[發明專利]基于SRoU的業務加密方法、系統、設備及存儲介質

有效

• 申請號: 202011624129.1
• 申請日: 2020-12-31
• 公開（公告）號: CN112637237B
• 公開（公告）日: 2022-08-16
• 發明（設計）人: 苗青;張晨;黃韜
• 申請（專利權）人: 網絡通信與安全紫金山實驗室
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L45/50
• 代理公司: 南京睿之博知識產權代理有限公司 32296
• 代理人: 楊曉玲

本發明公開了一種基于SRoU的業務加密方法、系統、設備及存儲介質，方法包括在SDWAN場景中，在本地用戶端和遠端用戶端之間引入基于UDP協議的分段路由，生成端到端的SRoU路徑，并通過映射方式綁定本地用戶端和遠端用戶端的流策略；本地用戶端和遠端用戶端之間通過SRoU路徑傳送SRoU報文，并在SRoU報文頭中增加ES TLV字段實現基于業務的雙向安全加密功能。本發明通過在SDWAN場景中，生成端到端的SRoU路徑，并在SRoU的報文頭中封裝攜帶安全參數索引SPI的ES TLV字段，通過ES TLV字段中用于匹配流策略的安全參數索引SPI實現雙向安全加密功能。

技術領域

本發明涉及互聯網通信安全技術領域，尤其涉及一種基于SRoU的業務加密方法、系統、設備及存儲介質。

背景技術

傳統的IPSec安全方案中，主要包含的協議是：認證頭AH（AuthenticationHeader）和封裝安全載荷ESP（Encapsulating Security Payload）。AH用于保證數據完整性/防止重放攻擊；ESP除了保證數據完整性/防止重放攻擊，還提供數據加密。

SRH最新的標準RFC8754中，認為SR是可信域，沒有細節討論安全場景。但是預留了在SRH中擴展實用AH（Authentication Header）實現安全加密。但IPSec把加密作為公網IPSec隧道的屬性，無法實現細粒度的基于業務的加密。

發明內容

技術目的：針對現有技術中無法實現細粒度的基于業務加密的缺陷，本發明公開了一種基于SRoU的業務加密方法、系統、設備及存儲介質，通過在SDWAN場景下，引入SRoU為不同業務生成端到端的SR路徑，并在SRoU的報文頭中增加ES TLV字段，實現基于業務的雙向安全加密功能。

技術方案：為實現上述技術目的，本發明采用以下技術方案。

一種基于SRoU的業務加密方法，包括：

S1、在SDWAN場景中，在本地用戶端和遠端用戶端之間引入基于UDP協議的分段路由，即SRoU，通過引入SRoU生成端到端的SRoU路徑，并通過映射方式綁定本地用戶端和遠端用戶端的流策略；

S2、本地用戶端和遠端用戶端之間通過SRoU路徑傳送SRoU報文，并在SRoU報文頭中增加ES TLV字段實現基于業務的雙向安全加密功能，ES TLV字段作為安全加密參數；所述ES TLV字段中攜帶安全參數索引SPI，所述安全參數索引SPI用于匹配流策略，支持后期擴展。

優選地，所述在步驟S1中，生成端到端的SRoU路徑的具體過程為：

S11、獲取本地用戶端、遠端用戶端和本地用戶端和遠端用戶端之間所有中轉站的基本信息，根據本地用戶端和遠端用戶端的基本信息建立流策略數據庫；

S12、基于UDP協議和業務需求選取本地用戶端和遠端用戶端之間的若干個中轉站，依據本地用戶端、若干中轉站和遠端用戶端順序生成端到端的SRoU路徑；

S13、根據步驟S11中本地用戶端和遠端用戶端各自的流策略數據庫，通過將兩個流策略數據庫中相同的流策略建立映射關系，實現本地用戶端和遠端用戶端之間流策略的綁定。

優選地，每個流策略只有唯一一個用于匹配的安全參數索引SPI，所述步驟S13中本地用戶端和遠端用戶端之間流策略的綁定，即本地用戶端和遠端用戶端之間安全參數索引SPI的綁定。

優選地，所述步驟S2中，本地用戶端和遠端用戶端之間通過SRoU路徑傳送SRoU報文的具體過程為：

S21、本地用戶端接收用戶側業務流量，根據業務流量需求確定本地流策略，并根據本地流策略配置的安全屬性加密SRoU報文；