CN103475465B - 一种ISSU过程中MACsec密钥更新方法和装置 - Google Patents

Abstract

本申请公开了一种不中断业务升级（ISSU）过程中媒体接入控制安全（MACsec）密钥更新方法，该方法包括：密钥服务器在即将进行软重启ISSU时，若未安装新的SAK，则主动触发新的SAK的生成并下发，在所有成员设备都安装新的SAK后，再进行软重启ISSU。基于同样的发明构思，本申请还提出一种设备，在进行软重启ISSU过程中，可以使用新下发的SAK进行加密，能够延长不需要软件干预的时间，进而保证流量不中断。

Description

一种ISSU过程中MACsec密钥更新方法和装置

技术领域

本申请涉及通信技术领域，特别涉及一种ISSU过程中MACsec密钥更新方法和装置。

背景技术

媒体接入控制安全(MACsec)定义了一个协议集，用于满足在以太网上传输数据的安全需求。MACsec工作在链路层的媒体接入控制(MAC)子层之上，为逻辑链路控制(LogicalLink Control，LLC)子层以及LLC子层之上的协议提供安全的无连接MAC层发送和接收服务，包括用户数据加密、数据帧完整检查及数据源真实性较检。

MACsec可以识别出授权设备发送的报文，并保证数据的机密性，避免处理非授权设备的报文或者非授权设备篡改发送的报文。MACsec使用的安全密钥(SAK)通过MKA协议进行协商生成。在有新成员加入密钥服务器所在的连接集(Connectivity Association，CA)中的任一成员的报文编号(Packet Number，PN)的值等于或大于临界值，或者密钥服务器选择一个新的加密套件时，都会新生成一个SAK，并分发给各成员。

当密钥服务器监测到CA中的所有成员均已经可以使用新的SAK进行接收时，密钥服务器可以发起SAK的切换。在老的SAK对应的PN翻转时，进行SAK切换。SAK切换，即各成员设备实际使用的所有编号的SA中的SAK进行轮转切换。

不中断业务升级(In-Service Software Upgrade，ISSU)是一种可靠性高的升级设备启动软件的方式。它通过一系列的方法确保在升级过程中业务不中断或者中断时间较短。其中，软重启ISSU，是在CPU重启前将系统运行数据、配置数据、硬件数据和状态数据等全部保存在内存中，再使用新软件重启CPU，重启期间由转发层面的硬件继续提供转发能力，保持业务不中断。CPU重启后使用上次保存的数据和状态继续运行。对于需要实时和对端交互协议报文来保持连接的会话，则可以通过协议代理进程来确保在软重启升级过程中连接和协议状态不受影响。

软重启ISSU一般是以接口板为单位进行的，软重启过程中由于接口板芯片状态冻结在软重启前的状态，软件重启，无法响应外部变化。也无法响应软件层面的SAK下发，因此一旦PN用尽并且新的SAK未下发时，在密钥服务器切换到新的SAK的情况下，无法正常加解密，导致出现业务转发故障。

发明内容

有鉴于此，本申请提供一种ISSU过程中MACsec密钥更新方法，在进行软重启ISSU过程中，可以使用新下发的SAK进行加密，能够延长不需要软件干预的时间，进而保证流量不中断。

为解决上述技术问题，本发明的技术方案是这样实现的：

一种不中断业务升级ISSU过程中媒体接入控制安全MACsec密钥更新方法，应用于包括两个以上成员设备的连接集CA中的任一成员设备上，所述方法包括：

该成员设备作为密钥服务器，即将进行软重启ISSU时，确定当前是否已安装新的SAK；将当前使用的安全密钥SAK对应的报文编号PN值与临界值进行比较；

若确定当前未安装新的SAK，生成新的SAK并下发给各成员设备进行安装；

接收到CA中所有成员设备在安装新下发的SAK成功时发送的SAK USE参数集时，进行软重启ISSU；

若确定当前已安装新的SAK，直接进行软重启ISSU。

一种不中断业务升级ISSU过程中媒体接入控制安全MACsec密钥更新装置，可应用于包括两个以上成员设备的连接集CA中的任一成员设备，所述装置包括：确定单元和处理单元；

