WO2023272498A1 - 一种报文转发方法、装置、网络节点及存储介质 - Google Patents

一种报文转发方法、装置、网络节点及存储介质 Download PDF

Info

Publication number
WO2023272498A1
WO2023272498A1 PCT/CN2021/103176 CN2021103176W WO2023272498A1 WO 2023272498 A1 WO2023272498 A1 WO 2023272498A1 CN 2021103176 W CN2021103176 W CN 2021103176W WO 2023272498 A1 WO2023272498 A1 WO 2023272498A1
Authority
WO
WIPO (PCT)
Prior art keywords
security authentication
parameter
message
srv6
authentication instruction
Prior art date
Application number
PCT/CN2021/103176
Other languages
English (en)
French (fr)
Inventor
常向青
雷昭燕
林涛
秦娟
Original Assignee
新华三技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 新华三技术有限公司 filed Critical 新华三技术有限公司
Priority to CN202180001694.9A priority Critical patent/CN113615134A/zh
Priority to EP21944452.8A priority patent/EP4152728A4/en
Priority to JP2022578739A priority patent/JP2023535277A/ja
Priority to PCT/CN2021/103176 priority patent/WO2023272498A1/zh
Priority to US18/001,943 priority patent/US20240106740A1/en
Publication of WO2023272498A1 publication Critical patent/WO2023272498A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/50—Routing or path finding of packets in data switching networks using label swapping, e.g. multi-protocol label switch [MPLS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/34—Source routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/06—Notations for structuring of protocol data, e.g. abstract syntax notation one [ASN.1]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer

