CN106850672A - IPSec隧道的安全联盟查找方法及装置 - Google Patents

Abstract

本发明涉及数据通信领域，具体提供了一种IPSec隧道的安全联盟查找方法及装置。该IPSec隧道的安全联盟查找方法及装置通过建立数组，将业务对象与数组建立关联后，以数组的下标作为ID在数组的元素中查找数组下标对应的数组元素，该数组元素包括需要的安全联盟。代替了现有技术中依靠传统的报文五元组信息定位安全策略，再根据安全策略找到所关联的安全联盟的繁琐和不可扩展的方式，简洁了隧道配置命令，需要修改IPSec隧道属性时，直接在数组中修改即可，为路由协议五元组相同，又需要不同IPSec隧道保护不同控制报文的应用业务提供了方便。

Description

IPSec隧道的安全联盟查找方法及装置

技术领域

本发明涉及数据通信领域，具体而言，涉及一种IPSec隧道的安全联盟查找方法及装置。

背景技术

目前IPSec保护路由协议的实现通常有以下两种做法：1、在配置具体的路由协议时，同时配置该条路由协议所用到的IPSec隧道的SPI值、IPSec协议、加密算法、加密密钥、哈希算法以及哈希算法密钥，以上配置有以下缺点：1、配置冗长且重复；2、配置不可复用性，如果设备中各个接口上的路由协议都需要相同属性的IPSec隧道保护，则每个接口上都要完完整整的配置一遍，修改IPSec隧道中某个属性时，各个接口上的IPSec隧道配置都要逐一修改。2、采用传统的IPSec隧道保护路由协议报文，路由协议报文也属于IP报文的一种，所以没有对路由协议业务进行特别区分，同样是需要IPSec保护的路由协议报文，需根据报文的五元组信息查找安全策略SP以后，根据SP关联的安全联盟SA进行加密保护，存在以下缺点：1、通常情况下两台路由器之间会建立多条路由邻居，例如OSPF，一台路由器可以同时属于不同的OSPF域，每个OSPF域里的路由邻居控制报文都需要IPSec隧道保护，由于五元组信息一样，所以都查找到同一条安全策略SP，以及用关联的同一个安全联盟SA进行保护，而不能做到不同OSPF域里的邻居控制报文由不同的安全联盟SA保护；2、当路由协议所涉及到的地址调整以后，为了使调整后的路由协议控制报文还能得到IPSec隧道的保护，需要同时修改所对应的安全策略SP，在大量配置中可能会由于疏忽导致没有及时同步更新，导致路由邻居断掉的问题发生。

发明内容

有鉴于此，本发明的目的在于提供一种IPSec隧道的安全联盟查找方法及装置，以改善上述的问题。

为了实现上述目的，本发明采用的技术方案如下：

第一方面，本发明实施例提供了一种IPSec隧道的安全联盟查找方法，所述方法包括：

创建数组,所述数组包括至少一个数组单元，所述数组单元包括数组元素及与数组元素对应的数组下标；

将业务对象与对应的IPSec隧道进行关联；

将具有与所述IPSec隧道所对应的安全联盟的数组元素对应的数组下标发送至所述业务对象；

当业务对象发送需要所述IPSec隧道保护的报文时，根据所述数组下标找到对应的所述数组元素，并获取数组元素中建立的安全联盟。

进一步地，当所述数组元素中已经建立所述安全联盟时，将所述数组元素对应的数组下标发送至所述业务对象。

进一步地，当所述数组元素中没有建立所述安全联盟时，在一个空余的数组元素上建立所述安全联盟，将所述数组元素对应的数组下标发送至所述业务对象。

进一步地，所述方法还包括：根据所述安全联盟对所述报文加密。

进一步地，所述方法还包括：当所述业务对象不需要所述IPSec隧道保护时，解除所述业务对象与所述IPSec隧道的关联，删除所述业务对象中保留的数组下标，保留所述数组元素中的安全联盟或者当所述业务对象不再需要所述IPSec隧道保护时，删除所述IPSec隧道以及所述数组元素中与所述IPSec隧道对应的安全联盟。

第二方面，本发明实施例提供了一种IPSec隧道的安全联盟查找装置，所述装置包括：

创建模块，用于创建数组，所述数组包括至少一个数组单元，所述数组单元包括数组元素及与数组元素对应的数组下标；

关联模块，用于将业务对象与对应的IPSec隧道进行关联；

发送模块，用于将具有与所述IPSec隧道所对应的安全联盟的数组元素对应的数组下标发送至所述业务对象；

查找模块，用于当业务对象发送需要所述IPSec隧道保护的报文时，根据所述数组下标找到对应的所述数组元素，并获取数组元素中建立的安全联盟。

进一步地，当所述数组元素中已经建立所述安全联盟时，所述发送模块将所述数组元素对应的数组下标发送至所述业务对象。

进一步地，所述IPSec隧道的安全联盟查找装置还包括建立模块，用于当所述数组元素中没有建立所述安全联盟时，在一个空余的数组元素上建立所述安全联盟，将所述数组元素对应的数组下标发送至所述业务对象。

