[发明专利]一种IP报文过滤方法及装置

权利要求书

1.一种IP报文过滤方法，其特征在于包括：

步骤1，利于linux的netfilter包筛选机制，在IPtables模块初始化时，设置OUTPUT链默认策略为“允许”，INPUT链默认策略为“丢弃”，并在INPUT链添加防火墙策略，允许经IPSEC封装的密通报文进入本网关，允许密钥协商报文进入本网关；

步骤2，设置FORWARD链默认策略为“丢弃”，新建一条名称为“SECPOLICY”的规则链，在FORWARD链添加策略跳转到该链，并将管理员配置的防火墙策略都加载在该链上，使得对出入本网关非IPSEC处理的IP包过滤；

步骤3，利用xt_policy模块提供的策略匹配功能，在FORWARD链末尾添加以下两条防火墙策略：

1）允许解密后明通报文通过本网关，策略配置命令为：iptables –A FORWARD –m policy –dir in –j ACCEPT，对进入方向IPSEC解密后的IP包过滤；

2）允许加密前明通报文通过本网关，策略配置命令为：iptables –A FORWARD –m policy –dir out –j ACCEPT，对外出方向需IPSEC加密处理的IP包过滤。

2.根据权利要求1所述的一种IPSEC安全策略实现IP报文过滤方法，其特征在于所述步骤2中对出入本网关非IPSEC处理的IP包过滤具体过程包括，

步骤21：收到穿过本网关的明通IP报文，该IP报文不存在匹配的IPSEC安全策略，不需IPSEC处理；

步骤22，路由处理后，进入防火墙FORWARD链，在其子链SECPOLICY下检查防火墙策略，确定是否放行或丢弃该IP报文；

步骤23，如果防火墙策略是放行，则转发该IP报文。

3.根据权利要求1所述的一种IPSEC安全策略实现IP报文过滤方法，其特征在于所述步骤3中对进入方向IPSEC解密后的IP包过滤具体过程包括，

步骤311：收到来自远端网关的IPSEC密通报文；

步骤312，路由处理后进入防火墙INPUT链，因检查到该IPSEC密通报文为ESP/AH协议包，允许放行；

步骤313，根据三元组信息：即该报文目的地址、SPI安全参数索引、AH或ESP安全协议号查找安全关联，并进行IPSEC解密处理，解密后的明通报文目的地址为本网关的内部网络；

步骤314，路由处理后，进入防火墙FORWARD链，检查到解密后的明通报文在IN方向匹配到IPSEC策略，放行该IP报文；

步骤315，解密后的明通报文发向本网关内部网络。

4.根据权利要求1所述的一种IPSEC安全策略实现IP报文过滤方法，其特征在于所述步骤3中对外出方向需IPSEC加密处理的IP包过滤具体过程包括，

步骤321：网关收到从内部网络转发外部网络需要进行IPSEC加密处理的明通报文；

步骤322，路由处理后进入防火墙FORWARD链，检查到该IP报文在OUT方向匹配到IPSEC策略，放行该IP报文；

步骤323，查找该IP包匹配的安全策略及出站安全关联；

步骤324，进行IPSEC加密处理，执行隧道模式ESP/AH封装，新的IP报文源地址为本网关，目的地址为隧道的远端网关；

步骤325，路由处理后进入防火墙OUTPUT链，因检查到该IPSEC密通报文为ESP/AH协议包，允许放行；

步骤326，IPSEC密通报文发向远端的网关地址。

5.根据权利要求1至4之一所述的一种IPSEC安全策略实现IP报文过滤方法，其特征在于所述密通报文是协议号为ESP或AH的报文。

6.根据权利要求1至4之一所述的一种IPSEC安全策略实现IP报文过滤方法，其特征在于所述密钥协商报文是udp 500或udp 4500报文。