하고 서비스를 제공하여야 한다. 이동 통신 시스템은 기지국 사이의 다양한 핸드오버(handover) 기법을 통해 사용자에게 끊김 없는 서비스를 제공한다.
한편, 단말의 이동 또는 네트워크 장치에서 발생하는 오류 등으로 인하여 패킷의 내용이 변경되는 경우, 네트워크 시스템은 대부분 해당 패킷을 폐기하고, 새로운 패킷을 전송하도록 제어한다.
패킷의 오류 또는 패킷의 손실이 발생과 관련된 연구는 주로 패킷의 손실을 빠르게 검출하는 기법 또는 패킷의 오류 자체를 줄이기 위한 기술에 관한 것이다.
종래 기술은 IPSec 게이트웨이에서 암호화되지 않은 영역의 정보가 변경되어 패킷이 수신되는 경우 해당 패킷을 즉시 폐기하였다. 따라서, 단말의 이동 또는 단말 상위의 NAT 장비의 재시작 등에 의해 오류가 발생하여 IPSec 게이트웨이와 IPSec 피어(Peer)의 암호화되지 않은 영역에 대한 정보가 불일치하는 경우에 복구할 수 있는 방법이 없었다. 종래 기술에 따른 네트워크 시스템은 패킷이 불일치 시간 동안 트래픽 전송이 중단되었고 IKE DPD(Dead Peer Detection) 절차에 의해서 일정 시간 경과 후 세션 삭제를 진행한다.
이하 설명하는 기술은 IPSec 게이트웨이와 IPSec 피어의 비암호화 영역의 정보가 일치하지 않는 경우에도 곧바로 패킷을 폐기하지 않고, 암호화 영역 정보를 분석하여 패킷 복구가 가능한 경우 패킷의 정보를 복구하는 기법을 제공하고자 한다.
상기 과제를 해결하기 위한 IPSec 게이트웨이 장치는 단말 또는 서버로부터 패킷을 수신하는 패킷 수신부, 수신한 패킷의 비암호화 영역을 분석하여, 게이트웨이 장치가 패킷 수신 전에 보유한 IPSec 세션 정보와 일치하는지 여부를 판단하는 비암호화 영역 분석부, 비암호화 영역이 IPSec 세션 정보와 일치하지 않는 경우 패킷의 암호화 영역을 복호하고, 복호된 정보가 IPSec 세션 정보의 암호화 키값과 일치하는지 여부를 판단하는 암호화 영역 분석부, 복호된 정보와 암호화 키값이 일치하는 경우, 비암호화 영역의 정보를 IPSec 세션 정보에 업데이트하는 IPSec 세션 정보 재설정부 및 IPSec 세션 정보가 업데이트된 패킷을 전송하는 패킷 전송부를 포함한다.
비암호화 영역은 i) 패킷의 아우터(outer) IP 헤더 또는 ii) 패킷의 아우터 IP 헤더 및 UDP 헤더일 수 있다.
암호화 영역 분석부는 IPSec SPI(Security Parameter Index) 값을 이용하여 IPSec 세션을 찾고, 찾은 IPSec 세션의 암호화키와 복호화된 정보를 비교한다.
IPSec 세션 정보 재설정부는 비암호화 영역에 IP 헤더만이 추가된 패킷인 경우, IP 헤더의 소스 IP 정보를 IPSec 세션 정보에 업데이트하고, 비암호화 영역에 IP 헤더 및 UDP 헤더가 추가된 경우, IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 IPSec 세션 정보에 업데이트한다.
다른 측면에서 IPSec 게이트웨이의 패킷 전송 방법은 게이트웨이가 패킷을 수신하는 단계, 게이트웨이가 패킷 수신 전에 보유한 IPSec 세션 정보와 수신한 패킷의 비암호화 영역이 일치하는지 여부를 판단하는 단계, IPSec 세션 정보와 비암호화 영역이 일치하지 않는 경우, 게이트웨이가 수신한 패킷의 암호화 영역을 복호하는 단계, 게이트웨이가 복호한 암호화 영역과 IPSec 세션 정보의 암호화 키값이 일치하는지 여부를 판단하는 단계 및 복호한 암호화 영역과 암호화 키값이 일치하는 경우, 게이트웨이는 IPSec 세션 정보에 비암호화 영역의 정보를 업데이트하여 전송하는 단계를 포함한다.
업데이트하는 단계는 IPSec SPI(Security Parameter Index) 값을 이용하여 찾은 IPSec 세션 정보에 비암호화 영역의 정보를 업데이트한다.
업데이트하는 단계는 비암호화 영역에 IP 헤더만이 추가된 패킷인 경우, 게이트웨이가 IP 헤더의 소스 IP 정보를 IPSec 세션 정보에 업데이트하고, 비암호화 영역에 IP 헤더 및 UDP 헤더가 추가된 경우, 게이트웨이가 IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 IPSec 세션 정보에 업데이트한다.
