一种基于回传通道的连接建立的方法及装置制造方法
【专利摘要】本发明公开了一种基于回传通道的连接建立的方法及装置，用于解决现有技术中由于网络中的安全防护策略导致的IPSec通道无法正常建立的问题。该方法为：服务端接收到客户端基于回传通道标识发起的连接请求时，按照预设的映射关系将回传通道标识映射为对应的IPSec通道标识，基于IPSec通道标识生成通道建立消息，并按照预设的映射关系将IPSec通道标识映射为回传通道标识，基于回传通道标识向客户端发送通道建立消息，确定与客户端建立连接。采用上述方法给出在客户端与服务端之间的IPSec通道建立失败时，还能通过映射操作继续采用IPSec技术进行通信，保障整个系统的鲁棒性，降低因为安全防护措施对整个系统的影响。
【专利说明】一种基于回传通道的连接建立的方法及装置
【技术领域】
[0001] 本发明涉及移动通信领域，特别涉及一种基于回传通道的连接建立的方法及装 置。
【背景技术】
[0002] 目前femto基站的回传网络建设是基于现有的IP宽带网络，因此，femto基站具备 强大的补盲补热和快速建网的特点，其中，femto系统网关、femto基站为业内公认的叫法， 平时将femto基站等同为豕庭基站。
[0003] femto基站和femto网关间的回传网络，是基于互联网协议安全性（Internet Protocol Security，IPSec)隧道模式进行回传建设的，IPSEC隧道技术是一种公网传输加 密的技术，能够保障通信双方数据不被监听。该技术通过包封装，封装内部网络的网络协议 (IP)地址，实现异地内部网络的互连互通。利用该技术，可以安全有效的实现femto基站和 femto网关建立异地内部网络的连接。
[0004] femto基站通过IP宽带网络能够方便的访问到连接到IP宽带网络的任何一个网 关服务器，但是这也同样的意味着，在IP宽带网络上形形色色的防火墙以及安全机制会对 femto基站的回传通道进行误判，出于某种保护的目的，非常容易导致femto基站和femto 网关的通道无法正常建立。
[0005] 例如，参阅图1所示，femto基站是客户端的一种，femto网关是服务端的一种，在 IP网络上，存在大量防火墙和安全防护措施，这些策略极有可能会将客户端和服务端之间 建立的IPSec通道进行屏蔽，图1左侧客户端与服务端之间是利用标准的IPSec通道成功 建立连接，右侧客户端在网络中因为安全防护策略服务器的安全机制，只能建立和安全防 护策略服务器之间的连接，无法与服务端建立连接。
[0006] 同样的，在企业范围内搭建femto网络也会碰到同样的问题，企业基于商业机密 保护的目的会对其内部的IP网络建立各种各样的安全检测和保护机制，这种机制容易造 成femto基站的回传网络变的非常不稳定，而且这种现象很难进行查找和分析。
[0007] 因此，一旦出现femto基站和femto网关之间的IPSec隧道建立失败的情况发生， 就无法正常开展基于femto的通信业务，降低了 femto技术的兼容性。
【发明内容】
[0008] 本发明实施例提供一种基于回传通道的连接建立的方法及装置，用来解决现有技 术中客户端与服务端之间的IPSec通道建立失败时导致的回传网络不稳定，femto技术兼 容性差的问题。
[0009] 本发明实施例提供的具体技术方案如下：
[0010] 一种基于回传通道的连接建立的方法，该方法包括：
[0011] 客户端确定无法通过网络协议安全性IPSec通道与服务端建立连接时，依次基于 存储的每一个回传通道标识向服务端发起连接请求；
[0012] 客户端接收到服务端返回的通道建立消息时，确定与服务端建立连接，其中，通道 建立消息是服务端按照预设的映射关系将任意一个回传通道标识映射为对应的IPSec通 道标识，并基于IPSec通道标识生成的，再按照预设的映射关系将IPSec通道标识映射为任 意一个回传通道标识后，基于任意一个回传通道标识发送至本客户端的。
