CN102098207A

CN102098207A - 建立因特网协议安全IPSec通道的方法、装置和系统

Info

Publication number: CN102098207A
Application number: CN2009102527583A
Authority: CN
Inventors: 李光应; 谢华国; 周通; 饶飞; 康达祥; 刘勇
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2009-12-09
Filing date: 2009-12-09
Publication date: 2011-06-15
Anticipated expiration: 2029-12-09
Also published as: CN102098207B

Abstract

本发明实施例提供一种建立因特网协议安全IPSec通道的方法、装置和系统，其中，所述方法包括：将启动节点差分服务代码点DSCP优先级值发送给响应节点；接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；利用所述SA与所述响应节点建立IPSec通道。本发明实施例解决了不同DSCP优先级值的应用使用同一个SA发生的丢包问题，提高了网络的QoS。

Description

建立因特网协议安全IPSec通道的方法、装置和系统

技术领域

本发明涉及通信领域，尤其涉及一种建立因特网协议安全(IPSec，Internet Protocol Security)通道的方法、装置和系统。

背景技术

IPSec是一系列基于IP网络(包括Intranet、Extranet和Internet)的，由互联网工程任务组(IETF，The Internet Engineering Task Force)正式定制的开放性IP安全标准，为IP网络提供完整安全性的协议和服务的集合，这些服务和协议结合起来提供不同类型的服务，因为IPSec工作在IP层，所以它能为上层协议和应用提供透明的安全服务。

IPSec在企业中心和分支机构之间提供安全的隧道服务。企业各个部分通过Internet提供商提供的接口连入互联网实现IP互通，然后再通过出口部署专用网关或路由器来提供IPSec通道。出差用户也可以通过PC直接发起的IPSec通道接入公司总部网关。所有的企业用户的异地互访数据流通过安全的IPSec来承载，虽然是在公网上传输，但可以得到加密和认证保护。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：现有标准要求对端两节点间建立相关联的SA(Security Association，安全关联)，但是没有具体描述对端两节点间如何建立相关联的SA的问题，且即使建立成功，如果不同差分服务代码点(Differentiated Services Code Point，DSCP)优先级值的应用使用同一个SA发送数据，低优先级值的业务就会出现丢包问题。

发明内容

本发明实施例提供一种建立因特网协议安全IPSec通道的方法、装置和系统，以解决不同DSCP优先级值的应用使用同一个SA发生的丢包问题。

一方面，本发明实施例提供了一种建立因特网协议安全IPSec通道的方法，所述方法包括：将启动节点差分服务代码点DSCP优先级值发送给响应节点；接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；利用所述SA与所述响应节点建立IPSec通道。

另一方面，本发明实施例提供了一种建立因特网协议安全IPSec通道的装置，所述装置包括：发送单元，用于将所述装置的差分服务代码点DSCP优先级值发送给响应节点；接收单元，用于接收所述响应节点反馈的与所述装置的节点DSCP优先级值匹配的响应节点DSCP优先级值信息；获取单元，用于根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；建立单元，用于利用所述SA与所述响应节点建立IPSec通道。

再一方面，本发明实施例提供了一种建立因特网协议安全IPSec通道的系统，所述系统包括启动节点和响应节点，其中：所述启动节点，用于将所述启动节点差分服务代码点DSCP优先级值发送给响应节点，接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息，根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA，利用所述SA与所述响应节点建立IPSec通道；所述响应节点，用于接收所述启动节点发送的DSCP优先级值，根据所述DSCP优先级值获取与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息，向所述启动节点发送所述与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息，并与所述启动节点建立IPSec通道。

上述技术方案具有如下有益效果：通过根据响应节点的不同DSCP优先级值信息获得响与该应节点相关联的SA，并与该SA建立IPSec通道，使得不同DSCP优先级值的应用使用不同的SA建立安全通道。在对端两节点间建立相关联的SA时，解决了不同DSCP优先级值的应用使用同一个SA发生的丢包问题，提高了网络的QoS(Quality of Service，服务质量)。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一种建立因特网协议安全IPSec通道的方法流程图；