본 발명의 또 다른 측면에서 네트워크 시스템은 데이터 서비스를 요청하는 단말, 데이터 서비스를 제공하는 서비스 서버 및 단말과 IPSec 보안 터널링을 형성하고, 단말과 서비스 서버 사이에 패킷 전송을 제어하는 게이트웨이를 포함한다. 이때 게이트웨이는 단말 또는 서버가 전송하는 패킷의 비암호화 영역이 직접의 IPSec 세션 정보와 일치하지 않는 경우, 패킷의 암호화 영역을 복호화하고, 복호화된 정보가 IPSec 세션 정보의 암호화 키값과 일치하는 경우 비암호화 영역의 정보를 IPSec 세션 정보에 업데이트하여 패킷을 목적지에 전송한다.
이하 설명하는 기술은 네트워크 사이에 끊김 없는 서비스(seamless service)가 제공되지 못하는 상황이라도, IPSec 패킷을 수신한 게이트웨이가 동적으로 가입자 세션 테이블을 업데이트하여 연속적인 서비스가 가능하도록 한다. 이하 설명하는 기술은 패킷 유실 등의 단말과 IPSec 집선 장치에 비정상적인 상황이 발생하는 경우에도 서비스 연속성을 제공하여 효과적인 서비스가 가능하게 한다.
이하 설명하는 기술의 효과는 이상에서 언급된 것들에 한정되지 않으며, 언급되지 아니한 다른 효과들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.
도 1은 IPSec 게이트웨이를 포함하는 네트워크 시스템의 구성을 도시한 블록도의 예이다.
도 2는 이동통신네트워크(LTE)를 통해 전송되는 패킷의 구성을 도시한 예이다.
도 3은 WLAN을 통해 전송되는 패킷의 구성을 도시한 예이다.
도 4는 IPSec 세션 정보를 업데이트하는 IPSec 게이트웨이 장치의 구성을 도시한 블록도의 예이다.
도 5는 IPSec 게이트웨이가 패킷을 분석하여, 복구할 수 있는 경우 재전송 요청 없이 패킷을 복구하여 전송하는 패킷전송방법에 대한 순서도의 예이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
제1, 제2, A, B 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 해당 구성요소들은 상기 용어들에 의해 한정되지는 않으며, 단지 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.
본 명세서에서 사용되는 용어에서 단수의 표현은 문맥상 명백하게 다르게 해석되지 않는 한 복수의 표현을 포함하는 것으로 이해되어야 하고, "포함한다" 등의 용어는 설시된 특징, 개수, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것이 존재함을 의미하는 것이지, 하나 또는 그 이상의 다른 특징들이나 개수, 단계 동작 구성요소, 부분품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 배제하지 않는 것으로 이해되어야 한다.
도면에 대한 상세한 설명을 하기에 앞서, 본 명세서에서의 구성부들에 대한 구분은 각 구성부가 담당하는 주기능 별로 구분한 것에 불과함을 명확히 하고자 한다. 즉, 이하에서 설명할 2개 이상의 구성부가 하나의 구성부로 합쳐지거나 또는 하나의 구성부가 보다 세분화된 기능별로 2개 이상으로 분화되어 구비될 수도 있다. 그리고 이하에서 설명할 구성부 각각은 자신이 담당하는 주기능 이외에도 다른 구성부가 담당하는 기능 중 일부 또는 전부의 기능을 추가적으로 수행할 수도 있으며, 구성부 각각이 담당하는 주기능 중 일부 기능이 다른 구성부에 의해 전담되어 수행될 수도 있음은 물론이다. 따라서, 본 명세서를 통해 설명되는 각 구성부들의 존재 여부는 기능적으로 해석되어야 할 것이며, 이러한 이유로 본 발명의 IPSec 게이트웨이 장치(140)에 따른 구성부들의 구성은 본 발명의 목적을 달성할 수 있는 한도 내에서 도 4와는 상이해질 수 있음을 명확히 밝혀둔다.
또, 방법 또는 동작 방법을 수행함에 있어서, 상기 방법을 이루는 각 과정들은 문맥상 명백하게 특정 순서를 기재하지 않은 이상 명기된 순서와 다르게 일어날 수 있다. 즉, 각 과정들은 명기된 순서와 동일하게 일어날 수도 있고 실질적으로 동시에 수행될 수도 있으며 반대의 순서대로 수행될 수도 있다.
