CN101132406A

CN101132406A - 一种使用互联网协议安全多隧道的方法及三层设备

Info

Publication number: CN101132406A
Application number: CNA2007101224156A
Authority: CN
Inventors: 沈志祥; 周迪
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2007-09-25
Filing date: 2007-09-25
Publication date: 2008-02-27

Abstract

本发明公开了一种使用互联网协议安全多隧道的技术方案，在具有相同源、目的网段的IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道，通过所述主IPSEC隧道传输所述源网段与所述目的网段之间的报文，实现了有效利用三层设备上配置的IPSEC多隧道的目的。另外，本发明的技术方案在当前使用的IPSEC隧道发生故障之后，重新在IPSEC多隧道中确定一个主IPSEC隧道，因此同时也实现了IPSec多隧道之间可以备份。

Description

一种使用互联网协议安全多隧道的方法及三层设备

技术领域

本发明涉及互联网协议安全(IPSEC，IP Security)技术，尤指一种使用互联网协议安全多隧道的方法及三层设备。

背景技术

随着网络的大量普及，网络已经成为人们的生产、生活不可或缺的一部分。但是随着网络应用的不断扩大，网络安全的重要性就显得越来越高。IPSec是互联网工程任务组(IETF)制定的三层隧道加密协议，它为互联网上传输的数据提供了高质量、可互操作、基于密码学的安全保证。

参见图1，图1为现有技术中存在IPSEC多隧道的网络结构示意图。IPSEC多隧道是指连接相同源网段和目的网段的多条IPSEC隧道。如图1所示，路由器1上配置的IPSEC多隧道包括：路由器1和路由器2之间的IPSEC隧道1，路由器1和路由器3之间的IPSEC隧道2。IPSEC隧道1和IPSEC隧道2连接了两个相同的网段，192.168.1.0/24和192.168.0.0/24。其中，站点主要用来表示IP网段定义的一组用户。

如图1所示，虽然在路由器1上配置了两条连接站点1网段和站点2网段的IPSEC隧道，但由于现有技术的技术局限性，路由器1仅会固定使用其中一条IPSEC隧道用来传输站点1网段和站点2网段之间的报文。由于路由器1固定使用一条IPSEC隧道，因此即使在该IPSEC隧道无效、导致站点1和站点2之间无法进行通信，路由器1也不会使用另外一条有效的IPSEC隧道。从而，在现有技术中，路由器不能有效地使用自身配置的IPSEC多隧道，浪费了系统资源，使配置的IPSEC多隧道没有得到有效的利用。

发明内容

有鉴于此，本发明提供了一种使用互联网协议安全多隧道的方法，应用本发明所提供的方法，能够有效地使用IPSEC多隧道。

为达到上述目的，本发明的技术方案是这样实现的：

一种使用互联网协议安全多隧道的方法，该方法包括以下步骤：

在为三层设备配置的具有相同源、目的网段的互联网协议安全IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道；

在所述三层设备上，将所确定的主IPSEC隧道设置为所述源网段与所述目的网段之间所使用的IPSEC隧道；断开所述IPSEC多隧道中其他IPSEC隧道；

通过所述主IPSEC隧道传输所述源网段与所述目的网段之间的报文。

较佳地，所述在为三层设备配置的具有相同源、目的网段的IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道包括：

查找所述IPSEC多隧道，得到其中安全联盟SA协商成功的IPSEC隧道；选择其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。

较佳地，该方法进一步包括：查找所述IPSEC多隧道，得到其中互联网密钥交换协议IKE协商成功的IPSEC隧道；

在所述IKE协商成功的IPSEC隧道中执行所述查找SA协商成功的IPSEC隧道的操作。

较佳地，所述将所确定的主IPSEC隧道设置为所述源网段与所述目的网段之间所使用的IPSEC隧道包括：

建立所述主IPSEC隧道的SA与所述源网段和目的网段之间的关联关系。

较佳地，所述通过所述主IPSEC隧道传输所述源网段与所述目的网段之间的报文包括：

当从所述源网段收到发送至所述目的网段的报文时，用与该源网段和目的网段关联的SA加密收到报文，发送至目的网段；

当从所述目的网段收到发送至所述源网段的报文时，用与该源网段和目的网段关联的SA解密收到报文，发送至源网段。

较佳地，确定当前所使用的主IPSEC隧道发生故障时，启动所述IPSEC多隧道中其它IPSEC隧道的SA协商，重新确定其中一条有效的IPSEC隧道为主IPSEC隧道。

