隧道加密，转发和解密方法以及装置与流程

1.本发明涉及网络通信技术，特别是涉及一种隧道加密，转发和解密方法以及装置。


背景技术：

2.现有基于vxlan隧道的加解密协议，能够实现数据中心端到端的加密能力，将虚拟机或物理服务器组装的原始报文后发出，在途经的网络设备上接收到该报文后，需要先进行解密和加密操作，使用报文的mac地址，ip地址等信息进行转发，到达目的地后由解密vxlan密文，并发送给虚拟机或物理服务器。在vxlan协议中，加密节点负责vxlan数据包明文加密，解密节点负责vxlan数据包密文解密，中间节点基于vxlan数据包密文进行路由转发。
3.如图1所示，当host a与host b在同一网段，分布在不同的vxlan隧道端点(vxlan tunnel end point，vtep)下面，物理服务器组装的原始报文后发出，在途经的网络设备上接收到该报文后，需要先进行解密以及解封装，和加密以及加封装)操作。以host a与host b的通信为例，具体处理过程详细如下：
4.1.host a与host b处于同一网段，在host a请求并获得host b的mac地址；
5.2.报文到达vtep-1后，交换机根据报文解析结果mac，ip等信息进行转发表项查找和转发处理。如果是二层转发，就查找fdb表项；如果是三层转发，就查找路由表。
6.以l2转发为例，根据查找的结果中的下一跳信息对原始报文执行加密和vxlan加封装处理，最终将报文转发出去。vtep-1的出口报文mac_da为router-1的设备mac-2；mac_sa为vtep-1的设备mac-1；外层ip_da为vtep-2的ip-4，ip_sa为vtep-1的ip-1；增加的外层udp header中的l4dstport为特定预留数值，而不是vxlan udp port(该标识为vxlan数据包密文特征之一)；
7.3.如果vxlan网络中的设备不具备vxlan加解密功能，加密报文在网络上依然可以根据vxlan外层ip地址进行路由转发，最终到达vtep-2；
8.4.vtep-2收到报文后，根据报文解析结果识别为vxlan数据包密文(如图四所示)，在交换机内部首先进行vxlan数据包密文的解密处理，完成解密后的报文为正常的vxlan数据包明文。交换机会根据vxlan报文解析结果中的ip_da，ip_sa，vni进行vxlan tunnel解封装表项查找，并根据查找结果，执行vxlan报文的解封装处理和内层报文解析。根据内层报文mac_da判断执行bridging转发或者routing转发，并查找对应的芯片表项。根据查找结果的下一跳信息进行报文出口编辑，最终将该报文转发给hostb。
9.传统的隧道加密方案在数据中心的部署，存在以下问题：
10.1.由于vxlan加密报文格式的设计是基于udp header的，加密时会将用于表示vxlan加密的特定标识替换掉原始的l4 dst port，因此需要更新udp length，导致在加密节点需要对udp checksum进行重新计算，带来两个风险：一是用于ecmp负载均衡计算的hash因子中，如果包含udp dst port，会导致在加密前和加密后的路径不一致；二是在穿越中间网络的转发节点时，如果一旦checksum未被正确更新，vxlan数据包密文的转发就存在
被丢弃的风险；
11.2.传统的vxlan，nvgre等多种协议在设计之初对加密的考虑不足，导致数据中心部署端到端加密方案使得报文关键信息被加密，无法用于转发，此外，这些隧道协议报文在加密报文格式的定义上扩展性差，难以携带多种信息，无法配合网络的运维和安全策略，导致在部署加密后，需要全网对加密数据流的下发转发配置，运维挑战大，并且加密后导致部分转发信息丢失，中间节点难以部署精细化的安全策略，难以统一实现整网的安全保障。


