CN107294711B - 一种基于vxlan技术的电力信息内网报文加密发布方法 - Google Patents
一种基于vxlan技术的电力信息内网报文加密发布方法 Download PDFInfo
- Publication number
- CN107294711B CN107294711B CN201710559431.5A CN201710559431A CN107294711B CN 107294711 B CN107294711 B CN 107294711B CN 201710559431 A CN201710559431 A CN 201710559431A CN 107294711 B CN107294711 B CN 107294711B
- Authority
- CN
- China
- Prior art keywords
- vxlan
- message
- address
- tunnel
- vtep
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 37
- 238000005516 engineering process Methods 0.000 title claims abstract description 20
- 230000005540 biological transmission Effects 0.000 claims abstract description 26
- 238000005538 encapsulation Methods 0.000 claims abstract description 11
- 230000008569 process Effects 0.000 claims abstract description 10
- 101100513046 Neurospora crassa (strain ATCC 24698 / 74-OR23-1A / CBS 708.71 / DSM 1257 / FGSC 987) eth-1 gene Proteins 0.000 claims description 18
- 238000004891 communication Methods 0.000 claims description 18
- 230000006870 function Effects 0.000 claims description 7
- 238000012790 confirmation Methods 0.000 claims description 3
- 230000000694 effects Effects 0.000 claims description 3
- 239000013307 optical fiber Substances 0.000 claims description 3
- 238000001914 filtration Methods 0.000 claims description 2
- 238000002955 isolation Methods 0.000 claims description 2
- 239000000463 material Substances 0.000 claims description 2
- 238000004806 packaging method and process Methods 0.000 claims 1
- 230000001360 synchronised effect Effects 0.000 claims 1
- 230000007547 defect Effects 0.000 abstract description 4
- 238000012544 monitoring process Methods 0.000 abstract description 4
- 239000002699 waste material Substances 0.000 abstract description 2
- 238000012423 maintenance Methods 0.000 description 3
- 238000013507 mapping Methods 0.000 description 3
- 101100289995 Caenorhabditis elegans mac-1 gene Proteins 0.000 description 2
- 230000002457 bidirectional effect Effects 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 238000006467 substitution reaction Methods 0.000 description 2
- 230000008859 change Effects 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种基于VXLAN技术的电力信息内网报文加密发布方法,属于电力***调度监控远方传输技术领域。在电力***中,纵向链路远方传输必须要经过国家认证的纵向加密装置,保证信息的安全传输,但存在纵向加密设备不能加密广播和组播报文的缺陷。该发明是通过利用网关VXLAN路由器实现VXLAN的二层网络功能,以实现VXLAN对广播、组播和IP数据报文的封装,再通过纵向加密装置隧道根据策略实现加密,且整个过程是在网关VXLAN路由器内部和纵向加密隧道内部执行,做到了组播和广播数据报文远方加密传输,提高了报文传输的安全性,节省了链路带宽的浪费。