较佳地，该方法进一步包括：设置生存时间；所述三层设备周期性向所述主IPSEC隧道的对等体发送探测报文；

所述确定当前所使用的主IPSEC隧道发生故障为：在生存时间内未收到该对等体返回的回应报文时，确定当前所使用的主IPSEC隧道发生故障。

有鉴于此，本发明提供了一种使用互联网协议安全多隧道的三层设备，应用本发明所提供的三层设备，能够有效地使用IPSEC多隧道。

一种使用IPSEC多隧道的三层设备，该设备包括处理单元和收发单元；

所述处理单元在配置的具有相同源、目的网段的IPSEC多隧道中确定一条有效的IPSEC隧道为主IPSEC隧道；并向所述收发单元指示所确定的主IPSEC隧道；

所述收发单元将指示的主IPSEC隧道设置为所述源网段与所述目的网段之间所使用的IPSEC隧道；断开所述IPSEC多隧道中其他IPSEC隧道；通过所述主IPSEC隧道传输所述源网段与所述目的网段之间的报文。

较佳地，所述处理单元查找所述IPSEC多隧道，得到其中安全联盟SA协商成功的IPSEC隧道；选择其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。

较佳地，所述收发单元设置生存时间，并周期性向所述主IPSEC隧道的对等体发送探测报文；在生存时间内未收到该对等体返回的回应报文时，向所述处理单元指示当前主IPSEC隧道发生故障；

所述处理单元收到所述指示后，启动所述IPSEC多隧道中其它IPSEC隧道的SA协商，重新确定其中一条有效的IPSEC隧道为主IPSEC隧道。

本发明所提供的一种使用互联网协议安全多隧道的技术方案，在具有相同源、目的网段的IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道，通过该有效的主IPSEC隧道发送从源网段收到的、需发送至目的网段的报文，实现了有效利用三层设备上配置的IPSEC多隧道的目的。

另外，本发明的技术方案在当前使用的IPSEC隧道发生故障之后，重新在IPSEC多隧道中确定一个主IPSEC隧道，因此同时也实现了IPSec多隧道之间可以备份。同时，通过借助定期向对等体发送的探测报文，用来探测对等体远端地址路由可达性，因此，进一步减少了在发生故障时候，IPSEC隧道之间的切换时间。

附图说明

图1为现有技术中的网络结构图；

图2为本发明方法的示例性流程图；

图3为本发明实施例中方法的流程图；

图4为本发明实施例中三层设备的结构图。

具体实施方式

在本发明的技术方案中，为了能够有效地利用三层设备上配置的IPSEC多隧道，可以在该具有相同源、目的网段的IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道，然后通过该有效的主IPSEC隧道传输源网段与目的网段之间的报文。由于本发明的技术方案先在IPSEC多隧道中确定了一个有效的IPSEC隧道为主IPSEC隧道，然后通过该有效的主IPSEC隧道发送报文，保证了当前使用的IPSEC隧道的有效性。因此相对于现有技术中固定使用IPSEC多隧道中的一个隧道的技术方案，本发明更能有效地使用IPSEC多隧道。在本发明技术方案中所介绍的三层设备可以是路由器、防火墙以及三层交换机。

参见图2，图2为本发明方法的示例性流程图。具体包括：在步骤201中，在为三层设备配置的具有相同源、目的网段的互联网协议安全IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道；在步骤202中，在三层设备上，将所确定的主IPSEC隧道设置为源网段与目的网段之间所使用的IPSEC隧道；断开IPSEC多隧道中其他IPSEC隧道；在步骤203中，通过主IPSEC隧道传输源网段与目的网段之间的报文。

本发明的技术方案，在IPSEC多隧道中确定一条有效的IPSEC隧道为主IPSEC隧道的操作可以是：查找IPSEC多隧道，得到其中安全联盟(SA，Security Association)协商成功的IPSEC隧道；将其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。

另外，将所确定的主IPSEC隧道设置为源网段与目的网段之间所使用的IPSEC隧道可以是：建立主IPSEC隧道的SA与源网段和目的网段之间的关联关系。进而，在从源网段收到发送至目的网段的报文时，用与该源网段和目的网段关联的SA加密收到报文，发送至目的网段；在从目的网段收到发送至源网段的报文时，用与该源网段和目的网段关联的SA解密收到报文，发送至源网段。

