[发明专利]一种基于提议组的IPSec VPN隧道的通信方法及装置

说明书

本发明的实施例公开了一种基于提议组的IPSec VPN隧道的通信方法及装置，在欲创建IPSec VPN隧道的设备中配置用于协商建立IPSec SA的提议组。在创建IPSec VPN隧道的过程中，在协商建立第二阶段的IPSec SA的过程中，只要发起端配置的提议组中存在某一提议与响应端配置的提议组中的某一提议相同，便可在发起端和响应端协商建立IPSec SA。这种在设备上配置提议组的方法，相对于在设备上仅配置一个提议的方法，大大提高了协商建立IPSec SA的成功率。使得在两端都约定好配置的提议范围内，提议组的内容选项更多，简化了配置，使得二阶段的协商过程具有更高的灵活性，也大大提高了组网灵活性。

技术领域

本发明涉及VPN通信技术领域，尤其是涉及一种基于提议组的IPSec VPN隧道的通信方法及装置。

背景技术

IPSec(IP Security)协议产生于IPv6的制定之中，是一种开放标准的框架结构，通过使用加密的安全服务以确保在Internet协议(IP)网络上进行保密而安全的通讯。在IPSec协议中包括一个密钥管理协议，该协议称为Internet密钥交换协议IKE，可以动态认证IPSec对等体，协商安全服务，并自动生成共享密钥。安全联盟SA记录每条IP安全通路的策略和策略参数，SA是IPSec的基础,是通信双方建立的一种协定，决定了用来保护数据包的协议、转码方式、密钥以及密钥有效期等。

IPSec VPN是采用IPSec协议来实现远程接入的一种VPN(Virtual PrivateNetwork，虚拟专用网络)技术。建立用于通信的IPSec VPN隧道需要经过两个阶段的协商，即一阶段的IKE SA和二阶段的IPSec SA。在协商建立IPSec VPN隧道的过程中，在完成了一阶段的IKE SA的协商后，只有发起端配置的协商IPSec SA的提议与响应端配置的协商IPSec SA的提议为同一提议且保护数据流也相匹配(例如，发起端源目的是1.1.1.0-2.2.2.0/24，那么响应端源目的是2.2.2.0-1.1.1.0/24)时，才能通过该提议协商建立二阶段的IPSec SA，从而在发起端和响应端建立IPSec VPN隧道，尤其是在组网配置的过程中，必须组网协商建立同一通信隧道，固化了组网的整体配置，使得配置复杂化，组网不够灵活。例如，中心组网(3个发起端对应1个响应端)，响应端的ipsec提议如果配置了esp协议，那么三个发起端的ipsec提议都必须是esp协议的报文，否则就建立失败。这样就使得组网不够灵活。

在实际应用过程中，发明人发现在创建IPSec VPN隧道的过程中，二阶段的协商过程只有在两端配置的提议和保护数据流完全匹配的情况下才能建立IPsec SA，导致二阶段的协商过程灵活性较差，组网配置不灵活。

发明内容

本发明实施例提供一种基于提议组的IPSec VPN隧道的通信方法及装置，用以解决现有技术中在创建IPSec VPN隧道的过程中，二阶段的协商过程只有在两端配置的提议和保护数据流完全匹配的情况下才能建立IPsec SA，导致二阶段的协商过程灵活性较差，组网配置不灵活的问题。

针对以上技术问题，本发明的实施例提供了一种基于提议组的IPSec VPN隧道的通信方法，包括：

在创建与响应端进行通信的IPSec VPN隧道的过程中，判断是否与所述响应端协商建立了IKE SA；

若与所述响应端协商建立了IKE SA，则从配置的提议组中选择用于与所述响应端协商建立IPSec SA的第一提议；

将所述第一提议发送到所述响应端，以与所述响应端建立所述IPSec VPN隧道。

本发明的实施例提供了一种基于提议组的IPSec VPN隧道的通信装置，包括：

判断模块，用于在创建与响应端进行通信的IPSec VPN隧道的过程中，判断是否与所述响应端协商建立了IKE SA；