CN102938741A - 通过流量控制ipsec负载分担的方法及系统 - Google Patents

通过流量控制ipsec负载分担的方法及系统 Download PDF

Info

Publication number
CN102938741A
CN102938741A CN2012104245009A CN201210424500A CN102938741A CN 102938741 A CN102938741 A CN 102938741A CN 2012104245009 A CN2012104245009 A CN 2012104245009A CN 201210424500 A CN201210424500 A CN 201210424500A CN 102938741 A CN102938741 A CN 102938741A
Authority
CN
China
Prior art keywords
load balancing
interface
message
tunnel
ipsec
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2012104245009A
Other languages
English (en)
Other versions
CN102938741B (zh
Inventor
陈海滨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Opzoon Technology Co Ltd
Original Assignee
Opzoon Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Opzoon Technology Co Ltd filed Critical Opzoon Technology Co Ltd
Priority to CN201210424500.9A priority Critical patent/CN102938741B/zh
Publication of CN102938741A publication Critical patent/CN102938741A/zh
Application granted granted Critical
Publication of CN102938741B publication Critical patent/CN102938741B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种通过流量控制IPSEC负载分担的方法，包括以下步骤：S1：网络设备配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；S2：配置多个IPSEC隧道绑定到所述负载分担接口组上；S3：根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。此外，本发明还公开了一种实现上述方法的通过流量控制IPSEC负载分担的系统。本发明将IPSEC和接口负载分担完美的结合起来，达到IPSEC接口负载分担的目的，出接口分配更加灵活、流量更均匀。