Description
技术领域
本发明涉及电力***调度监控远方传输技术领域,具体涉及一种基于VXLAN技术的电力信息内网报文加密发布方法。
背景技术
智能电网调度技术支持***实现了以“集约运行、源端维护、分布应用、扁平管理、优化流程”为核心的省地县一体化调度管理体系。由于智能电网调度技术支持***采用分布式采集方式,该模式需要在远方调度配置工作站,该网络为地调***主干网络的远端延伸,需要地调主站与各供电局之间通过以太网络长距离纵向联接。
根据***14号令《电力监控***安全防护规定》要求:“在生产控制大区与广域网的纵向联接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施。”但对于调控***现状,文中所指的纵向联结处仅包括调控中心前置服务器至变电站的通讯网关机段,却未包含调控中心主网至各县调调度工作站段,这使得电力监控***安全防护存在薄弱环节,必须采取相应的措施避免安全隐患。
目前国内电力***调度技术支持***采用远程工作站模式的,均为利用远距离网线将主网交换机延伸接入远方工作站,这就导致黑客可以从通信链路任意一点直接攻击调度SCADA***,造成大面积停电事故。
采用VXLAN技术(Virtual eXtensible LAN,可扩展虚拟局域网络)是基于IP网络、采用“MAC in UDP”封装形式的二层VPN技术。VXLAN具备极好的开放性,可以基于现有网络的基础上为分散的物理站点提供二层互联,并能够为不同的用户提供业务隔离。
在电力***中,纵向链路远方传输必须要经过国家认证的纵向加密装置,保证信息的安全传输,但存在纵向加密设备不能加密广播和组播报文的缺陷。然而,若直接采用VXLAN技术在主干网至远方工作站两侧配置两台纵向加密,来解决通道安全的问题,却存在纵向加密设备只能对单播报文实现加密传输却不能加密广播和组播报文的缺陷,仍然无法保证纵向链路的密文传输。
发明内容
本发明是一种基于VXLAN技术对电力信息内网报文加密发布的方法,该方法解决了现有技术中电力***不能加密广播和组播报文的缺陷。利用网关VXLAN路由器实现VXLAN的二层网络功能,以实现VXLAN对广播、组播和IP数据报文的封装,再通过纵向加密装置隧道根据策略实现加密。
利用并改进两项重要技术VXLAN封装与解封装技术及纵向加密隧道的虚拟VTEP策略整合技术,封装电力***需要远程传输的各类报文数据和加密封装好的VXLAN报文数据,将经过VXLAN封装好的报文,通过电力专用纵向加密认证装置,进行报文加密,使得信息在通信链路中传输过程即使被黑客截获,既无法破解,又无法冒充。使用满足电力***二次安防要求的SM2加密算法,保证了调度***安全可靠性。且整个过程是在网关VXLAN路由器内部和纵向加密隧道内部执行,做到了组播和广播数据报文远方加密传输,提高了报文传输的安全性,节省了链路带宽的浪费。
本发明的主干网络设备包括服务器、源VXLAN隧道端点VTEP和纵向加密、目的VXLAN隧道端点VTEP的纵向加密、远方工作站;VXLAN设备对发送到远方工作站的所有报文(包含广播、组播和IP报文)根据指定IP地址进行VXLAN封装,封装后的数据包通过加密隧道传输后,再根据目的端网关路由器进行解封装,把主干网络中传输的广播、组播和IP报文转发给远程工作站;远方工作站的IP地址及工作站VTEP地址之间的映射关系在服务器hosts表和源端路由器进行配置,使得网关路由器能确定需要封装的目的IP地址,从而实现报文转发。
纵向加密设备具备三级密钥管理:主密钥、设备公私钥和工作密钥,通过本地和远方的纵向加密互换双方的密钥,以RSA或SM2算法加密传送实时产生的工作密钥,生成密钥同步的双方首先相互验证身份,当密钥匹配后,隧道建立成功,再配置需求的IP包过滤策略,实现报文的密文通信。该设备对其他主机而言是透明的,只占用一个IP地址,不影响原有网络拓扑结构,也无须更改网络设备或局域网计算机的设置,它所提供的密文隧道若没有相应的证书密钥解密是不能读取意义的,这一特性极大地保证了远程传输的安全性。
纵向加密配置参数有源端IP地址、端口号、目的端IP地址、端口号以及传输报文的方向和类型(TCP/UDP),建立隧道的参数有两台纵密的证书文件和纵密IP地址;根据配置的私网VTEP地址的对应关系,选择合适的IP地址作为纵向加密装置地址,为两台纵向加密建立独立隧道(实际情况应为服务器端一对多调度纵向加密)。
在隧道策略中配置服务器侧网关路由VTEP地址作为源地址,设置相应的端口号,工作站侧网关路由VTEP地址作为目的地址,同样配置相应的端口号,协议为TCP,方向双向。
具体采用如下步骤实现的(如图5):
1.自动化服务器发出广播、组播、IP报文包,经过VXLAN路由器对全部信息体报文进行封装,规划一个VXLAN报文的IP地址。
2.两台纵向加密装置的eth1口经过通信长距离光纤相连,两台纵向加密装置的eth0口分别于服务器端和工作站端路由器相连接。
3.使用初始化账户登录纵向加密装置,导出设备的证书请求文件。
4.对纵向加密设备导入证书***的根证书。
5.通过调度数字证书***对两台纵向加密装置签发设备证书和操作员证书。
6.使用操作员钥匙和设置的操作员密码登录纵向加密装置。
