[发明专利]建立互联网协议安全性隧道的方法和网关设备

说明书

本发明实施例提供了一种建立互联网安全性隧道的方法和网关设备，包括：网关设备根据IPsec配置信息中的IPsec隧道目的地址，在路由表中查找得到目的地址为IPsec隧道目的地址的第一路由；在路由表中查找得到与第一路由相对应的网关设备上的第一出接口；建立以第一出接口的IP地址为源地址，以IPsec隧道目的地址为目的地址的第一GRE隧道；通过第一GRE隧道，将IPsec隧道配置信息中的IPsec隧道源地址发布给对端设备，与对端设备通过第一GRE隧道建立以IPsec隧道源地址为源地址，以IPsec隧道目的地址为目的地址的IPsec隧道。能够自动支持多出口的扩展，降低IPsec隧道支持多出口的配置门槛。

技术领域

本发明实施例涉及网络通信技术领域，尤其涉及建立互联网协议安全性隧道的方法和网关设备。

背景技术

随着公司规模的不断壮大，越来越多的企业开始向异地甚至海外拓展业务，并设置分支机构。如何以较低的成本实现各个分支机构之间的安全沟通、资源共享以及统一运营管理是各大公司和厂商们面临的突出问题。为此虚拟私有网络(Virtual PrivateNetwork，简称为“VPN”)技术应运而生，它能利用廉价的公有网络比如互联网(Internet)作为传输媒介，通过加密、封装等技术帮助企业的不同分支机构之间或分支结构和总部之间建立安全可靠的连接，实现安全沟通，资源共享的目的。

Internet协议安全性(Internet Protocol Security，简称为“IPsec”)作为一种三层VPN技术，可以通过加密和验证等方式为IP数据包的传输提供端到端的安全服务。

集成VPN功能的防火墙部署在分支机构所在的企业出口的时候，出于冗余安全的考虑，常常会连接到多个不同运营商的网络，分别通过多个不同的运营商的网络与总部的企业网络连接，比如分别通过联通和电信进行连接，当联通网络出问题的时候，可以走电信的网络，保证业务不中断。不同的运营商之间的IP是相互隔离的，这样一来分布在不同地方的企业网络之间建立Ipsec就会面临多出口的情况。

现有技术中的分支机构的防火墙用不同的运营商配置的IP地址与总部建立IPsec隧道，之后配置引流路径。在需要新增加出口时，需要在增加的出接口上配置新的IPsec隧道。现有技术的方案的扩展性较差。

发明内容

本申请提供了一种建立互联网协议安全性IPsec隧道的方法和网关设备，能够自动支持多出口的扩展，降低IPsec隧道支持多出口的配置门槛。

第一方面，提供了一种建立互联网协议安全性IPsec隧道的方法，包括：网关设备根据IPsece配置信息中包含的IPsec隧道目的地址，在路由表中查找得到目的地址为该IPsec隧道目的地址的第一路由，该IPsec隧道目的地址为对端设备的互联网协议IP地址；该网关设备在该路由表中查找得到与该第一路由相对应的该网关设备上的第一出接口；该网关设备根据该第一出接口的IP地址和该IPsec隧道目的地址，建立以该第一出接口的IP地址为源地址，以该IPsec隧道目的地址为目的地址的第一通用路由协议封装GRE隧道；该网关设备通过该第一GRE隧道，将该IPsec隧道配置信息中包含的IPsec隧道源地址发布给该对端设备，该IPsec隧道源地址为该网关设备的IP地址；该网关设备与该对端设备通过该第一GRE隧道建立以该IPsec隧道源地址为源地址，以该IPsec隧道目的地址为目的地址的IPsec隧道。