CN117675354A - 一种安全通信方法、系统、电子设备及计算机存储介质 - Google Patents

Abstract

本申请实施例提供了一种安全通信方法、系统、电子设备及计算机存储介质。其中，方法包括：获取虚拟机的网络身份信息，将网络身份信息配置到专用数据处理器中的协议代理组件；通过协议代理组件，基于网络身份信息与外部设备建立安全通信隧道以获取安全通信隧道的关键信息，将关键信息下发到专用数据处理器上的网络处理单元；通过网络处理单元，根据关键信息，对虚拟机发往外部设备的数据进行加密并通过安全通信隧道发出，以及对从安全通信隧道收到的外部设备的数据进行解密，并将解密后的数据发送给虚拟机。实现了专用数据处理器在underlay网络中IPSec隧道传输模式全卸载功能。

Description

一种安全通信方法、系统、电子设备及计算机存储介质

技术领域

本申请实施例涉及计算机技术领域，尤其涉及一种安全通信方法、系统、电子设备及计算机存储介质。

背景技术

随着人工智能、大数据分析和网络安全等领域的快速发展，越来越多的应用采用IPSecVPN的方式实现数据的安全传输，IPSec VPN是采用IPSec(IP Security)协议实现可基于公网基础设施安全传输数据的一种隧道技术。IPSec协议并非为一个单独的协议，作为网络层隧道协议，是由Internet工程任务组(IETF)制定的一组安全协议套件，它为IP数据报提供了高质量、可互操作、基于密码学的安全性，其体系机构包括：安全联盟、安全协议、密钥管理、操作模式、验证算法、加密算法和安全策略等。

而传统的通用处理器(CPU)在处理网络数据密集型任务时面临着性能瓶颈和能效挑战。业界均转向专用处理器来解决传统通用处理器的不足，且纷纷提出各自不同的硬件加速方案。

在以DPU(Data Processing Unit，数据处理单元)实现的网络加速方案中，在处理underlay网络场景(通常是静态配置的网络，由网络管理员管理和维护)时，由于采用在DPU上分别创建Bridge-in和Bridge-phy，Bridge-in网桥作为主设备内部VM(VirtualMachine，虚拟机)的网关。在这种情况下，在实现IPSecVPN由传统的CPU卸载到DPU上时，只能采用IPSec tunnel模式且DPU要作为网关才能实现IPSecVPN网络，因为一旦将VM的IP作为DPU的IP与对端的外部设备进行IPSec隧道协商，则会造成DPU网桥与VM配置成相同的ip地址，进而造成地址冲突问题而导致整个网络的故障。

因此，传统的在underlay网络中以DPU分别创建网桥的方式无法实现IPSectransport模式全卸载。

发明内容

有鉴于此，本公开实施例提供一种安全通信方法、系统、电子设备及计算机存储介质。它能有效解决在underlay网络模式下的IPSec transport模式全卸载问题，具有很高的适用性。

本公开的第一方面，提供了一种安全通信方法，用于与主设备通信的专用数据处理器，所述安全协议通信用于所述主设备中的虚拟机、与外部设备之间的通信，所述安全协议通信方法包括：

获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件；

通过所述协议代理组件，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，将所述关键信息下发到所述专用数据处理器上的网络处理单元；

通过所述网络处理单元，根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密并通过所述安全通信隧道发出，以及对从所述安全通信隧道收到的所述外部设备的数据进行解密，并将解密后的数据发送给所述虚拟机。

在本公开的一些实施方式中，协议代理组件包括协议协商组件；

获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件，包括：

获取所述虚拟机的网络身份信息，根据所述网络身份信息在所述协议协商组件中配置所述协议协商组件的网络身份，使得所述协议协商组件可以根据所述网络身份生成协商报文；

基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，包括：

通过所述协议协商组件根据收到的所述协商报文所对应的应答报文生成关键信息。

在本公开的一些实施方式中，协议代理组件包括隧道代理组件；

所述基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息包括：

将所述协议协商组件生成的协商报文发送到所述隧道代理组件，通过所述隧道代理组件，根据所述虚拟机的媒体访问控制地址对所述协商报文进行封装，并发送到网络处理单元，通过网络处理单元将所述协商报文发送到所述外部设备；

