[发明专利]一种互联网协议安全链路保护方法和装置

权利要求书

1.一种互联网协议安全链路保护方法，其特征在于，包括：

当检测到第一主用IPSec链路故障时，更新所述第一主用IPSec链路关联的一对安全关联SA；

根据IPSec本端节点维护的与IPSec链路关联的SA的优先级属性，从IPSec本端节点与远端不同可用节点之间建立的、分别指向远端不同可用节点的多条单向IPSec链路中选择第二主用IPSec链路，通过所述第二主用IPSec链路向远端传输需要安全保护的出站报文。

2.根据权利要求1所述的互联网协议安全链路保护方法，其特征在于，所述方法进一步包括：

在IPSec本端节点与远端不同可用节点之间建立对应的多条IPSec链路，所述IPSec链路包括：具有不同优先级属性的、传输方向分别指向远端不同可用节点的单向IPSec链路。

3.根据权利要求1所述的互联网协议安全链路保护方法，其特征在于，所述更新所述第一主用IPSec链路关联的一对安全关联SA，包括：

删除所述第一主用IPSec链路对应的一对安全关联SA或修改所述第一主用IPSec链路对应的该对SA的优先级属性，修改后的优先级属性使得该对SA不会成为优选条目。

4.根据权利要求2所述的互联网协议安全链路保护方法，其特征在于，所述在IPSec本端节点与远端不同可用节点之间建立对应的多条IPSec链路，包括：

将配置的多个互联网协议安全策略IPSec Policy绑定同一互联网协议安全访问控制列表IPSecACL，其中所述多条IPSec Policy分别指定远端的不同可用节点，且具有不同的优先级属性；

当首发出站报文欲从IPSec本端节点的出接口发出时，命中到一IPSecACL后触发关联的多个IPSec Policy同时动作，生成多对SA及对应的多条IPSec链路，其中每对SA具有从对应的IPSec Policy继承的优先级属性。

5.根据权利要求4所述的互联网协议安全链路保护方法，其特征在于，所述当检测到第一主用IPSec链路故障时，更新所述第一主用IPSec链路关联的一对安全关联SA的步骤之前，进一步包括：

根据具有从对应的IPSec Policy继承的优先级属性的多对SA中，选择优先级属性最高的一对SA所对应的IPSec链路作为第一主用IPSec链路，通过所述第一主用IPSec链路向远端传输所述需要安全保护的首发出站报文。

6.根据权利要求1所述的互联网协议安全链路保护方法，其特征在于，所述根据IPSec本端节点维护的与IPSec链路关联的SA的优先级属性，从IPSec本端节点与远端不同可用节点之间建立的、分别指向远端不同可用节点的多条单向IPSec链路中重新选择第二主用IPSec链路，包括：

比较IPSec本端节点维护的与IPSec链路关联的SA的优先级属性；

从所述分别指向远端不同可用节点的多条单向IPSec链路中，确定优先级属性最高的SA关联的IPSec链路为第二主用IPSec链路。

7.一种互联网协议安全链路保护装置，其特征在于，包括：

更新模块，用于当检测到第一主用IPSec链路故障时，更新所述第一主用IPSec链路关联的一对安全关联SA；

选择模块，用于根据IPSec本端节点维护的与IPSec链路关联的SA的优先级属性，从IPSec本端节点与远端不同可用节点之间建立的、分别指向远端不同可用节点的多条单向IPSec链路中选择第二主用IPSec链路；

传输模块，通过所述第二主用IPSec链路向远端传输需要安全保护的出站报文。

8.根据权利要求7所述的互联网协议安全链路保护装置，其特征在于，还包括：

链路建立模块，用于在IPSec本端节点与远端不同可用节点之间建立对应的多条IPSec链路，所述IPSec链路包括：具有不同优先级属性的、传输方向分别指向远端不同可用节点的单向IPSec链路。

9.根据权利要求7所述的互联网协议安全链路保护装置，其特征在于，所述更新模块具体用于删除所述第一主用IPSec链路对应的一对安全关联SA或修改所述第一主用IPSec链路对应的该对SA的优先级属性，修改后的优先级属性使得该对SA不会成为优选条目。