Description

通过流量控制IPSEC负载分担的方法及系统
技术领域
本发明涉及网络通信技术领域，尤其涉及一种通过流量控制IPSEC负载分担的方法及系统。
背景技术
当前网络设备大多带IPSEC功能和流量负载分担功能。接口流量负载分担通常将目的地址相同的数据流以负载分担的方式尽可能平均的分配到负载分担接口（负载分担接口大于等于2），此时负载分担接口有到相同目的地址的路由，所以可以将数据通过两个不同的接口送到相同的目的地。而利用IPSEC功能对报文进行转发时，通常不能对接口进行选择，因此，不能实现根据流量的不同选择流量较小的负载分担接口，使得出接口流量更加均匀。
发明内容
（一）要解决的技术问题
本发明要解决的技术问题是：提供一种通过流量控制IPSEC负载分担的方法，以使得出接口流量更加均匀。
（二）技术方案
为解决上述问题，一方面，本发明提供了一种通过流量控制IPSEC负载分担的方法，包括以下步骤：
S1：网络设备配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；
S2：配置多个IPSEC隧道绑定到所述负载分担接口组上；
S3：根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。
优选地，所述步骤S3具体为：
S31：对报文进行路由查找，如果查找到所述报文的出接口为负载分担接口组，并且所述负载分担接口组配置了IPSEC隧道，则将所述报文对所述负载分担接口组的每个IPSEC隧道进行匹配：
如果匹配成功，则转到步骤S32；
如果所述报文对所述负载分担接口组的所有IPSEC隧道都没有匹配成功，则对报文进行流量负载分担计算，并通过计算出的出接口发出所述报文，方法结束；
S32：判断匹配的隧道是否已经建立在负载分担接口上：
如果建立了，则对报文进行隧道加密后发出所述报文；
如果没有建立，则对所述负载分担接口组中各负载分担接口的流量进行判断，找到流量最小的负载分担接口进行IKE隧道协商，建立隧道并对报文进行隧道加密后发出所述报文。
优选地，在所述步骤S31之前还包括以下步骤：对需要转发的报文进行对应快转表的查找：
如果找到对应快转表，则按照快转表记录上的处理方式处理报文后直接根据快转表上记录的出接口将报文进行转发，方法结束；
如果没有找到对应快转表，则创建快转表并转到步骤S31。
优选地，在所述步骤S31中通过计算出的出接口发出所述报文的步骤之后，还包括记录对应快转表的步骤。
优选地，在所述步骤S32中在对报文进行隧道加密后发出所述报文的步骤之后，还包括记录对应快转表的步骤。
优选地，所述找到流量最小的负载分担接口进行IKE隧道协商时，所述协商的原地址为所述流量最小的负载分担接口的ip地址。
另一方面，本发明还提供了一种通过流量控制IPSEC负载分担的系统，包括：
网络设备，用于配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；
隧道配置模块，用于配置多个IPSEC隧道绑定到所述负载分担接口组上；
隧道建立模块，用于根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。
优选地，所述网络设备为防火墙、路由器和交换机中的一种。
（三）有益效果
本发明将IPSEC隧道配置在负载分担组上，组内的接口根据流量不同，当新建连接时选择流量较少的负载分担接口进行协商建立隧道，使IPSEC和接口负载分担完美的结合起来，达到IPSEC接口负载分担的目的，出接口分配更加灵活、流量更均匀。
附图说明
图1为根据本发明通过流量控制IPSEC负载分担的方法的流程图；
图2为根据本发明通过流量控制IPSEC负载分担的系统的结构示意框图。
具体实施方式
下面结合附图及实施例对本发明进行详细说明如下。
实施例一：
如图1所示，本实施例记载了一种通过流量控制IPSEC负载分担的方法，包括以下步骤：
S1：网络设备配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；
S2：配置多个IPSEC隧道绑定到所述负载分担接口组上；
S3：根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。
其中，所述步骤S3具体为：
S31：对报文进行路由查找，如果查找到所述报文的出接口为负载分担接口组（其中，如果报文的出接口不是负载分担接口组，则只会有一个出接口可选，那么直接将报文从此接口转发就行），则判断所述负载分担接口组是否配置了IPSEC隧道：
如果配置了，则将所述报文对所述负载分担接口组的每个IPSEC隧道进行匹配（如果没有配置，则根据负载分担算策略进行出接口选择。现有技术中，所述负载分担策略包括比率算法、轮循算法、响应速度算法等）：
如果匹配成功，则转到步骤S32；
如果所述报文对所述负载分担接口组的所有IPSEC隧道都没有匹配成功，则对报文进行流量负载分担计算，并通过计算出的出接口发出所述报文，方法结束；
S32：判断匹配的隧道是否已经建立在负载分担接口上：
如果建立了，则对报文进行隧道加密后发出所述报文；
如果没有建立，则对所述负载分担接口组中各负载分担接口的流量进行判断，找到流量最小的负载分担接口进行IKE隧道协商，建立隧道并对报文进行隧道加密后发出所述报文。
在本实施例中，在所述步骤S31之前还包括以下步骤：对需要转发的报文进行对应快转表的查找：
如果找到对应快转表，则按照快转表记录上的处理方式处理报文后直接根据快转表上记录的出接口将报文进行转发，方法结束；
如果没有找到对应快转表，则创建快转表并转到步骤S31。
通过对没有对应快转表的报文创建快转表并将处理方式记录在快转表上，使得ip五元组相同的下一个报文可以找到此快转表（进行路由查找时根据报文的ip五元组来匹配快转表，相同的ip五元组会匹配上同一个快转表），找到快转表后就直接根据之前记录的处理方式对报文进行处理和转发。
在所述步骤S31中通过计算出的出接口发出所述报文的步骤之后，还包括记录对应快转表的步骤。
在所述步骤S32中在对报文进行隧道加密后发出所述报文的步骤之后，还包括记录对应快转表的步骤。其中，对于新建立的IPSEC隧道来说，在哪个负载分担接口建立隧道以后，报文五元组相同的流量就会从哪个负载分担接口发出，此时会记录快转表，从而减轻其它负载分担接口流量负载。
在本实施例中，所述找到流量最小的负载分担接口进行IKE隧道协商时，所述协商的原地址为所述流量最小的负载分担接口的ip地址。
本实施例中，对端设备可以配置为动态模式（不指定对端地址），或者配置peer的ip地址为多个（指定所有的负载分担接口组内负载分担接口的ip地址）。
实施例二：
如图2所示，本实施例记载了一种通过流量控制IPSEC负载分担的系统，包括：
网络设备201，用于配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；
隧道配置模块202，用于配置多个IPSEC隧道绑定到所述负载分担接口组上；
隧道建立模块203，用于根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。
所述网络设备201为防火墙、路由器和交换机中的一种。
本发明将IPSEC隧道配置在负载分担组上，组内的接口根据流量不同，当新建连接时选择流量较少的负载分担接口进行协商建立隧道，使IPSEC和接口负载分担完美的结合起来，达到IPSEC接口负载分担的目的，出接口分配更加灵活、流量更均匀。
以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (8)

