[發明專利]一種安全通信的方法和設備

有效

• 申請號: 201911253333.4
• 申請日: 2019-12-09
• 公開（公告）號: CN112787803B
• 公開（公告）日: 2023-01-13
• 發明（設計）人: 房永龍;楚遠征;鄒東棋
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32;H04L69/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 常忠良

1.一種安全通信的方法，其特征在于，應用于第一設備，所述方法包括：

在所述第一設備的第二互聯網協議安全IPSec老化周期內，接收第二設備發送的第一指示信息，所述第一指示信息用于標識在所述第二設備的第一IPSec老化周期內生成的公私鑰對所對應的狀態信息；

根據所述第一指示信息和第二指示信息，建立密鑰協商模板，其中，所述第二指示信息用于標識所述第一設備在所述第二IPSec老化周期內生成的公私鑰對的狀態信息；

根據所述密鑰協商模板，生成第一IPSec密鑰，所述第一IPSec密鑰用于保護所述第一設備和所述第二設備在第一時間段內傳輸的數據，所述第一時間段為所述第一IPSec密鑰在所述第一設備和所述第二設備之間有效的時間段。

2.根據權利要求1所述的方法，其特征在于，

所述第一指示信息與所述第二指示信息相同，所述密鑰協商模板為平行密鑰協商模板，所述平行密鑰協商模板要求參與生成IPSec密鑰的公鑰和私鑰所分別對應的狀態信息相同；或者，

所述第一指示信息與所述第二指示信息不同，所述密鑰協商模板為交叉密鑰協商模板，所述交叉密鑰協商模板要求參與生成IPSec密鑰的公鑰和私鑰所分別對應的狀態信息不同。

3.根據權利要求1所述的方法，其特征在于，所述接收第二設備發送的第一指示信息，包括：

接收所述第二設備發送的?；頚eepAlive報文或雙向轉發檢測BFD報文，所述第一指示信息攜帶在所述KeepAlive報文或所述BFD報文中。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在所述第一設備的第四IPSec老化周期內，接收所述第二設備在第三IPSec老化周期內發送的第一報文，所述第一報文攜帶第三指示信息和所述第二設備在所述第三IPSec老化周期內生成的第一公鑰，其中，所述第三指示信息用于指示所述第一公鑰所對應的狀態信息，所述第三指示信息與所述第一指示信息相同。

5.根據權利要求4所述的方法，其特征在于，所述根據所述密鑰協商模板，生成第一IPSec密鑰，包括：

根據所述密鑰協商模板、所述第三指示信息、所述第一公鑰、所述第一設備在所述第四IPSec老化周期內生成的第一私鑰和第四指示信息，生成所述第一IPSec密鑰，其中，所述第四指示信息用于指示所述第一私鑰所對應的狀態信息，所述第四指示信息與所述第二指示信息相同。

6.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在所述第一設備的第六IPSec老化周期內，接收所述第二設備發送的第二報文，所述第二報文中攜帶所述第二設備在第五IPSec老化周期內的生成的第二公鑰和第五指示信息，其中，所述第五指示信息指示所述第二公鑰所對應的狀態信息；

根據所述密鑰協商模板、所述第二公鑰、所述第五指示信息、所述第一設備在所述第六IPSec老化周期內生成的第二私鑰和第六指示信息，生成第二IPSec密鑰，所述第六指示信息用于指示所述第二私鑰所對應的狀態信息，所述第二IPSec密鑰用于保護所述第一設備和所述第二設備在第二時間段內傳輸的數據，所述第二時間段為所述第二IPSec密鑰在所述第一設備和所述第二設備之間有效的時間段。

7.根據權利要求4-6任意一項所述的方法，其特征在于，所述第一報文中還包括下述參數中的至少一個：DH組、封裝模式、加密算法和認證算法。

8.根據權利要求4-6任意一項所述的方法，其特征在于，所述第一報文為邊界網關協議BGP消息或用戶數據報協議UDP報文。

9.根據權利要求1-6任意一項所述的方法，其特征在于，所述第一IPSec密鑰為加密密鑰或認證密鑰。