본 발명은 이동통신네트워크(3G/4G) 또는 WLAN을 통해 데이터 서비스 등을 받는 단말이 이동하거나, 접속 경로를 변경하거나 단말 상위의 NAT 장비의 재시작 등에 따라 IPSec 게이트웨이와 데이터를 주고 받는 IPSec 피어(단말, 서버 등) 사이에 암호화되지 않은 영역의 정보가 일치하지 않는 경우, 패킷을 복구하기 위한 방법 내지 장치에 관한 것이다.
단말의 이동 또는 접속 경로의 변경은 사용자가 데이터 서비스 등을 제공받는 네트워크 경로를 변경하거나, 접속 경로 중 하나가 제대로 동작하지 못하는 경우에 발생한다. 예컨대, 집이나 사무실에서는 비용이 저렴한 WiFi 네트워크를 통해 데이터 서비스를 제공받기 위하여, 사용자는 LTE 네트워크에서 WLAN으로 접속 경로를 변경할 수 있다. 또는 사용자가 WLAN에 접속할 수 없거나, WLAN 장치가 고장이 발생한 경우 사용자는 WLAN에서 LTE 네트워크로 접속 경로를 변경할 수도 있다.
이하에서는 도면을 참조하면서 IPSec 게이트웨이 장치(140), IPSec 게이트웨이(140)의 패킷 전송 방법 및 이 게이트웨이 장치(140)를 포함하는 네트워크 시스템(100)에 관하여 구체적으로 설명하겠다.
도 1은 IPSec 게이트웨이(140)를 포함하는 네트워크 시스템(100)의 구성을 도시한 블록도의 예이다.
단말(110)의 IPSec 이동성을 제공하는 네트워크 시스템(100)은 데이터 서비스를 요청하는 단말(110), 데이터 서비스를 제공하는 서비스 서버(150), 이동통신 AP 및 패킷 데이터 네트워크 게이트웨이(PGW,123)를 포함하는 이동통신 네트워크(120), 와이파이 AP(131)를 포함하는 WLAN(130), 단말(110)과 IPSec 보안 터널링을 형성하고, 단말(110)이 이동통신 네트워크(120) 또는 WLAN(130)을 통해 서비스 서버(150)에 접속하도록 제어하는 IPSec 게이트웨이(140)(140)를 포함한다.
서비스 서버(150)는 단말(110)에 콘텐츠 또는 서비스를 제공하는 서버이다. 서비스 서버(150)는 BYOD(Bring Your Own Device) 서비스와 같이 개인 단말을 통해 업무용 서비스를 제공하는 서버일 수도 있다. 도 1은 서비스 서버(150)가 방화벽을 갖는 특정한 시스템 내부에 위치하는 것으로 도시하였다.
단말(110)은 일반적인 모바일 단말, 스마트폰, 태블릿 PC, 노트북, 퍼스널 컴퓨터 등을 포함한다. 이동통신사업자가 제공하는 네트워크 또는 WiFi 네트워크에 접속할 수 있는 장치는 모두 본 발명의 단말(110)에 포함된다. 이동통신 네트워크(120)는 일반적으로 2G, 3G, LTE, LTE-Advanced 등을 이용하는 네트워크를 의미한다. 이하 설명의 편의를 위해 이동통신사업자가 제공하는 네트워크는 LTE(4G, 4G-Advanced)라고 전제한다.
이동통신 네트워크(120)는 기지국(eNB, 121), SGW(Serving Gateway, 122) 및 PGW(Packet Data Network Gateway)를 포함한다. WLAN(130)은 와이파이 AP(131)를 포함한다. 물론 각 네트워크는 다른 구성요소도 포함하지만, 도 1은 발명의 설명에 필요한 구성만을 예시적으로 도시한 것이다. 이동통신 네트워크(120) 및 WLAN(130)에 대한 구성 및 자세한 동작은 해당 분야의 통상의 지식을 가진 자에게 널리 알려진 것이므로, 자세한 설명은 생략한다.
도 1은 본 발명에 따른 하나의 실시예에 지나지 않는다. 본 발명의 IPSec 게이트웨이(140)는 도 1에 도시된 접속 경로 외에 다른 경로를 사용할 수도 있고, 도시하지 않았지만 단말(110)과 단말(110) 사이에 패킷을 전송하는 경우에도 적용이 가능하다.
본 발명은 패킷을 송수신하는 대상(단말과 서버, 단말과 단말 등)이 있고, IPSec 게이트웨이(140)가 패킷을 송수신하는 대상 중 적어도 하나와 IPSec 보안 터널링을 형성하는 경우에 적용 가능하다. 도 1에서 단말(110)은 LTE 네트워크(120)를 통해 서비스 서버(150)에 접속하는 경우 단말(110)은 이동통신 네트워크(120)를 경유하여 IPSec 게이트웨이(140)와 IPSec 터널링을 형성한다. 단말(110)이 WLAN(130)을 통해 서비스 서버(150)에 접속하는 경우 단말(110)은 WLAN(130)을 경유하여 IPSec 게이트웨이(140)와 IPSec 터널링을 형성한다. 서비스 서버(150)가 위치하는 시스템은 별도의 보안 프로토콜을 사용하는 것으로 가정한다.