通过所述隧道代理模块从所述网络处理单元接收所述外部设备发送的应答报文，并将所述应答报文发送给所述协议协商组件，由所述协议协商组件根据所述应答报文生成所述关键信息。

在本公开的一些实施方式中，协议代理组件包括协商报文发送组件；

所述基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息包括：

通过所述协商报文发送组件接收所述协议协商组件的协商报文，并将所述协商报文发送到隧道代理模块；以及

接收所述隧道代理模块发送的应答报文并将所述应答报文发送给所述协议协商模块。

在本公开的一些实施方式中，协议代理组件包括关键信息发送组件和关键信息分发组件；所述将所述关键信息下发到所述专用数据处理器上的网络处理单元，包括：

通过所述关键信息发送组件，将所述关键信息发送到所述关键信息分配组件，以便所述关键信息分配组件将所述关键信息分配到所述网络处理单元。

在本公开的一些实施方式中，关键信息包括安全策略信息、安全关联信息、以及隧道流表，所述隧道流表指示所述安全通信隧道中的隧道流；

所述根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密，包括：

获取所述虚拟机发往所述外部设备的所述数据，根据所述隧道流表确定所述虚拟机对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行加密，并将加密后的所述数据通过所述安全通信隧道发送到外部设备；

所述对从所述安全通信隧道收到的所述外部设备的数据进行解密，包括：

获取外部设备发送的所述数据，根据所述隧道流表确定所述第二数据对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行解密，并将解密后的所述数据发送给所述安全通信隧道对应的虚拟机。

在本公开的一些实施方式中，将所述关键信息下发到所述专用数据处理器上的网络处理单元，包括：

根据所述安全策略生成所述虚拟机与所述外部设备建立的安全通信隧道的流表，并将所述流表分配到所述网络处理单元。

本公开的第二方面还提出一种安全通信系统，用于与主设备通信的加速卡，包括：

身份配置模块，用于获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件；

隧道建立模块，用于通过所述协议代理组件，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，将所述关键信息下发到所述专用数据处理器上的网络处理单元；

安全通信模块，用于通过所述网络处理单元，根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密并通过所述安全通信隧道发出，以及对从所述安全通信隧道收到的所述外部设备的数据进行解密，并将解密后的数据发送给所述虚拟机。

本公开的第三方面还提出一种专用数据处理器，其特征在于，包括：

存储器和处理器，其中，所述存储器中存储有计算机程序，当所述计算机程序被所述处理器执行时，实现如上述的安全通信方法。

本公开的第四方面还提出一种计算机存储介质，所述计算机存储介质存储有计算机程序代码，当所述计算机程序代码被处理器运行时，使处理器执行如上述的安全通信方法。

根据本公开实施方式提供的安全通信方法，通过将主设备上的虚拟机的网络身份信息配置到加速卡上的协议代理组件，由协议代理组件替代虚拟机向对端的外部设备建立起IPSec隧道，并协商出IPSec隧道安全通信的关键信息，进一步将关键信息下发到DPU上的网络处理，由网络处理单元直与对端的外部设备实现IPSec隧道的报文通信，并直接和主设备上的虚拟机进行数据通信，实现由主设备上的虚拟机<—>网络处理单元<—>外部设备的IPSec隧道通信，解决传统的实现方案在underlay网络下不支持的IPSec transport模式的问题，并提升IPsec隧道功能卸载到专用处理器后的处理性能。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请实施例中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1本实施本公开安全通信的场景示例的示意图；

图2为根据本公开的一个实施例实施的安全通信方法流程图；

图3为根据本公开的一个实施例实施的安全通信方法的系统结构示意图；

图4为根据本公开的一个实施例实施的安全通信方法的系统结构示意图；

图5为根据本公开的一个实施例实施的安全通信系统结示意图；

图6为为实施图2所示的安全通信方法的专用处理器的结构图。

具体实施方式

为了使本领域的人员更好地理解本申请实施例中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请实施例一部分实施例，而不是全部的实施例。基于本申请实施例中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于本申请实施例保护的范围。

