[发明专利]安全联盟协商方法、装置及网络设备

说明书

技术领域

本发明涉及通信技术，尤其涉及一种安全联盟协商方法、装置及网络设备。

背景技术

互联网密钥交换（Internet Key Exchange，简称为IKE）是一种密钥管理协议标准，需要和因特网安全协议（Internet Protocol Security，简称为IPSec）一起使用。IPSec负责在互联网协议（Internet Protocol，简称为IP）层提供安全服务，使系统能按需选择安全协议，决定服务所使用的算法及放置需求服务所需密钥到相应位置等。安全联盟（Security Association，简称为SA）主要负责为特定数据流提供安全服务的逻辑连接。目前，SA主要包括IPSec SA和IKE SA，一般由对端协商建立。IPSec SA和IKE SA都有生命周期（lifetime），通常IKE SA的生命周期远大于IPSec SA的生命周期。

死亡对端检测（Dead Peer Detection，简称为DPD）是一种用于检测IPSec对端是否存在以及是否可通信的方法。在现有使用DPD技术的方案中，DPD在IKE SA协商完成后启动，定时发送DPD探测报文探测对端是否存在，即DPD同IKE SA进行关联，只有IKE SA存在的情况下DPD机制才能生效。由于IKE SA在生命周期结束后不会自动重建，这样当IKE SA的生命周期结束后，与IKE SA关联的DPD机制失效，这时如果IPSec SA的生命周期还未结束，那么在IPSEC SA剩余的生命周期内，将无法通过DPD机制探测对到对端隧道的状态，如果对端隧道不存在而本端无法感知，就会导致隧道黑洞。

发明内容

本发明提供一种安全联盟协商方法、装置及网络设备，用以解决现有技术中存在隧道黑洞的问题。

第一方面提供一种安全联盟协商方法，包括：

当第一IPSec SA的实际软超时时间到达时，与对端协商建立第二IPSec SA，并在协商确定的所述第二IPSec SA的硬超时时间晚于IKE SA的超时时间时，设置所述第二IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和第一阈值之和之间，以及设置所述第二IPSec SA的实际硬超时时间为所述第二IPSec SA的实际软超时时间与第二阈值之和；其中，如果协商确定的所述第一IPSec SA的硬超时时间晚于所述IKE SA的超时时间，所述第一IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和所述第一阈值之和之间，且所述第一IPSec SA的实际硬超时时间为所述第一IPSec SA的实际软超时时间与所述第二阈值之和；

当所述第一IPSec SA的实际硬超时时间到达时，删除所述第一IPSec SA。

第二方面提供一种安全联盟协商装置，包括：

建立模块，用于在第一IPSec SA的实际软超时时间到达时，与对端协商建立第二IPSec SA；

设置模块，用于在协商确定的所述第二IPSec SA的硬超时时间晚于IKE SA的超时时间时，设置所述第二IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和第一阈值之和之间，并设置所述第二IPSec SA的实际硬超时时间为所述第二IPSec SA的实际软超时时间与第二阈值之和；其中，如果协商确定的所述第一IPSec SA的硬超时时间晚于所述IKE SA的超时时间，所述第一IPSec SA的实际软超时时间位于所述IKE SA的超时时间与所述IKE SA的超时时间和所述第一阈值之和之间，且所述第一IPSec SA的实际硬超时时间为所述第一IPSec SA的实际软超时时间与所述第二阈值之和；

删除模块，用于在所述第一IPSec SA的实际硬超时时间到达时，删除所述第一IPSec SA。

第三方面提供一种网络设备，包括：本发明第二方面提供的任一安全联盟协商装置。