[發明專利]IPsec自動協商攜資源入網的方法和系統及存儲介質

在審

• 申請號: 202210436509.5
• 申請日: 2022-04-24
• 公開（公告）號: CN114928474A
• 公開（公告）日: 2022-08-19
• 發明（設計）人: 原金森;隋鶴;范鴻雷
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L12/46
• 代理公司: 北京維正專利代理有限公司 11508
• 代理人: 李傳亮

本發明涉及通信技術領域，具體涉及一種IPsec自動協商攜資源入網的方法和系統及存儲介質，目的在于提高構建IPsec隧道的效率。本發明提出的IPsec自動協商攜資源入網的方法包括：中心端服務器將第一IPsec策略和第二IPsec策略分別通過預先建立的第一IPsec隧道和第二IPsec隧道發送到第一防火墻和第二防火墻，以使第一防火墻和第二防火墻進行隧道協商，從而建立第三IPsec隧道。其中，第一IPsec策略包括：第二防火墻的地址；第二IPsec策略包括：第一防火墻的地址。本發明的自動協商方法提高了IPsec協商的效率，降低了維護成本。

技術領域

本發明涉及通信技術領域，具體涉及一種IPsec自動協商攜資源入網的方法和系統及存儲介質。

背景技術

互聯網安全協議(Intemet Protocol security，IPsec)，是一個協議簇，通過對IP協議的分組進行加密和認證來保護IP協議的網絡傳輸協議簇。IPsec依靠密碼技術保護各種環境中的通信，包括在專用網中計算機之間的通信鏈路，公司站點之間的鏈路，以及撥號用戶和公司LAN之間的鏈路等。

圖1是兩臺計算機之間通過互聯網進行通信的示意圖。如圖1所示，如果PCI想要和PC2進行加密通信，需要在兩臺防火墻中間建立IPsec隧道，兩臺防火墻需要配置各自的IPsec策略來建立IPsec通信。圖2是一個中心機構與多個分支機構之間通過公網連接的拓撲環境示意圖。如圖2所示，分別位于三個分支機構中的計算機PC-A、PC-B、PC-C和分支服務器A、分支服務器B、分支服務器C均通過各自的防火墻接入公網，位于中心機構的中心服務器1、中心服務器2、中心服務器3通過中心防火墻接入公網。在圖2的拓撲環境中，如果計算機PC-A想要訪問中心服務器和其他分支服務器的資源，需要在分支防火墻A和其他各臺防火墻之間都建立一條隧道，當分支機構不斷增多時，此時在配置防火墻IPsec策略時，對應關系是1：N的關系，導致防火墻配置非常復雜，人力維護不但效率低，而且成本很高。

發明內容

為了解決現有技術中的上述問題，本發明提出了一種IPsec自動協商攜資源入網的方法和系統及存儲介質，提高了IPsec協商的效率，降低了維護成本。

本發明第一方面，提出了一種IPsec自動協商攜資源入網的方法，所述方法包括：

中心端服務器將第一IPsec策略和第二IPsec策略分別通過預先建立的第一IPsec隧道和第二IPsec隧道發送到第一防火墻和第二防火墻，以使所述第一防火墻和所述第二防火墻進行隧道協商，從而建立第三IPsec隧道；

其中，

所述第一IPsec策略包括：所述第二防火墻的地址；

所述第二IPsec策略包括：所述第一防火墻的地址；

所述第一IPsec隧道位于中心端防火墻與第一防火墻之間；

所述第二IPsec隧道位于所述中心端防火墻與第二防火墻之間；

所述第一防火墻、所述第二防火墻和所述中心端防火墻分別為資源請求端、資源響應端和所述中心端服務器的防火墻。

優選地，在“中心端服務器將第一IPsec策略和第二IPsec策略分別通過預先建立的第一IPsec隧道和第二IPsec隧道發送到第一防火墻和第二防火墻”之前，所述方法還包括：

所述中心端服務器根據所述第一防火墻的地址和所述第二防火墻的地址生成所述第一IPsec策略和所述第二IPsec策略。

優選地，在“所述中心端服務器根據所述第一防火墻的地址和所述第二防火墻的地址生成所述第一IPsec策略和所述第二IPsec策略”之前，所述方法還包括：

所述中心端服務器接收所述資源請求端發來的協商請求，所述協商請求包括：所述第一防火墻的地址，以及所述資源請求端想要訪問的資源響應端的地址；