[發(fā)明專利]一種對經(jīng)過NAT穿越的IPSEC報文進(jìn)行AH認(rèn)證的方法及裝置

在審

• 申請?zhí)枺?/td>: 201410143380.4
• 申請日: 2014-04-10
• 公開（公告）號: CN104980405A
• 公開（公告）日: 2015-10-14
• 發(fā)明（設(shè)計）人: 高健
• 申請（專利權(quán)）人: 中興通訊股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京元本知識產(chǎn)權(quán)代理事務(wù)所 11308
• 代理人: 秦力軍

1.一種對經(jīng)過NAT穿越的IPSEC報文進(jìn)行AH認(rèn)證的方法，其特征在于，包括：

接收端接收來自發(fā)送端的IKE第二階段協(xié)商報文；

從所述IKE第二階段協(xié)商報文的載荷中提取原始IP地址和端口號作為第一IP地址和端口號、從所述IKE第二階段協(xié)商報文的報文頭中提取IP地址和端口號作為第二IP地址和端口號；

根據(jù)所述第一IP地址和端口號、第二IP地址和端口號，建立NAT轉(zhuǎn)換表；

利用所述NAT轉(zhuǎn)換表，對收到的IPSEC報文進(jìn)行AH認(rèn)證。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述的接收端接收來自發(fā)送端的IKE協(xié)商報文的步驟之前，還包括：接收端對發(fā)送端NAT穿越能力的檢測步驟，以及對接收端和發(fā)送端之間的NAT設(shè)備的檢測步驟。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述的對發(fā)送端NAT穿越能力的檢測步驟包括：

接收端接收來自發(fā)送端的IKE第一階段協(xié)商報文，若所述IKE第一階段協(xié)商報文中具有用來標(biāo)識NAT穿越能力的VID載荷，則接收端確定發(fā)送端具有NAT穿越能力。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述的對接收端和發(fā)送端之間的NAT設(shè)備的檢測步驟包括：

接收端接收來自發(fā)送端的IKE第一階段協(xié)商報文；

從所述IKE第一階段報文的載荷中提取IP地址和端口號的Hash值作為第一Hash值；

從所述IKE第一階段報文的報文頭中提取IP地址和端口號，并計算所提取的IP地址和端口號的Hash值作為第二Hash值；

比較所述第一Hash值和第二Hash值；

若所述第一Hash值和第二Hash值不一致，則確定接收端與發(fā)送端之間存在NAT設(shè)備。

5.根據(jù)權(quán)利要求1-4任意一項所述的方法，其特征在于，所述的根據(jù)所述第一IP地址和端口號、第二IP地址和端口號，建立NAT轉(zhuǎn)換表的步驟包括：

接收端比較所述第一IP地址和端口號、第二IP地址和端口號；

若所述第一IP地址和端口號、第二IP地址和端口號不一致，則建立用來轉(zhuǎn)換所述第一IP地址和端口號、第二IP地址和端口號的NAT轉(zhuǎn)換表。

6.根據(jù)權(quán)利要求1-4任意一項所述的方法，其特征在于，所述的利用所述NAT轉(zhuǎn)換表，對收到的IPSEC報文進(jìn)行AH認(rèn)證的步驟包括：

接收端收到來自發(fā)送端的IPSEC報文，從所述IPSEC報文的報文頭中提取IP地址和端口號；

在所述NAT轉(zhuǎn)換表中查找與所提取的IP地址和端口號相對應(yīng)的第一IP地址和端口號；

若找到與所提取的IP地址和端口號相對應(yīng)的第一IP地址和端口號，則利用所述第一IP地址和端口號替換所述IPSEC報文的報文頭中的IP地址和端口號，并重新計算校驗和，以供AH認(rèn)證。

7.一種對經(jīng)過NAT穿越的IPSEC報文進(jìn)行AH認(rèn)證的裝置，其特征在于，包括：

接收模塊，用于接收來自發(fā)送端的IKE第二階段協(xié)商報文；

提取模塊，用于從所述IKE第二階段協(xié)商報文的載荷中提取原始IP地址和端口號作為第一IP地址和端口號、從所述IKE第二階段協(xié)商報文的報文頭中提取IP地址和端口號作為第二IP地址和端口號；

轉(zhuǎn)換表建立模塊，用于根據(jù)所述第一IP地址和端口號、第二IP地址和端口號，建立NAT轉(zhuǎn)換表；

認(rèn)證模塊，用于利用所述NAT轉(zhuǎn)換表，對收到的IPSEC報文進(jìn)行AH認(rèn)證。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，還包括：

檢測模塊，用于檢測發(fā)送端的NAT穿越能力，以及檢測接收端與發(fā)送端之間的NAT設(shè)備。

9.根據(jù)權(quán)利要求7或8所述的裝置，其特征在于，所述的轉(zhuǎn)換表建立模塊包括：

比較子模塊，用于比較所述第一IP地址和端口號、第二IP地址和端口號；

建立子模塊，用于當(dāng)所述第一IP地址和端口號、第二IP地址和端口號不一致時，建立用來轉(zhuǎn)換所述第一IP地址和端口號、第二IP地址和端口號的NAT轉(zhuǎn)換表。

10.根據(jù)權(quán)利要求7或8所述的裝置，其特征在于，所述的認(rèn)證模塊包括：

提取子模塊，用于從收到的IPSEC報文的報文頭中提取IP地址和端口號；

查詢子模塊，用于在所述NAT轉(zhuǎn)換表中查找與所提取的IP地址和端口號相對應(yīng)的第一IP地址和端口號；

認(rèn)證子模塊，用于當(dāng)找到與所提取的IP地址和端口號相對應(yīng)的第一IP地址和端口號時，利用所述第一IP地址和端口號替換所述IPSEC報文的報文頭中的IP地址和端口號，并重新計算校驗和，以供AH認(rèn)證。