Definitions

  • the present application relates to the field of network technology, in particular to a message forwarding method, device, network node and storage medium.
  • SRv6 Segment Routing IPv6, Segment Routing Internet Protocol Version 6
  • the SRv6 technology supports the source network node of the SRv6 forwarding path to insert segment information of the SRv6 forwarding path in the packet.
  • the packet after inserting the segmentation information is called an SRv6 packet.
  • the segment information of the SRv6 forwarding path indicates the packet forwarding sequence of each network node included in the path. In this way, after receiving the SRv6 message, other network nodes can forward the message according to the segmentation information carried in the SRc6 message.
  • the SRv6 forwarding path may contain insecure network nodes or insecure links, resulting in poor security when forwarding SRv6 packets along the SRv6 forwarding path.
  • the purpose of the embodiments of the present application is to provide a packet forwarding method and device, so as to improve the security of forwarding SRv6 packets.
  • the specific technical scheme is as follows:
  • the embodiment of the present application provides a message forwarding method, which is applied to a network node, and the method includes:
  • the function field of the target segment identifier SID includes a security authentication instruction, obtain target parameters according to the operation indicated by the security authentication instruction, and perform security authentication processing on the SRv6 message according to the target parameters, wherein the
  • the target SID is: the SID corresponding to the network node in the segment list carried by the message header of the SRv6 message, and the target parameter is: the parameter of the security authentication instruction recorded in the message header;
  • the SRv6 message is generated by the source network node of the SRv6 message in the following manner:
  • the parameter of the security authentication instruction is obtained, wherein the security authentication instruction indicates: the insecure network node performs security on the SRv6 message Authentication processing;
  • the insecure network node If yes, for the insecure network node, generate a SID that includes the security authentication instruction in the function field and includes the first parameter in the parameter field, and generates the SRv6 message based on the original message, wherein , the extension field in the message header of the SRv6 message contains a second parameter, and the security authentication instruction also indicates that: the parameters of the security authentication instruction are stored in the parameter field and the message header In the extension field, the first parameter is: some parameters in the parameters of the security authentication instruction whose data size is less than or equal to the maximum data amount, and the second parameter is: the parameters of the security authentication instruction except the parameters other than the first parameter;
  • the insecure network node If not, for the insecure network node, generate a SID containing the security authentication instruction in the function field and a parameter of the security authentication instruction in the parameter field, and generate the SRv6 based on the original message message, wherein the security authentication instruction further indicates that: the parameters of the security authentication instruction are stored in the parameter field.
  • the acquiring target parameters according to the operation indicated by the security authentication instruction includes:
  • the security authentication instruction indicates that the parameters of the security authentication instruction are stored in the parameter field and the extension field of the packet header, then the parameter contained in the parameter field of the target SID and the extension field in the packet header contain In the parameters of , get the target parameters.
  • the performing security authentication processing on the SRv6 message according to the target parameter includes:
  • the security authentication instruction includes: a decapsulation instruction, and the decapsulation instruction indicates to perform decapsulation processing on the payload of the SRv6 message;
  • the performing security authentication processing on the SRv6 message according to the target parameter includes:
  • the embodiment of the present application provides a message forwarding device, which is applied to a network node, and the device includes:
  • a packet obtaining module configured to obtain an SRv6 packet
  • the security processing module is specifically used for:
  • the function field of the target SID includes a security authentication instruction
  • the security authentication instruction indicates that the parameters of the security authentication instruction are stored in the parameter field and the packet header extension field
  • the parameters contained in the parameter field of the target SID Obtain the target parameter from the parameter and the parameter contained in the extension field in the message header;
  • the security authentication instruction includes: an encapsulation instruction, and the encapsulation instruction indicates to perform encapsulation processing on the payload of the SRv6 message;
  • the security processing module is specifically used for:
  • the function field of the target SID includes a security authentication instruction, acquire target parameters according to the operation indicated by the security authentication instruction;
  • the security authentication instruction includes: a decapsulation instruction, and the decapsulation instruction indicates to perform decapsulation processing on the payload of the SRv6 message;
  • the security processing module is specifically used for:
  • the function field of the target SID includes a security authentication instruction, acquire target parameters according to the operation indicated by the security authentication instruction;
  • an embodiment of the present application provides a network node, including: a processor and a machine-readable storage medium, where the machine-readable storage medium stores machine-executable instructions that can be executed by the processor, and the The processor is prompted by the machine-executable instructions to implement any one of the method steps in the first aspect.
  • an embodiment of the present application provides a machine-readable storage medium, which stores machine-executable instructions, and when called and executed by a processor, the machine-executable instructions prompt the processor to: implement the first aspect Any of the described method steps.
  • the network node When the network node applies the solution provided by the embodiment of the present application to forward the message, after obtaining the SRv6 message, if the function field of the target SID corresponding to the network node includes a security authentication instruction, then according to the operation indicated by the security authentication instruction, obtain the target parameter , and perform security authentication processing on the SRv6 message according to the target parameters, and then forward the processed SRv6 message to the next-hop device in the SRv6 forwarding path.
  • the network node does not directly forward the SRv6 message, but performs a security authentication instruction on the SRv6 message according to the target parameters After the security authentication processing, the SRv6 packets that have undergone security authentication processing are forwarded. Since the network node has performed the security authentication processing indicated by the security authentication instruction on the SRv6 message, the security of the SRv6 message can be improved. Therefore, the network node applies the solution provided by the embodiment of this application to forward the SRv6 message after the security authentication process , which can improve the security of forwarding SRv6 packets.
  • FIG. 1 is a schematic flowchart of a first message forwarding method provided in an embodiment of the present application
  • FIG. 2 is a schematic diagram of an SRv6 forwarding path provided by an embodiment of the present application
  • FIG. 3 is a schematic diagram of an SRv6 message after encapsulation processing provided by an embodiment of the present application
  • FIG. 4 is a schematic diagram of a decapsulated SRv6 message provided by an embodiment of the present application.
  • FIG. 5 is a schematic flowchart of a method for generating an SRv6 message provided in an embodiment of the present application
  • FIG. 8 is a schematic structural diagram of a network node provided by an embodiment of the present application.
  • this application implements The example provides a message forwarding method, device, network node and storage medium.
  • a message forwarding method is provided, which is applied to a network node, and the above method includes:
  • the above-mentioned network nodes may be routers, switches and the like.
  • FIG. 2 is a schematic diagram of an SRv6 forwarding path provided by an embodiment of the present application.
  • the SRv6 forwarding path shown in FIG. 2 is R1-R2-R3-R5-R6-R7.
  • R1-R3 may be called a first path segment
  • R3-R5 may be called a second path segment
  • R5-R7 may be called a third path segment.
  • the above-mentioned SRv6 message includes a message header and a payload
  • the above-mentioned message header is SRH (Segment Identifier Header, segment routing message header).
  • the packet header of the above SRv6 packet includes a segment list.
  • the above segment list includes the SIDs corresponding to network nodes other than the source network node in the SRv6 forwarding path, and the arrangement order of the SIDs corresponding to each network node in the segment list is opposite to that of the network nodes in the SRv6 forwarding path .
  • the SID includes Locator (location field), Function (function field) and Arguments (parameter field).
  • Locator is used to identify the position of the network node corresponding to the aforementioned SID in the SRv6 forwarding path.
  • Locator includes Locator Block (location block field) and Locator Node (location node field).
  • the above Function includes message processing instructions that the network node corresponding to the above SID needs to execute on the SRv6 message.
  • the above Function may include one or more message processing instructions.
  • the above-mentioned Arguments include parameters of the above-mentioned message processing instruction.
  • the message header of the SRv6 message also includes other fields except the segment list, and the information contained in the other fields is the same as that in the prior art, which will not be repeated in this embodiment of the present application.
  • the above-mentioned payload is a field in the above-mentioned SRv6 message except the message header, which includes the data transmitted by the SRv6 message.
  • the above-mentioned message header further includes a number field for recording the number of the SID corresponding to the above-mentioned network node, and the above-mentioned number field can be represented by SL (Segments Left, remaining segment).
  • the above-mentioned target SID is: the SID corresponding to the above-mentioned network node in the segment list carried in the message header of the above-mentioned SRv6 message.
  • the above-mentioned target parameter is: the parameter of the above-mentioned security authentication instruction recorded in the above-mentioned packet header.
  • the SID whose number is recorded in the number field in the segment list may be determined as the target SID.
  • the above security authentication instruction may be an encapsulation instruction indicating to perform encapsulation processing on the payload of the SRv6 message, or may be a decapsulation instruction indicating to perform decapsulation processing on the payload of the SRv6 message.
  • the above-mentioned security authentication instruction may be to instruct the network node to perform security on the SRv6 message based on IPsec (Internet Protocol Security, Internet Network Layer Security Protocol) and/or HMAC (Hash-based Message Authentication Code, hash operation message authentication code). Instructions for authentication processing.
  • IPsec Internet Protocol Security, Internet Network Layer Security Protocol
  • HMAC Hash-based Message Authentication Code, hash operation message authentication code
  • the above-mentioned AH can provide functions such as data integrity check, data source authentication and anti-replay attack protection for SRv6 messages
  • the above-mentioned ESP can provide data encryption, data source authentication, data integrity verification and anti-replay protection for SRv6 messages Attack protection and other functions.
