CN108600228A - 一种IPSec链路选择方法及装置 - Google Patents

Abstract

公开了一种IPSec链路选择方法，其特征在于，所述方法包括：对于任一备选IPSec链路：统计该链路在预设统计时长内的统计丢包率和统计时延；根据所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

Description

一种IPSec链路选择方法及装置

技术领域

本说明书实施例涉及网络通信技术领域，尤其涉及一种IPSec链路选择方法及装置。

背景技术

基于IPsec协议(Internet Protocol Security，互联网安全协议)，可以实现公网和专用网络的端对端加密和验证服务。网络设备中，一般可以根据组网，为同一本端与对端配置多条IPsec链路，并从中探测、选择质量最优的IPsec链路，建立IPSec隧道进行网络通信，从而最大程度地保障两端的通信质量。

现有技术的IPSec链路选择方案，通常是通过探测报文，探测某条备选IPSec链路的丢包率与延时，并检测丢包率与延时是否满足预设要求。如果不满足预设要求则切换到另一IPSec链路，重复上述探测过程，直到找到满足预设要求IPSec链路，则选择该IPSec链路。显然，这种方案并不能确保选择了质量最优的IPSec链路，因此并不能最大程度地保障链路两端的通信质量。

发明内容

有鉴于此，本说明书实施例提供一种IPSec链路选择方法及装置，技术方案如下：

一种IPSec链路选择方法，其特征在于，所述方法包括：

对于任一备选IPSec链路：

统计该链路在预设统计时长内的统计丢包率和统计时延；

根据所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；

根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

一种IPSec链路选择装置，其特征在于，所述装置包括：

参数统计模块，用于统计任一备选IPSec链路在预设统计时长内的统计丢包率和统计时延；

链路质量值计算模块，用于根据任一备选IPSec链路的所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；

链路选择模块，用于根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

本说明书实施例所提供的技术方案，分别统计各条备选IPSec链路的丢包率与延时，并根据统计结果分别计算各条备选IPSec链路的链路质量值，从而可以根据链路质量值，一并地对各条IPSec链路的质量进行比较，得到并选择质量最优的IPSec链路，最大程度地保障链路两端的通信质量。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书实施例。

此外，本说明书实施例中的任一实施例并不需要达到上述的全部效果。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书实施例中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本说明书实施例IPSec链路选择方法的流程示意图；

图2是本说明书实施例探测周期选取方式的示意图；

图3是本说明书实施例IPSec链路选择装置的结构示意图；

图4是本说明书实施例参数统计模块的结构示意图；

图5是本说明书实施例参数计算单元的结构示意图。

具体实施方式

为了使本领域技术人员更好地理解本说明书实施例中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于保护的范围。

基于IPsec协议(Internet Protocol Security，互联网安全协议)，可以实现公网和专用网络的端对端加密和验证服务。例如，目前很多企业均在全国甚至全球设有分支机构，为了保证企业内部的通信安全，可以在分支防火墙设备中配置IPsec功能，在总部与各分支机构之间建立IPSec隧道进行网络通信。

IPSec隧道两端的网关设备一般有多个公网接口，即两端设备之间存在多条可通信的链路，在建立IPSec隧道时，为了保障两端的通信质量，一般会根据实际组网，配置多条包含本端地址和对端地址的IPsec链路，并且选择质量最优的链路，作为当前建立IPSec隧道所使用的链路，同时，如果该链路出现故障，还可以在其他链路中选择质量最优的链路进行切换。

虽然有多条IPSec链路可以进行切换，但为了最大程度地保障两端稳定的通信质量，仍需要从所配置的多条备选IPSec链路中，探测、选择质量最优的IPsec链路，建立IPSec隧道进行网络通信。

一种IPSec链路选择方案是，以某条备选链路建立IPSec隧道，组装并发送探测报文，通过计算一定时间内的丢包率及响应时延，判断该条链路是否满足预设要求，如果不满足预设要求则切换到另一条链路，重复上述探测过程，直到找到满足预设要求IPSec链路，则选择该IPSec链路建立IPSec隧道。

在这种方案中，如果找到一条丢包率及时延满足预设要求的IPSec链路，便会选择该链路建立IPSec隧道，显然并不能够确保选择了质量最优的IPSec链路，因而并没有实现选择质量最优的IPsec链路建立隧道的目的。

针对上述技术问题，本说明书实施例提供一种IPSec链路选择方法，参见图1所示，该方法可以包括以下步骤：

S101，对于任一备选IPSec链路：统计该链路在预设统计时长内的统计丢包率和统计时延；根据所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；

