[发明专利]一种快速检测IPSec对等体失效的方法及系统

说明书

本发明涉及互联网领域ip安全协议，其公开了一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。该方法包括以下步骤：A.两端IPSec对等体之间建立IPSec隧道；B.每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤C，否则，进入步骤D；C.维持该IPSec隧道存活，正常收发报文，返回步骤B；D.拆除该IPSec隧道，删除相关SA和注入路由。本发明适用于通信网络中快速故障检测。

技术领域

本发明涉及互联网领域IP安全协议，具体涉及一种快速检测IPSec(IP协议安全)对等体失效的系统及方法。

背景技术

目前IPSec作为一种安全的VPN(虚拟专用网络)技术在企业中得到广泛应用。通过静态配置或者动态协商加密算法、秘钥等安全参数建立一条具有安全性的VPN隧道。

若网络中对于同一条流，存在两条IPSec隧道，当主用隧道断开，流量将切换到备用隧道，实现切换的前提是设备能快速检测对等体失效。

在传统技术中，检测对等体失效主要依靠DPD(对等体存活检测)方式，即向对等体发送检测报文，如果在一定时间内没有得到回应，则认为对等体失效。该技术解决了无法感知IPSec对等体状态的问题，但需要在链路上增加报文的收发，而且当出现故障时仍然需要一定时间才能感知到对等体失效。

作为DPD的补充，人们还提出了其他的一些检测方法，如通过构造特殊的检测报文，从而使对等体不仅能感知对端IKE SA(因特网密钥交换安全联盟)状态，还能感知IPSecSA状态，其特点如DPD，也需要在链路上传送报文；此外，还有通过出接口状态来判断对等体状态的方法，此方法不需要在链路上增加报文收发，但检测范围非常有限，譬如直连链路没有故障但整个传输路径中有故障时，此方法就无法感知对等体已失效。

发明内容

本发明所要解决的技术问题是：提出一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。

本发明解决其技术问题所采用的技术方案是：一种快速检测IPSec对等体失效的方法，包括以下步骤：

A.两端IPSec对等体之间建立IPSec隧道；

B.每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤C，否则，进入步骤D；

C.维持当前IPSec隧道存活，正常收发报文，返回步骤B；

D.拆除当前IPSec隧道，删除与该IPSec隧道关联的SA和注入路由。

进一步，步骤A中，所述两端IPSec对等体之间建立IPSec隧道包括：

两端IPSec对等体协商建立至少两条IPSec隧道，并选择其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。

进一步，步骤B中，所述每当路由表有更新时，进行一次路由匹配包括：

每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。

进一步，该方法还包括步骤：

E.将备份隧道作为两端IPSec对等体的当前IPSec隧道。

此外，本发明的另一目的还在于提供一种快速检测IPSec对等体失效的系统，其包括：

IPSec隧道建立模块，用于与对等体对端之间建立IPSec隧道；