CN103716196A - 一种网络设备及探测方法 - Google Patents

Abstract

本申请提供一种网络设备，用于作为IPsec对等体时探测对端对等体是否正常，所述网络设备通过发送包括探测标志的IPsec SA探测报文发送给对端IPsec对等体。接收并解析对端IPsec对等体返回的IPsec SA响应报文后，确认对端对等体的IPsec SA正常，本申请同时提供确认对方对等体的IPsec是否正常的探测方法。

Description

一种网络设备及探测方法

技术领域

本申请涉及三层隧道加密协议IPsec，尤其是涉及IPsec SA探测的技术。

背景技术

IPsec（IP Security）是IETF制定的三层隧道加密协议，它为Internet上传输的数据提供了高质量的、可互操作的、基于密码学的安全保证，是一种传统的实现三层VPN（Virtual Private Network，虚拟专用网络）的安全技术。特定的通信方之间通过建立IPsec隧道来传输用户的私有数据，并在IP层提供了以下安全服务：

·数据机密性（Confidentiality）：IPsec发送方在通过网络传输包前对包进行加密。

·数据完整性（Data Integrity）：IPsec接收方对发送方发送来的包进行认证，以确保数据在传输过程中没有被篡改。

·数据来源认证（Data Authentication）：IPsec在接收端可以认证发送IPsec报文的发送端是否合法。

·防重放（Anti-Replay）：IPsec接收方可检测并拒绝接收过时或重复的报文。

IPsec提供了两种安全机制：认证和加密。认证机制使IP通信的数据接收方能够确认数据发送方的真实身份以及数据在传输过程中是否遭篡改。加密机制通过对数据进行加密运算来保证数据的机密性，以防数据在传输过程中被窃听。

IPsec在两个端点之间提供安全通信，端点被称为IPsec对等体。SA是通信对等体间对某些要素的约定，例如，使用哪种协议（AH、ESP还是两者结合使用）、协议的封装模式（传输模式和隧道模式）、加密算法、特定流中保护数据的共享密钥以及密钥的生存周期等。IPsec可通过IKE协商建立SA。

IKE使用了两个阶段为IPsec进行密钥协商并建立SA：

(1)第一阶段，通信各方彼此间建立了一个已通过身份认证和安全保护的通道，即建立一个ISAKMP SA，例如主模式（Main Mode）和野蛮模式（Aggressive Mode）两种IKE交换方法。

(2)第二阶段，用在第一阶段建立的安全隧道为IPsec协商安全服务，即为IPsec协商具体的SA，建立用于最终的IP数据安全传输的IPsec SA。

IPsec是一种对等体到对等体的技术，要在IPsec对等体之间建立IPsec会话，它们之间必须有IP连接性，由于路由选择问题、对等体重启等原因，对等体之前可能失去了IP连接性，IKE和IPsec通常都无法感知这一点，在生命周期到来之前，对等体之间的IKE和IPsec SA将一直存在，IPsec会话的中断将引发“黑洞”，导致数据流丢失，对等体需要尽快发现这个“黑洞”，主要原因在于会话的一方继续往不可达的对等体的数据流进行加密操作，这将大大浪费宝贵的CPU资源，其次，由于无法检测到对等体的故障，备用对等体也无法激活。

DPD（Dead Peer Detection）通过检测与IPsec SA对应的IKE SA的状态，来确定IPsec SA的状态。主动探测方发送R-U-THERE消息，被探测方收到该消息后，回应R-U-THER-ACK消息，主动探测方收到该报文后，认为对端在线。这两条消息都是ISAKMP的宣告负载，都是使用IKE SA加密的。

DPD探测不一定精确，由于DPD报文是使用IKE SA保护的，如果对端IKE SA不存在，但是IPsec SA存在，DPD探测会失败。

发明内容

有鉴于此，本申请提供一种网络设备，用于作为IPsec对等体时探测对端对等体是否正常，所述网络设备包括封装模块、发送模块和接收模块，所述封装模块用于将包括有探测标志的报文封装成IPsec SA探测报文，所述发送模块用于将包括探测标志的IPsec SA探测报文发送给对端IPsec对等体使对端对等体返回响应报文，所述接收模块用于接收并解析对端IPsec对等体返回的IPsec SA响应报文后，确认对端对等体IPsec SA正常。所述计数模块用于在所述发送模块发送包括探测标志的IPsec SA探测报文时开始计时，如果计时到期后依然没有收到对端对等体的回复时，通知发送模块重新发送所述探测报文，并启动重传计数，如果重传超过预定次数，则认为对端对等体IPsec不存在。

