部分I Iesp尾部)。数存储模块用于存储次序错误的数据帧，即认证算法密钥、安全参数索引(SPI)、序列号(SN)、初始化向量(IV)、新UDP头。缓存模块用于缓存经过排序的数据帧，便于下一模块读出数据。
[0044]图7显示了采用IPV4传输协议的数据经数据组装模块组装后的数据格式。如图7所示，数据组装模块组装后的数据格式包括:起始位、外部IP新头帧、新UDP头位、认证算法密钥、安全参数索引、序列号、初始化向量、加密数据部分、结束位。其中，起始位进一步包括:起始位字段、认证算法类型字段、数据包总长度字段；起始位字段为协商构建的，表征新一个数据包开始传送；认证算法类型字段用于表征认证算法类型，包括:MD5、SHAl算法；数据包总长度字段用于表征此数据包总长度。外部IP新头帧进一步包括:版本、首部长度、首部长度、IPSEC包总长度(这里用16bit“ O ”填充)、标识、旗标、片偏移、生存时间、协议号、首部校验和(16bit “O”填充)、源地址(本机)、目的地址(外网路由)、可选字段(长度可变)、填充项。外部IP新头帧中各字段含义可参考IPV4协议，此处不再赘述其详细内容。结束位进一步包括:结束位字段和长度验证字段；结束位字段用于表示该数据包发送结束；长度验证字段用于验证数据包是否按照相应位数发送正确，若正确，数据包保留，若不正确，丢弃该数据包。
[0045]图8显示了采用IPV6传输协议的数据经数据组装模块组装后的数据格式。如图8所示，数据组装模块组装后的数据格式包括:起始位、外部IP新头帧、新UDP头位、认证算法密钥、安全参数索引、序列号、初始化向量、加密数据部分、结束位。其中，起始位进一步包括:起始位字段、认证算法类型、数据包总长度；起始位字段为协商构建的，表征新一个数据包开始传送；认证算法类型字段用于表征认证算法类型，包括:MD5、SHA1算法；数据包总长度字段用于表征此数据包总长度。外部IP新头帧进一步包括:版本、通信量类、流标号、有效载荷长度(这里用16bit“0”填充)、下一个首部、跳数限制、源地址(本机)、目的地址(夕卜网路由)。外部IP新头帧中各字段含义可参考IPV6协议，此处不再赘述其详细内容。结束位进一步包含:结束位字段和长度验证字段；结束位字段用于表示该数据包发送结束；长度验证字段用于验证数据包是否按照相应位数发送正确，若正确，数据包保留，若不正确，丢弃该数据包。
【主权项】
1.一种基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，包括通过总线连接并使用乒乓模式工作的多个隧道模式ESP封装单元，所述隧道模式ESP封装单元包括: 数据解析模块，用于接收经过SA匹配后的数据包，对数据包进行解析并按照解析结果将数据送至相应的后续模块； 一组加密模块，用于根据数据解析模块所解析出的SA匹配策略对IP数据报文段进行相应的加密； IPV4头重组模块，用于为使用IPV4协议传输的数据包组装外部新IP头； IPV6头重组模块，用于为使用IPV6协议传输的数据包组装外部新IP头； 数据暂存模块，用于暂时存储处理的数据，包括:IPV4或IPV6重组的新IP头、安全参数索引、序列号、初始化向量、认证算法密钥、新m)P头、原始IP头； 数据组装模块，用于将数据暂存模块及各加密模块所发送的分散数据组装成标准的IPSEC数据包； 认证模块，用于对数据进行身份验证和消息认证，并将认证后数据送到下层分片处理； IP首部校验和模块，用于重新计算认证模块在认证过程中所修改的外部新IP头的首部校验和，并将计算出的首部校验和填充到外部新IP头的相应位置。2.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述数据解析模块包括:字段解析判断模块、关键字段存储模块、缓存模块，其中: 所述字段解析判断模块，用于对上层所传输数据进行解析，包括:同步帧中同步字段解析、数据长度解析、解释域帧解析；所述解释域帧解析包括:封装模式解析、网络地址转换字段解析、加密协议类型解析、路径最大传输单元解析、加密算法类型解析、认证算法类型解析、处理序列号溢出解析、网际协议版本解析； 所述关键字段存储模块，用于存储解析出的关键字段数据； 所述缓存模块，用于缓存经过字段解析判断模块处理的数据，供后续模块读取。3.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述数据组装模块包括:排序重组模块、数据存储模块，缓存模块，其中: 所述排序重组模块，用于根据所采用协议版本将接收到的数据排序组装成相应标准格式，然后排序发送；IPV4协议数据的标准格式为:外部IPV4新头I I新UDP头| |认证算法密钥I Iesp首部11原始ip头I Itcp首部I Itcp数据部分I Iesp尾部，IPV6协议数据的标准格式为:外部IPV6新头11新UDP头11认证算法密钥I Iesp首部11原始ip头11有效载荷I Iesp尾部； 所述数据存储模块，用于存储前后顺序不一致的数据帧，以及需要修改的字段； 所述缓存模块，用于缓存经过排序后的数据帧，供后续模块读取。4.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述一组加密模块至少包括AES加密模块和3DES&DES加密模块。5.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述认证模块可对数据进行MD5或SHAl认证。6.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，从数据解析模块发送到加密模块的数据格式包括:起始位、初始化向量IV位、ESP加密算法密钥位、IP数据报文位、填充位、以及结束位；其中，起始位包括:起始位字段、加/解密字段、加密类型字段、加密模式字段、数据包总长度字段；填充位包括:填充字段、填充长度字段、下一个头字段；结束位包括:结束位字段和长度验证字段。7.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，从数据解析模块发送到数据暂存模块的数据格式包括:起始位、解释域字位、目的地址位、安全参数索引、序列号位、初始化向量位、认证算法密钥位、新m)P头位、原始ip头、结束位；其中，起始位包括:起始位字段和数据包总长度字段；解释域字位包括:封装模式位、NAT位、协议类型位、技术类型位、传输协议位、加密算法编号位、认证算法编号位、IV标识位；结束位包括:结束位字段和长度验证字段。8.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，数据组装模块组装后的数据格式包括:起始位、外部IP新头帧、新m)P头位、认证算法密钥、安全参数索引、序列号、初始化向量、加密数据部分、结束位。
【专利摘要】本发明公开了一种基于IPSEC协议的隧道模式ESP硬件封装装置，属于网络数据安全领域。该封装装置包括通过总线连接并使用乒乓模式工作的多个隧道模式ESP封装单元，所述隧道模式ESP封装单元包括：数据解析模块、一组加密模块、IPV4头重组模块、IPV6头重组模块、数据暂存模块、数据组装模块、认证模块、IP首部校验和模块。相比现有技术，本发明将要封装的数据包进行分段处理，通过改变每段的数据格式，添加起始位或长度校验字段，实现了安全高效的数据封装；本发明采用挂接多个封装模块实现乒乓操作模式，进一步提高了封装速度。
【IPC分类】H04L9/06, H04L29/06, H04L12/46
【公开号】CN104954222
【申请号】CN201510266420
【发明人】李冰, 刘洋, 刘勇, 赵霞, 陈帅, 董乾, 王刚, 张龙飞, 周岑军
【申请人】东南大学
【公开日】2015年9月30日
【申请日】2015年5月22日