【技術實現步驟摘要】
本專利技術涉及網絡加密機ipsecvpn，具體涉及一種用于網絡加密設備的狀態策略匹配方法及裝置。
技術介紹
1、在復雜的網絡環境中，黑客可能通過安全性比較薄弱的網絡終端作為跳板對中心主站設備發起了tcp非法訪問，對主站設備造成了破壞和影響；
2、目前，網絡加密設備的策略匹配具有局限性，如果需要加密tcp數據，按照目前的ipsecvpn技術需要策略配置為雙向的才能保證tcp業務的正常(因為tcp業務是雙向交互的)。配置為雙向策略后終端側便可以向主站發起tcp連接，利用此特性黑客便可以掃描端口發起對主站的攻擊。
3、因此，如何專利技術一種策略匹配方法，提高網絡加密機在復雜網絡環境的安全性和抗攻擊性，成為亟需解決的問題。
技術實現思路
1、為此，本專利技術提供一種用于網絡加密設備的狀態策略匹配方法及裝置，能夠提高網絡加密機在復雜網絡環境的安全性和抗攻擊性。
2、為了實現上述目的，本專利技術提供如下技術方案：一種用于網絡加密設備的狀態策略匹配方法，包括：
3、網絡報文進入ipsec處理單元后，通過五元組匹配策略對所述網絡報文進行五元組匹配處理；若所述網絡報文滿足所述五元組匹配策略，則進行后續狀態策略匹配處理；若所述網絡報文未滿足所述五元組匹配策略，則丟棄所述網絡報文；
4、對通過所述五元組匹配處理的所述網絡報文，通過狀態匹配策略進行所述狀態策略匹配處理；若所述網絡報文未滿足所述狀態匹配策略，則在結點加入狀態hash快表，進行后續報
5、對所述網絡報文的狀態進行所述報文狀態判斷處理，若所述網絡報文的狀態不正確，則丟棄所述網絡報文；若所述網絡報文的狀態正確，則進行后續操作處理。
6、作為一種用于網絡加密設備的狀態策略匹配方法的優選方案，在通過所述五元組匹配策略對所述網絡報文進行所述五元組匹配處理的過程中，所述五元組匹配處理的步驟為：
7、對所述網絡報文進行五元組匹配；
8、將所述網絡報文方向與所述五元組匹配策略方向進行比對，若方向一致，則進行后續狀態策略匹配處理；若方向不一致，則丟棄所述網絡報文。
9、作為一種用于網絡加密設備的狀態策略匹配方法的優選方案，在通過所述狀態匹配策略對所述網絡報文進行所述狀態策略匹配處理的過程中，所述狀態策略匹配處理的步驟為：
10、將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；
11、對所述網絡報文進行所述狀態策略匹配處理；
12、將所述網絡報文方向與所述狀態匹配策略方向進行比對，若方向一致，則進行后續操作處理；若方向不一致，則在結點加入所述狀態hash快表，進行報文方向進行比對。
13、作為一種用于網絡加密設備的狀態策略匹配方法的優選方案，在維護狀態hash快表的過程中，將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；當hash節點總數達到上限時，將新建立的hash進行替換；當hash節點超時時，建立連接清理線程，定時對超時節點進行清理。
14、作為一種用于網絡加密設備的狀態策略匹配方法的優選方案，所述hash節點包括源ip、目的ip、源端口、目的端口、協議號、超時時間、時間和連接狀態信息。
15、本專利技術還提供一種用于網絡加密設備的狀態策略匹配裝置，基于以上一種用于網絡加密設備的狀態策略匹配方法，包括：
16、五元組匹配處理模塊，用于網絡報文進入ipsec處理單元后，通過五元組匹配策略對所述網絡報文進行五元組匹配處理；若所述網絡報文滿足所述五元組匹配策略，則進行后續狀態策略匹配處理；若所述網絡報文未滿足所述五元組匹配策略，則丟棄所述網絡報文；
17、狀態策略匹配處理模塊，用于對通過所述五元組匹配處理的所述網絡報文，通過狀態匹配策略進行所述狀態策略匹配處理；若所述網絡報文未滿足所述狀態匹配策略，則在結點加入狀態hash快表，進行后續報文狀態判斷處理；
18、報文狀態判斷處理模塊，用于對所述網絡報文的狀態進行所述報文狀態判斷處理，若所述網絡報文的狀態不正確，則丟棄所述網絡報文；若所述網絡報文的狀態正確，則進行后續操作處理。
19、作為一種用于網絡加密設備的狀態策略匹配裝置的優選方案，所述五元組匹配處理模塊中，五元組匹配處理子模塊包括：
20、五元組匹配子模塊，用于對所述網絡報文進行五元組匹配；
21、報文方向比對處理第一子模塊，用于將所述網絡報文方向與所述五元組匹配策略方向進行比對，若方向一致，則進行后續狀態策略匹配處理；若方向不一致，則丟棄所述網絡報文。
22、作為一種用于網絡加密設備的狀態策略匹配裝置的優選方案，所述狀態策略匹配處理模塊中，狀態策略匹配處理子模塊包括：
23、狀態hash快表維護子模塊，用于將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；
24、狀態策略匹配處理子模塊，用于對所述網絡報文進行所述狀態策略匹配處理；
25、報文方向比對處理第二子模塊，用于將所述網絡報文方向與所述狀態匹配策略方向進行比對，若方向一致，則進行后續操作處理；若方向不一致，則在結點加入所述狀態hash快表，進行報文方向進行比對。
26、作為一種用于網絡加密設備的狀態策略匹配裝置的優選方案，所述狀態策略匹配處理模塊中，在維護狀態hash快表的過程中，將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；當hash節點總數達到上限時，將新建立的hash進行替換；當hash節點超時時，建立連接清理線程，定時對超時節點進行清理。