7.纵向加密通过网络方式管理,在服务器端VLAN域中配置eth1口与对应相连的目的端VLAN域配置的eth1口同网段的IP地址。
8.将两台纵向加密装置的VLAN eth1口地址作为本装置的设备协商地址。
9.在服务器端纵向加密导入目的端纵向加密的设备证书。
10.在目的端纵向加密导入服务器端纵向加密的设备证书。
11.两台纵向加密设备向对端建立传输隧道,隧道原IP地址设为服务器端纵向加密eth1口IP地址,隧道目的IP地址设为目的端纵向加密eth1口IP地址。
12.建立隧道的通讯模式选为加密模式。
13.然后再已建立的隧道上添加策略,选择源IP业务起始地址和结束地址均为服务器侧路由器规划好的VXLAN报文IP地址,目的IP业务起始地址和结束地址均为目的侧路由器规划好的VXLAN报文IP地址,使得满足配置的“最小化”原则。
14.配置允许通过的协议为TCP协议,服务器侧源端口范围为1024-65535,目的侧端口范围也为1024-65535。
15.为满足自动化人员调试远方工作站方便,需再冗余配置一条策略作为调试使用,源IP地址和目的IP地址与上条策略一致,服务器侧源端口范围为1024-65535,目的侧端口为23,表示仅允许来自服务器侧设备对远方工作站的ssh登录访问功能开放。
16.纵向加密装置功能生效的过程首先由一台纵向加密装置向对端的纵向加密装置IP地址发出协商请求,请求文件中包括对称加密密钥信息。
17.对端纵向加密装置接收到协商请求,核实请求文件中设备证书与本端证书是否一致,若一致,则发送协商确认报文,表示已商定双方通信加密密钥,该密钥会在使用一段时间后自动重新协商改变。
18.协商的会话密钥为DES对称算法,纵向加密设备证书为适合SM2算法。
19.经过两台纵向加密装置隧道的加密和解密过程,在目的端路由处接收到带有VXLAN封装的IP报文,再进行解封装,得到原始的广播、组播和IP报文。
20.目的端远程工作站即可接收到服务器端的所有类型报文数据。
在VXLAN中报文发送方法具体步骤如下(如图3):
步骤一、本端VTEP设备根据在***中配置的远端VTEP的IP地址从而实现发现远端VTEP,本端VTEP与远端VTEP之间建立VXLAN隧道,并将VXLAN隧道与VXLAN关联;
步骤二、识别接收到的报文所属的VXLAN,以便将报文的源MAC地址学习到VXLAN对应的VSI,并在该VSI内转发该报文;
步骤三、学习所述服务器的MAC地址形成MAC地址表,根据学习到的MAC地址表项转发报文。
步骤四:VXLAN的实现方式,可采用手动或自动两种方式。
进一步的,手工方式建立VXLAN隧道方法:手工配置Tunnel接口,并指定隧道的源和目的IP地址分别为本端和远端VTEP的IP地址从而实现隧道的建立。手工方式建立VXLAN隧道的方式配置稍显复杂,适用于局点不多的环境。手工将VXLAN隧道与所述VXLAN关联.。
进一步的,自动方式建立VXLAN隧道方法:通过ENDP(Enhanced NeighborDiscovery Protocol,增强的邻居发现协议)发现远端VTEP后,自动在本端和远端VTEP之间建立VXLAN隧道;自动建立隧道配置较为简单,适用于局点多的环境,从而减轻维护人员的工作压力。VXLAN扩展了IS-IS协议来发布VXLAN的VNI信息。
所述VTEP在所有VXLAN隧道上通过IS-IS协议将本地存在的VXLAN的ID通告给远端VTEP,远端VTEP将其与本地的VXLAN进行比较,如果存在相同的VXLAN,则将该VXLAN与接收该信息的VXLAN隧道关联。
从所述VXLAN识别报文所属VXLAN,VTEP将连接本地站点的三层接口或与VSI关联,VTEP从三层接口接收到数据帧后,查找与其关联的VSI,VSI内创建的VXLAN即为该数据帧所属的VXLAN。
从所述VXLAN隧道上接收VXLAN报文,VTEP根据报文中携带的VXLAN的VN I判断该报文所属的VXLAN。
从所述VTEP对本地服务器的MAC地址学习,VTEP接收到服务器发送的数据帧后,判断该数据帧所属的VSI,并将数据帧中的源MAC地址添加到该VSI的MAC地址表中,该MAC地址对应的接口为接收到数据帧的接口。
所述VTEP对远端站点内虚拟机MAC地址的学习,远端MAC地址的学习方式有如下几种:手工指定远端MAC地址所属的VSI(VXLAN),及其对应的VXLAN隧道接口;通过报文中的源MAC地址动态学习:VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后,根据VXLAN ID判断报文所属的VXLAN,对报文进行解封装,还原二层数据帧,并将数据帧中的源MAC地址添加到所属VXLAN对应VSI的MAC地址表中,该MAC地址对应的接口为VXLAN隧道接口。
所述VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后,根据VXLAN的VNI判断报文所属的VXLAN,对报文进行解封装,还原二层数据帧,并将数据帧中的源MAC地址添加到所属VXLAN对应VSI的MAC地址表中,该MAC地址对应的接口为VXLAN隧道接口。
有益效果:本发明是电力***内网报文发布方法,符合电力专用安全加密密钥SM2算法要求,能够实现非对称密钥和对称密钥结合传输报文,既提高了通道传输效率,又保证了报文传输的安全可靠性。
附图说明
图1为现有省地县一体化调度技术支持***网络简易拓扑;
图2为本发明提供方法的设备拓扑图;
图3为本发明提供的一种在VXLAN中报文发送方法流程图;
图4为服务器与工作站间VXLAN报文转发流程图;