基于同样的发明思想，本申请提供又一种网络设备，用于响应对端对等体发送的包括探测标志的IPsec SA探测报文，所述网络设备包括解析模块和封装模块，所述解析模块用于解封装收到的IPsec SA报文，判断如果所述报文包括探测标志，则确认收到报文为探测报文，判断如果所述报文不包括探测标志，则确认收到的报文为IPsec SA数据报文，封装模块用于将解析后的IPsec SA探测报文重新封装成响应消息发送给探测方。

基于同样的发明思想，本申请还提供一种探测方法，用于检测对端IPsec对等体IPsec是否正常，所述方法包括：

A IPsec对等体将包括探测标志报文封装成的IPsec SA探测报文；

B将包括探测标志的IPsec SA探测报文发送给对端IPsec对等体使其返回响应报文；

C接收并解析对端IPsec对等体返回IPsec SA响应报文；

D在发送包括探测标志的IPsec SA探测报文时开始计时，如果计时到期后依然没有收到对端对等体的回复时，返回步骤C重新发送所述探测报文，并启动重传计数，如果重传超过预定次数，则认为对端对等体不存在。

基于同样的发明思想，本申请还提供一种探测方法，用于响应对端对等体发送的包括探测标志的IPsec SA探测报文，所述方法包括：

A解封装收到的IPsec SA报文，判断如果所述报文包括探测标志，则确认收到报文为探测报文，执行步骤B；判断如果所述报文不包括探测标志，则确认收到的报文为IPsec SA数据报文，执行步骤C；

B将解析后的IPsec SA探测报文重新封装成响应消息发送给探测方；

C进行正常的解密处理。

通过本申请的设计，可以通过发送经特殊处理的IPsec SA探测报文来检测对端对等体的IPsec是否正常，该技术方案对于报文的改动小，设备兼容性好。

附图说明

图1是本申请提供的一种网络设备图。

图2是本申请提供的另一种网络设备图。

图3是本申请提供的一种实施方法流程图。

图4是本申请提供的又一种实施方法流程图。

图5是本申请一种实施例在AH传输模式下的报文封装示意图。

图6是本申请提供一种实施例时使用的报文格式图。

图7是本申请一种实施例在AH隧道模式下的报文封装示意图。

图8是本申请又一种实施例在AH传输模式下的报文封装示意图。

图9是本申请又一种实施例在ESP隧道模式下的报文封装示意图。

具体实施方式

本申请提供一种网络设备，用于作为IPsec对等体时探测对端对等体IPsec是否正常，如图1所示，所述网络设备包括封装模块、发送模块、接收模块、计数模块，所述封装模块用于将包括有探测标志的报文封装成IPsec SA探测报文，其中，所述探测报文的载荷内容可以为经IPsecSA加密认证操作的序列号，该序列号的作用是可以进一步使对等体确认收到的IPsec SA报文为响应报文，提高确认对端对等体IPsec SA存活的可靠性，在实际使用中，所述探测报文的载荷也可以为任意内容，只要本端对等体收到响应报文后，可以确认所述响应报文的载荷内容为经过与本端IPsec SA对应的IPsec SA加密且本端可以正常解密，即可以确定对端对等体的IPsec SA能够正常工作，这里的确认IPsec SA是否对应是根据收到的响应报文头部中相关字段即可确认，此为现有技术，在此不多作赘述；所述探测标志为预先配置或者经双方协商确定；所述发送模块用于将包括探测标志的IPsec SA探测报文发送给对端IPsec对等体使其回复响应报文，所述接收模块用于接收并解析对端IPsec对等体返回的IPsec SA响应报文后，确认对端对等体IPsec SA正常，其中，所述响应报文的载荷可以为与发送报文相同的序列号，这样便于发送探测报文的对等体方便的判断收到的IPsec SA报文为对端对等体响应的报文，当然也可以为对端对等体任意生成的序列号或者其他任意内容，只要为对应的IPsec SA加密的IPsec SA报文，收到后本端可以正常解密即可证明对端对等体是IPsec SA正常存活的；所述计数模块用于在所述发送模块发送包括探测标志的IPsec SA探测报文时开始计时，如果计时到期后依然没有收到对端对等体的回复时，通知发送模块重新发送所述探测报文，并启动重传计数，如果重传超过预定次数，则认为对端对等体不存在。

