CN104202409A

CN104202409A - 一种负载均衡的ssl vpn设备集群系统及其工作方法

Info

Publication number: CN104202409A
Application number: CN201410462379.8A
Authority: CN
Inventors: 罗俊
Original assignee: Chengdu Westone Information Industry Inc
Current assignee: China Electronics Technology Network Security Technology Co.,Ltd.
Priority date: 2014-09-12
Filing date: 2014-09-12
Publication date: 2014-12-10
Anticipated expiration: 2034-09-12
Also published as: CN104202409B

Abstract

本发明提供了一种负载均衡的SSL VPN设备集群系统及其工作方法，所述系统包括一台作为主控节点的SSL VPN设备、若干作为工作节点的SSL VPN设备；所有SSL VPN设备中设置有组内同步模块、在主控节点SSL VPN设备中还设置有负载管理模块、地址应答器、数据分流器；所述集群统一对外提供一个全局设置的虚拟IP地址，并将该IP地址作为虚拟的单一SSL VPN设备的DNS解析地址；整个SSL VPN设备集群与网络节点及服务器连接。本发明实现了由不同SSL VPN设备所组成的SSL VPN集群的工作IP地址唯一和有效的负载均衡及冗余备份，降低了成本，可靠性高。

Description

一种负载均衡的SSL VPN设备集群系统及其工作方法

技术领域

本发明属于数据通信领域，涉及一种负载均衡的SSL VPN设备集群系统及其工作方法。

背景技术

SSL VPN：采用SSL-Security Socket Layer（安全套接层）协议和TLS-Transport Layer Security（传输层安全）协议在公用网络上建立专用网络，为网络通信提供安全及数据完整性保护的技术，是在传输层对网络连接进行加密保护的一种技术。SSL VPN被广泛的用于Web浏览器与服务器之间的身份认证和数据加密传输。

SSL VPN的典型应用模式就是作为中心端的安全接入服务器，在保护中心端Web服务器的同时为成千上万的浏览器用户提供身份认证和安全接入服务。因此，SSL VPN设备对处理性能要求是非常之高的，大型的Web站点一般都采用多台SSL VPN设备进行负载分担的方法来提高系统的容量，负载的分配采用专用的负载均衡设备来实现。这种方式一来成本较高，二来负载均衡设备本身又可能成为单点故障而导致多机集群的集体失效。

发明内容

为解决上述问题，本发明提供了一种负载均衡的SSL VPN设备集群系统，包括一台作为主控节点的SSL VPN设备、若干作为工作节点的SSL VPN设备;所有SSL VPN设备中设置有组内同步模块、在主控节点SSL VPN设备中还设置有负载管理模块、地址应答器、数据分流器；所述集群统一对外提供一个全局设置的虚拟IP地址，并将该IP 地址作为虚拟的单一SSL VPN设备的DNS解析地址；整个SSL VPN设备集群与网络节点及服务器连接；其中，

所述主控节点为所有SSL VPN设备中网络连接处理能力最强的一台，用于整个SSL VPN集群对外建立连接和对内负载均衡，为不同的数据流建立维护SSL 安全连接并为客户端代理内部服务器功能的作用；主控节点自身也作为工作节点之一参与具体的数据流处理；

组内同步模块用于在同一个集群内的所有成员设备间进行在线状态、实时负载情况和网络连接处理能力、SSL安全连接处理能力信息的交互，并选举出网络连接处理能力最强的设备作为主控节点；

负载管理模块通过组内同步信息得到同一个集群内的所有成员设备的在线状态、实时负载情况和网络连接处理能力、SSL安全连接处理能力信息，根据组内各SSL VPN设备安全连接处理能力和实时负载情况的不同进行数据负载的分配，形成实时的负载分配方案；

地址应答器用于主控节点对所有关于集群对外虚拟IP 地址的链路层地址请求一致回应为主控节点所在设备网络接口的链路层地址；

数据分流器用于根据负载管理模块确定的负载分配方案，采用优先级令牌轮转的方式对数据报文进行分流处理。

进一步的，当前主控节点发生故障时，各设备通过组内同步模块重新选举新的主控节点。

进一步的，当主控节点发生切换时，新的主控节点通过ARP报文主动刷新网络节点的MAC缓存。

进一步的，主控节点以外的工作节点的负载情况主要指该节点设备已经或正在建立的SSL 安全连接数，主控节点的负载情况包括已经或正在建立的SSL 安全连接数、以及所述主控节点作为集群的统一入口所已经或正在建立的所有网络连接数。