[0013] 本发明实施例中，客户端用于建立IPSec通道，并采用轮询的方式对回传通道进 行搜索，动态的根据IPSec通道是否建立成功来自适应的更换数据回传通道，提高了 femto 设备在互联网上的兼容性，提升了整个femto网络的鲁棒性；服务端用于建立多个回传 通道与IPSec通道的映射关系，并在接收到客户端通过回传通道发送的数据包时，映射到 IPSec通道上，使得建立的回传通道具有正常的IPSec安全保护的功能。客户端与服务端基 于回传通道的连接建立方案，能够配置多种回传通道集合，保障整个系统的鲁棒性，降低因 为安全防护措施对整个系统的影响。
[0014] 较佳的，IPSec通道标识与各个回传通道标识同时为通信端口号，或者同时为IP 地址。
[0015] 一种基于回传通道的连接建立的方法，该方法为：
[0016] 服务端接收到客户端基于回传通道标识发起的连接请求时，按照预设的映射关系 将回传通道标识映射为对应的网络协议安全性IPSec通道标识；
[0017] 服务端基于IPSec通道标识生成通道建立消息，并按照预设的映射关系将IPSec 通道标识映射为回传通道标识；
[0018] 服务端基于回传通道标识向客户端发送通道建立消息，确定与客户端建立连接。
[0019] 本发明实施例中，客户端用于建立IPSec通道，并采用轮询的方式对回传通道进 行搜索，动态的根据IPSec通道是否建立成功来自适应的更换数据回传通道，提高了 femto 设备在互联网上的兼容性，提升了整个femto网络的鲁棒性；服务端用于建立多个回传 通道与IPSec通道的映射关系，并在接收到客户端通过回传通道发送的数据包时，映射到 IPSec通道上，使得建立的回传通道具有正常的IPSec安全保护的功能。客户端与服务端基 于回传通道的连接建立方案，能够配置多种回传通道集合，保障整个系统的鲁棒性，降低因 为安全防护措施对整个系统的影响。
[0020] 较佳的，按照预设的映射关系将回传通道标识映射为对应的IPSec通道标识，基 于IPSec通道标识生成通道建立消息，包括：
[0021] 服务端按照预设的映射关系将回传通道标识映射为IPSec通道标识；
[0022] 服务端针对连接请求，基于IPSec通道标识进行密钥验证；
[0023] 在密钥验证通过后，服务端基于IPSec通道标识生成通道建立消息。
[0024] 通过这种可能的实施方式，采用映射操作，可以使得采用其他回传通道发送的数 据包在网络传输时具有采用IPSec通道传输时的安全性。
[0025] 较佳的，确定与客户端建立连接之后，还包括：
[0026] 服务端基于回传通道标识建立回传通道后，接收客户端通过回传通道发送的加密 数据包；
[0027] 服务端按照预设的映射关系将加密数据包的包头中携带的回传通道标识映射为 对应的IPSec通道标识；
[0028] 服务端基于IPSec通道标识对加密数据包的数据部分进行解密。通过这种可能的 实施方式，在客户端与服务端的回传通道建立之后发送的加密消息也同样通过回传通道到 达服务端，由服务端进行映射到IPSec通道后，进行密钥验证，保证了加密消息发送的安全 性。
[0029] 较佳的，IPSec通道标识与回传通道标识同时为通信端口号，或者同时为IP地址。
[0030] 一种基于回传通道的连接建立的装置，该装置包括：
[0031] 请求单元，用于确定无法通过网络协议安全性IPSec通道与服务端建立连接时， 依次基于存储的每一个回传通道标识向服务端发起连接请求；
