[发明专利]一种基于邻居发现协议的NDP-ESP网络安全方法

权利要求书

1.一种基于邻居发现协议的NDP-ESP网络安全方法，包括下列步骤：

(1)在要传送的NDP数据包的选项中增加源MAC地址选项和源IP地址选项；

(2)在NDP数据包发送前进行ESP加密处理：

1)节点分发NDP报文时，若是一对一通信，则查询安全策略数据库SPDB中的匹配记录，再到安全关联数据库SADB中查询适用的安全关联SA，如果有就进行下一步，如果没有则利用IKE协议进行SA的协商，利用IKE协议进行SA创建时计数器单元要置0；若是一对多的组播，则查询组播安全策略数据库GSPDB中的匹配信息，根据查到的应用策略，到组播安全关联数据库GSADB中去查询适用的组安全关联GSA，如果有就进行下一步，若没有，则用组播密钥协商协议GIKE进行协商，建立合适的GSA。

2)ESP头的安全参数索引SPI取对应SA或GSA的SPI，ESP加密时序列号依次递增；

3)根据SA或GSA相关参数加密数据包；

4)计算完整性校验值；如需分段，则进行分段处理，再将ESP加密数据包发送出去；

(3)接收端接收到ESP加密数据包后，先将分段重新组合后再进行ESP解密处理：

(4)接收节点在处理完NDP增强报文之后，提取出源IP地址和MAC地址，与NDP报文头的源IP地址和源MAC地址作比对，都相同则更新缓存，不同则不更新缓存。

2.根据权利要求1所述的网络安全方法，其特征在于，步骤(3)的方法如下：

1)查看ESP加密头的目的地、IP地址和其附带的SPI到GSADB或SADB中去查询合适的GSA或SA，如果没有就丢掉此数据包，如果有就进行下一步；

2)使用包中的SPI在进入GSPDB或SPDB中查找一条和包选择符匹配的策略，如果和第一步找到的安全关联不匹配，则舍弃，如果匹配，则进行下一步；

3)查看ESP加密头中的序列号，如果此序列号与前面接收到的数据包序列号相同，则认为非法，直接丢弃，如果不同则进行下一步；

4)核对数据摘要ICV，根据GIKE协商约定的算法，进行ICV计算，再与接收到的ICV进行比对；不同则丢弃数据包，相同则进行下一步；

5)解密数据包内容。