[发明专利]安全联盟协商方法、装置及网络设备

权利要求书

1.一种安全联盟协商方法，其特征在于，包括：

当第一IPSec SA的实际软超时时间到达时，与对端协商建立第二IPSec SA，并在协商确定的所述第二IPSec SA的硬超时时间晚于IKE SA的超时时间时，设置所述第二IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和第一阈值之和之间，以及设置所述第二IPSec SA的实际硬超时时间为所述第二IPSec SA的实际软超时时间与第二阈值之和；其中，如果协商确定的所述第一IPSec SA的硬超时时间晚于所述IKE SA的超时时间，所述第一IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和所述第一阈值之和之间，且所述第一IPSec SA的实际硬超时时间为所述第一IPSec SA的实际软超时时间与所述第二阈值之和；

当所述第一IPSec SA的实际硬超时时间到达时，删除所述第一IPSec SA。

2.根据权利要求1所述的方法，其特征在于，还包括：

在与所述对端协商建立所述第二IPSec SA时，若协商确定的所述第二IPSec SA的硬超时时间早于所述IKE SA的超时时间时，则设置所述第二IPSec SA的实际软超时时间为协商确定的值，并设置所述第二IPSec SA的实际硬超时时间为所述第二IPSec SA的实际软超时时间与所述第二阈值之和。

3.根据权利要求1或2所述的方法，其特征在于，在与对端协商建立第二IPSec SA之前包括：

与所述对端协商建立所述第一IPSec SA，并在协商确定的所述第一IPSec SA的硬超时时间晚于所述IKE SA的超时时间时，设置所述第一IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和所述第一阈值之和之间，以及设置所述第一IPSec SA的实际硬超时时间为所述第一IPSec SA的实际软超时时间与所述第二阈值之和。

4.根据权利要求1或2所述的方法，其特征在于，所述与对端协商建立第二IPSec SA包括：

确定所述IKE SA是否存在；

如果确定结果为存在，则直接与所述对端协商建立所述第二IPSec SA；

如果确定结果为不存在，则先与所述对端协商建立所述IKE SA，再与所述对端协商建立所述第二IPSec SA。

5.根据权利要求1或2所述的方法，其特征在于，删除所述第一IPSec SA之后包括：

将所述第二IPSec SA重新作为第一IPSec SA。

6.根据权利要求1或2所述的方法，其特征在于，所述第一阈值大于等于1秒小于等于5秒；所述第二阈值大于等于30秒小于等于45秒。

7.一种安全联盟协商装置，其特征在于，包括：

建立模块，用于在第一IPSec SA的实际软超时时间到达时，与对端协商建立第二IPSec SA；

设置模块，用于在协商确定的所述第二IPSec SA的硬超时时间晚于IKE SA的超时时间时，设置所述第二IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和第一阈值之和之间，并设置所述第二IPSec SA的实际硬超时时间为所述第二IPSec SA的实际软超时时间与第二阈值之和；其中，如果协商确定的所述第一IPSec SA的硬超时时间晚于所述IKE SA的超时时间，所述第一IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和所述第一阈值之和之间，且所述第一IPSec SA的实际硬超时时间为所述第一IPSec SA的实际软超时时间与所述第二阈值之和；

删除模块，用于在所述第一IPSec SA的实际硬超时时间到达时，删除所述第一IPSec SA。

8.根据权利要求7所述的装置，其特征在于，所述设置模块还用于在协商确定的所述第二IPSec SA的硬超时时间早于所述IKE SA的超时时间时，设置所述第二IPSec SA的实际软超时时间为协商确定的值，并设置所述第二IPSec SA的实际硬超时时间为所述第二IPSec SA的实际软超时时间与所述第二阈值之和。