[发明专利]一种基于IPsec封装功能的密钥更新方法及装置

说明书

本发明提供一种基于IPsec封装功能的密钥更新方法及装置，该方法基于一种新的IPsec封装协议，在现有IPsec封装协议封装头部分的下一个报文头中增加控制协议，并封装对应的TLV控制头。在更新密钥时，先通过确认是否接收到含有更新密钥控制协议的IPsec报文，再确认是否接收到新的密钥，在未接收到含有更新密钥控制协议的IPsec报文时，继续使用旧的密钥发送和接收原来的数据报文，保证转发面仍然正常加解密，直到含有更新密钥控制协议的IPsec报文和新的密钥都接收到之后，才使用新的密钥来发送和接收原来的数据报文，保证IPsec隧道两端的转发流量不会因为密钥的刷新问题而出现断流。

技术领域

本发明属于IP网络技术领域，具体涉及一种基于IPsec封装功能的密钥更新方法及装置。

背景技术

IETF定义的IPsec封装协议有两种，一种是AH，一种是ESP。这两种协议的封装模式又分为传输模式和隧道模式。其中，传输模式是基于原始的IP头做一次IPsec封装，隧道模式则封装了新的报文头，在实际的使用中，隧道模式用的较多。

在IPsec封装协议中，为了保证封装的安全性，其密钥是需要定期更换的，目前更换的手段有两种：一是通过手工配置(可以通过SDN控制器下发或自动化配置)；另一种是通过IKE重协商。但这两种方法，都无法保证IPsec端点在同一时刻更换新的密钥，因此会造成转发面的短暂断流。

发明内容

针对上述现有技术中存在的问题，本发明通过使用基于IPsec封装的扩展协议，提供一种更换密钥的方法，解决了在更换密钥后，双方密钥不同步，转发面出现断流的问题。

为了实现发明目的，本发明的技术方案如下，一种基于IPsec封装功能的密钥更新方法，所述密钥更新方法包括以下步骤：

步骤一，IPsec隧道两端的节点接收更新后的密钥；

步骤二，所述IPsec隧道两端的节点分别判断是否收到过对方的控制报文，如果收到过，则直接使用新的密钥发送转发报文；如果没有收到过，设置第一定时器，在定时器未到期期间内，使用新的出向密钥定期发送控制报文，同时，使用旧的密钥发送和接收原来的数据报文，保证转发面仍然正常加解密；

步骤三，所述第一定时器到期时，节点再次判断是否收到过对方的控制报文，如果收到过，则直接使用新的密钥发送转发报文；如果没有收到过，设置第二定时器，在定时器未到期期间内，使用新的出向密钥定期发送控制报文，同时，使用旧的密钥发送和接收原来的数据报文，保证转发面仍然正常加解密；

步骤四，收到对方发送的控制报文后，通过SPI查找本地SA数据库，如果本节点还没有收到更新后的密钥，则记录控制流信息，丢弃报文；如果收到了更新后的密钥，则停止定时器，不再发送控制报文，并开始使用新的密钥发送数据报文。

进一步的，所述控制报文在现有IPsec封装协议封装头部分的下一个报文头中增加控制协议头，并封装对应的TLV控制头。

更进一步的，所述控制协议包括：

Next Header：下一个报文头，8比特大小，用来填充IP报文IANA编号或原始数据的协议IANA编号；

Type：类型字段，根据需求定义填充控制类型；

Len：长度字段，根据控制类型定义对应数据长度，其长度为Value的长度；

Value：控制数据字段，长度根据Len定义。

进一步的，IPsec封装协议中的AH封装协议、ESP封装协议中，报文头中的下一个报文头指明是IPsec控制头，IPsec控制头中的下一个报文头指明原始报文信息。

进一步的，在AH封装格式的隧道模式中，所述控制协议头添加到AH头之后，原始IP头之前；在AH封装格式的传输模式中，所述控制协议头添加到AH头之后，数据之前。