[發明專利]一種雙棧IPSecVPN裝置

有效

• 申請號: 201510307310.2
• 申請日: 2015-07-16
• 公開（公告）號: CN105025004B
• 公開（公告）日: 2018-01-02
• 發明（設計）人: 李冰;郭安;朱衛衛;涂云晶;劉勇;陳帥;董乾;趙霞;王剛
• 申請（專利權）人: 東南大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/46
• 代理公司: 江蘇永衡昭輝律師事務所32250
• 代理人: 王斌

1.一種雙棧IPSec VPN裝置，其特征在于，包括雙棧VPN處理部分、安全數據庫構建和查找部分、安全協議處理部分、數據流傳輸機制部分和CPU部分；

所述雙棧VPN處理部分，用于雙協議棧的處理、VPN頭的處理，包括外出雙棧VPN預處理模塊、外出VPN管理表和進入雙棧VPN預處理模塊；

所述安全數據庫構建和查找部分，用于完成IPv4和IPv6兩種類型的安全策略數據庫維護、匹配查找和一種類型的安全聯盟數據庫維護、匹配查找；其包括外出雙棧安全處理模塊、數據報文緩存模塊、外出安全數據庫操作接口、外出雙棧安全數據庫模塊、進入雙棧安全處理模塊、進入安全數據庫操作接口和進入雙棧安全數據庫模塊；

所述安全協議處理部分，用于完成IPSec AH和ESP協議的封裝和解封裝處理和對數據報文加密、解密、認證算法處理，其包括IPSec協議處理模塊和算法處理模塊；

所述數據流傳輸機制部分，用于控制進入和外出方向數據流以一定的順序流經不同的模塊和網絡通信接口；內網外出外網的報文數據通過外出雙棧安全處理模塊、外出雙棧VPN預處理模塊處理后，分別將安全參數和VPN參數封裝到原始報文的頭部；外網進入內網的報文數據通過進入雙棧VPN預處理后就會將VPN的頭部信息剝掉，這個剝掉VPN信息的報文通過雙棧安全處理模塊處理后，將安全參數封裝到這個報文頭部；

所述CPU部分，包括一個CPU和與其搭配工作的總線架構，用來管理安全數據庫和VPN數據表以及分析OSI模型定義的運輸層及以上的上層協議，并不干預正常的報文流量處理；

其中，CPU、進入安全數據庫操作接口、外出VPN管理表和外出安全數據庫操作接口通過片內總線相互連接，外網通信接口與外出雙棧安全處理模塊之間通過雙端口緩沖器連接，外出雙棧安全處理模塊與外出安全數據庫操作接口和數據報文緩存模塊連接，外出雙棧安全數據庫模塊與外出數據庫操作接口連接，外出雙棧安全處理模塊與外出雙棧VPN預處理模塊之間通過雙端口緩沖器連接，外出雙棧VPN預處理模塊與外出VPN管理表連接，外出雙棧VPN預處理模塊與IPSec協議處理模塊之間通過雙端口緩沖器連接，IPSec協議處理模塊與算法處理模塊之間通過雙端口緩沖器連接，IPSec協議處理模塊與外網通信接口之間通過雙端口緩沖器連接，內網通信接口與進入雙棧VPN預處理模塊之間通過雙端口緩沖器連接，進入雙棧VPN預處理模塊與進入雙棧安全處理模塊之間通過雙端口存儲器連接，進入雙棧安全處理模塊與進入安全數據庫操作接口連接，進入雙棧安全處理模塊與IPSec協議處理模塊之間通過雙端口緩沖器連接，IPSec協議處理模塊與內網通信接口之間通過雙端口緩沖器連接。

2.如權利要求1所述雙棧IPSec VPN裝置，其特征在于，所述外出雙棧安全數據庫模塊包括：用于存儲安全策略條目的外出安全策略數據庫，用于存儲外出安全聯盟條目的外出安全聯盟數據庫，以及對兩種數據庫的讀寫邏輯轉化接口；

所述外出安全策略數據庫包括分別對應于IPv4和IPv6的兩個數據庫：外出IPv4策略數據庫和外出IPv6策略數據庫，外出IPv4策略數據庫用于匹配查詢IPv4類型報文流量的策略，外出IPv6策略數據庫用于匹配查詢IPv6類型報文流量的策略；

所述外出安全聯盟數據庫是一個用來存儲安全聯盟條目信息的存儲單元，其所存放的信息包括傳輸模式選擇字段、采取的協議類型選擇字段、序列號溢出處理選擇字段、加密算法選擇字段、認證算法選擇字段、加密IV是否需要選擇字段、加密算法密鑰長度字段、認證算法密鑰長度字段、PMTU字段、安全參數索引字段和序列號計數器字段。

3.如權利要求1所述雙棧IPSec VPN裝置，其特征在于，所述外出VPN管理表包括IPv4和IPv6兩種類型的VPN表存儲單元以及控制訪問邏輯控制器，所述控制訪問邏輯控制器包括：CPU對VPN管理表表項的查詢、添加、刪除操作的控制邏輯電路，外出雙棧VPN預處理模塊對VPN管理表的查詢操作的控制邏輯電路。