  • SA is used to build a one-way security relationship between network nodes at both ends of the communication, and is used to specify information such as algorithms and parameters required by IPsec.
  • the SA can be established through the IKE (Internet Key Exchange, Internet Key Exchange) protocol.
  • SAs can also be established in other ways.
  • the above-mentioned AH or ESP can be used alone to perform security authentication processing on SRv6 packets, or AH and ESP can be used together to perform security authentication processing on SRv6 packets.
  • the above-mentioned SRv6 message may be processed for security authentication through step B shown below, which will not be described in detail here.
  • the network node does not directly forward the SRv6 message, but performs a security authentication instruction on the SRv6 message according to the target parameters After the security authentication processing, the SRv6 packets that have undergone security authentication processing are forwarded. Since the network node has performed the security authentication processing indicated by the security authentication instruction on the SRv6 message, the security of the SRv6 message can be improved. Therefore, the network node applies the solution provided by the embodiment of this application to forward the SRv6 message after the security authentication process , which can improve the security of forwarding SRv6 packets.
  • network nodes other than the source network node in the SRv6 forwarding path may perform security authentication processing on the SRv6 message through the embodiment shown in FIG. 1 above. If the source network node determines that it is an insecure network node, it can directly perform security authentication processing on the payload of the original message, and then generate and send the above-mentioned SRv6 message.
  • SA Source Address, source address
  • DA Destination or Target Address, target address
  • R5 the address of this SRv6 message is forwarded according to the SRv6 forwarding path
  • the destination address is the address of the network node R5.
  • the above-mentioned decapsulation processing can be performed by the network node R5 shown in FIG. 2. Compared with the embodiment shown in the aforementioned FIG. The encapsulation is removed after processing. Moreover, according to the SRv6 forwarding path, the message forwarded by the network node R5 needs to be forwarded to the network node R7, so the DA recorded in the decapsulated SRv6 message is the address of the network node R7.
  • FIG. 4 is a schematic diagram of an SRv6 packet obtained after decapsulation processing, and the actually obtained SRv6 packet also includes other fields besides the fields shown in FIG. 4 .
  • the foregoing original message may include a payload and a message header of the original message.
  • the above-mentioned original message may be a message sent by other devices, or may be a message generated by the above-mentioned source network node.
  • the above-mentioned security authentication instruction indicates: the above-mentioned insecure network node performs security authentication processing on the SRv6 message.
  • the above security authentication instruction may include an encapsulation instruction and a decapsulation instruction.
  • the aforementioned unsafe network node may be a preset network node.
  • a network node with a large number of occurrences of data leakage may be determined as the above-mentioned insecure network node.
  • the parameters of the above-mentioned security authentication instruction may be generated by the above-mentioned source network node after determining the above-mentioned insecure network node, or may be issued by the centralized controller or control node to the above-mentioned source network node , can also be manually issued by the administrator to the above-mentioned source network node.
  • performing security authentication processing on the SRv6 message may include two processes of encapsulating the SRv6 message and decapsulating the SRv6 message. Therefore, a pair of network nodes included in the SRv6 forwarding path need to respectively perform encapsulation processing and decapsulation processing on the SRv6 message, so insecure network nodes may appear in pairs in the above-mentioned SRv6 forwarding path.
  • the network node that performs encapsulation processing on the SRv6 message is located before the network node that performs decapsulation processing on the SRv6 message.
  • the total data volume of the above-mentioned SID preset in the SRv6 message is 128 bits
  • the above-mentioned 128-bit data volume can be divided into Locator, Function, and Arguments in advance
  • the maximum data volume of the above-mentioned parameter field is the data volume allocated to Arguments .
  • step S504 may be executed. If the data volume of the parameter of the security authentication instruction is less than or equal to the parameter field of the SID, then the parameters of the security authentication instruction can be completely stored in the parameter field, and step S505 may be executed.
  • S504 For the aforementioned insecure network node, generate the SID whose function field includes the aforementioned security authentication instruction and whose parameter field includes the first parameter, and generate the aforementioned SRv6 packet based on the aforementioned original packet.
  • the extension field in the packet header of the SRv6 packet includes the second parameter.
  • the above-mentioned security authentication instruction also indicates that: the parameters of the above-mentioned security authentication instruction are stored in the above-mentioned parameter field and the extension field in the above-mentioned message header.
  • the above-mentioned first parameter is: among the parameters of the above-mentioned security authentication instruction, the data volume is less than or equal to some parameters of the above-mentioned maximum data volume.
  • the above-mentioned second parameter is: a parameter other than the above-mentioned first parameter among the parameters of the above-mentioned security authentication instruction.
  • the data size of the parameters of the above-mentioned security authentication instruction is greater than the maximum data amount, it is difficult to completely store the parameters of the above-mentioned security authentication instruction in the parameter field, and the first parameter whose data amount is less than or equal to the maximum data amount among the above-mentioned parameters can be stored in The parameter field of the SID.
  • the second parameters other than the first parameter that are difficult to be stored in the parameter field are stored in the extension field in the message header.
  • the above-mentioned first parameter may be any data whose data size is less than or equal to the above-mentioned maximum data size among the parameters of the above-mentioned security authentication instruction. It may also be data whose data volume composed of consecutive bytes is less than or equal to the above-mentioned maximum data volume starting from the start byte of the parameter of the above-mentioned security authentication instruction.
  • the second parameter stored in the above-mentioned extension field may be data in TLV (Type Length Value) format, wherein the above-mentioned extension field records the second parameter, the type of the parameter corresponding to the second parameter, and the value of the second parameter. length, the identity of the second parameter above.
  • TLV Type Length Value
  • Table 1 shows a TLV format data group provided by the embodiment of the present application.
  • the above-mentioned Type indicates the type of the parameter corresponding to the second parameter
  • the above-mentioned Length indicates the length of the second parameter
  • the above-mentioned identification indicates the identification of the second parameter.
  • the generated SID may be inserted into the segment list in the header of the original message according to the position of the insecure network node in the SRv6 forwarding path to generate the SRv6 message.
  • the order in which the SIDs are arranged in the segment list is opposite to the order in which the network nodes corresponding to the SIDs are arranged in the SRv6 forwarding path.
  • the identifier of the above-mentioned encapsulation instruction may be END.SE, so that the instruction identified as END.SE is used to instruct the network node to perform encapsulation processing on the SRv6 message.
  • the above-mentioned decapsulation instruction may have an identifier of END.SD, so that the instruction with the identifier END.SD is used to instruct the network node to decapsulate the SRv6 message.
  • step S505 is similar to the above-mentioned step S504, which will not be repeated in this embodiment of the present application.
  • the target parameters can be obtained from the parameter field of the target SID.
  • S102B If the function field of the target SID includes a security authentication instruction, and the above-mentioned security authentication instruction indicates that the parameters of the above-mentioned security authentication instruction are stored in the above-mentioned parameter field and the header extension field, then from the parameters contained in the parameter field of the above-mentioned target SID and Among the parameters included in the extension field in the above message header, the target parameter is obtained, and security authentication processing is performed on the above SRv6 message according to the above target parameter.
  • FIG. 7 it is a schematic structural diagram of a message forwarding device provided in an embodiment of the present application, which is applied to a network node.
  • the above device includes:
  • the parameter of the security authentication instruction is obtained, wherein the security authentication instruction indicates: the insecure network node performs security on the SRv6 message Authentication processing;
  • the insecure network node If yes, for the insecure network node, generate a SID that includes the security authentication instruction in the function field and includes the first parameter in the parameter field, and generates the SRv6 message based on the original message, wherein , the extension field in the message header of the SRv6 message contains a second parameter, and the security authentication instruction also indicates that: the parameters of the security authentication instruction are stored in the parameter field and the message header In the extension field, the first parameter is: some parameters in the parameters of the security authentication instruction whose data size is less than or equal to the maximum data amount, and the second parameter is: the parameters of the security authentication instruction except the parameters other than the first parameter;
  • the above-mentioned security processing module 702 is specifically used for:
  • the parameters of the security authentication instruction corresponding to the above-mentioned network nodes can be completely stored in the parameter field, or partly stored in the above-mentioned parameter field, and the other part is stored in the extension field contained in the message header of the SRv6 message.
  • the storage location of the above parameters may be determined based on the instruction of the security authentication instruction, and the target parameter may be acquired from the storage location indicated by the security authentication instruction, so that the security authentication processing of the SRv6 message may be performed based on the completed target parameter.
  • the security authentication instruction includes: an encapsulation instruction, and the encapsulation instruction indicates to perform encapsulation processing on the payload of the SRv6 message;
  • the security authentication instruction includes: a decapsulation instruction, and the decapsulation instruction indicates to perform decapsulation processing on the payload of the SRv6 message;
  • the security processing module 702 is specifically used for:
  • the embodiment of the present application also provides a network node, as shown in FIG. 8 , including a processor 801 and a machine-readable storage medium 802.
  • the machine-readable storage medium 802 stores machine Executable instructions, the processor 801 is prompted by the machine-executable instructions to implement the method steps described in any one of the above packet forwarding methods.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种报文转发方法及装置，涉及网络技术领域，应用于网络节点，上述方法包括：获得SRv6报文。若目标SID的功能字段中包括安全认证指令，根据安全认证指令指示的操作，获取目标参数，并依据目标参数，对SRv6报文进行安全认证处理，目标SID为：SRv6报文的报文头携带的分段列表中与网络节点对应的SID，目标参数为：报文头中记录的安全认证指令的参数；向下一跳设备转发处理后的SRv6报文。应用本申请实施例提供的方案转发SRv6报文，可以提高沿SRv6转发路径转发SRv6报文时的安全性。

