CN102075427A - 基于安全联盟的IPSec报文处理方法及装置 - Google Patents

Abstract

本发明公开了一种基于安全联盟的IPSec报文处理方法，包括：将IPSec报文按照所述IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；线程对IPSec报文设置序列号SN并加密、发送。本发明同时公开了基于安全联盟的另一种IPSec报文处理方法，将接收到经前述方法处理过的IPSec报文按照IPSec报文所属的SA分发给各线程；在每一队列中按IPSec报文所属的SA分别设置缓存队列，并按IPSec报文的SN缓存所接收到的IPSec报文，对缓存队列中的IPSec报文进行解密。本发明同时公开了基于安全联盟的IPSec报文处理装置。本发明保证了同一SA的IPSec报文不会出现乱序，解决了因保序而致的网络延迟、丢包、重复覆盖、转发效率低等一系列问题。

Description

基于安全联盟的IPSec报文处理方法及装置

技术领域

本发明涉及IPSec报文处理技术，尤其涉及一种基于安全联盟(SA，SecurityAssociation)的IPSec报文处理方法及装置。

背景技术

随着通讯技术和网络技术的快速发展，网络信息安全问题显得越来越突出。互联网协议安全性(IPSec，Internet Protocol Security)技术是一种解决信息安全问题的有效途径。其通过在网络路由设备上配置IPSec业务而加密信息，并建立安全的传输通道，使得信息在网络传输过程中安全可靠。

在网络路由设备上，为了加快IPSec业务的处理速度，往往采用多核处理器进行多线程处理。图1为现有多线程IPSec报文处理原理示意图，如图1所示，IPSec报文接收和分发单元将接收到的IPSec报文平均分发到线程1到线程n进行处理，处理完后再将IPSec报文统一发送到保序线程进行IPSec报文的保序，最后再由IPSec报文发送单元发送出去。首先，这种方法由于将保序处理统一到一个线程处理，很容易造成转发性能的瓶颈；其次，这种方法处理IPSec报文，忽略了各个安全联盟之间的影响：为了正常实现抗重放功能，网络设备需要对各IPSec报文的序列号(SN，Sequence Number)进行处理，当同一SA的IPSec报文分发到不同线程进行处理时，会出现几个线程同时修改同一SA的SN的冲突，此时就需要进行互斥访问的操作，造成了转发性能的降低。

发明内容

有鉴于此，本发明的主要目的在于提供一种基于安全联盟的IPSec报文处理方法及装置，不必对各线程处理的IPSec报文进行保序，从而大大提高了IPSec报文的处理效率。

为达到上述目的，本发明的技术方案是这样实现的：

一种基于安全联盟的IPSec报文处理方法，包括：

将IPSec报文按照所述IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

线程对IPSec报文设置序列号SN并加密，然后发送。

优选地，所述方法还包括：

同一线程能同时处理分属不同SA的IPSec报文。

优选地，所述线程对IPSec报文设置SN具体为：

线程接收到IPSec报文后，对属于同一SA的IPSec报文顺序编号。

优选地，所述方法还包括：

检测出有负荷超出设定的第一阈值的线程时，将该负荷超出设定阈值的线程上的至少一个SA的待发送IPSec报文分发到负荷未达到设定的第二阈值的线程。

一种基于安全联盟的IPSec报文处理方法，包括：

将接收到经前述基于安全联盟的IPSec报文处理方法处理过的IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

在每一队列中按IPSec报文所属的SA分别设置缓存队列，并按IPSec报文的SN缓存所接收到的IPSec报文，对缓存队列中的IPSec报文进行解密。

一种基于安全联盟的IPSec报文处理装置，包括分发单元、一个以上线程处理单元和发送单元，其中：

分发单元，用于将IPSec报文按照所述IPSec报文所属的安全联盟SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

线程处理单元，用于对IPSec报文设置SN并加密；

发送单元，用于发送处理单元处理后的IPSec报文。

优选地，线程处理单元能同时处理分属不同SA的IPSec报文。

优选地，所述线程处理单元在接收到IPSec报文后，对属于同一SA的IPSec报文顺序编号。

优选地，所述装置还包括：

检测单元，用于检测是否同时存在负荷超出设定的第一阈值的线程处理单元以及负荷未达到设定的第二阈值的线程处理单元，同时存在时通知所述分发单元将该负荷超出设定阈值的线程处理单元中的至少一个SA的待发送IPSec报文分发到负荷未达到设定的第二阈值的线程处理单元。

