[发明专利]建立IPSec隧道的方法及系统

说明书

本发明提供了一种建立IPSec隧道的方法及系统，该方法包括：基站向配置服务器请求第一配置参数，并根据配置服务器响应的第一配置参数向CA服务器请求数字证书；基站根据获取的数字证书与安全网关建立临时IPSec隧道，并通过临时IPSec隧道向后台网络管理单元请求第二配置数据；基站在获取到第二配置数据后，拆除临时IPSec隧道，并根据第二配置数据与安全网关之间建立永久的IPSec隧道。通过本发明，采用基于PKI认证方式自动建立基站与安全网关之间的IPSec隧道，解决了现有技术中基站与核心网之间不能自发现和自动建立安全通信链路的问题，进行实现了基站的自动配置，并保证了基站与核心网之间数据传输的安全性。

技术领域

本发明涉及通信安全领域，具体而言，涉及一种建立IPSec隧道的方法及系统。

背景技术

随着移动通讯技术的快速发展，第三代移动通信系统已经发展到长期演进（LTE，Long Term Evolution）阶段，在LTE无线网络中基站（eNodeB EvolutedNode B）的数量非常大，如果采用传统的方式部署众多数量的基站，将会带来高昂的维护运营成本。第二代和第三代移动通信系统同样存在相同的问题。因此3GPP提出了一种可以提供自动安装、配置、维护操作，减少人工参与的自组织网络（SON，SelfOrganizing Network）的方法，能够大量减少人工配置，而自动组网。另外，随着LTE等的发展，运营商等都提出了家庭企业级的小型基站Femto，家庭企业级的Femto很多都是经过第三方运营商的传输网络才到达核心网，所以对安全有特别高的需求，又因为面对的是普通用户，所以不能有复杂专业的安全相关配置，最好能够对用户屏蔽所有专业术语。

电信业务由于数据量大，网络结构复杂且LTE基于全IP网等特点，3GPP推荐采用IPSec（IP Security）隧道接入核心网。IPSec可以通过预共享密钥PSK（Pre-Shared-Key）和数字证书PKI(Public Key Infrastructure)两种认证方式完成IPSec安全隧道的建立。使用预共享密钥进行身份验证建立IPSec链路的两个实体都必须维护一对预共享密钥，此限制进一步降低了部署安全性，增加了发生错误的机率。大规模组网情形下，PSK存在配置复杂并且维护困难等缺点，所以一般站点较多时，从维护运营以及安全性的角度来说，运营商大部分采用PKI认证方式。

一般基站的PKI认证模式为：实现离线预安装证书，然后用户配置对应的安全网关IP，以及安全策略。在这种模式中，每个站点配置和维护都很复杂，而且对用户要求高，不适合普通家庭或者非专业用户，因此对基于PKI认证方式的IPSec自配置和安全隧道自建立有特殊的需求。

针对相关技术中基站与核心网之间不能自发现和自动建立安全通信链路的问题，目前尚未提出有效的解决方案。

发明内容

本发明提供了一种建立IPSec隧道的方法及系统，以至少解决上述问题。

根据本发明的一个方面，提供了一种建立IPSec隧道的方法，包括：基站向配置服务器请求第一配置参数，并根据配置服务器响应的第一配置参数向CA服务器请求数字证书；基站根据获取的数字证书与安全网关建立临时IPSec隧道，并通过临时IPSec隧道向后台网络管理单元请求第二配置数据；基站在获取到第二配置数据后，拆除临时IPSec隧道，并根据第二配置数据与安全网关之间建立永久的IPSec隧道。

优选地，基站向配置服务器请求第一配置参数，包括：基站与配置服务器建立TLS链路，并向配置服务器请求第一配置参数。

优选地，第一配置参数包括：基站临时的传输IP地址、安全网关建立IPSec隧道的IP地址、CA服务器的地址、证书路径、生成证书公钥长度和后台网络管理单元的IP地址。

优选地，根据配置服务器响应的第一配置参数向CA服务器请求数字证书，包括：基站获取配置服务器响应的第一配置数据后，利用证书管理协议向CA服务器请求颁发基站实体证书以及CA服务器的根CA证书。