[發明專利]IPSec SA的檢測方法及裝置

在審

• 申請號: 201811452282.3
• 申請日: 2018-11-30
• 公開（公告）號: CN109617717A
• 公開（公告）日: 2019-04-12
• 發明（設計）人: 朱天明
• 申請（專利權）人: 銳捷網絡股份有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/26;H04L9/08;H04L12/46
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種互聯網協議安全IPSec安全聯盟SA的檢測方法，其特征在于，包括：

基于IPSec SA對端設備發送的歷史數據報文的五元組信息構建探測報文；

通過與所述IPSec SA對端設備之間的IPSec SA加密所述探測報文后發送給所述IPSecSA對端設備；

確定在第一檢測時長內是否通過與所述IPSec SA對端設備之間的IPSec SA接收到所述IPSec SA對端設備發送的加密后的所述探測報文；

若在第一檢測時長內未通過與所述IPSec SA對端設備之間的IPSec SA接收到所述IPSec SA對端設備發送的加密后的所述探測報文，則確定與所述IPSec SA對端設備之間的IPSec SA故障。

2.如權利要求1所述的方法，其特征在于，基于IPSec SA對端設備發送的歷史數據報文的五元組信息構建探測報文，具體包括：

隨機獲取IPSec SA對端設備之前通過與所述IPSec SA對端設備之間的IPSec SA發送的一個數據報文，得到歷史數據報文；

獲取所述歷史數據報文的五元組信息包括的源互聯網協議IP地址、目的IP地址、源端口、目的端口和協議類型；

構建攜帶所述源IP地址、所述目的IP地址、所述源端口、所述目的端口和所述協議類型的探測報文。

3.如權利要求1所述的方法，其特征在于，還包括：

若確定第二檢測時長到期或者在第三檢測時長內未通過與所述IPSec SA對端設備之間的IPSec SA接收到所述IPSec SA對端設備發送的數據報文，則執行所述基于IPSec SA對端設備發送的歷史數據報文的五元組信息構建探測報文的步驟。

4.如權利要求1-3任一所述的方法，其特征在于，確定與所述IPSec SA對端設備之間的IPSec SA故障之前，還包括：

將在所述第一檢測時長內所述探測報文的發送次數加1；

確定加1后的發送次數是否超過設定次數；

若確定加1后的發送次數超過所述設定次數，則執行所述確定與所述IPSec SA對端設備之間的IPSec SA故障的步驟。

5.如權利要求4所述的方法，其特征在于，還包括：

若確定加1后的發送次數未超過設定次數，則執行所述確定在第一檢測時長內是否通過與所述IPSec SA對端設備之間的IPSec SA接收到所述IPSec SA對端設備發送的加密后的所述探測報文的步驟。

6.一種IPSec SA的檢測裝置，其特征在于，包括：

構建模塊，用于基于IPSec SA對端設備發送的歷史數據報文的五元組信息構建探測報文；

加密模塊，用于通過與所述IPSec SA對端設備之間的IPSec SA加密所述探測報文后發送給所述IPSec SA對端設備；

第一確定模塊，用于確定在第一檢測時長內是否通過與所述IPSec SA對端設備之間的IPSec SA接收到所述IPSec SA對端設備發送的加密后的所述探測報文；

第二確定模塊，用于若在第一檢測時長內未通過與所述IPSec SA對端設備之間的IPSec SA接收到所述IPSec SA對端設備發送的加密后的所述探測報文，則確定與所述IPSec SA對端設備之間的IPSec SA故障。

7.如權利要求6所述的裝置，其特征在于，所述構建模塊，具體用于：

隨機獲取IPSec SA對端設備之前通過與所述IPSec SA對端設備之間的IPSec SA發送的一個數據報文，得到歷史數據報文；

獲取所述歷史數據報文的五元組信息包括的源互聯網協議IP地址、目的IP地址、源端口、目的端口和協議類型；

構建攜帶所述源IP地址、所述目的IP地址、所述源端口、所述目的端口和所述協議類型的探測報文。