进一步地，所述装置还包括加密模块，用于根据所述安全联盟对所述报文加密。

进一步地，所述装置还包括解绑模块，用于当所述业务对象不需要所述IPSec隧道保护时，解除所述业务对象与所述IPSec隧道的关联，删除所述业务对象中保留的数组下标，保留所述数组元素中的安全联盟；或删除模块，用于当所述业务对象不再需要所述IPSec隧道保护时，删除所述IPSec隧道以及所述数组元素中与所述IPSec隧道对应的安全联盟。

本发明提供的IPSec隧道的安全联盟查找方法及装置，通过建立数组，将业务对象与数组建立关联后，以数组的下标作为ID在数组的元素中查找数组下标对应的元素，该元素包括需要的安全联盟。代替了现有技术中依靠传统的报文五元组信息定位安全策略，再根据安全策略找到所关联的安全联盟的繁琐和不可扩展的方式，简洁了隧道配置命令，需要修改IPSec隧道属性时，直接在数组中修改即可，相较于传统方式中在各个接口上的IPSec隧道配置逐一修改更加方便快捷。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1是本发明实施例提供的IPSec隧道的安全联盟查找方法的流程图。

图2是本发明实施例提供的IPSec隧道的安全联盟查找方法的另一实施方式的流程图。

图3是本发明实施例提供的IPSec隧道的安全联盟查找方法的另一实施方式的流程图。

图4是本发明实施例提供的IPSec隧道的安全联盟查找方法的另一实施方式的流程图。

图5是本发明实施例提供的IPSec隧道的安全联盟查找装置的功能模块架构示意图。

图6是本发明实施例提供的IPSec隧道的安全联盟查找装置的另一实施方式的功能模块架构示意图。

图7是本发明实施例提供的IPSec隧道的安全联盟查找装置的另一实施方式的功能模块架构示意图。

图8是本发明实施例提供的IPSec隧道的安全联盟查找装置的另一实施方式的功能模块架构示意图。

图标：200-IPSec隧道的安全联盟查找装置；201-创建模块；202-关联模块；203-发送模块；204-查找模块；205-建立模块；206-加密模块；207-解绑模块；208-删除模块。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参照图1，是本发明实施例提供的IPSec隧道的安全联盟查找方法的流程图。该方法可应用于路由器或交换机等进行数据交换的设备。

该IPSec隧道的安全联盟查找方法包括以下步骤：

步骤S101，创建数组，该数组包括至少一个数组单元，数组单元包括数组元素及与数组元素对应的数组下标。

数组是相同数据类型的元素按一定顺序排列的集合，在本实施例中，数组中的数组元素将被写入IPSec隧道的安全联盟，安全联盟是通信双方建立的一种协定，决定了用来保护数据的协议、转码方式、密钥以及密钥有效期。

步骤S102，将业务对象与对应的IPSec隧道进行关联。

本实施例中提及的业务对象是需要IPSec隧道进行保护的带了IP头的业务，例如自上而下的上层业务，如OSPF(Open Shortest Path First，开放式最短路径优先)路由协议、RIPng(Routing Information Protocol next generation，下一代路由信息协议)，或者超文本传输协议(Http，Hyper Text Transfer Protocol)。关联的方式，可以是将IPSec隧道的隧道名与业务对象进行绑定。该IPSec隧道可以预先配置好后再和业务对象进行绑定，本发明实施例提供的方法提供松耦合的配置机制，还可以先根据业务对象的业务需要绑定一条还没有配置的IPSec隧道，IPSec隧道的名称业务可以自行定义。IPSec隧道配置时，主要配置使用的协议、算法、密钥以及封装形式。

步骤S103，将具有与IPSec隧道所对应的安全联盟的数组元素对应的数组下标发送至所述业务对象。

每一条IPSec隧道在生成之后，需要在数组中建立与该IPSec隧道对应的安全联盟，以便于在业务对象需要发送协议时，直接在数组中寻找与该IPSec隧道对应的安全联盟进行加密，容易理解的，数组元素中建立的安全联盟和IPSec隧道中的安全联盟相同。如果数组元素中已经建立与IPSec隧道对应的安全联盟，则将建立该安全联盟的数组元素对应的数组下标发送至业务对象，该数组下标可以理解为一个绑定ID，将业务对象和安全联盟绑定。如果数组元素中没有建立与IPSec隧道对应的安全联盟，则需要先在数组中空余的数组元素上建立与IPSec隧道对应的安全联盟，具体的，在数组中按照顺序找到第一个还没有建立IPSec隧道内容的数组元素，在此数组元素上根据需要建立IPSec隧道的安全联盟，然后再将建立安全联盟的数组元素对应的数组下标发送至与IPSec隧道关联的业务对象。

