[發明專利]一種基于多核處理器實現IPSEC的方法及其裝置

無效

• 申請號: 201110083460.1
• 申請日: 2011-04-02
• 公開（公告）號: CN102170434A
• 公開（公告）日: 2011-08-31
• 發明（設計）人: 譚廷柱;劉英宇;鄭紹功;李劍榮
• 申請（專利權）人: 京信通信系統（中國）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 王茹;曾旻輝

1.一種基于多核處理器實現IPSEC的裝置，其特征在于，所述裝置包括：IKE協議處理模塊、AH/ESP協議處理模塊和共享內存；所述AH/ESP協議處理模塊與所述IKE協議處理模塊，均分別包含所述多核處理器的至少一個核；

所述AH/ESP協議處理模塊，用于接收本地端發送的明文非IKE數據，根據該明文非IKE數據通過共享機制查詢所述共享內存中是否有相應的安全策略SP和安全關聯SA，若是，則根據所述安全策略SP和所述安全關聯SA，對該明文非IKE數據進行AH協議或者ESP協議處理并發送到異地端；

接收所述異地端發送的數據，判斷該數據的類別并進行相應處理：若判定該數據為密文數據，則根據該數據通過共享機制查詢所述共享內存中是否有相應的安全策略SP和安全關聯SA，若是，則根據所述安全策略SP和所述安全關聯SA，對該密文數據進行解密處理并發送到所述本地端；若判定該數據為明文IKE數據，則將該明文IKE數據轉發到所述IKE協議處理模塊；

接收所述IKE協議處理模塊發送的IKE回應包，并將該IKE回應包發送到所述異地端；

所述IKE協議處理模塊，用于接收所述AH/ESP協議處理模塊轉發的所述明文IKE數據，根據該數據通過共享機制向所述共享內存發送IKE協議處理指令，接收所述共享內存發送的處理結果，并根據該處理結果向所述AH/ESP協議處理模塊發送所述IKE回應包；

所述共享內存，用于存儲所述安全策略SP和所述安全關聯SA，通過共享內存機制接收所述IKE協議處理模塊發送的IKE協議處理指令，并根據該指令進行處理，通過共享內存機制將所述處理結果發送到所述IKE協議處理模塊。

2.根據權利要求1所述的基于多核處理器實現IPSEC的裝置，其特征在于，所述AH/ESP協議處理模塊，具體包括以下單元：數據處理單元、本地端輸入輸出調度單元、異地端輸入輸出調度單元；

所述異地端輸入輸出調度單元，用于接收所述異地端發送的數據，并根據異地端調度算法將該數據調度發送到所述數據處理單元，或接收所述數據處理單元發送的所述IKE回應包或加密后的明文非IKE數據，并根據所述異地端調度算法將該數據調度發送到所述異地端；

所述本地端輸入輸出調度單元，用于接收所述本地端發送的所述明文非IKE數據，并根據本地端調度算法將該數據調度發送到所述數據處理單元，或接收所述數據處理單元發送的解密后的密文數據，并根據所述本地端調度算法將該數據調度發送到所述本地端；

所述數據處理單元，用于接收所述本地端輸入輸出調度單元發送的所述明文非IKE數據，根據該數據通過共享內存機制查詢所述共享內存中是否有相應的安全策略SP和安全關聯SA，若是，則根據所述安全策略SP和所述安全關聯SA，對該數據進行加密處理并發送到所述異地端輸入輸出調度單元；

接收所述異地端輸入輸出調度單元發送的數據，判斷該數據的類別并進行相應處理：若判定該數據為密文數據，則根據該密文數據通過共享內存機制查詢所述共享內存中是否有相應的安全策略SP和安全關聯SA，若是，則根據所述安全策略SP和所述安全關聯SA，對該密文數據進行解密處理并發送到所述本地端輸入輸出調度單元；若判定該數據為明文IKE數據，則將該明文IKE數據轉發到所述IKE協議處理模塊；

接收所述IKE協議處理模塊發送的所述IKE回應包，并將所述IKE回應包發送到所述異地端輸入輸出調度單元。

3.根據權利要求2所述的基于多核處理器實現IPSEC的裝置，其特征在于，所述AH/ESP協議處理模塊包含至少一個硬件加解密引擎；?

所述硬件加解密引擎，用于被所述數據處理單元調用以對所述明文非IKE數據進行加密或對所述密文數據進行解密處理。

4.根據權利要求2所述的基于多核處理器實現IPSEC的裝置，其特征在于，所述數據處理單元，還用于當根據所述明文非IKE數據通過共享內存機制沒有查詢到所述共享內存中有相應的安全策略SP和安全關聯SA時，則丟棄該明文非IKE數據；

當根據所述密文數據通過共享內存機制沒有查詢到所述共享內存中有相應的安全策略SP和安全關聯SA時，則丟棄該密文數據。