[發明專利]一種L2TP over IPSEC遠程接入的方法及裝置

有效

• 申請號: 200810001116.1
• 申請日: 2008-01-16
• 公開（公告）號: CN101217435A
• 公開（公告）日: 2008-07-09
• 發明（設計）人: 冷通;張濤;吳少勇
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L12/28
• 分類號: H04L12/28;H04L12/46;H04L12/56;H04L29/06
• 代理公司: 信息產業部電子專利中心
• 代理人: 吳永亮

1.一種L2TP?over?IPSEC遠程接入的方法，其特征在于，設置二層隧道協議網絡服務器模塊與IP安全協議模塊分離，所述方法包括：

步驟A：IP安全協議模塊提供用于遠程接入的安全策略模式，并配置所述安全策略模式用于L2TP?over?IPSEC遠程接入；

步驟B：當IP安全協議模塊確認有L2TP?over?IPSEC遠程接入時，建立并維護IP安全協議安全策略數據庫；

步驟C：IP安全協議模塊將公網地址和公網端口號作為安全策略數據庫的索引關鍵字，對通過L2TP?over?IPSEC遠程接入的報文進行封裝或解封裝，并進行路由轉發。

2.根據權利要求1所述的方法，其特征在于，所述步驟A具體包括：

提供用于遠程接入的安全策略模式，在所述安全策略模式下，提供命令，配置該安全策略模式用于L2TP?over?IPSEC，或者，默認以L2TP?over?IPSEC方式運行。

3.根據權利要求1所述的方法，其特在在于，所述步驟B具體包括：

當進行L2TP?over?IPSEC接入時，發起互聯網密鑰交換協商；

判斷是否是L2TP?over?IPSEC遠程接入，當確認為L2TP?over?IPSEC接入時，判斷是否經過網絡地址轉換穿越，如果是，根據用戶的公網地址和公網端口號建立并維護IP安全協議安全策略數據庫，否則，根據網絡地址轉換后的公網地址和公網端口號建立并維護IP安全協議安全策略數據庫；

將公網地址和公網端口號作為安全策略數據庫的索引關鍵字，指向協商出的安全聯盟。

4.根據權利要求3所述的方法，其特征在于，所述判斷是否是L2TP?overIPSEC遠程接入的過程具體包括：

根據虛擬局域網標識和流量選擇符判斷是否是判斷是否是L2TP?over?IPSEC遠程接入。

5.根據權利要求1所述的方法，其特征在于，所述步驟C中的路由轉發包括：按照呼入方向進行路由轉發、按照流量返回方向進行路由轉發。

6.根據權利要求5所述的方法，其特征在于，當按照呼入方向進行路由轉發時，所述步驟C具體包括：

根據安全參數索引查找到安全聯盟；

判斷是否經過網絡地址轉換穿越，當確認經過網絡地址轉換穿越后，剝離報文的用戶數據包協議封裝，并解密報文，然后用公網源端口號替換報文的用戶數據包協議源端口號；

將報文發送至二層隧道協議網絡服務器。

7.根據權利要求5所述的方法，其特征在于，當按照流量返回方向進行路由轉發時，所述步驟C具體包括：

根據報文的目的地址和目的用戶數據包協議端口號查找IP安全協議安全策略數據庫；

判斷是否經過網絡地址轉換穿越，當確認經過網絡地址轉換穿越后，用公網源端口號替換報文的用戶數據包協議目的端口號，并添加對應的用戶數據包協議封裝；

根據安全聯盟信息加密并發送報文給用戶。

8.一種L2TP?over?IPSEC遠程接入的裝置，其特征在于，包括：

IP安全協議安全策略模塊，用于提供遠程接入的安全策略模塊，并配置所述安全策略模式用于L2TP?over?IPSEC遠程接入；

互聯網密鑰交換協商/安全策略數據庫模塊，用于判斷是否為L2TP?overIPSEC遠程接入時，當確認為L2TP?over?IPSEC遠程接入時，建立并維護安全策略數據庫；

轉發模塊，用于將公網地址和公網端口號作為安全策略數據庫的索引關鍵字，對通過L2TP?over?IPSEC遠程接入的報文進行封裝或解封裝，并進行路由轉發。

9.根據權利要求8所述的裝置，其特征在于，所述IP安全協議安全策略模塊設置在分布/集中式系統的主控CPU上。

10.根據權利要求8所述的裝置，其特征在于，所述互聯網密鑰交換協商/安全策略數據庫模塊設置在分布/集中式系統的線卡上。