CN113726593A - 一种隧道故障检测方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请提供一种隧道故障检测方法、装置、电子设备及存储介质，该方法应用于IPSec网关，且该方法包括：针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文；若在设定时长内未接收到目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障，其中，上述设定时长大于上述设定周期。本申请可大大简化IPSec隧道故障的检测流程，从而减少了IPSec网关的CPU资源的占用。

Description

一种隧道故障检测方法、装置、电子设备及存储介质

技术领域

本申请涉及通信技术领域，尤其涉及一种隧道故障检测方法、装置、电子设备及存储介质。

背景技术

IP安全(IP Security，IPSec)是IETF制定的三层隧道加密协议，它为互联网上传输的数据提供了高质量的、基于密码学的安全保证，是一种传统的实现三层虚拟专用网络(Virtual Private Network，VPN)的安全技术。IPSec通过在特定通信方之间(例如两个安全网关之间)建立“通道”，来保护通信方之间传输的用户数据，该通道通常称为IPSec隧道。

在一种组网中，一个IPSec网关与多个用户网关建立等价IPSec隧道，以均衡用户设备侧的数据报文。为了及时发现故障的IPSec隧道，以便及时更改正在使用的IPSec隧道，通常在IPSec网关侧创建网络质量分析(Network Quality Analyzer，NQA)进程或者双向转发检测(Bidirectional Forwarding Detection，BFD)进程，并关联IPSec隧道的静态路由对应的追踪(Track)项，后续由NQA进程或者BFD进程会将检测IPSec隧道的检测结果(IPSec隧道正常或者IPSec隧道发生故障)，通知给IPSec网关中的Track模块，由Track模块更改相应的Track项的状态，例如，在IPSec隧道正常时，Track模块将相应的Track项的状态更改为有效状态；在IPSec隧道发生故障时，Track模块将相应的Track项的状态更改为有效状态。

从以上IPSec隧道故障的检测流程可以看出，不管是使用NQA进程检测IPSec隧道，还是使用BFD进程检测IPSec隧道，均需要与IPSec网关中的Track模块进行交互，检测流程较为复杂，占用了IPSec网关较多的CPU资源。

发明内容

为克服相关技术中存在的问题，本申请提供了一种隧道故障检测方法、装置、电子设备及存储介质。

根据本申请实施例的第一方面，提供一种隧道故障检测方法，所述方法应用于IPSec网关，所述方法包括：

针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个互联网控制消息协议(Internet Control Message Protocol，ICMP)探测报文；

若在设定时长内未接收到所述目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障，其中，所述设定时长大于所述设定周期。

根据本申请实施例的第二方面，提供一种隧道故障检测装置，所述装置应用于IPSec网关，所述装置包括：

发送模块，用于针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文；

确定模块，用于若在设定时长内未接收到所述目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障，其中，所述设定时长大于所述设定周期。

本申请的实施例提供的技术方案可以包括以下有益效果：

在本申请实施例中，对于IPSec网关而言，针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，会按照设定周期向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文；一旦在设定时长(大于设定周期)内未接收到目的用户网关发送的ICMP探测响应报文则，确定该IPSec隧道发生故障。

可见，在这种隧道故障的检测流程中，无需创建NQA进程或者BFD进程，也无需IPSec网关中的Track模块参与，大大简化了检测流程，减少了IPSec网关的CPU资源的占用。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

此处的附图被并入说明书中并构成本申请的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请实施例提供的一种隧道故障检测方法的流程示意图；

图2为本申请实施例提供的IPSec网关所在网络的网络架构示意图；

图3为本申请实施例提供的一种隧道故障检测装置的结构示意图；

图4为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

接下来对本申请实施例进行详细说明。

本申请实施例提供了一种隧道故障检测方法，该方法应用于IPSec网关，如图1所示，该方法可以包括如下步骤：

S11、针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文。

S12、若在设定时长内未接收到目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障。

在本步骤中，上述设定时长大于设定周期。例如，上述设定时长可以为设定周期的整数倍等。

在本申请实施例中，IPSec网关按照设定周期向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文之后，还可以执行以下操作：

若在设定时长内接收到目的用户网关发送的ICMP探测响应报文的数量达到第二设定数量，则确定该IPSec隧道正常，并维持该IPSec隧道的状态为活跃状态。

需要说明的是，上述设定周期、设定时长、第一设定数量和第二设定数量均可根据IPSec网关所在的网络的实际情况来设定。

进一步地，在本申请实施例中，IPSec网关在确定该IPSec隧道发生故障后，还可以执行以下操作：

将该IPSec隧道的状态由活跃状态更改为非活跃状态，并使用等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

后续如果IPSec网关确定出该IPSec隧道正常，即，IPSec隧道故障已恢复，IPSec网关再将该IPSec隧道的状态由非活跃状态更改为活跃状态，并使用等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

下面结合具体实施例对上述隧道故障检测方法进行详细说明。

如图2所示，假设IPSec网关1与用户网关1建立了IPSec隧道1，IPSec网关1与用户网关2建立了IPSec隧道2，并且这两条IPSec隧道为等价IPSec隧道；假设设定周期为10ms，设定时长为30ms，第一数量为3个，第二数量为8个。

假设初始时，IPSec网关1使用这两条IPSec隧道均衡地发送接收到的用户设备1的数据报文，这两条IPSec隧道的初始状态均为活跃状态。假设IPSec网关1每10ms会通过IPSec隧道1向用户网关1发送3个ICMP探测报文，通过IPSec隧道2向用户网关2发送3个ICMP探测报文。

