CN105099849B - 一种IPsec隧道的建立方法和设备 - Google Patents

Abstract

本发明公开了一种IPsec隧道的建立方法和设备，该方法包括：中心设备获取各分支设备对应的第一数据流信息和各分支设备的身份信息，记录各第一数据流信息与各身份信息之间的对应关系；中心设备接收来自分支设备的第二数据流信息，利用分支设备的身份信息查询对应关系，得到身份信息对应的第一数据流信息；当第一数据流信息与第二数据流信息不同时，中心设备确定第一数据流信息为分支设备使用的数据流信息，向分支设备发送第二数据流信息，分支设备利用第二数据流信息与中心设备建立IPsec隧道。本发明实施例中，对于数据流信息配置冲突的分支设备，中心设备能够根据正确的数据流信息与分支设备建立IPsec隧道，避免配置冲突带来的网络中断。

Description

一种IPsec隧道的建立方法和设备

技术领域

本发明涉及通信技术领域，尤其涉及一种IPsec隧道的建立方法和设备。

背景技术

IPsec(IP Security，IP安全)是三层隧道加密协议，为互联网上传输的数据提供高质量的基于密码学的安全保证，是一种实现三层VPN(Virtual Private Network，虚拟专用网络)的安全技术。IPsec通过在通信方之间建立IPsec隧道，来保护通信方之间传输的数据。IPsec提供了两大安全机制：认证和加密。认证机制使数据接收方能够确认数据发送方的真实身份以及数据在传输过程中是否遭篡改。加密机制通过对数据进行加密运算来保证数据的机密性。

如图1所示，在大型的IPsec VPN网络中，包括中心设备和多个分支设备，通过在中心设备与分支设备之间建立IPsec隧道，来保护中心设备与分支设备之间传输的数据。进一步的，为了对分支设备对应的私网数据进行IPsec保护，通常在中心设备上指定需要保护的该分支设备的数据流信息，只有匹配该数据流信息的私网数据才能够进行IPsec保护。例如，在中心设备上指定分支设备1的数据流信息1和分支设备2的数据流信息2，对于匹配到数据流信息1的私网数据或者匹配到数据流信息2的私网数据，中心设备会进行IPsec保护。

由于多个分支设备可能属于不同的设备厂商，因此，各分支设备分别向中心设备通知的各分支设备的数据流信息，可能存在错误配置的情况(如各分支设备的数据流信息相同或者存在交集)。例如，分支设备1的数据流信息1为192.168.1.1/24～192.168.1.10/24，分支设备2的数据流信息2为192.168.2.1/16～192.168.2.10/16，分支设备2的数据流信息2包含分支设备1的数据流信息1。

基于此，中心设备在分别与分支设备1和分支设备2建立IPsec隧道之后，由于分支设备2的数据流信息2包含了分支设备1的数据流信息1，因此，会导致中心设备将需要发送给分支设备1的私网数据错误的发送给分支设备2。

发明内容

本发明实施例提供一种IP安全IPsec隧道的建立方法，该方法应用于包括中心设备和多个分支设备的网络中，所述方法包括以下步骤：

所述中心设备获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息，并记录各第一数据流信息与各身份信息之间的对应关系；

所述中心设备接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息；

当第一数据流信息与第二数据流信息相同时，所述中心设备确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第一数据流信息，以使所述分支设备利用所述第一数据流信息与中心设备建立IPsec隧道；

当第一数据流信息与第二数据流信息不同时，所述中心设备确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第二数据流信息，以使分支设备利用第二数据流信息与中心设备建立IPsec隧道；或者，向分支设备发送第一数据流信息，以使分支设备将自身维护的第二数据流信息修改为第一数据流信息，并利用第一数据流信息与中心设备建立IPsec隧道。

所述中心设备获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息的过程，具体包括：

所述中心设备从本地配置中获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息；或者，所述中心设备从指定服务器上获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息。

