CN104038335A - 一种gd vpn升级方法和装置 - Google Patents

Abstract

本发明提供一种GD VPN升级方法和装置。所述方法包括：在GM注册时，向所述GM下发Receive only模式的IPsec SA；判断是否网络中的所有GM都已注册成功，如果是，则向所述所有GM下发Inbound optional模式的IPsec SA；判断是否网络中所有的GM都已接收到所述Inbound optional模式的IPsec SA，如果是，则向所述所有GM下发Normal模式的IPsec SA。通过本发明的技术方案，有效提高了GD VPN升级过程中网络的可靠性和升级的效率。

Description

一种GD VPN升级方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种GD VPN升级方法和装置。

背景技术

GD VPN(Group Domain Virtual Private Network，组域虚拟私有网络)是一种实现密钥和安全策略集中管理的解决方案。传统的IPsec(IP security，网络间互连协议安全)VPN是一种点到点的隧道连接，而GD VPN是一种点到多点的无隧道连接。GD VPN的典型应用体现为对组播流量的保护，例如：音频、视频广播和组播文件的安全传输。

GD VPN提供了一种新的基于组的IPsec安全模型，组是一个安全策略的集合，属于同一个组的所有成员共享相同的安全策略及密钥。请参考图1所示的GD VPN组网示意图，GD VPN组网包括KS(Key Server，组密钥服务器)和GM(Group Member，组成员)。其中，KS通过划分不同的组来管理不同的安全策略和密钥，GM通过加入相应的组，从KS获取安全策略及密钥，并负责对数据流量加密和解密。

在GD VPN网络中，GM通过向KS发起注册，以获取其使用的安全策略。GM向KS发起注册包括如下过程：

(1)GM与KS进行IKE(Internet Key Exchange，Internet密钥交换协议)协商；

(2)GM向KS发送所在组的ID；

(3)KS根据GM提供的组ID向GM发送相应组的安全策略(比如：保护的数据流信息、加密算法、认证算法、封装模式等)；

(4)GM对收到的安全策略进行验证，如果这些安全策略是可以接受的(比如：安全协议和加密算法是可支持的)，则向KS发送确认消息；

(5)KS在接收GM的确认消息后，向GM发送密钥，所述密钥包括：KEK(Key Encryption Key，加密密钥的密钥)、TEK(Traffic Encryption Key，加密流量的密钥)等。

通过这个过程，GM从KS上获取到安全策略和对应的密钥，就可以实现在GM之间加密、解密数据，从而实现对组播流量的保护。

如果KS上配置的安全策略或密钥有变化，则KS会在本端的安全策略或密钥老化时间达到前，通过密钥更新(Rekey)报文向GM发送新的安全策略或密钥。

然而，在将现有的明文网络升级到GD VPN网络的过程中，如何确保用户的数据流量不中断，已成为目前亟待解决的问题。

发明内容

有鉴于此，本发明提供一种GD VPN升级方法和装置。

具体地，本发明是通过如下技术方案实现的：

一种GD VPN升级方法，应用在KS上，所述方法包括：

在GM注册时，向所述GM下发Receive only模式的IPsec SA；

判断是否网络中的所有GM都已注册成功，如果是，则向所述所有GM下发Inbound optional模式的IPsec SA；

判断是否网络中所有的GM都已接收到所述Inbound optional模式的IPsec SA，如果是，则向所述所有GM下发Normal模式的IPsec SA。

进一步地，所述向所述所有GM下发Inbound optional模式的IPsec SA包括：

通过单播密钥更新Rekey报文向所述所有GM下发Inbound optional模式的IPsec SA；

所述判断是否网络中所有GM都已接收到所述Inbound optional模式的 IPsec SA包括：

接收GM在接收到所述单播Rekey报文后返回的密钥更新确认RekeyACK报文，根据所述Rekey ACK报文判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA。

