[发明专利]基于IPSEC协议的隧道模式ESP硬件封装装置

权利要求书

1.一种基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，包括通过总线连接并使用乒乓模式工作的多个隧道模式ESP封装单元，所述隧道模式ESP封装单元包括：

数据解析模块，用于接收经过SA匹配后的数据包，对数据包进行解析并按照解析结果将数据送至相应的后续模块；

一组加密模块，用于根据数据解析模块所解析出的SA匹配策略对IP数据报文段进行相应的加密；

IPV4头重组模块，用于为使用IPV4协议传输的数据包组装外部新IP头；

IPV6头重组模块，用于为使用IPV6协议传输的数据包组装外部新IP头；

数据暂存模块，用于暂时存储处理的数据，包括：IPV4或IPV6重组的新IP头、安全参数索引、序列号、初始化向量、认证算法密钥、新UDP头、原始IP头；

数据组装模块，用于将数据暂存模块及各加密模块所发送的分散数据组装成标准的IPSEC数据包；

认证模块，用于对数据进行身份验证和消息认证，并将认证后数据送到下层分片处理；

IP首部校验和模块，用于重新计算认证模块在认证过程中所修改的外部新IP头的首部校验和，并将计算出的首部校验和填充到外部新IP头的相应位置。

2.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述数据解析模块包括：字段解析判断模块、关键字段存储模块、缓存模块，其中：

所述字段解析判断模块，用于对上层所传输数据进行解析，包括：同步帧中同步字段解析、数据长度解析、解释域帧解析；所述解释域帧解析包括：封装模式解析、网络地址转换字段解析、加密协议类型解析、路径最大传输单元解析、加密算法类型解析、认证算法类型解析、处理序列号溢出解析、网际协议版本解析； 

所述关键字段存储模块，用于存储解析出的关键字段数据；

所述缓存模块，用于缓存经过字段解析判断模块处理的数据，供后续模块读取。

3.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述数据组装模块包括：排序重组模块、数据存储模块，缓存模块，其中：

所述排序重组模块，用于根据所采用协议版本将接收到的数据排序组装成相应标准格式，然后排序发送；IPV4协议数据的标准格式为：外部IPV4新头||新UDP头||认证算法密钥||ESP首部||原始IP头||TCP首部||TCP数据部分||ESP尾部，IPV6协议数据的标准格式为：外部IPV6新头||新UDP头||认证算法密钥||ESP首部||原始IP头||有效载荷||ESP尾部；

所述数据存储模块，用于存储前后顺序不一致的数据帧，以及需要修改的字段；

所述缓存模块，用于缓存经过排序后的数据帧，供后续模块读取。

4.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述一组加密模块至少包括AES加密模块和3DES&DES加密模块。

5.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，所述认证模块可对数据进行MD5或 SHA1认证。

6.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，从数据解析模块发送到加密模块的数据格式包括：起始位、初始化向量IV位、ESP加密算法密钥位、IP数据报文位、填充位、以及结束位；其中，起始位包括：起始位字段、加/解密字段、加密类型字段、加密模式字段、数据包总长度字段；填充位包括：填充字段、填充长度字段、下一个头字段；结束位包括：结束位字段和长度验证字段。

7.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，从数据解析模块发送到数据暂存模块的数据格式包括：起始位、解释域字位、目的地址位、安全参数索引、序列号位、初始化向量位、认证算法密钥位、新UDP头位、原始IP头、结束位；其中，起始位包括：起始位字段和数据包总长度字段；解释域字位包括：封装模式位、NAT位、协议类型位、技术类型位、传输协议位、加密算法编号位、认证算法编号位、IV标识位；结束位包括：结束位字段和长度验证字段。

8.如权利要求1所述基于IPSEC协议的隧道模式ESP硬件封装装置，其特征在于，数据组装模块组装后的数据格式包括：起始位、外部IP新头帧、新UDP头位、认证算法密钥、安全参数索引、序列号、初始化向量、加密数据部分、结束位。