所述中心设备接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息的过程，具体包括：

所述中心设备在互联网密钥交换IKE安全联盟SA建立过程中，获得并记录分支设备的身份信息；所述中心设备在IPsec SA建立过程中，接收来自所述分支设备的第二数据流信息，并利用IKE SA建立过程中记录的分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息。

所述方法进一步包括：

当第一数据流信息与第二数据流信息不同时，所述中心设备确定所述分支设备上配置的数据流信息存在配置错误，并提示配置错误的信息。

所述中心设备确定第一数据流信息为分支设备使用的数据流信息之后，所述方法进一步包括：

所述中心设备在收到匹配所述第一数据流信息的数据报文后，利用IPsec隧道对所述数据报文进行IPsec保护，并向所述分支设备发送所述数据报文。

本发明实施例提供一种中心设备，应用于包括所述中心设备和多个分支设备的网络中，所述中心设备具体包括：

获取模块，用于获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息，并记录各第一数据流信息与各身份信息之间的对应关系；

查询模块，用于接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息；

处理模块，用于当第一数据流信息与第二数据流信息相同时，确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第一数据流信息，以使所述分支设备利用所述第一数据流信息与中心设备建立IP安全IPsec隧道；当第一数据流信息与第二数据流信息不同时，确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第二数据流信息，以使分支设备利用第二数据流信息与中心设备建立IPsec隧道；或者，向分支设备发送第一数据流信息，以使分支设备将自身维护的第二数据流信息修改为第一数据流信息，并利用第一数据流信息与中心设备建立IPsec隧道。

所述获取模块，具体用于在获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息的过程中，从中心设备的本地配置中获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息；或者，从指定服务器上获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息。

所述查询模块，具体用于在接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息的过程中，在互联网密钥交换IKE安全联盟SA建立过程中，获得并记录分支设备的身份信息；在IPsecSA建立过程中，接收来自所述分支设备的第二数据流信息，并利用IKE SA建立过程中记录的分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息。

所述处理模块，还用于当第一数据流信息与第二数据流信息不同时，确定所述分支设备上配置的数据流信息存在配置错误，并提示配置错误的信息。

所述处理模块，还用于在确定第一数据流信息为分支设备使用的数据流信息之后，在收到匹配所述第一数据流信息的数据报文后，利用IPsec隧道对所述数据报文进行IPsec保护，并向所述分支设备发送所述数据报文。

基于上述技术方案，本发明实施例中，对于数据流信息配置冲突的分支设备，中心设备能够根据正确的数据流信息与分支设备建立IPsec隧道，保证IPsec业务正常，避免配置冲突带来的网络中断，避免将某分支设备的私网数据错误的发送给另一分支设备，并提供有效信息供网络管理员进一步处理。

附图说明

图1是现有技术中提出的IPsec VPN网络的组网示意图；

图2是本发明实施例提供的一种IPsec隧道的建立方法流程示意图；

图3是本发明实施例提供的一种中心设备的结构示意图。

具体实施方式

针对现有技术中存在的问题，本发明实施例提供了一种IPsec隧道的建立方法，该方法应用于包括中心设备和多个分支设备的网络中，以图1为本发明实施例的应用场景示意图，该方法可以应用于包括中心设备、分支设备1、分支设备2、分支设备3、分支设备4的IPsec VPN网络中。在上述应用场景下，如图2所示，该IPsec隧道的建立方法具体可以包括以下步骤：

步骤201，中心设备获取各分支设备对应的第一数据流信息和各分支设备的身份信息，并记录各第一数据流信息与各身份信息之间的对应关系。

中心设备获取各分支设备对应的第一数据流信息和各分支设备的身份信息，具体包括但不限于：中心设备从本地配置中获取各分支设备对应的第一数据流信息和各分支设备的身份信息；或者，中心设备从指定服务器(如RADIUS(Remote Authentication Dial InUser Service，远程用户拨号认证系统)服务器，LDAP(Lightweight Directory AccessProtocol，轻量目录访问协议)服务器)上获取各分支设备对应的第一数据流信息和各分支设备的身份信息。

