[發明專利]一種ISSU過程中MACsec密鑰更新方法和裝置有效

申請號：	201310409022.9	申請日：	2013-09-10
公開（公告）號：	CN103475465B	公開（公告）日：	2017-02-08
發明（設計）人：	徐鵬飛	申請（專利權）人：	杭州華三通信技術有限公司
主分類號：	H04L9/08	分類號：	H04L9/08;H04L9/16
代理公司：	北京德琦知識產權代理有限公司11018	代理人：	謝安昆,宋志強
地址：	310053 浙江省杭州市高新技術產業***	國省代碼：	浙江;33
權利要求書：	查看更多	說明書：	查看更多
摘要：
搜索關鍵詞：	一種 issu 過程 macsec 密鑰更新方法裝置
鉆瓜網技術展會專利詞庫專利權人專利榜在售專利公布日期熱門專利

【說明書】：

技術領域

本申請涉及通信技術領域，特別涉及一種ISSU過程中MACsec密鑰更新方法和設備。

背景技術

媒體接入控制安全（MACsec）定義了一個協議集，用于滿足在以太網上傳輸數據的安全需求。MACsec工作在鏈路層的媒體接入控制（MAC）子層之上，為邏輯鏈路控制（Logical?Link?Control，LLC）子層以及LLC子層之上的協議提供安全的無連接MAC層發送和接收服務，包括用戶數據加密、數據幀完整檢查及數據源真實性較檢。

MACsec可以識別出授權設備發送的報文，并保證數據的機密性，避免處理非授權設備的報文或者非授權設備篡改發送的報文。MACsec使用的安全密鑰（SAK）通過MKA協議進行協商生成。在有新成員加入密鑰服務器所在的連接集（Connectivity?Association，CA）中的任一成員的報文編號（Packet?Number，PN）的值等于或大于臨界值，或者密鑰服務器選擇一個新的加密套件時，都會新生成一個SAK，并分發給各成員。

當密鑰服務器監測到CA中的所有成員均已經可以使用新的SAK進行接收時，密鑰服務器可以發起SAK的切換。在老的SAK對應的PN翻轉時，進行SAK切換。SAK切換，即各成員設備實際使用的所有編號的SA中的SAK進行輪轉切換。

不中斷業務升級（In-Service?Software?Upgrade，ISSU）是一種可靠性高的升級設備啟動軟件的方式。它通過一系列的方法確保在升級過程中業務不中斷或者中斷時間較短。其中，軟重啟ISSU，是在CPU重啟前將系統運行數據、配置數據、硬件數據和狀態數據等全部保存在內存中，再使用新軟件重啟CPU，重啟期間由轉發層面的硬件繼續提供轉發能力，保持業務不中斷。CPU重啟后使用上次保存的數據和狀態繼續運行。對于需要實時和對端交互協議報文來保持連接的會話，則可以通過協議代理進程來確保在軟重啟升級過程中連接和協議狀態不受影響。

軟重啟ISSU一般是以接口板為單位進行的，軟重啟過程中由于接口板芯片狀態凍結在軟重啟前的狀態，軟件重啟，無法響應外部變化。也無法響應軟件層面的SAK下發，因此一旦PN用盡并且新的SAK未下發時，在密鑰服務器切換到新的SAK的情況下，無法正常加解密，導致出現業務轉發故障。

發明內容

有鑒于此，本申請提供一種ISSU過程中MACsec密鑰更新方法，在進行軟重啟ISSU過程中，可以使用新下發的SAK進行加密，能夠延長不需要軟件干預的時間，進而保證流量不中斷。

為解決上述技術問題，本發明的技術方案是這樣實現的：

一種不中斷業務升級ISSU過程中媒體接入控制安全MACsec密鑰更新方法，應用于包括兩個以上成員設備的連接集CA中的任一成員設備上，所述方法包括：

該成員設備作為密鑰服務器，即將進行軟重啟ISSU時，確定當前是否已安裝新的SAK；將當前使用的安全密鑰SAK對應的報文編號PN值與臨界值進行比較；

若確定當前未安裝新的SAK，生成新的SAK并下發給各成員設備進行安裝；

接收到CA中所有成員設備在安裝新下發的SAK成功時發送的SAK?USE參數集時，進行軟重啟ISSU；

若確定當前已安裝新的SAK，直接進行軟重啟ISSU。

一種設備，可應用于包括兩個以上成員設備的連接集CA中的任一成員設備，所述設備包括：確定單元和處理單元；

所述確定單元，用于本設備作為密鑰服務器，即將進行軟重啟不中斷業務升級ISSU時，確定當前是否已安裝新的SAK；

所述處理單元，用于所述確定單元若確定當前未安裝新的SAK，生成新的SAK并下發給各成員設備進行安裝；接收到CA中所有成員設備在安裝新下發的SAK成功時發送的SAK使用USE參數集時，進行軟重啟ISSU；若確定當前已安裝新的SAK，直接進行軟重啟ISSU。