[發(fā)明專利]一種基于國密算法的VxLAN安全網(wǎng)關(guān)及二層安全網(wǎng)絡(luò)組建方法

在審

• 申請?zhí)枺?/td>: 202010521722.7
• 申請日: 2020-06-10
• 公開（公告）號: CN111698245A
• 公開（公告）日: 2020-09-22
• 發(fā)明（設(shè)計(jì)）人: 歐睿;陳位僅
• 申請（專利權(quán)）人: 成都國泰網(wǎng)信科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/14;H04L12/46;H04L12/66
• 代理公司: 成都九鼎天元知識產(chǎn)權(quán)代理有限公司 51214
• 代理人: 管高峰

1.一種基于國密算法的VxLAN安全網(wǎng)關(guān)，其特征在于，包括VxLAN模塊及IPSec模塊，VxLAN模塊與內(nèi)網(wǎng)連接，IPsec模塊與外部互聯(lián)網(wǎng)連接；

所述VxLAN模塊，用于將內(nèi)網(wǎng)的二層網(wǎng)絡(luò)通信數(shù)據(jù)幀封裝成vxlan報(bào)文或?qū)PSec模塊解密得到的vxlan報(bào)文進(jìn)行解封裝并將解封裝后的二層網(wǎng)絡(luò)數(shù)據(jù)幀轉(zhuǎn)發(fā)至內(nèi)網(wǎng)；

所述IPsec模塊包括加解密模塊、密鑰協(xié)商模塊；所述密鑰協(xié)商模塊基于ISAKMP協(xié)議進(jìn)行密鑰協(xié)商并根據(jù)策略建立兩個(gè)VxLAN安全網(wǎng)關(guān)之間的通信隧道，所述加密模塊基于國密算法實(shí)現(xiàn)對VxLAN數(shù)據(jù)包的加/解密。

2.據(jù)權(quán)利要求1所述的基于國密算法的VxLAN安全網(wǎng)關(guān)，其特征在于，所述密鑰協(xié)商模塊具體工作包括隧道建立、安全報(bào)文封裝、報(bào)文發(fā)送。

3.據(jù)權(quán)利要求2所述的基于國密算法的VxLAN安全網(wǎng)關(guān)，其特征在于，所述國密算法為SM1、SM2、SM3、SM4。

4.據(jù)權(quán)利要求1所述的基于國密算法的VxLAN安全網(wǎng)關(guān)，其特征在于，所述策略包括隧道策略與安全策略，所述隧道策略包括安全服務(wù)的隧道終端信息；所述安全策略為兩個(gè)通信實(shí)體經(jīng)協(xié)商建立起來的協(xié)定，包括執(zhí)行各種網(wǎng)絡(luò)安全服務(wù)所需要的所有信息。

5.據(jù)權(quán)利要求4所述的基于國密算法的VxLAN安全網(wǎng)關(guān)，其特征在于，所述VxLAN安全網(wǎng)關(guān)接收到外部數(shù)據(jù)報(bào)文后，進(jìn)行如下處理：

S11、判斷報(bào)文是否為到VxLAN安全網(wǎng)關(guān)自身的報(bào)文，如果目的地址不是VxLAN安全網(wǎng)關(guān)自身則丟棄，否則進(jìn)入S12；

S12、檢測報(bào)文類型，若報(bào)文類型為ESP報(bào)文，進(jìn)行解密并進(jìn)入S13；若報(bào)文類型為ISAKMP報(bào)文，轉(zhuǎn)發(fā)報(bào)文至密鑰協(xié)商模塊，進(jìn)入S14；若為其他報(bào)文，丟棄，進(jìn)入S14；

S13、檢測解密后的原始報(bào)文類型；若原始報(bào)文類型為vxlan報(bào)文，解封裝vxlan報(bào)文，并轉(zhuǎn)發(fā)至內(nèi)網(wǎng)；若為其他報(bào)文，進(jìn)行系統(tǒng)路由；

S14、入站流程結(jié)束。

6.據(jù)權(quán)利要求5所述的基于國密算法的VxLAN安全網(wǎng)關(guān)，其特征在于，VxLAN安全網(wǎng)關(guān)接收到內(nèi)部用戶業(yè)務(wù)數(shù)據(jù)包或自身有數(shù)據(jù)報(bào)文待發(fā)送時(shí)，需要對報(bào)文進(jìn)行如下處理：

S21、如無法通過防火墻過濾則丟棄；

S22、進(jìn)行安全策略匹配，如未匹配到安全策略，則丟棄報(bào)文；

S23、查找會話密鑰用來加密，如果找不到會話密鑰，則丟棄該報(bào)文并觸發(fā)密鑰協(xié)商，出站流程結(jié)束。否則進(jìn)入下一步；

S24、對報(bào)文進(jìn)行加密并發(fā)送；

S25、流程結(jié)束。

7.一種應(yīng)用權(quán)利要求1-6任一項(xiàng)的基于國密算法的VxLAN安全網(wǎng)關(guān)的二層安全網(wǎng)絡(luò)組建方法，其特征在于，總部及在不同兩地的分支機(jī)構(gòu)網(wǎng)絡(luò)邊緣分別設(shè)置VxLAN安全網(wǎng)關(guān)，三地VxLAN安全網(wǎng)關(guān)與互聯(lián)網(wǎng)連接，總部與分支機(jī)構(gòu)之間形成VxLAN二層隧道及安全隧道，完成跨三層網(wǎng)絡(luò)的大二層局域網(wǎng)組建。

8.根據(jù)權(quán)利要求7所述的二層安全網(wǎng)絡(luò)組建方法，其特征在于，所述VxLAN二層隧道承載單播、組播及廣播通信。

9.根據(jù)權(quán)利要求7所述的二層安全網(wǎng)絡(luò)組建方法，其特征在于，所述安全隧道承載單播通信。