[发明专利]一种报文处理方法及装置

说明书

本申请实施例提供了一种报文处理方法及装置。防火墙设备接收用户设备发送的认证报文，认证报文的载荷包括用户设备的第一IP地址和第一认证校验信息；根据第一IP地址对应的第一用户信息，确定第二认证校验信息；若第一认证校验信息和第二认证校验信息相同，则根据第一IP地址和第一用户信息，确定第一数据校验信息；向用户设备发送指示认证成功的响应报文。用户设备根据响应报文，利用第一IP地址和第一用户信息确定第二数据校验信息，向防火墙设备发送携带第二数据校验信息的数据报文。若第二数据校验信息和第一数据校验信息相同，则转发数据报文。应用本申请实施例提供的技术方案，能够解决用户和IP地址的绑定缺乏唯一性的问题，提高网络安全性。

技术领域

本申请涉及通信技术领域，特别是涉及一种报文处理方法及装置。

背景技术

随着互联网技术的发展，接入互联网的设备越来越多，这使得IPv4(InternetProtocol version 4，网络协议第四版)地址资源越来越紧缺。为解决该问题，IPv6(Internet Protocol version 6，网络协议第六版)地址逐渐被广泛使用。这使得互联网中出现IPv4网络和IPv6网络共存的现象。

另外，在互联网中，为防止用户被假冒，提高网络安全性，一些服务器只允许认证成功的用户访问。具体的，防火墙设备记录认证成功的用户信息与用户使用设备的IP地址的对应关系，将用户与IP地址绑定。当防火墙设备接收到一个数据报文的源IP地址包括在记录的对应关系中时，确定该数据报文为合法报文，则转发该数据报文。在IPv4网络和IPv6网络共存的互联网中，若IPv4网络中的设备和IPv6 网络中的设备互访，则NAT(NetworkAddress Translation，网络地址转换)设备会对报文的源IP地址进行NAT处理。这使得防火墙设备对用户信息认证成功后，用户绑定的IP地址为NAT处理后的IP地址。

但是，NAT设备可能会将多个不同的源IP地址转换为同一IP地址，也可能会将同一的源IP地址转换为不同的IP地址，用户和IP地址的绑定缺乏唯一性，导致认证未通过的用户的报文有可能被发送给服务器，认证成功的用户有可能无法正常访问服务器，进而导致网络安全问题。另外，用户绑定的IP地址为NAT处理后的IP地址，这使得用户绑定的IP地址容易被窃取，进而被攻击者利用攻击服务器，导致网络安全问题。

发明内容

本申请实施例的目的在于提供一种报文处理方法及装置，以解决用户和IP地址的绑定缺乏唯一性的问题，提高网络安全性。具体技术方案如下：

第一方面，本申请实施例提供了一种报文处理方法，应用于防火墙设备，所述方法包括：

接收用户设备发送的认证报文，所述认证报文的载荷包括所述用户设备的第一IP地址和第一认证校验信息；

判断预先存储有允许访问的IP地址与用户信息的对应关系中是否存在包括所述第一IP地址的第一对应关系；

若存在所述第一对应关系，则根据所述第一对应关系包括的第一用户信息，确定第二认证校验信息；

若所述第一认证校验信息和所述第二认证校验信息相同，则根据所述第一IP地址和所述第一用户信息，确定第一数据校验信息；

向所述用户设备发送指示认证成功的响应报文，并接收所述用户设备发送的携带第二数据检验信息的数据报文，所述第二数据检验信息为所述用户设备在接收到所述响应报文后，利用所述第一IP地址和所述第一用户信息生成的；

若所述数据报文携带的所述第二数据校验信息和所述第一数据校验信息相同，则转发所述数据报文。

第二方面，本申请实施例提供了一种报文转发方法，应用于用户设备，所述方法包括：

根据所述用户设备的第二用户信息，确定第一认证校验信息；