其中，该身份信息具体包括但不限于：IP地址信息、唯一标识信息等。

本发明实施例中，中心设备的本地配置中可以预先配置有各分支设备对应的第一数据流信息和各分支设备的身份信息，基于此，中心设备可以从本地配置中获取各分支设备对应的第一数据流信息和各分支设备的身份信息。或者，在指定服务器(如RADIUS服务器等)中预先配置各分支设备对应的第一数据流信息和各分支设备的身份信息，基于此，中心设备可以从指定服务器上获取各分支设备对应的第一数据流信息和各分支设备的身份信息。

步骤202，中心设备接收来自分支设备的第二数据流信息，并利用该分支设备的身份信息查询对应关系(即中心设备记录的各第一数据流信息与各身份信息之间的对应关系)，以得到该身份信息对应的第一数据流信息。

本发明实施例中，中心设备接收来自分支设备的第二数据流信息，并利用该分支设备的身份信息查询对应关系，以得到该身份信息对应的第一数据流信息的过程，具体可以包括但不限于如下方式：中心设备在IKE(Internet Key Exchange，互联网密钥交换)SA(Security Association，安全联盟)建立过程中，获得并记录分支设备的身份信息；中心设备在IPsec SA建立过程中，接收来自该分支设备的第二数据流信息，利用IKE SA建立过程中记录的该分支设备的身份信息查询对应关系，以得到该身份信息对应的第一数据流信息。

其中，在分支设备与中心设备建立IPsec隧道时，会经过IKE SA建立过程和IPsecSA建立过程。在IKE SA建立过程中，中心设备记录分支设备的身份信息(如IP地址信息、唯一标识信息等)。在IPsec SA建立过程中，中心设备接收来自分支设备的第二数据流信息，利用IKE SA建立过程中记录的分支设备的身份信息查询对应关系，以得到该身份信息对应的第一数据流信息。

步骤203，中心设备比较第一数据流信息与第二数据流信息。其中，当第一数据流信息与第二数据流信息相同时，则中心设备执行步骤204；当第一数据流信息与第二数据流信息不同时，则中心设备执行步骤205。

步骤204，中心设备确定第一数据流信息或第二数据流信息为分支设备使用的数据流信息，并向分支设备发送第一数据流信息或第二数据流信息。分支设备利用第一数据流信息或第二数据流信息与中心设备建立IPsec隧道。

本发明实施例中，当第一数据流信息与第二数据流信息相同时，则说明分支设备上配置的数据流信息(即第二数据流信息)不存在配置错误，因此，中心设备可以向分支设备发送第一数据流信息或者第二数据流信息，以使分支设备利用第一数据流信息或者第二数据流信息与中心设备建立IPsec隧道。

步骤205，中心设备确定第一数据流信息为分支设备使用的数据流信息，向分支设备发送第二数据流信息，分支设备利用第二数据流信息与中心设备建立IPsec隧道；或，中心设备确定第一数据流信息为分支设备使用的数据流信息，向分支设备发送第一数据流信息，分支设备将自身维护第二数据流信息修改为第一数据流信息，利用第一数据流信息与中心设备建立IPsec隧道。

情况一、当第一数据流信息与第二数据流信息不同时，说明分支设备上配置的数据流信息(即第二数据流信息)存在配置错误，因此中心设备确定第一数据流信息为分支设备使用的数据流信息，即第一数据流信息为正确的数据流信息。进一步的，当分支设备不支持修改自身维护的第二数据流信息时，则中心设备向分支设备发送第二数据流信息(即分支设备上配置的数据流信息)。由于分支设备的私网网段并没有规划错，只是数据流信息存在配置错误，因此，分支设备利用第二数据流信息与中心设备建立IPsec隧道之后，分支设备使用配置错误的数据流信息与中心设备建立的IPsec隧道，并不影响实际的IPsec应用，分支设备建立的IPsec隧道可以与中心设备进行正常通信。