IPSec 게이트웨이(140)는 IPSec 피어가 전송하는 패킷의 비암호화 영역이 IPSec 게이트웨이(140)에 형성된 IPSec 세션 정보와 일치하지 않는 경우, 수신한 패킷의 암호화 영역을 복호한다. IPSec 게이트웨이(140)는 복호한 암호화 영역이 IPSec 세션 정보와 일치하는 경우 수신한 패킷의 비암호화 영역이 적합하다고 판단하고, 현재 IPSec 세션 정보를 수신한 패킷의 비암호화 영역의 정보로 업데이트한다.
도 2는 이동통신네트워크(LTE)를 통해 전송되는 패킷의 구성을 도시한 예이다. 도 2(a)는 PGW가 공인 IP를 단말(110)에 할당한 경우이고, 도 2(b)는 PGW가 사설 IP를 단말(110)에 할당한 경우이다. 도 2(b)의 패킷은 아우터(outer) IP 헤더 안쪽에 별도의 UDP 헤더가 추가적으로 존재한다.
도 3은 WLAN을 통해 전송되는 패킷의 구성을 도시한 예이다. 도 3(a)는 와이파이 AP(131)가 공인 IP를 단말(110)에 할당한 경우이고, 도 2(b)는 와이피아 AP가 사설 IP를 단말(110)에 할당한 경우이다. 도 2(b)의 패킷은 아우터(outer) IP 헤더 안쪽에 별도의 UDP 헤더가 추가적으로 존재한다. 추가적은 UDP 헤더를 사용하는 이유는 NAT 장비에 의해 IP가 변조되는 상황이 발생할 수 있기 때문이다. IP가 변조되면 NAT에서 ESP 헤더에 대한 NAT 서비스가 불가능해진다.
도 2 및 도 3에서의 패킷 이동 및 패킷의 구성에 대한 자세한 설명은 생략하기로 한다. 도 2 및 도 3을 살펴보면, 패킷이 암호화 영역과 비암호화 영역으로 구분되는 것을 알 수 있다. 본 발명은 IPSec 게이트웨이(140)가 수신한 패킷의 비암호화 영역과 이미 형성된 IPSec 세션 정보가 일치하지 않는 경우, 패킷을 복구(업데이트)하는 방법 내지 장치를 제안한다.
이하 IPSec 게이트웨이(140) 장치를 설명하면서, 구체적으로 수신한 패킷의 비암호화 영역 중 어떤 정보가 IPSec 세션 정보에 반영되는지 설명하고자 한다.
도 4는 IPSec 세션 정보를 업데이트하는 IPSec 게이트웨이(140) 장치의 구성을 도시한 블록도의 예이다.
IPSec 게이트웨이(140) 장치는 단말(110) 또는 서버로부터 패킷을 수신하는 패킷 수신부(141), 수신한 패킷의 비암호화 영역을 분석하여, 게이트웨이 장치가 패킷 수신 전에 보유한 IPSec 세션 정보와 일치하는지 여부를 판단하는 비암호화 영역 분석부(142), 비암호화 영역이 IPSec 세션 정보와 일치하지 않는 경우 패킷의 암호화 영역을 복호하고, 복호된 정보가 IPSec 세션 정보의 암호화 키값과 일치하는지 여부를 판단하는 암호화 영역 분석부(143), 복호된 정보와 암호화 키값이 일치하는 경우, 비암호화 영역의 정보를 IPSec 세션 정보에 업데이트하는 IPSec 세션 정보 재설정부(144) 및 IPSec 세션 정보가 업데이트된 패킷을 전송하는 패킷 전송부(145)를 포함한다.
도 4는 패킷 수신부(141)가 PGW 또는 와이파이 AP(131)로부터 패킷을 수신한다고 도시하였으나, 이는 하나의 예에 불과하다. 데이터 서비스를 제공하는 서비스 서버(150)로부터 패킷을 수신할 수도 있다. 도 4는 단말(110)에서 생성한 패킷이 서비스 서버(150)로 전송되는 과정을 가정한 것이다.
비암호화 영역은 i) 패킷의 아우터(outer) IP 헤더 또는 ii) 패킷의 아우터 IP 헤더 및 UDP 헤더이다. 접속 경로 장치가 공인 IP를 사용하는 경우 아우터(outer) IP 헤더가 비암호화 영역이고, 접속 경로 장치가 사설 IP를 사용하는 경우 아우터 IP 헤더 및 UDP 헤더가 비암호화 영역이다.