其中，上述IPsec SA探测报文是IPsec SA加密数据报文，在IPsec/IKE的组网环境中，正常情况下，IKE SA用来维护控制通道，例如发送通知消息等，IPsec SA用来维护数据通道，例如加解密数据报文等，而本申请使用IPsecSA报文来完成探测的目的，也就是使用数据通道来实现控制消息的功能，这种做法可以更加精确的判断IPsec SA是否存在。

在本申请提供的一个实施例中，所述探测报文的载荷内容是随机产生的序列号，该序列号使用IPsec SA执行加密认证操作发送给对端，对端解析该报文，可以选择将报文中的序列号加密后回填到响应报文的载荷中，也可以选择随机生成新的序列号加密后填写到响应报文的载荷中，作为响应消息发给主动探测方，便可以使探测方知晓，所述报文为探测报文的响应报文，从而实现确认对端对等体认存活的目的。

考虑到网络实时状况的因素，一段时间内，如果探测方在没有收到被探测方的回应时，可以重传探测报文，当重传次数达到上限时（例如3次），认为对端IPsecSA不存在，本地可以删除该IPsec SA。

请参考图2，从探测响应的角度来看，本发明的网络设备还可用于响应对端对等体发送的包括探测标志的IPsec SA探测报文，所述网络设备包括解析模块和封装模块，这里的封装模块与图1中的封装模块可以设计在一起，从软件角度来说可以是一个功能模块在收发两个方向上的不同处理。所述解析模块用于解封装收到的IPsec SA报文，判断如果所述报文包括探测标志，则确认收到报文为探测报文，判断如果所述报文不包括探测标志，则确认收到的报文为IPsec SA数据报文，封装模块用于将解析后的IPsec SA探测报文重新封装成响应消息发送给探测方，本申请还提供一种网络设备，用于接收对端对等体发送的包括探测标志的IPsec SA探测报文，所述网络设备包括解析模块和封装模块，所述解析模块用于解封装收到的IPsec SA报文，根据其包括探测标志确认收到报文为探测报文，封装模块用于将解析后的IPsec SA探测报文重新封装成响应消息发送给探测方，其中，所述响应报文的载荷内容为经与探测报文对应的IPsecSA加密认证操作的序列号，所述序列号可以与探测报文的序列号一致，也可以为任意生成的新的序列号，当然，所述载荷内容也可以为任意的内容。

本申请提供一种方法，利用包括有探测标志的IPsecSA探测报文来检测对端对等体IPsec是否正常，如图3所示，该方法包括：

步骤11，IPsec对等体将包括探测标志报文封装成的IPsecSA探测报文，所述报文的载荷内容是经IPsec SA执行加密认证操作序列号。此步骤由封装模块执行。

步骤13，将包括探测标志的IPsec SA探测报文发送给对端IPsec对等体。此步骤由发送模块执行。

步骤15，接收并解析对端IPsec对等体返回的包括探测标志的IPsec SA探测报文后，确认对端对等体IPsec SA正常。此步骤由接收模块执行。

步骤17，在发送包括探测标志的IPsec SA探测报文时开始计时，如果计时到期后依然没有收到对端对等体的回复时，返回步骤15重新发送所述探测报文，并启动重传计数，如果重传超过预定次数，则认为对端对等体不存在。此步骤由计时模块执行。

以上描述的是探测报文的发送过程，请参考图4从响应对端对等体发送的包括探测标志的IPsec SA探测报文来看，所述方法则可以进一步包括：

步骤21解封装收到的IPsec SA报文，判断如果所述报文包括探测标志，则确认收到报文为探测报文，执行步骤23；判断如果所述报文不包括探测标志，则确认收到的报文为IPsec SA数据报文，执行步骤25；此步骤由解析模块执行。

步骤23将解析后的IPsec SA探测报文重新封装成响应消息发送给探测方；此步骤由封装模块执行。

步骤25进行正常的解密处理。

其中，所述响应报文的载荷内容是经过与探测报文对应的IPsec SA执行加密认证的序列号，所述序列号可以与探测报文的序列号一致，也可以为任意生成的新的序列号，当然，所述载荷内容也可以为任意的内容。

在实际使用中，IPsec有两种工作模式，一种方式是传输（transport）模式，在该方式下，只是传输层数据被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被放置在原IP包头后面。通常，传输模式应用在两台主机之间的通讯，或一台主机和一个安全网关之间的通讯。另一种是隧道（tunnel）模式，在该模式下，用户的整个IP数据包被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被封装在一个新的IP数据包中。通常，隧道模式应用在两个安全网关之间的通讯。

