[发明专利]一种MPLS-TP中伪线加密方法

说明书

一种MPLS‑TP中伪线加密方法，可解决现有网络中缺少专门为伪线设计的端到端加密的解决方案的技术问题。包括以下步骤：S100：在两个PE设备之间建立伪线PW；S200：在伪线PW上建立关联通道IKE‑Channel；S300：在关联通道IKE‑Channel上传输IKE协商报文，通过IKE协商生成安全联盟参数SEC SA；S400：在伪线PW上建立关联通道SEC‑Channel；S500：用SEC SA中协商的算法和密钥，进行伪线上业务报文的加密和完整性验证，在关联通道SEC‑Channel上传输加密报文。本发明可以在现有MPLS‑TP网络设备上，实现对现有网络中的伪线的流量进行加密，提高网络的安全性，并且能够和新型的量子加密、国密算法结合起来使用，可以灵活的部署到现有网络中。

技术领域

本发明涉及通信技术领域，具体涉及一种MPLS-TP中伪线加密方法。

背景技术

MPLS-TP是一种面向连接的分组交换网络技术，是由ITU-T和IETF联合提出的传送需求可扩展的MPLS架构实现，这些扩展被称为Transport Profile for MPLS(即MPLS-TP)。MPLS-TP通过伪线(PW，Pseudo Wire)承载IP、以太网、ATM、TDM等业务，现有的伪线技术能够很好的仿真端到端的电路交换，但是报文在伪线上明文传输，缺少一种加密方法。

IPSEC(Internet Protocol Security因特网协议安全)是一种开放标准的框架结构，通过使用加密的安全服务以确保在IP网络上进行保密而安全的通讯。IPSEC通过ISAKMP协议协商安全联盟SA。ISAKMP(Internet Security Association and Key ManagementProtocol)是IPSec密钥管理协议，为IPSEC提高身份认证以及密钥交换技术。安全联盟SA(Security Association)是IPSec的基础，是通信双方建立的一种协定，决定了用来保护数据包的封装协议、加密和完整性验证算法、密钥以及密钥有效期等。IPSEC有ESP和AH两种封装协议，ESP提供数据加密和完整性验证，AH不进行加密只进行完整性验证。IPSEC一般工作在网络层，而伪线工作链路层，IPSEC不能直接工作在链路层上，所以缺少专门为伪线设计的端到端加密的解决方案。

发明内容

本发明提出的一种MPLS-TP中伪线加密方法，可解决现有网络中缺少专门为伪线设计的端到端加密的解决方案的技术问题。

为实现上述目的，本发明采用了以下技术方案：

一种MPLS-TP中伪线加密方法，包括以下步骤：

S100：在两个PE设备之间建立伪线PW；

S200：在伪线PW上建立关联通道IKE-Channel；

S300：在关联通道IKE-Channel上传输IKE协商报文，通过IKE协商生成安全联盟参数SEC SA；

S400：在伪线PW上建立关联通道SEC-Channel；

S500：用SEC SA中协商的算法和密钥，进行伪线上业务报文的加密和完整性验证，在关联通道SEC-Channel上传输加密报文。

进一步的,步骤S100可以选择静态配置的伪线，或者协议动态建立的伪线。

进一步的，步骤S200包括以下步骤：

S201：IKE-Channel作为IKE协议交互通道，使用PW-ACH(PW Associated ChannelHeader)格式定义伪线的关联通道封装格式，IKE-Channel的Channel Type的值可灵活配置，推荐值为99；