[发明专利]一种互联网协议安全性隧道的维护方法、装置及系统

权利要求书

1.一种互联网协议安全性IPSec隧道的维护方法，其特征在于，所述方法包括：

终端设备与虚拟专用网VPN网关基于所述终端设备的第一互联网协议IP地址和互联网密钥交换IKE协议进行协商，根据协商得到的安全联盟SA，建立所述终端设备与所述VPN网关之间的IPSec隧道，所述SA包括IKE SA和IPSec SA；

所述终端设备确定所述终端设备的IP地址从所述第一IP地址变化为第二IP地址；

所述终端设备向所述VPN网关发送第一请求报文，所述第一请求报文中携带所述第二IP地址和第一隧道标识，所述第一隧道标识为根据所述第一IP地址生成的隧道标识，所述第一请求报文用于请求所述VPN网关根据所述第二IP地址更新第一SA记录，所述第一SA记录保存在所述VPN网关中，所述第一SA记录包含所述SA、所述第一IP地址以及所述第一隧道标识之间的对应关系；

所述终端设备根据所述第二IP地址和预设算法生成第二隧道标识，所述预设算法与所述VPN网关生成所述第一隧道标识时采用的算法相同；

所述终端设备将第二SA记录中的所述第一隧道标识替换为所述第二隧道标识，所述第二SA记录保存在所述终端设备中，所述第二SA记录保存有所述SA和所述第一隧道标识之间的对应关系。

2.根据权利要求1所述的方法，其特征在于，所述终端设备将第二SA记录中的所述第一隧道标识替换为所述第二隧道标识之后，所述方法还包括：

所述终端设备等待接收所述VPN网关发送的第一应答消息；

若所述终端设备接收到所述VPN网关发送的第一应答消息、且所述第一应答消息中携带所述第二隧道标识，所述终端设备确定所述VPN网关完成对所述第一SA记录的更新；

若所述终端设备在预设时间段内未接收到所述VPN网关发送的第一应答消息，或者接收到的所述第一应答消息未携带所述第二隧道标识，所述终端设备则重新向所述VPN网关发送所述第一请求报文。

3.根据权利要求1所述的方法，其特征在于，所述建立所述终端设备与所述VPN网关之间的IPSec隧道之后，所述终端设备确定所述终端设备的IP地址从第一IP地址变化为第二IP地址之前，所述方法还包括：

所述终端设备在所述IPSec隧道上接收所述VPN网关发送的加密后的第一IP报文，所述加密后的第一IP报文中携带所述第一隧道标识；

所述终端设备根据所述第一隧道标识查找所述第二SA记录，并获取所述第二SA记录中的所述IPSec SA；

所述终端设备根据所述IPSec SA对所述加密后的第一IP报文进行解密，以获取所述第一IP报文中的数据。

4.根据权利要求1所述的方法，其特征在于，所述建立所述终端设备与所述VPN网关之间的IPSec隧道之后，所述终端设备确定所述终端设备的IP地址从第一IP地址变化为第二IP地址之前，所述方法还包括：

所述终端设备根据所述第二SA记录中的所述IPSec SA对第二IP报文进行加密；

所述终端设备在所述IPSec隧道上向所述VPN网关发送加密后的所述第二IP报文，所述加密后的所述第二IP报文中携带所述第一隧道标识。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述终端设备与VPN网关基于所述终端设备的第一IP地址和IKE协议进行协商，具体包括：

所述终端设备在协商得到所述IKE SA之后，在根据所述IKE SA协商所述IPSec SA之前，向所述VPN网关发送第二请求报文，所述第二请求报文中包括所述第一IP地址，所述第二请求报文用于请求所述VPN网关根据所述第一IP地址创建所述第一SA记录，并将所述第一IP地址添加到所述第一SA记录中；

所述终端设备根据所述第一IP地址和所述预设算法生成所述第一隧道标识；

所述终端设备创建所述第二SA记录，并将所述第一隧道标识添加到所述第二SA记录中。