[发明专利]一种解决IKE重复协商的方法

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种解决IKE重复协商的方法。

背景技术

正常建立ipsec隧道的流程是，一端防火墙设备作为主动发起端，发送第一个IKE协商报文，另一端防火墙设备接收到此报文后进行回复，此时另一端防火墙设备自然就作为被动协商端的角色，此时经过几次协商之后就建立起了ipsec隧道，但当两端都作为主动协商端进行第一个报文发送时，就会出现两台防火墙设备既作为主动发起端，又作为了了被动协商端，建立了两条IKE sa隧道，这种现象在网络震荡中由于中间网络设备异常断开，此时两台ipsec设备都不断地发送主动协商报文，然后中间网络设备又恢复了，此时两端防火墙设备就都会得到对端发送的主动协商IKE报文，当前设备往往无法处理此种情况从而创建两条重复的IKE sa隧道，浪费整机最大IKE sa数，并且增加整机的IKE sa状态维护负担。

发明内容

(一)要解决的技术问题

本发明要解决的是解决网络通信中由于两端防火墙设备同时发送主动协商报文从而建立两条IKE sa隧道，造成的浪费整机IKE sa数量，增加整机的IKE sa状态维护负担的问题。

(二)技术方案

为解决上述技术问题，本发明提供了一种的方法，其特征在于包括以下步骤：

S1：第一防火墙设备和第二防火墙设备同时向对端发送主动协商报文，第一防火墙设备和第二防火墙设备均被配置为使用IP地址值较大的作为协商IKE角色冲突时的主动放弃主动角色端，若第一防火墙设备一端的IP地址值较大，则执行步骤S2，否则执行步骤S3；

S2：若所述第一防火墙设备一端的IP地址值较大，则保留作为主动发起协商端，第二防火墙设备一端作为响应端，放弃第一防火墙设备作为响应端，放弃第二防火墙设备作为主动发起协商端；

S3：若所述第二防火墙设备一端的IP地址值较大，则保留第二防火墙设备一端作为主动发起协商端，第一防火墙设备一端作为响应端，此时放弃第二防火墙设备作为响应端，放弃第一防火墙设备作为主动发起协商端。(三)有益效果

本发明通过设置一个参数作为优先级，在两台设备中选出一台作为冲突放弃端，另一端作为冲突接收端，从而解决IKE重复协商的问题。本方法简单易行。

具体实施方式

下面对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

本实施方式的方法包括以下步骤：

S1：第一防火墙设备和第二防火墙设备同时向对端发送主动协商报文，第一防火墙设备和第二防火墙设备均被配置为使用IP地址值较大的作为协商IKE角色冲突时的主动放弃主动角色端，若第一防火墙设备一端的IP地址值较大，则执行步骤S2，否则执行步骤S3；

S2：若所述第一防火墙设备一端的IP地址值较大，则保留作为主动发起协商端，第二防火墙设备一端作为响应端，放弃第一防火墙设备作为响应端，放弃第二防火墙设备作为主动发起协商端；

S3：若所述第二防火墙设备一端的IP地址值较大，则保留第二防火墙设备一端作为主动发起协商端，第一防火墙设备一端作为响应端，此时放弃第二防火墙设备作为响应端，放弃第一防火墙设备作为主动发起协商端。

除了通过比较IP值的大小来设定优先级之外，还可以根据需要人为指定一台设备作为冲突的放弃端，另一端设置为冲突接收端，或者根据动态生成的cookie的大小来判断两端哪一台设备放弃主动协商角色。

本发明通过设置一个参数作为优先级，在两台设备中选出一台作为冲突放弃端，另一端作为冲突接收端，从而解决IKE重复协商的问题。本方法具有灵活、简单易行的特点。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。