SD-WAN数据平面隐私加密

SD-WAN边缘路由器使用带有加密和解密数据的IPsec来保护它们之间交换的数据流量。传统的 IPsec 环境中，Internet Key Exchange (IKE) 用于促进对等方之间的密钥交换。这将创建每对密钥，要求每个设备在全环境中管理 n^2 个密钥交换和 (n-1) 不同的密钥。

为了在 SD-WAN 未实施的络中扩展更有效 IKE，因为已经在 WAN 在边缘路由器和控制器之间建立了身份。已使用控制平面 DTLS 或 TLS 用于通信的身份验证、加密和防篡改 AES-256 对称密钥。每一个广域边缘路由器都是每一个 TLOC 生成一个 AES 密钥，并在 OMP 这些信息在路由数据包中传输 vSmart 默认情况下，每个密钥的生命周期为控制器 24?? 小时。每 12 每小时生成一个新密钥，并将其发送到 vSmart 控制器，然后分发到其他广域边缘路由器，这意味着任何时候都有两个密钥。当 WAN 当边缘路由器切换到使用新生成的密钥时，后一个已知的密钥仍将保留 12 小时，用任何钥匙接收流量。如果 OMP 会话丢失到 vSmart 控制器，WAN 边缘路由器将继续使用它们的新信息(配置、策略、路由和 IPsec 密钥)长达 12 小时，这是 OMP 正常重启计时器长度。确保可以支持这两个键 12 小时 OMP 正常重启计时器，因为你不知道 OMP 何时可能发生中断。