[发明专利]IPSec隧道建立方法及装置、分支设备、中心端设备

说明书

本申请提供一种IPSec隧道建立方法及装置、分支设备、中心端设备，应用于计算机网络领域，当Spoke向Hub发送第一IPSec协商报文以建立IPSec隧道时，Hub若判断第一IPSec协商报文对应的五元组与已建立的IPSec隧道对应的五元组存在冲突，则Hub可以告知Spoke将初始协议值修改为修改协议值，以利用第二IPSec协商报文再次与Hub建立IPSec隧道。因此，在IPSec隧道的建立过程出现冲突时，通过修改五元组中协议值的方式，得到与已建立的IPSec隧道对应的五元组不冲突的五元组，从而成功建立Spoke与Hub之间的IPSec隧道。

技术领域

本申请涉及计算机网络领域，具体而言，涉及一种IPSec隧道建立方法及装置、分支设备、中心端设备。

背景技术

互联网线路上一般都有网络地址转换(Network Address Translation，NAT)，在建立动态虚拟私有网络技术(Dynamic Virtual Private Network，DVPN)的过程中，DVPN网络中的分支设备Spoke一般接入互联网链路的接口的互联网协议地址(Internet ProtocolAddress，IP地址)为一个私网地址，而DVPN网络中的中心端设备Hub一般接入互联网接链路的接口的IP地址为公网地址。

在建立DVPN的基础上，可以使用互联网安全协议(Internet Protocol Security，IPSec)来保证数据传输的安全，也就是说，所有路由到DVPN隧道接口的报文都可以被IPsec保护，即实现了DVPN over IPsec。

由于DVPN封装后的报文中只有IP头信息，没有端口信息，而IPSec的数据流使用的五元组包括源IP地址、目的IP地址、协议值、源端口以及目的端口，此外，还可能出现多个Spoke的IP地址在访问Hub时被NAT成同一个IP地址。这样，在建立DVPN over IPsec时，Hub对应的多个Spoke的五元组可能一样，从而导致IPSec隧道的建立过程出现冲突。

发明内容

本申请实施例的目的在于提供一种IPSec隧道建立方法及装置、分支设备、中心端设备，用以解决IPSec隧道的建立过程出现冲突的技术问题。

为了实现上述目的，本申请实施例所提供的技术方案如下所示：

第一方面，本申请实施例提供一种IPSec隧道建立方法，应用于分支设备Spoke，包括：向中心端设备Hub发送第一IPSec协商报文；其中，所述第一IPSec协商报文的五元组中携带的协议值为初始协议值；若所述第一IPSec协商报文对应的五元组与已建立的IPSec隧道对应的五元组存在冲突，接收所述Hub根据所述第一IPSec协商报文返回的第一响应报文；其中，所述第一响应报文包括修改协议值；根据所述第一响应报文将所述初始协议值修改为所述修改协议值；向所述Hub发送第二IPSec协商报文；其中，所述第二IPSec协商报文的五元组中携带的协议值为所述修改协议值；接收所述Hub根据所述第二IPSec协商报文返回的第二响应报文；根据所述第二响应报文建立与所述Hub之间的IPSec隧道。在上述方案中，当Spoke向Hub发送第一IPSec协商报文以建立IPSec隧道时，Hub若判断第一IPSec协商报文对应的五元组与已建立的IPSec隧道对应的五元组存在冲突，则Hub可以告知Spoke将初始协议值修改为修改协议值，得到与第一IPSec协商报文对应的五元组不同的与第二IPSec协商报文对应的五元组，以利用第二IPSec协商报文再次与Hub建立IPSec隧道。因此，在IPSec隧道的建立过程出现冲突时，通过修改五元组中协议值的方式，得到与已建立的IPSec隧道对应的五元组不冲突的五元组，从而成功建立Spoke与Hub之间的IPSec隧道。