所述确定单元，用于本设备作为密钥服务器，即将进行软重启不中断业务升级ISSU时，确定当前是否已安装新的SAK；

所述处理单元，用于所述确定单元若确定当前未安装新的SAK，生成新的SAK并下发给各成员设备进行安装；接收到CA中所有成员设备在安装新下发的SAK成功时发送的SAK使用USE参数集时，进行软重启ISSU；若确定当前已安装新的SAK，直接进行软重启ISSU。

综上所述，本申请通过密钥服务器，在即将进行软重启ISSU时，若确定当前未安装新的SAK，主动触发新的SAK的生成，并在所有成员设备都安装新的SAK后，进行软重启ISSU。在进行软重启ISSU过程中，可以使用新下发的SAK进行加密，能够延长不需要软件干预的时间，进而保证流量不中断。

附图说明

图1为实施例一中在ISSU过程中MACsec密钥更新方法流程示意图；

图2为实施例二中在ISSU过程中MACsec密钥更新方法流程示意图

图3为本发明具体实施例中应用于上述技术的装置的结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明所述方案作进一步地详细说明。

本发明实施例中提出一种ISSU过程中MACsec密钥更新方法，应用于包括两个以上成员设备的CA中的任一成员设备上。该成员设备作为密钥服务器，在即将进行软重启ISSU时，若确定当前未安装新的SAK，主动触发新的SAK的生成，并在所有成员设备都安装新的SAK后，进行软重启ISSU。在进行软重启ISSU过程中，可以使用新下发的SAK进行加密，能够延长不需要软件干预的时间，进而保证流量不中断。

CA由两个或两个以上成员设备组成，其中一个成员设备作为密钥服务器，其他成员设备作为非密钥服务器的成员设备，即普通的成员设备。CA中由密钥服务器为各成员设备分发SAK。现有实现中，当当前CA中各成员设备之间发送报文使用的SAK对应的PN值达到临界值时，密钥服务器开始生成新的SAK并下发给成员设备。或者，有新的成员设备加入到该CA中，密钥服务器会主动生成新的SAK，并下发给各成员设备。

实施例一

参见图1，图1为实施例一中在ISSU过程中MACsec密钥更新方法流程示意图。具体步骤为：

本步骤101，密钥服务器即将进行软重启ISSU时，确定当前是否已安装新的SAK。

本步骤中确定当前是否已安装新的SAK，可以有多种实现方法。下面例举出两种实现方式：

第一种，密钥服务器确定当前使用的SAK对应的PN值是否小于PN的临界值，如果是，确定当前未安装新的SAK；否则，确定当前已安装新的SAK。

其中，PN的临界值可以与现有协议中规定的临界值相同，如0xC0000000，也可以自行进行定义。本实施例中，在PN达到临界值时，将触发密钥服务器安装新的SAK。

第二种，密钥服务器读取当前使用的SAK所属的SA的下一个SA，根据下一个SA的PN确定是否更新过该下一个SA的SAK。如果更新过。对应的PN为初始有效值；否则，对应的PN为无效值。

步骤102，该密钥服务器若确定当前未安装新的SAK，生成新的SAK并下发给各成员设备进行安装。

如果当前未安装新的SAK，说明密钥服务器还未下发新的，这时，本发明具体实现中，密钥服务器会主动生成一个新的SAK并下发给CA中的各成员设备，也包括作为密钥服务器的自身。

CA中的各成员获得新下发的SAK时，将该新下发的SAK安装，并且在安装成功时，并向密钥服务器发送SAK USE参数集，描述更新后的新老SAK使用情况。各成员设备安装新的SAK成功，即可以使用该密钥进行报文收发。

各成员设备接收到新的SAK后，进行安装，以及安装成功后向密钥服务器响应安装成功的实现，均同现有实现，这里不再详细描述。

各成员设备安装成功新的SAK时，立即启用新的SAK进行报文加密，还是待前一SAK对应的PN值达到最大值时，再自动翻转到新安装的SAK使用，根据具体使用的硬件实现确定。

