[发明专利]新旧IPSEC隧道切换的方法

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种新旧IPSEC隧道切换的方法。

背景技术

因特网密钥交换协议IKE在协商的过程中，会生成一级隧道和二级隧道，通常把一级隧道叫IKE隧道，二级隧道叫Internet协议安全性（IPSEC）隧道。由于一直采用同一条IPSEC隧道进行数据传输，会导致其数据加密规则容易被黑客破译，从而导致数据的安全性无法得到有效保证，现有技术中需要通过经常更新IPSEC隧道来提高数据的安全性，但为了保证IPSEC隧道的正常工作，需要在删除旧IPSEC隧道前预设时间（例如：设置预设时间为30秒）内进行IPSEC隧道的重新协商，从而在短时间内具有两条IPSEC隧道共存的现象，一条是重新协商生成的新IPSEC隧道，另一条是旧IPSEC隧道，然而IPSEC隧道存在的个数对网络设备的内存资源、及解密匹配速度有直接关系，当IPSEC隧道越多时，网络设备的整体性能越低。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是：如何缩短新旧IPSEC隧道同时存在的时间，以提高网络设备的整体性能。

（二）技术方案

为解决上述技术问题，本发明提供了一种新旧IPSEC隧道切换的方法，所述方法包括：

S1：当前端向对端发起IPSEC隧道的重新协商，以生成新IPSEC隧道；

S2：所述当前端接收由所述对端发送来的报文后，直接删除旧IPSEC隧道，再通过所述新IPSEC隧道实现与所述对端的数据交互。

其中，步骤S1之前还包括：

S0：所述当前端通过旧IPSEC隧道实现与所述对端的数据交互。

其中，步骤S0和步骤S1之间还包括：

S11：判断所述旧IPSEC隧道是否已经传输了预设流量的数据，若是，则执行后续步骤。

其中，步骤S0和步骤S1之间还包括：

S12：判断所述旧IPSEC隧道是否已经存在了预设时间，若是，则执行后续步骤。

其中，所述报文为确认报文，步骤S1和步骤S2之间还包括：

S21：所述对端发送确认报文至所述当前端。

其中，所述报文为数据报文，步骤S1和步骤S2之间还包括：

S22：所述对端发送数据报文至所述当前端，所述数据报文通过所述新IPSEC隧道的加密规则进行加密。

其中，步骤S2中接收到所述数据报文后，还包括：

判断所述当前端是否能解密所述数据报文，若是，则执行后续步骤。

（三）有益效果

本发明在重新协商完成、且当前端接收由所述对端发送来的报文后，直接删除旧IPSEC隧道，缩短了新旧IPSEC隧道同时存在的时间，提升了网络设备的整体性能。

附图说明

图1是按照本发明一种实施方式的新旧IPSEC隧道切换的方法的流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

图1是按照本发明一种实施方式的新旧IPSEC隧道切换的方法的流程图；参照图1，所述方法包括：

S1：当前端向对端发起IPSEC隧道的重新协商，以生成新IPSEC隧道；

S2：所述当前端接收由所述对端发送来的报文后，直接删除旧IPSEC隧道，再通过所述新IPSEC隧道实现与所述对端的数据交互。

本发明直接判断新IPSEC隧道是否能够对接收的数据报文进行解密，若能够解密，则直接删除旧IPSEC隧道，而不像现有技术需要在预设时间后才删除IPSEC隧道，因此缩短了新旧IPSEC隧道同时存在的时间，提升了网络设备的整体性能。

另外，现有技术中需要通过定时器来触发旧IPSEC隧道的删除，由于定时器也需要消耗网络设备中一定的内存资源，导致网络设备的整体性能进一步降低，而本发明的方法并不是采用定时器来触发旧IPSEC隧道的删除，因此，减少了网络设备中定时器的注册量，使得网络设备的整体性能进一步得到提升。

优选地，步骤S1之前还包括：

S0：通过旧IPSEC隧道实现当前端和对端之间的数据交互。

为保证当前端和对端之间数据传输的安全性，优选地，步骤S0和步骤S1之间还包括：

S11：判断所述旧IPSEC隧道是否已经传输了预设流量的数据，若是，则执行后续步骤。

为保证当前端和对端之间数据传输的安全性，优选地，步骤S0和步骤S1之间还包括：