进一步地，所述向所述所有GM下发Normal模式的IPsec SA包括：

通过组播Rekey报文向所述所有GM下发Normal模式的IPsec SA。

进一步地，在向所述所有GM下发Normal模式的IPsec SA后，还包括：

将本机由升级运行模式切换到正常运行模式。

进一步地，所述判断是否网络中的所有GM都已注册成功包括：

保存升级运行模式下网络中GM的信息；

根据所述GM的信息判断是否组网中的所有GM都已注册成功。

一种GD VPN升级装置，应用在KS上，所述装置包括：

第一下发单元，用于在组成员GM注册时，向所述GM下发Receive only模式的IPsec SA；

第二下发单元，用于判断是否网络中的所有GM都已注册成功，在网络中的所有GM都已注册成功时，向所述所有GM下发Inbound optional模式的IPsec SA；

第三下发单元，用于判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA，在网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA时，向所述所有GM下发Normal模式的IPsec SA。

进一步地，所述第二下发单元，具体用于通过Rekey报文向所述所有GM下发Inbound optional模式的IPsec SA；

所述第三下发单元，具体用于接收GM在接收到所述单播Rekey报文后返回的Rekey ACK报文，根据所述Rekey ACK报文判断是否网络中所有GM都已接收到所述Inbound optional模式的IPsec SA。

进一步地，所述第三下发单元，具体用于通过组播Rekey报文向所述所有GM下发Normal模式的IPsec SA。

进一步地，所述装置还包括：

切换单元，用于将本机由升级运行模式切换到正常运行模式。

进一步地，所述装置还包括：

保存单元，用于保存升级运行模式下网络中GM的信息；

所述第一下发单元，具体用于根据所述GM的信息判断是否网络中的所有GM都已注册成功。

由以上描述可以看出，本发明中KS可以自动检测组网中GM在升级过程中的IPsec SA所处的模式，在组网中所有的GM都已完成前一阶段升级时，自动触发Rekey，下发下一阶段模式的IPsec SA，保证了在网络升级过程中，数量流量不中断，提高了网络的可靠性和网络升级的效率。

附图说明

图1是一种GD VPN组网示意图。

图2是本发明一种实施例中GD VPN升级方法的流程示意图。

图3是本发明另一种实施例中GD VPN升级方法的流程示意图。

图4是本发明一种实施例中GD VPN升级装置的结构示意图。

具体实施方式

在GD VPN中，K S的运行模式分为升级运行模式和正常运行模式，在缺省状态下，KS处于正常运行模式。在将现有的明文网络升级到GD VPN时，可将KS配置成为升级运行模式，在升级运行模式下，明文网络升级到GD VPN的过程主要包括以下流程：

(1)管理员在升级运行模式下的KS上配置IPsec SA(Security Association，安全联盟)为仅接收(Receive only)模式。

(2)接入GD VPN网络的GM向KS发起注册，并获得上述Receive only模式的IPsec SA。在该Receive only模式下，GM发送数据报文时不加密，在接收数据报文时，如果是加密的数据报文则进行解密处理，如果是不加密 的数据报文，则直接转发。

(3)管理员在预计网络中所有的GM都已接收到所述Receive only模式的IPsec SA后，在KS上配置IPsec SA为正常(Normal)模式，该配置会触发KS通过Rekey报文将Normal模式的IPsec SA下发给GM。

(4)GM在接收到Normal模式的IPsec SA后，先将本机的IPsec SA模式置为到达可选(Inbound optional)模式并启动定时器。在该Inbound optional模式下，GM发送数据报文时进行加密处理，在接收数据报文时，如果是加密的数据报文则进行解密处理，如果是不加密的数据报文，则直接转发。

(5)GM在定时器超时时，比如5分钟后，将本机的IPsec SA模式自动切换为Normal模式。在该Normal模式下，GM发送数据报文时进行加密处理，在接收数据报文时，如果是加密的数据报文则进行解密处理，如果是不加密的数据报文，则直接丢弃。