图5为本发明设备全网拓扑图。
具体实施方式
为了使本发明的目的、技术方案和优点更加清楚,下面结合附图和具体实施例对本发明进行详细描述。所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例;
本发明实施例提供的一种基于VXLAN技术的电力***信息内网报文加密发布方法,适用于如图1所示的广播、组播和IP报文均需要加密传输的电力二次***网络。
本发明实施例的拓扑结构如图2所示,所述设备包括源VXLAN隧道端点VTEP、目标VTEP和纵向加密装置。
所述源VTEP用于管理源服务器在所述VXLAN中的通信和包含所述源VTEP的互联网协议IP地址与所述服务器的IP地址的映射关系。
所述目的VTEP用于管理目的工作站在所述VXLAN中的通信和所述目的VTEP的IP地址与所述目的VM的IP地址的映射关系。
所述纵向加密装置用于通道内报文加密和解密,加密隧道策略为源VTEP的互联网协议IP地址和目的VTEP的IP地址双向TCP通信。
报文加密的实现方式,根据所述纵向加密工作原理,在通道两侧互换两台纵向加密的证书文件,签发的加密策略一致为SM2算法,将源地址和目的地址按照VXLAN两侧VTEP的IP地址配置,可观察到该隧道内协商请求成功,报文加密传输。
一种基于VXLAN技术的电力***信息内网报文加密发布方法流程图如图3所示,所述方法包括:
本端VTEP设备根据在***中配置的远端VTEP的IP地址从而实现发现远端VTEP,本端VTEP与远端VTEP之间建立VXLAN隧道,并将VXLAN隧道与VXLAN关联;
识别接收到的报文所属的VXLAN,以便将报文的源MAC地址学习到VXLAN对应的VSI,并在该VSI内转发该报文;
学习所述服务器的MAC地址形成MAC地址表,根据学习到的MAC地址表项转发报文。
VXLAN的实现方式可通过手工或自动两种方式实现。手工方式建立VXLAN隧道:手工配置Tunnel接口,并指定隧道的源和目的IP地址分别为本端和远端VTEP的IP地址从而实现隧道的建立。手工方式建立VXLAN隧道的方式配置稍显复杂,适用于局点不多的环境。也可以自动方式建立:通过ENDP(Enhanced Neighbor Discovery Protocol,增强的邻居发现协议)发现远端VTEP后,自动在本端和远端VTEP之间建立VXLAN隧道;自动建立隧道配置较为简单,适用于局点多的环境,从而减轻维护人员的工作压力。
手工将VXLAN隧道与所述VXLAN关联,或通过自动方式:VXLAN扩展了IS-IS协议来发布VXLAN的VNI信息;
所述VTEP在所有VXLAN隧道上通过IS-IS协议将本地存在的VXLAN的ID通告给远端VTEP,远端VTEP将其与本地的VXLAN进行比较,如果存在相同的VXLAN,则将该VXLAN与接收该信息的VXLAN隧道关联;
从所述VXLAN识别报文所属VXLAN,VTEP将连接本地站点的三层接口或与VSI关联,VTEP从三层接口接收到数据帧后,查找与其关联的VSI,VSI内创建的VXLAN即为该数据帧所属的VXLAN。
从所述VXLAN隧道上接收VXLAN报文,VTEP根据报文中携带的VXLAN的VN I判断该报文所属的VXLAN;
从所述VTEP对本地服务器的MAC地址学习,VTEP接收到服务器发送的数据帧后,判断该数据帧所属的VSI,并将数据帧中的源MAC地址添加到该VSI的MAC地址表中,该MAC地址对应的接口为接收到数据帧的接口;
所述VTEP对远端站点内虚拟机MAC地址的学习,远端MAC地址的学习方式有两种:手工指定远端MAC地址所属的VSI(VXLAN)及其对应的VXLAN隧道接口。
通过报文中的源MAC地址动态学习:VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后,根据VXLAN ID判断报文所属的VXLAN,对报文进行解封装,还原二层数据帧,并将数据帧中的源MAC地址添加到所属VXLAN对应VSI的MAC地址表中,该MAC地址对应的接口为VXLAN隧道接口。
所述VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后,根据VXLAN的VNI判断报文所属的VXLAN,对报文进行解封装,还原二层数据帧,并将数据帧中的源MAC地址添加到所属VXLAN对应VSI的MAC地址表中,该MAC地址对应的接口为VXLAN隧道接口。
所述VTEP在VXLAN内转发广播报文的过程如图4所示,以服务器(MAC地址为MAC 1)发送以太网帧给远程工作站3(MAC地址为MAC 3)为例,站点间报文的转发过程包括:
服务器发送以太网数据帧给远程工作站3,数据帧的源MAC地址为MAC 1,目的MAC为MAC 3,VLAN tag为2;
VTEP 1从接口GigabitEthernet1/0/1收到该数据帧后,判断该数据帧属于VSIA(VXLAN 10),查找VSIA的MAC地址表,得到MAC3的出端口为Tunnel1,如表1所示;
表1 VTEP 1的MAC地址表
VTEP 1为数据帧封装VXLAN头、UDP头和IP头后,将封装好的报文通过VXLAN隧道Tunnel 1、经由加密设备发送给VTEP 2;
VTEP 2接收到报文后,根据报文中的VXLAN ID判断该报文属于VXLAN10,并剥离VXLAN头、UDP头和IP头,还原出原始的数据帧;
