[发明专利]一种互联网协议安全链路保护方法和装置

说明书

技术领域

本发明涉及通信技术领域，尤其涉及互联网协议安全链路保护方法和装置。

背景技术

IPSec(IP Security，互联网协议安全)给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协议、封装安全载荷协议、密钥管理协议和用于网络认证及加密的一些算法等。IPSec在原本开放、脆弱的IP网络架构上提供了较强的安全特性被广泛应用于企业网、电信网、Internet等领域。

IPSec可用于对一段IP(Internet Protocol，互联网协议)链路实施加密、认证等安全保护，在建立IPSec链路过程中，因为需要进行认证算法/加密算法协商、封装模式协商、交换密钥等一系列复杂交互，会导致链路建立时间较长(通常＞10s)。因此，一旦IPSec链路出现故障，重新建立链路会导致超过10s的中断时间，即将会出现较长的中断时间，从而无法满足快速可靠性切换要求。

发明内容

本发明实施例提供了一种互联网协议安全链路保护方法和装置，以减小因互联网协议安全链路中断而导致的数据传输中断的时间，从而实现互联网协议安全链路的快速倒换。

本发明实施例采用以下技术方案：

本发明实施例提供了一种互联网协议安全链路保护方法，包括：

当检测到第一主用IPSec链路故障时，更新所述第一主用IPSec链路关联的一对安全关联SA(Security Association，安全关联)；

根据IPSec本端节点维护的与IPSec链路关联的SA的优先级属性，从IPSec本端节点与远端不同可用节点之间建立的、分别指向远端不同可用节点的多条单向IPSec链路中选择第二主用IPSec链路，通过所述第二主用IPSec链路向远端传输需要安全保护的出站报文。

本发明实施例提供了一种互联网协议安全链路保护装置，包括：

更新模块，用于当检测到第一主用IPSec链路故障时，更新所述第一主用IPSec链路关联的一对安全关联SA；

选择模块，用于根据IPSec本端节点维护的与IPSec链路关联的SA的优先级属性，从IPSec本端节点与远端不同可用节点之间建立的、分别指向远端不同可用节点的多条单向IPSec链路中选择第二主用IPSec链路；

传输模块，通过所述第二主用IPSec链路向远端传输需要安全保护的出站报文。

本发明实施例提供的技术方案中，通过在检测到主用IPSec链路故障时，更新所述主用IPSec链路关联的一对SA，并根据IPSec本端节点维护的与IPSec链路关联的SA的优先级属性，从预先建立的多条IPSec链路中重新选出一条继续作为主用的IPSec链路，通过所述重新选择的主用IPSec链路向远端传输需要安全保护的出站报文，避免了重建IPSec链路或者重新协商安全参数，从而实现IPSec链路快速倒换，本发明实施例中IPSec链路主备故障倒换时间可以做到毫秒级，同时由于对远端IPSec节点并无特性要求，因此具有很好的兼容性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例提供的互联网协议安全链路保护方法的一种应用场景示意图；

图2本发明实施例提供的一种互联网协议安全链路保护方法的流程图；

图3为本发明实施例提供的互联网协议安全链路保护方法的一种应用场景示意图；

图4为本发明实施例提供的在图3的应用场景中IPSec策略设置原理示意图；

图5为本发明实施例提供的互联网协议安全链路保护方法的另一种应用场景示意图；

图6为本发明实施例提供的在图5的应用场景中IPSec策略设置原理示意图；

图7为本发明实施例提供的一种互联网协议安全链路保护装置的结构示意图；

图8为本发明实施例提供的另一种互联网协议安全链路保护装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。