[發(fā)明專利]一種負(fù)載均衡的IPSecVPN設(shè)備集群系統(tǒng)及其工作方法

有效

• 申請?zhí)枺?/td>: 201410460656.1
• 申請日: 2014-09-12
• 公開（公告）號: CN104184675B
• 公開（公告）日: 2017-05-31
• 發(fā)明（設(shè)計）人: 羅俊
• 申請（專利權(quán)）人: 成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司
• 主分類號: H04L12/803
• 分類號: H04L12/803;H04L29/06;H04L12/46
• 代理公司: 成都九鼎天元知識產(chǎn)權(quán)代理有限公司51214
• 代理人: 詹永斌

1.一種負(fù)載均衡的IPSec VPN設(shè)備集群系統(tǒng)，其特征在于，包括若干IPSec VPN設(shè)備，每臺IPSec VPN設(shè)備均運行有計算能力評估模塊、組內(nèi)同步模塊、負(fù)載管理模塊、地址應(yīng)答器、數(shù)據(jù)分類器；

計算能力評估模塊用于在同一個集群內(nèi)的IPSec VPN設(shè)備起動時進(jìn)行簽名運算，得到其所在IPSec VPN設(shè)備的計算能力評估結(jié)果；

組內(nèi)同步模塊負(fù)責(zé)在同一個集群內(nèi)的所有成員設(shè)備間進(jìn)行安全策略、安全聯(lián)盟、在線狀態(tài)和計算能力信息的交互和同步并形成全局一致的安全策略、安全聯(lián)盟和在線狀態(tài)；

負(fù)載管理模塊通過組內(nèi)同步信息得到全局一致的安全策略、安全聯(lián)盟和在線狀態(tài)，根據(jù)組內(nèi)各IPSec VPN設(shè)備計算能力的不同進(jìn)行數(shù)據(jù)負(fù)載的分配，并根據(jù)其所在IPSec VPN設(shè)備的負(fù)載分配設(shè)置實際生效的安全策略和安全聯(lián)盟；

地址應(yīng)答器根據(jù)系統(tǒng)內(nèi)所有IPSec VPN設(shè)備統(tǒng)一設(shè)置的虛擬地址信息，對從內(nèi)網(wǎng)出站的IP數(shù)據(jù)報文和從外網(wǎng)入站的IP數(shù)據(jù)報文的鏈路層地址請求進(jìn)行一致的回應(yīng)；

數(shù)據(jù)分類器根據(jù)數(shù)據(jù)報文是否處在其所在IPSec VPN設(shè)備已生效的安全策略或安全聯(lián)盟之內(nèi)，對進(jìn)出站的IP數(shù)據(jù)報文提供不同的處理路徑；所述數(shù)據(jù)分類器對出站的IP數(shù)據(jù)報文提供不同的處理路徑具體為：

對于處在本機已生效的安全策略或安全聯(lián)盟范圍之內(nèi)的數(shù)據(jù)報文，進(jìn)行正常的IPSec處理；或，

對于處在本機已生效的安全策略或安全聯(lián)盟范圍之外但在僅更新的安全策略和安全聯(lián)盟范圍之內(nèi)的數(shù)據(jù)報文，僅進(jìn)行序列號的更新或序列號的驗證及抗重放窗口的更新以及安全策略和安全聯(lián)盟生存期的更新，并將該報文丟棄。

2.如權(quán)利要求1所述的負(fù)載均衡的IPSec VPN設(shè)備集群系統(tǒng)，其特征在于，所述集群內(nèi)的每臺IPSec VPN設(shè)備均設(shè)置一個可配置的IP多播地址，作為組內(nèi)通訊地址，組內(nèi)同步模塊定期將本臺設(shè)備的安全策略、安全聯(lián)盟、在線狀態(tài)和計算能力評估結(jié)果通過多播的方式傳遞到集群的其他成員設(shè)備，同時也接受其他成員設(shè)備通過多播傳遞過來的安全策略、安全聯(lián)盟、在線狀態(tài)和計算能力評估結(jié)果，形成該集群全局一致的安全策略和安全聯(lián)盟。

3.如權(quán)利要求1所述的負(fù)載均衡的IPSec VPN設(shè)備集群系統(tǒng)，其特征在于，所述設(shè)備集群各IPSec VPN設(shè)備具有共享的虛擬IP地址，作為該集群共享的IPSec VPN隧道源IP地址，所有通過該集群處理的出站IP數(shù)據(jù)報文都以該集群各成員設(shè)備共享的虛擬IP地址作為隧道封裝后的源IP地址，而所有以該虛擬IP地址為目的IP地址的入站IPSec報文將被集群內(nèi)的所有在線成員設(shè)備接收。

4.如權(quán)利要求1所述的負(fù)載均衡的IPSec VPN設(shè)備集群系統(tǒng)，其特征在于，計算能力評估模塊以多線程的方式運行1萬次2048比特模長的RSA簽名運算，并計算出以次/秒為單位的簽名速度，作為其所在IPSec VPN設(shè)備的計算能力評估結(jié)果。