專利名稱：應(yīng)用于vpn的數(shù)據(jù)傳輸方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種數(shù)據(jù)傳輸方法，尤其涉及一種應(yīng)用于VPN (虛擬專用網(wǎng)，Virtual Private Network)的數(shù)據(jù)傳輸方法。
背景技術(shù)：
VPN是利用開放的公眾網(wǎng)絡(luò)資源建立私有數(shù)據(jù)傳輸通道，是將遠(yuǎn)程的分支機(jī)構(gòu)、商業(yè)伙伴、移動辦公人員等連接起來，并且提供安全的端到端的數(shù)據(jù)通信的一種廣域網(wǎng)技術(shù)。 VPN有兩層含義它是“虛擬的”，即建立隧道或虛電路把不同的物理網(wǎng)絡(luò)或設(shè)備連接起來， 不再使用物理的專線建立專用網(wǎng)，而是將其建立在分布廣泛的公共網(wǎng)絡(luò)上，如hternet ； 它是“專用的”，對基于IPkc的VPN而言，是一組連接的閉合用戶群(CVC)，它不僅具有服務(wù)質(zhì)量(QoS)的保證，而且更多地強(qiáng)調(diào)安全服務(wù)。VPN是企業(yè)網(wǎng)在公共網(wǎng)絡(luò)上的無縫延伸， VPN可將位于不同地點(diǎn)的遠(yuǎn)程用戶、分支機(jī)構(gòu)和合作伙伴等連接起來。VPN按照應(yīng)用大致可分為 htranet VPN及Extranet VPN 以及Remote access VPN 三種。其基本用途就是提供企業(yè)分支機(jī)構(gòu)和企業(yè)，企業(yè)客戶和企業(yè)以及企業(yè)內(nèi)部的，遠(yuǎn)端企業(yè)員工與企業(yè)安全的點(diǎn)對點(diǎn)通信。下面是幾種常用VPN的場合
(1) Intranet VPN是指在一個(gè)組織內(nèi)部如何安全地連接兩個(gè)相互信任的內(nèi)聯(lián)網(wǎng)，要求在公司與分支機(jī)構(gòu)之間建立安全的通信連接。這種應(yīng)用模式需要做的不僅是要防范外部入侵者對企業(yè)內(nèi)聯(lián)網(wǎng)的攻擊，還要保護(hù)在因特網(wǎng)上傳送的敏感數(shù)據(jù)。(2) Extranet VPN是基于hternet的VPN，虛擬專用網(wǎng)絡(luò)支持遠(yuǎn)程訪問客戶以安全的方式通過公共互聯(lián)網(wǎng)絡(luò)遠(yuǎn)程訪問企業(yè)資源。Extranet VPN是htranet VPN的一個(gè)擴(kuò)展，即通過因特網(wǎng)連接兩臺分別屬于兩個(gè)互不信任的內(nèi)部網(wǎng)絡(luò)的主機(jī)。它要求一個(gè)開放的基于標(biāo)準(zhǔn)的解決方案，以便解決企業(yè)與各種合作伙伴和客戶網(wǎng)絡(luò)的協(xié)同工作問題。(3) Remote Access VPN是指企業(yè)員工通過因特網(wǎng)遠(yuǎn)程撥號的方式訪問企業(yè)內(nèi)聯(lián)網(wǎng)而構(gòu)筑的VPN，通常也叫做遠(yuǎn)程撥號VPN。VPN技術(shù)的這種應(yīng)用代替了傳統(tǒng)的直接撥入內(nèi)聯(lián)網(wǎng)的遠(yuǎn)程訪問方式，這樣可以大大降低遠(yuǎn)程訪問的費(fèi)用。然而，現(xiàn)有的VPN技術(shù)在數(shù)據(jù)安全方面還存在一些不足。

發(fā)明內(nèi)容
針對現(xiàn)有技術(shù)的安全性缺陷，本發(fā)明提出了一套獨(dú)特的適用于VPN的數(shù)據(jù)傳輸方法。具體來說，本發(fā)明提出了一種應(yīng)用于VPN的數(shù)據(jù)傳輸方法，所述VPN至少包括相互傳輸數(shù)據(jù)的第一參與方和第二參與方，該數(shù)據(jù)傳輸方法包括在所述第一參與方和所述第二參與方之間交換密鑰；在發(fā)送數(shù)據(jù)時(shí)，用所述交換密鑰加密所述數(shù)據(jù)；以及在接收數(shù)據(jù)時(shí)，用所述交換密鑰解密所述數(shù)據(jù)；其中，在接收數(shù)據(jù)時(shí)，檢查該數(shù)據(jù)是否被修改。根據(jù)本發(fā)明的一個(gè)優(yōu)選實(shí)施例，在上述應(yīng)用于VPN的數(shù)據(jù)傳輸方法中，在檢查該數(shù)據(jù)是否被修改的步驟之后，如果該數(shù)據(jù)被修改，則拒絕接收該被修改的數(shù)據(jù)。
