[发明专利]一种在接入网关设备上实现包身份标识及数字签名的方法

摘要

本发明公开了一种在接入网关设备上实现包身份标识及数字签名的方法，包括以下步骤：扩展接入网关设备的地址解析表以存储用户身份标识及用户私钥；用户主机发起身份认证，认证成功后认证服务器向接入网关设备下发用户身份标识及用户私钥；接入网关设备对用户主机发来的数据包在符合设定条件的情况下进行身份标识及数字签名添加，再转发该数据包。该方法在建立用户身份验证机制的同时，不影响现有网络协议，开销代价小，有利于增量部署。

主权项

1.一种在接入网关设备上实现包身份标识及数字签名的方法，其特征在于，包括以下步骤：A1、扩展接入网关设备的地址解析表(ARP表)以存储用户身份标识及用户私钥；A2、用户主机发起身份认证，认证成功后认证服务器向接入网关设备下发用户身份标识及用户私钥；A3、接入网关设备对用户主机发来的数据包在符合设定条件的情况下进行身份标识及数字签名添加，再转发该数据包；所述扩展包括增加和存储自治域号、用户身份标识、签名私钥以及认证绑定状态四个字段；步骤A3包括：接入网关设备首先判断用户主机当前发出的数据包类型是否适合添加身份标识，否则按一般数据包进行处理；判断ARP表中该用户主机的认证绑定状态是否为“认证成功”，否则直接丢弃；判断自身设定规则是否允许该数据包被转发，否则直接丢弃；若上述判断均成功，对数据包添加目标选项包头，并填充自治域号和用户身份标识，同时，采用数字签名算法，并利用用户私钥，对数据包的上层协议单元以及当前的目标选项包头除数字签名内容本身外的内容进行签名，将签名的结果更新至目标选项包头的签名字段中；对数据包的原始包头的相关字段进行更新。