[發(fā)明專利]一種實(shí)現(xiàn)安全協(xié)議高可用性的方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201110351974.0
• 申請(qǐng)日: 2011-11-09
• 公開(kāi)（公告）號(hào): CN103107973A
• 公開(kāi)（公告）日: 2013-05-15
• 發(fā)明（設(shè)計(jì)）人: 張瑞山
• 申請(qǐng)（專利權(quán)）人: 中興通訊股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08;H04L9/08
• 代理公司: 北京安信方達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11262
• 代理人: 吳艷;龍洪

1.一種實(shí)現(xiàn)安全協(xié)議高可用性的方法，其特征在于，在通信雙方建立網(wǎng)絡(luò)密鑰交換協(xié)議安全關(guān)聯(lián)(IKE?SA)和網(wǎng)絡(luò)協(xié)議安全性安全關(guān)聯(lián)(IPsec?SA)過(guò)程中，

將所述通信雙方中的主機(jī)、網(wǎng)關(guān)和集群中未發(fā)生失敗切換的活躍成員的狀態(tài)設(shè)置為已同步狀態(tài)；

當(dāng)作為所述通信雙方其中一端的通信端點(diǎn)的集群發(fā)生失敗切換時(shí)，將所述發(fā)生失敗切換的集群中的新活躍成員的狀態(tài)設(shè)置為未同步狀態(tài)；并由對(duì)端的處于已同步狀態(tài)的通信端點(diǎn)為所述新活躍成員進(jìn)行同步。

2.如權(quán)利要求1所述的方法，其特征在于，

所述新活躍成員的狀態(tài)處于未同步狀態(tài)時(shí)，發(fā)送者消息ID(smid)計(jì)數(shù)器、接收者消息ID(rmid)計(jì)數(shù)器未同步；所述通信雙方的IPsec?SA集合未同步；所有IPsec?SA中的發(fā)送序列號(hào)計(jì)數(shù)器和接收序列號(hào)計(jì)數(shù)器未同步。

3.如權(quán)利要求2所述的方法，其特征在于，

所述對(duì)端的處于已同步狀態(tài)的通信端點(diǎn)為所述新活躍成員進(jìn)行以下信息的同步：

smid計(jì)數(shù)器、rmid計(jì)數(shù)器、IPsec?SA集合以及IPsec?SA中的發(fā)送序列號(hào)計(jì)數(shù)器和接收序列號(hào)計(jì)數(shù)器的同步。

4.如權(quán)利要求3所述的方法，其特征在于，

當(dāng)所述對(duì)端的處于已同步狀態(tài)的通信端點(diǎn)為所述新活躍成員完成同步后，所述新活躍成員由未同步狀態(tài)轉(zhuǎn)變?yōu)橐淹綘顟B(tài)。

5.如權(quán)利要求4所述的方法，其特征在于，

所述新活躍成員由未同步狀態(tài)轉(zhuǎn)變?yōu)橐淹綘顟B(tài)時(shí)，如果所述通信雙方的IPsec?SA集合未完成同步，則所述通信雙方繼續(xù)同步IPsec?SA集合。

6.如權(quán)利要求1、2、3、4或5之任一項(xiàng)所述的方法，其特征在于，

所述對(duì)端的處于已同步狀態(tài)的通信端點(diǎn)為所述新活躍成員進(jìn)行同步，具體包括：

所述新活躍成員向?qū)Χ税l(fā)送同步請(qǐng)求，所述同步請(qǐng)求中攜帶己方期望設(shè)定的smid計(jì)數(shù)器值、己方期望設(shè)定的rmid計(jì)數(shù)器值，及隨機(jī)數(shù)；

所述對(duì)端的通信端點(diǎn)收到所述同步請(qǐng)求后，如果己方處于已同步狀態(tài)，且判定所述同步請(qǐng)求不是有效重傳請(qǐng)求，則返回同步響應(yīng)消息，所述同步響應(yīng)中攜帶新的己方期望設(shè)定的smid計(jì)數(shù)器值、新的己方期望設(shè)定的rmid計(jì)數(shù)器值，其中，所述新的己方期望設(shè)定的rmid計(jì)數(shù)器值大于等于己方的rmid+己方的窗口大小-1，所述新的己方期望設(shè)定的smid計(jì)數(shù)器值為對(duì)方期望設(shè)定的rmid計(jì)數(shù)器值與己方smid計(jì)數(shù)器值中的較大者。

7.如權(quán)利要求6所述的方法，其特征在于，

所述對(duì)端的通信端點(diǎn)收到所述新活躍成員發(fā)送的同步請(qǐng)求后，如果判斷出己方處于未同步狀態(tài)，則向所述新活躍成員返回同步響應(yīng)，并在所述同步響應(yīng)中攜帶同時(shí)失敗切換錯(cuò)誤指示。

8.一種實(shí)現(xiàn)安全協(xié)議高可用性的裝置，其特征在于，應(yīng)用于建立IKE?SA和和IPsec?SA的通信端點(diǎn)，所述裝置包括狀態(tài)管理模塊、同步請(qǐng)求模塊和同步處理模塊，

所述狀態(tài)管理模塊用于，將主機(jī)、網(wǎng)關(guān)和集群中未發(fā)生失敗切換的活躍成員的狀態(tài)設(shè)置為已同步狀態(tài)；將發(fā)生失敗切換的集群中的新活躍成員的狀態(tài)設(shè)置為未同步狀態(tài)；

所述同步請(qǐng)求模塊用于，當(dāng)己方處于未同步狀態(tài)時(shí)，向?qū)Χ说耐ㄐ哦它c(diǎn)發(fā)送同步請(qǐng)求；

所述同步處理模塊用于，當(dāng)己方處于已同步狀態(tài)時(shí)，根據(jù)接收到的所述同步請(qǐng)求為所述新活躍成員進(jìn)行同步。

9.如權(quán)利要求8所述的裝置，其特征在于，

所述同步處理模塊用于，為所述新活躍成員進(jìn)行以下信息的同步：smid計(jì)數(shù)器、rmid計(jì)數(shù)器、IPsec?SA集合以及IPsec?SA中的發(fā)送序列號(hào)計(jì)數(shù)器和接收序列號(hào)計(jì)數(shù)器的同步。

10.如權(quán)利要求8或9所述的裝置，其特征在于，

所述狀態(tài)管理模塊用于，當(dāng)對(duì)端的處于已同步狀態(tài)的通信端點(diǎn)為所述新活躍成員完成同步后，將所述新活躍成員由未同步狀態(tài)轉(zhuǎn)變?yōu)橐淹綘顟B(tài)。