步骤S104，当业务对象发送需要IPSec隧道保护的报文时，根据数组下标找到对应的数组元素，并获取数组元素中建立的安全联盟。

业务对象在发送报文时，将数组下标添加到报文中，通过数组下标可以在数组中定位到该数组下标对应的数组元素，从而获取该数组元素中建立的安全联盟，可以理解，该安全联盟即为与业务对象关联的IPSec隧道的安全联盟。业务对象在发送报文时，不再需要依靠传统的五元组信息定位安全策略，再根据安全策略找到相关的安全联盟，而是通过绑定ID(数组下标)在数组中查找安全联盟，避免了业务对象采用五元组信息查找安全策略的繁琐和不可扩展性，为像OSPF/RIPng等路由协议五元组相同，又需要不同IPSec隧道保护不同控制报文的应用业务提供了方便。

请参照图2，找到需要的安全联盟后，本发明实施例提供的方法还可以包括步骤S105，根据安全联盟对所述报文加密。

请参照图3，本发明实施例提供的方法还可以包括步骤S106，当业务对象不需要IPSec隧道保护时，解除业务对象与IPSec隧道的关联，删除业务对象中的数组下标，保留数组元素中的安全联盟。

业务对象解除与IPSec隧道的关联后，业务对象中的数组下标也被删除，但是数组中的安全联盟依旧被保留，不会被删除，当业务对象再次需要该安全联盟对应的IPSec隧道保护时，将业务对象与对应的IPSec隧道再次关联起来，直接将安全联盟所在的数组元素对应的数组下标发送至业务对象。

请参照图4，本发明实施例提供的方法还可以包括步骤S107，当业务对象不再需要IPSec隧道保护时，删除IPSec隧道以及数组元素中与IPSec隧道对应的安全联盟。

当IPSec隧道被删除时，数组中与该IPSec隧道对应的安全联盟即没有存在的意义，将会被删除。此时，业务对象在发送报文时，通过数组下标在数组中将找不到对应的安全联盟。

综上，本发明实施例提供的IPSec隧道的安全联盟查找方法，通过建立中间对象——数组，在数组中建立与IPSec隧道对应的安全联盟，通过数组下标快速查找数组元素中的安全联盟的方式，代替了现有技术中依靠传统的报文五元组信息定位安全策略，再根据安全策略找到所关联的安全联盟的繁琐和不可扩展的方式，简洁了隧道配置命令，需要修改IPSec隧道属性时，直接在数组中修改即可，相较于传统方式中在各个接口上的IPSec隧道配置逐一修改更加方便快捷。

请参照图5，本发明实施例还提供了一种IPSec隧道的安全联盟查找装置200，该装置可以应用于路由器或交换机等进行数据交换的设备。该IPSec隧道的安全联盟查找装置200包括创建模块201、关联模块202、发送模块203和查找模块204。

其中，创建模块201用于创建数组，该数组包括至少一个数组单元，数组单元包括数组元素及与数组元素对应的数组下标。

在本实施例中，创建模块201可用于执行IPSec隧道的安全联盟查找方法的步骤S101。

关联模块202用于将业务对象与对应的IPSec隧道进行关联。

在本实施例中，关联模块202可用于执行步骤S102。

发送模块203，用于将具有与所述IPSec隧道所对应的安全联盟的数组元素对应的数组下标发送至所述业务对象。

在本实施例中，发送模块203可用于执行步骤S103。

查找模块204，用于当业务对象发送需要IPSec隧道保护的报文时，根据所述数组下标找到对应的所述数组元素，并获取数组元素中建立的安全联盟。

在本实施例中，查找模块204可用于执行步骤S104。

请参照图6，本发明实施例提供的IPSec隧道的安全联盟查找装置200还可以包括建立模块205、加密模块206。其中，建立模块205用于在数组元素中没有建立与IPSec隧道对应的安全联盟时，在数组中空余的数组元素上建立与IPSec隧道对应的安全联盟。加密模块206用于根据安全联盟对报文加密。加密模块206可用于执行步骤S105。

请参照图7，本发明实施例提供的IPSec隧道的安全联盟查找装置200还可以包括解绑模块207，用于当业务对象不需要IPSec隧道保护时，解除业务对象与IPSec隧道的关联，删除业务对象中的数组下标，保留数组元素中的安全联盟。在本实施例中，解绑模块207可用于执行步骤S106。