将主IPSEC隧道设置为源网段与目的网段之间所使用的IPSEC隧道，就意味着三层设备上IPSEC多隧道中的其他IPSEC隧道就会被断开。其中，使IPSEC隧道断开的方法可以是，对于IPSEC多隧道中不为主IPSEC隧道的IPSEC隧道，当前三层设备停止与该IPSEC隧道对应的对等体进行IKE协商。这里对等体是指协商IPSEC隧道SA的实体。在图1所示的网络结构中，路由器1和路由器2是IPSEC隧道1的对等体；路由器1和路由器3是IPSEC隧道2的对等体。基于安全的考虑，IPSEC隧道的对等体之间会周期性进行IKE协商，如果对等体之间不进行IKE协商，相应的SA协商就不会成功，没有SA就没有IPSEC隧道。因此，停止对等体之间的IKE协商就相当于对应的IPSEC隧道失效。这里，不排除现有技术中还存在其他的具体实现方式。

以下以上述介绍的较佳技术手段为例，列举实施例对本发明的技术方案进行详细介绍。

参见图3，图3为本发明实施例方法的流程图。具体流程如下：

在步骤301中，查找三层设备配置的IPSEC多隧道，得到其中SA协商成功的IPSEC隧道；将其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。

这里，在查找得到多条SA协商成功的IPSEC隧道时，可以任意选择其中一条IPSEC隧道作为主IPSEC隧道。另外，还可以按对等体远端地址的大小进行选择，即可以将对等体远端地址小的IPSEC隧道作为主IPSEC隧道，也可以将对等体远端地址大的IPSEC隧道作为主IPSEC隧道。在仅存在的一条SA协商成功的IPSEC隧道，则将该SA协商成功的IPSEC隧道作为主IPSEC隧道。

在本步骤中，为了提高查找SA协商成功的IPSEC隧道的效率，可以进一步查找得到该IPSEC多隧道中IKE协商成功的IPSEC隧道，然后在IKE协商成功的IPSEC隧道中查找SA协商成功的IPSEC隧道。由于SA协商中包含IKE协商，并且IKE协商是整个SA协商的基础，如果IKE协商成功，则对应的SA协商才有可能协商成功；如果IKE协商不成功，则对应的SA不能协商成功。因此，在IKE协商成功的IPSEC隧道中查找SA协商成功的IPSEC隧道，由于缩小了查找的范围，进而能够提高查找SA协商成功的IPSEC隧道的效率。

其中，具体查找IKE协商成功的IPSEC隧道、以及SA协商成功的IPSEC隧道的方法可以是利用现有技术中配置IPSEC隧道的方式。在现有技术中，当在三层设备上配置了IPSEC隧道时，三层设备就会与该IPSEC隧道的对等体进行SA协商。这里，IKE协商是在SA协商过程中首先进行的。在IKE协商成功、以及最终的SA协商成功后，将会生成对应的索引。本发明的技术方案可以通过查找对应的IKE索引以及SA索引，判断对应的索引是否有效，进而确定IPSEC隧道IKE的协商以及SA的协商是否成功。在索引有效时，确定对应的协商成功；在索引无效时，确定对应的协商不成功。

在本步骤的具体实现过程中，可以建立如表一所示的IPSEC多隧道表。

源网段	目的网段	对等体远端地址	SA协商状态
源网段	目的网段	对等体远端地址	SA协商状态	192.168.1.0/24	192.168.0.0/24	Router1port1IP地址	成功
192.168.1.0/24	192.168.0.0/24	Router2port1IP地址	失败	192.168.1.0/24	192.168.0.0/24	Router1port1IP地址	成功

表一

该表中包括源网段、目的网段、对等体远端地址以及SA协商状态。由于其中的源网段、目的网段、对等体远端地址能够唯一标识三层设备上的一个IPSEC隧道，因此该表可以用来记录IPSEC隧道SA协商的状态，是成功还是失败。在本发明的技术方案中，可以将IPSEC隧道的SA协商状态记录在表一；然后，再根据表一中记录的状态，确定其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。

在步骤302中，建立主IPSEC隧道的SA与当前源网段和目的网段之间的关联关系；停止与IPSEC多隧道中其它IPSEC隧道的对等体IKE协商。具体的实现方法可以如表二所示。

源网段

目的网段

SA项目

表二

其中，SA项目部分可以是指向主IPSEC隧道的SA的指针，也可以是将主IPSEC隧道协商出的SA相关参数，保存在该项目中，以备收到报文时直接读取。

在步骤303中，通过主IPSEC隧道传输源网段与目的网段之间的报文。

具体包括：当从源网段收到发送至目的网段的报文时，用与该源网段和目的网段关联的SA加密收到报文，发送至目的网段；当从目的网段收到发送至源网段的报文时，用与该源网段和目的网段关联的SA解密收到报文，发送至源网段。