情况二、当第一数据流信息与第二数据流信息不同时，说明分支设备上配置的数据流信息(即第二数据流信息)存在配置错误，因此中心设备确定第一数据流信息为分支设备使用的数据流信息，即第一数据流信息为正确的数据流信息。进一步的，当分支设备支持修改本分支设备维护的第二数据流信息时，则中心设备向分支设备发送第一数据流信息(即正确的数据流信息)。分支设备在接收到第一数据流信息之后，如果发现第一数据流信息与本地维护的第二数据流信息不同，则分支设备将分支设备自身维护的第二数据流信息修改为第一数据流信息，并利用第一数据流信息与中心设备建立IPsec隧道。进一步的，由于分支设备使用正确的数据流信息与中心设备建立IPsec隧道，因此，分支设备建立的IPsec隧道可以与中心设备进行正常通信。

本发明实施例中，当第一数据流信息与第二数据流信息不同时，则说明分支设备上配置的数据流信息(即第二数据流信息)存在配置错误，因此中心设备确定分支设备上配置的数据流信息存在配置错误，并提示配置错误的信息。例如，中心设备发送通知消息(如syslog(系统日志)，邮件，短信等)通知网络管理员存在配置错误的信息，提醒网络管理员进行检查和修改。

本发明实施例中，中心设备在确定第一数据流信息为分支设备使用的数据流信息之后，中心设备在接收到匹配该第一数据流信息的数据报文后，利用IPsec隧道对该数据报文进行IPsec保护，并向该分支设备发送数据报文。

基于上述技术方案，本发明实施例中，对于数据流信息配置冲突的分支设备，中心设备能够根据正确的数据流信息与分支设备建立IPsec隧道，保证IPsec业务正常，避免配置冲突带来的网络中断，避免将某分支设备的私网数据错误的发送给另一分支设备，并提供有效信息供网络管理员进一步处理。

基于与上述方法同样的发明构思，本发明实施例中还提供了一种中心设备，应用于包括所述中心设备和多个分支设备的网络中，如图3所示，所述中心设备具体包括：

获取模块11，用于获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息，并记录各第一数据流信息与各身份信息之间的对应关系；

查询模块12，用于接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到该身份信息对应的第一数据流信息；

处理模块13，用于当第一数据流信息与第二数据流信息相同时，确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第一数据流信息，以使所述分支设备利用所述第一数据流信息与中心设备建立IP安全IPsec隧道；当第一数据流信息与第二数据流信息不同时，确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第二数据流信息，以使分支设备利用第二数据流信息与中心设备建立IPsec隧道；或者，向分支设备发送第一数据流信息，以使分支设备将自身维护的第二数据流信息修改为第一数据流信息，并利用第一数据流信息与中心设备建立IPsec隧道。

所述获取模块11，具体用于在获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息的过程中，从中心设备的本地配置中获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息；或，从指定服务器上获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息。

所述查询模块12，具体用于在接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息的过程中，在互联网密钥交换IKE安全联盟SA建立过程中，获得并记录分支设备的身份信息；在IPsec SA建立过程中，接收来自所述分支设备的第二数据流信息，并利用IKE SA建立过程中记录的分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息。

所述处理模块13，还用于当第一数据流信息与第二数据流信息不同时，确定所述分支设备上配置的数据流信息存在配置错误，提示配置错误的信息。

所述处理模块13，还用于在确定第一数据流信息为分支设备使用的数据流信息之后，在收到匹配所述第一数据流信息的数据报文后，利用IPsec隧道对所述数据报文进行IPsec保护，并向所述分支设备发送所述数据报文。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (10)

