[發明專利]同步IPsec SA的方法、組成員及組密鑰服務器

有效

• 申請號: 201210423078.5
• 申請日: 2012-10-29
• 公開（公告）號: CN102904901A
• 公開（公告）日: 2013-01-30
• 發明（設計）人: 王占群
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 謝安昆;宋志強

1.一種同步因特網協議安全安全聯盟IPsec?SA的方法，應用于組加密傳輸虛擬私有網絡GET?VPN組網中，所述組網中包括多個組成員GM和一個組密鑰服務器KS，其特征在于，任一所述GM接收到所述KS發送的攜帶安全聯盟SA載荷的消息，并驗證所述SA載荷中的SA策略成功時，在本地臨時記錄所述SA載荷中的安全參數索引SPI和SA策略，包括：

該GM接收到KS發送的攜帶密鑰下發KD載荷的消息時，確定所述KD載荷中的SPI與本地臨時記錄的SPI是否一致，如果是，生成IPsec?SA，并存儲到安全聯盟數據庫中，其中，所述IPsec?SA包含所述KD載荷中的密鑰信息，以及記錄的SPI和SA策略；否則，向所述KS發送所述KD載荷中的SPI無效的消息，使所述KS根據所述無效的SPI獲取對應的IPsec?SA，并通過rekey消息下發；接收到所述KS發送的rekey消息時，獲得所述rekey消息中攜帶的IPsec?SA，并存儲到所述安全聯盟數據庫中。

2.根據權利要求1所述的方法，其特征在于，所述向所述KS發送所述KD載荷中的SPI無效的消息后，所述方法進一步包括：在預設時間內，未接收到所述KS發送的rekey消息時，再次向所述KS發送所述KD載荷中的SPI無效的消息，直到接收到所述KS發送的rekey消息或達到預設次數，結束向所述KS發送KD載荷中的SPI無效的消息。

3.根據權利要求1所述的方法，所述方法進一步包括：在本地臨時記錄所述SA載荷中的老化時間；

所述生成IPsec?SA，并存儲到安全聯盟數據庫中時，所述方法進一步包括：同時存儲所述臨時記錄的老化時間，當所述老化時間到時，刪除所述存儲的IPsec?SA；

所述獲得所述rekey消息中攜帶的IPsec?SA，并存儲到所述安全聯盟數據庫中時，所述方法進一步包括：同時存儲所述rekey消息中攜帶的所述IPsec?SA的老化時間，當所述老化時間到時，刪除所述存儲的IPsec?SA。

4.根據權利要求1-3任意一項所述的方法，其特征在于，所述方法進一步包括：

該GM接收到其他GM發送的報文時，在所述安全聯盟數據庫中查找所述報文中攜帶的SPI，如果查找到，根據所述安全聯盟數據庫中所述SPI對應的IPsec?SA處理所述報文；如果未查找到，向所述KS發送所述報文中攜帶的SPI無效的消息，重新獲取IPsec?SA。

5.一種組成員GM，可應用于組加密傳輸虛擬私有網絡GET?VPN組網中，所述組網中還包括其他GM和一個組密鑰服務器KS，其特征在于，所述GM包括：接收單元、記錄單元、確定單元、存儲單元和發送單元；

所述接收單元，用于接收所述KS發送的攜帶SA載荷的消息；接收所述KS發送的攜帶密鑰下發KD載荷的消息；接收所述KS發送的rekey消息；

所述記錄單元，用于當所述接收單元接收到所述KS發送的攜帶SA載荷的消息，且驗證所述SA載荷中的SA策略成功時，在本地臨時記錄所述SA載荷中的安全參數索引SPI和SA策略；

所述確定單元，用于當所述接收單元接收到所述KS發送的攜帶KD載荷的消息時，確定所述KD載荷中的SPI與所述記錄單元臨時記錄的SPI是否一致；

所述存儲單元，用于當所述確定單元確定所述KD載荷中的SPI與所述記錄單元臨時記錄的SPI一致時，生成因特網協議安全安全聯盟IPsec?SA，并存儲到安全聯盟數據庫中，其中，所述IPsec?SA包含所述KD載荷中的密鑰信息，以及記錄的SPI和SA策略；當所述接收單元接收到所述KS發送的rekey消息時，獲得所述rekey消息中攜帶的IPsec?SA，并存儲到所述安全聯盟數據庫中；

所述發送單元，用于當所述確定單元確定所述KD載荷中的SPI與所述記錄單元臨時記錄的SPI不一致時，向所述KS發送所述KD載荷中的SPI無效的消息，使所述KS根據所述無效的SPI獲取對應的IPsec?SA，并通過rekey消息下發。