[发明专利]一种互联网协议安全性隧道的维护方法、装置及系统

说明书

本申请公开了一种互联网协议安全性隧道的维护方法、装置及系统，涉及通信技术领域，能够解决在终端设备的IP地址改变时，VPN网关对该终端设备的服务中断的问题。包括：终端设备与VPN网关基于第一IP地址和IKE协议进行协商，根据协商得到的SA建立IPSec隧道；终端设备确定第一IP地址变化为第二IP地址；终端设备向VPN网关发送第一请求报文，第一请求报文中携带第二IP地址和第一隧道标识，第一请求报文用于请求更新第一SA记录，第一SA记录包含该SA、第一IP地址以及第一隧道标识之间的对应关系；终端设备根据第二IP地址和预设算法生成第二隧道标识；终端设备将第二SA记录中的第一隧道标识替换为第二隧道标识。

技术领域

本申请涉及通信技术领域，尤其涉及一种互联网协议安全性(Internet ProtocolSecurity，IPSec)隧道的维护方法、装置及系统。

背景技术

IPSec协议是一种三层隧道加密协议，能够实现虚拟专用网络(Virtual PrivateNetwork，VPN)的安全技术。终端设备与VPN网关之间通过建立IPSec隧道来保护和传输用户的私有数据，并在IP层提供数据机密性、数据完整性、数据来源认证以及防重放等安全服务。

IPSec隧道是基于互联网密钥交换(Internet Key Exchange，IKE)协议建立的。通信双方通过两个阶段的IKE协商，确定该IPSec隧道所需安全联盟(Security Association，SA)。具体地，通信双方通过第一阶段的IKE协商，确定IKE SA。然后在IKE SA的保护下，进行第二阶段的IKE协商，确定IPSec SA。SA是终端设备与VPN网关对某些传输参数的约定，传输参数例如，使用的安全协议、算法、封装模式、保护的数据流类型、以及使用的密钥的生存周期等。当IPSec SA协商完成后，终端设备与VPN网关之间通过隧道方式，基于协商得到的IPSec SA对发送的IP报文进行封装，即建立IPSec隧道。通信双方从而将待传输的IP报文在该IPSec隧道进行加密传输。

通信双方一般以一一对应的方式保存IPSec隧道对应的SA(包括IKE SA和IPSecSA)与在该IPSec隧道上传输的IP报文的五元组信息(包括源IP地址、目的IP地址、源端口号、目的端口号以及协议)。在传输IP报文的过程中，接收端通常是通过五元组信息来查找对应的SA，并在确定存在对应的SA时，采用该SA中IPSec SA对该IP报文进行解密。若不存在与该五元组信息对应的SA，接收端丢弃该IP报文。那么，当终端设备的IP地址由于位置改变等因素而变化时，IPSec隧道上待传输的IP报文的五元组信息也会改变。VPN网关在接收到携带改变后的五元组信息的IP报文后，由于确定不存在与改变后的五元组信息对应的SA，而丢弃该终端设备发送的IP报文。另一方面，VPN网关在向该终端发送IP报文时，会根据与SA对应的改变前的五元组信息封装发送给终端设备的报文，因此当终端的IP地址变化时，VPN网关仍然向旧的IP地址发送该IP报文，从而无法将该IP报文发送至该终端设备。即已经建立的IPSec隧道，由于终端设备的IP地址变化而不可用，从而导致VPN网关对该终端设备的服务中断。

发明内容

本申请提供了一种IPSec隧道的维护方法、装置及系统，以解决在终端设备的IP地址改变时，由于IPSec隧道不可用而导致的VPN网关对该终端设备的服务中断的问题。

第一方面，本申请提供了一种IPSec隧道的维护方法，该方法包括：