一种快速检测IPSec对等体失效的方法及系统的制作方法
【技术领域】
[0001]本发明涉及互联网领域IP安全协议，具体涉及一种快速检测IPSec (IP协议安全)对等体失效的系统及方法。
【背景技术】
[0002]目前IPSec作为一种安全的VPN(虚拟专用网络)技术在企业中得到广泛应用。通过静态配置或者动态协商加密算法、秘钥等安全参数建立一条具有安全性的VPN隧道。
[0003]若网络中对于同一条流，存在两条IPSec隧道，当主用隧道断开，流量将切换到备用隧道，实现切换的前提是设备能快速检测对等体失效。
[0004]在传统技术中，检测对等体失效主要依靠DPD (对等体存活检测)方式，即向对等体发送检测报文，如果在一定时间内没有得到回应，则认为对等体失效。该技术解决了无法感知IPSec对等体状态的问题，但需要在链路上增加报文的收发，而且当出现故障时仍然需要一定时间才能感知到对等体失效。
[0005]作为DPD的补充，人们还提出了其他的一些检测方法，如通过构造特殊的检测报文，从而使对等体不仅能感知对端IKE SA(因特网密钥交换安全联盟)状态，还能感知IPSec SA状态，其特点如DPD，也需要在链路上传送报文；此外，还有通过出接口状态来判断对等体状态的方法，此方法不需要在链路上增加报文收发，但检测范围非常有限，譬如直连链路没有故障但整个传输路径中有故障时，此方法就无法感知对等体已失效。
【发明内容】
[0006]本发明所要解决的技术问题是:提出一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。
[0007]本发明解决其技术问题所采用的技术方案是:一种快速检测IPSec对等体失效的方法，包括以下步骤:
[0008]A.两端IPSec对等体之间建立IPSec隧道；
[0009]B.每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则进入步骤C，否则，进入步骤D ;
[0010]C.维持当前IPSec隧道存活，正常收发报文，返回步骤B ;
[0011]D.拆除当前IPSec隧道，删除与该IPSec隧道关联的SA和注入路由。
[0012]进一步，步骤A中，所述两端IPSec对等体之间建立IPSec隧道包括:
[0013]两端IPSec对等体协商建立至少两条IPSec隧道，并选择其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。
[0014]进一步，步骤B中，所述每当路由表有更新时，进行一次路由匹配包括:
[0015]每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。
[0016]进一步，该方法还包括步骤:
[0017]E.将备份隧道作为两端IPSec对等体的当前IPSec隧道。
[0018]此外，本发明的另一目的还在于提供一种快速检测IPSec对等体失效的系统，其包括:
[0019]IPSec隧道建立模块，用于与对等体对端之间建立IPSec隧道；
[0020]路由匹配模块，用于每当路由表有更新时，进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则维持当前IPSec隧道存活，正常收发报文；若不存在匹配的路由条目，则通知IPSec隧道切换模块；
[0021]IPSec隧道切换模块，用于在收到路由匹配模块通知信息后，拆除当前IPSec隧道，删除相关SA和注入路由。
[0022]进一步，所述IPSec隧道建立模块用于与对等体对端之间协商建立至少两条IPSec隧道，其中一条为主IPSec隧道，另一条为备份IPSec隧道，将主IPSec隧道作为当前IPSec隧道。
[0023]进一步，所述每当路由表有更新时，进行一次路由匹配包括:
[0024]每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配。
[0025]进一步，所述IPSec隧道切换模块还用于将备份隧道作为两端IPSec对等体的当前IPSec隧道。
[0026]本发明的有益效果是:本方案可用于IPSec隧道备份和负载的情况，当主IPSec隧道对端失效，可以迅速检测到故障，触发流量切换到备份隧道，缩短切换时间，避免流量丢失;
[0027]此外，当使用反向路由注入时，注入路由的状态取决于IPSec隧道的状态，而注入的路由往往又通过动态路由协议重分发到网络远端，因此本方案能加快整网路由的收敛；
[0028]本方案不需要在链路上增加报文收发，可以和Dro同时使用，能作为Dro的有效补充，通过路由可达性来判断对等体有效性，其检测范围大于仅通过出接口状态来判断对等体有效性。本方案能加快整网收敛，完善组网逻辑，避免流量黑洞。
【附图说明】
[0029]图1是本发明快速检测IPSec对等体失效系统框图；
[0030]图2是本发明快速检测IPSec对等体失效方法流程图；
[0031]图3是本发明实施例中快速检测IPSec对等体失效应用场景示意图。
【具体实施方式】
[0032]本发明旨在提出一种快速检测IPSec对等体失效的系统和方法，解决传统技术中检测对等体失效的手段存在的检测时间长、需要在链路上传送报文或检测范围有限的问题。
[0033]参见图1，本发明中快速检测IPSec对等体失效系统包括:
[0034]IPSec隧道建立模块，用于与对等体对端之间建立IPSec隧道；
[0035]路由匹配模块，用于每当路由表有更新时，在全局路由表中，对最长匹配IPSec对等体端点的路由进行一次路由匹配，判断对端IPSec对等体是否路由可达，若存在匹配的路由条目，则维持当前IPSec隧道存活，正常收发报文；若不存在匹配的路由条目，则通知IPSec隧道切换模块；
[0036]IPSec隧道切换模块，用于在收到路由匹配模块通知信息后，拆除当前IPSec隧道，删除相关SA和注入路由。
[0037]基于上述系统，本发明还提供了一种快速检测IPSec对等体失效的方法，如图2所示，其包括步骤: