[發(fā)明專利]將通信安全操作卸載到網(wǎng)絡(luò)接口控制器

有效

• 申請?zhí)枺?/td>: 201880079802.2
• 申請日: 2018-12-10
• 公開（公告）號: CN111480328B
• 公開（公告）日: 2022-08-02
• 發(fā)明（設(shè)計）人: 阿迪·梅納赫姆;利朗·利斯;鮑里斯·皮斯緬內(nèi)
• 申請（專利權(quán)）人: 邁絡(luò)思科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/08;G06F21/60;G06F9/455;G06F21/53
• 代理公司: 深圳中一聯(lián)合知識產(chǎn)權(quán)代理有限公司 44414
• 代理人: 張禹

1.一種計算裝置，包括：

主機處理器，其被配置用于運行虛擬機監(jiān)控器(virtual machine monitor，VMM)，所述虛擬機監(jiān)控器支持在所述主機處理器上運行的多個虛擬機，并且包括密碼安全軟件模塊，所述密碼安全軟件模塊被配置用于對由所述虛擬機中的一個或多個虛擬機發(fā)送和接收的數(shù)據(jù)分組施加密碼安全協(xié)議；以及

網(wǎng)絡(luò)接口控制器(NIC)，其被配置用于將所述主機處理器鏈接到網(wǎng)絡(luò)，以便通過所述網(wǎng)絡(luò)向所述虛擬機發(fā)送所述數(shù)據(jù)分組和從所述虛擬機接收所述數(shù)據(jù)分組，并且所述NIC包括密碼安全硬件邏輯模塊，所述密碼安全硬件邏輯模塊被配置用于在由所述VMM調(diào)用時，對由所述虛擬機中的一個或多個虛擬機發(fā)送和接收的數(shù)據(jù)分組施加所述密碼安全協(xié)議，同時保持所述密碼安全協(xié)議關(guān)于所述虛擬機中的一個或多個虛擬機中的每一個的狀態(tài)上下文，

其中，所述NIC被配置用于，在當(dāng)對指向給定虛擬機的數(shù)據(jù)分組施加所述密碼安全協(xié)議時遇到異常之后，將所述數(shù)據(jù)分組連同所述密碼安全協(xié)議關(guān)于所述給定虛擬機的狀態(tài)上下文一起傳送到所述VMM的所述密碼安全軟件模塊，所述密碼安全軟件模塊使用所述狀態(tài)上下文處理所述數(shù)據(jù)分組，并在處理后將所述數(shù)據(jù)分組傳遞給所述給定虛擬機。

2.根據(jù)權(quán)利要求1所述的裝置，其中所述VMM被配置用于施加所述密碼安全協(xié)議以及調(diào)用所述密碼安全硬件邏輯模塊，而無需所述虛擬機參與所述密碼安全協(xié)議的調(diào)用或?qū)崿F(xiàn)。

3.根據(jù)權(quán)利要求1所述的裝置，其中所述VMM被配置用于，當(dāng)所述NIC遇到所述異常時，通過與所述NIC執(zhí)行預(yù)定義握手來獲取所述密碼安全協(xié)議關(guān)于所述給定虛擬機的狀態(tài)上下文。

4.根據(jù)權(quán)利要求3所述的裝置，其中所述預(yù)定義握手包括從所述NIC查詢和接收分組序列號信息，以及更新在所述密碼安全協(xié)議中使用的重放保護信息。

5.根據(jù)權(quán)利要求1所述的裝置，其中所述異常包括在所述數(shù)據(jù)分組的發(fā)送者施加所述密碼安全協(xié)議之后對所述數(shù)據(jù)分組進行分片，并且其中所述VMM被配置用于對所述數(shù)據(jù)分組進行分片整理。

6.根據(jù)權(quán)利要求1所述的裝置，其中所述VMM被配置用于，在處理所述數(shù)據(jù)分組之后，通過使經(jīng)處理的數(shù)據(jù)分組通過所述NIC循環(huán)到所述給定虛擬機，來將經(jīng)處理的數(shù)據(jù)分組傳遞到所述給定虛擬機。

7.根據(jù)權(quán)利要求1-6中的任一項所述的裝置，其中所述NIC被配置用于使用所述密碼安全協(xié)議的狀態(tài)上下文對從所述給定虛擬機向指定目的地發(fā)送的數(shù)據(jù)分組施加封裝，同時保持使用所述狀態(tài)上下文發(fā)送的數(shù)據(jù)的計數(shù)，并且當(dāng)所述計數(shù)達到預(yù)定義的限制時，停止向所述指定目的地發(fā)送所述數(shù)據(jù)分組，并將所述狀態(tài)上下文傳送到所述VMM的所述密碼安全軟件模塊以供更新所述狀態(tài)上下文。

8.根據(jù)權(quán)利要求1-6中的任一項所述的裝置，其中所述NIC被配置用于使用所述密碼安全協(xié)議的狀態(tài)上下文，對從所述網(wǎng)絡(luò)接收到的封裝數(shù)據(jù)分組施加解封裝，以及在從所述VMM接收到終止所述解封裝的指令之后，使所述接收到的數(shù)據(jù)分組循環(huán)回到所述網(wǎng)絡(luò)。

9.根據(jù)權(quán)利要求1-6中的任一項所述的裝置，其中所述密碼安全協(xié)議包括IPsec協(xié)議。