技术实现要素：

12.本发明实施例所要解决的技术问题是解决数据中心的部署端到端加密方案ecmp多路径负载均衡在加密前后的转发路径一致，避免带来数据流的报文乱序问题，以及通过统一的加密协议数据格式满足多种overlay隧道数据中心应用需求，避免为vxlan，nvgre多种隧道协议定制不同的加密方案，从而保证数据中心网络的简洁性。
13.为了解决上述的技术问题，本发明实施例提供了一种隧道加密方法，包括：于隧道加密报文的预设字段中添加未做修改的原始转发信息，以及芯片转发与配置信息；所述原始转发信息用于中间转发节点ecmp多路径负载分担计算与路径一致性，服务质量控制，安全策略执行，以及不同加密粒度的选择。
14.上述的隧道加密方法中，所述预设字段的插入位于ip数据包l3 header之后的位置，从而形成特定ip protocol作为加密后的隧道报文特征；所述原始转发信息包括以下至少一个转发信息：l4 dst port，l4 src port，ip protocol，vni，security index，dscp，sgt id，inner hash。
15.为了解决上述的技术问题，本发明还公开了一种隧道转发方法，包括：接收到根据如上述的隧道加密实现方法生成的隧道加密报文；识别所述报文为隧道加密报文；根据所述隧道加密报文预设字段中的原始转发信息进行转发路径计算并转发。
16.为了解决上述的技术问题，本发明还公开了一种隧道解密方法，包括：接收到根据如上述的隧道转发方法发送的隧道加密报文；识别所述报文为隧道加密报文，并解密；对解密后的隧道加密报文进行转发。
17.为了解决上述的技术问题，本发明还公开了一种隧道加密装置，包括：加密节点，于隧道加密报文的预设字段中添加未做修改的原始转发信息；所述原始转发信息用于中间转发节点ecmp多路径负载分担计算与路径一致性，服务质量控制，安全策略执行，以及不同加密粒度的选择。
18.上述的隧道加密装置中，所述预设字段的插入位于ip数据包l3 header之后的位置，从而形成特定ip protocol作为加密后的隧道报文特征；所述原始转发信息包括以下至少一个转发信息：l4 dst port，l4 src port，ip protocol，vni，security index，dscp，sgt id，inner hash。
19.为了解决上述的技术问题，本发明还公开了一种隧道转发装置，包括：转发节点，用于接收到根据如上述的隧道加密实现装置生成的隧道加密报文；识别所述报文为隧道加密报文；以及，根据所述隧道加密报文预设字段中的原始转发信息进行转发路径计算并转发。
20.为了解决上述的技术问题，本发明还公开了一种隧道解密装置，包括：接收到根据
上述的隧道转发装置发送的隧道加密报文；识别所述报文为隧道加密报文，并解密；对解密后的隧道加密报文进行转发。
21.本发明针对现有技术中的问题，通过在隧道加密数据报文中定义一保留的预设字段，所述预设字段中添加未做修改的原始转发信息，如vxlan的l4 dst port，可使中间转发节点通过读取该预设字段中的原始转发信息，实现正常的报文ecmp多路径负载均衡计算和转发；如vxlan内层ip dscp，可使中间转发节点读取该预设字段中的原始转发信息，实现不同的服务质量；如vxlan sgt安全组，可使中间转发节点读取该预设字段中的原始转发信息，实现基于sgt安全组的安全策略等。本发明通过定义加密协议及其报文格式，经由预设字段携带原始转发信息，实现了通用的隧道加密方案，从而解决了隧道端到端加密中存在的问题。
附图说明
22.图1是现有基于vxlan加密数据包进行路由转发的拓扑示意图；
23.图2是实施例1的隧道报文结构示意图；
24.图3是实施例1的隧道报文结构示意图；
25.图4是实施例2的隧道报文结构示意图。
具体实施方式
26.实施例一
27.本发明实施例基于ip协议对报文封装。
28.在加密起始节点，基于本发明实施例的交换机将vxlan报文加密处理后的报文格式如图2和图3所示。ip头部的ip protocol字段，由于进行如vxlan数据包的加密操作，会被更新为new ip protocol，new ip protocol为公认的特殊标识，这样就能够被统一识别为报文进行了vxlan数据包密文的标识。如图2所示，加密后的报文在ip头部后插入了一预设字段x-sec header，这样，本实施例就形成了有别于现有普通第三层网络层ip协议的特定ip协议，并以此特定ip protocol作为加密后的隧道报文特征之一。在x-sec header中，支持携带上述一个或多个转发信息，如携带了原始报文的ip protocol。
29.在x-sec header中，包括如下两个标识类型的字段：
30.(1)type：8bit，标识x-sec header的类型，用于区分携带不同信息；
31.(2)next header：8bit，标识x-sec header的内层报文头部的解析；
32.x-sec header支持携带一个或多个转发信息，其包含但不限于下列的转发信息字段：
33.(1)l4 dst port：16bit，标识原始内层或者外层l4 dst port；
34.(2)l4 src port：16bit，标识原始内层或者外层l4 src port；
35.(3)ip protocol：8bit，标识原始ip protocol；
36.(4)security index：16bit，用于加解密的key索引，可灵活映射精细业务；
37.(5)sgt id：16bit，用于全局加解密key，可灵活映射精细业务；
38.(6)dscp：6bit，标识ip dscp优先级；
39.(7)vni：24bit，标识vxlan vni或者gre vsi；
40.(8)inner hash：16bit，标识基于隧道内层报文特征的hash计算结果，用于参与ecmp负载均衡转发。
