[发明专利]一种双栈IPSecVPN装置

权利要求书

1.一种双栈IPSec VPN装置，其特征在于，包括双栈VPN处理部分、安全数据库构建和查找部分、安全协议处理部分、数据流传输机制部分和CPU部分；

所述双栈VPN处理部分，用于双协议栈的处理、VPN头的处理，包括外出双栈VPN预处理模块、外出VPN管理表和进入双栈VPN预处理模块；

所述安全数据库构建和查找部分，用于完成IPv4和IPv6两种类型的安全策略数据库维护、匹配查找和一种类型的安全联盟数据库维护、匹配查找；其包括外出双栈安全处理模块、数据报文缓存模块、外出安全数据库操作接口、外出双栈安全数据库模块、进入双栈安全处理模块、进入安全数据库操作接口和进入双栈安全数据库模块；

所述安全协议处理部分，用于完成IPSec AH和ESP协议的封装和解封装处理和对数据报文加密、解密、认证算法处理，其包括IPSec协议处理模块和算法处理模块；

所述数据流传输机制部分，用于控制进入和外出方向数据流以一定的顺序流经不同的模块和网络通信接口；内网外出外网的报文数据通过外出双栈安全处理模块、外出双栈VPN预处理模块处理后，分别将安全参数和VPN参数封装到原始报文的头部；外网进入内网的报文数据通过进入双栈VPN预处理后就会将VPN的头部信息剥掉，这个剥掉VPN信息的报文通过双栈安全处理模块处理后，将安全参数封装到这个报文头部；

所述CPU部分，包括一个CPU和与其搭配工作的总线架构，用来管理安全数据库和VPN数据表以及分析OSI模型定义的运输层及以上的上层协议，并不干预正常的报文流量处理；

其中，CPU、进入安全数据库操作接口、外出VPN管理表和外出安全数据库操作接口通过片内总线相互连接，外网通信接口与外出双栈安全处理模块之间通过双端口缓冲器连接，外出双栈安全处理模块与外出安全数据库操作接口和数据报文缓存模块连接，外出双栈安全数据库模块与外出数据库操作接口连接，外出双栈安全处理模块与外出双栈VPN预处理模块之间通过双端口缓冲器连接，外出双栈VPN预处理模块与外出VPN管理表连接，外出双栈VPN预处理模块与IPSec协议处理模块之间通过双端口缓冲器连接，IPSec协议处理模块与算法处理模块之间通过双端口缓冲器连接，IPSec协议处理模块与外网通信接口之间通过双端口缓冲器连接，内网通信接口与进入双栈VPN预处理模块之间通过双端口缓冲器连接，进入双栈VPN预处理模块与进入双栈安全处理模块之间通过双端口存储器连接，进入双栈安全处理模块与进入安全数据库操作接口连接，进入双栈安全处理模块与IPSec协议处理模块之间通过双端口缓冲器连接，IPSec协议处理模块与内网通信接口之间通过双端口缓冲器连接。

2.如权利要求1所述双栈IPSec VPN装置，其特征在于，所述外出双栈安全数据库模块包括：用于存储安全策略条目的外出安全策略数据库，用于存储外出安全联盟条目的外出安全联盟数据库，以及对两种数据库的读写逻辑转化接口；

所述外出安全策略数据库包括分别对应于IPv4和IPv6的两个数据库：外出IPv4策略数据库和外出IPv6策略数据库，外出IPv4策略数据库用于匹配查询IPv4类型报文流量的策略，外出IPv6策略数据库用于匹配查询IPv6类型报文流量的策略；

所述外出安全联盟数据库是一个用来存储安全联盟条目信息的存储单元，其所存放的信息包括传输模式选择字段、采取的协议类型选择字段、序列号溢出处理选择字段、加密算法选择字段、认证算法选择字段、加密IV是否需要选择字段、加密算法密钥长度字段、认证算法密钥长度字段、PMTU字段、安全参数索引字段和序列号计数器字段。

3.如权利要求1所述双栈IPSec VPN装置，其特征在于，所述外出VPN管理表包括IPv4和IPv6两种类型的VPN表存储单元以及控制访问逻辑控制器，所述控制访问逻辑控制器包括：CPU对VPN管理表表项的查询、添加、删除操作的控制逻辑电路，外出双栈VPN预处理模块对VPN管理表的查询操作的控制逻辑电路。