[發明專利]IPSECVPN設備的隔離方法與系統

有效

• 申請號: 201410025959.0
• 申請日: 2014-01-20
• 公開（公告）號: CN103812861B
• 公開（公告）日: 2017-02-08
• 發明（設計）人: 胡朝輝;梁智強;江澤鑫;梁志宏;陳炯聰;黃曙;余南華;林丹生;李闖;石煒君;梁毅成;黃岳峰
• 申請（專利權）人: 廣東電網公司電力科學研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州華進聯合專利商標代理有限公司44224
• 代理人: 王茹,曾旻輝

1.一種IPSEC?VPN設備的隔離方法，其特征在于，包括步驟：

在內端主機與外端主機中維護相同的IP映射表，其中，所述IP映射表為哈希鏈表，所述哈希鏈表定義有IP映射表索引INDEX以及數據包的源地址、目的地址和IP映射ID信息；

對于從內部網絡輸出到外部網絡的明文數據包包括如下步驟：

接收來自內部網絡的明文數據包；

對接收到的明文數據包進行數據加密處理和IPSEC隧道封裝處理，生成密文數據包；

對密文數據包進行以太幀及IP頭部剝離處理，根據剝離的IP頭部，計算IP映射表中索引INDEX，并遍歷所述哈希鏈表，查找是否有對應的源IP地址、目的IP地址，如有對應的數據，則對密文數據包進行私有協議封裝處理，并將私有協議封裝的數據發送到外端主機；

外端主機對接收到的私有協議封裝數據進行解封裝處理，根據解封裝得到的IP映射表索引INDEX，節點ID在IP映射表進行檢索，根據檢索的結果對密文IPSEC數據包進行重組，生成密文IPSEC數據包，發送密文IPSEC數據包到外部網絡；

對于從外部網絡進入到內部網絡的密文數據包包括如下步驟：

接收來自外部網絡的密文數據包；

對密文數據包進行以太幀及IP頭部剝離處理，根據剝離的IP頭部，計算IP映射表中索引INDEX，并遍歷哈希鏈表，查找是否有對應的源IP地址、目的IP地址，如有對應的數據，則對密文數據包進行私有協議封裝處理，并將私有協議封裝的數據發送到內端主機；

內端主機對接收到的私有協議封裝數據進行解封裝處理，根據解封裝得到的IP映射表索引INDEX，節點ID在IP映射表進行檢索，根據檢索的結果對密文IPSEC數據包進行重組，生成新的密文數據包，再對新的密文數據包進行解密處理和IPSEC隧道解封裝處理，生成明文數據包，發送明文數據包到內部網絡。

2.根據權利要求1所述的IPSEC?VPN設備的隔離方法，其特征在于，對于從內部網絡輸出到外部網絡的明文數據包的步驟中，所述對密文數據包進行以太幀及IP頭部剝離處理，根據剝離的IP頭部，計算IP映射表中索引INDEX，并遍歷所述哈希鏈表，查找是否有對應的源IP地址、目的IP地址，如有對應的數據，則對密文數據包進行私有協議封裝處理，并將私有協議封裝的數據包發送到外端主機具體包括步驟：

對密文數據包進行以太幀及IP頭部剝離處理，獲得密文數據包剝離的IP頭部；

根據剝離的IP頭部攜帶的源地址和目的地址，利用HASH算法，計算其IP映射表索引INDEX，并遍歷所述哈希鏈表，如有對應的源IP地址、目的IP地址，則對密文數據包進行私有協議封裝處理，生成私有協議封裝的數據包；

發送所述私有協議的數據包到外端主機。

3.根據權利要求2所述的IPSEC?VPN設備的隔離方法，其特征在于，所述根據剝離的IP頭部攜帶的源地址和目的地址，利用HASH算法，計算其IP映射表索引INDEX，并遍歷所述哈希鏈表，如有對應的源IP地址、目的IP地址，則對密文數據包進行私有協議封裝處理，生成私有協議封裝的數據包具體包括步驟：

根據密文數據包的源地址和目的地址，利用hash算法，計算出IP映射表索引INDEX值，在IP映射表中取出對應的節點鏈表的首節點；

遍歷所述節點鏈表，查找與密文數據包的源地址以及目的地址相匹配的節點項，若查找到，則將對應的節點ID值及映射表索引INDEX值寫入密文數據私有協議數據包中，若未查找到，則丟棄該密文數據包并結束處理；

剝除密文數據包以太幀及IP頭信息，將純載荷內容以及關鍵狀態信息寫入私有協議數據包中。