[發明專利]一種MPLS-TP中偽線加密方法

在審

• 申請號: 201811386848.7
• 申請日: 2018-11-20
• 公開（公告）號: CN109257388A
• 公開（公告）日: 2019-01-22
• 發明（設計）人: 林晨
• 申請（專利權）人: 安徽皖通郵電股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/723;H04L12/721
• 代理公司: 北京科億知識產權代理事務所(普通合伙) 11350
• 代理人: 湯東鳳

1.一種MPLS-TP中偽線加密方法，其特征在于，包括以下步驟：

S100：在兩個PE設備之間建立偽線PW；

S200：在偽線PW上建立關聯通道IKE-Channel；

S300：在關聯通道IKE-Channel上傳輸IKE協商報文，通過IKE協商生成安全聯盟參數SEC SA；

S400：在偽線PW上建立關聯通道SEC-Channel；

S500：用SEC SA中協商的算法和密鑰，進行偽線上業務報文的加密和完整性驗證，在關聯通道SEC-Channel上傳輸加密報文。

2.根據權利要求1所述的MPLS-TP中偽線加密方法，其特征在于：所述步驟S100中的偽線PW為靜態配置的偽線，或者協議動態建立的偽線。

3.根據權利要求1所述的MPLS-TP中偽線加密方法，其特征在于：所述步驟S200包括：

S201：IKE-Channel作為IKE協議交互通道，使用PW-ACH格式定義偽線的關聯通道封裝格式；

S202：IKE-Channel上傳輸報文的完整封裝格式從底層到外層依次是：外層MPLS標簽、內層MPLS標簽、PW-ACH頭、IP頭、UDP頭、ISAKMP頭和ISAKMP載荷，其中IP頭的地址為兩端PE設備的接口地址或loopback地址。

4.根據權利要求1所述的MPLS-TP中偽線加密方法，其特征在于步驟S300包括以下步驟：

S301：兩端PE分別作為IKE的發起端和響應端，進行IKE協商；

S302：IKE協議版本支持IKEv1、IKEv2、IKE國密、IKE量子四種協議版本中的任何一種；

S303：PE發出的IKE報文，按照PW-ACH格式封裝；

S304：PE收到的IKE報文，按照PW-ACH格式解封裝；

S305：PE發出和收到IKE報文，由IKE軟件模塊進行處理，完成密鑰交換以及生成安全聯盟參數SEC SA；

S306：兩端PE按照固定的周期，通過IKE重協商，更新SEC SA中的密鑰，以保證長期的安全性。

5.根據權利要求1所述的MPLS-TP中偽線加密方法，其特征在于步驟S400包括以下步驟：

S401：SEC-Channel作為業務報文的傳輸通道，使用PW-ACH格式定義偽線的關聯通道封裝格式；

S402：SEC-Channel上傳輸報文的完整封裝格式從底層到外層依次是：外層MPLS標簽、內層MPLS標簽、PW-ACH頭、ESP頭或AH頭、報文密文或明文、ESP尾。

6.根據權利要求1所述的MPLS-TP中偽線加密方法，其特征在于步驟S500包括以下步驟：

S501：兩端PE同時作為加密端和解密端，分別按照SEC SA中協商的算法和密鑰，對偽線承載的業務報文進行加解密和完整性驗證；

S502：加解密支持ESP和AH兩種封裝格式，前者可對報文進行加密和完整性驗證，后者只對報文進行完整性驗證；

S503：PE發出的ESP或AH報文，按照PW-ACH格式封裝；

S504：PE收到的ESP或AH報文，按照PW-ACH格式解封裝；

S505：PE發出和收到ESP或AH報文，由系統的加解密模塊進行處理。

7.根據權利要求3所述的MPLS-TP中偽線加密方法，其特征在于，步驟S201中IKE-Channel的Channel Type的值為99。

8.根據權利要求5所述的MPLS-TP中偽線加密方法，其特征在于，步驟S401SEC-Channel作為業務報文的傳輸通道，使用PW-ACH格式定義偽線的關聯通道封裝格式，SEC-Channel的Channel Type的值為50和51，分別表示ESP和AH封裝格式。