本申请提供一种实施方式，在此实施例中，经两端对等体协商确定用于标识探测报文的探测标志为特定的协议号，如图5所示，封装前报文格式为IP1Hdr+Inner Data，其中该Inner Data的协议号为255，这个协议号为特定的号码，为预先配置或者经过双方对等体协商后确定，不会和已经分配的协议号冲突，实现过程中，可以采用任意一个特定的协议号来替代这里的协议号255，使用协议号255仅为示例性说明。

以传输模式AH封装为例，经过IPsec加封装的处理后，报文结构如图6所示：IP1Hdr+AH头+Inner Data，其中，IP1Hdr的协议字段为51，标识下一个协议类型为AH，IP头的源地址和目的地址就是协商出的IPsec SA的隧道起始点与终结点地址，AH中的下一个头字段（Next Header）为特定协议号255，标识AH封装的数据为IPsec SA探测数据，InnerData内容为序列号。IPsec对等体将包括特定的协议号的报文按照AH封装模式封装好后发送给对端对等体。

对端IPsec对等体即被探测方收到该报文后，在IPsec SA能够正常工作的情况下，将进入IPsec解封装流程，获取原始报文IP 1Hdr+Inner Data后，获取IP上层数据对应的协议号255，表明该数据为IPsec SA探测数据，解析数据字段获取序列号后，重新封装成IPsec SA响应报文，将所述序列号回填，构造回应的Inner Data，发往探测方。

如果协商的IPsec SA为隧道模式，处理方式和传输模式类似，IPsec封装后的报文格式如图7所示：

IP2Hdr+AH头+IP1Hdr头+Inner Data

其中，IP2Hdr为外层IP头，源目的地址分别为隧道起始点以及终结点的地址，IP1Hdr为内层IP头，其源地址和目的地址符合IPsec SA保护的流信息的范围即可，内层IP1Hdr的下一个协议号为255。

在正常情况下，发送报文从对等体的接口上发送报文，该接口上如果配置了IPsec策略（策略中就包括ACL），如果报文五元组信息和配置的ACL匹配，就会做IPsec封装，而本申请构造的报文是一个特殊的IPsec SA探测报文，绕过上面匹配ACL的过程，直接走物理层发送。

接收方收到报文后，根据三元组查找SA，进行解封装，解封装完毕后，检查协议号为255时，确认为对端发送的探测报文，不能再匹配接口下的IPsec策略，将序列号回填，封装成IPsec SA响应报文，直接走物理层发送，返回给对端对等体。

本申请提供又一种实施方式，此实施例中，经两端对等体协商后确定用来标识探测报文的探测标志为反填的IP地址，以AH传输模式为例，如图8所示，封装前IP报文为IP in IP的报文，IP2Hdr中源目的地址为协商出的IPsec SA的隧道起始点以及终结点地址，IP1Hdr中源目的地址为IP2Hdr中源目的地址的反填。所谓反填，举例来说，如果IP2Hdr源地址为1.1.1.1，目的地址为2.2.2.2，那么IP1Hdr中反填的结果为源地址为2.2.2.2，目的地址为1.1.1.1。

接收方收到该报文后，进入解封装流程，查找到SA后，由于是传输模式的SA，只会去掉AH头部，在去掉AH头补之前，检查AH头下一个载荷类型是否为IP并且源目的地址为隧道两网关地址的反填，将获取到的AH头部后的两个IP地址与IKE SA中对应的网关地址做比较，如果正好相反，就表明为地址反填，则将IP2Hdr也去掉，恢复为内层报文（IP1Hdr+InnerData），由于地址反填了，此时接收方判定该报文为探测报文，根据IP1Hdr可以查找到回应的路由是到发送方的，所以，再将该数据（IP1Hdr+InnerData）再次走加封装转发流程发送给发送方，封装后的报文中，两个IP地址一致，都是源目的地址为隧道两网关的地址，发送方接收到IP1Hdr+AHHdr+InnerData后，执行解封装流程，发现两个IP地址都一样，可以确认为对端的响应报文，更新被探测SA的状态为可用。

