[發(fā)明專利]一種防止IPSec VPN設(shè)備多隧道IKE協(xié)商失敗的系統(tǒng)及方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201610005751.1
• 申請(qǐng)日: 2016-01-07
• 公開（公告）號(hào): CN105610577B
• 公開（公告）日: 2018-09-14
• 發(fā)明（設(shè)計(jì)）人: 岳海林;龍翔;蔡鳳梅
• 申請(qǐng)（專利權(quán)）人: 成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司
• 主分類號(hào): H04L9/08
• 分類號(hào): H04L9/08;H04L29/06
• 代理公司: 成都九鼎天元知識(shí)產(chǎn)權(quán)代理有限公司 51214
• 代理人: 郭彩紅

1.一種防止IPSec VPN設(shè)備多隧道IKE協(xié)商失敗的系統(tǒng)，其特征在于，所述系統(tǒng)包括：統(tǒng)計(jì)模塊、計(jì)算模塊、比較模塊、判斷模塊、第一控制模塊和第二控制模塊；

所述統(tǒng)計(jì)模塊，用于統(tǒng)計(jì)整個(gè)系統(tǒng)中處于第一階段和第二階段協(xié)商的隧道數(shù)目，將統(tǒng)計(jì)結(jié)果傳遞至計(jì)算模塊；

所述計(jì)算模塊，用于計(jì)算統(tǒng)計(jì)出的處于第一階段協(xié)商的隧道數(shù)目和處于第二階段協(xié)商的隧道數(shù)目的差值，將計(jì)算結(jié)果傳遞至比較模塊；

所述比較模塊，用于將得到的計(jì)算結(jié)果和設(shè)定的閾值進(jìn)行比較，將比較結(jié)果傳遞至判斷模塊；

所述判斷模塊，用于根據(jù)比較結(jié)果判斷應(yīng)該觸發(fā)第一控制模塊還是第二控制模塊，若比較結(jié)果為計(jì)算出的差值超過設(shè)定的閾值范圍，則發(fā)送信號(hào)至第一控制模塊，觸發(fā)第一控制模塊；若比較結(jié)果為計(jì)算出的差值未超過設(shè)定的閾值范圍，則發(fā)送信號(hào)至第二控制模塊，觸發(fā)第二控制模塊；

所述第一控制模塊，用于暫停整個(gè)IKE協(xié)商的第一階段，控制整個(gè)IKE協(xié)商直接進(jìn)入第二階段；

所述第二控制模塊，用于查看整個(gè)系統(tǒng)此時(shí)是否有第一階段協(xié)商的請(qǐng)求，若有，則控制整個(gè)IKE協(xié)商進(jìn)入第一階段，若沒有，則控制整個(gè)IKE協(xié)商進(jìn)入第二階段；

所述第一階段為建立IKE SA；所述第二階段為快速模式交換。

2.如權(quán)利要求1所述的防止IPSec VPN設(shè)備多隧道IKE協(xié)商失敗的系統(tǒng)，其特征在于，所述隧道包含VPN具有的兩種隧道類型：自愿隧道和強(qiáng)制隧道。

3.如權(quán)利要求1所述的防止IPSec VPN設(shè)備多隧道IKE協(xié)商失敗的系統(tǒng)，其特征在于，所述閾值由設(shè)備性能決定，通常為30-60。

4.一種基于權(quán)利要求1至3之一所述系統(tǒng)的防止IPSec VPN設(shè)備多隧道IKE協(xié)商失敗的方法，其特征在于，所述方法具體步驟為：

步驟S1：發(fā)送方發(fā)出報(bào)文，觸發(fā)第一階段協(xié)商，統(tǒng)計(jì)處于第一階段協(xié)商的隧道數(shù)目與處于第二階段協(xié)商的隧道數(shù)目；

步驟S2：通過設(shè)置一個(gè)具體的閾值，并計(jì)算處于第一階段協(xié)商的隧道數(shù)目與處于第二階段協(xié)商的隧道數(shù)目的差值，然后將差值和設(shè)定的閾值進(jìn)行比較，若差值超過所設(shè)置的閾值范圍，控制整個(gè)系統(tǒng)執(zhí)行步驟S4，否則控制整個(gè)系統(tǒng)執(zhí)行步驟S3；

步驟S3：查看此時(shí)整個(gè)系統(tǒng)是否有IKE第一階段協(xié)商請(qǐng)求，若有協(xié)商請(qǐng)求，則執(zhí)行步驟S1，否則執(zhí)行步驟S5；

步驟S4：?jiǎn)⒂脮和KE第一階段協(xié)商機(jī)制，暫停第一階段IKE協(xié)商，執(zhí)行步驟S5；

步驟S5：通過獲取第一階段協(xié)商成功而建立的IKE SA，觸發(fā)第二階段協(xié)商，建立第二階段安全關(guān)聯(lián)IPSec SA，即可用于IP數(shù)據(jù)安全傳輸。

5.如權(quán)利要求4所述的防止IPSec VPN設(shè)備多隧道IKE協(xié)商失敗的方法，其特征在于：

所述統(tǒng)計(jì)方式為：利用統(tǒng)計(jì)模塊實(shí)時(shí)監(jiān)測(cè)處于第一階段和第二階段協(xié)商的隧道數(shù)目，逐一累加至計(jì)數(shù)器中；

所述計(jì)算方式為：利用計(jì)算模塊實(shí)時(shí)計(jì)算處于第一階段和第二階段協(xié)商的隧道數(shù)目的差值，得出結(jié)果；

所述比較方式為：利用比較模塊比較計(jì)算出的差值和人為設(shè)定的閾值；

所述控制方式為：根據(jù)比較得出的結(jié)果，若差值超過設(shè)定的閾值范圍，判斷模塊傳遞信號(hào)至第二控制模塊，執(zhí)行步驟S4，若差值未超過設(shè)定的閾值，判斷模塊傳遞信號(hào)至第一控制模塊，執(zhí)行步驟S3。