41.在中间转发节点，首先进行解析处理，根据结果获取到报文的特征，比如：ipsa，ipda，new ip protocol，以及x-sec header等字段。因此，中间节点在转发表项查找，会根据ipda查找路由表项，并根据new ip protocol区分出是加密后的报文(这与现有做法相同)。与现有技术不同的是，在识别出为加密报文后，中间节点会进一步地根据x-sec header携带的转发信息原始ip protocol，参与ecmp hash计算，使得中间节点ecmp转发在加密前和加密后所提取的hash因子保持不变，满足ecmp hash选路一致性。
42.在解密节点，交换机接收到加密后的报文后，同样首先进行解析处理，从而根据结果获取到报文的特征，比如：ipsa，ipda，new ip protocol，以及x-sec header等字段。然后根据new ip protocol区分出是加密后的，因此，首先查找到用于匹配解密的acl的表项来进行该数据报文的解密处理，并根据解密后的vxlan报文的ipda查找路由表项，最终对解密后的报文进行ecmp转发。
43.本实施例将预设字段x-sec header插入位于ip数据包l3 header之后的位置，通过实施一套加密方案满足数据中心多种overlay隧道协议组网。所述原始转发信息用于中间转发节点ecmp多路径负载分担计算与路径一致性，服务质量控制，安全策略执行，不同加密粒度的选择等。所述预设字段x-sec中添加未做修改的原始转发信息，如携带vxlan的l4 dst port，可使中间转发节点通过读取该预设字段中的原始转发信息，实现正常的报文ecmp多路径负载均衡计算和转发；再如，携带vxlan内层ip dscp，可使中间转发节点读取该预设字段中的原始转发信息，实现不同的服务质量；还有，携带如vxlan sgt安全组，可使中间转发节点读取该预设字段中的原始转发信息，实现基于sgt安全组的安全策略等。
44.实施例二
45.本发明实施例通过gre隧道进行数据的加解密和转发。
46.在加密起始节点，基于本发明实施例的交换机将vxlan报文加密处理后的报文格式如图4所示。ip头部的ip protocol字段，由于进行如gre/nvgre数据包的加密操作，会被更新为new ip protocol，new ip protocol为特殊标识，被统一识别为报文进行了gre/nvgre数据包密文的标识。
47.为了避免中间节点ecmp转发时，无法提取到加密后的报文中的原始gre内层ip五元组信息参与ecmp hash计算，在解密起始节点会从加密前的原始gre内层报文中的ip五元组等字段，在加密起始加点提前完成ecmp hash计算，并将ecmp hash计算结果抽取到x-sec header的inner hash字段。如图4所示，加密后的报文在ip头部后面插入了x-sec header，在x-sec header中，支持携带上述一个或多个转发信息，如携带了原始报文的inner hash。
48.在中间转发节点，首先进行解析处理，根据结果获取到报文的特征，比如：ipsa，ipda，new ip protocol，以及x-sec header等字段。因此，中间节点在转发表项查找，会根据ipda查找路由表项，并根据new ip protocol区分出是加密后的报文。在识别出为加密报文后，进一步地根据x-sec header携带的转发信息inner hash参与ecmp hash计算，使得中间节点ecmp转发在加密前和加密后所提取的hash因子保持不变，满足ecmp hash选路一致性。
49.在解密节点，交换机接收到加密后的报文后，同样首先进行解析处理，从而根据结
果获取到报文的特征，比如：ipsa，ipda，new ip protocol，以及x-sec header等字段。然后根据new ip protocol区分出是加密后的，因此，首先查找到用于匹配解密的acl的表项来进行该数据报文的解密处理，并根据解密后的gre报文的ipda查找路由表项，最终对解密后的报文进行ecmp转发。
50.综合上述的实施例一至实施例二，通过本发明的隧道加密协议能够支持多种隧道，包含但不限于如：vxlan，gre/nvgre，ipv4/ipv6 tunnel，srv6，geneve，实现了基于ip header加密方案，在部署时支持穿越中间ip三层网络，简化了中间节点能力要求，具备实现端到端安全加密的部署能力。同时，发明设计通过设计x-sec header携带一种或者多种转发信息，增强了加密协议的扩展性，解决了ecmp多路径负载分担转发路径一致性，服务质量，安全策略与运维管理，精细化加密粒度等问题。
51.实施例三
52.本实施例公开了一种隧道加密，转发以及解密装置，包括：
53.加密节点，于隧道加密报文的预设字段中添加未做修改的原始转发信息，以及芯片转发与配置信息；所述原始转发信息用于中间转发节点ecmp多路径负载分担计算与路径一致性，服务质量控制，安全策略执行，以及不同加密粒度的选择。
54.在具体实施中，所述预设字段的插入位于ip数据包l3 header之后的位置。所述原始转发信息包括以下至少一个转发信息：l4 dst port，l4 src port，vni，security index，dscp，sgt id，inner hash。
55.在具体实施中，所述隧道包括vxlan，gre/nvgre，ipv4/ipv6 tunnel，srv6，geneve。
56.本实施例的隧道转发装置，包括：转发节点，用于接收到上述的隧道加密实现装置生成的隧道加密报文；识别所述报文为隧道加密报文；以及，根据所述隧道加密报文预设字段中的原始转发信息进行转发路径计算并转发。
57.本实施例的隧道解密装置，包括：接收到根据如上述的隧道转发装置发送的隧道加密报文；识别所述报文为隧道加密报文，并解密；对解密后的隧道加密报文进行转发。
58.本领域技术人员可以理解的是，本实施例四的一种隧道加密，转发以及解密装置与实施例一至三的隧道加密，转发以及解密方法为基于同一发明构思，因此关于相关本实施例的内容可以参照前文相应内容处，此处不再赘述。
59.本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：rom、ram、磁盘或光盘等。
60.虽然本发明披露如上，但本发明并非限定于此。任何本领域技术人员，在不脱离本发明的精神和范围内，均可作各种更动与修改，因此本发明的保护范围应当以权利要求所限定的范围为准。