本说明书实施例中，衡量各备选IPSec链路的链路质量的参数，是通过各条链路发送的探测报文的丢包率与响应时延，因此，需要统计各条备选IPSec链路在预设统计时长内的统计丢包率和统计时延，具体地，可以通过多种方式进行统计。

在本说明书实施例的一种具体实施方式中，对于任一备选IPSec链路，可以通过该链路，以预设时间间隔发送探测报文，如每隔1秒发送1个探测报文。可以确定每个探测报文是否被响应，即是否接收到对应的响应报文，以及发出该探测报文的时间与接收到对应响应报文之间的时间间隔，即该探测报文的响应时延。通过统计预设统计时长内发出的探测报文中，被响应报文的个数以及对应的响应时延，即可以分别计算出该链路在预设统计时长内的统计丢包率和统计时延。

一种计算方式可以是，假设每隔1秒发送1个探测报文，预设统计时长为1小时，则1小时内将共计发送3600个探测报文，假设共计接收到1800个响应报文，则这1小时内的统计丢包率为，响应报文的总数占探测报文总数的百分比，即50％；1小时内的统计时延，可以计算各个被响应的探测报文的平均时延，也可以计算总时延，还可以采用其他计算方式，本说明书实施例对此不进行限定。

另一种计算方式可以是，以预设时长为1个探测周期，先统计每个探测周期的丢包率与时延，再根据预设统计时长所包括的各探测周期的丢包率及时延，计算该链路在预设统计时长内的统计丢包率和统计时延。假设每隔1秒发送1个探测报文，以10秒为1个探测周期，则每个探测周期中将发送10个探测报文。

可以理解的是，发送探测报文的时间间隔相同时，不同探测周期所覆盖的时间范围，可以是如图2(a)所示相互邻接的，也可以是如图2(b)所示相互重叠的，本说明书实施例对此不需进行限定。并且，图2(b)中仅对各探测周期的可以重叠的时间范围进行了示意性表示，各探测周期的可以以任意的时间范围进行重叠，本说明书实施例对此均不需进行限定。

以预设时间间隔发送探测报文后，即可统计被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延。

仍以上述探测周期及探测报文的例子、及图2所示的情况为例，可以在第10个报文发送结束后，统计报文1至报文10中，被响应的探测报文的个数，如统计接收到响应报文的探测报文的个数，又如在时延远小于探测间隔的情况下，可以直接统计响应报文的个数。并且，对于各被响应的探测报文，统计发出该探测报文的时间与接收到对应响应报文之间的时间间隔，即该探测报文的时延。

根据各个探测报文的响应情况，可以进一步地计算该探测周期的丢包率及时延。报文1至报文10对应的探测周期1的丢包率即为，被响应的探测报文的个数占总探测报文个数(即10个)的百分比；而报文1至报文10的时延，可以计算平均时延，也可以计算总时延，还可以采用其他计算方式，本说明书实施例对此不进行限定。

对于之后的各个探测周期的统计，如果是图2(a)所示的情况，可以在第20个报文发送结束后，统计报文11至报文20的丢包率和时延，而如果是图2(b)所示的情况，则可以统计报文2至报文11的丢包率和时延。显然，图2所示的2种情况中，在一定时间内的统计工作量，图2(b)所示的情况更大，图2(a)所示的情况更小，而对实时链路情况的探测精确度，则为图2(b)所示的情况更精确，图2(a)所示的情况更粗糙，本领域技术人员可以根据实际需求，选择上述2种、或者其他探测周期设定方式，本说明书实施例对此不进行限定。

得到各个探测周期的丢包率与时延后，便可以灵活地选择统计时长，计算该统计时长的统计丢包率和统计时延。

例如，在某次IPSec链路选择之前，可以将统计时长设置为1小时，并且可以设置当前时间为结束时间，根据这1小时内所包括的各探测周期的丢包率及时延，便可以计算相应的统计丢包率和统计时延。仍以图2为例，图2(a)所示的情况中，1小时内可以包括360个探测周期，而图2(b)所示的情况中，1小时内可以包括3590个探测周期。若要计算所包括的3590个探测周期的统计丢包率(或时延)，则可以分别获取这3590个探测周期的丢包率(或时延)，并计算出3590个探测周期的总丢包率(时延)、平均丢包率(或时延)、按照时间顺序加权的丢包率(或时延)等等，作为1小时内的统计丢包率(或时延)，本说明书实施例对此不进行限定。

可以理解的是，计算该链路在预设统计时长内的统计丢包率和统计时延的方法，可以不限定于上述给出的2中方法。

计算得到统计丢包率和统计时延后，即可根据二者的加权，计算该链路在预设统计时长内的链路质量值。本领域的技术人员，可以根据实际情况，灵活地设置二者的加权值，例如，通常丢包比时延更影响链路质量，因此可以设置丢包率占比70％，时延占比30％，则计算链路质量值的加权公式可以为：统计丢包率*70％+统计时延*30％，但本说明书实施例并不需对具体的加权计算方式进行限定。

