CN114036576A

CN114036576A - 一种ipsec隧道恢复方法、装置及可读存储介质

Info

Publication number: CN114036576A
Application number: CN202111272254.5A
Authority: CN
Inventors: 石亚磊; 王耀杰; 施德军
Original assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Current assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Priority date: 2021-10-29
Filing date: 2021-10-29
Publication date: 2022-02-11

Abstract

本发明公开了一种ipsec隧道恢复方法、装置及可读存储介质，其中方法包括，在ipsec隧道协商进程启动后，通过ipsec隧道协商进程检测指定数据库中是否包含目标隧道数据，其中所述指定数据库中记录有ipsec隧道协商成功的历史数据；在指定数据库中存在目标隧道数据，且，存在与所述目标隧道数据相关的查询数据的情况下，根据所述查询数据创建所述目标隧道对应的结构体；基于所创建的结构体恢复ipsec协商。本公开的方法可以按需基于所创建的结构体恢复ipsec协商，由于指定数据库中记录有ipsec隧道协商成功的历史数据，因此只需要一台网关设备即可进行ipsec隧道状态的快速恢复，同时还解决了现有技术中状态同步失败时隧道重新协商导致业务数据丢包问题。

Description

一种ipsec隧道恢复方法、装置及可读存储介质

技术领域

本发明涉及信息安全技术领域，尤其涉及一种ipsec隧道恢复方法、装置及可读存储介质。

背景技术

互联网安全协议(英语：Internet Protocol Security，缩写为IPsec)，是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族(一些相互关联的协议的集合)。

IPsec(IP Security)是IETF制定的三层隧道加密协议，它为Internet上传输的数据提供了高质量的、可互操作的、基于密码学的安全保证。特定的通信方之间在IP层通过加密与数据源认证等方式，提供了以下的安全服务：

数据机密性(Confidentiality)：IPsec发送方在通过网络传输包前对包进行加密。

数据完整性(Data Integrity)：IPsec接收方对发送方发送来的包进行认证，以确保数据在传输过程中没有被篡改。

数据来源认证(Data Authentication)：IPsec在接收端可以认证发送IPsec报文的发送端是否合法。

防重放(Anti-Replay)：IPsec接收方可检测并拒绝接收过时或重复的报文。

SA：安全联盟是构成IPSec的基础。SA是两个通信实体经协商建立起来的一种协定。SA决定了用来保护数据包安全的IPSec协议、转码方式、密钥以及密钥的有效存在时间等。

SADB：安全关联数据库(Security Associations Database)用于存放与SA关联的所有状态数据的存储结构。

SPDB：安全策略数据库(Security Policy Database)指明所有IP数据报文应使用何种安全服务，以及如何获得这些服务的数据结构。SPDB通常是一个有序的结构，用访问控制列表来描述数据流特性。

现有的技术中隧道恢复依赖于两台设备的互为备份，隧道异常时需要两台设备进行主备切换。主备防火墙状态同步需要时间，若同步链路有问题则会导致同步不成功，ipsec隧道需要重新协商，进而导致业务数据的丢包。

发明内容

本发明实施例提供一种ipsec隧道恢复方法、装置及可读存储介质，用以实现仅用一台设备完成ipsec隧道状态的快速恢复，同时解决现有技术中状态同步失败时隧道重新协商导致业务数据丢包问题。

本发明实施例提供一种ipsec隧道恢复方法，包括：

在ipsec隧道协商进程启动后，通过ipsec隧道协商进程检测指定数据库中是否包含目标隧道数据，其中所述指定数据库中记录有ipsec隧道协商成功的历史数据；

在指定数据库中存在目标隧道数据，且，存在与所述目标隧道数据相关的查询数据的情况下，根据所述查询数据创建所述目标隧道对应的结构体；

基于所创建的结构体恢复ipsec协商。

在一些实施例中，所述历史数据的获取方式包括：

通过所述ipsec隧道协商进程，定时保存协商成功历史中的各条隧道数据的IKESA数据和IPSEC SA数据，并保持内核SADB数据库和SPDB数据库中的策略不变。

在一些实施例中，所述历史数据的获取方式还包括：

计算各条隧道数据的摘要信息，并将计算获得的各摘要信息与各条隧道信息一并保存。

在一些实施例中，根据所述查询数据创建所述目标隧道对应的结构体之前，还包括：

在指定数据库中存在目标隧道数据的情况下，根据相应的摘要信息进行数据完整性验证。

在一些实施例中，确定所述指定数据库中存在与所述目标隧道数据相关的查询数据的方式包括：

在指定数据库中存在目标隧道数据的情况下，基于所述IKE SA数据和IPSEC SA数据获取对应的查询数据。

在一些实施例中，还包括在ipsec隧道协商进程启动的同时，启动monitor监控进程；

所述monitor监控进程被配置为定时检测所述ipsec隧道协商进程是否在运行；

在检测到所述ipsec隧道协商进程未在运行的情况下，调用指定接口以启动协商进程。

本发明实施例还提供一种ipsec隧道恢复装置，包括处理器，所述处理器被配置为：

在ipsec隧道协商进程启动后，通过ipsec隧道协商进程检测指定数据库中是否包含目标隧道数据，其中所述指定数据库中包括有ipsec隧道协商成功的历史数据；

基于所创建的结构体恢复ipsec协商。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现本公开各实施例所述的ipsec隧道恢复方法的步骤。

