[發明專利]虛擬專用網絡中安全隱患的解決方法

有效

• 申請號: 201210351966.0
• 申請日: 2012-09-20
• 公開（公告）號: CN102833271A
• 公開（公告）日: 2012-12-19
• 發明（設計）人: 古天龍;何仲春;常亮;徐周波;徐彬彬
• 申請（專利權）人: 桂林電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/46
• 代理公司: 桂林市持衡專利商標事務所有限公司 45107
• 代理人: 歐陽波

1.虛擬專用網絡中安全隱患的解決方法，在公用網絡上建立虛擬專用網絡的兩個局域網絡，漫游用戶身處的局域網中具有防火墻服務器，另一局域網具有VPN服務器，其特征在于包括如下步驟：

步驟A防火墻服務器檢查虛擬專用網絡隧道內數據包的加密部分的包頭信息的密文是否處于防火墻的與該數據包明文包頭信息包含的目的IP地址對應的黑、白名單中；

步驟B若數據包的加密部分的包頭信息的密文不存在于已有的黑白名單中，則防火墻服務器根據該數據包明文包頭信息包含的目的IP地址查詢防火墻，得出符合條件的防火墻決策圖的分支；

步驟C??防火墻服務器將查詢的結果轉化成有序二叉決策圖，保存有序二叉決策圖以及與其對應的查詢條件，即步驟B中所使用的數據包明文包頭信息包含的目的IP地址；

步驟D??防火墻服務器加密并混淆步驟C得到的有序二叉決策圖各節點后發送給VPN服務器；

步驟E?VPN服務器解密步驟D加密混淆的有序二叉決策圖，得到終結點信息，將得到的信息異或隧道內數據包的加密部分的包頭信息的密文，發送至防火墻服務器；

步驟F??防火墻服務器執行防火墻策略，并將步驟A中的數據包的加密部分的包頭信息的密文添加到與該數據包明文包頭信息包含的目的IP地址對應的黑、白名單內。

2.根據權利要求1所述的虛擬專用網絡中安全隱患的解決方法，其特征在于：

所述步驟A，包括如下步驟：

步驟A1防火墻服務器捕獲隧道內的數據包，分離數據包明文包頭信息，提取其中包含的目的IP地址；

步驟A2防火墻服務器提取數據包加密部分的包頭信息的密文并保存，并與該數據包明文包頭信息中目的IP地址對應的防火墻黑、白名單中檢索比較，若該數據包加密部分的包頭信息的密文存在于黑、白名單內則執行防火墻策略；若該數據包加密部分的包頭信息的密文未見于黑、白名單，繼續步驟B；

執行防火墻策略為：若數據包加密部分的包頭信息的密文存在于黑名單中則丟棄該數據包；若數據包的加密部分的包頭信息的密文存在于白名單中則按數據包明文包頭信息包含的目的IP地址轉發該數據包。

3.根據權利要求2所述的虛擬專用網絡中安全隱患的解決方法，其特征在于：

所述步驟B，包括如下步驟：

步驟B1防火墻服務器根據步驟A1提取的數據包明文包頭信息中的目的IP地址進行檢索，并保存該查詢條件；若步驟A1提取的數據包明文包頭信息中的目的IP地址存在，說明防火墻服務器已檢索過該查詢條件，跳至步驟D，直接使用與該目的IP地址對應的有序二叉決策圖；若未檢索到步驟A1提取的數據包明文包頭信息中的目的IP地址，繼續步驟B2；

步驟B2防火墻服務器檢查防火墻服務器更新日志判斷防火墻規則庫有否更新，若防火墻規則庫未更新則直接跳至步驟B4；若防火墻規則庫已更新，則繼續步驟B3；

步驟B3防火墻服務器將防火墻規則庫轉化成防火墻決策圖，并更新保存的防火墻決策圖FDD；

步驟B4防火墻服務器對其保存的防火墻決策圖FDD按步驟A1提取的數據包中的明文包頭信息中包含的目的IP地址查詢，得到分支終結點決策相同且分支中的目的IP地址域內含有數據包明文包頭信息中的目的IP地址的分支；

步驟B5防火墻服務器將步驟B4得到的防火墻決策圖分支去除目的IP地址域之后保存。

4.根據權利要求3所述的虛擬專用網絡中安全隱患的解決方法，其特征在于：

所述步驟C，包括如下步驟：

步驟C1防火墻服務器將步驟B5保存的各個防火墻決策圖分支中的各個域名下的數域轉換成有序二叉決策圖；

步驟C2防火墻服務器將步驟B5保存的所有防火墻決策圖分支用一個有序二叉決策圖表示；

步驟C3防火墻服務器保存步驟C2所得到的有序二叉決策圖及其對應的查詢條件。