[发明专利]通信隧道端点地址分离方法、终端、ePDG及存储介质

说明书

本发明公开了一种通信隧道端点地址分离方法、终端、ePDG以及存储介质，该方法包括步骤：ePDG根据终端发送的第一请求消息建立IKE SA隧道，生成对应的第一响应消息返回给终端；ePDG根据所接收的终端发送的第二请求消息建立IPSec SA隧道，生成对应的第二响应消息返回给终端，以完成IPSec SA隧道的建立；第二请求消息中携带有分离标识，表示终端支持ePDG的IKE SA隧道和IPSec SA隧道的端点地址分离。本发明在终端侧和/或ePDG侧实现IKE SA隧道和IPSec SA隧道的端点地址分离。

技术领域

本发明涉及通信技术领域，尤其涉及一种通信隧道端点地址分离方法、终端、ePDG及存储介质。

背景技术

非授信的非3GPP(3rd Generation Partnership Project，第三代合作伙伴计划)接入网络接入3GPP演进分组核心网的网络架构中，IPSec(Internet Protocol Security，Internet协议安全性)隧道的两端端点分别是终端和ePDG(Evolved Packet DataGateway，演进的分组数据网关)。在终端侧，IKE(Internet key exchange，Internet密钥交换协议)SA(Security Association，安全联盟)隧道和IPSec SA隧道的端点地址相同；在ePDG侧，IKE SA隧道和IPSec SA隧道的端点地址相同。由此可知，在现有的架构下，在终端侧和ePDG侧，IKE SA隧道和IPSec SA隧道的端点地址必须相同。

在虚拟化环境下，为了优化控制面和用户面的性能，可以将IKE SA隧道的功能体和IPSec SA隧道的功能体部署在不同的VM(Virtual Machine，虚拟机)上，每个VM对应一个业务地址。然而由于目前在终端侧和ePDG侧，IKE SA隧道和IPSec SA隧道的端点地址必须相同，导致不能将IKE SA隧道的功能体和IPSec SA隧道的功能体部署在不同的VM。

发明内容

本发明的主要目的在于提供一种通信隧道端点地址分离方法、终端、ePDG及存储介质，旨在解决现有不能将IKE SA隧道的功能体和IPSec SA隧道的功能体部署在不同的虚拟机的技术问题。

为实现上述目的，本发明提供一种通信隧道端点地址分离方法，所述通信隧道端点地址分离方法包括步骤：

当演进的分组数据网关ePDG接收到终端发送的第一请求消息时，根据所述第一请求消息建立因特网密钥交换IKE安全联盟SA隧道，并生成与所述第一请求消息对应的第一响应消息，返回给所述终端；

所述ePDG接收所述终端发送的第二请求消息，根据所述第二请求消息建立因特网协议安全IPSec SA隧道，并生成与所述第二请求消息对应的第二响应消息，将所述第二响应消息返回给所述终端，以完成IPSec SA隧道的建立；

其中，所述第二请求消息中携带有分离标识，表示所述终端支持所述ePDG的IKESA隧道和IPSec SA隧道的端点地址分离。

优选地，所述第二请求消息中携带所述终端的IPSec SA隧道端点地址。

优选地，所述第二响应消息中携带所述ePDG的IPSec SA隧道端点地址。

优选地，所述当ePDG接收到终端发送的第一请求消息时，根据所述第一请求消息建立IKE SA隧道，并生成与所述第一请求消息对应的第一响应消息，返回给所述终端的步骤包括：

当所述ePDG接收到终端发送的第一请求消息时，根据所述第一请求消息与所述终端协商密钥参数，并与所述终端交换随机数和迪菲-赫尔曼Diffie-Hellman值，以建立IKESA隧道；

所述ePDG根据所述密钥参数，以及交换后的随机数和Diffie-Hellman值生成第一响应消息，并将所述第一响应消息发送给所述终端。