[发明专利]基于IPv4/IPv6协议翻译的IPSec穿越互连方法

权利要求书

1.基于IPv4/IPv6协议翻译的IPSec穿越互连的方法，包括IKESA协商和IPSec SA协商操作，具体包括以下步骤：

将以普通的UDP-IKE形式发送IKE消息；

在IKE SA协商过程中，IPSec双方交换VID载荷来检测彼此的NAT-PT穿越能力；

在IKE SA协商过程中，IPSec双方交换TD载荷来检测传输沿途NAT-PT设备的存在性，当沿途存在NAT或NAT-PT设备时，后继协商信令采用UDP-non-ESP-IKE封装格式；

在IPSec SA协商过程中，交换IRA载荷以确认发端所使用的IP协议和确切地址，收端依照IRA载荷对其传输层CRC进行纠正。

2.根据权利要求1所述的IPSec穿越互连的方法，其中，IKESA协商和IPSec SA协商操作之后，还包括网关与网关之间的协作地址映射的步骤，具体为：

客户端向网关ga发送DNSv6请求，以解析服务器的域名；

网关ga将DNSv6请求转换成IKE负载形式后发送给网关gb；

网关gb将DNSv6请求翻译成DNSv4请求，并中继给DNSv4服务器；

网关gb收到DNSv4服务器的应答，将DNS应答以IKE载荷形式返回给网关ga；

网关ga收到IKE载荷，从中获悉客户端和服务器的本地地址；

网关ga在客户端所处的IPv6域中为服务器分配替代地址AAb，将替代地址AAb以IKE载荷形式告知网关gb；

网关gb在IPv4域中为客户端分配替代地址AAa，将替代地址以IKE负载形式通告给网关ga。

3.根据权利要求2所述的IPSec穿越互连的方法，其中，网关与网关之间的协作地址映射之后的操作，还包括隧道报文协议翻译的步骤，具体为：

处于IPv6域中的客户端向处于IPv4域中的服务器发起连接请求；

客户端发送的报文将在网关ga处被封装成UDP-ESP传输格式，并转发给网关gb；

网关gb抛弃外层IPv4与UDP首部，并对ESP进行解封从而获得IPv6隧道报文；

网关gb依据协作地址映射关系，将IPv6隧道报文翻译成为IPv4形式，并转发至网关gb背后的IPv4域中。

4.根据权利要求2或3所述的IPSec穿越互连的方法，其中，将DNS应答以IKE载荷形式返回给网关ga、以及将替代地址以IKE负载形式通告给网关ga的操作，还包括以下步骤：将DNS应答与替代地址合并成为一条IKE消息。

5.根据权利要求1所述的IPSec穿越互连的方法，其中，IKESA协商和IPSec SA协商操作之后，还包括主机与网关之间的协作地址映射的步骤，具体为：

主机将DNSv6请求转换成IKE负载形式后发送给网关gb；

网关gb将DNSv6请求翻译成DNSv4请求，并中继给DNSv4服务器；

网关gb收到DNSv4服务器的应答，将DNS应答以IKE载荷形式返回给主机；

主机收到IKE载荷，从中获悉客户端和服务器的本地地址；

主机在所处的IPv6域中为服务器分配替代地址AAb，将替代地址AAb以IKE载荷的形式告知网关gb；

网关gb在IPv4域中为主机分配替代地址AAa，将替代地址以IKE负载形式通告给主机。

6.根据权利要求5所述的IPSec穿越互连的方法，其中，将DNS应答以IKE载荷形式返回给主机、以及将替代地址以IKE负载形式通告给主机的操作，还包括以下步骤：将DNS应答与替代地址合并成为一条IKE消息。

7.根据权利要求1所述的IPSec穿越互连的方法，其中，IPSec双方交换TD载荷来检测传输沿途NAT-PT设备的存在性的操作，包括以下步骤：当TD中的Proto字段不匹配时，则至少有奇数个NAT-PT设备位于IPSec双方的传输路径之上。

8.根据权利要求1所述的IPSec穿越互连的方法，其中，IPSec双方交换TD载荷来检测传输沿途NAT-PT设备的存在性的操作，还包括以下步骤：当双方所发送的TD载荷是完全相同的，则通信途中没有NAT-PT或NAT转换设备存在，直接建立IPSec互连。

9.根据权利要求1所述的IPSec穿越互连的方法，其中，IPSec双方交换TD载荷来检测传输沿途NAT-PT设备的存在性的操作，还包括以下步骤：当TD中的Proto字段匹配，且HASH_La不等于HASH_Ab或HASH_Lb不等于HASH_Aa时，则通信途中存在着NAT或者存在偶数个NAT-PT，将采用标准的NAT-T机制建立IPSec互连。