[发明专利]一种IPSEC网络的配置方法和装置

权利要求书

1.一种IPSEC网络的配置方法，其特征在于：包括以下步骤：

第一步、Server端将IPSEC配置参数信息，并发送BGP的Update报文到IPSEC Client端；

第二步、判断是否开启BGP自定义扩展功能，若否，则不触发BGP模块发送Update报文；

若是，则根据BGP的Update报文自定义扩展团体属性VALUE值的前六字节下发IPSEC参数并建立IPSEC隧道；

第三步、依据Update报文中自定义扩展团体属性VALUE值的后四字节，判断新SPI和旧SPI值是否一致，若一致，则Server端和Client端使用新的SPI加密数据报文。

2.根据权利要求1所述的一种IPSEC网络的配置方法，其特征在于：所述第二步中依据VALUE值的前六字节下发IPSEC参数并建立IPSEC隧道具体包括以下步骤：

S1、Server端按照的两个阶段的IKE算法参数组合，将对应的标记值填写至BGP的Update报文自定义团体属性中的VALUE字段前六字节；

S2、Client端收到Update报文，根据BGP扩展团体属性中的标记值，提取IPSEC参数信息，通知IPSEC模块下发对应的IPSEC配置参数以及IPSEC策略使能；

S3、触发IPSEC模块进行两个阶段的协商，即建立IPSEC隧道。

3.根据权利要求2所述的一种IPSEC网络的配置方法，其特征在于：所述S1中的两个阶段包括第一阶段IKE安全协议和第二阶段IKE安全协议，所述第一阶段IKE安全协议和第二阶段IKE安全协议均具有不同的协商参数；

所述第一阶段IKE安全协议中的协商参数包括认证算法类型、DH组、加密算法类型、完整性算法类型、随机函数算法类型、SA生存周期，IKE版本；

所述第二阶段IKE安全协议中的协商参数包括封装模式，安全协议，认证算法和加密算法。

4.根据权利要求2所述的一种IPSEC网络的配置方法，其特征在于：所述S1中预设的参数组合不多于64种，所述预设的参数组合统一用对应的二进制数值标记。

5.根据权利要求4所述的一种IPSEC网络的配置方法，其特征在于：其中一种所述预设的参数组合为IKE第一阶段协商参数中认证算法类型为md5，DH Group组为group12，加密算法类型为3des，完整性算法类型为aes-xcbc-96，随机函数算法为aes-xcbc-128，SA生存周期为36000s，IKE版本为V1；

IKE第二阶段协商参数中封装模式为tunnel，安全协议为ESP封装，ESP认证算法sha1，esp加密算法3des；

标记上述组合为000000。

6.根据权利要求1所述的一种IPSEC网络的配置方法，其特征在于：所述第三步中使用新的SPI加密数据报文的具体步骤包括：

S1、判断Client端的IPSEC SA是否达到流量阈值的2/3或时间阈值的2/3时；

若是，主动发起IPSEC重协商，协商出新的SA，但仍然使用旧的SA加密报文；

S2、Client端将协商出SPI值填充至Update报文中VALUE值的后4字节，并发送Update报文传递给Server端；

S3、Server端收到Update报文后，判断报文中携带的SPI是否和本端新建的IPSEC SA中对端的SPI一致；

若是，Server端将本端的SPI值填写至Update报文中自定义团体属性VALUE值的后四字节，发送给Client端，同时Server设备使用新的SPI加密数据报文；

S4、Client端收到Server端发来的Update报文后，使用新的SPI加密数据报文。