[發明專利]一種IPSecSA的獲取方法和裝置

有效

• 申請號: 201410264460.5
• 申請日: 2014-06-13
• 公開（公告）號: CN104023022B
• 公開（公告）日: 2017-08-08
• 發明（設計）人: 王守唐
• 申請（專利權）人: 新華三技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/46
• 代理公司: 北京博思佳知識產權代理有限公司11415
• 代理人: 林祥

1.一種因特網協議安全的安全關聯IPSec SA的獲取方法，應用于自動發現虛擬專用網ADVPN網絡中的任一虛擬專用網地址管理VAM服務器上，所述ADVPN網絡包括至少兩個VAM服務器以及若干VAM客戶端，其特征在于，所述方法包括：

根據VAM客戶端的注冊信息為所述VAM客戶端下發對應的IPSec SA；

接收所述VAM客戶端發送的保活keepalive報文；所述keepalive報文包括所述VAM客戶端最新IPSec SA的安全參數索引SPI；

判斷所述VAM客戶端最新IPSec SA的SPI與本地最新IPSec SA的SPI是否相同；

當判斷出本地最新IPSec SA的SPI與所述VAM客戶端最新IPSec SA的SPI不相同時，將所述本地最新的IPSec SA下發給所述VAM客戶端，以使得所述VAM客戶端完成IPSec SA更新。

2.如權利要求1所述的方法，其特征在于，當所述VAM服務器為主用VAM服務器時，所述根據VAM客戶端的注冊信息為所述VAM客戶端下發對應的IPSec SA包括：

根據ADVPN域對在本地已注冊的各VAM客戶端進行分組；

為每個分組分別創建IPSec SA和對應的安全策略，并分別下發給各分組中的成員VAM客戶端。

3.如權利要求2所述的方法，其特征在于，所述方法還包括：

在本地對已創建的所述IPSec SA進行周期性的更新，并同步給備用VAM服務器，以使得所述備用VAM服務器向所述VAM客戶端下發的IPSec SA為最新，并且與主用VAM服務器下發的IPSec SA保持一致。

4.如權利要求1所述的方法，其特征在于，所述方法還包括：

將本設備的優先級通告給其他各VAM服務器，同時接收所述其他各VAM服務器通告的優先級；

判斷所述本設備的優先級是否高于所述其他各VAM服務器的優先級；

如果是，則確定本設備為主用VAM服務器；

如果否，則確定本設備為備用VAM服務器。

5.如權利要求1所述的方法，其特征在于，所述VAM客戶端包括所述ADVPN網絡中的Hub設備和Spoke設備。

6.一種安全關聯IPSec SA的獲取方法，應用于自動發現虛擬專用網ADVPN網絡中的任一虛擬專用網地址管理VAM客戶端上，所述ADVPN網絡包括至少兩個VAM服務器以及若干VAM客戶端，其特征在于，所述方法包括：

向所述VAM服務器進行注冊；

接收所述VAM服務器下發的IPSec SA；

向所述VAM服務器發送保活keepalive報文；所述keepalive報文包括本地最新IPSec SA的安全參數索引SPI；

接收所述VAM服務器下發的最新IPSec SA，并根據接收到的所述最新IPSec SA完成本地IPSec SA的更新，其中，所述最新IPSec SA為當所述VAM服務器最新IPSec SA的SPI與所述本地最新IPSec SA的SPI不相同時，由所述VAM服務器下發的。

7.如權利要求6所述的方法，其特征在于，所述方法還包括：

接收所述VAM服務器下發的與所述IPSec SA對應的安全策略；

根據所述IPSec SA對匹配所述安全策略的通信報文進行加密，并封裝UDP報文頭；

其中，所述UDP報文頭中的目的UDP端口號為單獨定義的非知名端口號。

8.如權利要求6所述的方法，其特征在于，所述VAM客戶端包括所述ADVPN網絡中的Hub設備和Spoke設備。