技术特征：
1.一种隧道加密方法，其特征在于，包括：于隧道加密报文的预设字段中添加未做修改的原始转发信息；所述原始转发信息用于中间转发节点ecmp多路径负载分担计算与路径一致性，服务质量控制，安全策略执行，以及不同加密粒度的选择。2.如权利要求1所述的隧道加密方法，其特征在于，所述预设字段的插入位于ip数据包l3 header之后的位置，从而形成特定ip protocol作为加密后的隧道报文特征；所述原始转发信息包括以下至少一个转发信息：l4 dst port，l4 src port，ip protocol，vni，security index，dscp，sgt id，inner hash。3.一种隧道转发方法，其特征在于，包括：接收到根据如权利要求1或2所述的隧道加密实现方法生成的隧道加密报文；识别所述报文为隧道加密报文；根据所述隧道加密报文预设字段中的原始转发信息进行转发路径计算并转发。4.一种隧道解密方法，其特征在于，包括：接收到根据如权利要求3所述的隧道转发方法发送的隧道加密报文；识别所述报文为隧道加密报文，并解密；对解密后的隧道加密报文进行转发。5.一种隧道加密装置，其特征在于，包括：加密节点，于隧道加密报文的预设字段中添加未做修改的原始转发信息，以及芯片转发与配置信息；所述原始转发信息用于中间转发节点ecmp多路径负载分担计算与路径一致性，服务质量控制，安全策略执行，以及不同加密粒度的选择。6.如权利要求5所述的隧道加密装置，其特征在于，所述预设字段的插入位于ip数据包l3 header之后的位置，从而形成特定ip protocol作为加密后的隧道报文特征；所述原始转发信息包括以下至少一个转发信息：l4 dst port，l4 src port，ip protocol，vni，security index，dscp，sgt id，inner hash。7.一种隧道转发装置，其特征在于，包括：转发节点，用于接收到根据如权利要求5或6所述的隧道加密实现装置生成的隧道加密报文；识别所述报文为隧道加密报文；以及，根据所述隧道加密报文预设字段中的原始转发信息进行转发路径计算并转发。8.一种隧道解密装置，其特征在于，包括：接收到根据如权利要求7所述的隧道转发装置发送的隧道加密报文；识别所述报文为隧道加密报文，并解密；对解密后的隧道加密报文进行转发。

技术总结
本发明公开了一种隧道加密，转发和解密方法以及装置，其中所述隧道加密方法包括：于隧道加密报文的预设字段中添加未做修改的原始转发信息；所述原始转发信息用于中间转发节点的路径计算选择，服务质量控制，安全策略执行，不同加密粒度的选择等。通过所述方法和装置，可以解决现有数据中心端到端加密方案部署的挑战，如ECMP多路径负载分担选路不一致，端到端服务质量难以部署，安全策略配置实施复杂，无法灵活选择加密粒度，以及传统加密隧道报文格式扩展性等问题。格式扩展性等问题。格式扩展性等问题。


技术研发人员：成伟 王俊杰 龚海东
受保护的技术使用者：苏州盛科通信股份有限公司
技术研发日：2021.12.31
技术公布日：2023/7/13