密钥服务器将新生成的SAK携带在SAK分发参数及中下发给各成员设备，同现有实现。

步骤103，该密钥服务器接收到CA中所有成员设备在安装新下发的SAK成功时发送的SAK USE参数集时，进行软重启ISSU，结束本流程。

步骤103中，保证CA中所有成员设备都安装成功新下发的SAK后，进行软重启ISSU。在软重启ISSU过程中，如果当前SAK对应的PN值已达最大值，通过硬件自动切换为下一个SAK进行使用。

在实际应用中如果一直接收不到某些成员设备安装成功新下发的SAK时，也不应该一直等下去，不进行软重启ISSU。在具体实现时，可以预设一段时间，如果已过这段预设时间，还是存在某一个或几个成员设备未响应成功安装新下发的SAK时，直接进行软重启ISSU。具体处理过程如下：

在步骤102中密钥服务器生成新的SAK并下发给各成员设备时，启动第一定时器。

如果在该第一定时器定时超时时，未接收到至少一个成员设备在安装新下发的SAK成功时发送的SAK USE参数集时，直接进行软重启ISSU。

如果由于第一定时器定时时间到时，未接收到某个或几个成员设备在安装新下发的SAK成功时发送的SAK USE参数集，而直接进行软重启ISSU时，生成日志，记录新下发SAK失败等内容。

步骤104，该密钥服务器若确定当前已安装新的SAK，直接进行软重启ISSU。

如果当前已安装新的SAK，说明密钥服务器已下发过新的SAK，这时直接进行软重启ISSU即可。在软重启ISSU过程中，如果当前SAK对应的PN值已达最大值，通过硬件自动切换为下一个SAK进行使用。

通过实施例一可见，本发明在不需要增加协议报文，完全利用现有协议的机制，密钥服务器即将进行软重启ISSU时，通过主动触发新的SAK的生成，延长不需要软件干预的时间，从而保证最大可能的软重启业务不中断升级。

实施例二

参见图2，图2为实施例二中在ISSU过程中MACsec密钥更新方法流程示意图。具体步骤为：

步骤201，成员设备作为非密钥服务器的成员设备，即将进行软重启ISSU时，确定当前是否已安装新的SAK。

本步骤中确定当前是否已安装新的SAK，可以有多种实现方法。下面例举出两种实现方式：

第一种，成员设备确定当前使用的SAK对应的PN值是否小于PN的临界值，如果是，确定当前未安装新的SAK；否则，确定当前已安装新的SAK。

其中，PN的临界值同现有协议中规定的临界值，具体为0xC0000000。

第二种，成员设备读取当前使用的SAK所属的SA的下一个SA，根据下一个SA的PN确定是否更新过该下一个SA的SAK。如果更新过。对应的PN为初始有效值；否则，对应的PN为无效值。

步骤202，该成员设备若确定当前未安装新的SAK，向CA中各成员设备发送触发密钥服务器更新SAK的报文。

本步骤中，所述触发密钥服务器更新SAK的报文为，构造的PN为临界值的随机报文；或，使用该CA中的成员设备的ID之外的成员设备ID发送的报文。

若触发密钥服务器更新SAK的报文为，构造的PN为临界值的随机报文，该报文有两个作用，其一，触发密钥服务器主动生成新的SAK并下发；其二，使各成员设备在随后发送的报文在该临界值的基础上发送。

对于第二个作用，不影响现有实现。现有实现中在成员设备中接收到比本地使用的PN值大的报文时，也会在接收到的报文的PN值的基础上发送报文。

若触发密钥服务器更新SAK的报文为，使用该CA中的成员设备的ID之外的成员设备ID发送的报文。则伪装为一个新的成员设备加入该CA中，密钥服务器会新生成SAK并下发，其他成员设备安装该SAK后，也会使用该新下发的SAK进行后续的报文收发。

步骤203，该成员设备接收到密钥服务器下发的新的SAK时，安装该新下发的SAK；当该新下发的SAK安装成功时，向密钥服务器发送SAK USE参数集，并进行软重启ISSU，结束本流程。

作为非密钥服务器的成员设备，只要自身成功安装密钥服务器，并向密钥服务器发送SAK USE参数集，描述安装新下发的SAK后新老SAK的使用情况，之后，就可以直接进入软重启ISSU。

在实际应用中如果一直接收不到密钥服务器新下发的SAK时，也不应该一直等下去，不进行软重启ISSU。在具体实现时，可以预设一段时间，如果已过这段预设时间，还是未接收到新下发的SAK时，直接进行软重启ISSU。具体处理过程如下：