[0032] 连接单元，用于接收到服务端返回的通道建立消息时，确定与服务端建立连接，其 中，通道建立消息是服务端按照预设的映射关系将任意一个回传通道标识映射为对应的 IPSec通道标识，并基于IPSec通道标识生成的，再按照预设的映射关系将IPSec通道标识 映射为任意一个回传通道标识后，基于任意一个回传通道标识发送至本客户端的。
[0033] 本发明实施例中，客户端用于建立IPSec通道，并采用轮询的方式对回传通道进 行搜索，动态的根据IPSec通道是否建立成功来自适应的更换数据回传通道，提高了 femto 设备在互联网上的兼容性，提升了整个femto网络的鲁棒性；服务端用于建立多个回传 通道与IPSec通道的映射关系，并在接收到客户端通过回传通道发送的数据包时，映射到 IPSec通道上，使得建立的回传通道具有正常的IPSec安全保护的功能。客户端与服务端基 于回传通道的连接建立方案，能够配置多种回传通道集合，保障整个系统的鲁棒性，降低因 为安全防护措施对整个系统的影响。
[0034] 较佳的，IPSec通道标识与各个回传通道标识同时为通信端口号，或者同时为IP 地址。
[0035] 一种基于回传通道的连接建立的装置，该装置包括：
[0036] 映射单元，用于接收到客户端基于回传通道标识发起的连接请求时，按照预设的 映射关系将回传通道标识映射为对应的网络协议安全性IPSec通道标识，并基于IPSec通 道标识生成通道建立消息，以及按照预设的映射关系将IPSec通道标识映射为回传通道标 识；
[0037] 连接单元，用于基于回传通道标识向客户端发送通道建立消息，确定与客户端建 立连接。
[0038] 本发明实施例中，客户端用于建立IPSec通道，并采用轮询的方式对回传通道进 行搜索，动态的根据IPSec通道是否建立成功来自适应的更换数据回传通道，提高了 femto 设备在互联网上的兼容性，提升了整个femto网络的鲁棒性；服务端用于建立多个回传 通道与IPSec通道的映射关系，并在接收到客户端通过回传通道发送的数据包时，映射到 IPSec通道上，使得建立的回传通道具有正常的IPSec安全保护的功能。客户端与服务端基 于回传通道的连接建立方案，能够配置多种回传通道集合，保障整个系统的鲁棒性，降低因 为安全防护措施对整个系统的影响。
[0039] 较佳的，映射单元，具体用于：
[0040] 按照预设的映射关系将回传通道标识映射为IPSec通道标识；
[0041] 针对连接请求，基于IPSec通道标识进行密钥验证；
[0042] 在密钥验证通过后，基于IPSec通道标识生成通道建立消息。
[0043] 较佳的，还包括：发送单元，用于在确定与客户端建立连接之后，基于回传通道 标识建立回传通道后，接收客户端通过回传通道发送的加密数据包，并按照预设的映射关 系将加密数据包的包头中携带的回传通道标识映射为对应的IPSec通道标识，以及基于 IPSec通道标识对加密数据包的数据部分进行解密。
[0044] 通过这种可能的实施方式，在客户端与服务端的回传通道建立之后发送的加密消 息也同样通过回传通道到达服务端，由服务端进行映射到IPSec通道后，进行密钥验证，保 证了加密消息发送的安全性。
[0045] 较佳的，IPSec通道标识与回传通道标识同时为通信端口号，或者同时为IP地址。
【专利附图】
【附图说明】
[0046] 图1为现有技术中的网络架构图；
[0047] 图2为本发明实施例中客户端侧基于回传通道的连接方法流程图；
[0048] 图3为本发明实施例中服务端侧基于回传通道的连接方法流程图；
[0049] 图4为本发明实施例中的网络架构图；
[0050] 图5为本发明实施例中客户端侧建立回传通道的流程图；
[0051] 图6为本发明实施例中服务端侧建立回传通道的流程图；
[0052] 图7为本发明实施例中客户端侧基于回传通道的连接装置结构图；
[0053] 图8为本发明实施例中服务端侧基于回传通道的连接装置结构图。