进一步的，数据分流器采用的采用优先级令牌轮转方式具体为：为每个工作节点分配一定的令牌，处理能力越强、负载情况越轻的节点分配的令牌数越多，令牌数的多少直接对应优先级的高低；优先级高的节点优先分配数据流，每个节点一次只分配一个数据流并占用一个令牌，采用轮转的方式依次分配数据流到各工作节点直到所有节点的令牌都占用完毕。此时释放所有令牌并按上述方法从头开始进行数据流的分配。

进一步的，所述主控节点为每个已分配的网络连接数据流根据源IP地址、目的IP地址、源传输层端口、目的传输层端口、传输层协议五元组建立哈希链表形式的连接状态表，指示该网络连接对应的数据流后续的数据所应该分配到的工作节点。

上述负载均衡的SSL VPN设备集群系统的工作方法，包括如下步骤：

步骤1：所有SSL VPN设备集群设置各成员设备共享的虚拟IP地址；

步骤2：利用组内同步模块在所有SSL VPN设备中选出主控节点；

步骤3：每台SSL VPN设备的组内同步模块定期将本台设备的信息传递到主控节点和其他工作节点；

步骤4：负载管理模块根据组内各SSL VPN设备安全连接处理能力和实际负载情况的不同进行数据负载的分配；

步骤5：主控节点处理接收到的IP 数据报文。

进一步的，在步骤2中，采用网络测试仪测试出所有SSL VPN设备中网络连接能力和SSL安全连接处理能力最强的SSL VPN设备作为主控节点，网络连接能力和SSL安全连接处理能力都以每秒新建连接数和最大并发连接数作为评估指标。

进一步的，步骤3具体为：同一个集群内的每台SSL VPN设备均设置一个可配置的IP多播地址，作为组内通讯地址，组内同步模块定期将本台设备的信息通过多播的方式传递到主控节点和其他工作节点，所述信息包括在线状态、负载情况、网络连接能力和SSL安全连接处理能力。

进一步的，步骤4具体为：安全连接处理能力用各节点设备的每秒新建安全连接数作为比较标准，以该项指标最小的设备的值作为安全连接处理能力基准值1，其他设备的值与其求比值作为该设备的安全连接处理能力估值；负载情况取节点设备中已建立的安全连接数最小的作为负载基准值1，其他设备的值与其求比值作为该设备的负载估值；安全连接处理能力估值再与负载估值求比值，得到负载分配估值，将各节点设备的负载分配估值乘以分母的最小公倍数，即可得到各节点设备负载分配的令牌数。各节点设备已建立的安全连接数如果已经达到该设备的最大安全连接数，则该节点不参与本次流量分配。最后，按照令牌数的多少对各节点设备排出优先级顺序。

本发明的有益效果为：

本发明实现了由不同SSL VPN设备所组成的SSL VPN集群的工作IP地址唯一和有效的负载均衡及冗余备份，不需要增加专用的负载均衡设备机壳实现负载的分配，降低了成本。在主控节点有故障的情况下能够重新选举新的主控节点，避免了单点故障导致多机集群的集体失效，具有相当高的可靠性。

附图说明

图1为优先级令牌轮转分流示意图。

图2为SSL VPN集群主控节点功能模块结构示意图

具体实施方式

本发明所要解决的技术问题是：无需专用的负载均衡设备，而是由多台SSL VPN组成的集群自身来完成负载均衡、冗余备份、对外虚拟为一台设备的功效。

本发明所述系统包括一台作为主控节点的SSL VPN设备、若干作为工作节点的SSL VPN设备。在所有SSL VPN设备中运行有组内同步模块、在主控节点SSL VPN设备中运行有负载管理模块、地址应答器、数据分流器四个处理模块。

主控节点。

所述主控节点为所有SSL VPN设备中网络连接处理能力最强的一台，用于整个SSL VPN集群对外建立连接和对内负载均衡，承担具体的为不同的数据流建立维护SSL 安全连接并为客户端代理内部服务器功能的作用。主控节点自身也作为工作节点之一参与具体的数据流处理。

组内同步模块。

组内同步模块负责在同一个集群内的所有成员设备间进行在线状态、实时负载情况和网络连接处理能力、SSL安全连接处理能力信息的交互，并选举网络连接处理能力最强的设备，作为主控节点。当前主控节点发生故障时，各设备通过组内同步模块重新选举新的主控节点。

负载管理模块。

负载管理模块通过组内同步信息得到同一个集群内的所有成员设备的在线状态、实时负载情况和网络连接处理能力、SSL安全连接处理能力信息，根据组内各SSL VPN设备安全连接处理能力和实时负载情况的不同进行数据负载的分配，形成实时的负载分配方案。当任意节点的负载变化超过一个设定的阀值（默认为30%）时将重新进行负载分配。主控节点以外的工作节点的负载情况主要指该节点设备已经或正在（处于SSL握手阶段）建立的SSL 安全连接数。主控节点的负载情况还包括该节点设备作为集群的统一入口所已经或正在建立的所有网络连接数。

