[發明專利]一種基于VXLAN技術的電力信息內網報文加密發布方法

有效

• 申請號: 201710559431.5
• 申請日: 2017-07-11
• 公開（公告）號: CN107294711B
• 公開（公告）日: 2021-03-30
• 發明（設計）人: 葛維春;王順江;紀翔;高凱;壽增;梅迪;許睿超;潘鵬飛;狄躍斌;蔡健;劉嘉明;李正文;李鐵;葛延峰;唐宏丹
• 申請（專利權）人: 國網遼寧省電力有限公司;國網遼寧省電力有限公司電力科學研究院;國家電網公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/28;H04L12/46;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于VXLAN技術的電力信息內網報文加密發布方法，其特征在于：該方法可用于電力系統信息內網報文加密發布，具體步驟包括：VXLAN路由器將接收到的服務器廣播、組播、IP報文進行VXLAN封裝，通過縱向加密設備建立的隧道進行報文加密遠方傳輸，再通過對端網關VXLAN路由器對數據報文進行VXLAN解封裝，VXLAN解封裝后的數據報文進行二層網絡轉發，在本地的二層組播組表中查找到與組播數據報文的目的IP地址和目的MAC地址匹配的二層組播組表項，最后在工作站上接收到廣播、組播和IP報文；

底層物理網絡邊緣設備路由器需支持Overlay技術特性，通過隧道的方式在底層物理網絡上形成Overlay網絡；通過VXLAN網絡的網絡標示的不同可以把不同的業務封裝在不同的VXLAN層面中，每一個VXLAN層面的業務在一個大二層中；VXLAN之間的互通在設備上部署策略實現，從而保證各個VXLAN網絡的互通與隔離；VXLAN大二層平面形成后相應業務實現大二層互通；

所述的縱向加密設備具備三級密鑰管理：主密鑰、設備公私鑰和工作密鑰，通過本地和遠方的縱向加密互換雙方的密鑰，以RSA或SM2算法加密傳送實時產生的工作密鑰，生成密鑰同步的雙方首先相互驗證身份，當密鑰匹配后，隧道建立成功，再配置需求的IP包過濾策略，實現報文的密文通信；

縱向加密配置參數有源端IP地址、端口號、目的端IP地址、端口號以及傳輸報文的方向和類型，建立隧道的參數有兩臺縱密的證書文件和縱密IP地址；根據配置的私網VTEP地址的對應關系，選擇合適的IP地址作為縱向加密裝置地址，為兩臺縱向加密建立獨立隧道；

具體實現步驟包括：

S1. 自動化服務器發出廣播、組播、IP報文包，經過VXLAN路由器對全部信息體報文進行封裝，規劃一個VXLAN報文的IP地址；

S2. 兩臺縱向加密裝置的eth1口經過通信長距離光纖相連，兩臺縱向加密裝置的eth0口分別與服務器端和工作站端路由器相連接；

S3. 使用初始化賬戶登錄縱向加密裝置，導出設備的證書請求文件；

S4. 對縱向加密設備導入證書系統的根證書；

S5. 通過調度數字證書系統對兩臺縱向加密裝置簽發設備證書和操作員證書；

S6. 使用操作員鑰匙和設置的操作員密碼登錄縱向加密裝置；

S7.縱向加密通過網絡方式管理，在服務器端 VLAN域中配置eth1口與對應相連的目的端VLAN域配置的eth1口同網段的IP地址；

S8.將兩臺縱向加密裝置的VLAN eth1口地址作為本裝置的設備協商地址；

S9.在服務器端縱向加密導入目的端縱向加密的設備證書；

S10.在目的端縱向加密導入服務器端縱向加密的設備證書；

S11.兩臺縱向加密設備向對端建立傳輸隧道，隧道原IP地址設為服務器端縱向加密eth1口IP地址，隧道目的IP地址設為目的端縱向加密eth1口IP地址；

S12.建立隧道的通訊模式選為加密模式；

S13.然后在已建立的隧道上添加策略，選擇源IP業務起始地址和結束地址均為服務器側路由器規劃好的VXLAN報文IP地址，目的IP業務起始地址和結束地址均為目的側路由器規劃好的VXLAN報文IP地址，使得滿足配置的“最小化”原則；

S14.配置允許通過的協議為TCP協議，服務器側源端口范圍為1024-65535，目的側端口范圍也為1024-65535；

S15.為滿足自動化人員調試遠方工作站方便，需再冗余配置一條策略作為調試使用，源IP地址和目的IP地址與上條策略一致，服務器側源端口范圍為1024-65535，目的側端口為23，表示僅允許來自服務器側設備對遠方工作站的SSH登錄訪問功能開放；

S16.縱向加密裝置功能生效的過程首先由一臺縱向加密裝置向對端的縱向加密裝置IP地址發出協商請求，請求文件中包括對稱加密密鑰信息；

S17.對端縱向加密裝置接收到協商請求，核實請求文件中設備證書與本端證書是否一致，若一致，則發送協商確認報文，表示已商定雙方通信加密密鑰，該密鑰會在使用一段時間后自動重新協商改變；

S18.協商的會話密鑰為DES對稱算法，縱向加密設備證書為SM2算法；

S19.經過兩臺縱向加密裝置隧道的加密和解密過程，在目的端路由處接收到帶有VXLAN封裝的IP報文，再進行解封裝，得到原始的廣播、組播和IP報文；

S20.目的端遠程工作站即可接收到服務器端的所有類型報文數據；

所述VTEP在所有VXLAN隧道上通過IS-IS協議將本地存在的VXLAN的ID通告給遠端VTEP，遠端VTEP將其與本地的VXLAN進行比較，如果存在相同的VXLAN，則將該VXLAN與接收該信息的VXLAN隧道關聯;

從所述VXLAN識別報文所屬VXLAN，VTEP將連接本地站點的三層接口或與VSI關聯，VTEP從三層接口接收到數據幀后，查找與其關聯的VSI，VSI內創建的VXLAN即為該數據幀所屬的VXLAN;

從所述VXLAN隧道上接收VXLAN報文，VTEP根據報文中攜帶的VXLAN的VNI判斷該報文所屬的VXLAN;

從所述VTEP對本地服務器的MAC地址學習，VTEP接收到服務器發送的數據幀后，判斷該數據幀所屬的VSI，并將數據幀中的源MAC地址添加到該VSI的MAC地址表中，該MAC地址對應的接口為接收到數據幀的接口;

所述VTEP對遠端站點內虛擬機MAC地址的學習，遠端MAC地址的學習方式有如下幾種：手工指定遠端MAC地址所屬的VSI，及其對應的VXLAN隧道接口；通過報文中的源MAC地址動態學習：VTEP從VXLAN隧道上接收到遠端VTEP發送的VXLAN報文后，根據VXLANID判斷報文所屬的VXLAN，對報文進行解封裝，還原二層數據幀，并將數據幀中的源MAC地址添加到所屬VXLAN對應VSI的MAC地址表中，該MAC地址對應的接口為VXLAN隧道接口;

所述VTEP從VXLAN隧道上接收到遠端VTEP發送的VXLAN報文后，根據VXLAN的VNI判斷報文所屬的VXLAN，對報文進行解封裝，還原二層數據幀，并將數據幀中的源MAC地址添加到所屬VXLAN對應VSI的MAC地址表中，該MAC地址對應的接口為VXLAN隧道接口。