[发明专利]一种IKE协商中身份认证的方法及网络设备

权利要求书

1.一种因特网密钥交换IKE协商中双向身份认证的方法，其特征在于，所述方法包括：

第一网络设备接收第二网络设备发送的IKE认证消息，所述IKE认证消息包括所述第二网络设备的身份标识和第一证明消息，所述第一证明信息是根据所述第二网络设备的身份标识和所述第二网络设备保存的预共享密钥确定的；

所述第一网络设备向第三网络设备发送密钥请求消息，所述密钥请求消息包括所述第二网络设备的身份标识；

所述第一网络设备接收所述第三网络设备发送的密钥请求响应消息，根据所述密钥请求响应消息中的预共享密钥对所述第二网络设备进行身份认证，所述预共享密钥对应于所述第二网络设备的身份标识；

所述第一网络设备向所述第二网络设备发送IKE认证响应消息，所述IKE认证响应消息用于向所述第二网络设备证明所述第一网络设备的身份；

所述第一网络设备根据所述密钥请求响应消息中的预共享密钥对所述第二网络设备进行身份认证包括：确定所述第一证明信息与第二证明信息是否相同，如果相同，则对所述第二网络设备的身份认证成功，其中所述第二证明信息根据所述密钥请求响应消息中的预共享密钥和所述第二网络设备的身份标识确定的。

2.如权利要求1所述的方法，其特征在于，所述IKE认证响应消息包括所述第一网络设备的身份标识和第三证明信息，所述第三证明信息是根据所述第一网络设备的身份标识和所述密钥请求响应消息中的预共享密钥确定的。

3.如权利要求1或2所述的方法，其特征在于，所述第一网络设备为网关设备，所述第二网络设备为用户终端。

4.一种第一网络设备，其特征在于，所述第一网络设备包括：

接收单元，用于接收第二网络设备发送的IKE认证消息，所述IKE认证消息包括所述第二网络设备的身份标识和第一证明信息，所述第一证明信息是根据所述第二网络设备的身份标识和所述第二网络设备保存的预共享密钥确定的，以及用于接收第三网络设备发送的密钥请求响应消息；

发送单元，用于响应于接收到所述IKE认证消息，向所述第三网络设备发送密钥请求消息，所述密钥请求消息包括所述第二网络设备的身份标识，以及用于响应于接收到所述密钥请求响应消息，向所述第二网络设备发送IKE认证响应消息，所述IKE认证响应消息用于向所述第二网络设备证明所述第一网络设备的身份；

处理单元，用于根据所述密钥请求响应消息中的预共享密钥对所述第二网络设备进行身份认证，所述预共享密钥对应于所述第二网络设备的身份标识，所述处理单元根据所述密钥请求响应消息中的预共享密钥对所述第二网络设备进行身份认证包括：确定所述第一证明信息与第二证明信息是否相同，如果相同，则对所述第二网络设备的身份认证成功，其中所述第二证明信息是根据所述密钥请求响应消息中的预共享密钥和所述第二网络设备的身份标识确定的。

5.如权利要求4所述的第一网络设备，其特征在于，所述IKE认证响应消息包括所述第一网络设备的身份标识和第三证明信息，所述第三证明信息是根据所述第一网络设备的身份标识和所述密钥请求响应消息中的预共享密钥确定的。

6.如权利要求4或5所述的第一网络设备，其特征在于，所述第一网络设备为网关设备，所述第二网络设备为用户终端。

7.一种第一网络设备，其特征在于，所述第一网络设备包括：

网络接口，用于接收第二网络设备发送的IKE认证消息，所述IKE认证消息包括所述第二网络设备的身份标识和第一证明信息，所述第一证明信息是根据所述第二网络设备的身份标识和所述第二网络设备保存的预共享密钥确定的，以及用于接收第三网络设备发送的密钥请求响应消息，以及用于响应于接收到所述IKE认证消息，向所述第三网络设备发送密钥请求消息，所述密钥请求消息包括所述第二网络设备的身份标识，以及用于响应于接收到所述密钥请求响应消息，向所述第二网络设备发送IKE认证响应消息，所述IKE认证响应消息用于向所述第二网络设备证明所述第一网络设备的身份；

处理器，用于根据所述密钥请求响应消息中的预共享密钥对所述第二网络设备进行身份认证，所述预共享密钥对应于所述第二网络设备的身份标识，所述处理器根据所述密钥请求响应消息中的预共享密钥对所述第二网络设备进行身份认证包括：确定所述第一证明信息与第二证明信息是否相同，如果相同，则对所述第二网络设备的身份认证成功，其中所述第二证明信息是根据所述密钥请求响应消息中的预共享密钥和所述第二网络设备的身份标识确定的。