在本发明的技术方案中，在确定当前所使用的主IPSEC隧道发生故障时，可以对IPSEC多隧道中的其它IPSEC隧道启动SA协商，然后重新确定其中一条有效的IPSEC隧道为主IPSEC隧道。其中，确定当前所使用的主IPSEC隧道发生故障的其中一个方法可以是，设置生存时间，三层设备周期性向主IPSEC隧道的对等体发送探测报文，如果在生存时间内未收到该对等体返回的回应报文时，则确定当前所使用的主IPSEC隧道发生故障。这里，周期的具体大小可以根据网络环境的具体情况确定。另外，这里所描述的探测报文可以是ICMP请求报文，也可以是其他类型的报文，只要能够测试对等体远端地址路由的可达性即可。为了标识各IPSEC隧道的生存时间，可以在IPSEC多链路表中增加生存时间项目，用来记录各IPSEC隧道对应的生存时间。

另外，参见图4，图4为本发明实施例中所提供的一种使用IPSEC多隧道的三层设备，该设备包括处理单元和收发单元。

其中，处理单元在配置的具有相同源、目的网段的IPSEC多隧道中确定一条有效的IPSEC隧道为主IPSEC隧道；并向收发单元指示所确定的主IPSEC隧道。收发单元将指示的主IPSEC隧道设置为源网段与目的网段之间所使用的IPSEC隧道；断开IPSEC多隧道中其他IPSEC隧道；通过主IPSEC隧道传输源网段与目的网段之间的报文。这里，处理单元向收发单元指示所确定的主IPSEC隧道的方法可以是：向收发单元发送该主IPSEC隧道的源网段、目的网段以及对等体远端地址。

具体的，处理单元查找IPSEC多隧道，得到其中安全联盟SA协商成功的IPSEC隧道；选择其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。另外，收发单元设置生存时间，并周期性向主IPSEC隧道的对等体发送探测报文；在生存时间内未收到该对等体返回的回应报文时，向处理单元指示当前主IPSEC隧道发生故障。相应的，处理单元收到指示后，对IPSEC多隧道中的其它IPSEC隧道进行SA协商，重新确定其中一条有效的IPSEC隧道为主IPSEC隧道。

在本发明的技术方案在具有相同源、目的网段的IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道，然后通过该有效的主IPSEC隧道传输源网段与目的网段之间的报文，实现了有效利用三层设备上配置的IPSEC多隧道的目的。

另外，本发明的技术方案在当前使用的IPSEC隧道发生故障之后，重新在IPSEC多隧道中确定一个主IPSEC隧道，因此同时也实现了IPSec多隧道之间可以备份。并且，通过借助定期向对等体发送的探测报文，用来探测对等体远端地址路由可达性，因此，进一步减少了在发生故障时候，IPSEC隧道之间的切换时间。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种使用互联网协议安全多隧道的方法，其特征在于，该方法包括以下步骤：

2.根据权利要求1所述的方法，其特征在于，所述在为三层设备配置的具有相同源、目的网段的IPSEC多隧道中，确定一条有效的IPSEC隧道为主IPSEC隧道包括：

3.根据权利要求2所述的方法，其特征在于，

该方法进一步包括：查找所述IPSEC多隧道，得到其中互联网密钥交换协议IKE协商成功的IPSEC隧道；

4.根据权利要求1所述的方法，其特征在于，所述将所确定的主IPSEC隧道设置为所述源网段与所述目的网段之间所使用的IPSEC隧道包括：

5.根据权利要求4所述的方法，其特征在于，所述通过所述主IPSEC隧道传输所述源网段与所述目的网段之间的报文包括：

6.根据权利要求1至5中任一权利要求所述的方法，其特征在于，确定当前所使用的主IPSEC隧道发生故障时，启动所述IPSEC多隧道中其它IPSEC隧道的SA协商，重新确定其中一条有效的IPSEC隧道为主IPSEC隧道。

7.根据权利要求6所述的方法，其特征在于，该方法进一步包括：设置生存时间；所述三层设备周期性向所述主IPSEC隧道的对等体发送探测报文；

8.一种使用IPSEC多隧道的三层设备，其特征在于，该设备包括处理单元和收发单元；

9.根据权利要求8所述的设备，其特征在于，

所述处理单元查找所述IPSEC多隧道，得到其中安全联盟SA协商成功的IPSEC隧道；选择其中一条SA协商成功的IPSEC隧道作为主IPSEC隧道。

10.根据权利要求8或9所述的设备，其特征在于，

所述收发单元设置生存时间，并周期性向所述主IPSEC隧道的对等体发送探测报文；在生存时间内未收到该对等体返回的回应报文时，向所述处理单元指示当前主IPSEC隧道发生故障；