[發明專利]一種實現隧道安全的方法和設備

有效

• 申請號: 200910092112.3
• 申請日: 2009-08-31
• 公開（公告）號: CN101645895A
• 公開（公告）日: 2010-02-10
• 發明（設計）人: 林濤
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/56
• 代理公司: 北京德琦知識產權代理有限公司
• 代理人: 謝安昆;宋志強

1.一種實現隧道安全的方法，其特征在于，該方法包括：

隧道起始點設備將需要通過隧道發送的數據流的特征信息發送給隧道終點設備；其中，所述特征信息至少包括：乘客協議源地址；

隧道終點設備根據特征信息分配標簽，將所分配的標簽發送給隧道起始點設備，并將特征信息和所分配的標簽對應保存到標簽列表中；

隧道起始點設備將所分配的標簽添加到隧道封裝后的數據流報文的外層報文頭后，將數據流報文送入隧道；

隧道終點設備從隧道接收到數據流報文時，從數據流報文獲取特征信息以及標簽，并通過查找標簽列表確定該數據流報文是否合法。

2.如權利要求1所述的方法，其特征在于，所述隧道起始點設備將需要通過隧道發送的數據流的特征信息發送給隧道終點設備包括：

當隧道起始點設備就是需要通過隧道發送的數據流的源頭設備時，隧道起始點設備向隧道終點設備發送一個內容為空的隧道報文，并將數據流的特征信息攜帶在所述隧道報文的頭部；

或者，當隧道起始點設備是需要通過隧道發送的數據流的中轉設備時，隧道起始點將每條數據流的第一個報文進行隧道封裝后發送給隧道終點設備；隧道終點設備從所接收的報文中獲取特征信息。

3.如權利要求1所述的方法，其特征在于，隧道終點設備將所分配的標簽發送給隧道起始點設備包括：

隧道終點設備向隧道起始點設備發送因特網控制信息協議出錯ICMPERROR報文；其中ICMP?ERROR報文的消息體字段中攜帶有所分配的標簽，且ICMP?ERROR報文的類型字段中的值為200。

4.如權利要求1所述的方法，其特征在于，當隧道為通用路由封裝GRE隧道或IPv6隧道時，

所述隧道起始點設備將所分配的標簽添加在隧道封裝后的數據流報文?的外層報文頭的指定字段包括：隧道起始點設備將所分配的標簽添加到隧道封裝后的數據流報文的IPv6報文頭的流標簽Flow?Label字段中；

隧道終點設備從隧道接收到數據流報文時，從數據流報文獲取標簽包括：隧道終點設備從隧道接收到數據流報文時，從數據流報文的IPv6頭的Flow?Lable字段中獲取標簽。

5.如權利要求1所述的方法，其特征在于，所述從數據流報文獲取特征信息以及標簽，并通過查找標簽列表確定該數據流報文是否合法包括：

同時根據特征信息和標簽查找標簽列表，如果標簽列表中存在與特征信息和標簽匹配的條目，則確定該數據流報文合法，否則，確定該數據流報文不合法。

6.一種隧道起始點設備，其特征在于，該隧道起始點設備包括：標簽獲取模塊和隧道報文發送模塊，其中，

標簽獲取模塊，用于將需要通過隧道發送的數據流的特征信息發送給隧道終點設備，其中，所述特征信息至少包括：乘客協議源地址；用于接收隧道終點設備返回的標簽，并將標簽發送給隧道報文發送模塊；其中，所述返回的標簽是隧道終點設備是根據所接收的特征信息分配的，且隧道終點設備將接收的特征信息和所分配的標簽對應保存到標簽列表中；

隧道報文發送模塊，用于將所接收的標簽添加到隧道封裝后的數據流報文的外層報文頭后，將數據流報文送入隧道，從而使得隧道終點設備從隧道接收到數據流報文時，從數據流報文獲取特征信息以及標簽，并通過查找標簽列表確定該數據流報文是否合法。

7.如權利要求6所述的隧道起始點設備，其特征在于，

所述標簽獲取模塊，當所述隧道起始點設備是需要通過隧道發送的數據流的源頭設備時，用于向隧道終點設備發送一個內容為空的隧道報文，并將數據流的特征信息攜帶在所述隧道報文的頭部；或者，當所述隧道起始點設備是需要通過隧道發送的數據流的中轉設備時，用于將每條數據流的第一個報文進行隧道封裝后發送給隧道終點設備；隧道終點設備從所接收的報文中獲取特征信息。

8.如權利要求6所述的隧道起始點設備，其特征在于，

所述隧道報文發送模塊，用于將所接收的標簽添加到隧道封裝后的數據流報文的IPv6報文頭的流標簽Flow?Label字段中。