[发明专利]一种IPSEC网络的配置方法和装置

说明书

本发明公开了一种IPSEC网络的配置方法和装置，涉及通信网络技术领域。该IPSEC网络的配置方法，利用BGP的扩展团体属性填充IPSEC值的方法，由于BGP协议基于TCP连接建立，TCP连接可靠且能保证数据顺序，故采用BGP的自定义扩展团体属性，IPSEC Client端根据Update报文的前6字节的填充值，提取IPSEC参数信息，通知IPSEC模块自动下发对应的IPSEC配置参数，以及下发接口的IPSEC策略使能，触发IPSEC隧道的建立，来实现CPE端IPSEC配置自动下发，并且通过Update报文的后4字节的填充值，可以避免SA老化过程中丢包的问题。

技术领域

本发明涉及通信网络技术领域，具体为一种IPSEC网络的配置方法和装置。

背景技术

在SDWAN网络中，为保证数据传输的安全性，常采用IPSEC，即Internet协议安全性对数据报文进行加密，其中IPSEC隧道的建立，仍需手工对CPE下发IPSEC参数配置，IPSEC隧道的建立又涉及两个IKE协商阶段，建立IPSEC隧道的两端，即VCPE和CPE，有任一参数不一致，就会在IPSEC的IKE第一阶段交换过程或IKE第二阶段的交换过程协商失败，为了防止交换过程协商失败需要层层删除IPSEC参数配置、重新下发各项嵌套的参数。

但是当组网中IPSEC隧道较多时，会导致配置工作量巨大，过程繁琐，耗时耗力，并且当IPSEC隧道建起来后，由于到达一定的流量阈值或时间阈值后，IPSEC的SA会进行重协商，在这个过程中，可能会出现一方已更新SA，使用新的SA加密，但另一端由于重协商的IPSEC SA报文在网络中延迟，还使用老的SA，导致双方SA不一致，报文无法解密而丢弃的问题。

发明内容

解决的技术问题

针对现有技术的不足，本发明提供了一种IPSEC网络的配置方法和装置，解决了CPE端IPSEC配置不能自动下发且SA老化过程中会丢包的问题。

技术方案

为实现以上目的，本发明通过以下技术方案予以实现：一种IPSEC网络的配置方法，包括以下步骤：

第一步、Server端将IPSEC配置参数信息，并发送BGP的Update报文到IPSECClient端；

第二步、判断是否开启BGP自定义扩展功能，若否，则不触发BGP模块发送Update报文，手工下发IPSEC参数；

若是，则根据BGP的Update报文自定义扩展团体属性VALUE值的前六字节下发IPSEC参数并建立IPSEC隧道；

第三步、依据Update报文中自定义扩展团体属性VALUE值的后四字节，判断新SPI和旧SPI值是否一致，若一致，则Server端和Client端使用新的SPI加密数据报文。

进一步地，所述第二步中依据VALUE值的前六字节下发IPSEC参数并建立IPSEC隧道具体包括以下步骤：

S1、Server端按照两个阶段的IKE算法参数组合，将对应的标记值填写至BGP的Update报文自定义团体属性中的VALUE字段前六字节；

S2、Client端收到Update报文，根据BGP扩展团体属性中的标记值，提取IPSEC参数信息，通知IPSEC模块下发对应的IPSEC配置参数以及IPSEC策略使能；

S3、触发IPSEC模块进行两个阶段的协商，即建立IPSEC隧道。

进一步地，所述S1中的两个阶段包括第一阶段IKE安全协议和第二阶段IKE安全协议，所述第一阶段IKE安全协议和第二阶段IKE安全协议均具有不同的协商参数；

所述第一阶段IKE安全协议中的协商参数包括认证算法类型、DH组、加密算法类型、完整性算法类型、随机函数算法类型、SA生存周期，IKE版本；