[发明专利]分布式报文传输安全保护装置和方法

说明书

技术领域

本发明涉及网络安全技术，特别涉及基于IP安全(IP Security，IPSec)的一种分布式报文传输安全保护装置和方法。

背景技术

IPSec是一种三层隧道加密协议，用于为两个端点之间传输的报文提供高质量的、可互操作的、基于密码学的安全保护。

其中，进行报文传输的两个端点称为IPSec对等体，IPSec对等体之间的连接可以称为IPSec隧道。

具体来说，IPSec对等体之间传输报文的安全保护是基于安全联盟(Security Association，SA)来实现的。SA为IPSec对等体间对某些要素的约定，例如，IPSec对等体间使用哪种安全协议、协议的封装模式、加密算法、特定流中受保护报文的共享密钥以及密钥的生存周期等。SA是单向的，如果在两个IPSec对等体之间通过一个IPSec隧道实现双向报文传输，则需要在IPSec对等体的每个端点上均建立两个相互关联的SA，一个入方向SA用于对入方向的报文加密，一个出方向SA用于对出方向的报文解密。其中，入方向是指进入IPSec隧道的方向，而出方向是指从IPSec隧道输出的方向。

实际应用中，SA的建立可以通过两种协商方式实现，一种是手工配置方式，一种是互联网密钥交换协议(Internet Key Exchange，IKE)。

图1为现有IPSec隧道组网模型示意图。如图1所示，以IPSec对等体为两个网关R1和R2为例，R1和R2分别作为IPSec隧道的起点和终点，R1和R2之间通过手工配置或IKE协商建立SA。主机A将需要发送给主机B的入方向报文发送给R1；R1作为发送方，先利用入方向SA的SA信息对来自主机A的入方向报文进行加密等入方向IPSec处理，再将处理后的报文通过IPSec隧道传输给R2；R2作为接收方，从IPSec隧道接收到加密后的报文后，利用出方向SA的SA信息对该报文进行解密、完整性验证等出方向IPSec处理，同时，还可以进行发送方是否合法、防重放等出方向IPSec处理，并将处理后的出方向报文发送给主机B。这样，R1和R2即作为报文传输安全保护装置，实现了对报文传输的安全保护。

现有报文传输安全保护装置通常包括多个接口单元，IPSec处理是由接口单元所在的处理板来完成的，其中，接口单元所在的处理板通常称为接口板，接口板设置有能够实现IPSec处理的功能单元。不同的接口单元对应不同的IPSec隧道，通过不同IPSec隧道传输的报文则分别在不同的接口板上进行IPSec处理，即实现分布式安全保护。

图2为现有IPSec隧道组网模型中分布式报文传输安全保护装置的结构示意图。如图2所示，以如图1所示的IPSec隧道组网模型为例，作为分布式报文传输安全保护装置的网关R1至少包括：主控板1、接口板A和接口板B。接口板A和接口板B上分别设置了两个接口单元A1和A2、B1和B2，主控板1与接口板A和接口板B通过交换网连接；作为分布式报文传输安全保护装置的网关R2至少包括：主控板2、接口板C和接口板D。接口板C和接口板D上分别设置了两个接口单元C1和C2、D1和D2，主控板2与接口板C和接口板D通过交换网连接。

以下举例说明网关R1和R2的内部工作原理：

对于入方向，假设网关R1的接口板A上的接口单元A1接收到一个入方向报文，则接口板A查找转发表；如果判断出该入方向报文需要从接口板B的接口单元B1发送，则接口板A将该入方向报文转发给接口板B。

此时，如果网关R1上尚未建立SA，则接口板B丢弃来自接口板A的入方向报文，并请求主控板创建SA；主控板在发起IKE协商建立SA后，将对应的入方向SA的SA信息发送给接口板B，以供接口板B下一次接收到入方向报文后能够进行入方向IPSec处理。如果网关R1上已建立了SA，则接口板B利用其存储的入方向SA的SA信息对来自接口板A的入方向报文进行加密等入方向IPSec处理，并通过接口单元B1发送到该接口单元对应的IPSec隧道。

对于出方向，假设网关R2的接口板D上的接口单元D1接收到来自IPSec隧道的出方向报文，即网关R1通过接口单元B1和该接口单元对应的IPSec隧道发送的报文，如果网关R2上尚未建立SA，则接口板D丢弃该报文，并请求主控板2创建SA，主控板2在发起IKE协商建立SA后，将对应的出方向SA的SA信息发送给接口板D；如果网关R2上已建立了SA，则接口板D利用其存储的出方向SA的SA信息对来自IPSec隧道的报文进行解密等出方向IPSec处理。