[发明专利]一种IPSec防重放的方法和装置

权利要求书

1.一种因特网协议安全IPSec防重放的方法，其特征在于，该方法应用于多核网络设备，将使用同一隧道的报文分为不同的组，各组维护各自独立的序列号，每个核对应一个组，包括：

建立与对端网络设备之间的IPSec隧道；

任意一核在使用IPSec封装及转发报文时，独立地为经该核处理的报文分配认证头AH和/或封装安全载荷ESP头中的序列号，且在AH和/或ESP头中携带与该核对应的组号；其中，所述组号与核一一对应，用于对报文进行分组。

2.根据权利要求1所述的方法，其特征在于，所述独立地为经该核处理的报文分配认证头AH和/或ESP头中的序列号具体为：在AH和/或ESP头中的原序列号Sequence Number字段中连续的部分比特位构成的组内序列号字段中，为经该核处理的报文分配序列号；

所述在AH和/或ESP头中携带与该核对应的组号具体为：在AH和/或ESP头中的原序列号Sequence Number字段中连续的部分比特位构成的组号字段中，携带该核对应的组号。

3.根据权利要求1所述的方法，其特征在于，所述在AH和/或ESP头中携带与该核对应的组号具体为：在AH中的保留位携带与该核对应的组号。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当任一核在接收到经IPSec封装的报文后，从报文的AH和/或ESP头中获取组号及序列号，针对不同的组号的IPSec报文，使用独立的防重放窗口进行防重放处理。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：在AH和/或ESP头中携带与该核对应的组标记，所述组标记用于指示是否支持对报文按核分组；

当任一核在接收到首个经IPSec封装的报文时，从报文的AH和/或ESP头中获取所述组标记，当所述组标记指示支持对报文按核分组时，标记该报文AH和/或ESP头中安全参数索引SPI字段所指示的IPSec隧道支持按核分组，并对从该IPSec隧道接收的后续报文直接获取组号及序列号。

6.一种报文防重放的装置，其特征在于，该装置应用于多核网络设备中，将使用同一隧道的报文分为不同的组，各组维护各自独立的序列号，每个核对应一个组，该装置包括：

隧道建立模块，用于建立与对端网络设备之间的IPSec隧道；

报文发送模块，用于任意一核在使用IPSec封装及转发报文时，独立地为经该核处理的报文分配认证头AH和/或封装安全载荷ESP头中的序列号，且在AH和/或ESP头中携带与该核对应的组号；其中，所述组号与核一一对应，用于对报文进行分组。

7.根据权利要求6所述的装置，其特征在于，

所述报文发送模块在AH和/或ESP头中的原序列号Sequence Number字段中连续的部分比特位构成的组内序列号字段中，为经该核处理的报文分配序列号；

所述报文发送模块在AH和/或ESP头中的原序列号Sequence Number字段中连续的部分比特位构成的组号字段中，携带该核对应的组号。

8.根据权利要求6所述的装置，其特征在于，

所述报文发送模块在AH中的保留位携带与该核对应的组号。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

报文接收模块，用于当任一核在接收到经IPSec封装的报文后，从报文的AH和/或ESP头中获取组号及序列号，针对不同的组号的IPSec报文，使用独立的防重放窗口进行防重放处理。

10.根据权利要求9所述的装置，其特征在于，

所述报文发送模块还用于在AH和/或ESP头中携带与该核对应的组标记，所述组标记用于指示是否支持对报文按核分组；

所述报文接收模块还用于，当任一核在接收到首个经IPSec封装的报文时，从报文的AH和/或ESP头中获取所述组标记，当所述组标记指示支持对报文按核分组时，标记该报文AH和/或ESP头中安全参数索引SPI字段所指示的IPSec隧道支持按核分组，并对从该IPSec隧道接收的后续报文直接获取组号及序列号。