根據(jù)本發(fā)明的一個(gè)優(yōu)選實(shí)施例，在上述應(yīng)用于VPN的數(shù)據(jù)傳輸方法中，進(jìn)一步包括利用散列算法來檢查數(shù)據(jù)是否被修改。 根據(jù)本發(fā)明的一個(gè)優(yōu)選實(shí)施例，在上述應(yīng)用于VPN的數(shù)據(jù)傳輸方法中，在接收數(shù)據(jù)時(shí)，該數(shù)據(jù)傳輸方法進(jìn)一步包括驗(yàn)證所述數(shù)據(jù)的源的身份。根據(jù)本發(fā)明的一個(gè)優(yōu)選實(shí)施例，在上述應(yīng)用于VPN的數(shù)據(jù)傳輸方法中，進(jìn)一步包括在發(fā)送數(shù)據(jù)時(shí)，在所述數(shù)據(jù)中插入一數(shù)據(jù)包序列號；在接收數(shù)據(jù)時(shí)，根據(jù)所述數(shù)據(jù)中的數(shù)據(jù)序列號檢驗(yàn)遲到的數(shù)據(jù)。根據(jù)本發(fā)明的一個(gè)優(yōu)選實(shí)施例，在上述應(yīng)用于VPN的數(shù)據(jù)傳輸方法中，在根據(jù)所述數(shù)據(jù)中的數(shù)據(jù)序列號檢驗(yàn)遲到的數(shù)據(jù)之后，拒絕接收遲到的數(shù)據(jù)。應(yīng)當(dāng)理解，本發(fā)明以上的一般性描述和以下的詳細(xì)描述都是示例性和說明性的， 并且旨在為如權(quán)利要求所述的本發(fā)明提供進(jìn)一步的解釋。


附圖主要是用于提供對本發(fā)明進(jìn)一步的理解。附圖示出了本發(fā)明的實(shí)施例，并與本說明書一起起到解釋本發(fā)明原理的作用。附圖中
圖1示出了根據(jù)本發(fā)明的適用于VPN的數(shù)據(jù)傳輸方法的主要步驟的流程圖。圖2示出了根據(jù)本發(fā)明的另一實(shí)施例的主要步驟的流程圖。
具體實(shí)施例方式以下結(jié)合附圖詳細(xì)描述本發(fā)明的技術(shù)方案。其中，相同的標(biāo)號用于表示相同的元素，且以下描述中的具體技術(shù)術(shù)語并不構(gòu)成對本發(fā)明的技術(shù)方案本身的實(shí)質(zhì)性限制。實(shí)際上，本領(lǐng)域的技術(shù)人員所熟知的各種變化都是允許的。如圖1所示，本發(fā)明的應(yīng)用于VPN的數(shù)據(jù)傳輸方法包括 步驟101，在所述第一參與方和所述第二參與方之間交換密鑰； 步驟102，在發(fā)送數(shù)據(jù)時(shí)，用所述交換密鑰加密所述數(shù)據(jù)； 步驟103，在接收數(shù)據(jù)時(shí)，用所述交換密鑰解密所述數(shù)據(jù)； 步驟104，在接收數(shù)據(jù)時(shí)，檢查該數(shù)據(jù)是否被修改；
步驟105，如果該數(shù)據(jù)被修改，則拒絕接收該被修改的數(shù)據(jù)； 步驟106，如果該數(shù)據(jù)未被修改，則接收該數(shù)據(jù)。實(shí)際上，本發(fā)明的特點(diǎn)之一在于數(shù)據(jù)的機(jī)密性，即當(dāng)數(shù)據(jù)在VPN的參與方之間傳輸時(shí)保持?jǐn)?shù)據(jù)的私密性。大多數(shù)VPN都要穿越公用互聯(lián)網(wǎng)，因而數(shù)據(jù)在傳送過程中就有可能被截取或者檢查，在實(shí)際應(yīng)用中，任何數(shù)據(jù)在傳送過程中都可能被檢查，因而互聯(lián)網(wǎng)屬于不安全的傳送媒介。本發(fā)明利用加密機(jī)制來擾亂傳送中的數(shù)據(jù)，除了真正的接收者之外，加密后的數(shù)據(jù)包很難被輕易理解。另一方面，本發(fā)明還考慮了數(shù)據(jù)的完整性，即確保數(shù)據(jù)進(jìn)行傳送的過程中沒有被修改或者改變，數(shù)據(jù)完整性本身并不是提供數(shù)據(jù)機(jī)密性。