[发明专利]一种IPsec诊断方法、装置及本端设备

权利要求书

1.一种IPsec诊断方法，其特征在于，应用于本端设备，所述方法包括：

在接收到IPsec诊断指令时，确定所述IPsec诊断指令携带的第一对端地址所对应的出接口；

判断所述出接口所应用的IPsec策略中配置的第二对端地址与所述第一对端地址是否相同；

如果所述第二对端地址与所述第一对端地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如果所述第二对端地址与所述第一对端地址相同，则判断所述IPsec策略中配置的本端地址与所述出接口的地址是否相同；

如果所述IPsec策略中配置的本端地址与所述出接口的地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

如果所述IPsec策略中配置的本端地址与所述出接口的地址相同，则根据所述第二对端地址和所述IPsec策略中配置的本端地址，判断与地址为所述第二对端地址的对端设备之间是否存在IPsec隧道；

如果判定与所述对端设备之间存在IPsec隧道，则输出用于表示存在IPsec隧道的诊断结果。

4.根据权利要求3所述的方法，其特征在于，所述根据所述第二对端地址和所述IPsec策略中配置的本端地址，判断与地址为所述第二对端地址的对端设备之间是否存在IPsec隧道，包括：

将所述出接口的地址和所述第二对端地址，与各个IPsec隧道配置的地址进行匹配；

如果存在配置的地址与所述出接口的地址和所述第二对端地址匹配的IPsec隧道，则确定与地址为所述第二对端地址的对端设备之间存在IPsec隧道；

否则，确定与地址为所述第二对端地址的对端设备之间不存在IPsec隧道。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：

如果与所述对端设备之间不存在IPsec隧道，则进入等待状态，直至接收到满足预设条件的协商报文，或者，在预设时长内接收到的协商报文中，相同的协商报文的数目大于预设数目阈值，所述预设条件为：所携带的本端地址与所述第二对端地址相同，并且所携带的对端地址与所述出接口的地址相同；

如果接收到满足所述预设条件的协商报文，则与发送该协商报文的对端设备进行IPsec协商，得到协商结果；

基于所述协商结果，输出诊断结果；

如果在预设时长内接收到的协商报文中，相同的协商报文的数目大于预设数目阈值，则输出用于表示所述IPsec策略配置错误的诊断结果。

6.一种IPsec诊断装置，其特征在于，应用于本端设备，所述装置包括：

出接口匹配模块，用于在接收到IPsec诊断指令时，确定所述IPsec诊断指令携带的第一对端地址所对应的出接口；

对等体匹配模块，用于判断所述出接口所应用的IPsec策略中配置的第二对端地址与所述第一对端地址是否相同；

诊断结果输出模块，用于如果所述第二对端地址与所述第一对端地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。

7.根据权利要求6所述的装置，其特征在于，所述对等体匹配模块，还用于如果所述第二对端地址与所述第一对端地址相同，则判断所述IPsec策略中配置的本端地址与所述出接口的地址是否相同；

所述诊断结果输出模块，还用于如果所述IPsec策略中配置的本端地址与所述出接口的地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括隧道检查模块，用于如果所述IPsec策略中配置的本端地址与所述出接口的地址相同，则根据所述第二对端地址和所述IPsec策略中配置的本端地址，判断与地址为所述第二对端地址的对端设备之间是否存在IPsec隧道；

所述诊断结果输出模块，还用于如果判定与所述对端设备之间存在IPsec隧道，则输出用于表示存在IPsec隧道的诊断结果。