[发明专利]一种IPsec诊断方法、装置及本端设备

说明书

本发明实施例提供了一种IPsec诊断方法、装置及本端设备。其中，方法应用于本端设备，可以包括：在接收到IPsec诊断指令时，确定所述IPsec诊断指令携带的第一对端地址所对应的出接口；判断所述出接口所应用的IPsec策略中配置的第二对端地址与所述第一对端地址是否相同；如果所述第二对端地址与所述第一对端地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。可以通过比较诊断条件中的第一对端地址和IPsec策略中的第二对端地址，以检查IPsec策略中的对端地址是否设置正确，并且在IPsec策略中的对端地址设置不正确的情况下，输出用于表示IPsec策略配置错误的诊断结果，即避免了因IPsec策略配置错误，导致IPsec诊断无法输出诊断结果。

技术领域

本发明涉及网络诊断技术领域，特别是涉及一种IPsec诊断方法、装置及本端设备。

背景技术

为了提高通信的安全性，多个网络设备之间可以通过IPsec(Internet ProtocolSecurity，互联网协议安全性)连接进行通信。当IPsec连接出现故障时，可以通过IPsec诊断以确定导致故障的原因。

以诊断网络设备A和网络设备B之间的IPsec连接为例，相关技术中，网络设备A可以是在本地查找与网络设备B的地址对应的路由，如果不存在与网络设备B的地址对应的路由，则输出用于表示路由不可达的诊断结果。如果存在与网络设备B的地址对应的路由，则查找与该路由对应的出接口，并确定该出接口是否应用有IPsec策略，如果该出接口没有应用IPsec策略，输出用于表示未应用或应用IPsec策略不存在的诊断结果。

如果该出接口应用有IPsec策略，则查找是否存在与该IPsec策略中所配置的对端地址(remote-address)和本端地址(local-address)匹配的IPsec隧道，如果该IPsec隧道存在，则输出用于表示IPsec隧道存在的诊断结果。如果该IPsec隧道不存在，则进入等待状态，并对每个接收到的协商报文，确定该协商报文是否满足条件：所携带的本端地址和对端地址，分别与IPsec策略中所配置的对端地址和本端地址相匹配。直至接收到满足该条件的协商报文，终止等待状态，并基于该协商报文进行IPsec协商及诊断，以得到并输出诊断结果。

但是，出于一些特殊原因(如配置时的疏忽、没有及时更新)，IPsec策略中所配置的对端地址可能存在错误，进而无法接收到满足上述条件的协商报文，导致网络设备A一直处于等待状态，无法输出诊断结果。

发明内容

本发明实施例的目的在于提供一种IPsec诊断方法、装置及本端设备，以实现降低因IPsec策略配置错误，导致IPsec诊断无法输出诊断结果的可能性。

具体技术方案如下：

在本发明实施例的第一方面，提供了一种IPsec诊断方法，所述方法包括：

在接收到IPsec诊断指令时，确定所述IPsec诊断指令携带的第一对端地址所对应的出接口；

判断所述出接口所应用的IPsec策略中配置的第二对端地址与所述第一对端地址是否相同；

如果所述第二对端地址与所述第一对端地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。

在一种实施例中，所述方法还包括：

如果所述第二对端地址与所述第一对端地址相同，则判断所述IPsec策略中配置的本端地址与所述出接口的地址是否相同；

如果所述IPsec策略中配置的本端地址与所述出接口的地址不同，则输出用于表示所述IPsec策略配置错误的诊断结果。

在一种实施例中，所述方法还包括：