[发明专利]一种报文转发方法及装置

说明书

本申请实施例提供一种报文转发方法及装置，涉及通信领域，在数据网络中报文转发时实现高安全性的逐段路径鉴权。具体包括：通过安全通道，接收第一鉴权参数及鉴权算法；接收第一报文，第一报文包括每个鉴权位置的第一鉴权值；将第一鉴权参数以及每个鉴权位置的鉴权参考信息，进行上述鉴权算法，得到每个鉴权位置的第二鉴权值；若每个鉴权位置的第二鉴权值与各自的第一鉴权值相同，将第一报文转发。本申请用于转发报文。

技术领域

本申请涉及通信领域，尤其涉及一种报文转发方法及装置。

背景技术

信息化时代，数据网络中的信息传递尤为重要，报文从源端经过转发设备的转发到达目的端，完成传输。例如，通信网络或者计算机网络中传输报文实现信息传递。

主流转发设备如路由器、交换机或者软件转发设备，采用控制面和转发面分离的架构，由控制面实现转发表项的生成下发，由转发面按照转发表项逐跳转发报文。在报文传输过程中的安全性，关系到整个网络的性能，因此，报文转发时的鉴权环节必不可少。当前，转发设备的控制面有成熟的鉴权方法，转发面有端到端的加密、鉴权方法(例如互联网协议安全性(internet protocol security，IPSEC)鉴权)。

在报文转发过程中，非法节点伪装成合法的转发设备，通过抓包等方式获取到合法节点间通信的地址、报文格式等，发送格式相同的报文(非法报文)到合法节点与其他转发设备通信，以攻击数据网络。而端到端的鉴权方式，导致合法的转发节点无法识别非法报文，只能到最终业务节点通过业务来识别非法报文，攻击流量较大时将消耗大量带宽，造成业务节点的负荷增加。因此，逐段路径的鉴权方法急需应用于数据网络，以提高网络安全。

但是，若将当前端到端的鉴权方法，如IPSEC加密鉴权、接入键标识(Access KeyIDentity，AK)/安全接入键(Secret Access key，SK)鉴权等应用于转发节点进行逐段路径鉴权，非法节点无需获知报文内容，通过抓包发送相同的报文，依然对数据网络造成攻击。因此，实现安全性高的逐段路径鉴权成为亟待解决的问题。

发明内容

本申请实施例提供一种报文转发方法、装置及系统，在数据网络中报文转发时实现高安全性的逐段路径鉴权。

为达到上述目的，本申请的实施例采用如下技术方案：

本申请的第一方面，提供一种报文转发方法，应用于转发设备，该方法可以包括：通过安全通道，接收第一鉴权参数及鉴权算法；接收第一报文，第一报文包括一个或多个鉴权位置的第一鉴权值；将第一鉴权参数以及每个鉴权位置的鉴权参考信息，进行上述鉴权算法，得到每个鉴权位置的第二鉴权值；若每个鉴权位置的第二鉴权值与各自的第一鉴权值相同，将第一报文转发。

通过本申请提供的报文转发方法，鉴权参数和鉴权算法通过安全通道集中配置，每个转发设备按照本申请提供的报文转发方法，根据接收的鉴权参数和鉴权算法对接收的报文进行鉴权，实现报文转发时的逐段路径鉴权。由于通过安全通道集中配置鉴权参数和鉴权算法，非法设备无法抓包获取鉴权参数和鉴权算法，提高了鉴权的安全性。并且，集中配置的方式可以不断更新鉴权参数，提高鉴权的安全性，并且更新过程简单易行，即使路由节点增加或者变更，集中控制的架构都可以快速配置。

其中，鉴权位置是指报文鉴权过程中的鉴权次数，并不是指示一个具体位置。一个鉴权位置是指全局共知的一次鉴权，每个鉴权位置具有各自的鉴权参考信息，且不同鉴权位置的鉴权参考信息内容不同，可以根据实际需求配置一个或多个鉴权位置。当配置的鉴权位置越多，鉴权的安全性越高，但是实现也将复杂。

需要说明的是，每个鉴权位置的第二鉴权值与各自第一鉴权值相同，是指每个鉴权位置的第二鉴权值与该鉴权位置的第一鉴权值相同。此处描述的各自，其前后的内容对属于同一个鉴权位置，也就是说，一个鉴权位置的第二鉴权值与该鉴权位置的第一鉴权值进行对比。后续内容对此不再一一说明。