[发明专利]基于NAT设备的IPSec隧道保活方法和装置

说明书

本申请供一种基于NAT设备的IPSec隧道保活方法及装置，应用于NAT设备中，所述方法包括：获取NAT保活检测周期和IPSec保活检测周期；比较所述NAT保活检测周期与所述IPSec保活检测周期的大小；若所述NAT保活检测周期大于或等于所述IPSec保活检测周期，则停止NAT保活检测，启动IPSec保活检测。应用本申请的实施例，可以减少报文发送，节省NAT设备资源。

技术领域

本申请涉及网络通信技术领域，特别设计一种基于网络地址转换(NetworkAddress Translation，NAT)设备的互联网协议安全(Internet Protocol Security，IPSec)隧道保活方法和装置。

背景技术

虚拟专用网络(Virtual Private Network，VPN)是在公用网络上建立专用网络，进行加密通信。NAT可以让那些使用专用地址的VPN连接到互联网或其它互联网协议(Internet Protocol，IP)网络上，NAT设备在将专用网络的数据包发送到公用网络时，会根据NAT转换表项在数据包的报头把专用网络的IP地址转换成公用网络的IP地址，从而实现专用网络的数据包在公用网络中传输。NAT设备上保存的各个NAT转换表项若在超过设定时段内未被使用，会被删除，被删除的NAT转换表项对应的NAT会话(本端与对端的通话，由源IP地址、源端口、目的IP地址、目的端口、通信协议组成的五元组作为其唯一标识)也会老化，VPN中的设备不能使用该NAT会话通信，可能会引起业务中断等问题，必须要重新建立NAT转换表项和NAT会话才可以通信，因此，NAT设备中需要进行NAT保活检测。

IPSec在IP层提供安全服务，它使系统能按需选择安全协议，决定服务所使用的算法及放置需求服务所需密钥到相应位置，用来保护一条或多条主机与主机间、安全网关与安全网关间、安全网关与主机间的路径。IPSec隧道是网络中两个IPSec实体采用IPSec协议建立起来的虚拟连接通信通道。死亡对端检测(Dead Peer Detection，DPD)用于检测IPSec对端设备是否存在和可通信，通过定期向IPSec对端设备发送DPD探测报文，根据IPSec对端设备是否对DPD探测报文进行回复判断IPSec对端设备是否存在。当判断IPSec对端设备不存在时，就会删除IPSec隧道。

若NAT设备作为IPSec实体与另一个IPSec实体建立了IPSec隧道，由于通过IPSec隧道的报文也需要根据NAT转换表项进行转换，因此，为了确保IPSec隧道正常通信，会同时启动IPSec隧道保活检测和NAT保活检测，这两种保活检测各自发送保活检测报文进行检测，有时可能会发送多余的保活检测报文，占用NAT设备资源。

发明内容

有鉴于此，本申请提供一种基于NAT设备的IPSec隧道保活方法和装置，以解决有时可能会发送多余的保活检测报文，占用NAT设备资源的问题。

具体地，本申请是通过如下技术方案实现的：

一种基于NAT设备的IPSec隧道保活方法，应用于所述NAT设备中，所述方法包括：

获取NAT保活检测周期和IPSec保活检测周期；

比较所述NAT保活检测周期与所述IPSec保活检测周期的大小；

若所述NAT保活检测周期大于或等于所述IPSec保活检测周期，则停止NAT保活检测，启动IPSec保活检测。

一种基于NAT设备的IPSec隧道保活装置，应用于所述NAT设备中，所述装置包括：

获取模块，用于获取NAT保活检测周期和IPSec保活检测周期；

比较模块，用于比较所述NAT保活检测周期与所述IPSec保活检测周期的大小；

处理模块，用于若所述NAT保活检测周期大于或等于所述IPSec保活检测周期，则停止NAT保活检测，启动IPSec保活检测。