[发明专利]一种Linux网络层的端对端加密方法和系统

权利要求书

1.一种Linux网络层的端对端加密方法，其特征在于，包括：

S1、在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包并对所述数据包进行加密并转发；

S2、在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包并对所述加密后的数据包进行解密并转发；

所述步骤S1进一步包括：

S11、将数据包从源地址经至少第一端口和第二端口发送到目标地址；

S12、在所述第一端口通过钩子机制从Linux网络层获取数据包；

S13、解析所述数据包并对所述数据包进行加密；

S14、将加密的数据包转发到所述第二端口；

在所述步骤S12中，在所述第一端口通过钩子机制从Linux网络层获取多个数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个数据包构成的包池；

所述步骤S13进一步包括：S131、采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；其中对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议；S132、对过滤后的所述数据包进行加密处理；

所述步骤S2进一步包括：

S21、在所述第二端口通过钩子机制从Linux网络层获取所述加密后的数据包；

S22、解析所述加密后的数据包并对所述数据包进行解密；

S23、将解密的数据包转发到所述目标地址；

在所述步骤S21中，在所述第二端口通过钩子机制从Linux网络层获取多个所述加密后的数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个所述加密后的数据包构成的包池；

所述步骤S22进一步包括：S221、采用用户态进程从所述钩子数据包队列获取所述加密后的数据包，并对所述加密后的数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议；S222、对过滤后的所述加密后的数据包进行解密处理。

2.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现根据权利要求1所述的Linux网络层的端对端加密方法。

3.一种Linux网络层的端对端加密系统，其特征在于，包括：

第一抓取模块，用于在数据包的传输路径上的第一端口通过钩子机制从Linux网络层获取数据包；

数据加密模块，用于对所述第一抓取模块抓取的数据包进行加密处理，并转发加密后的数据包；

第二抓取模块，用于在数据包的传输路径上的第二端口通过钩子机制从Linux网络层获取加密后的数据包；

数据解密模块，用于对所述第二抓取模块抓取的数据包进行解密处理，并转发解密后的数据包；

所述第一抓取模块进一步用于：将数据包从源地址经至少第一端口和第二端口发送到目标地址，在所述第一端口通过钩子机制从Linux网络层获取多个数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个数据包构成的包池，采用用户态进程从所述钩子数据包队列获取所述数据包，并对所述数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；其中对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议；

所述第二抓取模块进一步用于在所述第二端口通过钩子机制从Linux网络层获取多个所述加密后的数据包以形成多个钩子数据包队列，每个钩子数据包队列具有一个由多个所述加密后的数据包构成的包池；采用用户态进程从所述钩子数据包队列获取所述加密后的数据包，并对所述加密后的数据包进行解析和过滤处理，所述用户态进程支持多个线程，每个线程对应一个钩子数据包队列；对所述数据包进行解析包括获取所述数据包的数据信息，所述过滤处理包括基于黑名单和/或白名单以及所述数据信息过滤所述数据包，所述数据信息包括：源地址、目的地址、源端口、目的端口和传输协议。