[发明专利]GET VPN中GM向KS注册的方法及GM和KS

权利要求书

1.一种组加密传输虚拟私有网络GET VPN中组成员GM向密钥服务器KS注册的方法，其中，KS管理多个组，属于同一组的多个GM具有相同的组标识ID，该方法包括：GM与KS进行一阶段Internet密钥交换协议IKE协商和二阶段GDOI协商，其特征在于，所述二阶段GDOI协商的方法包括：

KS接收GM向其发送的组ID，以及携带GM本端所支持的安全关联SA策略列表；

KS根据组ID查找到该组对应的KS安全关联策略列表，将所述GM的列表与KS安全关联策略列表根据优先级进行匹配，得到最高优先级的组安全关联策略，保存该组安全关联策略后下发给GM；

KS得到GM的确认后，向GM发送密钥信息。

2.如权利要求1所述的方法，其特征在于，如果KS没有得到组安全关联策略，则将所述KS没有得到组安全关联策略的消息通知GM，接收到通知的GM删除在一阶段IKE协商过程中生成的用于保护二阶段GDOI协商的IKE SA，并终止二阶段GDOI协商。

3.如权利要求1所述的方法，其特征在于，该方法进一步包括：KS保存每个GM向其发送的GM本端所支持的安全关联策略列表。

4.如权利要求3所述的方法，其特征在于，如果组内已经有其他的GM注册上线，则KS保存有一个组安全关联策略；

对于当前上线的GM，该方法进一步包括：KS根据所保存的该GM本端所支持的安全关联策略列表确定该GM是否支持组安全关联策略，如果是，则KS直接将该组安全关联策略下发给当前上线的GM；如果否，则将所述GM的列表与该组对应的KS安全关联策略列表，以及组内其他已经注册上线的GM本端所支持的安全关联策略列表，根据优先级进行匹配，得到组内所有GM都支持的组安全关联策略下发给当前上线的GM。

5.如权利要求4所述的方法，其特征在于，如果KS没有得到组内所有GM都支持的组安全关联策略，则将所述KS没有得到组内所有GM都支持的组安全关联策略的消息通知当前上线的GM。

6.如权利要求4所述的方法，其特征在于，KS得到组内所有GM都支持的组安全关联策略时，更新当前组安全关联策略，并通知组内其他已经注册上线的GM更新组安全关联策略。

7.一种组成员GM，用于在组加密传输虚拟私有网络GET VPN中向密钥服务器KS注册，其中，KS管理多个组，属于同一组的多个GM具有相同的组标识ID，该GM包括：

保存单元，用于保存该GM本端所支持的安全关联SA策略列表；还用于保存从KS得到的组安全关联策略和密钥信息。

发送单元，用于将该GM所在的组ID，以及保存单元中的该GM本端所支持的安全关联策略列表发送给KS；

确认单元，用于根据KS向其下发的组安全关联策略进行确认，并发送确认消息给KS。

8.如权利要求7所述的GM，其特征在于，所述GM进一步包括：

接收处理单元，用于接收KS下发的没有得到组安全关联策略的通知消息，并删除在一阶段Internet密钥交换协议IKE协商过程中生成的用于保护二阶段GDOI协商的IKE SA，终止二阶段GDOI协商；还用于接收KS下发的更新组安全关联策略的通知消息，并更新自身保存的组安全关联策略。

9.一种密钥服务器KS，用于在组加密传输虚拟私有网络GET VPN中组成员GM向其注册，其中，KS管理多个组，属于同一组的多个GM具有相同的组标识ID，该KS包括：

接收单元，用于接收GM向其发送的该GM所在的组ID，以及该GM本端所支持的安全关联SA策略列表；还用于接收GM向其发送的确认消息；

保存单元，用于保存每个组对应的KS安全关联策略列表；还用于保存接收单元接收的GM本端所支持的安全关联策略列表；还用于保存从处理单元得到的组安全关联策略；

处理单元，用于根据该GM对应的组ID，查找到该组对应的KS安全关联策略列表，将所述GM的列表与该组对应的KS安全关联策略列表根据优先级进行匹配，得到最高优先级的组安全关联策略，并将该组安全关联策略发送给保存单元和发送单元；

发送单元，用于将得到的组安全关联策略发送给GM；还用于在接收到GM向其发送的确认消息后，向GM发送密钥信息。