CN109542633A - 一种提高网络数据包加密速度的方法 - Google Patents

Abstract

本发明公开了一种提高网络数据包加密速度的方法。通过对内核网络协议栈改造，将IPSEC协议处理部分交由硬件FPGA实现；同时将CPU处理器与FPGA之间通过高速Serdes串行通道互联，支持异步通信方式。本发明通过硬件FPGA实现IPSEC数据格式封装，大大降低了CPU处理器资源负载，提高了网络协议栈运行效率。通过高速Serdes串行通道、异步通信方式和多路协议处理和算法核，实现了高速加解密运算。

Description

一种提高网络数据包加密速度的方法

技术领域：

本发明属于网络数据包加密技术领域，特别涉及一种提高网络数据包加密速度的方法。

背景技术：

传统网络加密设备主要基于操作系统内核网络协议栈、Crypto加密框架和PCIE硬件算法卡设计。网络协议栈负责数据发收发，密钥和策略的管理，ipsec数据包封装处理；Crypto负责加解密算法和认证算法的实现；PCIE算法卡负责算法硬件加速。由于网络协议栈中IPSEC协议处理部分会对进出数据包进行安全策略检查，并根据SA(安全联盟)进行加密、封装等安全处理，极大损耗CPU处理器资源；而Crypto加密框架的同步加解密机制，以及PCIE通信接口基于中断的调度模式均不适用于数据小包传输和加密，造成网络加密设备整体加解密速率低，时延大，流量不均衡，极大影响了使用效果。

公开于该背景技术部分的信息仅仅旨在增加对本发明的总体背景的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域一般技术人员所公知的现有技术。

发明内容：

本发明的目的在于提供一种提高网络数据包加密速度的方法，从而克服上述现有技术中的缺陷。

为实现上述目的，本发明提供了一种提高网络数据包加密速度的方法，其步骤为：(1)CPU处理器通过网络协议栈截取数据包，查询SA获取密钥参数后，通过Crypto异步加解密接口和Serdes串行通道将数据包和密钥参数发送给FPGA：

(2)FPGA通过接收队列接收、解码、校验数据包，进行时钟域调整，通过判断协议号，将业务报文和其它报文分流：

(3)FPGA的Ipsec协议封装模块接收到业务报文以后，在其管理的协议封装通道中选择一个空闲的通道，将数据协议报文送入：

(4)FPGA算法调度模块根据业务报文中的操作对象，将数据净荷送到分组算法、摘要算法和认证算法通道：

(5)协议封装通道的和算法通道输出结果，交由数据会聚处理模块进行数据格式封装后，依次将数据报文发送到发送队列：

(6)发送队列经过时钟域进行调整，增加前导码和MAC帧的校验尾后，将数据报文通过Serdes通道返回CPU处理器。

与现有技术相比，本发明具有如下有益效果：

通过硬件FPGA实现IPSEC数据格式封装，大大降低了CPU处理器资源负载，提高了网络协议栈运行效率。通过高速Serdes串行通道、异步通信方式和多路协议处理和算法核，实现了高速加解密运算。

附图说明：

图1为本发明一种提高网络数据包加密速度的方法工作流程示意图。

具体实施方式：

下面对本发明的具体实施方式进行详细描述，但应当理解本发明的保护范围并不受具体实施方式的限制。

除非另有其它明确表示，否则在整个说明书和权利要求书中，术语“包括”或其变换如“包含”或“包括有”等等将被理解为包括所陈述的元件或组成部分，而并未排除其它元件或其它组成部分。

实施例1

如图1所示，一种提高网络数据包加密速度的方法，其步骤为：(1)CPU处理器通过网络协议栈截取密文数据包，查询IPSEC SA获取密钥参数后，通过Crypto异步加解密接口将数据包和密钥参数经过Serdes串行通道发送给FPGA：

(2)FPGA通过接收队列接收、解码、校验数据包，进行时钟域调整，通过判数据分发汇聚模块断协议号，将业务报文和其它报文分流：

(3)FPGA的Ipsec协议封装模块接收到业务报文以后，在其管理的协议封装通道中选择一个空闲的通道，将数据协议报文送入：

(4)FPGA算法运算调度模块根据业务报文中的操作对象，将数据净荷送到分组算法、摘要算法和认证算法通道：

(5)协议封装通道的和算法通道分别输出结果，交由数据会聚处理模块进行数据格式封装后，依次将数据报文发送到发送队列：

(6)发送队列经过时钟域进行调整，增加前导码和MAC帧的校验尾后，将数据报文通过Serdes通道返回CPU处理器。

通过硬件FPGA实现IPSEC数据格式封装，大大降低了CPU处理器资源负载，提高了网络协议栈运行效率。通过高速Serdes串行通道、异步通信方式和多路协议处理和算法核，实现了高速加解密运算。

前述对本发明的具体示例性实施方案的描述是为了说明和例证的目的。这些描述并非想将本发明限定为所公开的精确形式，并且很显然，根据上述教导，可以进行很多改变和变化。对示例性实施例进行选择和描述的目的在于解释本发明的特定原理及其实际应用，从而使得本领域的技术人员能够实现并利用本发明的各种不同的示例性实施方案以及各种不同的选择和改变。本发明的范围意在由权利要求书及其等同形式所限定。

Claims (1)

1.一种提高网络数据包加密速度的方法，其步骤为：(1)CPU处理器通过网络协议栈截取数据包，查询SA获取密钥参数后，通过Crypto异步加解密接口和Serdes串行通道将数据包和密钥参数发送给FPGA：

(2)FPGA通过接收队列接收、解码、校验数据包，进行时钟域调整，通过判断协议号，将业务报文和其它报文分流：

(3)FPGA的Ipsec协议封装模块接收到业务报文以后，在其管理的协议封装通道中选择一个空闲的通道，将数据协议报文送入：

(4)FPGA算法调度模块根据业务报文中的操作对象，将数据净荷送到分组算法、摘要算法和认证算法通道：

(5)协议封装通道的和算法通道输出结果，交由数据会聚处理模块进行数据格式封装后，依次将数据报文发送到发送队列：

(6)发送队列经过时钟域进行调整，增加前导码和MAC帧的校验尾后，将数据报文通过Serdes通道返回CPU处理器。