本发明实施例在指定数据库中存在目标隧道数据，且，存在与所述目标隧道数据相关的查询数据的情况下，根据查询数据创建目标隧道对应的结构体，从而可以按需基于所创建的结构体恢复ipsec协商，由于指定数据库中记录有ipsec隧道协商成功的历史数据，因此只需要一台网关设备即可进行ipsec隧道状态的快速恢复，同时还解决了现有技术中状态同步失败时隧道重新协商导致业务数据丢包问题。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1为本公开的ipsec隧道恢复方法的基本流程图；

图2为本公开的ipsec隧道恢复方法的总流程；

图3为本公开的ipsec隧道恢复方法的交互示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

IPsec具有以下优点：

支持IKE(Internet Key Exchange，因特网密钥交换)，可实现密钥的自动协商功能，减少了密钥协商的开销。可以通过IKE建立和维护SA的服务，简化了IPsec的使用和管理。

所有使用IP协议进行数据传输的应用系统和服务都可以使用IPsec，而不必对这些应用系统和服务本身做任何修改。

对数据的加密是以数据包为单位的，而不是以整个数据流为单位，这不仅灵活而且有助于进一步提高IP数据包的安全性，可以有效防范网络攻击。

本公开中用到的名词定义如下：

Ipsec协议：互联网安全协议(英语：Internet Protocol Security，缩写为IPsec)，是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族(一些相互关联的协议的集合)。

IKE：IKE属于一种混合型协议，由Internet安全关联和密钥管理协议(ISAKMP)和两种密钥交换协议OAKLEY与SKEME组成。IKE创建在由ISAKMP定义的框架上，沿用了OAKLEY的密钥交换模式以及SKEME的共享和密钥更新技术，还定义了它自己的两种密钥交换方式：主模式和野蛮模式；IKE第一阶段：主模式和野蛮模式,产生IKE SA，第二阶段：快速模式:产生IPSEC SA。

现有技术中ipsec状态恢复方法包括如果主防火墙A异常,主防火墙A和备防火墙B进行主备防火墙的变换，主防火墙A变换为备防火墙A，备防火墙B变换为主防火墙B，从而通过主防火墙B发起反向ike协商,与远端防火墙C建立ipsec隧道。但该方案需要一主一备两套防火墙设备才能完成切换，并且隧道重新协商还会导致业务数据丢包。

基于此本公开实施例提供一种ipsec隧道恢复方法，如图1所示，包括：

步骤S101、在ipsec隧道协商进程启动后，通过ipsec隧道协商进程检测指定数据库中是否包含目标隧道数据，其中所述指定数据库中记录有ipsec隧道协商成功的历史数据。具体的，可以在协商进程退出的情况下，通过调用指定的接口启动ipsec隧道协商进程，也可以通过预定的监控程序或者监控进程在协商进程退出后重新启动协商进程，并按照后续步骤恢复ipsec协商。

步骤S102、在指定数据库中存在目标隧道数据，且，存在与所述目标隧道数据相关的查询数据的情况下，根据所述查询数据创建所述目标隧道对应的结构体。例如可以在确定指定数据库中存在目标隧道数据的情况下，读取隧道数据调用内核接口查找相应的查询数据，从而根据查询数据在内存中创建隧道状态所使用的结构体。

步骤S103、基于所创建的结构体恢复ipsec协商。例如可以根据需要恢复的ipsec隧道，修改当前网关到目标网关的ipsec隧道并完成协商，从而实现ipsec隧道的恢复。

在一些实施例中，所述历史数据的获取方式包括：通过所述ipsec隧道协商进程，定时保存协商成功历史中的各条隧道数据的IKE SA数据和IPSEC SA数据，并保持内核SADB数据库和SPDB数据库中的策略不变。例如可以在ipsec隧道协商进程协商成功的情况下，每间隔一定的时间定时将IKE SA，IPSEC SA数据保存到设备指定位置，并且内核态SADB、SPDB数据库中的策略保持不变。通过本公开的方法ipsec隧道能够根据上一次保存的数据快速恢复协商状态及数据，并且由于内核态SADB、SPDB状态未改变，所以ipsec隧道恢复过程中不会影响业务的通信。

在一些实施例中，所述历史数据的获取方式还包括：计算各条隧道数据的摘要信息，并将计算获得的各摘要信息与各条隧道信息一并保存。在一些实施例中，根据所述查询数据创建所述目标隧道对应的结构体之前，还包括：在指定数据库中存在目标隧道数据的情况下，根据相应的摘要信息进行数据完整性验证。通过将计算获得的各摘要信息与各条隧道信息一并保存，从而可以方便根据摘要信息进行数据完整性验证，保证能够有效恢复ipsec隧道。