Description

一种报文转发方法、装置、网络节点及存储介质 技术领域
本申请涉及网络技术领域，特别是涉及一种报文转发方法、装置、网络节点及存储介质。
背景技术
SRv6(Segment Routing IPv6，分段路由互联网协议第6版)技术是一种源路由技术。SRv6技术支持SRv6转发路径的来源网络节点在报文中插入SRv6转发路径的分段信息。为便于描述将插入分段信息后的报文称为SRv6报文。SRv6转发路径的分段信息指示该路径包括的各个网络节点进行报文转发的顺序。这样其他网络节点接收到SRv6报文后，能够按照SRc6报文中携带的分段信息进行报文转发。
然而SRv6转发路径中可能包含不安全网络节点或不安全链路，导致沿SRv6转发路径转发SRv6报文时存在安全性差的问题。
发明内容
本申请实施例的目的在于提供一种报文转发方法及装置，以提高转发SRv6报文的安全性。具体技术方案如下：
第一方面，本申请实施例提供了一种报文转发方法，应用于网络节点，所述方法包括：
获得SRv6报文；
若目标段标识SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数，并依据所述目标参数，对所述SRv6报文进行安全认证处理，其中，所述目标SID为：所述SRv6报文的报文头携带的分段列表中与所述网络节点对应的SID，所述目标参数为：所述报文头中记录的所述安全认证指令的参数；
向下一跳设备转发处理后的SRv6报文。
本申请的一个实施例中，所述SRv6报文为所述SRv6报文的来源网络节点通过以下方式生成的：
接收原始报文；
若确定出需要转发所述原始报文的SRv6转发路径中存在不安全网络节点，则获得安全认证指令的参数，其中，所述安全认证指令指示：所述不安全网络节点对SRv6报文进行安全认证处理；
判断所述安全认证指令的参数的数据量是否大于SID的参数字段的最大数据量；
若为是，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含第一参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述SRv6报文的所述报文头中的扩展字段中包含第二参数，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段和所述报文头中的扩展字段，所述第一参数为：所述安全认证指令的参数中数据量小于等于所述最大数据量的部分参数，所述第二参数为：所述安全认证指令的参数中除所述第一参数之外的参数；
若为否，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参 数字段中包含所述安全认证指令的参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段。
本申请的一个实施例中，所述根据所述安全认证指令指示的操作，获取目标参数，包括：
若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段，则从所述目标SID的参数字段包含的参数中，获取目标参数；
若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段和报文头扩展字段，则从所述目标SID的参数字段包含的参数和所述报文头中的扩展字段包含的参数中，获取目标参数。
本申请的一个实施例中，所述安全认证指令包括：加封装指令，所述加封装指令指示对所述SRv6报文的有效载荷进行加封装处理；
所述依据所述目标参数，对所述SRv6报文进行安全认证处理，包括：
依据所述目标参数，对所述SRv6报文的有效载荷进行加封装处理。
本申请的一个实施例中，所述安全认证指令包括：解封装指令，所述解封装指令指示对所述SRv6报文的有效载荷进行解封装处理；
所述依据所述目标参数，对所述SRv6报文进行安全认证处理，包括：
依据所述目标参数，对所述SRv6报文的有效载荷进行解封装处理。
第二方面，本申请实施例提供了一种报文转发装置，应用于网络节点，所述装置包括：
报文获得模块，用于获得SRv6报文；
安全处理模块，用于若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数，并依据所述目标参数，对所述SRv6报文进行安全认证处理，其中，所述目标SID为：所述SRv6报文的报文头携带的分段列表中与所述网络节点对应的SID，所述目标参数为：所述报文头中记录的所述安全认证指令的参数；
报文转发模块，用于向下一跳设备转发处理后的SRv6报文。
本申请的一个实施例中，所述SRv6报文为所述SRv6报文的来源网络节点通过以下方式生成的：
接收原始报文；
若确定出需要转发所述原始报文的SRv6转发路径中存在不安全网络节点，则获得安全认证指令的参数，其中，所述安全认证指令指示：所述不安全网络节点对SRv6报文进行安全认证处理；
判断所述安全认证指令的参数的数据量是否大于SID的参数字段的最大数据量；
若所述数据量判断子模块的判断结果为是，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含第一参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述SRv6报文的所述报文头中的扩展字段中包含第二参数，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段和所述报文头中的扩展字段，所述第一参数为：所述安全认证指令的参数中数据量小于等于所述最大数据量的部分参数，所述第二参数为：所述安全认证指令的参数中除所述第一参数之外的参数；
若所述数据量判断子模块的判断结果为否，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含所述安全认证指令的参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段。
本申请的一个实施例中，所述安全处理模块，具体用于：
若目标SID的功能字段中包括安全认证指令，若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段，则从所述目标SID的参数字段包含的参数中，获取目标参数；
若目标SID的功能字段中包括安全认证指令，若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段和报文头扩展字段，则从所述目标SID的参数字段包含的参数和所述报文头中的扩展字段包含的参数中，获取目标参数；
依据所述目标参数，对所述SRv6报文进行安全认证处理。
本申请的一个实施例中，所述安全认证指令包括：加封装指令，所述加封装指令指示对所述SRv6报文的有效载荷进行加封装处理；
所述安全处理模块，具体用于：
若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数；
依据所述目标参数，对所述SRv6报文的有效载荷进行加封装处理。
本申请的一个实施例中，所述安全认证指令包括：解封装指令，所述解封装指令指示对所述SRv6报文的有效载荷进行解封装处理；
所述安全处理模块，具体用于：
若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数；
依据所述目标参数，对所述SRv6报文的有效载荷进行解封装处理。
第三方面，本申请实施例提供了一种网络节点，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现第一方面任一所述的方法步骤。
第四方面，本申请实施例提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现第一方面任一所述的方法步骤。
本申请实施例有益效果：
网络节点应用本申请实施例提供的方案转发报文时，获得SRv6报文后，若上述网络节点对应的目标SID的功能字段中包括安全认证指令，则根据安全认证指令指示的操作，获取目标参数，并依据目标参数对SRv6报文进行安全认证处理，再向SRv6转发路径中的下一跳设备转发处理后的SRv6报文。
由以上可见，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证 指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
附图说明
为了更清楚地说明本申请实施例和现有技术的技术方案，下面对实施例和现有技术中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，本领域普通技术人员来讲还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的第一种报文转发方法的流程示意图；
图2为本申请实施例提供的一种SRv6转发路径的示意图；
图3为本申请实施例提供的一种经过加封装处理的SRv6报文的示意图；
图4为本申请实施例提供的一种经过解封装处理的SRv6报文的示意图；
图5为本申请实施例提供的一种SRv6报文生成方法的流程示意图；
图6为本申请实施例提供的第二种报文转发方法的流程示意图；
图7为本申请实施例提供的一种报文转发装置的结构示意图；
图8为本申请实施例提供的一种网络节点的结构示意图。
具体实施方式
为使本申请的目的、技术方案、及优点更加清楚明白，以下参照附图并举实施例，对本申请进一步详细说明。显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。本领域普通技术人员基于本申请中的实施例所获得的所有其他实施例，都属于本申请保护的范围。
由于现有技术中，若SRv6转发路径中包含不安全网络节点或不安全链路，沿上述SRv6转发路径转发SRv6报文时，存在安全性差的技术问题，为解决这一技术问题，本申请实施例提供了一种报文转发方法、装置、网络节点及存储介质。
本申请的一个实施例中，提供了一种报文转发方法，应用于网络节点，上述方法包括：
获得SRv6报文；
若目标SID的功能字段中包括安全认证指令，根据上述安全认证指令指示的操作，获取目标参数，并依据上述目标参数，对上述SRv6报文进行安全认证处理，其中，上述目标SID为：上述SRv6报文的报文头携带的分段列表中与上述网络节点对应的SID，上述目标参数为：上述报文头中记录的上述安全认证指令的参数；
向下一跳设备转发处理后的SRv6报文。
由以上可见，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
下面结合图1和图2，对本申请实施例提供的报文转发方法进行说明。
图1为本申请实施例提供的第一种报文转发方法的流程示意图，该方法应用于网络节点。
其中，上述网络节点可以为路由器，交换机等。
图2为本申请实施例提供的一种SRv6转发路径的示意图。
如图2所示，网络中包含网络节点R1-网络节点R7，网络节点之间的实线连线表示实线连线两端的网络节点相互连通，图2中的虚线箭头表示SRv6转发路径。
具体的，图2所示的SRv6转发路径为R1-R2-R3-R5-R6-R7。
例如，可以称R1-R3为第一路径分段，R3-R5为第二路径分段，R5-R7为第三路径分段。
本申请实施例所提供方案的执行主体可以是SRv6转发路径中除来源网络节点之外的任何一个网络节点。基于此，上述图2所示的SRv6转发路径中除来源网络节点R1之外的R2-R7均可以作为本申请实施例所提供方案的执行主体。
上述报文转发方法包括以下步骤S101-S103。
S101：获得SRv6报文。
具体的，网络节点所获得的SRv6报文可以是：SRv6转发路径中位于该网络节点之前且相邻的网络节点转发的SRv6报文。例如，网络节点R3获得的SRv6报文可以是网络节点R2转发的SRv6报文。
其中，上述SRv6报文中包含报文头与有效载荷，上述报文头为SRH(Segment Identifier Header，分段路由报文头)。
具体的，上述SRv6报文的报文头中包含分段列表。上述分段列表中包括SRv6转发路径中除来源网络节点之外的其他网络节点对应的SID，各个网络节点对应的SID在分段列表中的排列顺序与网络节点在SRv6转发路径中的排列顺序相反。
