c++ - 使用 XFRM 消息更新 IPsec key

Question

我正在从事一个 C++ 项目，其中需要使用 ESP 建立 IPsec SA 并快速更改加密 key 。我的问题如下:

有没有办法在不删除相应的 SA 并创建新的 SA 的情况下更新加密 IPsec key ？

IPsec 甚至允许这样做吗？我在 RFC4301 中没有发现任何有关此问题的信息...

我正在使用 Netlink/XFRM 消息来更改 SAD。我尝试在 Netlink 消息标志中使用 NLM_F_REPLACE 并将 XFRM_MSG_UPDSA 用作消息类型，但这些消息根本没有效果。我已经看到 XFRM_MSG_UPDSA 被用来完成由 XFRM_MSG_ALLOCSPI 消息发起的 SA。

这是 XFRM_MSG_UPDSA 类型消息的唯一目的，还是我可以以某种方式使用它们来更改加密 key ？

由于键必须快速变化(如上所述)，性能是一个因素。因此，我想用尽可能少的管理 IPsec (=Netlink/XFRM) 操作来限制我的系统。

Answer 1

我从 strongSwan 开发人员邮件列表的成员那里得到了答复。不幸的是，似乎实际上没有更好的方法。Linux 内核不会更新 XFRM_MSG_UPDSA 上的 key (只有少数其他事情)，因此剩下的唯一可能就是删除一个 SA 并创建一个新的。