【具体实施方式】
[0054] 为了提升基于IPSec通信在互联网上的兼容性，给出在客户端（femto基站）与服 务端（femto网关）之间的IPSec通道建立失败时，还能采用IPSec技术进行通信的方案， 本发明实施例中提供了一种基于回传通道的连接建立的方法。
[0055] 下面结合附图对本发明优选的实施方式进行详细说明。
[0056] 参阅图2所示，本发明提供一种基于回传通道的连接建立的方法，客户端侧的具 体实施步骤如下：
[0057] 步骤200 :客户端确定无法通过IPSec通道与服务端建立连接时，依次基于存储的 每一个回传通道标识向服务端发起连接请求。
[0058] 具体的，客户端优先利用IPSec通道作为回传通道与服务端建立连接，当客户端 确定无法通过IPSec通道与服务端建立连接时，尝试更换其它回传通道，不再以IPSec通道 与服务端进行对接，客户端从本地配置的回传通道集合中依次选取每一个用于唯一指示回 传通道的回传通道标识，基于每一个回传通道标识向服务端发起连接请求。
[0059] 其中，回传通道指的是在IP网络上进行传输的逻辑通道，是利用IP技术的各种特 征字段而区分业务服务的一种逻辑通道。例如，通过目的IP地址能够区分到达不同服务器 的逻辑通道，通过传输协议能够区分到达同一个服务器，进行不同业务的逻辑通道，通信端 口能够区分采用相同传输协议到达相同服务器，进行不同业务的逻辑通道。
[0060] 步骤210 :客户端接收到服务端返回的通道建立消息时，确定与服务端建立连接， 其中，通道建立消息是服务端按照预设的映射关系将任意一个回传通道标识映射为对应的 IPSec通道标识，并基于IPSec通道标识生成的，再按照预设的映射关系将IPSec通道标识 映射为任意一个回传通道标识后，基于任意一个回传通道标识发送至本客户端的。
[0061] 具体的，客户端预先配置回传通道集合，该回传通道集合由各个回传通道标识组 成，在服务端配置有标识映射表，用于指示回传通道集合中各个回传通道标识与现有的 IPSec通道标识之间预设的映射关系。回传通道可以为通信端口号或IP地址等等。
[0062] 其中，若IPSec通道标识与各个回传通道标识同时为通信端口号，则预设的映射 关系用于指示IPSec通道的通信端口号与回传通道的通信端口号的映射关系；或者，若 IPSec通道标识与各个回传通道标识同时为IP地址，则预设的映射关系用于指示IPSec通 道的IP地址与回传通道的IP地址的映射关系。
[0063] 客户端尝试利用其他回传通道与服务端进行连接，直到客户端接收到服务端返回 的通道建立消息时，则建立成功，若回传通道未能建立成功，则继续从回传通道集合中选择 其他回传通道标识，基于这个回传通道标识再次向服务端发起请求。服务端在接收到连接 请求时，针对该连接请求，按照标识映射表指示的映射关系将发起时采用的回传通道标识 映射为对应的IPSec通道标识，基于映射后的IPSec通道标识生成通道建立消息，将通道 建立消息发送至客户端时，先按照预设的映射关系将通道建立消息中携带的IPSec通道标 识映射为对应的回传通道标识，再基于映射后的回传通道标识将通道建立消息发送至客户 端。
[0064] 参阅图3所示，本发明提供一种基于回传通道的连接建立的方法，服务端侧的具 体实施步骤如下：
[0065] 步骤300 :服务端接收到客户端基于回传通道标识发起的连接请求时，按照预设 的映射关系将回传通道标识映射为对应的IPSec通道标识。
[0066] 步骤310 :服务端基于IPSec通道标识生成通道建立消息，并按照预设的映射关系 将IPSec通道标识映射为回传通道标识；