其中，上述SID内包含Locator(定位字段)、Function(功能字段)与Arguments(参数字段)。
上述Locator用于标识上述SID所对应的网络节点在SRv6转发路径中的位置。Locator包含Locator Block(定位块字段)与Locator Node(定位节点字段)。
上述Function中包括上述SID对应的网络节点需要对SRv6报文执行的报文处理指令。具体的，上述Function中可以包含一个或多个报文处理指令。
上述Arguments中包含上述报文处理指令的参数。
另外，SRv6报文的报文头中还包含除分段列表之外的其他字段，其他字段中包含的信息与现有技术相同，本申请实施例对此不再赘述。
再者，上述有效载荷为上述SRv6报文中除报文头之外的字段，其中包含SRv6报文所传输的数据。
本申请的一个实施例中，上述报文头中还包含用于记录上述网络节点对应的SID的编号的编号字段，上述编号字段可以以SL(Segments Left，剩余段)表示。
S102：若目标SID的功能字段中包括安全认证指令，根据上述安全认证指令指示的操 作，获取目标参数，并依据上述目标参数，对上述SRv6报文进行安全认证处理。
其中，上述目标SID为：上述SRv6报文的报文头携带的分段列表中与上述网络节点对应的SID。上述目标参数为：上述报文头中记录的上述安全认证指令的参数。
具体的，可以将分段列表中编号为上述编号字段所记录编号的SID确定为上述目标SID。
本申请的一个实施例中，可以从报文头中、上述安全认证指令所指示的位置处获取目标参数，具体的，可以参见下文步骤S102A-S102B，在此暂不详述。
另外，上述安全认证指令可以为指示对SRv6报文的有效载荷进行加封装处理的加封装指令，也可以为指示对SRv6报文的有效载荷进行解封装处理的解封装指令。
具体的，上述安全认证指令可以为指示网络节点基于IPsec(Internet Protocol Security，互联网络层安全协议)和/或HMAC(Hash-based Message Authentication Code，哈希运算消息认证码)对SRv6报文进行安全认证处理的指令。
其中，IPsec协议主要由AH(Authentication Header，认证头)、ESP(Encapsulating Security Payload，封装安全载荷)与SA(Secure Association，安全关联)三部分组成。
上述AH可为SRv6报文提供数据完整性检查、数据源身份验证以及防重放攻击保护等功能，上述ESP可为SRv6报文提供数据加密、数据源身份验证、数据完整性验证以及防重放攻击保护等功能。SA用于在通信两端的网络节点构建单向的安全关系，用于指定IPsec所需的算法和参数等信息。
具体的，可以通过IKE(Internet Key Exchange，互联网秘钥交换)协议建立SA。也可以通过其他方式建立SA。在对SRv6报文进行安全认证处理的过程中，可以单独使用上述AH或ESP对SRv6报文进行安全认证处理，也可以共同使用AH与ESP对SRv6报文进行安全认证处理。
其中，上述IPsec协议为现有技术中的协议，本申请实施例对此不再赘述。
本申请的一个实施例中，在上述安全认证指令中包括上述加封装指令的情况下，可以通过下文所示的步骤A对上述SRv6报文进行安全认证处理，这里暂不详述。
本申请的另一个实施例中，在上述安全认证指令中包括上述解封装指令的情况下，可以通过下文所示的步骤B对上述SRv6报文进行安全认证处理，这里暂不详述。
S103：向下一跳设备转发处理后的SRv6报文。
其中，上述下一跳设备为在上述SRv6转发路径中，位于上述网络节点之后，且与上述网络节点相邻的节点。
例如，参见图2，对于网络节点R3而言，在SRv6转发路径中上述网络节点R5为上述下一跳设备。
本申请的一个实施例中，可以将上述报文头的编号字段中记录的编号减1，得到上述SRv6转发路径中下一跳设备对应的SID的编号，从而确定分段列表中SRv6转发路径内的下一跳设备对应的SID，将上述SRv6报文的目的地址更新为上述SRv6转发路径中下一跳设备对应的SID，并依据上述网络节点记录的路由表，转发上述目的地址变更后的SRv6报文。
具体的，上述网络节点可基于IGP(Interior Gateway Protocols，内部网关协议)将经安全认证处理后的SRv6报文发布到网络中。
由以上可见，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
另外，上述SRv6转发路径中除来源网络节点之外的网络节点可以通过上述图1所示的实施例对SRv6报文进行安全认证处理。而来源网络节点若确定自身为不安全网络节点，可以直接对原始报文的有效载荷进行安全认证处理之后，再生成并发送上述SRv6报文。
具体的，由于上述来源网络节点为上述SRv6转发路径的起始节点，SRv6转发路径中不存在位于上述来源网络节点之前的网络节点对报文的有效载荷进行加封装处理，因此上述来源网络节点所进行的安全认证处理往往为加封装处理，由SRv6转发路径中的其他网络节点进行后续的解封装处理。
本申请的一个实施例中，可以通过步骤A对上述SRv6报文进行安全认证处理。
步骤A：依据上述目标参数，对上述SRv6报文的有效载荷进行加封装处理。
具体的，可以基于IPsec协议和/或HMAC对上述有效载荷进行加封装处理。在使用IPsec协议对有效载荷进行加封装处理的过程中，可以仅使用AH对有效载荷进行加封装处理，也可以仅使用ESP对有效载荷进行加封装处理，还可以使用AH与ESP共同对有效载荷进行加封装处理。
参见图3，为本申请实施例提供的一种经过加封装处理的SRv6报文的示意图。
与前述图2相对应，上述图3为网络节点R3对SRv6报文的有效载荷进行加封装处理后得到的SRv6报文，图中的每一矩形表示经过加封装处理后得到的SRv6报文中的一个字段。
其中，SA(Source Address，源地址)＝R1表示该SRv6报文的源地址为网络节点R1的地址，DA(Destination or Target Address，目标地址)＝R5表示该SRv6报文按照SRv6转发路径转发的目的地址为网络节点R5的地址。
R7字段、R5字段、R3字段表示上述SRv6转发路径中包含的路径分段分别为R1-R3、R3-R5、R5-R7。
HMAC字段、AH字段、ESP字段为R3使用HMAC、AH与ESP共同对有效载荷进行了加封装处理后，添加至上述SRv6报文中的字段，ESP trailer字段为与ESP字段对应的ESP尾字段，ESP ICV(Integrity check value，完整性度量结果)字段为进行报文认证时所需的参数。
另外，上述图3为经过加封装处理后得到的SRv6报文的示意图，实际得到的SRv6报文中还包括除图3所示的字段之外的其他字段。
本申请的另一个实施例中，可以通过以下步骤B对上述SRv6报文进行安全认证处理。
步骤B：依据上述目标参数，对上述SRv6报文的有效载荷进行解封装处理。
具体的，上述SRv6报文中包含的有效载荷已经过加封装处理。则需要采用与进行上述加封装处理使用的加封装方式相对应的解封装方式对上述有效载荷进行解封装处理。
参见图4，为本申请实施例提供的一种经过解封装处理的SRv6报文的示意图。
其中，上述解封装处理可以是图2所示的网络节点R5进行的，与前述图3所示的实施例相比，HMAC字段、AH字段、ESP字段、ESP trailer字段与ESP ICV字段在经过解封装处理后被去除。并且，按照SRv6转发路径，网络节点R5转发的报文需要被转发至网络节点R7，因此上述经过解封装处理的SRv6报文中记录的DA为网络节点R7的地址。
另外，上述图4为经过解封装处理后得到的SRv6报文的示意图，实际得到的SRv6报文中还包括除图4所示的字段之外的其他字段。
本申请的一个实施例中，上述SRv6报文可以是SRv6报文的来源网络节点生成的，上述来源网络节点可以是SRv6转发路径中的起始节点。
例如，参见图2，上述来源网络节点可以为网络节点R1。
参见图5，为本申请实施例提供的一种SRv6报文生成方法的流程示意图，上述来源网络节点可以通过以下步骤S501-S505生成SRv6报文。
S501：接收原始报文。
具体的，上述原始报文中可以包含有效载荷以及原始报文的报文头。
其中，上述原始报文可以是其他设备发送的报文，也可以是上述来源网络节点生成的报文。
S502：若确定出需要转发上述原始报文的SRv6转发路径中存在不安全网络节点，则获得安全认证指令的参数。
其中，上述安全认证指令指示：上述不安全网络节点对SRv6报文进行安全认证处理。
具体的，上述安全认证指令可以包括加封装指令和解封装指令。
另外，上述不安全网络节点可以为自身存在数据泄露风险的网络节点，也可以是与存在数据泄露风险的不安全链路相连的网络节点。
具体的，上述不安全链路可以为存在数据泄露风险的不安全路径分段，则上述不安全网络节点可以为位于不安全路径分段起始位置处与终止位置处的网络节点。
例如，参见图2，若上述网络节点R3-R5的路径分段为不安全路径分段，则上述不安全网络节点可以为网络节点R3与网络节点R5。
本申请的一个实施例中，上述来源网络节点可以通过表示不安全网络节点的信息确定上述SRv6转发路径中包含的不安全网络节点。上述信息可以是管理员人工向上述来源网络节点下发的，也可以是上述来源网络节点之外的集中控制器或控制节点向上述来源网络节点下发的，也可以是上述来源网络节点自身确定的。来源网络节点确定不安全网络节点的过程属于上述来源网络节点的控制层执行的过程，与报文转发过程可以分别独立完成。
具体的，上述不安全网络节点可以为预设的网络节点。也可以根据上述SRv6转发路径中各个网络节点的历史转发信息，确定发生数据泄露情况的次数较多的网络节点作为上述不安全网络节点。
本申请的另一个实施例中，上述安全认证指令的参数可以是上述来源网络节点在确定上述不安全网络节点之后自身生成的，也可以是集中控制器或控制节点向上述来源网络节点下发的，还可以是管理员人工向上述来源网络节点下发的。
另外，对上述SRv6报文进行安全认证处理可以包括对SRv6报文进行加封装处理与对SRv6报文进行解封装处理两个过程。因此需要SRv6转发路径中包含的一对网络节点分别对SRv6报文进行加封装处理与解封装处理，所以不安全网络节点在上述SRv6转发路径中可以成对出现。在SRv6转发路径中，对SRv6报文进行加封装处理的网络节点位于对SRv6报文进行解封装处理的网络节点之前。
S503：判断上述安全认证指令的参数的数据量是否大于SID的参数字段的最大数据量。
具体的，SRv6报文中预设的上述SID的总数据量为128bit，可以预先将上述128bit的数据量划分给Locator、Function与Arguments，上述参数字段的最大数据量即为划分给Arguments的数据量。
若上述安全认证指令的参数的数据量大于SID的参数字段，则上述安全认证指令的参数难以完整地被存储于上参数字段中，则可以执行步骤S504。若上述安全认证指令的参数的数据量小于等于SID的参数字段，则上述安全认证指令的参数能够被完整地存储于上述参数字段中，则可以执行步骤S505。
S504：针对上述不安全网络节点，生成功能字段中包含上述安全认证指令、且参数字段中包含第一参数的SID，并基于上述原始报文生成上述SRv6报文。
其中，上述SRv6报文的上述报文头中的扩展字段中包含第二参数。
上述安全认证指令还指示：上述安全认证指令的参数存储于上述参数字段和上述报文头中的扩展字段。
由于上述安全认证指令的参数分别存储于参数字段与扩展字段中，因此上述安全认证指令还可以指示上述参数存储于参数字段与扩展字段中，以使得上述不安全网络节点在获取到上述安全认证指令之后可以从上述参数字段与扩展字段中获取得到上述安全认证指令的参数。
另外，上述第一参数为：上述安全认证指令的参数中数据量小于等于上述最大数据量的部分参数。上述第二参数为：上述安全认证指令的参数中除上述第一参数之外的参数。
