[发明专利]一种IPSec安全网关的策略冲突动态检测方法

说明书

本发明公开了一种IPSec安全网关的策略冲突动态检测方法，所述方法包括如下步骤：步骤一、将IPSec网关的策略进行规则化描述；步骤二、判断新添加的规则是否可能存在规则冲突；步骤三、查询新添加的规则存在批准冗余和冲突冗余的可能性；步骤四、查询新添加的规则存在规则相关冲突的可能性；步骤五、查询新添加的保护策略规则存在隧道重叠冲突的可能性；步骤六、查询新添加的保护策略规则存在非标准封装冲突的可能性；步骤七、检测四种冲突类型后，将存在的冲突解决，生成去除冲突后的新规则列表。本发明对IPCDR算法进行了改进，改进的算法对混合策略列表处理效果显著，且时间复杂度和内存使用大小与IPCDR算法基本持平。

技术领域

本发明涉及一种网络汇聚优化方法，具体涉及一种IPSec安全网关的策略冲突动态检测方法。

背景技术

由于IPSec体系的灵活性和应用程序透明性，它是被广泛用作通过Internet在企业网络之间建立虚拟专用网(VPN)或安全通道的极具成本效益的方法。用户或网络管理员需要在每个设备管理接口编写安全策略，安全策略可以用于对每个特定流量的IPSec保护操作说明。IPSec策略包括指定要保护流量的源目IP规则列表、保护类型(身份验证或机密性)以及所需的保护参数(加密算法)。IPSec策略按照规则顺序进行匹配，直到找到一个可以触发的匹配规则。

IPSec策略中的规则复杂且多样，各个规则之间互相影响，很可能造成冲突，影响正常的网络通信。由于IPSec策略类似于防火墙规则，所以最开始研究IPSec策略冲突检测技术是从防火墙规则冲突检测入手的。对于包括源IP、目的IP、源端口、目的端口和操作动作在内的一般防火墙规则，需要将这些抽象的安全策略描述为计算机可以处理的形式语言，所以较早的研究主要基于防火墙规则通过布尔公式表示成形式语言，后续工作在这个基础上进行。

IPSec策略冲突检测技术相对于防火墙冲突检测技术发展较晚，但是自从IPSec在九十年代后期IETF草案发布以来，该技术的研究就一直没有停止过。类似于防火墙策略检测技术的机制，IPSec策略冲突检测技术也在两个方面进行研究，一方面是数据包过滤器的建模，另一方面是冲突策略发现与分析。作者Fu等人开始了最早的尝试，作者追踪应用于每个IPSec设备流量策略来模拟IPSec处理，并重点关注冲突的IPSec策略对网络流量造成的影响。但是该方法只是发现了错误的重叠可能造成安全隐患，并没有给出具体的查找方法。作者Shaer等人对于IPSec策略冲突的研究起到了关键的一步，Shaer提出一种分析标准IPSec策略并检测冲突的方法。

发明内容

本发明的目的是提供一种更全面的IPSec安全网关的策略冲突动态检测方法。

本发明的目的是通过以下技术方案实现的：

一种IPSec安全网关的策略冲突动态检测方法，包括如下步骤：

步骤一、将IPSec网关的策略进行规则化描述，具体步骤如下：

(1)保持IPSec策略的策略列表L、规则R以及R包含的条件部分和操作动作的运算过程不变；

(2)将操作动作集中的protect改为AH-protect和ESP-protect，改正后的操作动作集如下式所示：

A_i∈{bypass,discard,AH-protect，ESP-protect|parameters}；

(3)将规则类型的分类集合SC_protect改为SC_AH-protect和SC_ESP-portect两种，并增加对应的保护策略目的网关集合SW_AH-protect和SW_ESP-portect，改正及新增的分类集合如下式所示：