비암호화 영역 분석부(142)는 i) 패킷의 아우터(outer) IP 헤더 또는 ii) 패킷의 아우터 IP 헤더 및 UDP 헤더를 분석하여, 현재 IPSec 피어 사이에(예컨대, 단말과 서비스 서버) 형성된 IPSec 세션의 정보를 비교한다. 아우터 IP 헤더의 정보는 소스 IP 및 목적 IP를 포함하고, UDP 헤더의 정보는 소스 포트 번호 및 목적 포트 번호를 포함한다.
비암호화 영역 분석부(142)가 수신한 패킷의 비암호화 영역의 정보와 IPSec 세션 정보가 불일치한다고 판단한 경우에 암호화 영역 분석부가 암호화 영역을 복호화한다. 전술한 바와 같이 몇몇 원인에 의해 비암호화 영역만이 일치하지 않을 수도 있기 때문이다.
암호화 영역 분석부(143)는 IPSec SPI(Security Parameter Index) 값을 이용하여 IPSec 세션을 찾고, 찾은 IPSec 세션의 암호화키와 복호화된 정보를 비교한다.
SPI는 IP 트래픽에 대한 IPSec 터널링을 사용하는 경우 헤더에 추가되는 태그(tag)이다. SPI는 서로 다른 암호화 규칙 및 알고리즘을 사용한 서로 다른 트래픽 스트림을 구분하는데 사용한다. 따라서 암호화 영역 분석부(143)는 수신한 패킷에 대한 SPI 값을 기준으로 수신한 패킷에 대응하는 IPSec 세션을 찾는다. 암호화 영역 분석부(143)는 찾은 IPSec 세션의 암호화 정보를 이용하여 수신한 패킷의 암호화 영역을 복호하고, 복호된 정보와 IPSec 세션의 정보가 일치하는지 판단한다.
암호화 영역 분석부(143)에서 복호된 정보와 IPSec 세션 정보가 일치한다고 판단하면, IPSec 세션 정보에 수신한 패킷의 비암호화 정보를 반영한다. 암호화 영역이 기존 IPSec 세션 정보와 일치한다면, 현재 수신한 패킷이 손실 없는 패킷을 확률이 매우 높다. 따라서 현재 수신한 패킷의 비암호화 정보를 IPSec 세션 정보에 반영하는 것이다.
IPSec 세션 정보 재설정부(144)는 비암호화 영역에 IP 헤더만이 추가된 패킷인 경우(즉, 접속 네트워크 장치가 공인 IP를 단말(110)에 할당한 경우), IP 헤더의 소스 IP 정보를 IPSec 세션 정보에 업데이트하고, 비암호화 영역에 IP 헤더 및 UDP 헤더가 추가된 경우(즉, 접속 네트워크 장치가 사설 IP를 단말(110)에 할당한 경우) IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 IPSec 세션 정보에 업데이트한다.
이후 패킷 전송부(145)는 업데이트된 패킷을 목적지로 전송한다. 도 4는 목적지를 서비스 서버(150)라고 도시하였으나, 이는 하나의 예에 불과하다. 목적지는 단말(110)일 수도 있고, 제 3의 수신자일 수도 있다.
도 5는 IPSec 게이트웨이(140)가 패킷을 분석하여, 복구할 수 있는 경우 재전송 요청 없이 패킷을 복구하여 전송하는 패킷전송방법에 대한 순서도의 예이다.
IPSec 게이트웨이(140)는 단말(110) 또는 특정 서버로부터 패킷을 수신한다(901). IPSec 게이트웨이(140)는 수신한 패킷이 UDP 캡슐화(encapsulation)되었는지 여부를 판단한다(902). UDP 캡슐화된 패킷은 사설 IP를 사용하는 경우이고, UDP 캡슐화되지 않은 패킷은 공인 IP를 사용하는 경우이다. UDP 캡슐화되었는지 여부는 최종적으로 IPSec 세션의 정보에 업데이트되는 내용에만 차이를 가져온다.
IPSec 게이트웨이(140)가 UDP 캡슐화되었다고 판단하는 경로는 다음과 같다.
IPSec 게이트웨이(140)는 비암호와 영역의 정보가 기존 IPSec 세션 정보와 일치하는지 여부를 판단한다(903). 기존 IPSec 세션은 현재 IPSec 게이트웨이(140)를 경유하여 형성된 세션을 의미한다. 비암호와 영역의 정보가 기존 IPSec 세션 정보와 일치하는 경우, IPSec 게이트웨이(140)는 정상적으로 패킷을 처리한다(904).
비암호와 영역의 정보가 기존 IPSec 세션 정보와 일치하지 않는 경우, IPSec 게이트웨이(140)는 수신한 패킷의 ESP 헤더의 SPI 값이 기존(현재 설정된 IPSec 세션)에 할당된 값과 일치하는지 여부를 판단한다(905). SPI 값이 현재 설정된 IPSec 세션의 정보와 일치하지 않는다면, IPSec 게이트웨이(140)는 수신한 패킷을 폐기한다(908).