一种基于安全联盟的IPSec报文处理装置，包括接收单元、分发单元、设置单元、存储单元和处理单元，其中：

接收单元，用于接收所述发送单元发送的IPSec报文；

分发单元，用于将所述接收单元接收的IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

设置单元，用于在每一队列中按IPSec报文所属的SA分别设置缓存队列；

存储单元，用于按IPSec报文所属的SA分别设置缓存队列，

处理单元，用于解密所缓存的IPSec报文。

本发明将同一SA的IPSec报文分发到同一线程上进行处理，这样，保证了同一SA的IPSec报文不会出现乱序，避免了IPSec报文因保序而致的网络延迟、丢包、重复覆盖、转发效率低，流量抖动等一系列问题。本发明还根据处理线程的忙闲状态，动态分配IPSec报文到负荷较轻的线程进行处理，使得各个线程的负载更均衡，充分提高了多核处理器的处理效率。本发明能实现抗重放和保序协同处理，避免了在入向上使用统一线程进行保序，简化了处理流程，提高了转发效率。

附图说明

图1为现有多线程IPSec报文处理原理示意图；

图2为本发明实施例在多核处理器上多线程处理出向IPSec报文的示意图；

图3为本发明实施例在多核处理器上多线程处理入向IPSec报文的示意图；

图4为入向IPSec报文处理模块进行抗重放的原理图；

图5为本发明实施例出向IPSec报文在某一线程上的处理流程图；

图6为本发明实施例入向IPSec报文在某一线程上的处理流程图；

图7为本发明实施例一种基于安全联盟的IPSec报文处理装置的组成结构示意图；

图8为本发明实施例另一种基于安全联盟的IPSec报文处理装置的组成结构示意图。

具体实施方式

本发明实施例的基本思想是，将IPSec报文按照该IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程，而同一线程可处理一个以上的SA的IPSec报文；由于同一SA的IPSec报文实际上由一个线程进行处理，因此不会导致IPSec报文的SN错乱等，有效地避免了IPSec报文因保序而致的网络延迟、丢包、重复覆盖、转发效率低。

为使本发明的目的、技术方案和优点更加清楚明白，以下举实施例并参照附图，对本发明进一步详细说明。

图2为本发明实施例在多核处理器上多线程处理出向IPSec报文的示意图，如图2所示，图中包括出向IPSec报文接收和分发模块210、出向IPSec报文处理模块220和出向IPSec报文发送模块230，其中，出向IPSec报文接收和分发模块210，用于接收出向IPSec报文，并将接收到的IPSec报文根据SA分发到相应的IPSec报文处理线程；其中，属于同一SA的IPSec报文分发到同一线程，而同一线程可处理一个以上的SA的IPSec报文；由于同一SA的IPSec报文实际上由一个线程进行处理，因此不会导致IPSec报文的SN错乱等。出向IPSec报文处理模块220，该模块包含若干并行运行的IPSec报文处理线程，用于对IPSec报文SN进行加一，并对IPSec报文进行加密处理。本发明实施例中的加密主要是对报文进行保密和完整性保护等处理。

由于将IPSec报文根据SA分发到相应的IPSec报文处理线程，即同一个SA的IPSec报文只会在同一个线程处理，避免了同一个IPSec报文经过多个线程处理后的乱序。本发明允许不同SA的IPSec报文进出顺序可以不一致，但这不影响IPSec的抗重放(即报文排序)功能及其它功能的实现，省略了现有技术中的同一保序处理模块，克服了IPSec报文转发的瓶颈，提高了IPSec报文转发的效率。

上述经设置SN以及加密处理后的IPSec报文，经出向IPSec报文发送模块230发送。

图3为本发明实施例在多核处理器上多线程处理入向IPSec报文的示意图，如图3所示，图中包括：入向IPSec报文接收和分发模块310和入向IPSec报文处理模块320，其中，入向IPSec报文接收和分发模块310的功能同图2中的出向IPSec报文接收和分发模块210；入向IPSec报文处理模块320，该模块也包含若干并行运行的IPSec报文处理线程，用于对IPSec的加密IPSec报文进行抗重放处理，并对IPSec报文进行解密处理。