以每10ms通过IPSec隧道1向用户网关1发送3个ICMP探测报文为例，若到达30ms后，IPSec网关1接收到了用户网关1发送的9个ICMP探测响应报文，即，接收到的ICMP探测响应报文的数量达到了8个，所以，IPSec网关1确定IPSec隧道1正常，维持IPSec隧道1的状态为活跃状态，并且，IPSec网关1继续使用IPSec隧道1和IPSec隧道2均衡地发送接收到的用户设备1的数据报文。

过了一段时间，假设IPSec网关1在某个30ms内未接收到用户网关1发送的ICMP探测响应报文，此时，IPSec网关1确定IPSec隧道1发生故障，将IPSec隧道1的状态由活跃状态更改为非活跃状态，并使用IPSec隧道2发送接收到的数据报文。

接下来，如果IPSec网关1在另一个30ms内接收到了用户网关1发送的9个ICMP探测响应报文，则确定出IPSec隧道1正常，即，IPSec隧道1故障已恢复，此时，IPSec网关1将IPSec隧道1的状态由非活跃状态更改为活跃状态，并继续使用使用IPSec隧道1和IPSec隧道2均衡地发送接收到的用户设备1的数据报文。

需要说明的是，对于后续到达设定时长后的处理过程与上述不同情形下的处理过程类似，在此不再一一详述。

由以上技术方案可以看出，在本申请实施例中，对于IPSec网关而言，针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，会按照设定周期向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文；一旦在设定时长(大于设定周期)内未接收到目的用户网关发送的ICMP探测响应报文则，确定该IPSec隧道发生故障。

可见，在这种隧道故障的检测流程中，无需创建NQA进程或者BFD进程，也无需IPSec网关中的Track模块参与，大大简化了检测流程，减少了IPSec网关的CPU资源的占用。

基于同一发明构思，本申请还提供了一种隧道故障检测装置，所述装置应用于IPSec网关，其结构示意图如图3所示，具体包括：

发送模块31，用于针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文；

确定模块32，用于若在设定时长内未接收到所述目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障，其中，所述设定时长大于所述设定周期。

优选地，所述确定模块32，还用于：

若在所述设定时长内接收到所述目的用户网关发送的ICMP探测响应报文的数量到达第二设定数量，则确定该IPSec隧道正常，并维持该IPSec隧道的状态为活跃状态。

优选地，所述装置还包括：

第一更改模块(图3中未示出)，用于在所述确定模块32确定该IPSec隧道发生故障后，将该IPSec隧道的状态由活跃状态更改为非活跃状态，并使用所述等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

优选地，所述装置还包括：

第二更改模块(图3中未示出)，用于在所述确定模块32确定该IPSec隧道发生故障后，若确定出该IPSec隧道正常，将该IPSec隧道的状态由非活跃状态更改为活跃状态，并使用所述等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

由以上技术方案可以看出，由以上技术方案可以看出，在本申请实施例中，对于IPSec网关而言，针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，会按照设定周期向该IPSec隧道的目的用户网关发送第一设定数量个ICMP探测报文；一旦在设定时长(大于设定周期)内未接收到目的用户网关发送的ICMP探测响应报文则，确定该IPSec隧道发生故障。

可见，在这种隧道故障的检测流程中，无需创建NQA进程或者BFD进程，也无需IPSec网关中的Track模块参与，大大简化了检测流程，减少了IPSec网关的CPU资源的占用。

本申请实施例还提供了一种电子设备，如图4所示，包括处理器41和机器可读存储介质42，所述机器可读存储介质42存储有能够被所述处理器41执行的机器可执行指令，所述处理器41被所述机器可执行指令促使：实现上述隧道故障检测的步骤。

上述的机器可读存储介质可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，机器可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在本申请提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述隧道故障检测的步骤。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种隧道故障检测方法，其特征在于，所述方法应用于IP安全IPSec网关，所述方法包括：

针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个互联网控制消息协议ICMP探测报文；

若在设定时长内未接收到所述目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障，其中，所述设定时长大于所述设定周期。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若在所述设定时长内接收到所述目的用户网关发送的ICMP探测响应报文的数量到达第二设定数量，则确定该IPSec隧道正常，并维持该IPSec隧道的状态为活跃状态。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在确定该IPSec隧道发生故障后，将该IPSec隧道的状态由活跃状态更改为非活跃状态，并使用所述等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在确定该IPSec隧道发生故障后，若确定出该IPSec隧道正常，将该IPSec隧道的状态由非活跃状态更改为活跃状态，并使用所述等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

5.一种隧道故障检测装置，其特征在于，所述装置应用于IP安全IPSec网关，所述装置包括：

发送模块，用于针对与不同的用户网关建立的等价IPSec隧道中的任一IPSec隧道，按照设定周期，通过该IPSec隧道向该IPSec隧道的目的用户网关发送第一设定数量个互联网控制消息协议ICMP探测报文；

确定模块，用于若在设定时长内未接收到所述目的用户网关发送的ICMP探测响应报文，则确定该IPSec隧道发生故障，其中，所述设定时长大于所述设定周期。

6.根据权利要求5所述的装置，其特征在于，所述确定模块，还用于：

若在所述设定时长内接收到所述目的用户网关发送的ICMP探测响应报文的数量到达第二设定数量，则确定该IPSec隧道正常，并维持该IPSec隧道的状态为活跃状态。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

第一更改模块，用于在所述确定模块确定该IPSec隧道发生故障后，将该IPSec隧道的状态由活跃状态更改为非活跃状态，并使用所述等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第二更改模块，用于在所述确定模块确定该IPSec隧道发生故障后，若确定出该IPSec隧道正常，将该IPSec隧道的状态由非活跃状态更改为活跃状态，并使用所述等价IPSec隧道中的处于活跃状态的IPSec隧道发送接收到的数据报文。

9.一种电子设备，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-4任一所述的方法步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-4任一所述的方法步骤。

Images