[发明专利]一种桥接传输加密的方法

说明书

技术领域

本发明涉及通信技术领域，具体涉及一种桥接传输加密的方法。

背景技术

IPSEC(Internet Protocol Security因特网协议安全)是一种开放标准的框架结构，通过使用加密的安全服务以确保在IP网络上进行保密而安全的通讯。IPSEC通过ISAKMP协议协商安全联盟SA。ISAKMP(Internet SecurityAssociation and Key Management Protocol)是IPSec密钥管理协议，为IPSEC提高身份认证以及密钥交换技术。安全联盟SA(SecurityAssociation)是IPSec的基础，是通信双方建立的一种协定，决定了用来保护数据包的封装协议、加密和认证算法、密钥以及密钥有效期等。IPSEC有ESP和AH两种封装协议，ESP提供数据加密和认证，AH不进行加密只进行完整性认证。IPSEC有两种加密模式：隧道模式和传输模式，隧道模式加密IP头及以后的内容，并封装新的IP头形成IP隧道；传输模式加密IP头以后的内容，原IP头保持不变。

IPSEC需要端到端设备支持，当现有设备不支持IPSEC时，就需要部署支持IPSEC的加密设备，由于IPSEC工作在IP层，所以部署时需要改变现有IP层设备配置和组网。当尤其是新型量子加密设备推广时，需要不改变现有设备组网和配置，灵活的部署到现有网络中。

发明内容

本发明的目的就是在现有网络设备不做调整和修改的前提下，对现有网络中的流量进行桥接传输加密。

为实现上述目的，本发明提供如下技术方案：

一种桥接传输加密的方法，包括以下步骤：

步骤1：有两个需要加密的内部网络，在各自的现有上下游设备之间，插入加密设备；

步骤2：本端加密设备1与远端加密设备2，通过ISAKMP协商，得到加密联盟SA，建立隧道接口；

步骤3：在隧道接口上配置到达远端内部网络的路由，通过该路由选路找到目标网络的SA；

步骤4：加密设备通过ingress接口和egress接口，分别与上下游设备连接，接口工作在桥接模式，现有上下游设备配置不做修改；

步骤5：加密设备从ingress接口收包后，查找路由，若出接口伪隧道接口，找到对应的SA，对报文进行传输模式加密，加密IP层以上的内容，IP层及以下的内容不作改变，然后进行ESP或AH封装，从egress接口发出去，查不到路由或非IP报文(如ARP报文)直接从egress接口发出去；

步骤6：加密设备从egress接口收包后，若当前报文有ESP或AH封装，则取封装头部的SPI查找SA进行解密，解密后从ingress接口发出去，其余报文直接从ingress接口发出去。

所述桥接传输加密的方法的上游设备为网关，下游设备为交换机。

所述桥接传输加密的方法步骤2中的加密设备可结合量子网关，获取量子密钥进行量子加密。

所述桥接传输加密的方法步骤2包括以下步骤：

步骤21：在两端加密设备旁部署量子网关，量子网关通过专用光纤连接，作为量子信道分发量子密钥；

步骤22：加密设备从量子网关获取量子密钥作为SA；

步骤23：加密设备使用量子密钥SA对报文进行加解密。

所述桥接传输加密的方法步骤5加密时ESP或AH封装会增加报文长度，当超过egress接口MTU时，需要对报文进行分片，接收时需要重组。

所述桥接传输加密的方法步骤5包括以下步骤：

步骤51：从ingress接口收包后，若原始报文是分片包，需要对报文进行重组后，再进行加密；

步骤52：从ingress接口收包并加密后，对加密报文进行ESP或AH封装，若封装后的报文超过egress接口MTU后，需要对报文进行分片；

步骤53：从egress接口收包后，若当前报文有ESP或AH封装，且是分片包，需要对报文进行重组，然后进行解密。

所述桥接传输加密的方法有至少3台加密设备时，需要两两之间进行IKE协商，建立多个伪隧道接口，并配置目标网段的路由。

所述桥接传输加密的方法1台加密设备可以设置至少1对桥接接口，可实现至少1组桥接链路同时加密的需求。

所述桥接传输加密的方法加密设备可以配置ACL，加密时根据ACL筛选指定的流量进行加密。