在一些实施例中，确定所述指定数据库中存在与所述目标隧道数据相关的查询数据的方式包括：在指定数据库中存在目标隧道数据的情况下，基于所述IKE SA数据和IPSECSA数据获取对应的查询数据。本示例中的查询数据可以是基于历史协商成功后的IKE SA、IPSEC SA(具体可以包含双方随机数、工作秘钥、会话秘钥等信息)参数来获得，其中IKE SA主要包括IPSec隧道一阶段协商成功后的参数信息，IPSEC SA主要包括IPSec隧道二阶段协商的参数信息。本公开的隧道恢复是利用在前保存的IKESA数据、IPSECSA数据实现的，其中每一条成功的IPSEC SA与SADB、SPDB中的数据可以是一一对应的，恢复隧道时查询对应关系，即可实现对应隧道的恢复。

在一些实施例中，还包括在ipsec隧道协商进程启动的同时，启动monitor监控进程；所述monitor监控进程被配置为定时检测所述ipsec隧道协商进程是否在运行；在检测到所述ipsec隧道协商进程未在运行的情况下，调用指定接口以启动协商进程。也即在ipsec隧道协商进程启动的同时，可以启动monitor监控进程，monitor监控进程用于定时的监控ipsec隧道协商进程的状态。例如，ipsec隧道协商进程收到外部发来的进程退出信号导致进程退出的情况下，可以通过monitor监控进程调用接口启动协商进程。

本公开的方法ipsec协商进程根据读取的隧道数据调用内核接口，查询内核SADB及SPDB数据库，检查对应隧道是否存在，若SADB、SPDB中数据存在，则根据查询的数据，在内存中创建隧道状态所使用的结构体。例如本地设备IPSEC协商进程在退出前可以将协商成功的IKE SA及IPSEC SA保存到设备指定位置，IPSEC协商进程重新启动后从设备指定位置读取IKE SA及IPSEC SA信息，并根据读取的数据构建隧道的数据结构。本公开的方法可以实现不借用其他备份设备的条件下快速恢复ipsec隧道状态，并将ipsec协商进程的隧道状态数据恢复到上一个保存点时的状态。本公开的方法还可以实现在恢复ipsec隧道状态时业务数据不丢包，能够保证业务数据传输的稳定性。

本公开的方法还提出一种ipsec隧道恢复方法的实施案例，如图2、图3所示包括如下步骤：

网关A启动ipsec隧道协商进程及monitor监控进程。

网关A中ipsec协商进程检查指定文件/数据库中是否有隧道数据，若存在隧道数据则读取对应数据，并根据每条隧道中保存的摘要值验证数据的完整性。

网关A中ipsec协商进程根据读取的隧道数据调用内核接口，查询内核SADB及SPDB数据库，检查对应隧道是否存在，若SADB、SPDB中数据存在，则根据查询的数据在内存中创建隧道状态所使用的结构体。

按照用户需修改网关A到网关B的隧道并完成协商。

网关A中协商进程定时将协商成功的IKE SA数据，IPSEC SA数据保存到设备指定位置，并且内核态SADB、SPDB数据库中的策略保持不变。

网关A中monitor进程定时检查ipsec协商进程是否在运行，检查到ipsec协商进程未在运行则调用接口启动协商进程。

网关A中ipsec隧道协商进程收到外部发来的进程退出信号导致进程退出的情况下重复前述恢复步骤。

本公开的恢复方法能够实现ipsec隧道根据上一次保存的数据快速恢复协商状态及数据，并且由于内核态SADB、SPDB状态未改变，所以隧道恢复过程中不会影响业务的通信。

基于所创建的结构体恢复ipsec协商。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims

1.一种ipsec隧道恢复方法，其特征在于，包括：

基于所创建的结构体恢复ipsec协商。

2.如权利要求1所述的ipsec隧道恢复方法，其特征在于，所述历史数据的获取方式包括：

通过所述ipsec隧道协商进程，定时保存协商成功历史中的各条隧道数据的IKE SA数据和IPSEC SA数据，并保持内核SADB数据库和SPDB数据库中的策略不变。

3.如权利要求2所述的ipsec隧道恢复方法，其特征在于，所述历史数据的获取方式还包括：

4.如权利要求3所述的ipsec隧道恢复方法，其特征在于，根据所述查询数据创建所述目标隧道对应的结构体之前，还包括：

5.如权利要求2所述的ipsec隧道恢复方法，其特征在于，确定所述指定数据库中存在与所述目标隧道数据相关的查询数据的方式包括：

6.如权利要求1所述的ipsec隧道恢复方法，其特征在于，还包括在ipsec隧道协商进程启动的同时，启动monitor监控进程；

7.一种ipsec隧道恢复装置，其特征在于，包括处理器，所述处理器被配置为：

基于所创建的结构体恢复ipsec协商。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6中任一项所述的ipsec隧道恢复方法的步骤。