[發(fā)明專利]一種IPsec診斷方法、裝置及本端設(shè)備

有效

• 申請(qǐng)?zhí)枺?/td>: 201910363882.0
• 申請(qǐng)日: 2019-04-30
• 公開（公告）號(hào): CN110113202B
• 公開（公告）日: 2022-02-25
• 發(fā)明（設(shè)計(jì)）人: 郝桂蘭;黃娜
• 申請(qǐng)（專利權(quán)）人: 新華三信息安全技術(shù)有限公司
• 主分類號(hào): H04L41/06
• 分類號(hào): H04L41/06;H04L43/0811;H04L12/46;H04L9/40
• 代理公司: 北京柏杉松知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11413
• 代理人: 李欣;丁蕓

1.一種IPsec診斷方法，其特征在于，應(yīng)用于本端設(shè)備，所述方法包括：

在接收到IPsec診斷指令時(shí)，確定所述IPsec診斷指令攜帶的第一對(duì)端地址所對(duì)應(yīng)的出接口；

判斷所述出接口所應(yīng)用的IPsec策略中配置的第二對(duì)端地址與所述第一對(duì)端地址是否相同；

如果所述第二對(duì)端地址與所述第一對(duì)端地址不同，則輸出用于表示所述IPsec策略配置錯(cuò)誤的診斷結(jié)果。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

如果所述第二對(duì)端地址與所述第一對(duì)端地址相同，則判斷所述IPsec策略中配置的本端地址與所述出接口的地址是否相同；

如果所述IPsec策略中配置的本端地址與所述出接口的地址不同，則輸出用于表示所述IPsec策略配置錯(cuò)誤的診斷結(jié)果。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述方法還包括：

如果所述IPsec策略中配置的本端地址與所述出接口的地址相同，則根據(jù)所述第二對(duì)端地址和所述IPsec策略中配置的本端地址，判斷與地址為所述第二對(duì)端地址的對(duì)端設(shè)備之間是否存在IPsec隧道；

如果判定與所述對(duì)端設(shè)備之間存在IPsec隧道，則輸出用于表示存在IPsec隧道的診斷結(jié)果。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述根據(jù)所述第二對(duì)端地址和所述IPsec策略中配置的本端地址，判斷與地址為所述第二對(duì)端地址的對(duì)端設(shè)備之間是否存在IPsec隧道，包括：

將所述出接口的地址和所述第二對(duì)端地址，與各個(gè)IPsec隧道配置的地址進(jìn)行匹配；

如果存在配置的地址與所述出接口的地址和所述第二對(duì)端地址匹配的IPsec隧道，則確定與地址為所述第二對(duì)端地址的對(duì)端設(shè)備之間存在IPsec隧道；

否則，確定與地址為所述第二對(duì)端地址的對(duì)端設(shè)備之間不存在IPsec隧道。

5.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

如果與所述對(duì)端設(shè)備之間不存在IPsec隧道，則進(jìn)入等待狀態(tài)，直至接收到滿足預(yù)設(shè)條件的協(xié)商報(bào)文，或者，在預(yù)設(shè)時(shí)長內(nèi)接收到的協(xié)商報(bào)文中，相同的協(xié)商報(bào)文的數(shù)目大于預(yù)設(shè)數(shù)目閾值，所述預(yù)設(shè)條件為：所攜帶的本端地址與所述第二對(duì)端地址相同，并且所攜帶的對(duì)端地址與所述出接口的地址相同；

如果接收到滿足所述預(yù)設(shè)條件的協(xié)商報(bào)文，則與發(fā)送該協(xié)商報(bào)文的對(duì)端設(shè)備進(jìn)行IPsec協(xié)商，得到協(xié)商結(jié)果；

基于所述協(xié)商結(jié)果，輸出診斷結(jié)果；

如果在預(yù)設(shè)時(shí)長內(nèi)接收到的協(xié)商報(bào)文中，相同的協(xié)商報(bào)文的數(shù)目大于預(yù)設(shè)數(shù)目閾值，則輸出用于表示所述IPsec策略配置錯(cuò)誤的診斷結(jié)果。

6.一種IPsec診斷裝置，其特征在于，應(yīng)用于本端設(shè)備，所述裝置包括：

出接口匹配模塊，用于在接收到IPsec診斷指令時(shí)，確定所述IPsec診斷指令攜帶的第一對(duì)端地址所對(duì)應(yīng)的出接口；

對(duì)等體匹配模塊，用于判斷所述出接口所應(yīng)用的IPsec策略中配置的第二對(duì)端地址與所述第一對(duì)端地址是否相同；

診斷結(jié)果輸出模塊，用于如果所述第二對(duì)端地址與所述第一對(duì)端地址不同，則輸出用于表示所述IPsec策略配置錯(cuò)誤的診斷結(jié)果。

7.根據(jù)權(quán)利要求6所述的裝置，其特征在于，所述對(duì)等體匹配模塊，還用于如果所述第二對(duì)端地址與所述第一對(duì)端地址相同，則判斷所述IPsec策略中配置的本端地址與所述出接口的地址是否相同；

所述診斷結(jié)果輸出模塊，還用于如果所述IPsec策略中配置的本端地址與所述出接口的地址不同，則輸出用于表示所述IPsec策略配置錯(cuò)誤的診斷結(jié)果。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述裝置還包括隧道檢查模塊，用于如果所述IPsec策略中配置的本端地址與所述出接口的地址相同，則根據(jù)所述第二對(duì)端地址和所述IPsec策略中配置的本端地址，判斷與地址為所述第二對(duì)端地址的對(duì)端設(shè)備之間是否存在IPsec隧道；

所述診斷結(jié)果輸出模塊，還用于如果判定與所述對(duì)端設(shè)備之間存在IPsec隧道，則輸出用于表示存在IPsec隧道的診斷結(jié)果。