[发明专利]发送报文的方法和网络设备

权利要求书

1.一种发送报文的方法，其特征在于，应用于第一网络设备和第二网络设备之间进行互联网安全IPsec通信，且所述第一网络设备上没有IPsec安全联盟SA，所述第二网络设备上拥有IPsec SA的网络场景中，所述方法包括：

所述第一网络设备接收来自第二网络设备的加密报文；

在所述第一网络设备无法对所述加密报文进行解密的情况下，所述第一网络设备获得特征信息；

在所述第一网络设备依据所述特征信息获得与所述特征信息相对应的互联网密钥交换IKE SA的情况下，所述第一网络设备生成信息交换报文，所述信息交换报文指示所述第二网络设备删除所述第二网络设备上的IPsec SA；

所述第一网络设备向所述第二网络设备发送所述信息交换报文。

2.根据权利要求1所述的方法，其特征在于，还包括：

所述第一网络设备接收来自所述第二网络设备在删除所述IPsec SA之后发送的协商报文，并根据所述协商报文，生成新的IPsec SA对后续收到的加密报文进行解密。

3.根据权利要求1所述的方法，其特征在于，还包括：

在所述第一网络设备依据所述特征信息无法获得与所述特征信息相对应的所述IKESA的情况下，丢弃所述加密报文。

4.根据权利要求1至3任一所述的方法，其特征在于，所述特征信息包括IPsec安全参数索引SPI；

相应地，所述第一网络设备依据所述特征信息获得与所述特征信息相对应的IKE SA包括：

所述第一网络设备依据所述IPsec SPI与所述IKE SA的映射关系，获得所述IKE SA。

5.根据权利要求1至3任一所述的方法，其特征在于，所述特征信息包括源IP地址和目的IP地址；

相应地，所述第一网络设备依据所述特征信息获得与所述特征信息相对应的IKE SA包括：

所述第一网络设备依据所述源IP地址和所述目的IP地址与所述IKE SA的映射关系，获得所述IKE SA。

6.根据权利要求5所述的方法，其特征在于，所述特征信息还包括IKE标识；

相应地，所述第一网络设备依据所述特征信息获得与所述特征信息相对应的IKE SA包括：

所述第一网络设备依据所述源IP地址、所述目的IP地址和所述IKE标识与所述IKE SA的映射关系，获得所述IKE SA。

7.根据权利要求5所述的方法，其特征在于，所述特征信息还包括协议号；

相应地，所述第一网络设备依据所述特征信息获得与所述特征信息相对应的IKE SA包括：

所述第一网络设备依据所述源IP地址、所述目的IP地址和所述协议号与所述IKE SA的映射关系，获得所述IKE SA。

8.根据权利要求6所述的方法，其特征在于，所述特征信息还包括协议号；

相应地，所述第一网络设备依据所述特征信息获得与所述特征信息相对应的IKE SA包括：

所述第一网络设备依据所述源IP地址、所述目的IP地址、所述IKE标识和所述协议号与所述IKE SA的映射关系，获得所述IKE SA。

9.根据权利要求1至3任一所述的方法，其特征在于，所述第一网络设备无法对所述加密报文进行解密包括至少下述方式之一：

根据所述加密报文中的IPsec安全参数索引SPI无法获得所述IPsec SA；

根据所述加密报文中的源IP地址和目的IP地址无法获得所述IPsec SA；以及

根据所述加密报文中的所述源IP地址、所述目的IP地址和协议号无法获得所述IPsecSA。