经上述处理后的IPSec报文，经入向IPSec报文发送模块330进行发送。

图4为入向IPSec报文处理模块进行抗重放的原理图，如图4所示，在每个线程中为每个SA分配一个缓存队列，对抗重放窗口内的IPSec报文进行缓存，在抗重放处理过程中，随着抗重放窗口的移动，将将处于窗口外(即已经过抗重放)的缓存IPSec报文按SN顺序发送到入向IPSec报文发送模块330。本发明中抗重放主要是实现对所接收到的报文进行排序，主要是因为接收侧在接收所接收到的经图2处理后的IPSec报文时，在某一时段内，IPSec报文的SN并不一定会连续，需要等待一些SN非连续的IPSec报文(如因传输路径等导致的延迟等，即需要设定必要的等待时间，以确定所接收到的IPSec报文的SN联系)。该过程与保序过程是对应的，即经过保序后的IPSec报文的SN，在接收到须保证其接收连续。

虽然以上对本发明实施例的基于安全联盟的IPSec报文处理方法进行了详细论述，以下基于上述论述进一步阐明本发明技术方案的实质。需要说明的是，上述的处理模块，均是根据本发明技术方案在实际的处理系统中的应用程序的处理方式进行虚拟的，是为了阐明本发明技术方案而设置的，上述的处理模块仅是为说明上的便宜而设的，并不构成对本发明技术方案的限定，上述的处理模块，仅需关注其记载功能以及各模块之间的交互信息即可。

图5为本发明出向IPSec报文在某一线程上的处理流程图，如图5所示，本发明出向IPSec报文在某一线程上的处理主要包括以下步骤：

步骤S501，IPSec报文接收和分发单元接收到IPSec报文根据IPSec报文所属的SA分发到各线程，IPSec报文的分发遵循同一SA分发到同一线程的原则；

步骤S502，出向IPSec报文处理单元对各IPSec报文的SN分别进行加1处理；

步骤S503，出向IPSec报文处理单元进行IPSec报文加密等其他处理；

步骤S504，IPSec报文发送单元不需要对IPSec报文进行保序处理直接将IPSec报文发送出。

图6为本发明入向IPSec报文在某一线程上的处理流程图，如图6所示，本发明入向IPSec报文在某一线程上的处理主要包括以下步骤：

步骤S601，同步骤S501；

步骤S602，入向IPSec报文处理单元对各IPSec报文进行抗重放处理，并为每个SA分配一个缓存队列，对抗重放窗口内的IPSec报文进行缓存；

步骤S603，入向IPSec报文处理单元进行IPSec报文解密等其他处理；

步骤S604，判断缓存队列是否可以发送；

步骤S605，在抗重放处理过程中，随着抗重放窗口的移动，处理单元逐步将处于窗口外的缓存IPSec报文按SN顺序发送到IPSec报文发送单元。

本发明的基于安全联盟的IPSec报文处理方法，主要包括对待发送IPSec报文的处理以及接收到经本发明处理后的IPSec报文后如何实现解报文，具体的，对待发送IPSec报文的处理方法包括：将IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；也就说，本发明不会将分属于同一SA的IPSec报文分发给两个以上的线程，以避免两个以上的线程对IPSec报文设置SN后，导致后续的IPSec报文的SN不连续，从而导致丢包等。另外，通过本发明的处理后，不必再对IPSec报文进行保序处理，从而使得IPSec报文的处理效率大大提高。

各线程对IPSec报文设置序列号SN并加密，然后发送即可。

上述方法中，同一线程能同时处理分属不同SA的IPSec报文。也就是说，每个线程可以同时处理两个以上的分属不同SA的IPSec报文。

上述线程对IPSec报文设置SN具体为：

线程接收到IPSec报文后，对属于同一SA的IPSec报文顺序编号。

上述方法还包括：

检测出有负荷超出设定的第一阈值的线程时，将该负荷超出设定阈值的线程上的至少一个SA的待发送IPSec报文分发到负荷未达到设定的第二阈值的线程。这里，第一阈值以及第二阈值最好不是相同的值，第二阈值的值远限于第一阈值。需要说明的是，上述的阈值可以是由运营商根据系统运行需要而设置的具体值。本发明并不限定上述阈值的具体取值。本领域技术人员应当立即，设定上述阈值是容易实现的。

接收到经前述方法处理后的IPSec报文的处理方法，包括：

将接收到经前述基于安全联盟的IPSec报文处理方法处理过的IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

在每一队列中按IPSec报文所属的SA分别设置缓存队列，并按IPSec报文的SN缓存所接收到的IPSec报文，对缓存队列中的IPSec报文进行解密。

上述的方法，可参照前述对图2至图5的相关描述而理解。

图7为本发明一种基于安全联盟的IPSec报文处理装置的组成结构示意图，如图7所示，本示例的基于安全联盟的IPSec报文处理装置包括分发单元70、一个以上线程处理单元71和发送单元72，其中：

