一种数据隧道封装及解封处理方法、设备及存储介质与流程

本申请涉及通信，尤其涉及一种数据隧道封装及解封处理方法、设备及存储介质。

背景技术：

1、在网络通信领域，数据传输的安全性始终是技术发展的核心考量。当前，广泛使用的数据包帧结构通常遵循标准协议格式，明确划分为数据头与数据负载两部分。其中，数据头内承载了源地址、目的地址、端口号、协议类型以及路由控制等关键的链路信息。这种结构化的传输机制虽然保障了网络设备的正常寻址与转发，但也埋下了严重的安全隐患。

2、攻击者可通过部署在网络节点或广播域中的工具，轻易捕获并解析这些数据帧，从而精准提取出通信双方的链路信息，进而实施会话劫持、网络拓扑探测等恶意行为。即便现有的部分安全协议已对数据负载进行了加密保护，但其数据头以及帧长度等元数据仍处于暴露状态，攻击者可利用此类信道信息推断出通信模式与敏感参数，从而规避加密机制的核心防护。

3、为应对上述威胁，现有技术中已发展出多种隧道协议以实现数据的安全传输。例如，ipsec协议通过隧道模式，但此类协议在实际应用中仍存在显著不足。其一，其加密与完整性校验范围未能覆盖全部数据头信息，导致部分元数据依旧可被监听与解析，无法彻底消除信息泄露风险。其二，其体系架构较为复杂，其密钥管理等机制通常依赖于复杂的安全关联协商过程，实现繁琐且计算开销较大，不适用于资源受限或对实时性要求较高的通信场景。其三，传统隧道协议在封装处理时，往往未将数据链路层信息与负载进行一体化构造与校验，这使得数据在传输过程中面临被篡改后难以被接收端高效识别的风险，完整性与真实性保障不足。

4、综上所述，现有数据传输与隧道封装技术在链路信息隐藏的彻底性、数据完整性校验的一体化等方面均存在明显缺陷。因此，急需提供一种高效、安全且低复杂度的数据隧道封装及解封处理方法，以有效解决上述问题。

技术实现思路

1、发明目的：本发明目的是提供一种数据隧道封装及解封处理方法、设备及存储介质，解决了现有技术中链路信息隐藏不够彻底性，未将数据链路层信息与负载进行一体化构造与校验等技术问题。本发明中仅依赖预置的对称密钥文件、哈希函数和校验算法，封装与解封装过程均基于明确的索引映射与构造规则，无需引入复杂的协议栈；该方法能够灵活适配不同业务需求，具有广泛的产业应用前景。

2、技术方案：本发明提供一种数据隧道封装及解封处理方法，该方法包括以下步骤：

3、（1）第一设备和第二设备中均预置存储有对称的且呈连续排列的密钥文件、相同的哈希函数和校验算法；

4、（2）第一设备利用本地的哈希函数对原始数据进行哈希计算得到第一哈希值，再将第一哈希值和原始数据进行构造得到第一加密输入数据；然后基于第一加密输入数据的大小从本地密钥文件中获取加密密钥及相对应的密钥索引，并通过密钥索引生成抗重放序号；接着，第一设备构建隧道头并生成完整隧道帧，再将该隧道帧发送至第二设备；

5、（3）第二设备解析隧道帧并进行参数比对和抗重放序号比对，比对均成功后，再进行解密及哈希校验，最终得到原始数据。

6、进一步地，所述原始数据包括链路信息和数据负载。

7、进一步地，所述密钥索引包括密钥文件序号、密钥初始偏移位置值和密钥长度。

8、进一步地，所述生成抗重放序号是指：将密钥索引中密钥文件序号和密钥初始偏移位置值分别作为第一和第二抗重放序号。

9、进一步地，所述构建隧道头并生成完整隧道帧是指：

10、第一设备在本地构建隧道头，所述隧道头包括发送端和接收端的身份rid、密钥索引、抗重放序号和校验和；此时，当前校验和为空；

11、第一设备利用加密密钥对第一加密输入数据进行加密得到密文，再通过本地的校验算法对密文和隧道头进行计算得到第一校验和数值，将该第一校验和数值回填至隧道头的校验和中；接着，将隧道头和密文生成完整隧道帧并发送至第二设备。

