[发明专利]抗重放方法和装置

说明书

本发明实施例提供一种抗重放方法和装置，通过在发送端与接收端设置相同的最大约定值，接收端接收IPSec报文，IPSec报文中包括序列号，获取抗重放滑动窗口的上限值；若所述抗重放滑动窗口的上限值为最大约定值，则将抗重放滑动窗口的区间设为M1至M2，其中，M1为报文序列号的最小值，M2为M1与所述抗重放滑动窗口的大小之和。发送端当发送报文序列号到达最大值时，下一个发送报文的序列号从最小值开始，从而，解决报文被抗重放误丢弃的问题。

技术领域

本发明实施例涉及计算机技术，尤其涉及一种抗重放方法和装置。

背景技术

互联网协议安全(Internet Protocol Security，以下简称：IPSec)，用于确保端到端的互联网协议(Internet Protocol，以下简称：IP)层的通信安全。

IPSec在两个端点之间提供安全通信，称这两个端点为IPSec发送端和IPSec接收端，IPSec安全联盟(Security Association，以下简称：SA)是IPSec发送端和接收端之间对某些要素的约定，例如：使用哪种协议、使用哪种协议封装模式、使用哪种加密算法等。IPSec SA具有生存周期，生存周期结束称为IPSec SA老化(失效)，现有技术中，IPSec SA的生存周期基于时间设置或者基于流量设置，基于时间设置是指从IPSec SA建立开始，SA存活的时间达到设置的时间时，IPSec SA老化；基于流量设置是指当采用IPSec SA处理的流量达到设置的流量时，IPSec SA老化。

IPSec通过抗重放滑动窗口机制检测重放报文，在IPSec SA老化之前，发送端发送的报文的序列号依次递增，当接收的报文的报文序列号落在抗重放滑动窗口区间内，则接收报文，抗重放滑动窗口不变；当接收的报文的报文序列号落在抗重放滑动窗口区间右侧，则接收报文并将抗重放滑动窗口右移，使抗重放滑动窗口的上限值为接收的报文的报文序列号；当接收的报文的报文序列号落在抗重放滑动窗口区间左侧，则丢弃接收的报文。当IPSec SA触发老化后，发送端发送的报文的序列号从最小值开始，并且，抗重放滑动窗口的区间变为[0，N-1]，其中，N为抗重放滑动窗口的大小；然而，采用现有技术的方法，当发送端的报文序列号达到最大值时，报文序列号翻转从最小值开始，如果还没有触发IPSec SA老化，抗重放滑动窗口的区间为[MAX-N，MAX]，MAX为报文序列号的最大值，接收端接收到翻转后的报文序列号之后，由于报文序列号在抗重放滑动窗口的左侧，则丢弃接收的报文，导致报文被抗重放误丢弃。

发明内容

本发明实施例提供一种抗重放方法和装置，以解决报文被抗重放误丢弃的问题。

第一方面，提供一种抗重放方法，包括：

接收互联网协议安全IPSec报文，所述IPSec报文中包括序列号；

获取抗重放滑动窗口的上限值；

若所述抗重放滑动窗口的上限值为最大约定值，则将所述抗重放滑动窗口的区间设为M1至M2，其中，M1为报文序列号的最小值，M2为M1与所述抗重放滑动窗口的大小之和，所述M1为大于等于0的整数。

结合第一方面，在第一方面的第一种可能的实现方式中，所述方法还包括：

若所述抗重放滑动窗口的上限值不为最大约定值，当所述IPSec报文的序列号在所述抗重放滑动窗口内，则保存所述IPSec报文；

当所述IPSec报文的序列号在所述抗重放滑动窗口右侧，则保存所述IPSec报文并将所述抗重放滑动窗口右移，使所述抗重放滑动窗口的上限值为所述IPSec报文的序列号；

当所述IPSec报文的序列号在所述抗重放滑动窗口左侧，则丢弃所述IPSec报文。

结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述获取抗重放滑动窗口的上限值之前，还包括：