(6)网络升级完毕，KS的运行模式由升级运行模式切换到正常运行模式。这样，就实现了明文网络向GD VPN的升级，可以利用GD VPN来实现对流量的保护。

但是，这样的实现方案存在一些难以避免的问题：

首先，管理员在KS上配置IPsec SA为Normal模式的时机不明确，管理员人为预计网络中的所有GM都已接收到Receive only模式的IPsec SA，难免会出现误差。如果在KS上配置IPsec SA为Normal模式过早，则可能导致部分GM的流量中断，如果在KS上配置IPsec SA为Normal模式过晚，则会降低网络升级的效率。

其次，GM是依靠定时器将本机的IPsec SA模式由Inbound optional模式切换到Normal模式。采用固定时间的切换策略，在某GM切换时，网络中可能还存在没有接收到Normal模式IPsec SA的GM，所述没有接收到Normal模式IPsec SA的GM上的IPsec SA还处于Receive only模式，这样就会导致其发送的数据报文不加密，而切换后的GM在收到不加密的数据报文时直接丢弃，进而导致数据流量中断。在网络状况不良和网络中GM数量较多时， 这个问题尤为突出。

再次，在整个网络升级的过程中，管理员需要在KS上进行两次配置，分别为：Receive only模式的配置和Normal模式的配置，升级效率较低。

有鉴于此，本发明提供一种GD VPN升级方法和装置。下面将以不同的实施例对本发明技术方案进行详细说明。

在第一实施例中，本发明提供一种GD VPN升级方法，应用于明文网络升级到GD VPN的过程中，且所述方法的执行主体具体为GD VPN网络中的KS设备。具体地，请参考图2，本实施例方法可以包括如下步骤：

步骤201，在GM注册时，向所述GM下发Receive only模式的IPsec SA。

步骤202，判断是否网络中的所有GM都已注册成功，如果是，则向所述所有GM下发Inbound optional模式的IPsec SA，如果否，则继续执行步骤202。

步骤203，判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA，如果是，则向所述所有的GM下发Normal模式的IPsec SA，如果否，则继续执行步骤203。

在本实施例中，KS可以自动检测GM在升级过程中IPsec SA所处的模式，在网络中的所有GM都已完成前一阶段升级时，自动触发Rekey，下发下一阶段模式的IPsec SA，保证了在网络升级过程中，数量流量不中断，提高了网络的可靠性和网络升级的效率。同时，在本发明实现中，管理员只需要在开始时配置一次组网GM信息即可，后续升级过程由KS自动完成，简化了KS端的配置。

请参考图3，在本发明的优选实施例中，所述GD VPN升级方法可以包括如下步骤：

步骤301，保存升级运行模式下网络中GM的信息。

为实现本发明目的，需要管理员将KS配置为升级运行模式，并在KS上预先配置待升级的明文网络的GM信息，以便KS在升级过程中确定组网中GM升级的情况。具体地，所述GM信息可以包括有GM的ID、GM数量、 GM连接关系等等，本发明对此不做特殊限制。优选地，为简化配置，管理员可以仅在KS上配置组网中GM的数量，根据该数量，KS就可以自动判断是否组网中所有的GM都已完成了某一阶段的升级过程。

步骤302，在GM注册时，向所述GM下发Receive only模式的IPsec SA。

本步骤中，要想将明文网络升级到GD VPN网络，GM需要向KS发起注册，以获取安全策略和密钥。所述GM向KS发起注册的过程可以参考相关注册过程，本发明在此不再赘述。

在本实施例中，KS在GM注册时，会向所述GM下发Receive only模式的IPsec SA。所述GM注册成功后，本端的IPsec SA模式为Receive only模式。在Receive only模式下，GM发送数据报文时不加密，在接收数据报文时，如果是加密的数据报文则进行解密处理，如果是不加密的数据报文，则直接转发。

