[發明專利]通過用戶數控制IPSEC負載分擔的方法及設備

有效

• 申請號: 201210424150.6
• 申請日: 2012-10-30
• 公開（公告）號: CN102938740A
• 公開（公告）日: 2013-02-20
• 發明（設計）人: 陳海濱
• 申請（專利權）人: 漢柏科技有限公司
• 主分類號: H04L12/803
• 分類號: H04L12/803
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

技術領域

本發明涉及網絡通信技術領域，尤其涉及一種通過用戶數控制IPSEC負載分擔的方法及設備。

背景技術

當前網絡設備大多帶IPSEC功能和流量負載分擔功能。接口流量負載分擔通常將目的地址相同的數據流以負載分擔的方式盡可能平均的分配到負載分擔接口（負載分擔接口大于等于2），此時負載分擔接口有到相同目的地址的路由，所以可以將數據通過兩個不同的接口送到相同的目的地。其中在接口上建立的每個IPSEC隧道是需要占用接口資源的，而利用IPSEC功能對報文進行轉發時，通常不能對接口進行選擇，因此，不能實現根據接口已經協商建立的IPSEC隧道數目的不同選擇IPSEC隧道數目較少的負載分擔接口，使得出接口資源分配更加均勻。

發明內容

（一）要解決的技術問題

本發明要解決的技術問題是：提供一種通過用戶數控制IPSEC負載分擔的方法，以使得出接口資源分配更加均勻。

（二）技術方案

為解決上述問題，一方面，本發明提供了一種通過用戶數控制IPSEC負載分擔的方法，包括以下步驟：

S1：網絡設備配置負載分擔接口組，每個負載分擔接口組包括多個負載分擔接口；

S2：配置多個IPSEC隧道綁定到所述負載分擔接口組上；

S3：根據負載分擔接口組組內各負載分擔接口已經建立的隧道數目的不同，在新建連接時選擇已經建立的隧道數目最少的負載分擔接口進行協商，建立隧道。

優選地，所述步驟S3具體為：

S31：對報文進行路由查找，如果查找到所述報文的出接口為負載分擔接口組，并且所述負載分擔接口組配置了IPSEC隧道，則將所述報文對所述負載分擔接口組的每個IPSEC隧道進行匹配：

如果匹配成功，則轉到步驟S32；

如果所述報文對所述負載分擔接口組的所有IPSEC隧道都沒有匹配成功，則對報文進行流量負載分擔計算，并通過計算出的出接口發出所述報文，方法結束；

S32：判斷匹配的隧道是否已經建立在負載分擔接口上：

如果建立了，則對報文進行隧道加密后發出所述報文；

如果沒有建立，則對所述負載分擔接口組中各負載分擔接口的已經建立的隧道數目進行計算，找到已經建立的隧道數目最少的負載分擔接口進行IKE隧道協商，建立隧道，并對報文進行隧道加密后發出所述報文。

優選地，在所述步驟S31之前還包括以下步驟：對需要轉發的報文進行對應快轉表的查找：

如果找到對應快轉表，則按照快轉表記錄上的處理方式處理報文后直接根據快轉表上記錄的出接口將報文進行轉發，方法結束；

如果沒有找到對應快轉表，則創建快轉表并轉到步驟S31。

優選地，在所述步驟S31中通過計算出的出接口發出所述報文的步驟之后，還包括記錄對應快轉表的步驟。

優選地，在所述步驟S32中在對報文進行隧道加密后發出所述報文的步驟之后，還包括記錄對應快轉表的步驟。

優選地，所述找到已經建立的隧道數目最少的負載分擔接口進行IKE隧道協商時，所述協商的原地址為所述已經建立的隧道數目最少的負載分擔接口的ip地址。

另一方面，本發明還提供了一種通過用戶數控制IPSEC負載分擔的設備，包括：

網絡設備，用于配置負載分擔接口組，每個負載分擔接口組包括多個負載分擔接口；

隧道配置模塊，用于配置多個IPSEC隧道綁定到所述負載分擔接口組上；

隧道建立模塊，用于根據負載分擔接口組組內各負載分擔接口已經建立的隧道數目的不同，在新建連接時選擇已經建立的隧道數目最少的負載分擔接口進行協商，建立隧道。

優選地，所述網絡設備為防火墻、路由器和交換機中的一種。

（三）有益效果

本發明將IPSEC隧道配置在負載分擔接口組上，組內的接口根據負載分擔接口上已經建立的隧道數目的不同，當新建連接時選擇已經建立的隧道數目較少的負載分擔接口進行協商建立隧道，使IPSEC和接口負載分擔完美的結合起來，達到IPSEC接口負載分擔的目的，出接口分配更加靈活、接口資源分配更均勻。

附圖說明

圖1為根據本發明通過用戶數控制IPSEC負載分擔的方法的流程圖；

圖2為根據本發明通過用戶數控制IPSEC負載分擔的設備的結構示意框圖。

具體實施方式

下面結合附圖及實施例對本發明進行詳細說明如下。

實施例一：