SPI 값이 현재 설정된 IPSec 세션의 정보와 일치한다면, IPSec 게이트웨이(140)는 수신한 패킷의 암호화 영역을 복호화한다(906). IPSec 게이트웨이(140)는 SPI 값을 기준으로 찾은 IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치하는지 여부를 판단한다(907). IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치하지 않는다면 IPSec 게이트웨이(140)는 수신한 패킷을 폐기한다(908).
IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치한다면 IPSec 게이트웨이(140)는 비암호화 영역의 정보를 IPSec 세션 정보에 업데이트한다. 구체적으로 IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치하지 않는다면 IPSec 게이트웨이(140)는 IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 IPSec 세션 정보에 업데이트한다(909). 이후 IPSec 게이트웨이(140)는 업데이트된 정보를 목적지에 전송한다(910).
IPSec 게이트웨이(140)가 UDP 캡슐화되지 않았다고 판단하는 경로는 다음과 같다.
IPSec 게이트웨이(140)는 비암호와 영역의 정보가 기존 IPSec 세션 정보와 일치하는지 여부를 판단한다(911). 기존 IPSec 세션은 현재 IPSec 게이트웨이(140)를 경유하여 형성된 세션을 의미한다. 비암호와 영역의 정보가 기존 IPSec 세션 정보와 일치하는 경우, IPSec 게이트웨이(140)는 정상적으로 패킷을 처리한다(912).
비암호와 영역의 정보가 기존 IPSec 세션 정보와 일치하지 않는 경우, IPSec 게이트웨이(140)는 수신한 패킷의 ESP 헤더의 SPI 값이 기존(현재 설정된 IPSec 세션)에 할당된 값과 일치하는지 여부를 판단한다(913). SPI 값이 현재 설정된 IPSec 세션의 정보와 일치하지 않는다면, IPSec 게이트웨이(140)는 수신한 패킷을 폐기한다(916).
SPI 값이 현재 설정된 IPSec 세션의 정보와 일치한다면, IPSec 게이트웨이(140)는 수신한 패킷의 암호화 영역을 복호화한다(914). IPSec 게이트웨이(140)는 SPI 값을 기준으로 찾은 IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치하는지 여부를 판단한다(915). IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치하지 않는다면 IPSec 게이트웨이(140)는 수신한 패킷을 폐기한다(916).
IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치한다면 IPSec 게이트웨이(140)는 비암호화 영역의 정보를 IPSec 세션 정보에 업데이트한다. 구체적으로 IPSec 세션의 정보와 복호화한 암호화 영역의 정보가 일치하지 않는다면 IPSec 게이트웨이(140)는 IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 IPSec 세션 정보에 업데이트한다(917). 이후 IPSec 게이트웨이(140)는 업데이트된 정보를 목적지에 전송한다(918).
본 실시예 및 본 명세서에 첨부된 도면은 본 발명에 포함되는 기술적 사상의 일부를 명확하게 나타내고 있는 것에 불과하며, 본 발명의 명세서 및 도면에 포함된 기술적 사상의 범위 내에서 당업자가 용이하게 유추할 수 있는 변형 예와 구체적인 실시예는 모두 본 발명의 권리범위에 포함되는 것이 자명하다고 할 것이다.
[부호의 설명]
100 : 네트워크 시스템 110 : 단말
120 : 이동통신 네트워크 121 : 기지국(eNB)
122 : SGW 123 : PGW
130 : WLAN 131 : 와이파이 AP
140 : IPSec 게이트웨이 141 : 패킷 수신부
142 : 비암호화 영역 분석부 143 : 암호화 영역 분석부
144 : IPSec 세션 정보 재설정부 145 : 패킷 전송부
150: 서비스 서버

