一种快速检测IPSEC对等体失效的方法及系统.pdf

本发明涉及互联网领域ip安全协议，其公开了一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。该方法包括以下步骤：A.两端IPSec对等体之间建立IPSec隧道；B.每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤C，否则，进入步骤D；C.维持该IPSec隧道存活，正常收发报文，返回步骤B；D.拆除该IPSec隧道，删除相关SA和注入路由。本发明适用于通信网络中快速故障检测。

权利要求书1.  一种快速检测IPSec对等体失效的方法，其特征在于，包括以下步骤：A.两端IPSec对等体之间建立IPSec隧道；B.每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤C，否则，进入步骤D；C.维持当前IPSec隧道存活，正常收发报文，返回步骤B；D.拆除当前IPSec隧道，删除与该IPSec隧道关联的SA和注入路由。2.  如权利要求1所述的快速检测IPSec对等体失效的方法，其特征在于，步骤B中，所述每当路由表有更新时，进行一次路由匹配具体包括：每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。3.  如权利要求1或2所述的快速检测IPSec对等体失效的方法，其特征在于，步骤A中，所述两端IPSec对等体之间建立IPSec隧道包括：两端IPSec对等体协商建立至少两条IPSec隧道，并选择其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。4.  如权利要求3所述的快速检测IPSec对等体失效的方法，其特征在于，该方法还包括步骤：E.将备份隧道作为两端IPSec对等体的当前IPSec隧道。5.  一种快速检测IPSec对等体失效的系统，其特征在于，包括：IPSec隧道建立模块，用于与对等体对端之间建立IPSec隧道；路由匹配模块，用于每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则维持当前IPSec隧道存活，正常收发报文；若不存在匹配的路由条目，则通知IPSec隧道拆除模块；IPSec隧道切换模块，用于在收到路由匹配模块通知信息后，拆除当前IPSec隧道，删除相关SA和注入路由。6.  如权利要求5所述的快速检测IPSec对等体失效的系统，其特征在于，所述每当路由表有更新时，进行一次路由匹配包括：每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。7.  如权利要求5或6所述的快速检测IPSec对等体失效的系统，其特征在于，所述IPSec隧道建立模块用于与对等体对端之间协商建立至少两条IPSec隧道，其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。8.  如权利要求7所述的快速检测IPSec对等体失效的系统，其特征在于，所述IPSec隧道切换模块还用于将备份隧道作为两端IPSec对等体的当前IPSec隧道。