步骤202中向CA中各成员设备发送触发密钥服务器更新SAK的报文时，启动第二定时器。

如果在该第二定时器超时时，还未接收到密钥服务器下发的新的SAK时，直接进行软重启ISSU。

如果是这种情况进行软重启ISSU，生成日志，记录失败触发新生成SAK失败等内容。

本实施例中的第二定时器与实施例中的第一定时器可以相同，也可以不同，根据使用者具体使用情况进行配置。

步骤204，该成员设备若确定当前已安装新的SAK，直接进行软重启ISSU。

通过本发明实施例二可见，本发明在不需要增加协议报文，完全利用现有协议的机制，作为非密钥服务器的成员设备在即将进行软重启ISSU时，通过构造PN为临界值的报文，主动触发密钥服务器生成新的SAK，延长不需要软件干预的时间，从而保证最大可能的软重启业务不中断升级。

本发明具体实施例中基于同样的发明构思，还提出一种不中断业务升级ISSU过程中媒体接入控制安全MACsec密钥更新装置，可应用为包括两个以上成员设备的CA中的任一成员设备。参见图3，图3为本发明具体实施例中应用于上述技术的装置的结构示意图。该装置包括：确定单元301和处理单元302。

确定单元301，用于本设备作为密钥服务器，即将进行软重启ISSU时，确定当前是否已安装新的SAK。

处理单元302，用于确定单元301若确定当前未安装新的SAK，生成新的SAK并下发给各成员设备进行安装；接收到CA中所有成员设备在安装新下发的SAK成功时发送的SAKUSE参数集时，进行软重启ISSU；若确定当前已安装新的SAK，直接进行软重启ISSU。

较佳地，

处理单元302，进一步用于在生成新的SAK并下发给各成员设备时，启动第一定时器；如果在该第一定时器定时超时时，未接收到至少一个成员设备在安装新下发的SAK成功时发送的SAK USE参数集时，直接进行软重启ISSU。

较佳地，

确定单元301，进一步用于本成员设备作为非密钥服务器的成员设备，即将进行软重启ISSU时，确定当前是否已安装新的SAK。

处理单元302，进一步用于确定单元301若确定当前未安装新的SAK，向CA中各成员设备发送触发密钥服务器更新SAK的报文；接收到密钥服务器下发的新的SAK时，安装该新下发的SAK；当该新下发的SAK安装成功时，向密钥服务器发送SAK USE参数集，并进行软重启ISSU；若确定当前已安装新的SAK，直接进行软重启ISSU。

较佳地，

确定单元301，具体用于确定当前使用的SAK对应的PN值是否小于PN的临界值，如果是，确定当前未安装新的SAK；否则，确定当前已安装新的SAK。

较佳地，

所述触发密钥服务器更新SAK的报文为，构造的PN为临界值的随机报文；或，使用该CA中的成员设备的ID之外的成员设备ID发送的报文。较佳地，

处理单元302，进一步用于在向CA中各成员设备发送触发密钥服务器更新SAK的报文时，启动第二定时器；如果在该第二定时器超时时，还未接收到密钥服务器下发的新的SAK时，直接进行软重启ISSU。

上述实施例的单元可以集成于一体，也可以分离部署；可以合并为一个单元，也可以进一步拆分成多个子单元。

综上所述，本发明具体实施例中在即将进行软重启ISSU时，若确定当前未安装新的SAK，主动触发新的SAK的生成，并在所有成员设备都安装新的SAK后，进行软重启ISSU。在进行软重启ISSU过程中，可以使用新下发的SAK进行加密，能够延长不需要软件干预的时间，进而保证流量不中断。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种不中断业务升级ISSU过程中媒体接入控制安全MACsec密钥更新方法，应用于包括两个以上成员设备的连接集CA中的任一成员设备上，其特征在于，所述方法包括：

