[发明专利]IPSec隧道建立方法及装置、分支设备、中心端设备

说明书

本申请提供一种IPSec隧道建立方法及装置、分支设备、中心端设备，应用于计算机网络领域，其中，应用于Spoke的方法包括：获取Spoke对应的DVPN隧道接口地址，并生成Spoke对应的源端口；向Hub发送IPSec协商报文；接收Hub返回的第一响应报文，并建立与Hub之间的IPSec隧道。在上述方案中，Spoke在触发建立与Hub之间的IPSec隧道之前，可以首先根据Spoke对应的DVPN隧道接口地址修改五元组中的源端口，以使五元组不同，从而可以利用修改后的五元组成功建立Spoke与Hub之间的IPSec隧道，而避免建立IPSec隧道过程中出现冲突。

技术领域

本申请涉及计算机网络领域，具体而言，涉及一种IPSec隧道建立方法及装置、分支设备、中心端设备。

背景技术

动态虚拟私有网络(Dynamic Virtual Private Network，DVPN)是为了解决传统的互联网安全协议(Internet Protocol Security，IPSec)隧道技术的配置复杂、不便响应网络拓扑变化和分支机构地址变化而提出的一项技术。

其中，DVPN不支持加密，只是封装新的互联网协议(Internet Protocol，IP)头，可以使用内网报文经过封装后通过公网到达对端；而IPSec支持加密但是对于隧道地址经常变化的情况以及多个端到端的场景，维护起来过于复杂。此外，IPSec安全性强，但是维护过于复杂；DVPN维护简单但是安全性稍差。因此，两种结合使用，安全和维护都有提升，基于此，DVPN over IPSec的方式应运而生。

在DVPN over IPSec中，由于IPSec的数据流使用的五元组包括源IP地址、目的IP地址、协议值、源端口以及目的端口，而传输模式下，DVPN的中心端设备Hub看到的源IP地址为网络地址转换(Network Address Translation，NAT)设备端口地址转换(Port AddressTranslation，PAT)转换后的地址，因此，可能会出现不同的分支设备Spoke提供的五元组完全相同的情况，此时，会导致IPSec隧道的建立过程出现冲突。

发明内容

本申请实施例的目的在于提供一种IPSec隧道建立方法及装置、分支设备、中心端设备，用以解决IPSec隧道的建立过程出现冲突的技术问题。

为了实现上述目的，本申请实施例所提供的技术方案如下所示：

第一方面，本申请实施例提供一种IPSec隧道建立方法，应用于分支设备Spoke，包括：获取所述Spoke对应的DVPN隧道接口地址；根据所述DVPN隧道接口地址生成所述Spoke对应的源端口；向中心端设备Hub发送IPSec协商报文；其中，所述IPSec协商报文的五元组中携带的源端口为生成的所述Spoke对应的源端口；接收所述Hub根据所述IPSec协商报文返回的第一响应报文；根据所述第一响应报文建立与所述Hub之间的IPSec隧道。在上述方案中，Spoke在触发建立与Hub之间的IPSec隧道之前，可以首先根据Spoke对应的DVPN隧道接口地址修改五元组中的源端口，以使修改后的五元组与修改前的五元组以及其他已建立IPSec隧道对应的五元组均不同，从而可以利用修改后的五元组成功建立Spoke与Hub之间的IPSec隧道，而避免建立IPSec隧道过程中出现冲突。

在本申请的可选实施例中，所述方法还包括：在建立所述IPSec隧道后，向所述Hub发送DVPN协商报文；其中，所述DVPN协商报文包括所述DVPN隧道接口地址；接收所述Hub根据所述DVPN协商报文返回的第二响应报文；根据所述第二响应报文建立与所述Hub之间的DVPN隧道。在上述方案中，在建立IPSec隧道之后，可以利用对应的IPSec安全策略加密封装得到DVPN协商报文，以根据DVPN协商报文建立Spoke与Hub之间的DVPN隧道，从而实现DVPNover IPsec。