[發明專利]用于SSL VPN的協議棧體系結構及數據處理方法

有效

• 申請號: 201010292474.X
• 申請日: 2010-09-26
• 公開（公告）號: CN101951378A
• 公開（公告）日: 2011-01-19
• 發明（設計）人: 不公告發明人
• 申請（專利權）人: 北京品源亞安科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/46
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

1.一種用于SSL?VPN的協議棧體系結構，其特征在于，所述協議棧體系結構自下而上包括：設備驅動層、數據鏈路層、TCP-IP層和內核應用處理層；其中，

所述設備驅動層用于將網卡捕獲的入棧數據發送給數據鏈路層，或，將接收自數據鏈路層的出棧數據發送到安全套接層虛擬專用網絡SSL?VPN中；

所述數據鏈路層用于將接收自設備驅動層的入棧數據根據端口號和協議類型進行分類，將SSL?VPN需要處理的入棧數據轉發給所述TCP-IP層，并丟棄其他的入棧數據，或將接收自所述TCP-IP層的出棧數據發送給所述設備驅動層；

所述TCP-IP層用于將接收自數據鏈路層的SSL?VPN需要處理的入棧數據剝去IP包頭和TCP包頭，將剝去IP包頭和TCP包頭之后的SSLVPN需要處理的入棧數據轉發給所述內核應用處理層；或，將接收自所述內核應用處理層的出棧數據分段，并為每個出棧數據段封裝TCP包頭和IP包頭，然后將封裝了TCP包頭和IP包頭的出棧數據段轉發給所述數據鏈路層；

所述內核應用處理層用于對接收自所述TCP-IP層的入棧數據進行內核態數據處理進程；或，將處理后需要發送回SSL?VPN的出棧數據發送到所述TCP-IP層，所述內核態數據處理進程為運行在操作系統內核中，成為操作系統的一個組成部分的程序。

2.如權利要求1所述的協議棧體系結構，其特征在于，所述協議棧體系結構進一步包括TCP-IP入棧數據隊列，用于保存入棧數據；

所述數據鏈路層進一步用于將SSL?VPN需要處理的入棧數據放入所述TCP-IP入棧數據隊列中；

所述TCP-IP層中進一步包括入棧數據提取模塊，所述入棧數據提取模塊用于從所述TCP-IP入棧數據隊列中提取待處理的入棧數據，如果隊列中無數據，則不提取；

所述TCP-IP層進一步用于將所述入棧數據提取模塊提取的入棧數據剝去IP包頭和TCP包頭，將剝去IP包頭和TCP包頭的SSLVPN需要處理的入棧數據轉發給所述內核應用處理層。

3.如權利要求1所述的協議棧體系結構，其特征在于，所述協議棧體系結構進一步包括TCP-IP出棧數據隊列，用于保存出棧數據；

所述TCP-IP層進一步用于將封裝了TCP包頭和IP包頭的出棧數據段放入所述TCP-IP出棧數據隊列中；

所述數據鏈路層進一步用于從所述TCP-IP出棧數據隊列中提取出棧數據，并將所述出棧數據發送到所述設備驅動層。

4.如權利要求1所述的協議棧體系結構，其特征在于，所述TCP-IP層包括：入棧數據處理模塊和出棧數據處理模塊；其中，

所述入棧數據處理模塊用于檢查接收自數據鏈路層的所述SSLVPN需要處理的入棧數據的校驗碼，將通過校驗碼檢查的所述SSLVPN需要處理的入棧數據剝去IP包頭和TCP包頭，并查找網絡連接信息表NCIT，查找所述SSL?VPN需要處理的入棧數據對應的網絡數據控制塊NDCP，如果沒有找到，則在NCIT中添加對應的網絡數據控制塊；從對應的NDCP中提取所述SSL?VPN需要處理的入棧數據的相關控制信息，依據所述SSL?VPN需要處理的入棧數據所處網絡連接的狀態和標識查找協議棧處理模塊表，找出所述SSLVPN需要處理的入棧數據當前狀態下對應的協議棧處理模塊；進入協議棧處理模塊后，則對所述SSL?VPN需要處理的入棧數據進行當前狀態下的協議棧處理；協議棧處理完成后則通過調用上層應用處理句柄，所述SSL?VPN需要處理的入棧數據進入所述內核應用處理層；

所述出棧數據處理模塊用于依據最大傳輸數據單元MSS把接收自內核應用處理層的出棧數據分成多段，然后為每段封裝TCP包頭和IP包頭，并將封裝了TCP包頭和IP包頭的出棧數據段發送到所述數據鏈路層。

5.如權利要求1-4中任一項所述的協議棧體系結構，其特征在于，所述TCP-IP層進一步用于鏈路的發起，建立與關閉。