[发明专利]一种IP报文过滤方法及装置

摘要

本发明涉及属于信息安全及密码技术领域，涉及一种通过IPSECVPN及IPtables技术配合，实现IP报文过滤方法及装置。本发明提供一种集成IPSECVPN和防火墙模块的网关设备，通过一种IPSEC安全策略与防火墙策略配合方法，实现IP报文过滤。降低了配置ipsec安全策略与防火墙策略的耦合性，使两种策略配置各司其职。本设计通过策略配置实现数据在INPUT链、OUTPUT链、FORWARD链的传输。本发明主要应用于IP报文数据过滤领域。

主权项

一种IP报文过滤方法，其特征在于包括：步骤1，利于linux的netfilter包筛选机制，在IPtables模块初始化时，设置OUTPUT链默认策略为“允许”，INPUT链默认策略为“丢弃”，并在INPUT链添加防火墙策略，允许经IPSEC封装的密通报文进入本网关，允许密钥协商报文进入本网关；步骤2，设置FORWARD链默认策略为“丢弃”，新建一条名称为“SECPOLICY”的规则链，在FORWARD链添加策略跳转到该链，并将管理员配置的防火墙策略都加载在该链上，使得对出入本网关非IPSEC处理的IP包过滤；步骤3，利用xt_policy模块提供的策略匹配功能，在FORWARD链末尾添加以下两条防火墙策略：1）允许解密后明通报文通过本网关，策略配置命令为：iptables –A FORWARD –m policy –dir in –j ACCEPT，对进入方向IPSEC解密后的IP包过滤；2）允许加密前明通报文通过本网关，策略配置命令为：iptables –A FORWARD –m policy –dir out –j ACCEPT，对外出方向需IPSEC加密处理的IP包过滤。