[發明專利]一種互聯網協議安全性隧道的維護方法、裝置及系統

有效

• 申請號: 201710140192.X
• 申請日: 2017-03-10
• 公開（公告）號: CN108574589B
• 公開（公告）日: 2021-09-14
• 發明（設計）人: 朱曉明;柏文鑫;孔金
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/46;H04L29/06
• 代理公司: 北京弘權知識產權代理有限公司 11363
• 代理人: 逯長明;許偉群

1.一種互聯網協議安全性IPSec隧道的維護方法，其特征在于，所述方法包括：

終端設備與虛擬專用網VPN網關基于所述終端設備的第一互聯網協議IP地址和互聯網密鑰交換IKE協議進行協商，根據協商得到的安全聯盟SA，建立所述終端設備與所述VPN網關之間的IPSec隧道，所述SA包括IKE SA和IPSec SA；

所述終端設備確定所述終端設備的IP地址從所述第一IP地址變化為第二IP地址；

所述終端設備向所述VPN網關發送第一請求報文，所述第一請求報文中攜帶所述第二IP地址和第一隧道標識，所述第一隧道標識為根據所述第一IP地址生成的隧道標識，所述第一請求報文用于請求所述VPN網關根據所述第二IP地址更新第一SA記錄，所述第一SA記錄保存在所述VPN網關中，所述第一SA記錄包含所述SA、所述第一IP地址以及所述第一隧道標識之間的對應關系；

所述終端設備根據所述第二IP地址和預設算法生成第二隧道標識，所述預設算法與所述VPN網關生成所述第一隧道標識時采用的算法相同；

所述終端設備將第二SA記錄中的所述第一隧道標識替換為所述第二隧道標識，所述第二SA記錄保存在所述終端設備中，所述第二SA記錄保存有所述SA和所述第一隧道標識之間的對應關系。

2.根據權利要求1所述的方法，其特征在于，所述終端設備將第二SA記錄中的所述第一隧道標識替換為所述第二隧道標識之后，所述方法還包括：

所述終端設備等待接收所述VPN網關發送的第一應答消息；

若所述終端設備接收到所述VPN網關發送的第一應答消息、且所述第一應答消息中攜帶所述第二隧道標識，所述終端設備確定所述VPN網關完成對所述第一SA記錄的更新；

若所述終端設備在預設時間段內未接收到所述VPN網關發送的第一應答消息，或者接收到的所述第一應答消息未攜帶所述第二隧道標識，所述終端設備則重新向所述VPN網關發送所述第一請求報文。

3.根據權利要求1所述的方法，其特征在于，所述建立所述終端設備與所述VPN網關之間的IPSec隧道之后，所述終端設備確定所述終端設備的IP地址從第一IP地址變化為第二IP地址之前，所述方法還包括：

所述終端設備在所述IPSec隧道上接收所述VPN網關發送的加密后的第一IP報文，所述加密后的第一IP報文中攜帶所述第一隧道標識；

所述終端設備根據所述第一隧道標識查找所述第二SA記錄，并獲取所述第二SA記錄中的所述IPSec SA；

所述終端設備根據所述IPSec SA對所述加密后的第一IP報文進行解密，以獲取所述第一IP報文中的數據。

4.根據權利要求1所述的方法，其特征在于，所述建立所述終端設備與所述VPN網關之間的IPSec隧道之后，所述終端設備確定所述終端設備的IP地址從第一IP地址變化為第二IP地址之前，所述方法還包括：

所述終端設備根據所述第二SA記錄中的所述IPSec SA對第二IP報文進行加密；

所述終端設備在所述IPSec隧道上向所述VPN網關發送加密后的所述第二IP報文，所述加密后的所述第二IP報文中攜帶所述第一隧道標識。

5.根據權利要求1-4任一項所述的方法，其特征在于，所述終端設備與VPN網關基于所述終端設備的第一IP地址和IKE協議進行協商，具體包括：

所述終端設備在協商得到所述IKE SA之后，在根據所述IKE SA協商所述IPSec SA之前，向所述VPN網關發送第二請求報文，所述第二請求報文中包括所述第一IP地址，所述第二請求報文用于請求所述VPN網關根據所述第一IP地址創建所述第一SA記錄，并將所述第一IP地址添加到所述第一SA記錄中；

所述終端設備根據所述第一IP地址和所述預設算法生成所述第一隧道標識；

所述終端設備創建所述第二SA記錄，并將所述第一隧道標識添加到所述第二SA記錄中。