图2为本发明实施例在两对端节点Peer1和Peer2的DSCP配置的优先级值和SA的对应关系示意图；

图3为本发明实施例另一种建立IPSec通道的方法流程图；

图4为本发明实施例一种建立因特网协议安全IPSec通道的装置结构示意图；

图5为本发明实施例另一种建立因特网协议安全IPSec通道的装置结构示意图；

图6为本发明实施例一种建立因特网协议安全IPSec通道的系统的结构示意图；

图7为本发明实施例建立的IPSec通道的应用场景示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一：

如图1所示，为本发明实施例一种建立因特网协议安全IPSec通道的方法流程图，所述方法包括：

101、将启动节点差分服务代码点DSCP优先级值发送给响应节点；

可选的，所述将一启动节点差分服务代码点DSCP优先级值发送给响应节点之前，所述方法可以包括：分别在所述响应节点和启动节点将DSCP优先级值配置到安全策略数据库SPD，并分别在所述响应节点和启动节点配置DSCP优先级值和SA的对应关系，此处，在所述响应节点和启动节点配置的DSCP优先级值可以相同、部分相同或者不同。所述安全策略数据库SPD还可以包括：源IP地址、源地址端口号、目的IP地址、目的地址端口号。

Internet密钥交换协议(Internet Key Exchange，IKE)是一个独立的协议，它能够为IPSec提供了自动协商交换密钥、建立安全关联(SA，Security Association)的服务，以简化IPSec的使用和管理。用IPSec保护一个IP包之前，必须建立一个SA，SA可以手工创建和动态建立，IKE用于动态建立SA。可选的，所述配置所述DSCP优先级值和所述SA的对应关系可以包括：通过因特网密钥交换协议IKE协商消息建立所述DSCP优先级值和所述SA的对应关系。所述IKE协商消息中可以包括所述DSCP优先级值信息。

102、接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；

103、根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；

可选的，当所述接收的所述响应节点反馈的响应节点DSCP优先级值信息中DSCP优先级值为空值时，可以获取与所述响应节点相关联的SA中的任一SA。

104、利用所述SA与所述响应节点建立IPSec通道。

本发明上述方法实施例技术方案因为采用将启动节点差分服务代码点DSCP优先级值发送给响应节点；接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；利用所述SA与所述响应节点建立IPSec通道。通过根据响应节点的不同DSCP优先级值信息获得响与该应节点相关联的SA，并与该SA建立IPSec通道，使得不同DSCP优先级值的应用使用不同的SA建立安全通道。解决了对端两节点间如何建立相关联的SA的问题，且解决了不同DSCP优先级值的应用使用同一个SA发生的丢包问题，提高了网络的QoS，同时可以动态协商，具有提高效率和灵活性的技术效果。

实施例二：

假定两对端节点Peer1和Peer2需要建立不同DSCP应用的IPSec通道。如图2所示，为本发明实施例在两对端节点Peer1和Peer2的DSCP配置的优先级值和SA的对应关系示意图，在Peer1端配置安全策略的时候，Peer1端需把DSCP值作为一个SA选择器和SA其他选择器一起组成一个SPD条目，Peer2端也同样做相应的SPD配置，此处，在所述Peer1和Peer2配置的DSCP优先级值还可以部分相同或者不同。为描述简单，假定现在只有五个SA选择器：源IP地址、源地址端口号、目的IP地址、目的地址端口号、DSCP值。

SA协商阶段：Peer1DSCP优先级是10的应用需要传输数据到Peer2，数据流在SPD查询是否有匹配的条目，查找到SPD通道1(SPD Entry 1)，然后查看是否有协商好的SA-out，如果没有的话，发起IKE协商。如果有的话，直接使用此SA-out；在IKE协商的时候，IKE的报文中承载了DSCP值，Peer2端接收到IKE报文，解析出DSCP值。Peer2端根据源地址、源端口号、目的地址，目的地址端口号、DSCP值五元组在Peer2的SPD中查询，确认是否存在匹配的SPD Entry.如果有，就使用IKE报文把DSCP值发送回Peer1端，如果DSCP值信息中的DSCP值是空值，则表示可以接收任DSCP优先级。如果没有匹配到SPD则中止IKE协商。协商出SA-out，Peer1端使用此SA建立安全通道。

IKE扩展的具体方案：

1.IKE阶段1SA创建：

在IKE阶段1，该阶段的密钥协商模式分为主模式或野蛮模式两种，需要为DSCP特性交换协商的Vendor ID。

Vendor ID＝{48，55，41，57，45，49，2D，49，4B，45，76，31，44，53，43，50}

Length＝16.

