[發明專利]一種攜帶自認證碼的報文處理方法及裝置

有效

• 申請號: 202010788752.4
• 申請日: 2020-08-07
• 公開（公告）號: CN111953486B
• 公開（公告）日: 2022-03-29
• 發明（設計）人: 裴園;劉慶海;劉亞波;龔海東
• 申請（專利權）人: 蘇州盛科科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32
• 代理公司: 蘇州集律知識產權代理事務所(普通合伙) 32269
• 代理人: 安紀平

本發明揭示了一種攜帶自認證碼的報文處理方法及裝置。方法包括配置SAP頭部內報文驗證參數字段；接收報文并對攜帶自認證碼的報文進行解析，獲得報文中源IP地址、SAP頭部；根據SAP頭部內報文驗證參數字段判斷報文來源，若來源于終端，則直接根據報文中源IP地址進行查找，獲得相應密鑰，若來源于網關，則根據報文驗證參數字段生成網關的源IP地址并進行查找，獲得相應密鑰；將報文中可變字段進行掩碼處理，并將掩碼處理后的報文與密鑰進行HMAC運算處理獲得自認證碼；將報文攜帶的自認證碼與計算獲得的自認證碼進行匹配并在匹配時轉發報文。本發明能夠區分攜帶自認證碼的報文來源，進而可準確獲得相應密鑰，提高報文篩選準確率。

技術領域

本發明涉及網絡通信技術領域，尤其是涉及一種攜帶自認證碼的報文處理方法及裝置。

背景技術

在開放的通訊網絡中，報文在傳輸過程中是透明且可能經過任意數量的未知網絡，報文在傳輸過程中容易被篡改，導致不良的后果，因此，報文的完整性檢測機制顯得尤為重要。現有技術中，一般通過驗證報文的IP地址或MAC地址，以對報文進行篩選，確定報文是否合法，如中間檢查節點接收到驗證報文后，通過解析獲得報文的IP地址或者MAC地址，進一步利用IP地址或者MAC地址查找匹配的ACL表項，若查找到，則表明該報文為合法報文，需進行正常轉發，否則，表明該報文為非法報文，需進行丟棄。該報文篩選方式一方面容易造成ACL表項資源的浪費，另一方面在IP地址或MAC地址被篡改后，則無法準確篩選報文。

現有技術中還通過SAP協議進行報文篩選，以確定報文是否合法。具體地，在TCAM中存儲至少一個報文源IP地址及其對應的密鑰，當網絡交換芯片接收到報文時對報文進行解析，獲得當前報文的源IP地址和報文攜帶的自認證碼，報文攜帶的自認證碼通過SAP協議封裝進SAP頭中。網絡交換芯片進一步根據當前報文的源IP地址查找TCAM，獲得當前報文的源IP地址對應的密鑰，并將密鑰和數據報文通過HASH函數得到新的自認證碼，并與報文中攜帶的自認證碼進行匹配，若匹配，則表明報文為合法報文，需進行正常轉發，否則，表明報文為非法報文，需進行丟棄。此種報文篩選方式，能夠為網絡報文提供完整性驗證和數據源地址驗證，在骨干網絡的出入口，對所有通過的報文進行基于報文自認證碼的驗證過濾，使用報文自認證碼機制可有效防御傳統過濾機制不能有效抵抗的威脅，如報文源地址欺騙等等。

但對于從網關發出的帶有自認證碼的報文，用報文源IP地址獲取密鑰的行為不正確，如假設報文從一臺主機上發出，該報文需要經過中間檢查點穿過骨干網到達另一臺主機，而發送報文的主機不支持自認證碼的插入，則需要通過網關做自認證碼的插入操作，而此時計算自認證碼的密鑰需根據網關的源IP地址來獲取密鑰，但報文里的源IP地址是主機的源IP地址，因此獲取密鑰的時候容易出錯，最終導致生成的自驗證碼與報文攜帶的自驗證碼不符，導致報文被丟棄，影響網絡運行。

發明內容

本發明的目的在于克服現有技術的缺陷，提供一種攜帶自認證碼的報文處理方法及裝置，能夠區分報文來源，以準確篩選報文。

為實現上述目的，本發明提出如下技術方案：一種攜帶自認證碼報文的處理方法，方法包括如下步驟：

S100，配置SAP頭部內報文驗證參數字段，所述報文驗證參數字段包括用于標示報文來源的第一比特位和用于標示網關的源IP地址的第二比特位；

S200，接收報文并對攜帶自認證碼的報進行解析，獲得報文中源IP地址和SAP頭部；

S300，判斷所述SAP頭部中報文驗證參數字段內第一比特位的值，若為第一預設值，則直接根據報文中源IP地址進行查找，獲得相應密鑰；若為第二預設值，則根據報文驗證參數字段中第二比特位的值生成網關的源IP地址并進行查找，獲得相應密鑰；

S400，獲取報文攜帶的自認證碼，并將報文中可變字段進行掩碼處理，進一步將掩碼處理后的報文與獲得的密鑰進行HMAC運算處理，獲得自認證碼；