请参照图8，本发明实施例提供的IPSec隧道的安全联盟查找装置200还可以包括删除模块208，用于当业务对象不再需要所述IPSec隧道保护时，删除IPSec隧道以及数组元素中与IPSec隧道对应的安全联盟。在本实施例中，删除模块208可用以执行步骤S107。

由于在本实施例提供的IPSec隧道的安全联盟查找方法中已经详细介绍了方法的各流程，此处对IPSec隧道的安全联盟查找装置200的各功能模块不再赘述。

综上所述，本发明实施例提供了一种IPSec隧道的安全联盟查找方法及装置，通过建立数组，将业务对象与数组建立关联，以数组的下标作为ID在数组的元素中查找数组下标对应的数组元素，该数组元素包括需要的安全联盟。代替了现有技术中依靠传统的报文五元组信息定位安全策略，再根据安全策略找到所关联的安全联盟的繁琐和不可扩展的方式，简洁了隧道配置命令，需要修改IPSec隧道属性时，直接在数组中修改即可，为路由协议五元组相同，又需要不同IPSec隧道保护不同控制报文的应用业务提供了方便。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

在本申请所提供的实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本发明的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本发明各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

Claims (10)

1.一种IPSec隧道的安全联盟查找方法，其特征在于，所述方法包括：

创建数组，所述数组包括至少一个数组单元，所述数组单元包括数组元素及与数组元素对应的数组下标；

将业务对象与对应的IPSec隧道进行关联；

将具有与所述IPSec隧道所对应的安全联盟的数组元素对应的数组下标发送至所述业务对象；

当业务对象发送需要所述IPSec隧道保护的报文时，根据所述数组下标找到对应的所述数组元素，并获取数组元素中建立的安全联盟。

2.根据权利要求1所述的IPSec隧道的安全联盟查找方法，其特征在于，当所述数组元素中已经建立所述安全联盟时，将所述数组元素对应的数组下标发送至所述业务对象。

3.根据权利要求1所述的IPSec隧道的安全联盟查找方法，其特征在于，当所述数组元素中没有建立所述安全联盟时，在一个空余的数组元素上建立所述安全联盟，将所述数组元素对应的数组下标发送至所述业务对象。

4.根据权利要求1所述的IPSec隧道的安全联盟查找方法，其特征在于，所述方法还包括：

根据所述安全联盟对所述报文加密。

5.根据权利要求1所述的IPSec隧道的安全联盟查找方法，其特征在于，所述方法还包括：

当所述业务对象不需要所述IPSec隧道保护时，解除所述业务对象与所述IPSec隧道的关联，删除所述业务对象中保留的数组下标，保留所述数组元素中的安全联盟；或者

当所述业务对象不再需要所述IPSec隧道保护时，删除所述IPSec隧道以及所述数组元素中与所述IPSec隧道对应的安全联盟。

6.一种IPSec隧道的安全联盟查找装置，其特征在于，所述装置包括：

创建模块，用于创建数组，所述数组包括至少一个数组单元，所述数组单元包括数组元素及与数组元素对应的数组下标；

关联模块，用于将业务对象与对应的IPSec隧道进行关联；

发送模块，用于将具有与所述IPSec隧道所对应的安全联盟的数组元素对应的数组下标发送至所述业务对象；

查找模块，用于当业务对象发送需要所述IPSec隧道保护的报文时，根据所述数组下标找到对应的所述数组元素，并获取数组元素中建立的安全联盟。

7.根据权利要求6所述的IPSec隧道的安全联盟查找装置，其特征在于，当所述数组元素中已经建立所述安全联盟时，所述发送模块将所述数组元素对应的数组下标发送至所述业务对象。

8.根据权利要求6所述的IPSec隧道的安全联盟查找装置，其特征在于，还包括建立模块，用于当所述数组元素中没有建立所述安全联盟时，在一个空余的数组元素上建立所述安全联盟，将所述数组元素对应的数组下标发送至所述业务对象。

9.根据权利要求6所述的IPSec隧道的安全联盟查找装置，其特征在于，所述装置还包括：

加密模块，用于根据所述安全联盟对所述报文加密。

10.根据权利要求6所述的IPSec隧道的安全联盟查找装置，其特征在于，所述装置还包括：

解绑模块，用于当所述业务对象不需要所述IPSec隧道保护时，解除所述业务对象与所述IPSec隧道的关联，删除所述业务对象中保留的数组下标，保留所述数组元素中的安全联盟；或

删除模块，用于当所述业务对象不再需要所述IPSec隧道保护时，删除所述IPSec隧道以及所述数组元素中与所述IPSec隧道对应的安全联盟。