分发单元70，用于将IPSec报文按照所述IPSec报文所属的安全联盟SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

线程处理单元71，用于对IPSec报文设置SN并加密；

发送单元72，用于发送处理单元处理后的IPSec报文。

上述线程处理单元71能同时处理分属不同SA的IPSec报文。

上述线程处理单元71进一步在接收到IPSec报文后，对属于同一SA的IPSec报文顺序编号。

本示例的基于安全联盟的IPSec报文处理装置还包括：

检测单元(未图示)，用于检测是否同时存在负荷超出设定的第一阈值的线程处理单元以及负荷未达到设定的第二阈值的线程处理单元，同时存在时通知所述分发单元将该负荷超出设定阈值的线程处理单元中的至少一个SA的待发送IPSec报文分发到负荷未达到设定的第二阈值的线程处理单元。

图8为本发明另一种基于安全联盟的IPSec报文处理装置的组成结构示意图，如图8所示，本示例的基于安全联盟的IPSec报文处理装置包括接收单元80、分发单元81、设置单元82、存储单元83和处理单元84，其中：

接收单元80，用于接收发送单元72发送的IPSec报文；

分发单元81，用于将所述接收单元接收的IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

设置单元82，用于在每一队列中按IPSec报文所属的SA分别设置缓存队列；

存储单元83，用于按IPSec报文所属的SA分别设置缓存队列，

处理单元84，用于解密所缓存的IPSec报文。

本领域技术人员应当理解，本发明图7及图8所示的基于安全联盟的IPSec报文处理装置是为实现前述的基于安全联盟的IPSec报文处理方法而设计的，上述各处理单元的实现功能可参照前述方法的相关描述而理解，具体可参见前述实施例一至实施例三的描述而理解。图中的各处理单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种基于安全联盟的IPSec报文处理方法，其特征在于，所述方法包括：

将互联网安全协议安全性IPSec报文按照所述IPSec报文所属的安全联盟SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

线程对IPSec报文设置序列号SN并加密，然后发送。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

同一线程能同时处理分属不同SA的IPSec报文。

3.根据权利要求2所述的方法，其特征在于，所述线程对IPSec报文设置SN具体为：

线程接收到IPSec报文后，对属于同一SA的IPSec报文顺序编号。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述方法还包括：

检测出有负荷超出设定的第一阈值的线程时，将该负荷超出设定阈值的线程上的至少一个SA的待发送IPSec报文分发到负荷未达到设定的第二阈值的线程。

5.一种基于安全联盟的IPSec报文处理方法，其特征在于，所述方法包括：

将接收到经权利要求1至4任一项所述方法处理过的IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

在每一队列中按IPSec报文所属的SA分别设置缓存队列，并按IPSec报文的SN缓存所接收到的IPSec报文，对缓存队列中的IPSec报文进行解密。

6.一种基于安全联盟的IPSec报文处理装置，其特征在于，所述装置包括分发单元、一个以上线程处理单元和发送单元，其中：

分发单元，用于将IPSec报文按照所述IPSec报文所属的安全联盟SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

线程处理单元，用于对IPSec报文设置SN并加密；

发送单元，用于发送处理单元处理后的IPSec报文。

7.根据权利要求6所述的装置，其特征在于，线程处理单元能同时处理分属不同SA的IPSec报文。

8.根据权利要求7所述的装置，其特征在于，所述线程处理单元在接收到IPSec报文后，对属于同一SA的IPSec报文顺序编号。

9.根据权利要求6至8任一项所述的装置，其特征在于，所述装置还包括：

检测单元，用于检测是否同时存在负荷超出设定的第一阈值的线程处理单元以及负荷未达到设定的第二阈值的线程处理单元，同时存在时通知所述分发单元将该负荷超出设定阈值的线程处理单元中的至少一个SA的待发送IPSec报文分发到负荷未达到设定的第二阈值的线程处理单元。

10.一种基于安全联盟的IPSec报文处理装置，其特征在于，所述装置包括接收单元、分发单元、设置单元、存储单元和处理单元，其中：

接收单元，用于接收权利要求6至9任一项所述发送单元发送的IPSec报文；

分发单元，用于将所述接收单元接收的IPSec报文按照IPSec报文所属的SA分发给各线程；其中，属于同一SA的IPSec报文分发到同一线程；

设置单元，用于在每一队列中按IPSec报文所属的SA分别设置缓存队列；

存储单元，用于按IPSec报文所属的SA分别设置缓存队列，

处理单元，用于解密所缓存的IPSec报文。

Images