Claims (10)

  1. 무선네트워크로 연결된 단말과 서버 사이에서 패킷 송수신을 제어하고, 상기 단말과 IPSec 보안 터널링을 형성하는 게이트웨이 장치에 있어서,
    상기 단말 또는 상기 서버로부터 패킷을 수신하는 패킷 수신부;
    상기 수신한 패킷의 비암호화 영역을 분석하여, 상기 게이트웨이 장치가 상기 패킷 수신 전에 보유한 IPSec 세션 정보와 일치하는지 여부를 판단하는 비암호화 영역 분석부;
    상기 비암호화 영역이 상기 IPSec 세션 정보와 일치하지 않는 경우 패킷의 암호화 영역을 복호하고, 복호된 정보가 상기 IPSec 세션 정보의 암호화 키값과 일치하는지 여부를 판단하는 암호화 영역 분석부;
    상기 복호된 정보와 상기 암호화 키값이 일치하는 경우, 상기 비암호화 영역의 정보를 상기 IPSec 세션 정보에 업데이트하는 IPSec 세션 정보 재설정부; 및
    상기 IPSec 세션 정보가 업데이트된 패킷을 전송하는 패킷 전송부를 포함하는 IPSec 게이트웨이 장치.
  2. 제1항에 있어서,
    상기 비암호화 영역은 i) 상기 패킷의 아우터(outer) IP 헤더 또는 ii) 상기 패킷의 아우터 IP 헤더 및 UDP 헤더인 IPSec 게이트웨이 장치.
  3. 제1항에 있어서,
    상기 암호화 영역 분석부는 IPSec SPI(Security Parameter Index) 값을 이용하여 상기 IPSec 세션을 찾고, 찾은 IPSec 세션의 암호화키와 상기 복호화된 정보를 비교하는 IPSec 게이트웨이 장치.
  4. 제1항에 있어서,
    상기 IPSec 세션 정보 재설정부는
    상기 비암호화 영역에 IP 헤더만이 추가된 패킷인 경우, IP 헤더의 소스 IP 정보를 상기 IPSec 세션 정보에 업데이트하고,
    상기 비암호화 영역에 IP 헤더 및 UDP 헤더가 추가된 경우, IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 상기 IPSec 세션 정보에 업데이트 하는 IPSec 게이트웨이 장치.
  5. 무선네트워크로 연결된 단말과 서버 사이에서 게이트웨이가 패킷 전송을 제어하는 방법에 있어서,
    상기 게이트웨이가 패킷을 수신하는 단계;
    상기 게이트웨이가 상기 패킷 수신 전에 보유한 IPSec 세션 정보와 상기 수신한 패킷의 비암호화 영역이 일치하는지 여부를 판단하는 단계;
    상기 IPSec 세션 정보와 상기 비암호화 영역이 일치하지 않는 경우, 상기 게이트웨이가 수신한 패킷의 암호화 영역을 복호하는 단계;
    상기 게이트웨이가 상기 복호한 암호화 영역과 상기 IPSec 세션 정보의 암호화 키값이 일치하는지 여부를 판단하는 단계; 및
    상기 복호한 암호화 영역과 상기 암호화 키값이 일치하는 경우, 상기 게이트웨이는 상기 IPSec 세션 정보에 상기 비암호화 영역의 정보를 업데이트하는 단계를 포함하는 IPSec 게이트웨이의 패킷 전송 방법.
  6. 제5항에 있어서,
    상기 비암호화 영역은 i) 상기 패킷의 아우터(outer) IP 헤더 또는 ii) 상기 패킷의 아우터 IP 헤더 및 UDP 헤더인 IPSec 게이트웨이의 패킷 전송 방법.
  7. 제5항에 있어서,
    상기 업데이트하는 단계는
    IPSec SPI(Security Parameter Index) 값을 이용하여 찾은 IPSec 세션 정보에 상기 비암호화 영역의 정보를 업데이트하는 IPSec 게이트웨이의 패킷 전송 방법.
  8. 제5항에 있어서,
    상기 업데이트하는 단계는
    상기 비암호화 영역에 IP 헤더만이 추가된 패킷인 경우, 상기 게이트웨이가 IP 헤더의 소스 IP 정보를 상기 IPSec 세션 정보에 업데이트하고,
    상기 비암호화 영역에 IP 헤더 및 UDP 헤더가 추가된 경우, 상기 게이트웨이가 IP 헤더의 소스 IP 정보 및 UDP 헤더의 소스 포트 정보를 상기 IPSec 세션 정보에 업데이트 하는 IPSec 게이트웨이의 패킷 전송 방법.
  9. 제5항에 있어서,
    상기 복호화하는 단계 전에
    상기 IPSec 세션 정보와 상기 비암호화 영역이 일치하지 않는 경우, 상기 게이트웨이가 상기 패킷의 ESP 헤더의 SPI 값이 기존에 할당된 값과 일치하는지 여부를 판단하는 단계; 및
    상기 SPI 값과 상기 할당된 값이 일치하지 않는 경우, 상기 게이트웨이가 상기 패킷을 폐기하는 단계를 더 포함하는 IPSec 게이트웨이의 패킷 전송 방법.
  10. 이동통신 네트워크와 WLAN 간에 이동성을 갖는 단말을 포함하는 네트워크 시스템에 있어서,
    데이터 서비스를 요청하는 단말;
    데이터 서비스를 제공하는 서비스 서버; 및
    상기 단말과 IPSec 보안 터널링을 형성하고, 상기 단말과 상기 서비스 서버 사이에 패킷 전송을 제어하는 게이트웨이를 포함하되,
    상기 게이트웨이는 상기 단말 또는 상기 서버가 전송하는 패킷의 비암호화 영역이 직접의 IPSec 세션 정보와 일치하지 않는 경우, 상기 패킷의 암호화 영역을 복호화하고, 복호화된 정보가 상기 IPSec 세션 정보의 암호화 키값과 일치하는 경우 상기 비암호화 영역의 정보를 상기 IPSec 세션 정보에 업데이트하여 패킷을 목적지에 전송하는 네트워크 시스템.
PCT/KR2014/003700 2013-05-15 2014-04-28 IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템 WO2014185639A1 (ko)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
KR20130055237 2013-05-15
KR10-2013-0055237 2013-05-15
KR1020130078317A KR101447858B1 (ko) 2013-05-15 2013-07-04 IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템
KR10-2013-0078317 2013-07-04