地址应答器。

集群统一对外提供一个全局设置的虚拟IP地址，并将该IP 地址作为虚拟的单一SSL VPN设备的DNS解析地址。主控节点运行地址应答器，对所有关于集群对外虚拟IP 地址的链路层地址请求(以太网环境下为48比特的MAC地址)一致回应为主控节点所在设备网络接口的链路层地址。当主控节点发生切换时，新的主控节点通过免费ARP报文主动刷新网络节点如交换机或路由器的MAC缓存。

数据分流器。

主控节点运行数据分流器，根据负载管理模块确定的负载分配方案，采用如图1所示的优先级令牌轮转的方法对数据报文进行分流处理。为每个工作节点分配一定的令牌，处理能力越强、负载情况越轻的节点分配的令牌数越多，令牌数的多少直接对应优先级的高低。优先级高的节点优先分配数据流，每个节点一次只分配一个数据流并占用一个令牌，采用轮转的方式依次分配数据流到各工作节点直到所有节点的令牌都占用完毕。此时释放所有令牌并按上述方法从头开始进行数据流的分配。一般一个网络连接对应一个数据流，除首个报文需要通过优先级令牌轮转的方法进行负载分配以外，主控节点为每个已分配的网络连接数据流根据源IP地址、目的IP地址、源传输层端口、目的传输层端口、传输层协议五元组建立哈希链表形式的连接状态表，指示该网络连接对应的数据流后续的数据所应该分配到的工作节点。同一个网络连接数据流正常情况下只分配到同一个工作节点。原始的网络连接数据流都是指向主控节点的，主控节点采用目的IP地址转换的方法将数据流分配到不同的工作节点，工作节点负责具体的SSL安全连接建立以及服务器访问代理的工作。

本发明采用的哈希算法可使用但并不限定于以下的实现：

设哈希桶深度BD，则任何一条源IP地址为Sip、源端口为Sport、目的IP地址为Dip、目的端口为Dport以及协议号为Proto等五元组的数据流的哈希值Hash为：

该哈希桶深度BD的值是自调整的，调整方法为，当任一哈希表项对应的链表长度超过哈希桶深度BD某一比值BP（可配置）时，哈希桶深度自动增加BD×BP。

哈希链表形式的连接状态表按照可配置的时间进行老化处理，将到达老化时间还未被命中的状态表项定期进行删除。

下面结合图2下面对本系统的工作方法进行说明。

步骤一：系统里所有SSL VPN设备集群设置各成员设备共享的虚拟IP地址。

同一个SSL VPN设备集群设置各成员设备共享的虚拟IP地址，作为统一对外提供服务的的虚拟单一SSL VPN设备的IP地址。所有的外部网络连接都以该虚拟IP地址作为目的IP地址。

步骤二：利用组内同步模块在所有SSL VPN设备中选出主控节点。

评估各台SSL VPN设备的网络连接能力和SSL安全连接处理能力。需要采用专门的网络测试仪（如Avalanche、IXIA等）进行测试，网络连接能力和SSL安全连接处理能力都以每秒新建连接数和最大并发连接数作为评估指标，每台设备的该类指标相对固定，测试后作为该设备的固有属性。一般具有同样的硬件配置（CPU、内存、密码运算部件）和安装相同软件的设备该类指标可视为一致。

步骤三：每台SSL VPN设备的组内同步模块定期将本台设备的信息传递到主控节点和其他工作节点。

同一个集群内的每台SSL VPN设备均设置一个可配置的IP多播地址，作为组内通讯地址。组内同步模块定期将本台设备的在线状态、负载情况、网络连接能力和SSL安全连接处理能力等信息通过多播的方式传递到主控节点和其他工作节点。

步骤四：负载管理模块根据组内各SSL VPN设备安全连接处理能力和实际负载情况的不同进行数据负载的分配。

安全连接处理能力用各节点设备的每秒新建安全连接数作为比较标准，以该项指标最小的设备的值作为安全连接处理能力基准值1，其他设备的值与其求比值作为该设备的安全连接处理能力估值。负载情况取节点设备中已建立的安全连接数最小的作为负载基准值1，其他设备的值与其求比值作为该设备的负载估值（主控节点已建立的网络连接数以n:1的比例折算为安全连接数，n可配置）。安全连接处理能力估值再与负载估值求比值，得到负载分配估值，将各节点设备的负载分配估值乘以分母的最小公倍数，即可得到各节点设备负载分配的令牌数。各节点设备已建立的安全连接数如果已经达到该设备的最大安全连接数，则该节点不参与本次流量分配。最后，按照令牌数的多少对各节点设备排出优先级顺序。

