[发明专利]基于SRoU的业务加密方法、系统、设备及存储介质

说明书

本发明公开了一种基于SRoU的业务加密方法、系统、设备及存储介质，方法包括在SDWAN场景中，在本地用户端和远端用户端之间引入基于UDP协议的分段路由，生成端到端的SRoU路径，并通过映射方式绑定本地用户端和远端用户端的流策略；本地用户端和远端用户端之间通过SRoU路径传送SRoU报文，并在SRoU报文头中增加ES TLV字段实现基于业务的双向安全加密功能。本发明通过在SDWAN场景中，生成端到端的SRoU路径，并在SRoU的报文头中封装携带安全参数索引SPI的ES TLV字段，通过ES TLV字段中用于匹配流策略的安全参数索引SPI实现双向安全加密功能。

技术领域

本发明涉及互联网通信安全技术领域，尤其涉及一种基于SRoU的业务加密方法、系统、设备及存储介质。

背景技术

传统的IPSec安全方案中，主要包含的协议是：认证头AH（AuthenticationHeader）和封装安全载荷ESP（Encapsulating Security Payload）。AH用于保证数据完整性/防止重放攻击；ESP除了保证数据完整性/防止重放攻击，还提供数据加密。

SRH最新的标准RFC8754中，认为SR是可信域，没有细节讨论安全场景。但是预留了在SRH中扩展实用AH（Authentication Header）实现安全加密。但IPSec把加密作为公网IPSec隧道的属性，无法实现细粒度的基于业务的加密。

发明内容

技术目的：针对现有技术中无法实现细粒度的基于业务加密的缺陷，本发明公开了一种基于SRoU的业务加密方法、系统、设备及存储介质，通过在SDWAN场景下，引入SRoU为不同业务生成端到端的SR路径，并在SRoU的报文头中增加ES TLV字段，实现基于业务的双向安全加密功能。

技术方案：为实现上述技术目的，本发明采用以下技术方案。

一种基于SRoU的业务加密方法，包括：

S1、在SDWAN场景中，在本地用户端和远端用户端之间引入基于UDP协议的分段路由，即SRoU，通过引入SRoU生成端到端的SRoU路径，并通过映射方式绑定本地用户端和远端用户端的流策略；

S2、本地用户端和远端用户端之间通过SRoU路径传送SRoU报文，并在SRoU报文头中增加ES TLV字段实现基于业务的双向安全加密功能，ES TLV字段作为安全加密参数；所述ES TLV字段中携带安全参数索引SPI，所述安全参数索引SPI用于匹配流策略，支持后期扩展。

优选地，所述在步骤S1中，生成端到端的SRoU路径的具体过程为：

S11、获取本地用户端、远端用户端和本地用户端和远端用户端之间所有中转站的基本信息，根据本地用户端和远端用户端的基本信息建立流策略数据库；

S12、基于UDP协议和业务需求选取本地用户端和远端用户端之间的若干个中转站，依据本地用户端、若干中转站和远端用户端顺序生成端到端的SRoU路径；

S13、根据步骤S11中本地用户端和远端用户端各自的流策略数据库，通过将两个流策略数据库中相同的流策略建立映射关系，实现本地用户端和远端用户端之间流策略的绑定。

优选地，每个流策略只有唯一一个用于匹配的安全参数索引SPI，所述步骤S13中本地用户端和远端用户端之间流策略的绑定，即本地用户端和远端用户端之间安全参数索引SPI的绑定。

优选地，所述步骤S2中，本地用户端和远端用户端之间通过SRoU路径传送SRoU报文的具体过程为：

S21、本地用户端接收用户侧业务流量，根据业务流量需求确定本地流策略，并根据本地流策略配置的安全属性加密SRoU报文；