27、作為一種用于網絡加密設備的狀態策略匹配裝置的優選方案，所述狀態策略匹配處理模塊的所述狀態hash快表維護子模塊中，所述hash節點包括源ip、目的ip、源端口、目的端口、協議號、超時時間、時間和連接狀態信息。
28、本專利技術具有如下優點：網絡報文進入ipsec處理單元后，通過五元組匹配策略對所述網絡報文進行五元組匹配處理；若所述網絡報文滿足所述五元組匹配策略，則進行后續狀態策略匹配處理；若所述網絡報文未滿足所述五元組匹配策略，則丟棄所述網絡報文；所述五元組匹配處理的步驟為：對所述網絡報文進行五元組匹配；將所述網絡報文方向與所述五元組匹配策略方向進行比對，若方向一致，則進行后續狀態策略匹配處理；若方向不一致，則丟棄所述網絡報文。對通過所述五元組匹配處理的所述網絡報文，通過狀態匹配策略進行所述狀態策略匹配處理；若所述網絡報文未滿足所述狀態匹配策略，則在結點加入狀態hash快表，進行后續報文狀態判斷處理；所述狀態策略匹配處理的步驟為：將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；對所述網絡報文進行所述狀態策略匹配處理；將所述網絡報文方向與所述狀態匹配策略方向進行比對，若方向一致，則進行后續本文檔來自技高網...
【技術保護點】
1.一種用于網絡加密設備的狀態策略匹配方法，其特征在于，包括：
2.根據權利要求1所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，在通過所述五元組匹配策略對所述網絡報文進行所述五元組匹配處理的過程中，所述五元組匹配處理的步驟為：
3.根據權利要求2所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，在通過所述狀態匹配策略對所述網絡報文進行所述狀態策略匹配處理的過程中，所述狀態策略匹配處理的步驟為：
4.根據權利要求3所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，在維護狀態hash快表的過程中，將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；當hash節點總數達到上限時，將新建立的hash進行替換；當hash節點超時時，建立連接清理線程，定時對超時節點進行清理。
5.根據權利要求4所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，所述hash節點包括源IP、目的IP、源端口、目的端口、協議號、超時時間、時間和連接狀態信息。
6.一種用于網絡加密設備的狀態策
7.根據權利要求6所述的一種用于網絡加密設備的狀態策略匹配裝置，其特征在于，所述五元組匹配處理模塊中，五元組匹配處理子模塊包括：
8.根據權利要求7所述的一種用于網絡加密設備的狀態策略匹配裝置，其特征在于，所述狀態策略匹配處理模塊中，狀態策略匹配處理子模塊包括：
9.根據權利要求8所述的一種用于網絡加密設備的狀態策略匹配裝置，其特征在于，所述狀態策略匹配處理模塊中，在維護狀態hash快表的過程中，將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；當hash節點總數達到上限時，將新建立的hash進行替換；當hash節點超時時，建立連接清理線程，定時對超時節點進行清理。
10.根據權利要求9所述的一種用于網絡加密設備的狀態策略匹配裝置，其特征在于，所述狀態策略匹配處理模塊的所述狀態hash快表維護子模塊中，所述hash節點包括源IP、目的IP、源端口、目的端口、協議號、超時時間、時間和連接狀態信息。
...【技術特征摘要】
1.一種用于網絡加密設備的狀態策略匹配方法，其特征在于，包括：
2.根據權利要求1所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，在通過所述五元組匹配策略對所述網絡報文進行所述五元組匹配處理的過程中，所述五元組匹配處理的步驟為：
3.根據權利要求2所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，在通過所述狀態匹配策略對所述網絡報文進行所述狀態策略匹配處理的過程中，所述狀態策略匹配處理的步驟為：
4.根據權利要求3所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，在維護狀態hash快表的過程中，將發出報文五元組作hash；將收到報文五元組調換后作hash，使hash值相同；當hash節點總數達到上限時，將新建立的hash進行替換；當hash節點超時時，建立連接清理線程，定時對超時節點進行清理。
5.根據權利要求4所述的一種用于網絡加密設備的狀態策略匹配方法，其特征在于，所述hash節點包括源ip、目的ip、源端口、目的端口、協議號、超時時間、時間和連接狀態信息。
6.一種用于網絡加密設備的狀...
【專利技術屬性】
技術研發人員：王生，李海亮，汪海洋，郟暉，王彤，
申請(專利權)人：江蘇新質信息科技有限公司，
類型：發明
國別省市：
還沒有人留言評論。發表了對其他瀏覽者有用的留言會獲得科技券。