[发明专利]IPSec隧道建立方法及装置、分支设备、中心端设备

权利要求书

1.一种IPSec隧道建立方法，其特征在于，应用于分支设备Spoke，包括：

向中心端设备Hub发送第一IPSec协商报文；其中，所述第一IPSec协商报文的五元组中携带的协议值为初始协议值；

若所述第一IPSec协商报文对应的五元组与已建立的IPSec隧道对应的五元组相同，接收所述Hub根据所述第一IPSec协商报文返回的第一响应报文；其中，所述第一响应报文包括修改协议值；

根据所述第一响应报文将所述初始协议值修改为所述修改协议值；

向所述Hub发送第二IPSec协商报文；其中，所述第二IPSec协商报文的五元组中携带的协议值为所述修改协议值；

接收所述Hub根据所述第二IPSec协商报文返回的第二响应报文；

根据所述第二响应报文建立与所述Hub之间的IPSec隧道。

2.根据权利要求1所述的IPSec隧道建立方法，其特征在于，所述方法还包括：

在建立所述IPSec隧道后，向所述Hub发送DVPN协商报文；

接收所述Hub根据所述DVPN协商报文返回的第三响应报文；

根据所述第三响应报文建立与所述Hub之间的DVPN隧道。

3.一种IPSec隧道建立方法，其特征在于，应用于中心端设备Hub，包括：

接收分支设备Spoke发送的第一IPSec协商报文；其中，所述第一IPSec协商报文的五元组中携带的协议值为初始协议值；

判断所述第一IPSec协商报文对应的五元组与已建立的IPSec隧道对应的五元组是否存在冲突；

若所述第一IPSec协商报文对应的五元组与所述已建立的IPSec隧道对应的五元组存在冲突，则获取修改协议值，并根据所述第一IPSec协商报文生成第一响应报文；其中，所述第一响应报文包括所述修改协议值；

向所述Spoke发送所述第一响应报文，并接收所述Spoke发送的第二IPSec协商报文；其中，所述第二IPSec协商报文的五元组中携带的协议值为所述修改协议值；

根据所述第二IPSec协商报文生成第二响应报文，并向所述Spoke发送所述第二响应报文，以使所述Spoke根据所述第二响应报文建立与所述Hub之间的IPSec隧道；

所述判断所述第一IPSec协商报文对应的五元组与已建立的IPSec隧道对应的五元组是否存在冲突，包括：

判断所述第一IPSec协商报文对应的五元组与所述已建立的IPSec隧道对应的五元组是否相同，若相同，则存在冲突，若不相同，则不存在冲突。

4.根据权利要求3所述的IPSec隧道建立方法，其特征在于，所述方法还包括：

在建立所述IPSec隧道后，接收所述Spoke发送的DVPN协商报文；

根据所述DVPN协商报文生成DVPN隧道对应的关联表项以及第三响应报文；其中，所述关联表项包括所述修改协议值；

向所述Spoke发送所述第三响应报文，以使所述Spoke根据所述第三响应报文建立与所述Hub之间的所述DVPN隧道。

5.根据权利要求4所述的IPSec隧道建立方法，其特征在于，所述方法还包括：

在建立所述DVPN隧道之后，接收原始数据报文；

通过所述DVPN隧道对所述原始数据报文进行封装，得到DVPN隧道封装后的GRE报文；其中，所述GRE报文包括所述修改协议值；

根据所述修改协议值所在的五元组查找所述IPSec隧道对应的IPSec安全策略；

利用所述IPSec安全策略对所述GRE报文进行封装，得到封装后的IPsec报文；其中，所述IPsec报文包括所述初始协议值；

向所述Spoke发送所述IPsec报文。