[發明專利]一種報文處理的方法及裝置

在審

• 申請號: 201910817287.X
• 申請日: 2019-08-30
• 公開（公告）號: CN110519282A
• 公開（公告）日: 2019-11-29
• 發明（設計）人: 單忠
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 11413 北京柏杉松知識產權代理事務所(普通合伙)
• 代理人: 李欣;高鶯然<國際申請>=<國際公布>=

本申請提供一種報文處理的方法及裝置，涉及通信技術領域。本申請的方案包括：接收終端發送的第一報文，對第一報文進行IPsec封裝，得到包括第一報文數據內容的第一IPsec報文。對第一IPsec報文進行UDP封裝，得到第一UDP報文，第一UDP報文包括第一IP頭、終端IP地址、終端端口號和第一IPsec報文；向NAT網關發送第一UDP報文，以使得NAT網關對第一UDP報文的第一IP頭進行NAT轉換，并將NAT轉換后的第二UDP報文傳輸至第二防火墻，第二防火墻用于解封裝第二UDP報文，獲得包括終端IP地址、終端端口號、第一報文數據內容的第二報文，并向服務器發送第二報文。從而服務器能夠根據第一指定字段區分接收到的報文的來源。

技術領域

本申請涉及通信技術領域，特別是涉及一種報文處理的方法及裝置。

背景技術

網絡地址轉換(Network Address Translation，NAT)用于將內部網絡的私有IP地址和私有端口號轉換為公有IP地址和公有端口號，而互聯網安全協議(Internet ProtocolSecurity，IPsec)用于保護報文免受非法修改，因此NAT與IPsec無法結合使用。

為了解決NAT與IPsec無法結合使用的問題，目前可以通過用戶數據報協議(UserDatagram Protocol，UDP)對報文進行封裝，即在對報文進行IPsec封裝后，再進行UDP封裝，UDP封裝后得到的UDP報文中包括IP頭，NAT網關可根據UDP報文中的IP頭進行NAT，不會對IPsec報文進行改動，從而使得NAT網關可以對經IPsec保護的報文進行NAT轉換。

然而，若連接于同一NAT網關的兩個終端通過NAT網關訪問同一服務器，NAT網關會將兩個終端私有IP地址轉換為同一公網IP地址，導致服務器無法區分接收到的報文來自哪一終端。

發明內容

有鑒于此，本申請實施例提供一種報文處理的方法及裝置，以使得服務器可以區分接收到的報文的來源。具體技術方案如下：

第一方面，本申請提供一種報文處理的方法，所述方法應用于第一防火墻，所述方法包括：

接收終端發送的第一報文，其中，所述第一報文的源互聯網協議IP地址為終端IP地址，所述第一報文的源端口號為終端端口號；

對所述第一報文進行互聯網安全協議IPsec封裝，得到包括第一報文數據內容的第一IPsec報文；

對所述第一IPsec報文進行用戶數據報協議UDP封裝，得到第一UDP報文，所述第一UDP報文包括第一IP頭、所述終端IP地址、所述終端端口號和所述第一IPsec報文；

向網絡地址轉換NAT網關發送所述第一UDP報文，以使得所述NAT網關對所述第一UDP報文的第一IP頭進行NAT轉換，并將NAT轉換后的第二UDP報文傳輸至第二防火墻，所述第二UDP報文包括NAT轉換后的第二IP頭、所述終端IP地址、所述終端端口號和所述第一IPsec報文，所述第二防火墻用于解封裝所述第二UDP報文，獲得包括所述終端IP地址、所述終端端口號、第一報文數據內容的第二報文，并向服務器發送所述第二報文。

在一種可能的實現方式中，在接收終端發送的第一報文之前，所述方法還包括：

生成因特網密鑰交換協議IKE報文，并對所述IKE報文進行UDP封裝，得到第三UDP報文，所述第三UDP報文包括第一標志位和所述IKE報文，所述第一標志位用于標識攜帶的報文類型為IKE報文；

向第二防火墻發送所述第三UDP報文，以使得所述第二防火墻根據所述第一標志位向所述第一防火墻發送包括所述第一標志位和IKE回復報文的第四UDP報文。

在一種可能的實現方式中，所述第一UDP報文還包括第二標志位，所述第二標志位用于標識攜帶的報文類型為IPsec報文。