[发明专利]一种基于国密SM4的SD-WAN实现方法及系统

说明书

本发明提供一种基于国密SM4的SD‑WAN实现方法及系统，涉及电网数据安全技术领域，配置预设网络、网络参数文件、SM4加密算法以及C25519算法；向客户端导入网络参数文件；启动客户端，客户端解析网络参数文件，获取网络参数文件的信息，并链接到服务端；服务端对链接的客户端进行认证，认证通过后，告知其他已认证客户端；服务端判断客户端是否存在虚拟网卡，如果不存在，创建客户端的虚拟网卡，并创建VPN通道线程，使客户端通过VPN通道线程建立通信链接。本发明实现客户端的点对点业务数据交互，相较于光缆专线网，无需敷设光纤；相较于传统VPN技术，本发明无需部署特定网关。降低了施工难度，大大节约设备成本。

技术领域

本发明涉及电网数据安全技术领域，尤其涉及一种基于国密SM4的SD-WAN实现方法及系统。

背景技术

在新型电力系统的运行过程中，大量的一二次设备实时监测数据和电网调度数据通过网络进行传输，数据地域跨度大，承载的业务种类丰富。很多时候，这些数据需要在不同的局域网之间进行传输交互。

传统的解决方案一为在局域网与局域网之间敷设光缆通道，进行点对点专网通信。方案二为借助IPSEC、SSL等VPN技术建立终端的点对点通信专用通道，使不同地方的同类业务数据处于一个虚拟局域网中，实现数据的远程访问和分区隔离。但这种方法需要在各通信设备上进行复杂的配置，后期维护困难。而且现有方案要求服务端在公网中申请一个或多个固定的IP地址，子网越多时，申请的IP地址越多，造成了IP地址的极大浪费，增加了IP地址管理难度。

两个不同局域网内的设备想要通信，第一种方案为在两个局域网之间敷设光缆专线。对于跨地区的局域网而言，光缆敷设成本高，维护困难，且一旦接好不可随意改动，灵活性较差。

另一种方案为普通的VPN(Virtual Private Network，虚拟专用网络)技术，在两个局域网间建立点对点的VPN通道，形成一个虚拟局域网。虚拟局域网建立后，这两个不同的局域网在逻辑上属于同一个局域网内。一般的VPN技术包括IPSEC(Internet ProtocolSecurity，互联网安全协议)VPN和SSL(Secure Sockets Layer，安全套接层)VPN，其通信结构如图1所示。图中，CPE(Customer Premise Equipment)为5G客户终端设备，负责各自地区局域网内的数据通信和转发。当局域网1和局域网2的同类业务需要建立虚拟局域网进行互传时，在CPE1、CPE2处皆需要配置非常多的信息，包括网关的公网IP地址、认证方式、IKE版本、IKE算法、IKE生命周期、本地子网、远程子网、数据包封装方式、SA类型、ESP算法、DPD使能、认证授权证书、私人密钥等十几种信息。同样，在中央网关处也需要配置这样复杂繁琐的信息。全部配置完成后，CPE1将业务数据交付至网关处，由网关将数据转交给CPE2，网关不可省略。局域网3和局域网4之间建立虚拟局域网同以上步骤。新增其他虚拟局域网时，重复上述配置。在局域网较少时尚可应对，一旦局域网增多，复杂繁琐的配置信息将会给后期维护人员的维护带来困难。另外，分散的终端包含多种不同电力业务，给这些业务划分虚拟局域网，多个子网需要分配不同的IP地址，造成IP地址的极大浪费，增加了IP地址的管理工作。

发明内容

本发明提供一种基于国密SM4的SD-WAN实现方法，将国密SM4算法和SD-WAN技术相结合，在增强电网数据安全的同时，实现更简单跨局域网访问设备。

基于国密SM4的SD-WAN实现方法包括：

步骤一、配置虚拟局域网、虚拟IP地址池、网络参数文件、SM4加密算法以及C25519算法；

步骤二、向客户端导入网络参数文件；

步骤三、启动客户端，客户端解析网络参数文件，获取网络参数文件的信息，并链接到服务端；

步骤四、服务端对链接的客户端进行认证，认证通过后，告知其他已认证客户端；