[发明专利]一种基于IPsec封装协议的报文转发方法

说明书

本发明提供一种基于IPsec封装协议的报文转发方法，该方法基于一种带拓展控制字段的封装协议，在现有IPsec封装协议封装头部分的下一个报文头中增加控制协议头，并封装对应的TLV控制头，基于IPsec隧道封装功能的扩展协议，提升隧道的控制能力，为上层应用提供必要的信息，能够实现指定路径的流量调度策略。

技术领域

本发明属于IP网络技术领域，具体涉及一种基于IPsec封装协议的报文转发方法。

背景技术

IETF定义的IPsec封装协议有两种，一种是AH，一种是ESP。这两种协议的封装模式又分为传输模式和隧道模式。其中，传输模式是基于原始的IP头做一次IPsec封装，隧道模式则封装了新的报文头，在实际的使用中，隧道模式用的较多。

目前，在数据中心以及WAN上，应用的流量通常使用了Overlay技术，而承载应用流量的隧道多为VXLAN隧道或IPsec隧道，又或者两者结合。无论是VXLAN还是IPsec，其封装协议仅考虑了转发层面对应的功能，控制平面功能偏弱。而在云、边、端，应用的需求越来越多样化，单纯的IP转发封装已经无法满足应用越来越多的需求，比如流量控制、带内检测、服务链等。

发明内容

针对上述现有技术中存在的问题，本发明提供了一种基于IPsec技术的数据封装方法，基于IPsec隧道封装功能的扩展协议，提升隧道的控制能力，为上层应用提供必要的信息，能够实现指定路径的流量调度策略。

为了实现发明目的，本发明的技术方案如下，一种基于IPsec封装协议的报文转发方法，所述报文转发方法应用于SD-WAN网络环境中，包括以下过程：

步骤一，控制器给客户前置设备CPE下发路径信息，所述CPE在发送报文时，先加入控制信息，再做IPsec加密封装发送；

步骤二，控制器预先创建IPsec隧道，节点POP间的隧道号以IPsec-tunnelXY标号，为节点POP间隧道分配标签，标签值为其编号；

步骤三，控制器给所述CPE下发策略，确定所需要通过的路径，所述CPE在做封装时，先根据要到

步骤四，所述路径中的各节点POP在收到报文后，经解密确认下一个头是控制协议后，则根据类型做标签解析，得到以该节点POP为起始点的IPsec隧道终点POP，做关于该IPsec隧道的封装，弹出标签以及修改len后继续加密发送报文，直到确定的路径中所有节点POP全部走完，即实现了SD-WAN中节点POP间IPsec隧道的路径指定。

所述报文是在现有IPsec封装协议封装头部分的下一个报文头中增加控制协议，并封装对应的TLV控制头。

进一步的，所述控制协议包括：

Next Header：下一个报文头，8比特大小，用来填充IP报文IANA编号或原始数据的协议IANA编号；

Type：类型字段，根据需求定义填充控制类型；

Len：长度字段，根据控制类型定义对应数据长度，其长度为Value的长度；

Value：控制数据字段，长度根据Len定义。

IPsec封装协议中的AH封装协议、ESP封装协议中，报文头中的下一个报文头指明是IPsec控制头，IPsec控制头中的下一个报文头指明原始报文信息。

进一步的，在AH封装格式的隧道模式中，所述控制协议头添加到AH头之后，原始IP头之前；在AH封装格式的传输模式中，所述控制协议头添加到AH头之后，数据之前。

进一步的，在ESP封装的隧道模式中，所述控制协议头添加到ESP头之后，原始IP头之前；在ESP封装格式的传输模式中，所述控制协议头添加到ESP头之后，数据之前。

有益效果