[發明專利]一種IPSec VPN網關數據包處理裝置及方法

有效

• 申請號: 201910389738.4
• 申請日: 2019-05-10
• 公開（公告）號: CN110138553B
• 公開（公告）日: 2022-08-19
• 發明（設計）人: 廖正赟;孫曉鵬;李亞運;衛志剛;劉武忠;李頂占;李鑫;武宗品
• 申請（專利權）人: 鄭州信大捷安信息技術股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;G06F9/50;H04L12/46
• 代理公司: 鄭州德勤知識產權代理有限公司 41128
• 代理人: 黃紅梅

1.一種IPSec VPN網關數據包處理裝置，其特征在于，包括：

IPSec主模塊，用于進行IPSec VPN網關的數據層面和控制層面分離；所述數據層面包括用戶態網卡收發數據包，所述控制層面包括IPSec協議的密鑰協商；

用戶態收發包模塊，用于提供所述用戶態網卡收發數據包的收包接口和發包接口，并與所述IPSec主模塊進行交互實現數據包的收發；

所述數據包的收發通過所述用戶態收發包模塊采用用戶態網卡輪詢DMA的連續內存機制進行數據包的收發，具體包括：

步驟1，初始化用戶態網卡申請的連續內存和寄存器；

步驟2，申請收包環形隊列并從所述連續內存上申請數據包綁定所述收包環形隊列；

步驟3，設置所述用戶態網卡的收包基地址并啟動所述用戶態網卡；

步驟4，通過輪詢所述收包環形隊列并判斷當前節點狀態是否就緒，若就緒則將所述數據包的地址發送至所述IPSec主模塊處理，否則等待下次輪詢；

所述數據包的發包具體包括：

步驟S1，初始化用戶態網卡申請的連續內存和寄存器；

步驟S2，申請發包環形隊列并從所述IPSec主模塊讀取待發送的數據包及將所述待發送的數據包放置于所述發包環形隊列；

步驟S3，通過置位所述用戶態網卡的發送寄存器并等待下一個需要發送的數據包。

2.根據權利要求1所述的IPSec VPN網關數據包處理裝置，其特征在于，所述數據層面獨占綁定第一CPU核，所述控制層面綁定第二CPU核；所述數據層面還包括由所述第一CPU核進行數據包的協議解析、包過濾和NAT功能。

3.根據權利要求1所述的IPSec VPN網關數據包處理裝置，其特征在于，所述用戶態收發包模塊采用用戶態網卡輪詢DMA的連續內存機制進行數據包的收發，所述連續內存用于用戶態網卡DMA進行數據包的直接存儲。

4.根據權利要求1所述的IPSec VPN網關數據包處理裝置，其特征在于，所述數據包處理裝置還包括FPGA加解密模塊，用于與所述IPSec主模塊進行交互實現數據包的加解密。

5.一種應用權利要求1所述的IPSec VPN網關數據包處理裝置的數據包處理方法，其特征在于，所述數據包處理方法包括：

通過所述IPSec主模塊進行IPSec VPN網關的數據層面和控制層面分離；所述數據層面包括用戶態網卡收發數據包，所述控制層面包括IPSec協議的密鑰協商；

通過所述用戶態收發包模塊與所述IPSec主模塊進行交互實現數據包的收發。

6.根據權利要求5所述的數據包處理方法，其特征在于，通過所述IPSec主模塊進行IPSec VPN網關的數據層面和控制層面分離具體包括：

將所述數據層面獨占綁定第一CPU核及將所述控制層面綁定第二CPU核；

所述IPSec主模塊采用所述第二CPU核進行IPSec協議的密鑰協商生成共享密鑰；

所述IPSec主模塊采用所述第一CPU核并通過調用所述用戶態收發包模塊的收包接口和發包接口進行數據包的收發。

7.根據權利要求6所述的數據包處理方法，其特征在于， 所述數據包處理方法還包括：

通過FPGA加解密模塊與所述IPSec主模塊進行交互實現數據包的加解密。

8.根據權利要求7所述的數據包處理方法，其特征在于，通過所述FPGA加解密模塊與所述IPSec主模塊進行交互實現數據包的加解密具體包括：

所述IPSec主模塊將所述共享密鑰和收發的所述數據包發送至FPGA加解密模塊；

所述FPGA加解密模塊通過所述共享密鑰對收發的所述數據包進行加解密和HMAC計算后返回至所述IPSec主模塊。