[发明专利]一种MPLS-TP中伪线加密方法

权利要求书

1.一种MPLS-TP中伪线加密方法，其特征在于，包括以下步骤：

S100：在两个PE设备之间建立伪线PW；

S200：在伪线PW上建立关联通道IKE-Channel；

S300：在关联通道IKE-Channel上传输IKE协商报文，通过IKE协商生成安全联盟参数SEC SA；

S400：在伪线PW上建立关联通道SEC-Channel；

S500：用SEC SA中协商的算法和密钥，进行伪线上业务报文的加密和完整性验证，在关联通道SEC-Channel上传输加密报文。

2.根据权利要求1所述的MPLS-TP中伪线加密方法，其特征在于：所述步骤S100中的伪线PW为静态配置的伪线，或者协议动态建立的伪线。

3.根据权利要求1所述的MPLS-TP中伪线加密方法，其特征在于：所述步骤S200包括：

S201：IKE-Channel作为IKE协议交互通道，使用PW-ACH格式定义伪线的关联通道封装格式；

S202：IKE-Channel上传输报文的完整封装格式从底层到外层依次是：外层MPLS标签、内层MPLS标签、PW-ACH头、IP头、UDP头、ISAKMP头和ISAKMP载荷，其中IP头的地址为两端PE设备的接口地址或loopback地址。

4.根据权利要求1所述的MPLS-TP中伪线加密方法，其特征在于步骤S300包括以下步骤：

S301：两端PE分别作为IKE的发起端和响应端，进行IKE协商；

S302：IKE协议版本支持IKEv1、IKEv2、IKE国密、IKE量子四种协议版本中的任何一种；

S303：PE发出的IKE报文，按照PW-ACH格式封装；

S304：PE收到的IKE报文，按照PW-ACH格式解封装；

S305：PE发出和收到IKE报文，由IKE软件模块进行处理，完成密钥交换以及生成安全联盟参数SEC SA；

S306：两端PE按照固定的周期，通过IKE重协商，更新SEC SA中的密钥，以保证长期的安全性。

5.根据权利要求1所述的MPLS-TP中伪线加密方法，其特征在于步骤S400包括以下步骤：

S401：SEC-Channel作为业务报文的传输通道，使用PW-ACH格式定义伪线的关联通道封装格式；

S402：SEC-Channel上传输报文的完整封装格式从底层到外层依次是：外层MPLS标签、内层MPLS标签、PW-ACH头、ESP头或AH头、报文密文或明文、ESP尾。

6.根据权利要求1所述的MPLS-TP中伪线加密方法，其特征在于步骤S500包括以下步骤：

S501：两端PE同时作为加密端和解密端，分别按照SEC SA中协商的算法和密钥，对伪线承载的业务报文进行加解密和完整性验证；

S502：加解密支持ESP和AH两种封装格式，前者可对报文进行加密和完整性验证，后者只对报文进行完整性验证；

S503：PE发出的ESP或AH报文，按照PW-ACH格式封装；

S504：PE收到的ESP或AH报文，按照PW-ACH格式解封装；

S505：PE发出和收到ESP或AH报文，由系统的加解密模块进行处理。

7.根据权利要求3所述的MPLS-TP中伪线加密方法，其特征在于，步骤S201中IKE-Channel的Channel Type的值为99。

8.根据权利要求5所述的MPLS-TP中伪线加密方法，其特征在于，步骤S401SEC-Channel作为业务报文的传输通道，使用PW-ACH格式定义伪线的关联通道封装格式，SEC-Channel的Channel Type的值为50和51，分别表示ESP和AH封装格式。