[发明专利]一种面向网络层的安全通信链路建立方法

权利要求书

1.一种面向网络层的安全通信链路建立方法，其特征是，包括如下步骤：

步骤1，请求方向被请求方发送连接请求数据报；

所述连接请求数据报包括：发送连接请求数据报设备的IP地址、IP数据、MAC地址、MAC数据和设备序列号；在被请求方必须存储与请求方相应的设备信息，作为连接的白名单，防止不合法的设备进行连接；

步骤2，被请求方对请求方发送来的连接请求数据报进行验证；

被请求方从连接请求数据报中提取身份验证信息，并进行验证；若与所预置合法的身份验证信息匹配，则进行下一步，否则不执行操作；

所述身份验证信息包括：发送连接请求数据报设备的IP地址、MAC地址和设备序列号；

被请求方收到来自请求方的连接请求数据报时，首先提取该请求数据报中内嵌的IP地址、Mac地址和设备序列号，然后将该IP地址和Mac地址与请求数据报首部中所带的IP地址和Mac地址进行比较；若不一致则丢弃，不进行任何操作，若相同，再从合法设备信息表中查找是否有相应的设备信息，若有，则丢包，并向请求方发送连接请求数据报；同时记录下该设备信息，当再次有相同的设备信息的请求报文发来时，则直接丢弃，不再做任何操作；

步骤3，若验证通过，则被请求方生成重构因子和有效验证数据，并将其填充到数据报的数据部分，然后其作为连接请求数据报向请求方发起连接请求；

重构因子是数据报数据部分中嵌入的特殊格式的字段，包括有效字节字段和每一字节有效位字段；其中每一字节有效位字段占一个字节，其中的每一位分别表示一个字节中哪些位是有效的，即包含验证信息的位；有效字节字段长度取决于IP数据报中除去重构因子字段后的字节数；

被请求方按照生成的数据的长度计算出相应的重构因子字段，进而按照重构因子的规则从后面的数据部分提取验证数据信息，并记录下来，同时也记录下重构因子信息；

步骤4，请求方解析收到的带重构因子的数据报并生成带反重构因子的响应数据报；

请求方接收到带重构因子的连接请求数据报后，提取连接请求数据报中的重构因子，进而提取连接请求数据报中的身份验证信息；请求方生成反重构因子，填充到响应数据报中的数据部分；所述的反重构因子，与步骤3中所述的重构因子类似，都由有效字节字段和每一字节有效位字段构成，反重构因子与对应的重构因子不同，但它们所表示的在数据报数据部分中的有效验证数据是相同的；

所述的反重构因子与重构因子包含所提取连接请求数据报中的身份验证信息；

具体为请求方接收到被请求方发送来的请求连接数据报，首先根据IP数据报的长度计算出相应的重构因子的长度，进而按照重构因子提取出有效的验证数据，此时请求方会生成一个反重构因子，按照反重构因子的规则，将有效验证数据以此放到相应的位上，对于未放有效数据的位，则用随机数来填；

步骤5，被请求方解析收到的带反重构因子的响应数据报并进行验证；

被请求方接收到带反重构因子的响应数据报，提取反重构因子；将反重构因子和重构因子进行比较；若比较结果一致，则直接终止连接建立过程；若比较结果不一致，被请求方根据该反重构因子提取响应数据报中的身份验证信息，并与步骤2中的身份验证信息进行比较；若身份验证信息比较结果不一致，则终止连接建立过程，否则验证通过，执行步骤6；

步骤6，被请求方向请求方发送允许建立连接的应答数据报，实现安全通信链路的建立。