[发明专利]一种数据安全的实现方法及相关设备

权利要求书

1.一种数据安全的实现方法，包括：

接入网侧的第一安全网关功能实体获取第一信息，所述第一信息包括以下至少之一：所述接入网侧网元的 IP地址、所述接入网侧的网络拓扑信息；

根据所述第一信息，所述第一安全网关功能实体与核心网侧的第二安全网关功能实体之间协商建立IP 安全隧道IPSec；

所述第一安全网关功能实体获取第一信息，包括：

所述接入网侧的第一拓扑管理功能TMF获取并保存所述第一信息；

所述第一TMF获取第一安全网关功能实体地址信息，并根据所述第一安全网关功能实体地址信息将所述第一信息发送给所述第一安全网关功能实体。

2.根据权利要求1所述的方法，其特征在于，当所述第二安全网关功能实体为部署于核心网侧公共网元域的安全网关时，所述第一安全网关功能实体与所述第二安全网关功能实体之间协商建立IPSec包括：

所述第一安全网关功能实体接收用户UE发送的注册请求，并根据所述注册请求发现所述第二安全网关功能实体地址信息，并判断和所述第二安全网关功能实体之间是否存在IPSec；

如果不存在，则根据所述第二安全网关功能实体地址信息，所述第一安全网关功能实体与所述第二安全网关功能实体完成因特网密钥交换安全联盟IKE SA协商和IP安全联盟IPSec SA协商，建立IPSec。

3.根据权利要求2所述的方法，其特征在于，该方法还包括：

所述第一安全网关功能实体将所述注册请求和/或所述注册请求的后续信息进行IPSec加密后发送给所述第二安全网关功能实体，以便所述第二安全网关功能实体对接收的所述加密的注册请求和/或所述注册请求的后续信息进行解密后发送给所述核心网侧公共网元域的网元。

4.根据权利要求1所述的方法，其特征在于，当所述第二安全网关功能实体为部署于核心网侧网络切片的安全网关时，所述第一安全网关功能实体与所述第二安全网关功能实体之间协商建立IPSec包括：

当用户UE接入所述网络切片后，所述第一安全网关功能实体接收所述UE发送的上行数据报文，并根据所述上行数据报文发现所述第二安全网关功能实体地址信息，并判断和所述第二安全网关功能实体之间是否存在IPSec；

如果不存在，则根据所述第二安全网关功能实体地址信息，所述第一安全网关功能实体与所述第二安全网关功能实体完成IKE SA协商和IPSec SA协商，建立IPSec。

5.根据权利要求4所述的方法，其特征在于，该方法还包括：

所述第一安全网关功能实体将所述上行数据报文进行IPSec加密后发送给所述第二安全网关功能实体，以便所述第二安全网关功能实体对收到的加密数据报文进行解密后发送给所述网络切片。

6.根据权利要求4所述的方法，其特征在于，该方法还包括：

所述第一安全网关功能实体接收第二安全网关功能实体发送的进行了IPSec加密后的下行数据报文；

对所述加密的下行数据报文进行解密后发送给所述接入网侧网元。

7.根据权利要求1所述的方法，其特征在于，当所述第二安全网关功能实体为部署于核心网侧并被公共网元域和网络切片共享的安全网关时，所述第一安全网关功能实体与所述第二安全网关功能实体之间协商建立IPSec包括：

所述第一安全网关功能实体接收用户UE发送的注册请求，并根据所述注册请求发现所述第二安全网关功能实体地址信息，并判断和所述第二安全网关功能实体之间是否存在IPSec；

如果不存在，则根据所述第二安全网关功能实体地址信息，所述第一安全网关功能实体与所述第二安全网关功能实体之间建立第一子IPSec。

8.根据权利要求7所述的方法，其特征在于，该方法还包括：

所述第一安全网关功能实体将所述注册请求和/或所述注册请求的后续信息进行第一子IPSec加密后发送给所述第二安全网关功能实体，以便所述第二安全网关功能实体对加密信息进行解密后发送给所述公共网元域的网元。