[发明专利]Internet协议安全性联盟的生成方法和路由设备

说明书

技术领域

本申请涉及网络通信技术，特别涉及Internet协议安全性（IPSec）联盟（SA）的生成方法和路由设备。

背景技术

组区域传输虚拟私有网络（GROUP-DOMAIN-VPN:Group Domain Virtual Private Network）代表了一种新型的VPN，专门用于加密广域网上传输的数据。

一个GROUP-DOMAIN-VPN主要由两部分组成：组成员（GM：Group Member）和密钥服务器（KS：Key Server）。其中，KS为同一GROUP-DOMAIN-VPN中的GM分发密钥和IPSec SA，GM利用KS下发的密钥和IPSec SA对需要保护的数据流进行保护。

图1示出了GROUP-DOMAIN-VPN组网示意图。在图1中，存在一个GROUP-DOMAIN-VPN，路由器（Router）1、Route2、Router3、Router4作为该GROUP-DOMAIN-VPN的GM，Router5作为该GROUP-DOMAIN-VPN的KS。

在图1中，作为GM的Router1下挂1.1.1.0/24子网，作为GM的Router2下挂2.2.2..0/24子网，作为GM的Router3下挂3.3.3.0/24子网，GM1、GM2、GM3间使用GROUP-DOMAIN-VPN保护三者之间的数据流。

作为KS的Router5配置了组ID、IPSec SA和密钥。其中，KS上的IPSecSA和密钥是通过手工配置的。

KS上通过手工配置的IPSec SA包含三个ACL信息，该三个ACL信息为作为GM的Router1、Route2、Router3之间允许交互的数据流信息：

1.1.1.0/24<======>2.2.2.0/24，

2.2.2.0/24<======>3.3.3.0/24，

1.1.1.0/24<======>3.3.3.0/24，

当任一作为GM的Router注册到KS后，KS将配置的IPSEC SA以及密钥发送给该Router。

这样，图1中的所有作为GM的Router即Router1至Router4都从KS处获得包含三个ACL信息（1.1.1.0/24<======>2.2.2.0/24，2.2.2.0/24<======>3.3.3.0/24、1.1.1.0/24<======>3.3.3.0/24）的IPSec SA。而实际应用中，每个GM实际中最多用到两个ACL信息，比如作为GM的Router1只需要“1.1.1.0/24<======>2.2.2.0/24，1.1.1.0/24<======>3.3.3.0/”这两条ACL信息即可，不需要“2.2.2.0/24<======>3.3.3.0/24”这条ACL信息，这造成了KS不能按需向各个GM下发需要保护的数据流的信息。

发明内容

本申请提供了Internet协议安全性联盟的生成方法和路由设备，以实现各个GM按需维护IPSec SA。

本申请提供的技术方案包括：

一种Internet协议安全性IPSec联盟SA的生成方法，该方法包括：

密钥服务器KS接收并保存本组区域虚拟私有网络Group-Domain-VPN中新加入的组成员GM在注册至本KS的过程中发送的自身配置的需要保护的所有数据流的区分标识；

KS针对已注册至本KS的每一GM，比较该GM与所述新加入的GM发送的需要保护的所有数据流的区分标识并确定需要这两个GM同时保护的双向数据流；

KS将本KS上配置的所述GROUP-DOMAIN-VPN的安全策略、密钥、以及

确定出的需要所述两个GM同时保护的双向数据流的区分标识发送给所述两个GM，以使所述两个GM分别利用收到的安全策略、密钥、数据流区分标识生成IPSec SA以对具有收到的数据流区分标识的双向数据流进行保护处理。

一种Internet协议安全性IPSec联盟SA策略的生成方法，该方法包括：

组区域虚拟私有网络GROUP-DOMAIN-VPN中的组成员GM在注册至同一GROUP-DOMAIN-VPN中密钥服务器KS的过程中发送自身配置的需要保护的数据流的区分标识给所述KS；