[发明专利]一种用于IPSec VPN主动添加加密通信策略的方法

权利要求书

1.一种用于IPSec VPN主动添加加密通信策略的方法，设定IPSec VPN网络系统中网关GW各自只配置了自身的IP_GW，保护的子网信息Sub_Net，以及在己方的证书白名单中添加了对方证书CERT_GW，其中IP_GW为网关GW的IP地址，Sub_Net为Net子网信息，CERT_GW为网关GW公钥证书序列号；

其步骤为：(1)网关GW1接收到来自PC1第一次向PC2发送的IP数据包①，网关GW1判断PC1是处于己方Sub_Net1内，且不存在Sub_Net1与PC2所在子网的加密通信互通策略，因此不能匹配到加密通信策略；

(2)网关GW1构造出基于UDP协议用于探测对端网关的UDP[IP_PC1,IP_PC2,DATA(CERT_GW1,IP_GW1,Sub_Net1),Sign_GW1(DATA)]数据包②并发到外网；其中UDP[]为UDP协议格式的数据包，IP_PC1、IP_PC2为PC1、PC2的IP地址，DATA(CERT_GW1,IP_GW1,Sub_Net1)为包含CERT_GW1、IP_GW1、Sub_Net1字段的数据载荷，Sign_GW1(DATA)为用网关GW的私钥对DATA数据进行签名；

(3)经过外网路由，网关GW2接收到数据包②，经过证书验证网关GW1在允许建立安全通信的白名单中，解析出GW1和PC1的网络信息，网关GW2构造ICMP[IP_GW2,IP_PC2]数据包③并发到内网；其中ICMP[]为ICMP协议格式的数据包；

(4)PC2接收到数据包③后发出ICMP[echo]应答数据包④；

(5)网关GW2接收到数据包④，确认PC2位于本设备保护的子网Sub_Net2内，网关GW2构造出UDP[IP_GW2,IP_GW1,DATA(CERT_GW2,IP_GW2,Sub_Net2),Sign_GW2(DATA)]数据包⑤并发到外网；

(6)网关GW1接收到数据包⑤，经过证书验证网关GW2在允许建立安全通信的白名单中，并解析出PC2位于网关GW2所保护的子网Sub_Net2内，提取消息中网关GW2和子网Sub_Net2信息，网关GW1主动添加1条Sub_Net1与Sub_Net2之间的加密通信策略，并构造应答消息UDP[IP_GW1,IP_GW2,DATA(echo),Sign_GW1(DATA)]数据包⑥发往网关GW2进行确认；

(7)网关GW2接收到数据包⑥后，网关GW2也主动添加1条Sub_Net1与Sub_Net2之间的加密通信策略，然后启动IKEv2协商⑦出SA，最终网关GW1和网关GW2即可完成Sub_Net1与Sub_Net2之间双向VPN隧道⑧的建立；

(8)PC1与PC2之间通信的IP数据包在通过网关GW1和网关GW2时，就会在已经构建的双向VPN隧道⑧中进行安全传输。