S102，根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

所计算的各条备选IPSec链路的链路质量值中，链路质量值越大，相当于链路的丢包率及时延越大，即链路质量越差。因此，可以根据链路质量值所反映的链路质量，选择质量最优的IPSec链路，具体也可以通过多种方式实现。

一种最直接的方式可以是，直接将链路质量值最小的链路，确定为质量最优的链路，并选择该链路建立IPSec隧道。

但是，该链路虽然在统计时长内链路质量最优，但链路质量会实时变化，因此，另一种方式可以是，获得链路质量值最小的链路的实时丢包率及实时时延，并与预设条件进行比较，例如与预设的丢包率阈值及时延阈值进行比较，如果实时丢包率小于丢包率阈值，并且实时时延小于时延阈值，则可以认为满足预设筛选条件，将该备选IPSec链路确定为质量最优的IPSec链路；而如果实时丢包率大于丢包率阈值，和/或实时时延大于时延阈值，则可以认为不满足预设筛选条件，不能将该备选IPSec链路确定为质量最优的IPSec链路。

如果链路质量值最小的链路的实时丢包率及实时时延，不满足预设筛选条件，则可以进一步地比较链路质量值次小的链路的实时丢包率及实时时延，是否满足预设筛选条件，类似地，如果满足则确定为质量最优的IPSec链路，如果不满足则进一步地比较链路质量值更大的链路，直到某条链路满足预设筛选条件，则将该链路确定为质量最优的IPSec链路。

通过上述方式确定的质量最优的IPSec链路，其实链路质量满足条件，并且统计时长内相对最稳定，可以最大程度地保障所建立的IPSec隧道两端稳定的通信质量。

当然，如果将所有备选IPSec链路均进行比较后，均不满足预设筛选条件，则可以直接将链路质量值最小的链路，确定为质量最优的IPSec链路，仍可以最大程度地保障所建立的IPSec隧道两端稳定的通信质量。

上述方法中所指的实时丢包率及实时时延，可以通过多种方式表示，例如，可以以离当前时间最近的一个或几个完整探测周期的丢包率和时延，作为实时丢包率及实时时延，本领域技术人员也可以根据实际需求，灵活地采取设定。

可见，应用本说明书实施例的方案，可以从实时性及稳定性的角度，智能确定并选择最优的IPSec链路，最大程度地保障所建立的IPSec隧道两端稳定的通信质量。此外，本方案也可以支持手动选择链路，如果网络管理员出于对组网环境的考虑，比较信赖某一条链路，那么可以手动指定链路，因此，链路的选择更具有灵活性。

相应于上述方法实施例，本说明书实施例还提供一种IPSec链路选择装置，参见图3所示，该装置可以包括：

参数统计模块110，用于统计任一备选IPSec链路在预设统计时长内的统计丢包率和统计时延；

链路质量值计算模块120，用于根据任一备选IPSec链路的所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；

链路选择模块130，用于根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

在本说明书实施例的一种具体实施方式中，参见图4所示，所述参数统计模块110，可以包括：

报文发送单元111，用于通过任一备选IPSec链路，以预设时间间隔发送探测报文；

参数计算单元112，用于统计预设统计时长内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该链路在预设统计时长内的统计丢包率和统计时延。

在本说明书实施例的一种具体实施方式中，参见图5所示，所述参数计算单元112，可以包括：

参数统计子单元112a，用于以预设时长为1个探测周期，统计任一探测周期内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该探测周期的丢包率及时延；

参数计算子单元112b，用于根据预设统计时长内包括的各探测周期的丢包率及时延，计算该链路在预设统计时长内的统计丢包率和统计时延。

在本说明书实施例的一种具体实施方式中，所述链路选择模块130，具体可以用于循环执行以下筛选步骤，直到确定质量最优的IPSec链路、或者确定各条备选IPSec链路均不满足预设筛选条件：

确定未经筛选的各条备选IPSec链路中，链路质量值最小的备选IPSec链路；

获得所确定的备选IPSec链路的实时丢包率及实时延时；

比较所获得的实时丢包率及实时延时，是否满足预设筛选条件；若满足，则将该备选IPSec链路确定为质量最优的IPSec链路。

在本说明书实施例的一种具体实施方式中，所述链路选择模块130，在确定各条备选IPSec链路均不满足预设筛选条件的情况下，还可以进一步用于：

将各条备选IPSec链路中链路质量值最小的备选IPSec链路，确定为质量最优的IPSec链路。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本说明书实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上所述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。

