[发明专利]一种实现端到端安全防护的方法、安全网关及系统

权利要求书

1.一种实现端到端安全防护的方法，其特征在于，

第一接入设备与第一安全网关、以及第二接入设备与第二安全网关分别建立网络密钥交换协议安全关联IKE SA；

所述第一接入设备与所述第二接入设备的接入网络相同时，所述第一安全网关与所述第二安全网关为所述相同接入网络中的同一个IPsec网关；

所述第一接入设备与所述第二接入设备的接入网络不相同时，所述第一安全网关与所述第二安全网关分别为所述两个不同接入网络中的不同IPsec网关；且所述两个不同IPsec网关之间建立IKE SA；

所述第一接入设备与所述第二接入设备建立并维护网络协议安全性安全关联IPsec SA，所述IPsec SA的建立与维护过程受所述第一接入设备与所述第一安全网关、以及所述第二接入设备与所述第二安全网关建立的IKE SA安全保护；

所述第一接入设备与所述第一安全网关、所述第二接入设备与所述第二安全网关，以及所述第一安全网关与所述第二安全网关之间建立IKE SA的过程，在所述第一接入设备与所述第二接入设备建立IPsec SA的过程之前、或者与所述第一接入设备与所述第二接入设备建立IPsec SA的过程同时进行；

当建立IKE SA的过程与所述建立IPsec SA的过程同时进行时，在建立所述IKE SA的过程的消息中包含用于建立所述IKE SA的参数，还包含用于建立所述IPsec SA的参数。

2.如权利要求1所述的方法，其特征在于，

所述第一接入设备与所述第二接入设备具有接入标识；

所述接入标识包括以下之一或任意组合：IP地址、或电话号码、或统一资源标识、或域名。

3.如权利要求1所述的方法，其特征在于，

所述第一接入设备与所述第二接入设备建立的所述IPsec SA中的密钥通过迪菲-赫尔曼密钥协商机制Diffie-Hellman协商与派生。

4.如权利要求1所述的方法，其特征在于，

所述维护IPsec SA的过程，包括：IPsec SA更新、IPsec SA删除、以及接入设备IP地址变化通知。

5.一种实现端到端安全防护的系统，其特征在于，所述系统包括接入网络中的接入设备和安全网关，所述接入设备中包括网络密钥交换协议安全关联IKE SA建立单元和网络协议安全性安全关联IPsec SA建立单元，所述安全网关中包括IKE SA建立模块，其中：

所述IKE SA建立单元用于，与本接入网络中的安全网关建立IKE SA；

所述IKE SA建立模块用于，与本接入网络中的接入设备、或者与其他接入网络中的安全网关建立IKE SA；

所述IPsec SA建立单元用于，与本接入网络或者其他接入网络中的其他接入设备建立并维护IPsec SA，且所述IPsec SA的建立与维护过程受建立的IKE SA安全保护；用于在与所述其他接入设备发起建立所述IPsec SA时，如果与本接入网络中的安全网关已建立IKE SA，则基于建立的所述IKE SA建立所述IPsec SA；如果与本接入网络中的安全网关还未建立IKE SA，则同时进行建立IKE SA及所述IPsec SA的过程，且在建立所述IKE SA的过程的消息中包含用于建立所述IKE SA的参数，还包含用于建立所述IPsec SA的参数。

6.如权利要求5所述的系统，其特征在于，

所述IPsec SA建立单元维护IPsec SA的过程，包括：IPsec SA更新、IPsec SA删除、以及接入设备IP地址变化通知。

7.如权利要求5所述的系统，其特征在于，

所述IPsec SA建立单元建立的所述IPsec SA中的密钥通过迪菲-赫尔曼密钥协商机制协商与派生。

8.一种实现端到端安全防护的安全网关，其特征在于，所述安全网关包括IKE SA建立模块，

所述IKE SA建立模块用于，与本接入网络中的接入设备、或者与其他接入网络中的安全网关建立IKE SA；

其中，所述IKE SA建立模块具体用于：

分别与本接入网络中的第一接入设备和第二接入设备建立IKE SA，对所述第一接入设备和所述第二接入设备之间建立并维护的IPsec SA进行安全保护；安全网关与本接入网络中的第一接入设备和第二接入设备建立IKE SA的过程，在所述第一接入设备与所述第二接入设备建立IPsec SA的过程之前、或者与所述第一接入设备与所述第二接入设备建立IPsec SA的过程同时进行；当建立IKE SA的过程与所述建立IPsec SA的过程同时进行时，在建立所述IKE SA的过程的消息中包含用于建立所述IKE SA的参数，还包含用于建立所述IPsec SA的参数；

或者，分别与本接入网络中的第一接入设备、以及其他接入网络中的安全网关建立IKE SA，对所述第一接入设备和所述其他接入网络中的第二接入设备之间建立并维护的IPsec SA进行安全保护；安全网关与第一接入设备和安全网关与其他接入网络中的安全网关建立IKE SA的过程，在所述第一接入设备与所述第二接入设备建立IPsec SA的过程之前、或者与所述第一接入设备与所述第二接入设备建立IPsec SA的过程同时进行；当建立IKE SA的过程与所述建立IPsec SA的过程同时进行时，在建立所述IKE SA的过程的消息中包含用于建立所述IKE SA的参数，还包含用于建立所述IPsec SA的参数。