[0067] 具体的，在步骤300和步骤310中，服务端在本地配置与客户端相同的回传通道集 合，根据IP技术中的多种标识字段进行映射，这种映射需要将标识字段的取值范围，分割 为不同的集合，在将这些不同的集合一一映射为IPSec通道的标识字段。回传通道标识和 IPSec通道标识可以为通信端口号或IP地址等等。
[0068] 其中，若IPSec通道标识与回传通道标识同时为通信端口号，则预设的映射关系 用于指示IPSec通道的通信端口号与回传通道的通信端口号的映射关系；或者，若IPSec通 道标识与回传通道标识同时为IP地址，则预设的映射关系用于指示IPSec通道的IP地址 与回传通道的IP地址的映射关系。
[0069] 服务端在配置好回传通道集合后，优先通过IPSec通道进行接入，同时对回传通 道集合中的所有回传通道进行监听。服务端在监听过程中，当发现采用IPSec通道进行接 入时，不做映射处理，以现有的流程进行密钥验证；当发现客户端是基于回传通道标识发起 连接请求时，按照预设的映射关系将回传通道标识映射为对应的IPSec通道标识，具体流 程如下：
[0070] 服务端按照预设的映射关系将回传通道标识映射为IPSec通道标识；服务端针对 连接请求，基于IPSec通道标识进行密钥验证；在密钥验证通过后，服务端基于IPSec通道 标识生成通道建立消息，并按照标识映射表指示的映射关系将IPSec通道标识映射为回传 通道标识。
[0071] 进行映射操作时，可以由服务端完成映射操作，也可以单独采用一个映射实体完 成映射的操作，以下以采用映射实体的方式来介绍映射操作，传输过程中的数据包至少携 带此次发送的源IP地址和目的IP地址，源通信端口和目的通信端口。若回传通道标识和 IPSec通道标识采用通信端口号时，此时客户端与服务端在交互过程中分四段，第一段：客 户端向服务端发送连接请求时发出的数据包先由客户端发送至映射实体，源IP地址：客户 端IP地址，目标IP地址：映射实体IP地址，源通信端口为80,目的通信端口为80 ;第二段： 映射实体收到客户端发送的数据包后，转发给服务端，此次发送时的源IP地址：映射实体 IP地址，目标IP地址：服务端IP地址源通信端口号由映射实体按照标识映射表指示的映 射关系映射为通信端口（port) 1，目的通信端口为500 ;第三段：服务端接收到映射实体转 发的数据包后，进行密钥验证，待验证通过后，向此次的目标客户端发送通道建立消息时的 数据包，源IP地址：服务端IP地址，目标IP地址：映射实体IP地址，源通信端口为500,目 的通信端口为portl ;第四段：映射实体收到服务端发送的数据包后，发现收到的数据包的 通信端口为port 1，按照标识映射表指示的映射关系映射为通信端口 80,源IP地址：映射实 体IP地址，目标IP地址：客户端IP地址。如果上述过程有第二个客户端要和服务端建立 连接，那么映射实体分配的通信端口就为p〇rt2。
[0072] 若回传通道标识和IPSec通道标识采用IP地址时，此时客户端与服务端在交互过 程中分四段，第一段：客户端向服务端发送连接请求时发出的数据包先由客户端发送至映 射实体，源IP地址：客户端IP地址，目标IP地址：映射实体IP地址，源通信端口为80,目 的通信端口为80 ;第二段：映射实体收到客户端发送的数据包后，转发给服务端，此次发送 时的源IP地址由映射实体按照标识映射表指示的映射关系映射为IP地址1，目标IP地址： 服务端IP地址，源通信端口号为80,目的通信端口为500 ;第三段：服务端接收到映射实体 转发的数据包后，进行密钥验证，待验证通过后，向此次的目标客户端发送通道建立消息时 的数据包，源IP地址：服务端IP地址，目标IP地址：IP地址1，源通信端口为500,目的通 信端口为80 ;第四段：映射实体收到服务端发送的数据包后，发现收到的数据包的IP地址 为IP地址1，按照标识映射表指示的映射关系映射为客户端IP地址，源通信端口 ：80,目标 通信端口 ：80。如果上述过程有第二个客户端要和服务端建立连接，那么映射实体分配的 IP地址就为IP2。
