[發明專利]一種標識分離映射網絡中IPSec網關自動發現的方法

有效

• 申請號: 201010515937.4
• 申請日: 2010-10-15
• 公開（公告）號: CN101969414A
• 公開（公告）日: 2011-02-09
• 發明（設計）人: 劉穎;張宏科;萬明;姜巍;唐建強
• 申請（專利權）人: 北京交通大學
• 主分類號: H04L12/66
• 分類號: H04L12/66;H04L29/06;H04L12/56
• 代理公司: 北京王景林知識產權代理事務所 11320
• 代理人: 王景林

1.一種標識分離映射網絡中IPSec網關自動發現的方法，包括以下階段：

I)自動協商階段，源IPSec網關和目的IPSec網關之間通過自動的信息交換，獲得進行IPSec協商所必須的配置信息，然后再完成安全關聯的建立；

II)機密通信階段，源IPSec網關和目的IPSec網關之間進行機密通信，完成源終端和目的終端之間的數據傳送；以及

III)自動清除階段，上述安全關聯過期后，源IPSec網關和目的IPSec網關之間的安全關聯會自動清除。

2.根據權利要求1所述的標識分離映射網絡中IPSec網關自動發現的方法，其特征在于，所述階段I)之中，又包括下列步驟：

I-1)源接入路由器收到源終端發出的數據包，對該數據包進行標識映射，將接入標識映射為路由標識后，發給源IPSec網關；

I-2)源IPSec網關接收到帶有路由標識的數據包后，將該數據包加入協商等待數據庫中形成協商請求項；

I-3)源IPSec網關根據上述協商請求項，利用源IPSec網關的路由標識以及源接入路由器管理的路由標識池信息，構造協商請求包，發送到目的IPSec網關；

I-4)目的IPSec網關接收到上述協商請求包后，加入自己的協商等待數據庫中并形成協商響應項；同時，利用目的IPSec網關的路由標識以及目的接入路由器管理的路由標識信息，構造協商響應包，返回給源IPSec網關；

I-5)源IPSec網關收到上述協商響應包后，發送協商確認包給目的IPSec網關；

I-6)源IPSec網關和目的IPSec網關利用步驟I-1)～I-5)后得到的協商信息進行協商，完成安全關聯的建立，同時，雙方清除協商等待數據庫中的對應信息。

3.根據權利要求2所述的標識分離映射網中IPSec網關自動發現的方法，其特征在于，所述源IPSec網關和目的IPSec網關之間使用IKE協議進行安全關聯的協商。

4.根據權利要求2所述的標識分離映射網中IPSec網關自動發現的方法，其特征在于，所述目的IPSec網關收到的協商請求包包括：源IPSec網關的路由標識以及源接入路由器管理的路由標識池信息；以及，

所述源IPSec網關收到的協商響應包包括：目的IPSec網關的路由標識以及目的接入路由器管理的路由標識池信息。

5.根據權利要求1所述的標識分離映射網中IPSec網關自動發現的方法，其特征在于，所述階段II)中，又包含下列步驟：

II-1)源終端發送數據包，源接入路由器收到該數據包后，對數據包進行標識映射，將接入標識映射為路由標識后，發給源IPSec網關；

II-2)源IPSec網關接收到源接入路由器發來的數據包后，按照SA對數據包進行加密封裝處理，然后發往核心網；

II-3)目的IPSec網關接收到數據包后，按照SA對數據包進行解密以及完整性檢驗后，將通過檢驗的數據包發給目的接入路由器；

II-4)目的接入路由器收到數據包后，將數據包的路由標識映射回接入標識，然后發給目的終端。

6.根據權利要求5所述的標識分離映射網中IPSec網關自動發現的方法，其特征在于，所述步驟II-2)和II-3)之中，源IPSec網關以及目的IPSec網關分別通過連接在策略數據庫中相應的策略進行加密封裝以及解密。

7.根據權利要求1所述的標識分離映射網中IPSec網關自動發現的方法，其特征在于，所述階段III)中，又包含下列步驟：

III-1)如果在設定時間內，源終端沒有數據包發給目的終端，則該安全關聯項視為過期，將該安全關聯項加入清除等待數據庫，同時源IPSec網關向目的IPSec網關發送清除請求包；

III-2)目的IPSec網關收到清除請求包后，將待清除的安全關聯項加入清除等待數據庫，并向源IPSec網關返回清除響應包；

III-3)源IPSec網關收到清除響應包后，清除對應的SA和等待數據庫中的等待項，并向目的IPSec網關發送清除確認包；

III-4)目的IPSec網關收到清除確認包后，清除對應的SA和等待數據庫中的等待項。

8.根據權利要求7所述的標識分離映射網中IPSec網關自動發現的方法，其特征在于，步驟III-1)中，所述的設定時間是180秒。