VTEP 2查找与VXLAN 10对应的VSI A的MAC地址表,得到MAC 3的出端口为GigabitEthernet1/0/2,所在VLAN为VLAN 20,如表2所示;
表2 VTEP 2的MAC地址表
VTEP 2从接口GigabitEthernet1/0/2的VLAN 20内将数据帧发送给工作站3;
VTEP 3的MAC地址表如表3所示,该报文选择VXLAN为10的VTEP 2表转发信息;
表3 VTEP 3的MAC地址表
所述工作站3接收到来自服务器的解封装后的VXLAN报文,实现报文信息的全路径加密传输。
本发明实施例的全拓扑结构如图5所示,所述设备包括服务器、源端VXLAN路由器、主网交换机、纵向加密、远方调度端交换机、目的端VXLAN路由器、和远程工作站。步骤如下:
S1.自动化服务器发出广播、组播、IP报文包,经过VXLAN路由器对全部信息体报文进行封装,规划一个VXLAN报文的IP地址。
S2.两台纵向加密装置的eth1口经过通信长距离光纤相连,两台纵向加密装置的eth0口分别于服务器端和工作站端路由器相连接。
S3.使用初始化账户登录纵向加密装置,导出设备的证书请求文件。
S4.对纵向加密设备导入证书***的根证书。
S5.通过调度数字证书***对两台纵向加密装置签发设备证书和操作员证书。
S6.使用操作员钥匙和设置的操作员密码登录纵向加密装置。
S7.纵向加密通过网络方式管理,在服务器端VLAN域中配置eth1口与对应相连的目的端VLAN域配置的eth1口同网段的IP地址。
S8.将两台纵向加密装置的VLAN eth1口地址作为本装置的设备协商地址。
S9.在服务器端纵向加密导入目的端纵向加密的设备证书。
S10.在目的端纵向加密导入服务器端纵向加密的设备证书。
S11.两台纵向加密设备向对端建立传输隧道,隧道原IP地址设为服务器端纵向加密eth1口IP地址,隧道目的IP地址设为目的端纵向加密eth1口IP地址。
S12.建立隧道的通讯模式选为加密模式。
S13.然后再已建立的隧道上添加策略,选择源IP业务起始地址和结束地址均为服务器侧路由器规划好的VXLAN报文IP地址,目的IP业务起始地址和结束地址均为目的侧路由器规划好的VXLAN报文IP地址,使得满足配置的“最小化”原则。
S14.配置允许通过的协议为TCP协议,服务器侧源端口范围为1024-65535,目的侧端口范围也为1024-65535。
S15.为满足自动化人员调试远方工作站方便,需再冗余配置一条策略作为调试使用,源IP地址和目的IP地址与上条策略一致,服务器侧源端口范围为1024-65535,目的侧端口为23,表示仅允许来自服务器侧设备对远方工作站的SSH登录访问功能开放。
S16.纵向加密装置功能生效的过程首先由一台纵向加密装置向对端的纵向加密装置IP地址发出协商请求,请求文件中包括对称加密密钥信息。
S17.对端纵向加密装置接收到协商请求,核实请求文件中设备证书与本端证书是否一致,若一致,则发送协商确认报文,表示已商定双方通信加密密钥,该密钥会在使用一段时间后自动重新协商改变。
S18.协商的会话密钥为DES对称算法,纵向加密设备证书为SM2算法。
S19.经过两台纵向加密装置隧道的加密和解密过程,在目的端路由处接收到带有VXLAN封装的IP报文,再进行解封装,得到原始的广播、组播和IP报文。
S20.目的端远程工作站即可接收到服务器端的所有类型报文数据。
以上所述,仅为本发明的具体实施方式,但本发明的保护范围并不局限于此,任何熟悉本技术领域的技术人员在本发明揭露的技术范围内,可轻易想到变化或替换,都应涵盖在本发明的保护范围之内。因此,本发明的保护范围应所述以权利要求的保护范围为准。
Claims (6)
1.一种基于VXLAN技术的电力信息内网报文加密发布方法,其特征在于:该方法可用于电力***信息内网报文加密发布,具体步骤包括:VXLAN路由器将接收到的服务器广播、组播、IP报文进行VXLAN封装,通过纵向加密设备建立的隧道进行报文加密远方传输,再通过对端网关VXLAN路由器对数据报文进行VXLAN解封装,VXLAN解封装后的数据报文进行二层网络转发,在本地的二层组播组表中查找到与组播数据报文的目的IP地址和目的MAC地址匹配的二层组播组表项,最后在工作站上接收到广播、组播和IP报文;
底层物理网络边缘设备路由器需支持Overlay技术特性,通过隧道的方式在底层物理网络上形成Overlay网络;通过VXLAN网络的网络标示的不同可以把不同的业务封装在不同的VXLAN层面中,每一个VXLAN层面的业务在一个大二层中;VXLAN之间的互通在设备上部署策略实现,从而保证各个VXLAN网络的互通与隔离;VXLAN大二层平面形成后相应业务实现大二层互通;
所述的纵向加密设备具备三级密钥管理:主密钥、设备公私钥和工作密钥,通过本地和远方的纵向加密互换双方的密钥,以RSA或SM2算法加密传送实时产生的工作密钥,生成密钥同步的双方首先相互验证身份,当密钥匹配后,隧道建立成功,再配置需求的IP包过滤策略,实现报文的密文通信;
纵向加密配置参数有源端IP地址、端口号、目的端IP地址、端口号以及传输报文的方向和类型,建立隧道的参数有两台纵密的证书文件和纵密IP地址;根据配置的私网VTEP地址的对应关系,选择合适的IP地址作为纵向加密装置地址,为两台纵向加密建立独立隧道;
具体实现步骤包括:
S1. 自动化服务器发出广播、组播、IP报文包,经过VXLAN路由器对全部信息体报文进行封装,规划一个VXLAN报文的IP地址;
S2. 两台纵向加密装置的eth1口经过通信长距离光纤相连,两台纵向加密装置的eth0口分别与服务器端和工作站端路由器相连接;