1.一种通过流量控制IPSEC负载分担的方法，其特征在于，包括以下步骤：
S1：网络设备配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；
S2：配置多个IPSEC隧道绑定到所述负载分担接口组上；
S3：根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。
2.如权利要求1所述的方法，其特征在于，所述步骤S3具体为：
S31：对报文进行路由查找，如果查找到所述报文的出接口为负载分担接口组，并且所述负载分担接口组配置了IPSEC隧道，则将所述报文对所述负载分担接口组的每个IPSEC隧道进行匹配：
如果匹配成功，则转到步骤S32；
如果所述报文对所述负载分担接口组的所有IPSEC隧道都没有匹配成功，则对报文进行流量负载分担计算，并通过计算出的出接口发出所述报文，方法结束；
S32：判断匹配的隧道是否已经建立在负载分担接口上：
如果建立了，则对报文进行隧道加密后发出所述报文；
如果没有建立，则对所述负载分担接口组中各负载分担接口的流量进行判断，找到流量最小的负载分担接口进行IKE隧道协商，建立隧道并对报文进行隧道加密后发出所述报文。
3.如权利要求2所述的方法，其特征在于，在所述步骤S31之前还包括以下步骤：对需要转发的报文进行对应快转表的查找：
如果找到对应快转表，则按照快转表记录上的处理方式处理报文后直接根据快转表上记录的出接口将报文进行转发，方法结束；
如果没有找到对应快转表，则创建快转表并转到步骤S31。
4.如权利要求3所述的方法，其特征在于，在所述步骤S31中通过计算出的出接口发出所述报文的步骤之后，还包括记录对应快转表的步骤。
5.如权利要求3所述的方法，其特征在于，在所述步骤S32中在对报文进行隧道加密后发出所述报文的步骤之后，还包括记录对应快转表的步骤。
6.如权利要求2所述的方法，其特征在于，所述找到流量最小的负载分担接口进行IKE隧道协商时，所述协商的原地址为所述流量最小的负载分担接口的ip地址。
7.一种通过流量控制IPSEC负载分担的系统，其特征在于，包括：
网络设备，用于配置负载分担接口组，每个负载分担接口组包括多个负载分担接口；
隧道配置模块，用于配置多个IPSEC隧道绑定到所述负载分担接口组上；
隧道建立模块，用于根据负载分担接口组组内各负载分担接口流量的不同，在新建连接时选择流量最小的负载分担接口进行协商，建立隧道。
8.如权利要求7所述的系统，其特征在于，所述网络设备为防火墙、路由器和交换机中的一种。
CN201210424500.9A 2012-10-30 2012-10-30 通过流量控制ipsec负载分担的方法及系统 Expired - Fee Related CN102938741B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201210424500.9A CN102938741B (zh) 2012-10-30 2012-10-30 通过流量控制ipsec负载分担的方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201210424500.9A CN102938741B (zh) 2012-10-30 2012-10-30 通过流量控制ipsec负载分担的方法及系统

Publications (2)

Publication Number Publication Date
CN102938741A true CN102938741A (zh) 2013-02-20
CN102938741B CN102938741B (zh) 2015-08-19

Family

ID=47697611

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201210424500.9A Expired - Fee Related CN102938741B (zh) 2012-10-30 2012-10-30 通过流量控制ipsec负载分担的方法及系统

Country Status (1)