隧道模式下，以ESP为例，如图9所示，其中，

IP2Hdr中源目的地址为协商出的IPsec SA的隧道起始点以及终结点地址，IP1Hdr中源目的地址为IP2Hdr中源目的地址的反填。

接收方收到该报文后，进入解封装流程，查找到SA后，将IP2Hdr以及ESP Hdr砍掉，恢复为原始报文（IP1Hdr+InnerData），由于地址反填了，此时接收方判定该报文为探测报文，根据IP1Hdr可以查找到回应的路由是到发送方的，所以，再将该数据（IP1Hdr+InnerData）再次走加封装转发流程发送给发送方，其中，IP1Hdr和IP2Hdr的源地址都是被探测方网关地址、目的地址为探测方网关地址。

发送方接收到IP2Hdr+ESP Hdr+IP1Hdr+InnerData+ESP Tail后，执行解封装流程，发现IP1Hdr和IP2Hdr的源地址都是被探测方网关地址、目的地址为探测方网关地址，可以确认该报文为对端的响应报文，更新被探测SA的状态为可用。

通过本申请的设计，可以通过发送经特殊处理的IPsec SA探测报文来检测对端对等体的IPsec是否正常，该技术方案对于报文的改动小，设备兼容性好。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包括在本申请保护的范围之内。

Claims (10)

1.一种网络设备，用于作为IPsec对等体时探测对端对等体是否正常，其特征在于，所述网络设备包括封装模块、发送模块和接收模块，

所述封装模块，用于将包括探测标志的报文封装成IPsec SA探测报文；

所述发送模块，用于将包括探测标志的IPsec SA探测报文发送给对端IPsec对等体使其返回响应报文，

所述接收模块，用于接收并解析对端IPsec对等体返回的IPsec SA响应报文后，确认对端对等体IPsec SA正常。

2.如权利要求1所述的网络设备，其特征在于，进一步包括计数模块，所述计数模块用于在所述发送模块发送包括探测标志的IPsec SA探测报文时开始计时，如果计时到期后依然没有收到对端对等体的回复时，通知发送模块重新发送所述探测报文，并启动重传计数，如果重传超过预定次数，则认为对端对等体IPsec不存在。

3.如权利要求1所述的网络设备，其特征在于，

所述探测标志为预先配置或者经双方对等体协商确定。

所述探测报文的载荷内容为经IPsec SA加密认证操作的序列号。

4.如权利要求1-3任一所述的网络设备，其特征在于，所述探测标志用于标识所述报文为探测报文，使收到报文的对端对等体返回响应报文，所述探测标志为特定的协议号或者是反填的源IP地址和目的IP地址。

5.如权利要求1所述的网络设备，其特征在于，还包括解析模块所述解析模块用于解封装从对端收到的IPsec SA报文，并在该报文包括探测标志时确认收到报文为探测报文，并在该报文不包括探测标志确认收到的报文为IPsec SA数据报文；所述封装模块用于将解析后的IPsec SA探测报文重新封装成响应发送给对端。

6.一种探测方法，用于检测对端IPsec对等体IPsec是否正常，其特征在于，所述方法包括如下步骤：

步骤A、IPsec对等体将包括探测标志报文封装成的IPsec SA探测报文；

步骤B、将包括探测标志的IPsec SA探测报文发送给对端IPsec对等体使其返回响应报文；

步骤C、接收并解析对端IPsec对等体返回的IPsec SA响应报文后，确认对端对等体IPsec SA正常。

7.如权利要求6所述的方法，其特征在于，所述方法进一步包括：

步骤D、在发送包括探测标志的IPsec SA探测报文时开始计时，如果计时到期后依然没有收到对端对等体的响应报文时，返回步骤C重新发送所述探测报文，并启动重传计数，如果重传超过预定次数，则认为对端对等体不存在。

8.如权利要求7所述的方法，其特征在于，所述探测标志为预先配置或者经双方对等体协商确定，用于标识所述报文为探测报文；所述探测标志为特定的协议号或者是反填的源IP地址和目的IP地址。

9.如权利要求6所述的方法，其特征在于，所述方法还包括如下步骤：

步骤E、解封装收到的IPsec SA报文，判断如果所述报文包括探测标志，则确认收到报文为探测报文，执行步骤F；判断如果所述报文不包括探测标志，则确认收到的报文为IPsec SA数据报文，执行步骤G；

步骤F、将解析后的IPsec SA探测报文重新封装成响应消息发送给探测方；

步骤G、进行正常的解密处理。

10.如权利要求9所述的方法，其特征在于，所述响应报文的载荷内容是经过与探测报文对应的IPsec SA执行加密认证的序列号。

Images