S3. 使用初始化账户登录纵向加密装置,导出设备的证书请求文件;
S4. 对纵向加密设备导入证书***的根证书;
S5. 通过调度数字证书***对两台纵向加密装置签发设备证书和操作员证书;
S6. 使用操作员钥匙和设置的操作员密码登录纵向加密装置;
S7.纵向加密通过网络方式管理,在服务器端 VLAN域中配置eth1口与对应相连的目的端VLAN域配置的eth1口同网段的IP地址;
S8.将两台纵向加密装置的VLAN eth1口地址作为本装置的设备协商地址;
S9.在服务器端纵向加密导入目的端纵向加密的设备证书;
S10.在目的端纵向加密导入服务器端纵向加密的设备证书;
S11.两台纵向加密设备向对端建立传输隧道,隧道原IP地址设为服务器端纵向加密eth1口IP地址,隧道目的IP地址设为目的端纵向加密eth1口IP地址;
S12.建立隧道的通讯模式选为加密模式;
S13.然后在已建立的隧道上添加策略,选择源IP业务起始地址和结束地址均为服务器侧路由器规划好的VXLAN报文IP地址,目的IP业务起始地址和结束地址均为目的侧路由器规划好的VXLAN报文IP地址,使得满足配置的“最小化”原则;
S14.配置允许通过的协议为TCP协议,服务器侧源端口范围为1024-65535,目的侧端口范围也为1024-65535;
S15.为满足自动化人员调试远方工作站方便,需再冗余配置一条策略作为调试使用,源IP地址和目的IP地址与上条策略一致,服务器侧源端口范围为1024-65535,目的侧端口为23,表示仅允许来自服务器侧设备对远方工作站的SSH登录访问功能开放;
S16.纵向加密装置功能生效的过程首先由一台纵向加密装置向对端的纵向加密装置IP地址发出协商请求,请求文件中包括对称加密密钥信息;
S17.对端纵向加密装置接收到协商请求,核实请求文件中设备证书与本端证书是否一致,若一致,则发送协商确认报文,表示已商定双方通信加密密钥,该密钥会在使用一段时间后自动重新协商改变;
S18.协商的会话密钥为DES对称算法,纵向加密设备证书为SM2算法;
S19.经过两台纵向加密装置隧道的加密和解密过程,在目的端路由处接收到带有VXLAN封装的IP报文,再进行解封装,得到原始的广播、组播和IP报文;
S20.目的端远程工作站即可接收到服务器端的所有类型报文数据;
所述VTEP在所有VXLAN隧道上通过IS-IS协议将本地存在的VXLAN的ID通告给远端VTEP,远端VTEP将其与本地的VXLAN进行比较,如果存在相同的VXLAN,则将该VXLAN与接收该信息的VXLAN隧道关联;
从所述VXLAN识别报文所属VXLAN,VTEP将连接本地站点的三层接口或与VSI关联,VTEP从三层接口接收到数据帧后,查找与其关联的VSI,VSI内创建的VXLAN即为该数据帧所属的VXLAN;
从所述VXLAN隧道上接收VXLAN报文,VTEP根据报文中携带的VXLAN的VNI判断该报文所属的VXLAN;
从所述VTEP对本地服务器的MAC地址学习,VTEP接收到服务器发送的数据帧后,判断该数据帧所属的VSI,并将数据帧中的源MAC地址添加到该VSI的MAC地址表中,该MAC地址对应的接口为接收到数据帧的接口;
所述VTEP对远端站点内虚拟机MAC地址的学习,远端MAC地址的学习方式有如下几种:手工指定远端MAC地址所属的VSI,及其对应的VXLAN隧道接口;通过报文中的源MAC地址动态学习:VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后,根据VXLANID判断报文所属的VXLAN,对报文进行解封装,还原二层数据帧,并将数据帧中的源MAC地址添加到所属VXLAN对应VSI的MAC地址表中,该MAC地址对应的接口为VXLAN隧道接口;
所述VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后,根据VXLAN的VNI判断报文所属的VXLAN,对报文进行解封装,还原二层数据帧,并将数据帧中的源MAC地址添加到所属VXLAN对应VSI的MAC地址表中,该MAC地址对应的接口为VXLAN隧道接口。
2.如权利要求1所述的一种基于VXLAN技术的电力信息内网报文加密发布方法,其特征在于,所述的网关VXLAN路由器在对广播、组播和IP数据报文进行VXLAN封装前包括如下步骤:为数据报文的VXLAN封装头打上虚拟网络标识VNI标签;配置隧道源端VTEP地址和目的路由器端VTEP地址,然后在纵向加密设备已建立好的隧道中配置原端和目的地址的VTEP地址,实现加密策略通信。
3.如权利要求2所述一种基于VXLAN技术的电力信息内网报文加密发布方法,其特征在于,所述的数据报文VXLAN的封装头中识别出虚拟网络标识VNI,VXLAN解封后的数据报文二层转发包括:从路由器的本地MAC表中查找到与所述VNI和所述VXLAN解封装后的数据报文的目的MAC地址匹配的MAC表项,根据所述VXLAN解封装后的数据报文目的MAC地址为广播MAC地址、目的IP地址为广播IP地址,则确定VXLAN解封装后的广播数据报文进行二层组播转发,组播和IP报文步骤相同。
4.如权利要求1所述一种基于VXLAN技术的电力信息内网报文加密发布方法,其特征在于,所述的在VXLAN中报文发送方法具体包括四个步骤:
步骤一、本端VTEP设备根据在***中配置的远端VTEP 的IP地址从而实现发现远端VTEP,本端VTEP与远端VTEP之间建立VXLAN隧道,并将VXLAN隧道与VXLAN 关联;