Country Link
CN (1) CN102938741B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104092708A (zh) * 2014-08-06 2014-10-08 汉柏科技有限公司 对转发报文加密的方法和设备、及报文转发的方法和设备
CN111654399A (zh) * 2020-06-08 2020-09-11 奇安信科技集团股份有限公司 基于sd-wan的组网方法、装置、设备及存储介质
CN112217655A (zh) * 2019-07-11 2021-01-12 奇安信科技集团股份有限公司 Sd-wan系统中网络设备配置方法、装置和计算机设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101106450A (zh) * 2007-08-16 2008-01-16 杭州华三通信技术有限公司 分布式报文传输安全保护装置和方法
CN101459607A (zh) * 2008-12-31 2009-06-17 华为技术有限公司 一种报文发送方法和路由器
CN102647345A (zh) * 2012-03-30 2012-08-22 汉柏科技有限公司 对ipsec数据报文进行负载分担的方法及系统
CN102647349A (zh) * 2012-03-30 2012-08-22 汉柏科技有限公司 Ipsec实现负载分担的方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101106450A (zh) * 2007-08-16 2008-01-16 杭州华三通信技术有限公司 分布式报文传输安全保护装置和方法
CN101459607A (zh) * 2008-12-31 2009-06-17 华为技术有限公司 一种报文发送方法和路由器
CN102647345A (zh) * 2012-03-30 2012-08-22 汉柏科技有限公司 对ipsec数据报文进行负载分担的方法及系统
CN102647349A (zh) * 2012-03-30 2012-08-22 汉柏科技有限公司 Ipsec实现负载分担的方法及系统

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104092708A (zh) * 2014-08-06 2014-10-08 汉柏科技有限公司 对转发报文加密的方法和设备、及报文转发的方法和设备
CN112217655A (zh) * 2019-07-11 2021-01-12 奇安信科技集团股份有限公司 Sd-wan系统中网络设备配置方法、装置和计算机设备
CN112217655B (zh) * 2019-07-11 2022-08-02 奇安信科技集团股份有限公司 Sd-wan系统中网络设备配置方法、装置和计算机设备
CN111654399A (zh) * 2020-06-08 2020-09-11 奇安信科技集团股份有限公司 基于sd-wan的组网方法、装置、设备及存储介质
CN111654399B (zh) * 2020-06-08 2022-10-18 奇安信科技集团股份有限公司 基于sd-wan的组网方法、装置、设备及存储介质

Also Published As

Publication number Publication date
CN102938741B (zh) 2015-08-19

Similar Documents

Publication Publication Date Title
CN101605102B (zh) 一种irf堆叠中的负载分担方法及装置
CN103929368A (zh) 多业务单元负载均衡方法及装置
WO2008109390A3 (en) System and method for hosted network management
RU2013127235A (ru) Беспроводной сетевой интерфейс с инфраструктурными и прямыми режимами
CN103763207A (zh) 软件定义网络中的带内控制连接建立方法及设备
CN103546497A (zh) 一种分布式防火墙IPSec业务负载分担的方法及装置
CN101459607B (zh) 一种报文发送方法和路由器
CN102394889A (zh) 一种接入网络服务器的方法及接入系统
CN103441932A (zh) 一种主机路由表项生成方法及设备
CN103313308A (zh) 一种数据传输方法和设备
CN102938741A (zh) 通过流量控制ipsec负载分担的方法及系统
CN102664804B (zh) 网络设备实现网桥功能的方法及系统
CN102025644A (zh) 一种负载分担方法及设备
WO2013141191A1 (ja) 制御装置、通信システム、ノード制御方法及びプログラム
CN103812746A (zh) 基于linux操作系统的桥接设备及其通信方法
CN102868629B (zh) 利用ipsec实现负载分担的方法及系统
CN103731817B (zh) 一种数据传输的方法和设备
CN102938740A (zh) 通过用户数控制ipsec负载分担的方法及设备
CN102638396A (zh) 负载均衡方法和设备
CN102694727A (zh) 实现网络数据包转发加速的方法及装置
CN103036901A (zh) 一种ets远程编程方法
CN101834800B (zh) Mce代理功能实现方法及其装置
CN105519049A (zh) 一种报文传输方法、装置及系统
CN103414797A (zh) Nat穿越服务器的端口分配方法和装置
CN103516574A (zh) 通过虚接口对报文加密的方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
PP01 Preservation of patent right
PP01 Preservation of patent right

Effective date of registration: 20180823

Granted publication date: 20150819

PD01 Discharge of preservation of patent
PD01 Discharge of preservation of patent

Date of cancellation: 20210823

Granted publication date: 20150819

CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20150819

Termination date: 20181030