[發明專利]一種分布式IPSec負荷分擔裝置和方法

無效

• 申請號: 200910109059.3
• 申請日: 2009-07-29
• 公開（公告）號: CN101616084A
• 公開（公告）日: 2009-12-30
• 發明（設計）人: 杜勇;于洪濤;林晨
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06
• 代理公司: 深圳市永杰專利商標事務所
• 代理人: 曹建軍

1、一種分布式Internet協議安全IPSec負荷分擔裝置，其特征在于，所述裝置包括線卡和協處理卡，所述

線卡用于建立并維護IPSec隧道的對端Internet協議IP地址與相應的協處理卡號的對應關系表；用于在接收到IPSec報文時，從所述對應關系表中查找處理所述IPSec報文的協處理卡號，并將所述報文轉發給查找到的卡號對應的協處理卡；

協處理卡用于對接收到的報文進行IPSec處理。

2、如權利要求1所述的分布式IPSec負荷分擔裝置，其特征在于，所述線卡還用于在接收到的IPSec報文為待加密報文時，為所述報文匹配IPSec隧道配置；用于在接收到的IPSec報文為待加密報文且沒有查找到處理所述報文的協處理卡號時，丟棄所述報文，并觸發任一協處理卡進行Internet密鑰交換協議IKE協商；以及用于在接收到的IPSec報文為待解密報文且沒有查找到處理所述報文的協處理卡號時，丟棄所述報文；

所述協處理卡還用于進行Internet密鑰交換協議IKE協商；用于保存協商生成的本地IPSec隧道的安全聯盟SA；用于將協商生成的本地IPSec隧道的對端IP地址與本協處理卡號的對應關系表項發送給所有線卡。

3、如權利要求2所述的分布式IPSec負荷分擔裝置，其特征在于，所述線卡還用于將接收到的所述協處理卡發送來的表項保存到所述對應關系表中。

4、一種分布式IPSec負荷分擔方法，其特征在于，在線卡上建立IPSec隧道的對端IP地址與相應協處理卡號對應關系表，當線卡接收到IPSec報文時，通過查詢所述對應關系表，找到相應的處理所述報文的協處理卡號，并將所述報文轉發給所述卡號對應的協處理卡進行IPSec處理。

5、如權利要求4所述的分布式IPSec負荷分擔方法，其特征在于，若所述線卡接收到的IPSec報文為待加密報文，則所述線卡先為所述報文匹配IPSec隧道配置，然后根據所述配置中的對端IP地址，在所述對應關系表中查找相應的協處理卡號。

6、如權利要求4所述的分布式IPSec負荷分擔方法，其特征在于，若所述線卡接收到的IPSec報文為待解密報文，則所述報文的源地址即為其在本地的對端IP地址，所述線卡直接根據所述報文的源地址，在所述對應關系表中查找相應的協處理卡號。

7、如權利要求4或5所述的分布式IPSec負荷分擔方法，其特征在于，若所述線卡接收到的IPSec報文是待加密報文，且在所述對應關系表中沒有找到相應的協處理卡號，則丟棄所述報文，并觸發任一協處理卡進行IKE協商。

8、如權利要求7所述的分布式IPSec負荷分擔方法，其特征在于，所述協處理卡被觸發后，首先進行IKE協商，生成SA及IPSec隧道的對端IP地址與本協處理卡號的對應關系表項；然后保存所述SA，并將所述表項發送給所有線卡；

線卡將接收到的表項保存到對應關系表中。

9、如權利要求4或6所述的分布式IPSec負荷分擔方法，其特征在于，若所述線卡接收到的IPSec報文是待解密報文，且在所述對應關系表中沒有找到相應的協處理卡號，則丟棄所述報文。

10、如權利要求4所述的分布式IPSec負荷分擔方法，其特征在于，所述協處理卡接收到的報文后，對所述報文進行IPSec處理，具體為：

查找安全聯盟數據庫SADB，找到匹配的SA，根據所述SA對接收到的報文進行加密/解密處理，并對經過加密/解密的報文進行封裝/解封裝。