步骤二、识别接收到的报文所属的VXLAN,以便将报文的源MAC地址学习到VXLAN 对应的VSI,并在该VSI 内转发该报文;
步骤三、学习所述服务器的MAC 地址形成MAC地址表,根据学习到的MAC 地址表项转发报文;
步骤四:VXLAN的实现方式,可采用手动或自动两种方式。
5.如权利要求4所述一种基于VXLAN技术的电力信息内网报文加密发布方法,其特征在于,所述的在VXLAN中报文发送方法步骤四VXLAN的实现方式采用手动方式:手工方式建立VXLAN隧道方法:手工配置Tunnel接口,并指定隧道的源和目的IP地址分别为本端和远端VTEP的IP地址从而实现隧道的建立;手工将VXLAN隧道与所述VXLAN关联。
6.如权利要求4所述一种基于VXLAN技术的电力信息内网报文加密发布方法,其特征在于,所述的在VXLAN中报文发送方法步骤四VXLAN的实现方式采用自动方式:自动方式建立VXLAN隧道方法:通过ENDP发现远端VTEP后,自动在本端和远端VTEP之间建立VXLAN隧道;VXLAN扩展了IS-IS协议来发布VXLAN的VNI信息。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201710559431.5A CN107294711B (zh) | 2017-07-11 | 2017-07-11 | 一种基于vxlan技术的电力信息内网报文加密发布方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201710559431.5A CN107294711B (zh) | 2017-07-11 | 2017-07-11 | 一种基于vxlan技术的电力信息内网报文加密发布方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN107294711A CN107294711A (zh) | 2017-10-24 |
CN107294711B true CN107294711B (zh) | 2021-03-30 |
Family
ID=60100523
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201710559431.5A Active CN107294711B (zh) | 2017-07-11 | 2017-07-11 | 一种基于vxlan技术的电力信息内网报文加密发布方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN107294711B (zh) |
Families Citing this family (18)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN109768908B (zh) * | 2017-11-09 | 2020-10-09 | 华为技术有限公司 | 一种vxlan的配置方法、设备及*** |
CN109842540B (zh) * | 2017-11-28 | 2022-10-11 | 上海仪电(集团)有限公司中央研究院 | 一种基于软件定义网络的二层组播网络互通装置和方法 |
CN110086750A (zh) * | 2018-01-26 | 2019-08-02 | 北京数盾信息科技有限公司 | 一种基于光纤数据链路网络和卫星通信网络的加密*** |
CN110290043A (zh) * | 2018-03-19 | 2019-09-27 | 杭州达乎科技有限公司 | Vxlan网络中报文传输方法及设备 |
CN109327462B (zh) * | 2018-11-14 | 2020-10-27 | 盛科网络(苏州)有限公司 | 一种基于l2vpn网络的mac地址认证方法 |
CN109728993A (zh) * | 2019-01-28 | 2019-05-07 | 赵瑞红 | 基于vxlan的远程局域网加密认证装置以及使用方法 |
CN111988212B (zh) * | 2019-05-23 | 2021-10-22 | 华为技术有限公司 | 一种报文传输方法以及相关装置 |
CN111193735A (zh) * | 2019-12-27 | 2020-05-22 | 泛在数字电能技术(珠海)有限公司 | 基于独立计算单元的智能终端安全通讯*** |
CN111526080B (zh) * | 2020-05-07 | 2022-03-11 | 网经科技(苏州)有限公司 | 网关vxlan可选择加密数据传输的方法 |
CN111698245A (zh) * | 2020-06-10 | 2020-09-22 | 成都国泰网信科技有限公司 | 一种基于国密算法的VxLAN安全网关及二层安全网络组建方法 |
CN113676390B (zh) * | 2021-07-21 | 2022-10-25 | 北京网聚云联科技有限公司 | 基于vxlan的触发式动态安全通道的方法、用户端及中央控制台 |
CN113783837B (zh) * | 2021-08-03 | 2023-07-14 | 国网福建省电力有限公司检修分公司 | 一种自适应变电站纵向加密主机校验方法与终端 |
CN113949718B (zh) * | 2021-10-13 | 2023-06-27 | 国网福建省电力有限公司 | 基于e1及ip混合承载的电力专网调度放号***及方法 |
