[发明专利]同步IPsec SA的方法、组成员及组密钥服务器

说明书

技术领域

本申请涉及通信技术领域，特别涉及一种同步因特网协议安全安全联盟（IPsec SA）的方法、组成员及组密钥服务器。

背景技术

组加密传输虚拟私有网络（Group Encrypted Transport Virtual Private Network，GET VPN）是一种实现密钥和安全策略集中管理的解决方案。传统的IPsec VPN是一种点到点的隧道连接，而GET VPN是一种点到多点的无隧道连接。GET VPN的典型应用体现为对组播流量的保护，例如音频、视频广播和组播文件的安全传输。

GET VPN提供了一种新的基于组的IPsec安全模型。组是一个安全策略的集合，属于同一个组的所有成员共享相同的安全策略及密钥。GET VPN由密钥服务器（KeyServer，KS）和组成员（Group Member，GM）组成，其中，KS通过划分不同的组来管理不同的安全策略和密钥，GM通过加入相应的组，从KS获取安全策略及密钥，并负责对数据流量加密和解密。

在GETVPN组网中，GM需要向KS注册，这个注册过程依次包括两个阶段的协商：第一阶段的IKE协商：GM与KS进行协商，进行双方的身份认证，身份认证通过后，生成用于保护二阶段GDOI协商的IKE SA；第二阶段的GDOI协商：由GDOI协议定义其协商过程，这是一个GM从KS上“拉”策略的过程。

在第二协商阶段的第二条报中将SA策略下发给GM，在第四条报文中再把SA策略使用的密钥通过KD载荷下发给GM，这样某些情况下GM收到的KD载荷中的安全参数索引（SPI）可能和SA载荷中的SPI不一致，如交互过程中生成了新的SA策略，或交互过程中老的SA策略删除了，此时GM无法正常的创建IPsec SA，GM和KS的IPsec SA就不同步了，只能等待KS在Rekey时更新IPsec SA；GM在创建IPsecSA时，由于本地资源不足或其他原因创建失败；由于网络问题，GM无法正常接收KS发送的Rekey消息；GM手工或非正常删除KS下发的IPsec SA后，无法正常接收其他GM发送的报文等，都可能造成GM和KS的IPsec SA不同步，在KS在Rekey更新IPsec SA之前，业务不能正常使用。

发明内容

有鉴于此，本申请提供一种同步IPsec SA的方法、组成员及组密钥服务器，能够使GM同KS上的IPsec SA保持同步，保证业务的正常使用。

为解决上述技术问题，本发明的技术方案是这样实现的：

一种同步因特网协议安全安全联盟IPsec SA的方法，应用于组加密传输虚拟私有网络GET VPN组网中，所述组网中包括多个组成员GM和一个组密钥服务器KS，任一所述GM接收到所述KS发送的携带安全联盟SA载荷的消息，并验证所述SA载荷中的SA策略成功时，在本地临时记录所述SA载荷中的安全参数索引SPI和SA策略，包括：

该GM接收到KS发送的携带密钥下发KD载荷的消息时，确定所述KD载荷中的SPI与本地临时记录的SPI是否一致，如果是，生成IPsec SA，并存储到安全联盟数据库中，其中，所述IPsec SA包含所述KD载荷中的密钥信息，以及记录的SPI和SA策略；否则，向所述KS发送所述KD载荷中的SPI无效的消息，使所述KS根据所述无效的SPI获取对应的IPsec SA，并通过rekey消息下发；接收到所述KS发送的rekey消息时，获得所述rekey消息中携带的IPsec SA，并存储到所述安全联盟数据库中。

一种组成员GM，可应用于组加密传输虚拟私有网络GET VPN组网中，所述组网中还包括其他GM和一个组密钥服务器KS，所述GM包括：接收单元、记录单元、确定单元、存储单元和发送单元；

所述接收单元，用于接收所述KS发送的携带SA载荷的消息；接收所述KS发送的携带密钥下发KD载荷的消息；接收所述KS发送的rekey消息；

所述记录单元，用于当所述接收单元接收到所述KS发送的携带SA载荷的消息，且验证所述SA载荷中的SA策略成功时，在本地临时记录所述SA载荷中的安全参数索引SPI和SA策略；

所述确定单元，用于当所述接收单元接收到所述KS发送的携带KD载荷的消息时，确定所述KD载荷中的SPI与所述记录单元临时记录的SPI是否一致；