[發明專利]一種多進程高并發的IPSec VPN隧道實現方法及裝置

在審

• 申請號: 201310387339.7
• 申請日: 2013-08-30
• 公開（公告）號: CN103442068A
• 公開（公告）日: 2013-12-11
• 發明（設計）人: 羅俊
• 申請（專利權）人: 成都衛士通信息產業股份有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;H04L12/46
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 袁春曉

1.一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，包括：

步驟1：接收IKE?密鑰交換數據報文；

步驟2：將接收到的IKE密鑰交換報文進行分類，把經過分類的IKE密鑰交換報文放入不同的入工作隊列；

步驟3：每個入工作隊列對應一個協商工作進程以及出工作隊列，所述各個協商工作進程按照IKE協議依次處理其對應的入工作隊列中的IKE密鑰交換報文，并將相應的回應報文放入其對應的出工作隊列；

步驟4：不斷依次訪問各出工作隊列，取出回應報文并發送。

2.根據權利要求1所述的一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，所述各個協商工作進程在各自的CPU或CPU核上運行。

3.根據權利要求2所述的一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，在所述步驟2中，根據IKE密鑰交換報文的對端IP地址對IKE密鑰交換報文進行分類。

4.根據權利要求3所述的一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，對各協商工作進程從0到N-1依次編號，N為協商工作進程總數；在所述步驟2中包含分類步驟A：將接收到的報文的對端IP地址尾字段的8位值對N求余，所得值即為處理該IKE密鑰交換報文的協商工作進程編號；分類步驟B：將所述報文送到所述協商工作進程編號對應的協商工作進程中。

5.根據權利要求4所述的一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，還包括確定各個協商工作進程的工作量的步驟；

所述步驟2還包括，判斷接收到的報文是否是IKE密鑰交換報文的第一報文，若是，則順序執行分類步驟A及分類步驟B；否則，則執行分類步驟C；

所述分類步驟A還包括，得到處理某IKE密鑰交換報文的協商工作進程編號后，判斷所述協商工作進程編號對應的協商工作進程工作量是否大于閾值，若是，將所述協商工作進程編號加1，直到所述協商工作進程編號對應的協商工作進程工作量不大于所述閾值，則將該IKE密鑰交換報文的對端IP地址及所述協商工作進程編號寫入所述遷移記錄表；

所述分類步驟C包括：首先在遷移記錄表中查詢是否記錄有該報文對端IP地址對應的協商工作進程編號：若沒有，則順序執行分類步驟A及分類步驟B，若有，則將該報文送入遷移記錄表記錄的其對端IP地址對應的協商器的入工作隊列。

6.根據權利要求5所述的一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，確定各個協商工作進程的工作量的方法包括：

計算接收到的IKE密鑰交換報文總數；

計算各個協商工作進程處理的IKE密鑰交換報文數量；

計算各個協商工作進程處理的IKE密鑰交換報文數量對于IKE密鑰交換報文總數的比值，所述比值則為各個協商工作進程的工作量。

7.根據權利要求6所述的一種多進程高并發的IPSec?VPN隧道實現方法，其特征在于，所述步驟1、步驟2及步驟4也在各自的CPU或CPU核上運行。

8.一種實現多進程高并發的IPSec?VPN隧道裝置，其特征在于，包括：

接收器，用于接收IKE?密鑰交換數據報文；

分類器，用于將接收到的IKE密鑰交換報文進行分類，把經過分類的IKE密鑰交換報文放入不同的入工作隊列；

協商器，每個入工作隊列對應一個協商器以及出工作隊列，所述各個協商器用于按照IKE協議依次處理其對應的入工作隊列中的IKE密鑰交換報文，并將相應的回應報文放入其對應的出工作隊列；

發送器，用于不斷依次訪問各出工作隊列，取出回應報文并發送。

9.根據權利要求8所述的一種實現多進程高并發的IPSec?VPN隧道裝置，其特征在于，所述各個協商器由各自的CPU或CPU核實現；且分類器用于根據IKE密鑰交換報文的對端IP地址對IKE密鑰交換報文進行分類。

10.根據權利要求9所述的一種實現多進程高并發的IPSec?VPN隧道裝置，其特征在于，對各協商器從0到N-1依次編號，N為協商器總數；所述分類器還確定各個協商器的工作量，以及用于判斷接收到的報文是否是IKE密鑰交換報文的第一報文，若是，則將所述報文依次送入A級分類器及B級分類器；否則，則送入C級分類器；

所述A級分類器，用于將接收到的報文的對端IP地址尾字段的8位值對N求余，所得值即為處理該IKE密鑰交換報文的協商器編號；得到所述協商器編號后，判斷其對應的協商器工作量是否大于閾值，若是，將所述協商器編號加1，直到協商器編號對應的協商器工作量不大于所述閾值，則將該對端IP地址及所述協商器編號寫入所述遷移記錄表；

所述B級分類器，用于將所述報文送到所述協商器編號對應的協商器中；

所述C級分類器，用于首先在遷移記錄表中查詢是否記錄有該報文對端IP地址對應的協商器編號：若沒有，則將報文依次送入A級分類器及B級分類器，若有，則將該報文送入遷移記錄表記錄的其對端IP地址對應的協商器的入工作隊列。