[發明專利]報文轉發方法和裝置

有效

• 申請號: 201911413740.7
• 申請日: 2019-12-31
• 公開（公告）號: CN111147382B
• 公開（公告）日: 2021-09-21
• 發明（設計）人: 張瑞冬
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L12/741
• 分類號: H04L12/741;H04L29/06;H04L12/46;H04L29/12
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 王茹

1.一種報文轉發方法，應用于防火墻設備中，所述防火墻設備分別與其他至少一個防火墻設備之間建立互聯網協議安全IPSec虛擬專用網絡VPN連接，所述防火墻設備工作在二層透明模式，其特征在于，所述方法包括：

確定來自連接的終端發送的報文匹配上預設IPSec策略后，在互聯網協議IP-媒體訪問控制MAC映射節點集合中添加與所述報文對應的第一IP-MAC映射節點，并根據MAC轉發表轉發所述報文；以及，

通過所述IPSec VPN連接接收IPSec報文后，在所述IP-MAC映射節點集合中查找所述IPSec報文的內層報文對應的第二IP-MAC映射節點；

若查找到所述第二IP-MAC映射節點，則根據所述第二IP-MAC映射節點重新設置所述內層報文的源MAC地址和目的MAC地址；

根據所述MAC轉發表轉發重新設置后的所述內層報文。

2.根據權利要求1所述的方法，其特征在于，在IP-MAC映射節點集合中添加與所述報文對應的第一IP-MAC映射節點，具體包括：

獲取所述報文攜帶的第一源IP地址、第一目的IP地址、第一源MAC地址和第一目的MAC地址；

將所述第一源IP地址和所述第一目的IP地址進行哈希運算，得到第一哈希值；

生成包括所述第一哈希值、所述第一源IP地址、所述第一目的IP地址、所述第一源MAC地址、所述第一目的MAC地址和當前生成時刻的第一IP-MAC映射節點；

將所述第一IP-MAC映射節點添加到IP-MAC映射節點集合中。

3.根據權利要求2所述的方法，其特征在于，所述方法還包括：

確定生成時刻與當前時刻之間的時長超過老化時長的第三IP-MAC映射節點；

從所述IP-MAC映射節點集合中刪除所述第三IP-MAC映射節點。

4.根據權利要求2所述的方法，其特征在于，在所述IP-MAC映射節點集合中查找所述IPSec報文的內層報文對應的第二IP-MAC映射節點，具體包括：

解密所述IPSec報文，得到所述IPSec報文的內層報文；

獲取所述內層報文攜帶的第二源IP地址和第二目的IP地址；

將所述第二源IP地址和所述第二目的IP地址進行哈希運算，得到第二哈希值；

在所述IP-MAC映射節點集合中查找所述第二哈希值、所述第二源IP地址和所述第二目的IP地址對應的最新的IP-MAC映射節點，得到所述內層報文對應的第二IP-MAC映射節點。

5.根據權利要求4所述的方法，其特征在于，根據所述第二IP-MAC映射節點重新設置所述內層報文的源MAC地址和目的MAC地址，具體包括：

獲取所述第二IP-MAC映射節點包括的第二源MAC地址和第二目的MAC地址；

將所述第二源MAC地址和所述第二目的MAC地址重新設置為所述內層報文的目的IP地址和源MAC地址。

6.根據權利要求1-5任一所述的方法，其特征在于，所述方法還包括：

若未查找到所述第二IP-MAC映射節點，則以三層方式轉發所述內層報文。

7.一種報文轉發裝置，應用于防火墻設備分別與其他至少一個防火墻設備之間建立IPSec VPN連接，所述防火墻設備工作在二層透明模式，其特征在于，所述裝置包括：

處理模塊，用于確定來自連接的終端發送的報文匹配上預設IPSec策略后，在IP-MAC映射節點集合中添加與所述報文對應的第一IP-MAC映射節點，并根據MAC轉發表轉發所述報文；

查找模塊，用于通過所述IPSec VPN連接接收IPSec報文后，在所述IP-MAC映射節點集合中查找所述IPSec報文的內層報文對應的第二IP-MAC 映射節點；

設置模塊，用于若查找到所述第二IP-MAC映射節點，則根據所述第二IP-MAC映射節點重新設置所述內層報文的源MAC地址和目的MAC地址；

轉發模塊，用于根據所述MAC轉發表轉發重新設置后的所述內層報文。