[0073] 步骤320 :服务端基于回传通道标识向客户端发送通道建立消息，确定与客户端 建立连接。
[0074] 具体的，服务端基于回传通道标识将通道建立消息发送至客户端；服务端在客户 端接收到通道建立消息后，确定与客户端建立连接。
[0075] 确定与客户端建立连接之后，还包括客户端向服务端发送加密数据包：服务端基 于回传通道标识建立回传通道后，接收客户端通过回传通道发送的加密数据包，并按照预 设的映射关系将加密数据包的包头中携带的回传通道标识映射为对应的IPSec通道标识， 以及基于IPSec通道标识对加密数据包的数据部分进行解密。
[0076] 例如，客户端通过建立的回传通道向服务端发送加密数据包，服务端只能通过 IPSec通道标识进行通信，因此，服务端接收到加密数据包时，由映射实体将回传通道映射 至IPSec通道上，采用IPSec通道标识将加密数据包发至服务端，由服务端进行解密。
[0077] 为了对上述流程做出细致的说明，下面参阅图4所示的场景，当服务端确定由 IPSec通道接入客户端时，即编号3的粗线指示的连接路径，直接进行密钥验证，验证通过 后，确定建立连接，当客户端通过IPSec通道建立连接时，由于网络中安全防护策略服务器 的安全机制导致无法建立IPSec通道时，即编号2的粗线指示的连接路径，客户端从本地回 传通道集合中选取一个回传通道标识，基于该回传通道标识向服务端发起连接，即虚线所 指示的连接路径，通过回传通道连接时，需要映射至IPSec通道才能与服务端进行连接，即 编号1的粗线指示的路径，服务端在接收到连接请求后，进行密钥验证，在验证通过之后， 再通过建立的IPSec通道（编号1粗线）将通道建立消息发送至映射实体，由映射实体经 过映射后，将通道建立消息通过回传通道（虚线）发送至客户端。
[0078] 参阅图5所示，下面对本发明实施例中基于回传通道的连接建立的详细流程进行 介绍。
[0079] 步骤500 :客户端基于IPSec通道标识建立IPSec通道；
[0080] 步骤510 :客户端判断该IPSec通道是否建立成功，若建立失败，则继续步骤520 ; 若建立成功，则继续步骤530。
[0081] 步骤520 :客户端依次选取回传通道集合中的回传通道标识，基于该回传通道标 识建立回传通道，直到建立成功或将回传通道集合中的回传通道标识都遍历一遍。
[0082] 步骤530 :客户端确定连接成功，开始与服务端进行业务传输。
[0083] 参阅图6所示，下面对本发明实施例中基于回传通道的连接建立的详细流程进行 介绍。
[0084] 步骤600 :服务端建立标识映射表，并针对IPSec通道和所有回传通道进行监听。
[0085] 步骤610 :服务端判断是否通过IPSec通道进行接入，若是，则执行步骤630 ;否 贝1J，执行步骤620。
[0086] 步骤620 :服务端按照标识映射表指示的映射关系将回传通道标识和对应的 IPSec通道标识进行映射，并在映射后进行密钥验证。
[0087] 步骤630 :服务端直接进行密钥验证。
[0088] 基于同一发明构思，根据本发明上述实施例提供的基于回传通道的连接建立方 法，相应地，本发明另一实施例还提供了一种基于回传通道的连接建立的装置，该装置的结 构示意图如图7所示，具体包括：
[0089] 请求单元700,用于确定无法通过网络协议安全性IPSec通道与服务端建立连接 时，依次基于存储的每一个回传通道标识向服务端发起连接请求；
[0090] 连接单元710,用于接收到服务端返回的通道建立消息时，确定与服务端建立连 接，其中，通道建立消息是服务端按照预设的映射关系将任意一个回传通道标识映射为对 应的IPSec通道标识，并基于IPSec通道标识生成的，再按照预设的映射关系将IPSec通道 标识映射为任意一个回传通道标识后，基于任意一个回传通道标识发送至本客户端的。