如果Vendor ID交换成功说明通信双方都支持DSCP特性。本地策略可以考虑重新发起无此特性的IKE协商，从而本方案兼容不支持此特性的IKE方案。

2.IKE阶段2SA协商(Negotiation)：

如图3所示，为本发明实施例另一种建立IPSec通道的方法流程图，该方法包括：

301、启动节点(Initiator)要根据IPSec策略，有效服务列表(ACL，Access Control List)和DSCP优先级协商出一个新的SA，其会将DSCP值作为一个通知(Notification)负载发送给对方。

302、响应节点(Responder)接收报文后，从ID负载里面解析出ACL，从Notification负载里面解析出DSCP值。

303、Responder根据ACL和DSCP来查找IPSec策略库，如果找到相应的策略，则新的SA会被协商出来；

如果找到策略，但SA已存在，则协商出新的SA来代替老的；Responder需要把其DSCP值发送到Initiator方；

如果查找不到策略，则发送通知(Notify)信息(类型为INVALID-ID-INFORMATION(18))给Initiator，中止协商。

304、Initiator接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；

305、Initiator根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；

当所述Initiator接收的所述Responder反馈的DSCP优先级值信息中DSCP优先级值为空值时，可以获取与所述Responder相关联的SA中的任一SA。

306、Initiator利用所述SA与所述响应节点建立IPSec通道。

例如，IKE阶段2协商SA流程代码：

DSCP在Notify负载中占用4个字节的格式：

其中DSCP值(DSCP Value)占用一个，另外3个字节可以进行填充。

本发明实施例另外可以根据上述配置的SPD条目手工配置SA-in和SA-out，从而建立IPSec通道，本发明实施例也可以拓展到有类似窗口机制又支持不同Qos级别的传输协议中。

本发明实施例通过把DSCP优先级值作为SA选择器和扩展IKE协议，实现了动态的协商出和DSCP优先级值相关联的SA，使得不同DSCP优先级值的应用使用不同的SA建立安全通道，从而减少了IPSec支持Qos时可能出现的丢包问题。因为可以动态协商，所以提高了效率和灵活性。另外，本方案在IKE阶段1通过验证Vendor ID是否交换成功，可以兼容旧的方案，在实际应用中，不会产生兼容性问题。

实施例三：

如图4所示，为本发明实施例一种建立因特网协议安全IPSec通道的装置结构示意图，所述装置包括：

发送单元401，用于将该装置的差分服务代码点DSCP优先级值发送给响应节点；

接收单元402，用于接收所述响应节点反馈的与该装置的DSCP优先级值匹配的响应节点DSCP优先级值信息；

获取单元403，用于根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；

建立单元404，用于利用所述SA与所述响应节点建立IPSec通道。

可选的，如图5所示，为本发明实施例另一种建立因特网协议安全IPSec通道的装置结构示意图，所述装置包括上述发送单元401、接收单元402、获取单元403和建立单元404，还可以包括：配置单元405，用于在所述发送单元401将该装置的DSCP优先级值发送给响应节点之前，分别在所述响应节点和该装置将DSCP优先级值配置到安全策略数据库SPD，并信息配置DSCP优先级值和SA的对应关系，此处，在所述响应节点和该装置配置的DSCP优先级值可以相同、部分相同或者不同。

可选的，所述安全策略数据库SPD还可以包括：源IP地址、源地址端口号、目的IP地址、目的地址端口号。所述配置单元405，可以进一步用于通过因特网密钥交换协议IKE协商消息建立所述DSCP优先级值和所述SA的对应关系。所述IKE协商消息中可以包括所述DSCP优先级值信息。

可选的，当所述接收单元接收的所述响应节点反馈的响应节点DSCP优先级值信息中DSCP优先级值为空值时，所述获取单元可以获取与所述响应节点相关联的SA中的任一SA。

本实施例提供的建立IPSec通道的装置在一个实施例中可以为启动节点。

本发明上述装置实施例技术方案，通过根据响应节点的不同DSCP优先级值信息获得响与该响应节点相关联的SA，并与该SA建立IPSec通道，使得不同DSCP优先级值的应用使用不同的SA建立安全通道。所以解决了对端两节点间如何建立相关联的SA的问题，且解决了不同DSCP优先级值的应用使用同一个SA发生的丢包问题，提高了网络的QoS，同时可以动态协商，具有提高效率和灵活性的技术效果。

如图6所示，本发明实施例还提供一种建立因特网协议安全IPSec通道的系统，该系统包括启动节点10和响应节点20，其中：

启动节点10，用于将启动节点10的差分服务代码点DSCP优先级值发送给响应节点，接收响应节点20反馈的与启动节点10的DSCP优先级值匹配的响应节点20的DSCP优先级值信息，根据响应节点20的DSCP优先级值信息获取与响应节点20相关联的安全关联SA，利用所述SA与响应节点20建立IPSec通道；

响应节点20，用于接收启动节点10发送的DSCP优先级值，根据该DSCP优先级值获取与该优先级值匹配的响应节点20的DSCP优先级值信息，向启动节点10发送与所述启动节点10的DSCP优先级值匹配的响应节点20的DSCP优先级值信息，并与启动节点10建立IPSec通道。

