基于ipsec协议的隧道模式esp硬件封装装置的制造方法
【技术领域】
[0001]本发明涉及网络数据安全领域，尤其涉及一种基于IPSEC协议的隧道模式ESP硬件封装装置。
【背景技术】
[0002]随着计算机网络技术的发展，我们利用网络技术进行工作生活越来越快捷方便，如今的社会已经离不开网络，但随之而来的网络安全问题也不得不引起社会的关注，近些年来，网络安全问题日益突出和多样化，黑客利用网络对公司、政府进行数据截取，让公司、政府蒙受巨大损失，同时也使个人信息安全受到威胁。为了提高网络信息传输的安全，互联网工程任务组(IETF)在1988年提出了针对网络层的IPSEC (IP Security)协议，来弥补IP数据包本身不继承安全措施的缺点。
[0003]随着下一代网际协议IPV6的发展，市场上已形成！IPV4网际协议向IPV6网际协议过渡的格局，提出一种既能在IPV4协议上实施，又能兼容IPV6协议实施IPSEC协议的方式，才能满足市场需求。在实施IPSEC协议过程中，影响其实施速度的因素在于IPSEC数据包的封装速度，目前市场上大多采用软件方式进行IPSEC数据包封装，实施速度相对较慢，严重影响IPSEC数据包封装传输速度，因此有必要提供一种基于IPSEC协议硬件实现对数据包封装，优化硬件传输模式，可以在软件基础上大幅提高速度，同时也使数据传输变得更加安全。
[0004]目前针对IPSEC协议实施场景大体可分为3类:1.Site to Site (站点到站点或者网管到网管)2.End to End (端到端或者PC到PC) 3.End to Site (端到站点或者PC到网关)，而如今对于每个子网下PC机数量庞大，每次实施End to End模式下IPSEC协议，都会在相应PC机上实施一次，耗费太多时间，因此选用Site to Site模式下实施IPSEC协议可提升相应传输速度。在Site to Site模式下，IPSEC协议实施条件是在隧道模式下传输，因此有必要提供一种基于IPSEC协议的隧道模式ESP硬件封装装置。
【发明内容】
[0005]本发明所要解决的技术问题在于克服现有技术不足，提供一种基于IPSEC协议的隧道模式ESP硬件封装装置，可实现高效安全的数据包封装。
[0006]本发明基于IPSEC协议的隧道模式ESP硬件封装装置，包括通过总线连接并使用乒乓模式工作的多个隧道模式ESP封装单元，所述隧道模式ESP封装单元包括:
数据解析模块，用于接收经过SA匹配后的数据包，对数据包进行解析并按照解析结果将数据送至相应的后续模块；
一组加密模块，用于根据数据解析模块所解析出的SA匹配策略对IP数据报文段进行相应的加密；
IPV4头重组模块，用于为使用IPV4协议传输的数据包组装外部新IP头；
IPV6头重组模块，用于为使用IPV6协议传输的数据包组装外部新IP头； 数据暂存模块，用于暂时存储处理的数据，包括:IPV4或IPV6重组的新IP头、安全参数索引、序列号、初始化向量、认证算法密钥、新m)P头、原始IP头；
数据组装模块，用于将数据暂存模块及各加密模块所发送的分散数据组装成标准的IPSEC数据包；
认证模块，用于对数据进行身份验证和消息认证，并将认证后数据送到下层分片处理；
IP首部校验和模块，用于重新计算认证模块在认证过程中所修改的外部新IP头的首部校验和，并将计算出的首部校验和填充到外部新IP头的相应位置。
[0007]进一步地，所述数据解析模块包括:字段解析判断模块、关键字段存储模块、缓存模块，其中:
所述字段解析判断模块，用于对上层所传输数据进行解析，包括:同步帧中同步字段解析、数据长度解析、解释域帧解析；所述解释域帧解析包括:封装模式解析、网络地址转换字段解析、加密协议类型解析、路径最大传输单元解析、加密算法类型解析、认证算法类型解析、处理序列号溢出解析、网际协议版本解析；
所述关键字段存储模块，用于存储解析出的关键字段数据；
所述缓存模块，用于缓存经过字段解析判断模块处理的数据，供后续模块读取。
[0008]进一步地，所述数据组装模块包括:排序重组模块、数据存储模块，缓存模块，其中:
所述排序重组模块，用于根据所采用协议版本将接收到的数据排序组装成相应标准格式，然后排序发送；IPV4协议数据的标准格式为:外部IPV4新头I I新UDP头| |认证算法密钥I Iesp首部11原始ip头I Itcp首部I Itcp数据部分I Iesp尾部，IPV6协议数据的标准格式为:外部IPV6新头11新UDP头11认证算法密钥I Iesp首部11原始ip头11有效载荷I Iesp尾部；
所述数据存储模块，用于存储前后顺序不一致的数据帧，以及需要修改的字段；
所述缓存模块，用于缓存经过排序后的数据帧，供后续模块读取。
[0009]优选地，所述一组加密模块至少包括AES加密模块和3DES&DES加密模块。
[0010]优选地，所述认证模块可对数据进行MD5或SHAl认证。
[0011]优选地，从数据解析模块发送到加密模块的数据格式包括:起始位、初始化向量IV位、ESP加密算法密钥位、IP数据报文位、填充位、以及结束位；其中，起始位包括:起始位字段、加/解密字段、加密类型字段、加密模式字段、数据包总长度字段；填充位包括:填充字段、填充长度字段、下一个头字段；结束位包括:结束位字段和长度验证字段。
[0012]优选地，从数据解析模块发送到数据暂存模块的数据格式包括:起始位、解释域字位、目的地址位、安全参数索引、序列号位、初始化向量位、认证算法密钥位、新UDP头位、原始IP头、结束位；其中，起始位包括:起始位字段和数据包总长度字段；解释域字位包括:封装模式位、NAT位、协议类型位、技术类型位、传输协议位、加密算法编号位、认证算法编号位、IV标识位；结束位包括:结束位字段和长度验证字段。
[0013]优选地，数据组装模块组装后的数据格式包括:起始位、外部IP新头帧、新UDP头位、认证算法密钥、安全参数索引、序列号、初始化向量、加密数据部分、结束位。
[0014]相比现有技术，本发明具有以下有益效果: 本发明将要封装的数据包进行分段处理，通过改变每段的数据格式，添加起始位或长度校验字段，实现安全高效的数据封装；本发明采用挂接多个封装模块实现乒乓操作模式，进一步提尚了封装速度。
【附图说明】
[0015]图1为本发明隧道模式ESP硬件封装装置的总体结构及原理示意图。
[0016]图2为本发明隧道模式ESP硬件封装装置中数据解析模块的一种具体结构。
[0017]图3为数据解析模块从SA安全联盟所接收的数据格式。
[0018]图4为数据解析模块发送到加密模块的数据格式。
[0019]图5为数据解析模块发送到数据暂存模块的数据格式。
[0020]图6为本发明隧道模式ESP硬件封装装置中数据组装模块的一种具体结构。
[0021]图7为采用IPV4传输协议的数据经数据组装模块组装后的数据格式。
[0022]图8为采用IPV6传输协议的数据经数据组装模块组装后的数据格式。
【具体实施方式】
[0023]下面结合附图对本发明的技术方案进行详细说明:
图1显示了本发明基于IPSEC协议的隧道模式ESP硬件封装装置的总体结构及原理。由于封装需要时间，封装速度小于SA发送数据的速度，因此本发明采用多个隧道模式E