[0091] 较佳的，IPSec通道标识与各个回传通道标识同时为通信端口号，或者同时为IP 地址。
[0092] 基于同一发明构思，根据本发明上述实施例提供的基于回传通道的连接建立方 法，相应地，本发明另一实施例还提供了一种基于回传通道的连接建立的装置，该装置的结 构示意图如图8所示，具体包括：
[0093] 映射单元800,用于接收到客户端基于回传通道标识发起的连接请求时，按照预设 的映射关系将回传通道标识映射为对应的网络协议安全性IPSec通道标识，并基于IPSec 通道标识生成通道建立消息，以及按照预设的映射关系将IPSec通道标识映射为回传通道 标识；
[0094] 连接单元810,用于基于回传通道标识向客户端发送通道建立消息，确定与客户端 建立连接。
[0095] 映射单元800,具体用于：
[0096] 按照预设的映射关系将回传通道标识映射为IPSec通道标识；
[0097] 针对连接请求，基于IPSec通道标识进行密钥验证；
[0098] 在密钥验证通过后，基于IPSec通道标识生成通道建立消息。
[0099] 其中，还包括：发送单元820,用于在确定与客户端建立连接之后，基于回传通道 标识建立回传通道后，接收客户端通过回传通道发送的加密数据包，并按照预设的映射关 系将加密数据包的包头中携带的回传通道标识映射为对应的IPSec通道标识，以及基于 IPSec通道标识对加密数据包的数据部分进行解密。
[0100] 较佳的，IPSec通道标识与回传通道标识同时为通信端口号，或者同时为IP地址。
[0101] 由此可见，本发明实施例中，客户端用于建立IPSec通道，并采用轮询的方式对回 传通道进行搜索，动态的根据IPSec通道是否建立成功来自适应的更换数据回传通道，提 高了 femto设备在互联网上的兼容性，提升了整个femto网络的鲁棒性；服务端用于建立多 个回传通道与IPSec通道的映射关系，并在接收到客户端通过回传通道发送的数据包时， 映射到IPSec通道上，使得建立的回传通道具有正常的IPSec安全保护的功能。客户端与服 务端基于回传通道的连接建立方案，能够配置多种回传通道集合，保障整个系统的鲁棒性， 降低因为安全防护措施对整个系统的影响。
[0102] 显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发 明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求 及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
【权利要求】
1. 一种基于回传通道的连接建立的方法，其特征在于，所述方法包括： 客户端确定无法通过网络协议安全性IPSec通道与服务端建立连接时，依次基于存储 的每一个回传通道标识向所述服务端发起连接请求； 客户端接收到所述服务端返回的通道建立消息时，确定与所述服务端建立连接，其中， 所述通道建立消息是所述服务端按照预设的映射关系将所述任意一个回传通道标识映射 为对应的IPSec通道标识，并基于所述IPSec通道标识生成的，再按照所述预设的映射关系 将所述IPSec通道标识映射为所述任意一个回传通道标识后，基于所述任意一个回传通道 标识发送至本客户端的。
2. 如权利要求1所述的方法，其特征在于，所述IPSec通道标识与所述各个回传通道标 识同时为通信端口号，或者同时为IP地址。