CN115996157A (zh) * | 2021-10-15 | 2023-04-21 | 中兴通讯股份有限公司 | 路由报文处理方法、装置、存储介质及电子装置 |
CN114465788A (zh) * | 2022-01-24 | 2022-05-10 | 山东梅格彤天电气有限公司 | 一种多融合网关信息加密发布方法及其装置 |
CN114697130A (zh) * | 2022-04-22 | 2022-07-01 | 国网安徽省电力有限公司信息通信分公司 | 一种电力***智能移动终端信息安全加密方法 |
CN115766063A (zh) * | 2022-09-26 | 2023-03-07 | 中国电子科技集团公司第三十研究所 | 数据传输方法、装置、设备及介质 |
CN117424778B (zh) * | 2023-12-18 | 2024-02-20 | 深圳市赛柏特通信技术有限公司 | 跨控制域sd-wan网络实现大二层通信的方法 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN106209401A (zh) * | 2015-04-30 | 2016-12-07 | 杭州华三通信技术有限公司 | 一种传输方法及装置 |
-
2017
- 2017-07-11 CN CN201710559431.5A patent/CN107294711B/zh active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN106209401A (zh) * | 2015-04-30 | 2016-12-07 | 杭州华三通信技术有限公司 | 一种传输方法及装置 |
Also Published As
Publication number | Publication date |
---|---|
CN107294711A (zh) | 2017-10-24 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN107294711B (zh) | 一种基于vxlan技术的电力信息内网报文加密发布方法 | |
CN107018134B (zh) | 一种配电终端安全接入平台及其实现方法 | |
JP5060081B2 (ja) | フレームを暗号化して中継する中継装置 | |
CN101141241B (zh) | 实现mac安全的方法以及网络设备 | |
US20180063079A1 (en) | Secure Tunnels for the Internet of Things | |
CN104780069B (zh) | 一种面向sdn网络的控制层与数据层通信通道自配置方法及其*** | |
CN103188351B (zh) | IPv6环境下IPSec VPN通信业务处理方法与*** | |
JP2008104040A (ja) | 共通鍵生成装置および共通鍵生成方法 | |
US10439993B2 (en) | Mapping system assisted key refreshing | |
WO2007016839A1 (en) | Method and system for carrying out hierarchical virtual private switch services | |
CN104283701A (zh) | 配置信息的下发方法、***及装置 | |
CN101515859B (zh) | 一种因特网协议安全隧道传输组播的方法及设备 | |
CN104023022B (zh) | 一种IPSec SA的获取方法和装置 | |
CN101834793A (zh) | 基于mpls/ops的虚拟专用网的实现方法 | |
JP2020510337A (ja) | 時間認識型エンドツーエンドパケットフローネットワークのサイバーセキュリティを提供する方法および装置 | |
Liyanage et al. | A scalable and secure VPLS architecture for provider provisioned networks | |
CN106878278A (zh) | 一种报文处理方法及装置 | |
JP2016531464A (ja) | 通信ネットワークにおけるセキュアサービス管理 | |
CN105635154A (zh) | 灵活的MACSec报文加密认证的芯片实现方法及实现装置 | |
CN110417706A (zh) | 一种基于交换机的安全通信方法 | |
CN103312495B (zh) | 一种成组ca的形成方法和装置 | |
Fancy et al. | An evaluation of alternative protocols-based Virtual Private LAN Service (VPLS) | |
CN114338116B (zh) | 加密传输方法、装置及sd-wan网络*** | |
CN109257174A (zh) | 一种量子密钥在vpws业务中的应用方法 | |
KR101329968B1 (ko) | IPSec VPN 장치들 사이의 보안 정책을 결정하기 위한 방법 및 시스템 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |