[发明专利]一种AH报文的转发方法及系统

说明书

技术领域

本发明属于计算机网络通信技术领导域，具体涉及一种AH报文的转发方法及系统。

背景技术

因特网协议安全性(Internet Protocol Security,IPSEC)是基于Internet工程任务组的一种开放标准的安全框架，通过数据包筛选及受信任通讯的实施来防御网络攻击。IPSEC数据报文分为AH(Authentication Header)报文和ESP(Encapsulating Security Payload)报文。其中，AH报文仅对报文进行认证和封装，不进行加密，在转发的过程中可以看到AH报文的内层IP头。

当前，多核网络设备通常采用快速转发表的方式来转发报文，以减少报文转发路径的查找时间和业务匹配的转换时间。在AH报文的转发过程中，首先，需要通过AH报文中的安全参数索引SPI、安全协议类型和IP目的地址，查找到IPSEC安全联盟(IPSEC Security Association,IPSEC SA),通过IPSEC SA对AH报文进行解封装；其次，根据解封装后的AH报文查找相应的快速转发表进行二次匹配，实现对AH报文的处理和转发。

现有技术中，AH报文的转发过程需要经过查找IPSEC SA并对AH报文解封装，以及查找快速转发表进行二次匹配并转发两个步骤，因而不能有效的缩短报文处理和转发的整体时间。

发明内容

本发明的目的是提供一种AH报文的转发方法和系统，通过对查找IPSECSA并解封装AH报文和查找快速转发表并转发AH报文两个步骤的整合，有效的缩短报文处理和转发的整体时间。

根据本发明的一个方面，提供一种AH报文的转发方法，包括：接收当前AH报文；查找与所述当前AH报文相对应的快速转发表是否存在；若存在，则根据所查找到的快速转发表对所述当前AH报文进行相应的处理和转发，其中，所述查找到的快速转发表为根据之前的AH报文所创建的快速转发表；若不存在，则根据所述当前AH报文创建快速转发表，并对所述当前AH报文进行相应的处理和转发。

其中，所述AH报文至少包括第二层IP头；

所述查找与所述当前AH报文相对应的快速转发表是否存在的步骤进一步包括：当所述当前AH报文的第二层IP头的IP五元组与之前的AH报文的第二层IP头的IP五元组相同时，则根据之前的AH报文所创建的快速转发表为与当前AH报文相对应的快速转发表；

所述根据所查找到的快速转发表对当前AH报文进行相应的处理和转发的步骤进一步包括：对所述当前AH报文进行与之前的AH报文相同的处理和转发。

其中，所述AH报文还包括第一层IP头和AH协议头；

所述根据当前AH报文创建快速转发表，并对所述当前AH报文进行相应的处理和转发的步骤进一步包括：根据当前AH报文的AH协议头的IP三元组查找IPSEC安全联盟SA，将所述IPSEC SA记录到所述根据当前AH报文所创建的快速转发表中；

通过所述IPSEC SA对所述当前AH报文进行解封装并丢弃所述当前AH报文的第一层IP头和AH协议头；以及根据所述当前AH报文的第二层IP头的IP五元组及对应的根据当前AH报文所创建的快速转发表中的规则对所述当前AH报文进行转发。

其中，所述根据当前AH报文创建快速转发表，并对所述当前AH报文进行相应的处理和转发的步骤还包括：根据所述AH报文的第二层IP头的IP五元组查找网络地址转换NAT功能配置，根据所述NAT功能配置对所述AH报文进行NAT转换，并将所述NAT转换记录在所述根据AH报文所创建的快速转发表中。

其中，所述根据当前AH报文创建快速转发表，并对所述当前AH报文进行相应的处理和转发的步骤还包括：根据所述AH报文的第二层IP头的IP五元组查找验证、授权和记账AAA功能配置，并根据所述AAA功能配置对所述AH报文进行AAA认证，并将所述AAA认证记录在所述根据AH报文所创建的快速转发表中。

根据本发明的另一方，提供了一种AH报文的转发系统，所述系统包括：报文接收单元，用于接收当前AH报文；快转表查找单元，用于查找与所述当前AH报文相对应的快速转发表是否存在，若存在，则将所述当前AH报文发送至报文处理单元，若不存在，则将所述当前AH报文发送至快转表创建单元；报文处理单元，用于根据所查找到的快速转发表对所述当前AH报文进行相应的处理和转发，其中，所述查找到的快速转发表为根据之前的AH报文所创建的快速转发表；快转表创建单元，用于根据当前AH报文创建快速转发表，并对所述当前AH报文进行相应的处理和转发。