1.一种IP安全IPsec隧道的建立方法，该方法应用于包括中心设备和多个分支设备的网络中，其特征在于，所述方法包括以下步骤：

所述中心设备获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息，并记录各第一数据流信息与各身份信息之间的对应关系；所述各第一数据流信息没有交集；

所述中心设备接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息；

当第一数据流信息与第二数据流信息相同时，所述中心设备确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第一数据流信息，以使所述分支设备利用所述第一数据流信息与中心设备建立IPsec隧道；

当第一数据流信息与第二数据流信息不同时，所述中心设备确定第一数据流信息为分支设备使用的数据流信息，向分支设备发送第一数据流信息，以使分支设备将自身维护的第二数据流信息修改为第一数据流信息，并利用第一数据流信息与中心设备建立IPsec隧道。

2.如权利要求1所述的方法，其特征在于，所述中心设备获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息的过程，具体包括：

所述中心设备从本地配置中获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息；或者，所述中心设备从指定服务器上获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息。

3.如权利要求1所述的方法，其特征在于，所述中心设备接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息的过程，具体包括：

所述中心设备在互联网密钥交换IKE安全联盟SA建立过程中，获得并记录分支设备的身份信息；所述中心设备在IPsec SA建立过程中，接收来自所述分支设备的第二数据流信息，并利用IKE SA建立过程中记录的分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息。

4.如权利要求1所述的方法，其特征在于，所述方法进一步包括：

当第一数据流信息与第二数据流信息不同时，所述中心设备确定所述分支设备上配置的数据流信息存在配置错误，并提示配置错误的信息。

5.如权利要求1所述的方法，其特征在于，所述中心设备确定第一数据流信息为分支设备使用的数据流信息之后，所述方法进一步包括：

所述中心设备在收到匹配所述第一数据流信息的数据报文后，利用IPsec隧道对所述数据报文进行IPsec保护，并向所述分支设备发送所述数据报文。

6.一种中心设备，应用于包括所述中心设备和多个分支设备的网络中，其特征在于，所述中心设备具体包括：

获取模块，用于获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息，并记录各第一数据流信息与各身份信息之间的对应关系；所述各第一数据流信息没有交集；

查询模块，用于接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息；

处理模块，用于当第一数据流信息与第二数据流信息相同时，确定第一数据流信息为分支设备使用的数据流信息，并向分支设备发送第一数据流信息，以使所述分支设备利用所述第一数据流信息与中心设备建立IP安全IPsec隧道；当第一数据流信息与第二数据流信息不同时，确定第一数据流信息为分支设备使用的数据流信息，向分支设备发送第一数据流信息，以使分支设备将自身维护的第二数据流信息修改为第一数据流信息，并利用第一数据流信息与中心设备建立IPsec隧道。

7.如权利要求6所述的中心设备，其特征在于，

所述获取模块，具体用于在获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息的过程中，从中心设备的本地配置中获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息；或者，从指定服务器上获取各分支设备对应的第一数据流信息和所述各分支设备的身份信息。

8.如权利要求6所述的中心设备，其特征在于，

所述查询模块，具体用于在接收来自分支设备的第二数据流信息，利用所述分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息的过程中，在互联网密钥交换IKE安全联盟SA建立过程中，获得并记录分支设备的身份信息；在IPsec SA建立过程中，接收来自所述分支设备的第二数据流信息，并利用IKE SA建立过程中记录的分支设备的身份信息查询所述对应关系，得到所述身份信息对应的第一数据流信息。

9.如权利要求6所述的中心设备，其特征在于，

所述处理模块，还用于当第一数据流信息与第二数据流信息不同时，确定所述分支设备上配置的数据流信息存在配置错误，并提示配置错误的信息。

10.如权利要求6所述的中心设备，其特征在于，

所述处理模块，还用于在确定第一数据流信息为分支设备使用的数据流信息之后，在收到匹配所述第一数据流信息的数据报文后，利用IPsec隧道对所述数据报文进行IPsec保护，并向所述分支设备发送所述数据报文。