[发明专利]一种支持移动终端进行IPSec VPN报文传输方法及装置

权利要求书

1.一种支持移动终端进行IPSec VPN报文传输方法，其特征在于包括：

步骤1：内置网关的移动终端发起IKE密钥协商请求，加密网关接收移动终端协商请求后，进行数据密钥协商，对前三个协商包明文进行判断处理，将通过验证的移动终端IP增加进入SA数据结构中，协商完成后生成IP报文加密密钥以及对应的序列号，移动终端与加密网关建立加密隧道；

步骤2：当移动终端发送加密IP报文给加密网关时，加密网关收到加密IP报文，对加密IP报文合法性以及完整性进行检测；当检测通过时，则加密网关进行IP加密报文解密，更新SA数据结构中的移动终端IP地址，然后加密网关将解密后的IP报文发送至内网口；

步骤3：当加密网关需要发送加密IP报文给某一移动终端时，先查找当前移动终端所对应的SA数据结构是否存在，如果SA数据结构不存在，直接丢弃此报文，如果SA数据结构存在，加密网关根据SA数据结构中密钥对IP报文进行加密，再根据SA数据结构中的当前终端IP地址字段，将加密后的报文发送出去，进行加密数据传输；

所述步骤3还包括当终端IP地址变化时，能够及时将加密报文发向新的IP地址，具体实现过程是：当加密网关接收到来自移动终端的加密报文后，根据加密报文的序列号对IP报文进行解密和验证，验证通过后将IP报文发往内网口，并把当前报文的IP地址记录在对应的SA数据结构中；SA数据结构中始终保留了最新的终端IP地址，加密网关能够及时将加密报文发向新的终端IP地址。

2.根据权利要求1所述的一种支持移动终端进行IPSec VPN报文传输方法，其特征在于所述步骤1具体过程是：

步骤11：移动终端发起IKE密钥协商过程，加密网关在收到移动终端发送的第一个协商包后；直接检查第一个协商包终端加密参数是否合法；

步骤12：如果加密参数合法，则将移动终端的IP地址与Cookie记录写入SA数据结构；同时加密网关向移动终端回复第二个协商包；

步骤13：当加密网关收到移动终端发往加密网关的第三个协商包时，加密网关检测这个协商包中的终端证书是否合法；若移动终端证书合法，则进入后续协商过程，完成IKE密钥协商，IKE密钥协商完成后生成IP报文加密密钥以及IP报文对应的序列号；否则丢弃第三个协商包，并将此包对应的Cookie一并删除。

3.根据权利要求1所述的一种支持移动终端进行IPSec VPN报文传输方法，其特征在于所述步骤2具体包括：

步骤21：当移动终端发送加密IP报文给加密网关时，加密网关收到加密IP报文，判断加密IP报文是否为ESP包；若是ESP包，则根据加密IP报文的序列号，查对应SA数据结构中的协商密钥与加密网关协商密钥是否一致，则执行步骤22；否则，按照非ESP包处理；

步骤22：若一致，则根据SA数据结构进行加密IP报文的合法性以及完整性检测，并执行步骤23；否则，丢弃该报文；

步骤23：对加密IP报文合法性以及完整性进行检测，若检测通过，则进行加密IP报文解密，将发送此加密IP报文的移动终端IP地址，更新到SA数据结构中的当前终端IP地址字段，更新SA数据结构中的移动终端IP地址，然后将解密后的IP报文发送至内网口；否则，丢弃该加密IP报文。

4.根据权利要求1所述的一种支持移动终端进行IPSec VPN报文传输方法，其特征在于所述步骤3中具体实现过程是：

步骤31：当加密网关需要发送的IP报文给某一移动终端时，移动终端中的内置网关进行SPD查询；若该IP报文是需要经过加密时，则进行步骤32；否则，丢弃该IP报文；

步骤32：所述加密网关检查该加密IP报文的SA数据结构是否存在，若存在，则执行步骤33；否则，丢弃该IP报文；

步骤33：对该IP报文进行加密，然后根据SA数据结构中该移动终端地址，为该IP报文添加新IP头，然后将加密后的IP报文发向外网口。