步骤303，判断是否网络中的所有GM都已注册成功。如果是，则转步骤304，如果否，则继续执行步骤303。

在本步骤中，可以根据本设备上保存的所述GM的信息判断是否网络中的所有GM都已注册成功。比如：在保存的GM信息是网络GM数量时，可以根据所述GM数量判断是否网络中的所有GM都已注册成功。具体地，可以在本设备上维护已注册成功的GM的数量，然后将该数量和保存的网络中GM数量进行比对，以此来判断是否网络中的所有GM都已注册成功。

又比如：在保存的GM信息是GM的ID时，KS可以维护一个GM与其注册状态的映射表，在某GM注册成功后，在所述映射表中将其注册状态置为注册成功。进一步地，本实施例还可以设置注册时限，如果在所述注册时限超时时，所述映射表中仍存在有未注册成功的GM，则KS可以将未注册成功的GM的ID上报给管理员。管理员依据该GM的ID查看其未注册成功的原因，比如，该GM和KS之间的链路故障，进而可以尽快进行故障修复，加快网络升级的效率。

步骤304，向所述所有GM下发Inbound optional模式的IPsec SA。

步骤305，判断是否网络中所有的GM都已接收到所述Inbound optional模式的IPsec SA，如果是，则转步骤306。如果否，则继续执行步骤305。

在步骤304中，可以通过单播Rekey报文向组网中所有的GM下发Inbound optional模式的IPsec SA，GM在接收到所述Inbound optional模式的IPsec SA后，将本端的IPsec SA模式置为Inbound optional模式。在该模式下，GM发送数据报文时进行加密处理，在接收数据报文时，如果是加密的数据报文则进行解密处理，如果是不加密的数据报文，则直接转发。

所述GM在接收到上述单播Rekey报文后，会返回密钥更新确认(Rekey ACK)报文给KS。在步骤305中，KS根据所述Rekey ACK报文的接收情况判断是否组网中所有的GM都已接收到所述Inbound optional模式的IPsec SA。所述判断方式具体可以参考步骤303中判断是否网络中的所有GM都已注册成功的过程，比如：根据保存的网络GM数量进行判断等，在此不再赘述。

需要说明的是，在RFC(Request For Comments)6407中，并没有定义Inbound optional模式的IPsec SA，为保证网络中GM在Inbound optional模式的IPsec SA下实现无差异处理数据报文，本实施例设计修改RFC6407，增加Inbound optional模式的定义，具体如下：

其中，利用未使用的属性值4，将其定义为新增的Inbound optional模式。GM在接收到IPsec SA时，如果其携带的属性值是4，则可以确定为Inbound optional模式的IPsec SA。RFC是一系列以编号排定的文件，收录了互联网通信方面的文件。

步骤306，向所述所有GM下发Normal模式的IPsec SA。

本步骤中，可以通过组播Rekey报文向网络中的所有GM下发Normal 模式的IPsec SA。采用组播Rekey报文，GM在接收到所述组播Rekey报文时，不需要回应ACK报文，效率较高。

步骤307，将本机由升级运行模式切换到正常运行模式。

由以上描述可以看出，本发明中KS可以自动检测组网中GM在升级过程中的IPsec SA所处的模式，在组网中所有的GM都已完成前一阶段升级时，自动触发Rekey，下发下一阶段模式的IPsec SA，保证了在网络升级过程中，数量流量不中断，提高了网络的可靠性和网络升级的效率。同时，在本发明实现中，管理员只需要在开始时配置一次组网GM信息即可，后续升级过程由KS自动完成，简化了KS端的配置。

在第二实施例中，请参考图4，本发明还提供一种GD VPN升级装置，所述装置包括：

第一下发单元41，用于在组成员GM注册时，向所述GM下发Receive only模式的IPsec SA；

第二下发单元42，用于判断是否网络中的所有GM都已注册成功，在网络中的所有GM都已注册成功时，向所述所有GM下发Inbound optional模式的IPsec SA；

