[發明專利]一種IPsec VPN客戶端報文處理方法及裝置

有效

• 申請號: 201810185764.0
• 申請日: 2018-03-07
• 公開（公告）號: CN108494744B
• 公開（公告）日: 2021-08-24
• 發明（設計）人: 孔偉政
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

本申請提供一種IPsec VPN客戶端報文處理方法，其特征在于，配置第一進程、第二進程：第一進程指定代理參數后啟動第二進程，告知第二進程，通過所指定的代理參數代理轉發第二進程的控制報文；第一進程啟動第二進程成功后，第一進程通過第一內部端口定時向第二進程發送控制通道代理消息；第二進程接收控制通道代理消息，將本地創建的與本地IP相關的Socket與第一內部端口建立映射，并且啟動與服務器的協商，在與服務器協商成功后，將協商所產生的安全聯盟數據通過第二內部端口同步給第一進程；第一進程獲取第二進程同步的安全聯盟數據，在接收到服務器發送的數據報文的情況下，根據所述安全聯盟數據對接收的數據報文進行處理。

技術領域

本申請涉及通信技術領域，尤其涉及一種IPsec VPN客戶端報文處理方法及裝置。

背景技術

IPsec VPN是一種采用IPsec協議來實現遠程接入的VPN技術，通常通過IKE協議實現用戶身份認證以及IPsec VPN隧道的建立。IKE協議通常由獨立的進程運行，而用戶業務則由其它進程負責處理，為方便表述，運行IKE協議的進程稱之為IKE Server進程，負責處理用戶業務的進程稱之為VPN Client進程。現有的IPsec VPN客戶端收發報文的處理流程大致如下：IKE Server進程接收VPN服務器所發出的數據報文，將數據報文解密后通過內部端口(如4502)轉發給VPN Client進程；VPN Client進程將通過內部端口接收的解密數據報文轉發給虛擬網卡，VPN Client進程接收虛擬網卡返回的響應報文，將所述響應報文通過內部端口(如4501)轉發給IKE Server進程；IKE Server進程將所述響應報文封裝后發送給VPN服務器。由于現有技術方案中控制通道的控制報文和數據通道的數據報文共用同一個UDP通道，即數據報文需要先由IKE Server進程接收再轉發給VPN Client進程，VPN Client進程的響應報文需由IKE Server進程轉發給服務器，使得數據報文需要在IKE Server進程和VPN Client進程之間來回傳輸，造成了用戶數據報文處理緩慢的問題。

發明內容

有鑒于此，本申請提供一種IPsec VPN客戶端報文處理方法及裝置。

具體地，本申請是通過如下技術方案實現的：

一種IPsec VPN客戶端報文處理方法，配置第一進程、第二進程：

第一進程指定代理參數后啟動第二進程，告知所述第二進程，通過所指定的代理參數代理轉發第二進程的控制報文；

第一進程啟動第二進程成功后，第一進程通過第一內部端口定時向第二進程發送控制通道代理消息；

所述第二進程接收控制通道代理消息，將本地創建的與本地IP相關的Socket與第一內部端口建立映射，并且啟動與服務器的協商，在與所述服務器協商成功后，將協商所產生的安全聯盟數據通過第二內部端口同步給第一進程，所述映射用于將與服務器協商所產生的控制報文發給第一進程；

第一進程獲取所述第二進程同步的安全聯盟數據，在接收到服務器發送的數據報文的情況下，根據所述安全聯盟數據對接收的數據報文進行處理。

一種IPsec VPN客戶端報文處理裝置，所述裝置包括：

配置單元，用于配置第一進程、第二進程，所述第一進程用于收發用戶數據報文以及控制報文，所述第二進程用于運行IKE協議：

告知單元，用于第一進程指定代理參數后啟動第二進程，告知所述第二進程，通過所指定的代理參數代理轉發第二進程的控制報文；

消息發送單元，用于第一進程啟動第二進程成功后，第一進程通過第一內部端口定時向第二進程發送控制通道代理消息；