当该成员设备作为密钥服务器，即将进行软重启ISSU时，确定当前是否已安装新的安全密钥SAK；

若确定当前未安装新的SAK，生成新的SAK并下发给各成员设备进行安装；

接收到CA中所有成员设备在安装新下发的SAK成功时发送的SAK USE参数集时，进行软重启ISSU；

若确定当前已安装新的SAK，直接进行软重启ISSU。

2.根据权利要求1所述的方法，其特征在于，所述生成新的SAK并下发给各成员设备时，所述方法进一步包括：启动第一定时器；

如果在该第一定时器定时超时时，未接收到至少一个成员设备在安装新下发的SAK成功时发送的SAK USE参数集，则直接进行软重启ISSU。

3.根据权利要求1或2所述的方法，其特征在于，

当该成员设备作为非密钥服务器的成员设备，即将进行软重启ISSU时，确定当前是否已安装新的SAK；

若确定当前未安装新的SAK，向CA中各成员设备发送触发密钥服务器更新SAK的报文；

接收到密钥服务器下发的新的SAK时，安装该新下发的SAK；当该新下发的SAK安装成功时，向密钥服务器发送SAK USE参数集，并进行软重启ISSU；

若确定当前已安装新的SAK，直接进行软重启ISSU。

4.根据权利要求3所述的方法，其特征在于，所述确定当前是否已安装新的SAK，包括：

确定当前使用的SAK对应的报文编号PN值是否小于PN的临界值，如果是，确定当前未安装新的SAK；否则，确定当前已安装新的SAK。

5.根据权利要求3所述的方法，其特征在于，所述触发密钥服务器更新SAK的报文为，构造的PN为临界值的随机报文；或，使用该CA中的成员设备的ID之外的成员设备ID发送的报文。

6.根据权利要求3所述的方法，其特征在于，所述向CA中各成员设备发送触发密钥服务器更新SAK的报文时，所述方法进一步包括：启动第二定时器；

如果在该第二定时器超时时，还未接收到密钥服务器下发的新的SAK，则直接进行软重启ISSU。

7.一种不中断业务升级ISSU过程中媒体接入控制安全MACsec密钥更新装置，可应用于包括两个以上成员设备的连接集CA中的任一成员设备，其特征在于，所述装置包括：确定单元和处理单元；

所述确定单元，用于当本设备作为密钥服务器，即将进行软重启ISSU时，确定当前是否已安装新的安全密钥SAK；

所述处理单元，用于所述确定单元若确定当前未安装新的SAK，生成新的SAK并下发给各成员设备进行安装；接收到CA中所有成员设备在安装新下发的SAK成功时发送的SAK USE参数集时，进行软重启ISSU；若确定当前已安装新的SAK，直接进行软重启ISSU。

8.根据权利要求7所述的装置，其特征在于，

所述处理单元，进一步用于在生成新的SAK并下发给各成员设备时，启动第一定时器；如果在该第一定时器定时超时时，未接收到至少一个成员设备在安装新下发的SAK成功时发送的SAK USE参数集，则直接进行软重启ISSU。

9.根据权利要求7或8所述的装置，其特征在于，

所述确定单元，进一步用于当本成员设备作为非密钥服务器的成员设备，即将进行软重启ISSU时，确定当前是否已安装新的SAK；

所述处理单元，进一步用于所述确定单元若确定当前未安装新的SAK，向CA中各成员设备发送触发密钥服务器更新SAK的报文；接收到密钥服务器下发的新的SAK时，安装该新下发的SAK；当该新下发的SAK安装成功时，向密钥服务器发送SAK USE参数集，并进行软重启ISSU；若确定当前已安装新的SAK，直接进行软重启ISSU。

10.根据权利要求9所述的装置，其特征在于，

所述确定单元，具体用于确定当前使用的SAK对应的报文编号PN值是否小于PN的临界值，如果是，确定当前未安装新的SAK；否则，确定当前已安装新的SAK。

11.根据权利要求9所述的装置，其特征在于，所述触发密钥服务器更新SAK的报文为，构造的PN为临界值的随机报文；或，使用该CA中的成员设备的ID之外的成员设备ID发送的报文。

12.根据权利要求9所述的装置，其特征在于，

所述处理单元，进一步用于在向CA中各成员设备发送触发密钥服务器更新SAK的报文时，启动第二定时器；如果在该第二定时器超时时，还未接收到密钥服务器下发的新的SAK，则直接进行软重启ISSU。