[发明专利]用于IP安全/因特网密钥交换安全网关的装置和方法

权利要求书

1.一种用于获取和维护可恢复因特网协议(IP)安全(IPsec)和 因特网密钥交换(IKE)安全网关(SEG)的方法，包括：

虚拟化物理SEG节点的IPsec/IKE功能以便将SEG功能从所述 物理SEG节点解耦；

引入由一组协作物理安全网关节点实现的虚拟SEG(V-SEG)功 能的基于网络的可恢复性方案；

修改向远程IPsec/IKE对等方实现V-SEG功能的一组物理SEG 节点之间的虚拟路由器冗余协议(VRRP)；以及

使用IPsec/IKE SA传输协议(SATP)在具有VRRP能力的物理 SEG节点之间交换IKE和IPsec SA信息，

其中所述SATP适合于以几乎实时的方式对于动态IPsec状态信 息同步所有参与物理SEG节点。

2.如权利要求1所述的方法，其中如果主VRRP SEG发生故障， 则热备用SEG之一接管所述V-SEG功能。

3.如权利要求1所述的方法，其中所述V-SEG功能由多个物理 SEG节点来提供。

4.如权利要求3所述的方法，其中所述V-SEG功能由两个物理 SEG节点来提供。

5.如权利要求3所述的方法，其中所述V-SEG功能由适合于处 理多个故障的多个物理SEG节点来支持。

6.如权利要求5所述的方法，其中所述V-SEG功能由适合于处 理多个故障的三(3)个物理SEG节点的群来支持。

7.如权利要求3所述的方法，其中所述多个物理SEG节点适合 于使用相同数量的物理SEG节点来处理V-SEG1和V-SEG2的可恢 复性。

8.如权利要求7所述的方法，其中特定的SEG节点适合于同时 充当实现V-SEG1功能的M-SEG以及用于V-SEG2功能的B-SEG。

9.如权利要求7所述的方法，其中特定的SEG节点适合于同时 充当实现任何数量的V-SEG功能的M-SEG以及用于任何数量的 V-SEG功能的B-SEG。

10.如权利要求7所述的方法，其中特定SEG节点适合于同时充 当用于V-SEG1功能和V-SEG2功能的B-SEG。

11.一种用于获取和维护可恢复因特网协议(IP)安全(IPsec) 和因特网密钥交换(IKE)安全网关(SEG)的装置，包括：

用于虚拟化物理SEG节点的IPsec/IKE功能以便将SEG功能从 所述物理SEG节点解耦的部件；

用于引入由一组协作物理安全网关节点实现的虚拟SEG (V-SEG)功能的基于网络的可恢复性方案的部件；

用于修改向远程IPsec/IKE对等方实现V-SEG功能的一组物理 SEG节点之间的虚拟路由器冗余协议(VRRP)的部件；以及

用于使用IPsec/IKE SA传输协议(SATP)在具有VRRP能力的 物理SEG节点之间交换IKE和IPsec SA信息的部件，

其中所述SATP适合于以几乎实时的方式对于动态IPsec状态信 息同步所有参与物理SEG节点。

12.如权利要求11所述的装置，其中如果主VRRP SEG发生故 障，则热备用SEG之一接管所述V-SEG功能。

13.如权利要求11所述的装置，其中所述V-SEG功能由多个物 理SEG节点来提供。

14.如权利要求11所述的装置，其中所述V-SEG功能由两个物 理SEG节点来提供。

15.如权利要求11所述的装置，其中所述V-SEG功能由任何数 量的物理SEG节点来提供。

16.如权利要求11所述的装置，其中至少一个V-SEG标识的 V-SEG功能由适合于处理多个故障的三(3)个物理SEG节点的群来 支持。