[发明专利]IP安全报文转发方法及装置

权利要求书

1.一种IP安全报文转发方法，应用在至少包含两个设备的组网中，其中， 第一设备具有固定公网IP地址，其特征在于，在每个设备上增加一个IP安全 联盟IPSec SA接口，为每个IPSec SA接口分配处于同一网段的IP地址；将每 个设备的IPSec SA接口与公网接口绑定，在非第一设备上配置的IPSec对等体 信息为第一设备的公网IP地址，在每个设备的IPSec SA接口上启用动态路由 协议；该方法包括：

非第一设备的IPSec SA接口上始发报文，与第一设备进行IPSec SA协商， 协商成功，双方设备建立IPSec报文转发表项，所述IPSec报文转发表项至少 包括：IPSec连接标识、对端设备的IPSec SA接口的IP地址；

设备要转发一个单播报文，根据报文的目的IP地址查找单播路由表项，将 单播路由表项中的下一跳与IPSec报文转发表项中的对端设备的IPSec SA接口 的IP地址匹配，若匹配上，则根据IPSec报文转发表项中的IPSec连接标识查 找到IPSec SA，使用该IPSec SA对该报文进行加密封装后转发出去；

或者，设备要转发一个组播报文或广播报文，则根据各IPSec报文转发表 项中的IPSec连接标识查找到IPSec SA，分别使用各IPSec SA对该报文进行加 密封装，将各封装后的报文通过各自的IPSec隧道转发出去。

2.如权利要求1所述的方法，其特征在于，所述非第一设备的IPSec SA 接口上始发报文之后、与第一设备进行IPSec协商之前进一步包括：

非第一设备判断自身是否已建立IPSec SA，若是，直接采用该IPSec SA对 报文加密封装后发送出去；否则，执行所述与第一设备进行IPSec SA协商的动 作。

3.如权利要求1或2所述的方法，其特征在于，所述非第一设备不具有固 定公网IP地址，且所有非第一设备具有一个通用因特网密钥交换IKE本地名，

所述方法进一步包括：在第一设备上配置IPSec对等体信息为所有非第一 设备的通用IKE本地名。

4.如权利要求1或2所述的方法，其特征在于，所述组网为一对多的组网， 所述第一设备为中心设备。

5.如权利要求4所述的方法，其特征在于，所述方法进一步包括：中心设 备的IPSec SA接口上始发报文，在自身查找已建立的IPSec SA，判断是否查找 到，若是，分别采用各IPSec SA对报文加密封装，将封装后的各报文通过各自 的IPSec隧道发送出去；否则，丢弃该报文。

6.如权利要求1或2所述的方法，其特征在于，所述IPSec报文转发表项 进一步包括：IPSec本端地址、IPSec对端地址、本端IPSec SA地址，其中，IPSec 本端地址为本设备的公网IP地址，IPSec对端地址为对端设备的公网IP地址， 本端IPSec SA地址为本设备的IPSec SA接口的IP地址。