具体的，由于上述安全认证指令的参数的数据量大于最大数据量，因此参数字段难以完整的存储上述安全认证指令的参数，可以将上述参数中数据量小于等于最大数据量的第一参数存储于SID的参数字段。并将安全认证指令的参数中难以被参数字段存储的、除第一参数之外的第二参数存储于报文头中的扩展字段中。
其中，上述第一参数可以为上述安全认证指令的参数中任意的数据量小于等于上述最大数据量的数据。也可以为从上述安全认证指令的参数的起始字节起，连续字节组成的数据量小于等于上述最大数据量的数据。
上述扩展字段中存储的第二参数可以是TLV(Type Length Value，类型长度值)格式的数据，其中上述扩展字段中记录有第二参数、第二参数对应的参数的类型、上述第二参数的长度、上述第二参数的标识。
参见表1，示出了本申请实施例提供的一种TLV格式数据组。
表1
Figure PCTCN2021103176-appb-000001
其中，上述Type表示第二参数对应的参数的类型，上述Length表示第二参数的长度，上述标识表示第二参数的标识。
本申请的一个实施例中，可以按照上述不安全网络节点在SRv6转发路径中的位置，将所生成的SID插入上述原始报文的报文头内的分段列表中，生成上述SRv6报文。具体的，上述分段列表中SID的排列顺序与SID所对应的网络节点在SRv6转发路径的排列顺序相反。
本申请的另一个实施例中，上述加封装指令的标识可以为END.SE，这样标识为END.SE的指令用于指示网络节点对SRv6报文进行加封装处理。上述解封装指令的标识可以为END.SD，这样标识为END.SD的指令用于指示网络节点对SRv6报文进行解封装处理。
例如，所生成的对应第一网络节点的SID中的功能字段中可以包含标识END.SE，以指示第一网络节点对SRv6报文进行加封装处理。所生成的对应第二网络节点的SID中的功能字段中可以包含标识END.SD，以指示第二网络节点对SRv6报文进行解封装处理。
S505：针对上述不安全网络节点，生成功能字段中包含上述安全认证指令、且参数字段中包含上述安全认证指令的参数的SID，并基于上述原始报文生成上述SRv6报文。
其中，上述安全认证指令还指示：上述安全认证指令的参数存储于上述参数字段。
具体的，由于上述安全认证指令的参数的数据量小于等于上述最大数据量，因此上述参数字段能够完整的存储上述安全认证指令的参数，因此可以直接生成功能字段中包含安全认证指令，且参数字段中包含安全认证指令的参数的SID。并将所生成的SID插入上述原始报文的报文头内的分段列表中，生成上述SRv6报文。
另外，上述步骤S505与前述步骤S504相似，本申请实施例对此不再赘述。
由以上可见，由于SID的参数字段能够容纳的最大数据量有限，因此，上述不安全网络节点对应的安全认证指令的参数中，部分参数可以存储于上述参数字段中，另一部分参数可以存储于SRv6报文的报文头包含的扩展字段中。所以，即使安全认证指令的数据量大于参数字段的最大数据量，在大多数情况下，上述安全认证指令也可以被完整的存储于上述SRv6报文中，被完整的发送至上述不安全网络节点，使得上述不安全网络节点可以获取到完整的安全认证指令的参数，并基于完整的参数对SRv6报文完成安全认证处理。
参见图6，为本申请实施例提供的第二种报文转发方法的流程示意图，与前述图1所示的实施例相比，在上述步骤S102可以通过以下步骤S102A-S102B实现。
S102A：若目标SID的功能字段中包括安全认证指令，且上述安全认证指令指示上述安全认证指令的参数存储于上述参数字段，则从上述目标SID的参数字段包含的参数中，获取目标参数，并依据上述目标参数，对上述SRv6报文进行安全认证处理。
由于上述安全认证指令指示上述安全认证指令的参数存储于目标SID的参数字段，因 此可以从目标SID的参数字段中获取目标参数。
具体的，上述参数字段在上述目标SID的固定位置处，具有固定的数据长度，因此可以直接确定目标SID中的参数字段，再从参数字段中获取目标参数。
另外，依据上述目标参数，对上述SRv6报文进行安全认证处理与前述步骤S102所示的实施例相似，本申请实施例对此不再赘述。
S102B：若目标SID的功能字段中包括安全认证指令，且上述安全认证指令指示上述安全认证指令的参数存储于上述参数字段和报文头扩展字段，则从上述目标SID的参数字段包含的参数和上述报文头中的扩展字段包含的参数中，获取目标参数，并依据上述目标参数，对上述SRv6报文进行安全认证处理。
由于上述安全认证指令指示上述安全认证指令的参数存储于目标SID的参数字段以及SRv6报文头的扩展字段中，因此可以从目标SID的参数字段包含的参数以及扩展字段包含的参数内分别获取参数。并将从参数字段中获取的参数以及从扩展字段中获取的参数合并，得到目标参数。
另外，依据上述目标参数，对上述SRv6报文进行安全认证处理与前述步骤S102所示的实施例相似，本申请实施例对此不再赘述。
由以上可见，由于上述网络节点对应的安全认证指令的参数可以完全存储于参数字段中，也可以部分存储于上述参数字段，另一部分存储于SRv6报文的报文头包含的扩展字段中。可以基于安全认证指令的指示，确定上述参数的存储位置，并从安全认证指令指示的存储位置处获取目标参数，从而可以基于完成的目标参数对SRv6报文进行安全认证处理。
与前述报文转发方法相对应，本申请实施例还提供了一种报文转发装置。
参见图7，为本申请实施例提供的一种报文转发装置的结构示意图，应用于网络节点，上述装置包括：
报文获得模块701，用于获得SRv6报文；
安全处理模块702，用于若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数，并依据所述目标参数，对所述SRv6报文进行安全认证处理，其中，所述目标SID为：所述SRv6报文的报文头携带的分段列表中与所述网络节点对应的SID，所述目标参数为：所述报文头中记录的所述安全认证指令的参数；
报文转发模块703，用于向下一跳设备转发处理后的SRv6报文。
由以上可见，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
本申请的一个实施例中，所述SRv6报文为所述SRv6报文的来源网络节点通过以下方式生成的。
接收原始报文；
若确定出需要转发所述原始报文的SRv6转发路径中存在不安全网络节点，则获得安全认证指令的参数，其中，所述安全认证指令指示：所述不安全网络节点对SRv6报文进行安全认证处理；
判断所述安全认证指令的参数的数据量是否大于SID的参数字段的最大数据量；
若为是，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含第一参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述SRv6报文的所述报文头中的扩展字段中包含第二参数，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段和所述报文头中的扩展字段，所述第一参数为：所述安全认证指令的参数中数据量小于等于所述最大数据量的部分参数，所述第二参数为：所述安全认证指令的参数中除所述第一参数之外的参数；
若为否，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含所述安全认证指令的参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段。
由以上可见，由于SID的参数字段能够容纳的最大数据量有限，因此，上述不安全网络节点对应的安全认证指令的参数中，部分参数可以存储于上述参数字段中，另一部分参数可以存储于SRv6报文的报文头包含的扩展字段中。所以，即使安全认证指令的数据量大于参数字段的最大数据量，在大多数情况下，上述安全认证指令也可以被完整的存储于上述SRv6报文中，被完整的发送至上述不安全网络节点，使得上述不安全网络节点可以获取到完整的安全认证指令的参数，并基于完整的参数对SRv6报文完成安全认证处理。
本申请的一个实施例中，上述安全处理模块702，具体用于：
若目标SID的功能字段中包括安全认证指令，若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段，则从所述目标SID的参数字段包含的参数中，获取目标参数；
若目标SID的功能字段中包括安全认证指令，若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段和报文头扩展字段，则从所述目标SID的参数字段包含的参数和所述报文头中的扩展字段包含的参数中，获取目标参数；
依据所述目标参数，对所述SRv6报文进行安全认证处理。
由以上可见，由于上述网络节点对应的安全认证指令的参数可以完全存储于参数字段中，也可以部分存储于上述参数字段，另一部分存储于SRv6报文的报文头包含的扩展字段中。可以基于安全认证指令的指示，确定上述参数的存储位置，并从安全认证指令指示的存储位置处获取目标参数，从而可以基于完成的目标参数对SRv6报文进行安全认证处理。
本申请的一个实施例中，所述安全认证指令包括：加封装指令，所述加封装指令指示对所述SRv6报文的有效载荷进行加封装处理；
所述安全处理模块702，具体用于：
若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获 取目标参数；
依据所述目标参数，对所述SRv6报文的有效载荷进行加封装处理。
本申请的一个实施例中，所述安全认证指令包括：解封装指令，所述解封装指令指示对所述SRv6报文的有效载荷进行解封装处理；
所述安全处理模块702，具体用于：
若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数；
依据所述目标参数，对所述SRv6报文的有效载荷进行解封装处理。
本申请实施例还提供了一种网络节点，如图8所示，包括处理器801与机器可读存储介质802，所述机器可读存储介质802存储有能够被所述处理器801执行的机器可执行指令，所述处理器801被所述机器可执行指令促使：实现上述报文转发方法任一所述的方法步骤。
应用本申请实施例提供的网络节点进行报文转发时，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
机器可读存储介质可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。
上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。
在本申请提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述应用于网络节点的任一报文转发方法的步骤。
执行本申请实施例提供的计算机可读存储介质中存储的计算机程序进行报文转发时，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
在本申请提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计 算机上运行时，使得计算机执行上述实施例中应用于网络节点的任一报文转发方法。
执行本申请实施例提供的计算机可读存储介质中存储的计算机程序进行报文转发时，若网络节点对应的目标SID的功能字段中包括安全认证指令，这种情况下，网络节点并没有直接转发SRv6报文，而是依据目标参数，对SRv6报文进行安全认证指令指示的安全认证处理之后，再转发经过安全认证处理的SRv6报文。由于网络节点对SRv6报文进行了安全认证指令指示的安全认证处理，可以提高SRv6报文的安全性，因此，网络节点应用本申请实施例提供的方案，转发经安全认证处理后的SRv6报文，可以提高转发SRv6报文的安全性。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、电子设备、计算机可读存储介质和计算机程序产品而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上所述仅为本申请的较佳实施例，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。

