[發明專利]報文轉發方法、裝置、電子設備及機器可讀存儲介質

有效

• 申請號: 201910271520.9
• 申請日: 2019-04-04
• 公開（公告）號: CN110086702B
• 公開（公告）日: 2021-09-21
• 發明（設計）人: 黃春平
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L12/46
• 分類號: H04L12/46;H04L12/911;H04L29/12
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

本申請提供一種報文轉發方法、裝置、電子設備及機器可讀存儲介質。在本申請中，接收所述對端設備的目標請求報文；對所述目標請求報文執行IPSec解封裝，并保存所述目標報文對應的內層會話，其中，所述內層會話至少包括所述目標請求報文的出接口；基于所述內層會話，將所述目標請求報文對應的目標回應報文轉發所述對端設備。通過獲取及保存目標請求報文對應的內層會話信息，并基于所述內層會話信息，將所述目標請求報文對應的目標回應報文，基于所述目標請求報文的出接口轉發至位于NAT后的對端設備，從而保證了多鏈路IPSec VPN組網下，目標請求報文以及對應目標回應報文穿越NAT時對應IPSec鏈路的一致性。

技術領域

本申請涉及通信技術領域，尤其涉及報文轉發方法、裝置、電子設備及機器可讀存儲介質。

背景技術

由于經濟和社會的快速發展，企業信息化程度的提高，一個常見的需求就是各地分公司或辦事處同企業總部的需要跨越互聯網進行信息交互以及傳遞，而VPN(VirtualPrivate Network，虛擬專用網絡)就是應對上述需求的一種遠程訪問技術。VPN按應用模式劃分，可以包括多種類型，其中，隧道協議IPSec(Internet Protocol Security，互聯網安全協議)作為上述隧道協議中的一種，基于IPSec VPN對數據的加密是以數據包為單位的，而不是以整個數據流為單位，這不僅靈活而且有助于進一步提高IP數據包的安全性，可以有效防范網絡攻擊。

以IPSec作為VPN隧道協議的VPN為互聯網上傳輸的數據提供了高質量的、可互操作的、基于密碼學的安全保證。基于IPSec VPN的多個通信方之間在IP層通過加密與數據源認證等方式，提供了數據機密性、數據完整性、數據來源認證等安全服務。

發明內容

本申請提供一種報文轉發方法，所述方法應用于IPSec VPN組網中的IPSec對等體，所述IPSec VPN組網在運行時，所述IPSec對等體可被配置為本端設備或對端設備，其中，所述IPSec VPN組網包括一個本端設備和至少兩個對端設備，所述對端設備基于NAT與所述本端設備相連通信，當所述IPSec對等體為本端設備時，所述方法包括：

接收所述對端設備的目標請求報文；

對所述目標請求報文執行IPSec解封裝，并保存所述目標報文對應的內層會話，其中，所述內層會話至少包括所述目標請求報文的出接口；

基于所述內層會話，將所述目標請求報文對應的目標回應報文轉發所述對端設備。

可選的，所述內層會話還包括所述目標請求報文對應的IPSec隧道，所述基于所述內層會話，將所述目標請求報文對應的目標回應報文轉發所述對端設備，包括：

對所述目標回應報文執行IPSec封裝；

將封裝后的目標回應報文經由所述IPSec隧道對應的出接口，轉發至NAT內的所述對端設備。

可選的，所述本端設備與所述對端設備之間若存在多鏈路，當所述IPSec對等體為對端設備時，包括：

基于所述對端設備與所述多鏈路對應的不同出接口帶寬，動態配置所述目標請求報文對應所述不同出接口的發送權重；

基于所述不同出接口的發送權重，將所述目標請求報文經所述多鏈路對應的不同出接口，發送至所述本端設備。

本申請還提供一種報文轉發裝置，所述裝置應用于IPSec VPN組網中的IPSec對等體，所述IPSec VPN組網在運行時，所述IPSec對等體可被配置為本端設備或對端設備，其中，所述IPSec VPN組網包括一個本端設備和至少兩個對端設備，所述對端設備基于NAT與所述本端設備相連通信，當所述IPSec對等體為本端設備時，所述裝置包括：

接收模塊，接收所述對端設備的目標請求報文；