[发明专利]一种对报文进行互联网协议安全性IPSec处理的方法和装置

摘要

本发明公开了一种对报文进行IPSec处理的方法，应用于包括NAT设备的网络系统，该NAT设备根据报文的会话信息查找预先设置的会话索引表和报文管理字段，获取该报文对应的安全策略，并根据获取的安全策略对报文进行IPSec处理，减轻了中央处理器的处理负担，且实施简单，成本低，能够在不改变硬件的前提下，提高对报文的IPSec处理能力，尤其是大流量、多隧道的复杂网络环境中对报文的IPSec处理能力。本发明同样公开了一种应用上述方法的NAT网关设备。

主权项

1、一种对报文进行互联网协议安全性IPSec处理的方法，用于对网络地址转换NAT设备接收的报文进行IPSec处理，其特征在于，所述NAT设备包括会话管理模块、数据缓存和IPSec处理模块，所述NAT设备接收到内网发往外网的报文时，所述NAT设备对该报文进行IPSec处理包括以下步骤：所述会话管理模块获取待发送的报文的会话信息，将获取的会话信息和会话索引表中记录的会话信息进行匹配；在所述会话匹配成功后，所述会话管理模块判断所述报文的会话信息在所述会话索引表中对应的策略有效位是否已经置位；如果所述策略有效位已经置位，所述会话管理模块在所述数据缓存存储的报文管理字段中记录所述报文的会话信息标识，并对所述会话信息标识对应的会话有效位进行置位，并将所述报文转发给所述IPSec处理模块；如果所述策略有效位没有置位，所述会话管理模块也将所述报文转发给所述IPSec处理模块；所述IPSec处理模块判断所述报文的会话信息标识是否包含在所述报文管理字段中且对应的会话有效位已经置位；如果所述报文的会话信息标识包含在所述报文管理字段中且所述对应的会话有效位已经置位，所述IPSec处理模块在所述会话索引表中查找所述报文的会话信息对应的策略信息，并根据所述查找到的策略信息对所述报文进行IPSec处理；如果所述报文的会话信息标识没有包含在所述报文管理字段中且所述报文的会话信息标识对应的会话有效位没有置位，所述IPSec处理模块从安全策略数据库中查找所述报文对应的安全策略，如果查找到，则添加所述会话索引表中所述报文的会话信息对应的策略信息，并对所述报文进行IPSec处理。