本發(fā)明的數(shù)據(jù)完整性機(jī)制通常使用散列算法來檢查兩端點(diǎn)間傳送的數(shù)據(jù)包中的數(shù)據(jù)是否被修改。如果發(fā)現(xiàn)數(shù)據(jù)包被修改， 那么就拒絕接收被修改的數(shù)據(jù)。圖2示出了根據(jù)本發(fā)明的另一實(shí)施例。如圖2所示，與以上詳述的圖1相比，圖2進(jìn)一步包括了一步驟206，驗(yàn)證數(shù)據(jù)的源的身份。實(shí)踐中，該功能可以由VPN得每個(gè)端點(diǎn)來完成，以確保與其對端的身份。最后，雖然未圖示，但在本發(fā)明的另一優(yōu)選實(shí)施例中，在發(fā)送數(shù)據(jù)時(shí)，在所述數(shù)據(jù)中插入一數(shù)據(jù)包序列號；在接收數(shù)據(jù)時(shí)，根據(jù)所述數(shù)據(jù)中的數(shù)據(jù)序列號檢驗(yàn)遲到的數(shù)據(jù)，且在根據(jù)所述數(shù)據(jù)中的數(shù)據(jù)序列號檢驗(yàn)遲到的數(shù)據(jù)之后，拒絕接收遲到的數(shù)據(jù)。該技術(shù)的目的在于防重放，也就是確保VPN中的數(shù)據(jù)沒有被復(fù)制。上述遲到的數(shù)據(jù)包都被認(rèn)為是重復(fù)的數(shù)據(jù)包。綜上，本發(fā)明的上述實(shí)施例都可以有效地改進(jìn)VPN數(shù)據(jù)傳輸?shù)陌踩院涂煽啃裕?具有良好的商用價(jià)值。
權(quán)利要求
1.一種應(yīng)用于VPN的數(shù)據(jù)傳輸方法，所述VPN至少包括相互傳輸數(shù)據(jù)的第一參與方和第二參與方，該數(shù)據(jù)傳輸方法包括在所述第一參與方和所述第二參與方之間交換密鑰； 在發(fā)送數(shù)據(jù)時(shí)，用所述交換密鑰加密所述數(shù)據(jù)；以及在接收數(shù)據(jù)時(shí)，用所述交換密鑰解密所述數(shù)據(jù)； 其中，在接收數(shù)據(jù)時(shí)，檢查該數(shù)據(jù)是否被修改。
2.如權(quán)利要求1所述的數(shù)據(jù)傳輸方法，其特征在于，在檢查該數(shù)據(jù)是否被修改的步驟之后，如果該數(shù)據(jù)被修改，則拒絕接收該被修改的數(shù)據(jù)。
3.如權(quán)利要求1所述的數(shù)據(jù)傳輸方法，其特征在于，所述檢查該數(shù)據(jù)是否被修改的步驟進(jìn)一步包括利用散列算法來檢查數(shù)據(jù)是否被修改。
4.如權(quán)利要求1所述的數(shù)據(jù)傳輸方法，其特征在于，在接收數(shù)據(jù)時(shí)，該數(shù)據(jù)傳輸方法進(jìn)一步包括驗(yàn)證所述數(shù)據(jù)的源的身份。
5.如權(quán)利要求1所述的數(shù)據(jù)傳輸方法，其特征在于，進(jìn)一步包括 在發(fā)送數(shù)據(jù)時(shí)，在所述數(shù)據(jù)中插入一數(shù)據(jù)包序列號；在接收數(shù)據(jù)時(shí)，根據(jù)所述數(shù)據(jù)中的數(shù)據(jù)序列號檢驗(yàn)遲到的數(shù)據(jù)。
6 如權(quán)利要求5所述的數(shù)據(jù)傳輸方法，其特征在于，在根據(jù)所述數(shù)據(jù)中的數(shù)據(jù)序列號檢驗(yàn)遲到的數(shù)據(jù)之后，拒絕接收遲到的數(shù)據(jù)。
全文摘要
本發(fā)明提出了一種應(yīng)用于VPN的數(shù)據(jù)傳輸方法，所述VPN至少包括相互傳輸數(shù)據(jù)的第一參與方和第二參與方，該數(shù)據(jù)傳輸方法包括:在所述第一參與方和所述第二參與方之間交換密鑰；在發(fā)送數(shù)據(jù)時(shí)，用所述交換密鑰加密所述數(shù)據(jù)；以及在接收數(shù)據(jù)時(shí)，用所述交換密鑰解密所述數(shù)據(jù)；其中，在接收數(shù)據(jù)時(shí)，檢查該數(shù)據(jù)是否被修改。
文檔編號H04L12/46GK102487349SQ20101057466
公開日2012年6月6日 申請日期2010年12月6日 優(yōu)先權(quán)日2010年12月6日
發(fā)明者劉在英, 衡力成 申請人:上海杉達(dá)學(xué)院