[發明專利]IPSec隔離網卡設備及安全通信方法

有效

• 申請號: 202010745884.9
• 申請日: 2020-07-29
• 公開（公告）號: CN111800436B
• 公開（公告）日: 2022-04-08
• 發明（設計）人: 何駿;李鵬展;陳曉;余軍;武元杰;王凱霖;徐諾
• 申請（專利權）人: 鄭州信大捷安信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/08
• 代理公司: 北京鑫浩聯德專利代理事務所(普通合伙) 11380
• 代理人: 李荷香

1.一種IPSec隔離網卡設備，用于實現內網主機與外網主機之間的隔離交互，所述IPSec隔離網卡設備包括第一物理接口、第二物理接口、設置在第一物理接口和第二物理接口之間的數據加解密模塊以及與數據加解密模塊相連接的存儲模塊；其特征在于，

所述第一物理接口，通信連接于所述內網主機和所述數據加解密模塊之間，用于提供所述內網主機與IPSec隔離網卡設備之間的數據交互通信接口；

所述第二物理接口，通信連接于所述外網主機和所述數據加解密模塊之間，用于提供所述外網主機與IPSec隔離網卡設備之間的數據交互通信接口；

所述數據加解密模塊通過所述第一物理接口或所述第二物理接口接收業務數據包，并基于業務數據包中的五元組字段匹配規則表，來確定是否需要對業務數據包進行加解密處理；然后根據命中的密通規則內的索引字段索引確定SA策略，并基于所述SA策略對業務數據包進行IPSec封裝或解封裝操作；

所述存儲模塊，電性連接在所述數據加解密模塊上，用于存儲規則表、SA策略表、路由表以及ARP表，以供所述數據加解密模塊進行調用。

2.根據權利要求1所述的IPSec隔離網卡設備，其特征在于，所述規則表包括明通規則和密通規則，在所述數據加解密模塊確定是否需要對業務數據包進行加解密處理過程中，所述數據加解密模塊對業務數據包的五元組關鍵字進行解析，并基于解析結果在存儲規則表中匹配相應的規則類別，如果命中明通規則，則所述數據加解密模塊直接透傳所述業務數據包，如果命中密通規則，則所述數據加解密模塊需要對業務數據包進行加解密處理；如果同時未命中明通規則和密通規則，則所述數據加解密模塊將所述業務數據包丟棄處理。

3.根據權利要求2所述的IPSec隔離網卡設備，其特征在于，所述存儲模塊還包括路由表和ARP表，如果所述業務數據包命中密通規則，則所述數據加解密模塊根據命中的密通規則內的索引字段在SA策略表中索引確定相應的SA策略，并基于所述SA策略對業務數據包進行IPSec封裝或解封裝操作，然后對IPSec封裝或解封裝后的數據內容進行加解密處理，待加解密完成后，調用路由表進行路由查找，并確定目的IP地址；調用ARP表，并基于目的IP地址查找對應的MAC地址；基于目的IP地址和對應的MAC地址進行以太網協議封裝，并將封裝后的以太網包發送給外網主機。

4.根據權利要求1所述的IPSec隔離網卡設備，其特征在于，所述IPSec隔離網卡設備還包括主控模塊和安全芯片，所述主控模塊電性連接于所述數據加解密模塊和安全芯片之間，主控模塊調用安全芯片與對端IPSec VPN設備進行密鑰協商以形成共享密鑰，并約定規則表和SA策略表，將共享密鑰置于SA策略表中，并將所述規則表和所述SA策略表存放在所述存儲模塊中。

5.根據權利要求1所述的IPSec隔離網卡設備，其特征在于，所述數據加解密模塊包括算法池，所述算法池中包括多個SM3算法單元和多個SM4算法單元，多個SM3算法單元分別用于完整性校驗，多個SM4算法單元分別用于加解密運算。

6.一種基于IPSec隔離網卡設備的安全通信方法，其特征在于，所述方法包括：

步驟1)，數據加解密模塊通過第一物理接口接收內網主機發送的業務數據包；

步驟2)，所述數據加解密模塊對業務數據包的五元組關鍵字進行解析，并基于解析結果在規則表中匹配相應的規則類別，如果命中密通規則；

步驟3)，所述數據加解密模塊根據命中的密通規則內的索引字段在SA策略表中索引確定相應的SA策略；

步驟4)，所述數據加解密模塊基于所述SA策略對業務數據包進行IPSec封裝操作；

步驟5)，由所述數據加解密模塊對IPSec封裝后的數據報文進行加密處理，以得到數據密文；

步驟6)，所述數據加解密模塊將所述數據密文通過第二物理接口發送給外網主機。