第三下发单元43，用于判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA，在网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA时，向所述所有GM下发Normal模式的IPsec SA。

本实施例装置具体可以应用在KS设备上，其具体实现过程可参加上述本发明方法实施例的说明，在此不再赘述。

上述图4所示的装置中，所述第二下发单元42，具体用于通过Rekey报文向所述所有GM下发Inbound optional模式的IPsec SA。

所述第三下发单元43，具体用于接收GM在接收到所述单播Rekey报文后返回的Rekey ACK报文，根据所述Rekey ACK报文判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA。

上述图4所示的装置中，所述第三下发单元43，具体用于通过组播Rekey报文向所述所有GM下发Normal模式的IPsec SA。

上述图4所示的装置中还可以包括：切换单元44，用于将本机由升级运行模式切换到正常运行模式。

上述图4所示的装置中还可以包括：保存单元45，用于保存升级运行模式下网络中GM的信息；所述第一下发单元41，具体用于根据所述GM的信息判断是否网络中的所有GM都已注册成功。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种组域虚拟私有网络GD VPN升级方法，应用在组密钥服务器KS上，其特征在于，所述方法包括：

在组成员GM注册时，向所述GM下发仅接收Receive only模式的网络间互联协议安全联盟IPsec SA；

判断是否网络中的所有GM都已注册成功，如果是，则向所述所有GM下发到达可选Inbound optional模式的IPsec SA；

判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA，如果是，则向所述所有GM下发正常Normal模式的IPsec SA。

2.根据权利要求1所述的方法，其特征在于，所述向所述所有GM下发Inbound optional模式的IPsec SA包括：

通过单播密钥更新Rekey报文向所述所有GM下发Inbound optional模式的IPsec SA；

所述判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA包括：

接收GM在接收到所述单播Rekey报文后返回的密钥更新确认RekeyACK报文，根据所述Rekey ACK报文判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA。

3.根据权利要求1所述的方法，其特征在于，所述向所述所有GM下发Normal模式的IPsec SA包括：

通过组播Rekey报文向所述所有GM下发Normal模式的IPsec SA。

4.根据权利要求1所述的方法，其特征在于，在向所述所有GM下发Normal模式的IPsec SA后，还包括：

将本机由升级运行模式切换到正常运行模式。

5.根据权利要求1所述的方法，其特征在于，所述判断是否网络中的所有GM都已注册成功包括：

保存升级运行模式下网络中GM的信息；

根据所述GM的信息判断是否组网中的所有GM都已注册成功。

6.一种GD VPN升级装置，应用在KS上，其特征在于，所述装置包括：

第一下发单元，用于在组成员GM注册时，向所述GM下发Receive only模式的IPsec SA；

第二下发单元，用于判断是否网络中的所有GM都已注册成功，在网络中的所有GM都已注册成功时，向所述所有GM下发Inbound optional模式的IPsec SA；

第三下发单元，用于判断是否网络中的所有GM都已接收到所述Inboundoptional模式的IPsec SA，在网络中的所有GM都已接收到所述Inboundoptional模式的IPsec SA时，向所述所有GM下发Normal模式的IPsec SA。

7.根据权利要求6所述的装置，其特征在于，所述第二下发单元，具体用于通过单播Rekey报文向所述所有GM下发Inbound optional模式的IPsecSA；

所述第三下发单元，具体用于接收GM在接收到所述单播Rekey报文后返回的Rekey ACK报文，根据所述Rekey ACK报文判断是否网络中的所有GM都已接收到所述Inbound optional模式的IPsec SA。

8.根据权利要求6所述的装置，其特征在于，所述第三下发单元，具体用于通过组播Rekey报文向所述所有GM下发Normal模式的IPsec SA。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

切换单元，用于将本机由升级运行模式切换到正常运行模式。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

保存单元，用于保存升级运行模式下网络中GM的信息；

所述第一下发单元，具体用于根据所述GM的信息判断是否网络中的所有GM都已注册成功。