类似地，虽然在附图中以特定顺序描绘了操作，但是这不应被理解为要求这些操作以所示的特定顺序执行或顺次执行、或者要求所有例示的操作被执行，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的分离不应被理解为在所有实施例中均需要这样的分离，并且应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品中，或者封装成多个软件产品。

由此，主题的特定实施例已被描述。其他实施例在所附权利要求书的范围以内。在某些情况下，权利要求书中记载的动作可以以不同的顺序执行并且仍实现期望的结果。此外，附图中描绘的处理并非必需所示的特定顺序或顺次顺序，以实现期望的结果。在某些实现中，多任务和并行处理可能是有利的。

以上所述仅为本说明书实施例的较佳实施例而已，并不用以限制本说明书实施例，凡在本说明书实施例的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书实施例保护的范围之内。

Claims (10)

1.一种IPSec链路选择方法，其特征在于，所述方法包括：

对于任一备选IPSec链路：

统计该链路在预设统计时长内的统计丢包率和统计时延；

根据所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；

根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

2.根据权利要求1所述的方法，其特征在于，所述统计该链路在预设统计时长内的统计丢包率和统计时延，包括：

通过该链路，以预设时间间隔发送探测报文；

统计预设统计时长内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该链路在预设统计时长内的统计丢包率和统计时延。

3.根据权利要求2所述的方法，其特征在于，所述统计预设统计时长内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该链路在预设统计时长内的统计丢包率和统计时延，包括：

以预设时长为1个探测周期，统计任一探测周期内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该探测周期的丢包率及时延；

根据预设统计时长内包括的各探测周期的丢包率及时延，计算该链路在预设统计时长内的统计丢包率和统计时延。

4.根据权利要求1所述的方法，其特征在于，所述根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路，包括：

循环执行以下筛选步骤，直到确定质量最优的IPSec链路、或者确定各条备选IPSec链路均不满足预设筛选条件：

确定未经筛选的各条备选IPSec链路中，链路质量值最小的备选IPSec链路；

获得所确定的备选IPSec链路的实时丢包率及实时延时；

比较所获得的实时丢包率及实时延时，是否满足预设筛选条件；若满足，则将该备选IPSec链路确定为质量最优的IPSec链路。

5.根据权利要求4所述的方法，其特征在于，所述方法在确定各条备选IPSec链路均不满足预设筛选条件的情况下，进一步包括：

将各条备选IPSec链路中链路质量值最小的备选IPSec链路，确定为质量最优的IPSec链路。

6.一种IPSec链路选择装置，其特征在于，所述装置包括：

参数统计模块，用于统计任一备选IPSec链路在预设统计时长内的统计丢包率和统计时延；

链路质量值计算模块，用于根据任一备选IPSec链路的所述统计丢包率和所述统计时延的加权，计算该链路在预设统计时长内的链路质量值；

链路选择模块，用于根据所计算的各条备选IPSec链路的链路质量值，选择质量最优的IPSec链路。

7.根据权利要求6所述的装置，其特征在于，所述参数统计模块，包括：

报文发送单元，用于通过任一备选IPSec链路，以预设时间间隔发送探测报文；

参数计算单元，用于统计预设统计时长内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该链路在预设统计时长内的统计丢包率和统计时延。

8.根据权利要求7所述的装置，其特征在于，所述参数计算单元，包括：

参数统计子单元，用于以预设时长为1个探测周期，统计任一探测周期内，被响应的探测报文的个数、及各被响应的探测报文与对应响应报文间的响应时延，计算该探测周期的丢包率及时延；

参数计算子单元，用于根据预设统计时长内包括的各探测周期的丢包率及时延，计算该链路在预设统计时长内的统计丢包率和统计时延。

9.根据权利要求6所述的装置，其特征在于，所述链路选择模块，具体用于循环执行以下筛选步骤，直到确定质量最优的IPSec链路、或者确定各条备选IPSec链路均不满足预设筛选条件：

确定未经筛选的各条备选IPSec链路中，链路质量值最小的备选IPSec链路；

获得所确定的备选IPSec链路的实时丢包率及实时延时；

比较所获得的实时丢包率及实时延时，是否满足预设筛选条件；若满足，则将该备选IPSec链路确定为质量最优的IPSec链路。

10.根据权利要求4所述的装置，其特征在于，所述链路选择模块在确定各条备选IPSec链路均不满足预设筛选条件的情况下，进一步用于：

将各条备选IPSec链路中链路质量值最小的备选IPSec链路，确定为质量最优的IPSec链路。