3. -种基于回传通道的连接建立的方法，其特征在于，所述方法包括： 服务端接收到客户端基于回传通道标识发起的连接请求时，按照预设的映射关系将所 述回传通道标识映射为对应的网络协议安全性IPSec通道标识； 服务端基于所述IPSec通道标识生成通道建立消息，并按照所述预设的映射关系将所 述IPSec通道标识映射为所述回传通道标识； 服务端基于所述回传通道标识向所述客户端发送所述通道建立消息，确定与所述客户 端建立连接。
4. 如权利要求3所述的方法，其特征在于，按照预设的映射关系将所述回传通道标识 映射为对应的IPSec通道标识，基于所述IPSec通道标识生成通道建立消息，包括 ： 服务端按照所述预设的映射关系将所述回传通道标识映射为所述IPSec通道标识； 服务端针对所述连接请求，基于所述IPSec通道标识进行密钥验证； 在密钥验证通过后，服务端基于所述IPSec通道标识生成通道建立消息。
5. 如权利要求3或4所述的方法，其特征在于，确定与所述客户端建立连接之后，还包 括： 服务端基于所述回传通道标识建立回传通道后，接收客户端通过所述回传通道发送的 加密数据包； 服务端按照所述预设的映射关系将所述加密数据包的包头中携带的所述回传通道标 识映射为对应的IPSec通道标识； 服务端基于所述IPSec通道标识对所述加密数据包的数据部分进行解密。
6. 如权利要求3或4所述的方法，其特征在于，所述IPSec通道标识与所述回传通道标 识同时为通信端口号，或者同时为IP地址。
7. -种基于回传通道的连接建立的装置，其特征在于，所述装置包括： 请求单元，用于确定无法通过网络协议安全性IPSec通道与服务端建立连接时，依次 基于存储的每一个回传通道标识向所述服务端发起连接请求； 连接单元，用于接收到所述服务端返回的通道建立消息时，确定与所述服务端建立连 接，其中，所述通道建立消息是所述服务端按照预设的映射关系将所述任意一个回传通道 标识映射为对应的IPSec通道标识，并基于所述IPSec通道标识生成的，再按照所述预设的 映射关系将所述IPSec通道标识映射为所述任意一个回传通道标识后，基于所述任意一个 回传通道标识发送至本客户端的。
8. 如权利要求7所述的装置，其特征在于，所述IPSec通道标识与所述各个回传通道标 识同时为通信端口号，或者同时为IP地址。
9. 一种基于回传通道的连接建立的装置，其特征在于，所述装置包括： 映射单元，用于接收到客户端基于回传通道标识发起的连接请求时，按照预设的映 射关系将所述回传通道标识映射为对应的网络协议安全性IPSec通道标识，并基于所述 IPSec通道标识生成通道建立消息，以及按照所述预设的映射关系将所述IPSec通道标识 映射为所述回传通道标识； 连接单元，用于基于所述回传通道标识向所述客户端发送所述通道建立消息，确定与 所述客户端建立连接。
10. 如权利要求9所述的装置，其特征在于，所述映射单元，具体用于： 按照所述预设的映射关系将所述回传通道标识映射为所述IPSec通道标识； 针对所述连接请求，基于所述IPSec通道标识进行密钥验证； 在密钥验证通过后，基于所述IPSec通道标识生成通道建立消息。
11. 如权利要求9或10所述的装置，其特征在于，还包括：发送单元，用于在确定与所 述客户端建立连接之后，基于所述回传通道标识建立回传通道后，接收客户端通过所述回 传通道发送的加密数据包，并按照所述预设的映射关系将所述加密数据包的包头中携带的 所述回传通道标识映射为对应的IPSec通道标识，以及基于所述IPSec通道标识对所述加 密数据包的数据部分进行解密。
12. 如权利要求9或10所述的装置，其特征在于，所述IPSec通道标识与所述回传通道 标识同时为通信端口号，或者同时为IP地址。
【文档编号】H04W12/00GK104113889SQ201410327965
【公开日】2014年10月22日 申请日期:2014年7月10日 优先权日:2014年7月10日
【发明者】谢灏 申请人:京信通信系统（中国）有限公司