[发明专利]基于IPSec传输异常的检测方法、装置及存储介质

说明书

本发明一种基于IPSec传输异常的检测方法、装置及存储介质，其中方法包括获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若否查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动IPSec策略的接口和IPSec接口已配置所述NAT策略；将NAT策略引用的ACL所拒绝的IP地址设为IPSec引用的ACL中的IP地址和将IPSec引用的ACL匹配为经过NAT策略转换后的IP地址。本发明避免对IPSec保护的数据流进行NAT转换，实现对IPSec传输异常的检测和修复，提高了用户体验。

技术领域

本发明涉及数据传输检测技术领域，具体涉及一种基于IPSec传输异常的检测方法、装置及存储介质。

背景技术

IPSec(Internet Protocol Security)互联网安全协议，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议，其目的是为互联网协议IPv4和IPv6提供具有较强的互操作能力、高质量以及基于密码的安全，包括加密、认证和数据防篡改功能，确保用户数据可以通过安全的IPSec隧道实现端到端的安全、保密传输。

现如今IPSec已经成为架构虚拟专用网络(Virtual Private Network，VPN)的基础，具备良好的安全性；由于IPSec是IP层上的协议，因此很容易在全世界范围内形成一种规范，具有非常好的通用性；IPSec不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协议认证头(Authentication Header，AH)、封装安全有效载荷(Encapsulating Security Payload，ESP)协议、密钥管理协议(Internet KeyExchange，IKE)和用于网络认证及加密的一些算法等。

但是现有的VPN系统在使用IPSec隧道建立成功之后往往会出现传输异常，进而导致用户无法获知传输异常的原因并进行修复。

发明内容

本发明的目的在于提供一种基于IPSec传输异常的检测方法、装置及存储介质，可以解决现有技术中现有的VPN系统在使用IPSec隧道建立成功之后，出现传输异常时用户无法获知传输异常原因的问题。

本发明的目的是通过以下技术方案实现的：

本发明提供一种基于IPSec传输异常的检测方法，包括以下步骤：

步骤S1、获取对端IPSec节点发送的数据封装包，对其进行解封并删除网络访问层；

步骤S2、检测网络层IPSec中的AH报文和ESP报文是否至少一项丢包，若是则判定运营商对IPSec报文进行了限制，若否则执行后续步骤；

步骤S3、查看是否已启用IPSec策略的接口和IPSec接口是否已配置NAT策略，若已启动所述IPSec策略的接口和IPSec接口已配置所述NAT策略，则进入下一步；

步骤S4、将所述NAT策略引用的ACL所拒绝的IP地址设为所述IPSec引用的ACL中的IP地址和将所述IPSec引用的ACL匹配为经过NAT策略转换后的IP地址。

进一步的，所述执行后续步骤还具体指：

检测IPSec策略是否正确应用到IPSec隧道接口上；

检测ACL保护的数据流是否包含真实的业务网段，若否则检测IPSec节点两端的ACL是否配置正确；

检测IPSec的认证算法是否为SHA-2加密算法，若是则检测获取的加密报文是否被丢弃；

加密报文未被丢弃且IPSec连接认证失败则将IPSec节点两端的加密算法设为一致。

进一步的，所述检测IPSec节点两端的ACL是否配置正确的条件包括：