在一个实施例中，启动节点的结构和功能可以和实施例三中提供的建立IPSec通道的装置类似，在此不再赘述。

本发明上述系统实施例技术方案通过采用将启动节点差分服务代码点DSCP优先级值发送给响应节点；接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；利用所述SA与所述响应节点建立IPSec通道的技术手段，通过根据响应节点的不同DSCP优先级值信息获得响与该响应节点相关联的SA，并与该SA建立IPSec通道，使得不同DSCP优先级值的应用使用不同的SA建立安全通道。所以解决了对端两节点间如何建立相关联的SA的问题，且解决了不同DSCP优先级值的应用使用同一个SA发生的丢包问题，提高了网络的QoS，同时可以动态协商，具有提高效率和灵活性的技术效果。

如图7所示，为本发明实施例建立的IPSec通道的应用场景示意图：IPSec在企业中心和分支机构之间提供安全的通道服务。企业各个部分通过Internet提供商提供的接口连入互联网实现IP互通，然后再通过出口部署专用网关或路由器来提供IPSec通道。出差用户也可以通过PC直接发起的IPSec通道接入公司总部网关。所有的企业用户的异地互访数据流通过安全的IPSec通道来承载，虽然是在公网上传输，但得到了加密和认证保护。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，包括上述全部或部分步骤，所述的存储介质，如：ROM/RAM、磁盘、光盘等。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种建立因特网协议安全IPSec通道的方法，其特征在于，所述方法包括：

将启动节点差分服务代码点DSCP优先级值发送给响应节点；

接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息；

根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；

利用所述SA与所述响应节点建立IPSec通道。

2.如权利要求1所述方法，其特征在于，所述将启动节点差分服务代码点DSCP优先级值发送给响应节点之前，所述方法包括：

分别在所述响应节点和启动节点将DSCP优先级值配置到安全策略数据库SPD，并分别在所述响应节点和启动节点配置DSCP优先级值和SA的对应关系。

3.如权利要求2所述方法，其特征在于，所述安全策略数据库SPD还包括：源IP地址、源地址端口号、目的IP地址、目的地址端口号。

4.如权利要求2所述方法，其特征在于，所述配置所述DSCP优先级值和所述SA的对应关系包括：

通过因特网密钥交换协议IKE协商消息建立所述DSCP优先级值和所述SA的对应关系。

5.如权利要求4所述方法，其特征在于，所述IKE协商消息中包括所述DSCP优先级值信息。

6.如权利要求1所述方法，其特征在于，当所述接收的所述响应节点反馈的响应节点DSCP优先级值信息中DSCP优先级值为空值时，获取与所述响应节点相关联的SA中的任一SA。

7.一种建立因特网协议安全IPSec通道的装置，其特征在于，所述装置包括：

发送单元，用于将所述装置的差分服务代码点DSCP优先级值发送给响应节点；

接收单元，用于接收所述响应节点反馈的与所述装置的DSCP优先级值匹配的响应节点DSCP优先级值信息；

获取单元，用于根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA；

建立单元，用于利用所述SA与所述响应节点建立IPSec通道。

8.如权利要求7所述装置，其特征在于，所述装置还包括：

配置单元，用于在所述发送单元将装置的DSCP优先级值发送给响应节点之前，分别在所述响应节点和所述装置将DSCP优先级值配置到安全策略数据库SPD，并分别在所述响应节点和所述装置配置DSCP优先级值和SA的对应关系。

9.如权利要求8所述装置，其特征在于，所述安全策略数据库SPD还包括：源IP地址、源地址端口号、目的IP地址、目的地址端口号。

10.如权利要求8所述装置，其特征在于，所述配置单元，进一步用于通过因特网密钥交换协议IKE协商消息建立所述DSCP优先级值和所述SA的对应关系。

11.如权利要求10所述装置，其特征在于，所述IKE协商消息中包括所述DSCP优先级值信息。

12.如权利要求7所述装置，其特征在于，当所述接收单元接收的所述响应节点反馈的响应节点DSCP优先级值信息中DSCP优先级值为空值时，所述获取单元获取与所述响应节点相关联的SA中的任一SA。

13.一种建立因特网协议安全IPSec通道的系统，其特征在于，所述系统包括启动节点和响应节点，其中：

所述启动节点，用于将所述启动节点差分服务代码点DSCP优先级值发送给响应节点，接收所述响应节点反馈的与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息，根据所述响应节点DSCP优先级值信息获取与所述响应节点相关联的安全关联SA，利用所述SA与所述响应节点建立IPSec通道；

所述响应节点，用于接收所述启动节点发送的DSCP优先级值，根据所述DSCP优先级值获取与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息，向所述启动节点发送所述与所述启动节点DSCP优先级值匹配的响应节点DSCP优先级值信息，并与所述启动节点建立IPSec通道。