Publications (1)

Publication Number Publication Date
WO2014185639A1 true WO2014185639A1 (ko) 2014-11-20

Family

ID=51898580

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/003700 WO2014185639A1 (ko) 2013-05-15 2014-04-28 IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템

Country Status (1)

Country Link
WO (1) WO2014185639A1 (ko)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010081108A (ja) * 2008-09-24 2010-04-08 Fuji Xerox Co Ltd 通信中継装置、情報処理装置、プログラム、及び通信システム
KR20100073041A (ko) * 2008-12-22 2010-07-01 한국전자통신연구원 패킷 전송 네트워크에서의 단말의 이동성 제공 방법 및 패킷 전송 네트워크 시스템, 게이트웨이 스위치
KR20110092333A (ko) * 2008-12-02 2011-08-17 알까뗄 루슨트 Ｔｒ-069 오브젝트 관리를 위한 모듈 및 연관된 방법
KR20120097029A (ko) * 2011-02-24 2012-09-03 한국인터넷진흥원 시그널링 암호화 환경을 고려한 ｓｉｐ기반 인터넷전화 침입방지 시스템

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010081108A (ja) * 2008-09-24 2010-04-08 Fuji Xerox Co Ltd 通信中継装置、情報処理装置、プログラム、及び通信システム
KR20110092333A (ko) * 2008-12-02 2011-08-17 알까뗄 루슨트 Ｔｒ-069 오브젝트 관리를 위한 모듈 및 연관된 방법
KR20100073041A (ko) * 2008-12-22 2010-07-01 한국전자통신연구원 패킷 전송 네트워크에서의 단말의 이동성 제공 방법 및 패킷 전송 네트워크 시스템, 게이트웨이 스위치
KR20120097029A (ko) * 2011-02-24 2012-09-03 한국인터넷진흥원 시그널링 암호화 환경을 고려한 ｓｉｐ기반 인터넷전화 침입방지 시스템

Similar Documents

Publication Publication Date Title
WO2010019020A9 (ko) 이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법
WO2011081311A2 (ko) 이동 통신 시스템에서 보안을 지원하는 방법 및 시스템
US7797530B2 (en) Authentication and encryption method and apparatus for a wireless local access network
WO2015105402A1 (ko) 이동 통신 시스템에서 서비스 발견 및 그룹 통신을 위한 보안 지원방법 및 시스템
US20070105549A1 (en) Mobile communication system using private network, relay node, and radio network controller
WO2015065165A1 (ko) 이동 통신 시스템 환경에서 프락시미티 기반 서비스 단말 간 발견 및 통신을 지원하기 위한 보안 방안 및 시스템
WO2016114640A1 (en) Method of secured transmission and reception of discovery message in a d2d communication system
WO2011021754A1 (en) Method for transmitting a packet at a base station in a network using multiple communication schemes
ES2758779T3 (es) Sistema de red de banda ancha y procedimiento de implementación del mismo
WO2010128747A1 (ko) 지그비 무선 통신 프로토콜상에서의 보안성 강화 방법 및 장치
EP3213486A1 (en) Method of performing device to device communication between user equipments
WO2017078459A1 (en) Method, ue and network node for protecting user privacy in networks
WO2018000674A1 (zh) 网络连接方法、网络连接装置和终端
WO2010019021A9 (ko) 이동 통신 시스템의 비계층 프로토콜 처리 방법 및 이동통신 시스템
WO2018128226A1 (ko) 이종 네트워크상에서의 컨텐츠 전송 방법 및 이를 위한 장치
WO2014163254A1 (ko) 모바일 환경에서의 p2p 접속 시스템 및 단말과 이를 이용한 p2p 접속 방법
WO2016180020A1 (zh) 一种报文处理方法、设备和系统
WO2023128723A1 (en) Method and device for selective user plane security in wireless communication system
WO2013187709A1 (en) Method and system for securing control packets and data packets in a mobile broadband network environment
WO2014054909A1 (ko) 이동통신 시스템에서 컨텐츠 제공 방법 및 장치
WO2022025566A1 (en) Methods and systems for deriving cu-up security keys for disaggregated gnb architecture
WO2014185639A1 (ko) IPSec 게이트웨이 장치, IPSec 게이트웨이의 패킷 전송 방법 및 네트워크 시스템
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
WO2015105401A1 (ko) 이동 통신에서 prose그룹 통신 또는 공공 안전을 지원하기 위한 보안 방안 및 시스템
WO2012018190A2 (ko) 트래픽 기반 통신 시스템 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14798482

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14798482

Country of ref document: EP

Kind code of ref document: A1