步骤五：主控节点处理接收到的IP 数据报文。

主控节点对于从外部网络接收到的IP 数据报文，首先按照源IP地址、目的IP地址、源传输层端口、目的传输层端口、传输层协议的五元组查找连接状态表，查找命中则直接将该数据报文进行目的地址转换处理转发到相应的工作节点，并刷新相应的状态表项的访问时间；不命中则进入数据分流器，采用优先级令牌轮转的方法对数据报文进行分流处理，并新增状态表项。工作节点运行正常的SSL VPN程序，接受主控节点转换并转发来的数据报文，进行SSL安全连接的建立维护和对服务器的访问代理。

本发明的有益效果为：

Claims

1.一种负载均衡的SSL VPN设备集群系统，其特征在于，包括一台作为主控节点的SSL VPN设备、若干作为工作节点的SSL VPN设备;所有SSL VPN设备中设置有组内同步模块、在主控节点SSL VPN设备中还设置有负载管理模块、地址应答器、数据分流器；所述集群统一对外提供一个全局设置的虚拟IP地址，并将该IP 地址作为虚拟的单一SSL VPN设备的DNS解析地址；整个SSL VPN设备集群与网络节点及服务器连接；其中，

2.如权利要求1所述的负载均衡的SSL VPN设备集群系统，其特征在于，当前主控节点发生故障时，各设备通过组内同步模块重新选举新的主控节点。

3.如权利要求2所述的负载均衡的SSL VPN设备集群系统，其特征在于，当主控节点发生切换时，新的主控节点通过ARP报文主动刷新网络节点的MAC缓存。

4.如权利要求1所述的负载均衡的SSL VPN设备集群系统，其特征在于，主控节点以外的工作节点的负载情况主要指该节点设备已经或正在建立的SSL 安全连接数，主控节点的负载情况包括已经或正在建立的SSL 安全连接数、以及所述主控节点作为集群的统一入口所已经或正在建立的所有网络连接数。

5.如权利要求1所述的负载均衡的SSL VPN设备集群系统，其特征在于，数据分流器采用的采用优先级令牌轮转方式具体为：为每个工作节点分配一定的令牌，处理能力越强、负载情况越轻的节点分配的令牌数越多，令牌数的多少直接对应优先级的高低；优先级高的节点优先分配数据流，每个节点一次只分配一个数据流并占用一个令牌，采用轮转的方式依次分配数据流到各工作节点直到所有节点的令牌都占用完毕。此时释放所有令牌并按上述方法从头开始进行数据流的分配。

6.如权利要求1所述的负载均衡的SSL VPN设备集群系统，其特征在于，所述主控节点为每个已分配的网络连接数据流根据源IP地址、目的IP地址、源传输层端口、目的传输层端口、传输层协议五元组建立哈希链表形式的连接状态表，指示该网络连接对应的数据流后续的数据所应该分配到的工作节点。

7.如权利要求1～６中任一项所述的负载均衡的SSL VPN设备集群系统的工作方法，其特征在于，包括如下步骤：

步骤5：主控节点处理接收到的IP 数据报文。

8.如权利要求7所述的负载均衡的SSL VPN设备集群系统的工作方法，其特征在于，在步骤2中，采用网络测试仪测试出所有SSL VPN设备中网络连接能力和SSL安全连接处理能力最强的SSL VPN设备作为主控节点，网络连接能力和SSL安全连接处理能力都以每秒新建连接数和最大并发连接数作为评估指标。

9.如权利要求7所述的负载均衡的SSL VPN设备集群系统的工作方法，其特征在于，步骤3具体为：同一个集群内的每台SSL VPN设备均设置一个可配置的IP多播地址，作为组内通讯地址，组内同步模块定期将本台设备的信息通过多播的方式传递到主控节点和其他工作节点，所述信息包括在线状态、负载情况、网络连接能力和SSL安全连接处理能力。

10.如权利要求7所述的负载均衡的SSL VPN设备集群系统的工作方法，其特征在于，步骤4具体为：安全连接处理能力用各节点设备的每秒新建安全连接数作为比较标准，以该项指标最小的设备的值作为安全连接处理能力基准值1，其他设备的值与其求比值作为该设备的安全连接处理能力估值；负载情况取节点设备中已建立的安全连接数最小的作为负载基准值1，其他设备的值与其求比值作为该设备的负载估值；安全连接处理能力估值再与负载估值求比值，得到负载分配估值，将各节点设备的负载分配估值乘以分母的最小公倍数，即可得到各节点设备负载分配的令牌数。各节点设备已建立的安全连接数如果已经达到该设备的最大安全连接数，则该节点不参与本次流量分配。最后，按照令牌数的多少对各节点设备排出优先级顺序。