[发明专利]一种IPSec隧道网络配置方法、装置、电子设备和存储介质

说明书

本公开涉及IPSec隧道网络配置方法、装置、电子设备和存储介质，IPSec隧道网络配置方法应用于IPSec VPN组网，IPSec VPN组网在运行时，IPSec对等体可被配置为本端设备或对端设备，包括：建立本端设备和对端设备与安全管控设备之间的通信通道；将本端设备在IPSec隧道链路中的第一配置信息提交至安全管控设备；在本端设备允许接入目标网络时，控制安全管控设备将第一配置信息翻译为第二配置信息并发送第二配置信息至对端设备，由此，本端设备能够与对端设备建立IPSec隧道，降低了组网配置的复杂度，保证IPSec隧道网络配置的安全性。

技术领域

本公开涉及通信技术领域，尤其涉及一种IPSec隧道网络配置方法、装置、电子设备和存储介质。

背景技术

随着计算机和网络技术的发展，企业以及个人业务的加密传输需求日益增多，各类加密传输技术以及产品应运而生，但是加密技术本身的部署和运维难度比较大，对用户以及网络运维人员也提出了更高的要求。

其中，伴随着软件定义广域网SDWAN产品的推出，IPSec(Internet ProtocolSecurity，互联网安全协议)隧道技术在互联网上被大规模使用。但是就支持IPSec协议的网络设备的部署难度来说，依然很高。在SDWAN产品中存在类似“安全管控设备”(或安全管控)这样的网络产品来处理整体SDWAN网络的IPSec隧道配置。但是当前大多数厂商的产品能够实现SDWAN网络的IPSec隧道初始部署时，自上而下进行下发，这样就对安全管控设备的运维人员提出了更高的要求，运维人员不仅需要知道IPSec协议自身的配置方式，也需要知晓全网拓扑的网络部署结构，然后再针对两个对等体之间进行配置下发。

现有技术中IPSec隧道的配置方式：

(1)分别在两台IPSec对等体设备上进行配置；

(2)通过安全管控设备对两台IPSec对等体设备进行配置下发；

(3)在IPSec对等体的一端配置类似自动隧道的配置项，等待另一端配置好之后进行接入协商。

现有技术中IPSec隧道的配置方式存在的缺陷：

(1)配置操作复杂度较高，通常两台IPSec设备不在同一地理位置，运维人员需要在两地分别进行配置；

(2)通过安全管控设备进行配置，无法处理网元动态扩增的情况，新增一台网元之后，依然需要在安全管控设备上进行人工参与调试下发；

(3)动态IPSec一端作为服务器端的方式，并无法评估另一端的可信任程度，存在安全风险。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开提供了一种IPSec隧道网络配置方法、装置、电子设备和存储介质，降低了组网配置的复杂度。

第一方面，本公开实施例提供了一种IPSec隧道网络配置方法，所述方法应用于IPSec VPN组网中的IPSec对等体，所述IPSec VPN组网在运行时，所述IPSec对等体可被配置为本端设备或对端设备，包括：

建立所述本端设备和所述对端设备与安全管控设备之间的通信通道；

将本端设备在IPSec隧道链路中的第一配置信息提交至安全管控设备；

在所述本端设备允许接入目标网络时，控制所述安全管控设备将第一配置信息翻译为第二配置信息并发送第二配置信息至所述对端设备；

建立所述本端设备与所述对端设备之间的IPSec隧道。

可选的，还包括：

在所述本端设备禁止接入目标网络时，控制安全管控设备发送拒绝信息至所述本端设备。