[發明專利]IKE遠程接入的處理系統及方法

無效

• 申請號: 201210178476.5
• 申請日: 2012-05-31
• 公開（公告）號: CN102694808A
• 公開（公告）日: 2012-09-26
• 發明（設計）人: 陳海濱
• 申請（專利權）人: 漢柏科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

1.一種IKE遠程接入的處理系統，其特征在于，所述系統包括：主防火墻和至少一個備防火墻，內網的服務器和外網的用戶之間通過所述主防火墻連接，當主防火墻接收到當前IKE協商報文時，判斷所述主防火墻的協商總數是否已經達到最大值，若是，則將所述當前IKE協商報文發送至所述至少一個備防火墻進行協商，否則所述主防火墻對所述當前協商報文進行協商。

2.如權利要求1所述的系統，其特征在于，所述至少一個備防火墻采用鏈式連接、且第一端的備防火墻與所述主防火墻連接。

3.一種基于權利要求1~2中任一項所述的系統的IKE遠程接入的處理方法，其特征在于，所述方法包括以下步驟：

S1：外網的用戶向內網的服務器發送當前IKE協商報文時，主防火墻接收到所述當前IKE協商報文，并判斷所述主防火墻的協商總數是否已經達到最大值，若是，則執行步驟S2，否則執行步驟S3；

S2：將所述當前IKE協商報文發送至所述至少一個備防火墻進行協商，并執行步驟S4；

S3：所述主防火墻對所述當前IKE協商報文進行協商，并執行步驟S4；

S4：結束所述方法。

4.如權利要求3所述的方法，其特征在于，步驟S2進一步包括以下步驟：

將所述當前IKE協商報文從第一端的備防火墻向第二端的備防火墻依次進行判斷，直至尋找到協商總數未達到最大值的備防火墻，由尋找到的備防火墻對所述當前IKE協商報文進行協商，若所有的備防火墻的協商總數均已經達到最大值，則直接丟棄所述當前IKE協商報文。

5.如權利要求3所述的方法，其特征在于，所述主防火墻或備防火墻對所述當前IKE協商報文進行協商后，生成相應的sa三元組和解密密鑰，并將生成的sa三元組和解密密鑰與所述主防火墻或備防火墻之間的對應關系作為記錄存儲至相應的解密庫中；

步驟S4之前還包括以下步驟：

S301：所述外網的用戶向所述內網的服務器發送當前數據報文，所述主防火墻接收到所述當前數據報文，并對所述當前數據報文進行解析；

S302：根據所述當前數據報文內的sa三元組查找所述主防火墻上的解密庫，若有相匹配的記錄，則執行步驟S303，否則執行步驟S304；

S303：所述主防火墻將所述當前數據報文通過查找到的記錄中的解密密鑰進行解密，并根據所述當前數據報文中的IP五元組將解密后的當前數據報文發送至所述內網的服務器，然后執行步驟S4；

S304：將所述當前數據報文的sa三元組從第一端的備防火墻向第二端的備防火墻依次進行匹配，直至尋找到具有記錄的解密庫所在的備防火墻，由尋找到的備防火墻將所述當前數據報文通過查找到的記錄中的解密密鑰進行解密，并根據數據報文中的IP五元組將解密后的當前數據報文發送至所述內網的服務器，若所有的備防火墻的快速轉發表均未查找到相匹配的記錄，則直接丟棄所述當前數據報文。

6.如權利要求5所述的方法，其特征在于，所述主防火墻或備防火墻對所述當前IKE協商報文進行協商后，還生成相應的訪問控制列表、加密密鑰和加密規則，并將所述加密規則和加密密鑰保存至相應的加密庫中，所述訪問控制列表中包括IP五元組與所述加密規則和加密密鑰的對應關系；

步驟S303和S304與步驟S4之間還包括以下步驟：

S305：所述內網的服務器向所述外網的用戶發送回應報文，所述主防火墻接收到所述回應報文，并對所述回應報文進行解析；

S306：根據所述回應報文內的IP五元組查找所述主防火墻上的訪問控制列表，若有相匹配的對應關系，則執行步驟S307，否則執行步驟S308；

S307：所述主防火墻根據所述相匹配的對應關系中的加密規則和加密密鑰將所述回應報文進行加密，并將加密后的回應報文發送至所述外網的用戶，執行步驟S4；

S308：將所述回應報文的IP五元組從第一端的備防火墻向第二端的備防火墻依次進行匹配，直至尋找到具有記錄的訪問控制列表所在的備防火墻，由尋找到的備防火墻根據所述相匹配的對應關系中的加密規則和加密密鑰將所述回應報文進行加密，并將加密后的回應報文發送至所述外網的用戶，若所有的備防火墻的快速轉發表均未查找到相匹配的記錄，則直接丟棄所述回應報文。

7.如權利要求5或6所述的方法，其特征在于，所述sa三元組包括：安全參數索引SPI、目的IP地址及安全協議。