Claims (12)

  1. 一种报文转发方法，其特征在于，应用于网络节点，所述方法包括：
    获得SRv6报文；
    若目标段标识SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数，并依据所述目标参数，对所述SRv6报文进行安全认证处理，其中，所述目标SID为：所述SRv6报文的报文头携带的分段列表中与所述网络节点对应的SID，所述目标参数为：所述报文头中记录的所述安全认证指令的参数；
    向下一跳设备转发处理后的SRv6报文。
  2. 根据权利要求1所述的方法，其特征在于，所述SRv6报文为所述SRv6报文的来源网络节点通过以下方式生成的：
    接收原始报文；
    若确定出需要转发所述原始报文的SRv6转发路径中存在不安全网络节点，则获得安全认证指令的参数，其中，所述安全认证指令指示：所述不安全网络节点对SRv6报文进行安全认证处理；
    判断所述安全认证指令的参数的数据量是否大于SID的参数字段的最大数据量；
    若为是，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含第一参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述SRv6报文的所述报文头中的扩展字段中包含第二参数，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段和所述报文头中的扩展字段，所述第一参数为：所述安全认证指令的参数中数据量小于等于所述最大数据量的部分参数，所述第二参数为：所述安全认证指令的参数中除所述第一参数之外的参数；
    若为否，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含所述安全认证指令的参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段。
  3. 根据权利要求2所述的方法，其特征在于，所述根据所述安全认证指令指示的操作，获取目标参数，包括：
    若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段，则从所述目标SID的参数字段包含的参数中，获取目标参数；
    若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段和报文头扩展字段，则从所述目标SID的参数字段包含的参数和所述报文头中的扩展字段包含的参数中，获取目标参数。
  4. 根据权利要求1-3中任一项所述的方法，其特征在于，所述安全认证指令包括：加封装指令，所述加封装指令指示对所述SRv6报文的有效载荷进行加封装处理；
    所述依据所述目标参数，对所述SRv6报文进行安全认证处理，包括：
    依据所述目标参数，对所述SRv6报文的有效载荷进行加封装处理。
  5. 根据权利要求1-3中任一项所述的方法，其特征在于，所述安全认证指令包括：解封装指令，所述解封装指令指示对所述SRv6报文的有效载荷进行解封装处理；
    所述依据所述目标参数，对所述SRv6报文进行安全认证处理，包括：
    依据所述目标参数，对所述SRv6报文的有效载荷进行解封装处理。
  6. 一种报文转发装置，其特征在于，应用于网络节点，所述装置包括：
    报文获得模块，用于获得SRv6报文；
    安全处理模块，用于若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数，并依据所述目标参数，对所述SRv6报文进行安全认证处理，其中，所述目标SID为：所述SRv6报文的报文头携带的分段列表中与所述网络节点对应的SID，所述目标参数为：所述报文头中记录的所述安全认证指令的参数；
    报文转发模块，用于向下一跳设备转发处理后的SRv6报文。
  7. 根据权利要求6所述的装置，其特征在于，所述SRv6报文为所述SRv6报文的来源网络节点通过以下方式生成的：
    接收原始报文；
    若确定出需要转发所述原始报文的SRv6转发路径中存在不安全网络节点，则获得安全认证指令的参数，其中，所述安全认证指令指示：所述不安全网络节点对SRv6报文进行安全认证处理；
    判断所述安全认证指令的参数的数据量是否大于SID的参数字段的最大数据量；
    若为是，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含第一参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述SRv6报文的所述报文头中的扩展字段中包含第二参数，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段和所述报文头中的扩展字段，所述第一参数为：所述安全认证指令的参数中数据量小于等于所述最大数据量的部分参数，所述第二参数为：所述安全认证指令的参数中除所述第一参数之外的参数；
    若为否，则针对所述不安全网络节点，生成功能字段中包含所述安全认证指令、且参数字段中包含所述安全认证指令的参数的SID，并基于所述原始报文生成所述SRv6报文，其中，所述安全认证指令还指示：所述安全认证指令的参数存储于所述参数字段。
  8. 根据权利要求7所述的装置，其特征在于，所述安全处理模块，具体用于：
    若目标SID的功能字段中包括安全认证指令，若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段，则从所述目标SID的参数字段包含的参数中，获取目标参数；
    若目标SID的功能字段中包括安全认证指令，若所述安全认证指令指示所述安全认证指令的参数存储于所述参数字段和报文头扩展字段，则从所述目标SID的参数字段包含的参数和所述报文头中的扩展字段包含的参数中，获取目标参数；
    依据所述目标参数，对所述SRv6报文进行安全认证处理。
  9. 根据权利要求6-8中任一项所述的装置，其特征在于，所述安全认证指令包括：加封装指令，所述加封装指令指示对所述SRv6报文的有效载荷进行加封装处理；
    所述安全处理模块，具体用于：
    若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获 取目标参数；
    依据所述目标参数，对所述SRv6报文的有效载荷进行加封装处理。
  10. 根据权利要求6-8中任一项所述的装置，其特征在于，所述安全认证指令包括：解封装指令，所述解封装指令指示对所述SRv6报文的有效载荷进行解封装处理；
    所述安全处理模块，具体用于：
    若目标SID的功能字段中包括安全认证指令，根据所述安全认证指令指示的操作，获取目标参数；
    依据所述目标参数，对所述SRv6报文的有效载荷进行解封装处理。
  11. 一种网络节点，其特征在于，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-5任一所述的方法步骤。
  12. 一种机器可读存储介质，其特征在于，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现权利要求1-5任一所述的方法步骤。
PCT/CN2021/103176 2021-06-29 2021-06-29 一种报文转发方法、装置、网络节点及存储介质 WO2023272498A1 (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN202180001694.9A CN113615134A (zh) 2021-06-29 2021-06-29 一种报文转发方法、装置、网络节点及存储介质
EP21944452.8A EP4152728A4 (en) 2021-06-29 2021-06-29 PACKET FORWARDING METHOD AND APPARATUS, NETWORK NODE AND STORAGE MEDIUM
JP2022578739A JP2023535277A (ja) 2021-06-29 2021-06-29 パケット転送方法、装置、ネットワークノードおよび記憶媒体
PCT/CN2021/103176 WO2023272498A1 (zh) 2021-06-29 2021-06-29 一种报文转发方法、装置、网络节点及存储介质
US18/001,943 US20240106740A1 (en) 2021-06-29 2021-06-29 Method and apparatus for packet forwarding, network node and storage medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2021/103176 WO2023272498A1 (zh) 2021-06-29 2021-06-29 一种报文转发方法、装置、网络节点及存储介质