12、进一步地，所述进行参数比对和抗重放序号比对是指：

13、第二设备解析隧道帧得到隧道头和密文，将隧道头中的发送端和接收端的身份rid与本地保存的身份rid比对是否一致，基于身份rid比对一致则先将解析得到的隧道头中的校验和数值留存再置空，通过本地的校验算法对解析隧道帧得到的密文和校验和置空后的隧道头进行计算得到第二校验和数值，将第二校验和数值与留存的校验和数值进行比对是否一致；

14、基于校验和比对一致，则将抗重放序号与第二设备中的本地密钥文件中当前使用的密钥文件序号和当前密钥偏移位置值进行比对，若抗重放序号大于等于当前使用的密钥文件序号和当前密钥偏移位置值，则抗重放序号比对通过，进行下一步；若抗重放序号小于当前使用的密钥文件序号和当前密钥偏移位置值，则抗重放序号比对未通过，并丢弃该隧道帧。

15、进一步地，所述进行解密及哈希校验是指：

16、基于参数比对和抗重放序号比对均成功后，第二设备基于隧道头中的密钥索引从本地密钥文件中获取解密密钥，利用解密密钥对解析隧道帧得到的密文进行解密得到第二加密输入数据；然后，利用本地的哈希函数对第二加密输入数据中的原始数据进行哈希计算得到第二哈希值，将第二哈希值与第二加密输入数据中的第一哈希值进行哈希校验，若校验一致，则第二加密输入数据中的原始数据即为发送的原始数据。

17、本发明还包括一种计算机设备，所述计算机设备至少包括处理器和存储器，所述处理器用于执行存储器中存储的计算机程序时实现如上述权利要求中任一所述的数据隧道封装及解封处理方法。

18、本发明还包括一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现如上述权利要求中任一所述的数据隧道封装及解封处理方法。

19、本发明的有益效果：

20、（1）本发明通过构建包含加密密钥索引及抗重放序号的隧道头，并对原始数据进行整体加密构造，使得最终传输的完整隧道帧不再包含源地址、目的地址、端口号等明文链路信息。外部攻击者即使截获数据帧，也无法解析出任何有效的网络拓扑或通信双方身份信息，从而有效规避了会话劫持、网络探测等恶意行为，实现了对数据链路层及负载信息的一体化全面保护。

21、（2）本发明将原始数据的哈希校验过程内置于封装阶段，通过哈希函数生成第一哈希值并与原始数据共同构造为加密输入，且在解密端将解密后的数据与哈希校验结果进行比对。该机制使得数据的完整性校验与加密传输过程深度融合，任何对隧道帧负载的微小篡改均可被接收端通过哈希校验高效、准确地识别，相较于传统仅对负载加密而忽略链路层完整性的方法，显著提升了数据传输的可靠性与抗攻击能力。

22、（3）本发明利用从密钥文件中获取的密钥索引动态生成抗重放序号，并将其携带于隧道头中传输。接收端在解封装过程中对该序号进行严格比对，能够有效识别并丢弃已过时或重复接收的历史隧道帧，从而在不增加额外信令开销的前提下，具备了对重放攻击的主动防御能力。

1.一种数据隧道封装及解封处理方法，其特征在于，该方法包括以下步骤：

2.根据权利要求1所述的一种数据隧道封装及解封处理方法，其特征在于：所述原始数据包括链路信息和数据负载。

3.根据权利要求1所述的一种数据隧道封装及解封处理方法，其特征在于：所述密钥索引包括密钥文件序号、密钥初始偏移位置值和密钥长度。

4.根据权利要求3所述的一种数据隧道封装及解封处理方法，其特征在于：所述生成抗重放序号是指：将密钥索引中密钥文件序号和密钥初始偏移位置值分别作为第一和第二抗重放序号。

5.根据权利要求1所述的一种数据隧道封装及解封处理方法，其特征在于：所述构建隧道头并生成完整隧道帧是指：

6.根据权利要求5所述的一种数据隧道封装及解封处理方法，其特征在于：所述进行参数比对和抗重放序号比对是指：

7.根据权利要求6所述的一种数据隧道封装及解封处理方法，其特征在于：所述进行解密及哈希校验是指：

8.一种计算机设备，其特征在于：所述计算机设备至少包括处理器和存储器，所述处理器用于执行存储器中存储的计算机程序时实现如权利要求1-7中任一所述的数据隧道封装及解封处理方法。

9.一种计算机可读存储介质，其特征在于：其存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-7中任一所述的数据隧道封装及解封处理方法。