说明书一种快速检测IPSec对等体失效的方法及系统
技术领域
本发明涉及互联网领域IP安全协议，具体涉及一种快速检测IPSec(IP协议安全)对等体失效的系统及方法。
背景技术
目前IPSec作为一种安全的VPN(虚拟专用网络)技术在企业中得到广泛应用。通过静态配置或者动态协商加密算法、秘钥等安全参数建立一条具有安全性的VPN隧道。
若网络中对于同一条流，存在两条IPSec隧道，当主用隧道断开，流量将切换到备用隧道，实现切换的前提是设备能快速检测对等体失效。
在传统技术中，检测对等体失效主要依靠DPD(对等体存活检测)方式，即向对等体发送检测报文，如果在一定时间内没有得到回应，则认为对等体失效。该技术解决了无法感知IPSec对等体状态的问题，但需要在链路上增加报文的收发，而且当出现故障时仍然需要一定时间才能感知到对等体失效。
作为DPD的补充，人们还提出了其他的一些检测方法，如通过构造特殊的检测报文，从而使对等体不仅能感知对端IKE SA(因特网密钥交换安全联盟)状态，还能感知IPSec SA状态，其特点如DPD，也需要在链路上传送报文；此外，还有通过出接口状态来判断对等体状态的方法，此方法不需要在链路上增加报文收发，但检测范围非常有限，譬如直连链路没有故障但整个传输路径中有故障时，此方法就无法感知对等体已失效。
发明内容
本发明所要解决的技术问题是：提出一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。
本发明解决其技术问题所采用的技术方案是：一种快速检测IPSec对等体失效的方法，包括以下步骤：
A.两端IPSec对等体之间建立IPSec隧道；
B.每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤C，否则，进入步骤D；
C.维持当前IPSec隧道存活，正常收发报文，返回步骤B；
D.拆除当前IPSec隧道，删除与该IPSec隧道关联的SA和注入路由。
进一步，步骤A中，所述两端IPSec对等体之间建立IPSec隧道包括：
两端IPSec对等体协商建立至少两条IPSec隧道，并选择其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。
进一步，步骤B中，所述每当路由表有更新时，进行一次路由匹配包括：
每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。
进一步，该方法还包括步骤：
E.将备份隧道作为两端IPSec对等体的当前IPSec隧道。
此外，本发明的另一目的还在于提供一种快速检测IPSec对等体失效的系统，其包括：
IPSec隧道建立模块，用于与对等体对端之间建立IPSec隧道；
路由匹配模块，用于每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则维持当前IPSec隧道存活，正常收发报文；若不存在匹配的路由条目，则通知IPSec隧道切换模块；
IPSec隧道切换模块，用于在收到路由匹配模块通知信息后，拆除当前IPSec隧道，删除相关SA和注入路由。
进一步，所述IPSec隧道建立模块用于与对等体对端之间协商建立至少两条IPSec隧道，其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。
进一步，所述每当路由表有更新时，进行一次路由匹配包括：
每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。
进一步，所述IPSec隧道切换模块还用于将备份隧道作为两端IPSec对等体的当前IPSec隧道。
本发明的有益效果是：本方案可用于IPSec隧道备份和负载的情况，当主IPSec隧道对端失效，可以迅速检测到故障，触发流量切换到备份隧道，缩短切换时间，避免流量丢失；
此外，当使用反向路由注入时，注入路由的状态取决于IPSec隧道的状态，而注入的路由往往又通过动态路由协议重分发到网络远端，因此本方案能加快整网路由的收敛；
本方案不需要在链路上增加报文收发，可以和DPD同时使用，能作为DPD的有效补充，通过路由可达性来判断对等体有效性，其检测范围大于仅通过出接口状态来判断对等体有效性。本方案能加快整网收敛，完善组网逻辑，避免流量黑洞。
附图说明
图1是本发明快速检测IPSec对等体失效系统框图；
图2是本发明快速检测IPSec对等体失效方法流程图；
图3是本发明实施例中快速检测IPSec对等体失效应用场景示意图。
具体实施方式
本发明旨在提出一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。
参见图1，本发明中快速检测IPSec对等体失效系统包括：
IPSec隧道建立模块，用于与对等体对端之间建立IPSec隧道；
路由匹配模块，用于每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则维持当前IPSec隧道存活，正常收发报文；若不存在匹配的路由条目，则通知IPSec隧道切换模块；
IPSec隧道切换模块，用于在收到路由匹配模块通知信息后，拆除当前IPSec隧道，删除相关SA和注入路由。
基于上述系统，本发明还提供了一种快速检测IPSec对等体失效的方法，如图2所示，其包括步骤：
S1.两端建立IPSec隧道：
在本步骤中，通过IPSec对等体两端的IPSec隧道建立模块建立与对方之间的IPSec隧道，为了保障对等体之间通信的可靠性，可以建立多条IPSec隧道，其中至少包括一条主IPSec隧道和一备份IPSec隧道，在隧道建立完成后可以选择主IPSec隧道作为当前IPSec隧道进行报文收发；
S2.判断对等体是否路由可达：
在本步骤中，由路由匹配模块，在每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤S5；若不存在匹配的路由条目，则进入步骤S3；
S3.拆除当前IPSec隧道，删除与该隧道关联的SA和注入路由：
在本步骤中，IPSec隧道切换模块在收到路由匹配模块的发出的拆除隧道通知后，拆除当前IPSec隧道，并删除与该IPSec隧道关联的相关SA和注入路由，此时可以切换至备份IPSec隧道进行通信，进入步骤S4；
S4.切换当前IPSec隧道：
在本步骤中，IPSec隧道切换模块将当前IPSec隧道由主IPSec隧道切换至备份IPSec隧道；
S5.保持隧道相关信息：
在本步骤中，若IPSec对等体路由可达，则维持当前IPSec隧道存活，正常收发报文。
上述方案中的路由匹配机制可以以命令形式来体现，本申请中将其命名为peer-route trigger(对等体等同路由触发)，在路由器配置中默认开启，设备操作者也可以根据对组网需求选择关闭。
下面结合该方案在组网环境中的具体应用来进一步的描述：
如图3所示，假设一个远端站点通过路由器A与企业总部内网通信，路由器A通过电信和移动的无线网络与路由器B和C建立IPSec隧道，AB之间的隧道为主用隧道，AC之间的隧道为备份隧道。
当AB出现中断(可能为无线空口中断、电信路由中断或LNS1到路由器B中断等)，此时虽然路由器AB之间已无法通信，但由于IPSec端点接口仍开启，所以IPSec模块无法直接感知，路由器B仍会将流量进行IPSec封装后从去往LNS1的接口发出，直到DPD超时，网络将出现短暂的流量黑洞。
若使能了peer-route trigger功能，路由器B发现LNS1重分发过来的虚接口直连路由已经消失，路由器A的对等体路由不可达，因此立即拆除当前IPSec隧道，删除该IPSec隧道SA和注入路由，流量切换到移动网络，从而缩短切换时间，避免流量丢失。