Publications (1)

Publication Number Publication Date
WO2023272498A1 true WO2023272498A1 (zh) 2023-01-05

Family

ID=78310957

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2021/103176 WO2023272498A1 (zh) 2021-06-29 2021-06-29 一种报文转发方法、装置、网络节点及存储介质

Country Status (5)

Country Link
US (1) US20240106740A1 (zh)
EP (1) EP4152728A4 (zh)
JP (1) JP2023535277A (zh)
CN (1) CN113615134A (zh)
WO (1) WO2023272498A1 (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109688057A (zh) * 2018-12-13 2019-04-26 Ut斯达康通讯有限公司 基于ipv6的段路由网络的报文转发方法及装置
CN111181852A (zh) * 2019-12-30 2020-05-19 清华大学 一种发送方法、接收方法及其装置
CN111510387A (zh) * 2019-01-30 2020-08-07 华为技术有限公司 数据转发方法及相关装置
US20200389391A1 (en) * 2019-01-30 2020-12-10 Huawei Technologies Co., Ltd. Packet processing method and apparatus
WO2021021172A1 (en) * 2019-07-31 2021-02-04 Huawei Technologies Co., Ltd. Transporting mtnc-id over srv6-header for 5g transport
CN112532575A (zh) * 2020-10-13 2021-03-19 上海瑾琛网络科技有限公司 一种基于Segment Routing的安全与网络融合的系统与方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11019075B2 (en) * 2018-06-26 2021-05-25 Cisco Technology, Inc. Providing processing and network efficiencies in protecting internet protocol version 6 segment routing packets and functions using security segment identifiers

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109688057A (zh) * 2018-12-13 2019-04-26 Ut斯达康通讯有限公司 基于ipv6的段路由网络的报文转发方法及装置
CN111510387A (zh) * 2019-01-30 2020-08-07 华为技术有限公司 数据转发方法及相关装置
US20200389391A1 (en) * 2019-01-30 2020-12-10 Huawei Technologies Co., Ltd. Packet processing method and apparatus
WO2021021172A1 (en) * 2019-07-31 2021-02-04 Huawei Technologies Co., Ltd. Transporting mtnc-id over srv6-header for 5g transport
CN111181852A (zh) * 2019-12-30 2020-05-19 清华大学 一种发送方法、接收方法及其装置
CN112532575A (zh) * 2020-10-13 2021-03-19 上海瑾琛网络科技有限公司 一种基于Segment Routing的安全与网络融合的系统与方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
FILSFILS C, ED, LEDDY HUAWEI J, MATSUSHIMA INDIVIDUAL S, VOYER SOFTBANK D, CANADA ED BELL: "Network Working Group IPv6 Segment Routing Header (SRH) draft-ietf-6man-segment-routing-header-15", DRAFT-IETF-6MAN-SEGMENT-ROUTING-HEADER-15, 22 October 2018 (2018-10-22), XP093018528, [retrieved on 20230127] *
See also references of EP4152728A4 *

Also Published As

Publication number Publication date
US20240106740A1 (en) 2024-03-28
JP2023535277A (ja) 2023-08-17
EP4152728A8 (en) 2023-06-28
CN113615134A (zh) 2021-11-05
EP4152728A4 (en) 2023-08-30
EP4152728A1 (en) 2023-03-22

Similar Documents

Publication Publication Date Title
US10757138B2 (en) Systems and methods for storing a security parameter index in an options field of an encapsulation header
US10404588B2 (en) Path maximum transmission unit handling for virtual private networks
TWI499342B (zh) 網路卸載方法與系統
CN110650076B (zh) Vxlan的实现方法，网络设备和通信系统
WO2020063528A1 (zh) 数据中心中虚拟机之间的通信方法、装置和系统
US10044841B2 (en) Methods and systems for creating protocol header for embedded layer two packets
JP2005287034A (ja) テンプレートを使用したインターネットプロトコルトンネリング
CN109412927B (zh) 一种多vpn数据传输方法、装置及网络设备
US11418951B2 (en) Method for identifying encrypted data stream, device, storage medium and system
US9473466B2 (en) System and method for internet protocol security processing
US11102115B2 (en) Forwarding packet
CN107547343B (zh) 报文操作控制方法及装置
US20180176230A1 (en) Data packet transmission method, apparatus, and system, and node device
CN108989342B (zh) 一种数据传输的方法及装置
WO2023272498A1 (zh) 一种报文转发方法、装置、网络节点及存储介质
WO2023030160A1 (zh) 发送报文的方法、网络设备、存储介质及程序产品
WO2022166979A1 (zh) 报文处理方法、客户端设备、服务器端设备和计算机可读介质
US10917502B2 (en) Method for using metadata in internet protocol packets
CN115941227A (zh) 发送报文的方法、网络设备、存储介质及程序产品
US20100275008A1 (en) Method and apparatus for secure packet transmission
US11610011B2 (en) Secure transfer of data between programs executing on the same end-user device
CN113839946B (zh) 一种IPSec传输的异常检测方法、装置及可读存储介质
WO2023179174A1 (zh) 一种报文传输方法及相关设备
US20210092103A1 (en) In-line encryption of network data
CN114465755A (zh) 基于IPSec传输异常的检测方法、装置及存储介质

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 18001943

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2022578739

Country of ref document: JP

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2021944452

Country of ref document: EP

Effective date: 20221216

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21944452

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE