[发明专利]一种报文转发方法及装置

说明书

本发明实施例提供了一种报文转发方法及装置，预先配置的IPSec协议类型为IPv4，IPv6网络设备在转发报文至NAT设备前，可以根据第一IPv6源地址和目的地址，对应生成IPv4源地址和目的地址，并根据IPv4源地址和目的地址，将第一IPv6报文转换为第一IPv4报文，再根据查找到的第一IPSec SA，对第一IPv4报文进行加密，并在加密后的第一IPv4报文的头部封装第一IPv6源地址和目的地址，这样NAT设备在收到封装报文后，直接对报文头部的第一IPv6源地址和目的地址进行NAT转换即可，无需对加密的第一IPv4报文进行解密，可以基于NAT转换后的IPv4源地址和目的地址，将加密的第一IPv4报文转发到对端IPv4网络设备，报文转发的过程中并不会解密到明文，从而提高了报文在转发过程中的安全性。

技术领域

本发明涉及网络技术领域，特别是涉及一种报文转发方法及装置。

背景技术

随着网络规模的飞速扩大，IPv4(Internet Protocol version 4，网际协议版本4)由于地址空间少、安全性低等因素，已经不能够满足网络发展的需求。IPv6(InternetProtocol version 6，网际协议版本6)作为IPv4的升级版本，提供了巨大的地址空间，大大丰富了地址资源。但是，鉴于IPv4属于相当成熟的技术，应用普及广泛，且IPv6技术及相关设备不完备，IPv6网络不可能立刻完全取代IPv4网络，因此，在很长一段时间内，会存在IPv4网络和IPv6网络共存的情况。

NAT(Network Address Translation，网络地址转换)技术能够将源地址或目的地址进行IPv6地址形式与IPv4地址形式之间的转换，使得IPv6网络设备与IPv4网络设备之间能够实现互访。另一方面，为了保证安全性，端对端的报文使用IPSec(Internet ProtocolSecurity，互联网安全协议)进行加密和认证。

为了使得NAT技术与IPSec技术兼容，在IPv6网络设备与IPv4网络设备之间设置有NAT设备，在NAT设备与IPv6网络设备之间建立一条IPSec隧道，在NAT设备与IPv4网络设备之间建立另一条IPSec隧道。IPv6网络设备发送IPv6报文时，需要对报文加密，通过IPv6网络设备与NAT设备之间的IPSec隧道将报文转发给NAT设备，报文在NAT设备解密为明文的IPv6报文，并对报文做NAT转换，转换为IPv4报文，然后再将转换后的IPv4报文加密，通过IPv4网络设备与NAT设备之间的IPSec隧道将报文转发给IPv4网络设备。

由于报文在NAT设备需先解密为明文，再加密后通过NAT设备与IPv4网络设备之间的IPSec隧道转发给IPv4网络设备，因此存在安全隐患。

发明内容

本发明实施例的目的在于提供一种报文转发方法及装置，以提高报文在转发过程中的安全性。具体技术方案如下：

第一方面，本发明实施例提供了一种报文转发方法，应用于IPv6网络设备，所述方法包括：

接收IPv6客户端发送的第一IPv6报文；

判断所述第一IPv6报文携带的属性信息是否匹配互联网安全协议IPSec关联的第一IPv6访问控制列表，并确定预先配置的IPSec协议类型；

若所述第一IPv6报文携带的属性信息匹配所述IPSec关联的第一IPv6访问控制列表，且所述IPSec协议类型为IPv4，则根据所述第一IPv6报文携带的第一IPv6源地址及第一IPv6目的地址，对应生成IPv4源地址及IPv4目的地址；

根据所述IPv4源地址及IPv4目的地址，查找所述IPv4源地址及IPv4目的地址对应的第一网际安全联盟IPSec SA；

若查找到所述第一IPSec SA，则根据所述IPv4源地址及IPv4目的地址，将所述第一IPv6报文转换为第一IPv4报文；