下面结合本申请实施例附图进一步说明本申请实施例具体实现。

本公开旨在解决在以专用数字处理器卸载主设备上IPSecVPN功能时的性能以及使用受限的问题。

IPSecVPN是采用IPSec(IP Security)协议实现可基于公网基础设施安全传输数据的一种隧道技术。IPSec协议并非为一个单独的协议，作为网络层隧道协议，是由Internet工程任务组(IETF)制定的一组安全协议套件，它为IP数据报提供了高质量、可互操作、基于密码学的安全性，其体系机构包括：安全联盟、安全协议、密钥管理、操作模式、验证算法、加密算法和安全策略等。

而随着网络数据的爆发式增长，将原本由主设备上的CPU执行的网络处理卸载到专用数字处理器已是公认的解决网络数据爆发式增长的方案。而在IPSecVPN功能卸载的应用上，传统的实现方案主要包括：East-West Overlay Encryption和IPSec SecurityGetway方案；

其中，East-West Overlay Encryption采用OVS社区方案，Strongswan作为隧道控制面用于协商，OVS作为数据面用于报文的收发和配置管理。通过OVS工具配置Vxlan和IPSec功能。该方案中，IPSec隧道的协商ip与Vxlan头ip相同，数据流量通过OVS时会将报文封装Vxlan头，封装Vxlan头后的报文可以匹配到IPSec隧道，进行加解密处理。OVS与Strongswan的卸载能力均采用内核tc_flow卸载。

IPSec Security Getway采用DOCA flow方案实现，Strongswan作为隧道控制面用于协商，OVS作为数据面用于报文的收发与Vxlan封装。该方案中，IPSec隧道的协商ip与Vxlan头ip相同，数据流量通过OVS时会将报文封装Vxlan头，封装Vxlan头后的报文可以匹配到IPSec隧道，进行加解密处理。OVS与IPSec Security Getway的卸载能力均采用rte_flow卸载。

上述两种方案均需要Vxlan的支持。而对于underlay网络架构，由于underlay网络是底层物理网络，并不具备虚拟网络功能，即不支持Vxlan。因此这种网络场景便无法实现。此外，由于需要一层Vxlan，实现的IPSec隧道在传输数据时，对每个数据包都要额外再封装一层隧道头，因此也会造成网络处理设备的性能损失。

为解决上述问题，本公开提供一种安全通信方法、系统、电子设备及计算机存储介质，其所应用的场景及系统架构如图1所示。该系统架构包括主设备以及主设备上的虚拟机、专用数字处理器和外部设备。

虚拟机是运行在主设备上的具有在逻辑上具有独立通信能力的虚拟机，例如虚拟机实例，或则是容器实例等。

主设备是运行有多个虚拟机的物理计算机，具体地，它可以体现为桌面计算机、服务器、膝上型计算机、手机、PDA、专用终端，也可以体现为若干终端组成的集群。

外部设备是指与主设备上的虚拟机进行通信的其他计算机设备。

专用数字处理器是用于卸载主设备和/或主设备上的虚拟机的通信功能的硬件加速设备，例如可以是DPU、FPGA等具有逻辑处理能力的硬件加速单元。

专用数字处理器包括SOC和网络处理单元，SOC包括协议代理组件，SOC即片上系统，是一个专用目标的集成电路产品，包括完整系统并具有嵌入软件的全部内容。它包含集成处理器、存储器、基带、各种互联总线等。协议代理组件是运行在SOC上的集成软件，用于和外部设备建立IPSec隧道的协商并根据协商结果生成IPsec隧道通信的关键信息。网络处理器是以硬件实现的网络数据处理单元。

协商报文是指在建立隧道前由协议代理组件向外部设备发送的用于协商IPsec隧道的网络报文；应答报文是指外部设备根据协商报文作出的响应所对应的网络报文；关键信息是指协议代理组件根据协商结果生成的用于加解密网络报文以及传输网络报文的相关信息。

如图2所示，根据本公开的一个实施例，提供了一种安全通信方法，用于与主设备通信的专用数据处理器，所述安全协议通信用于所述主设备中的虚拟机、与外部设备之间的通信，所述安全协议通信方法包括：

步骤S1、获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件；

步骤S2、通过所述协议代理组件，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，将所述关键信息下发到所述专用数据处理器上的网络处理单元；

步骤S3、通过所述网络处理单元，根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密并通过所述安全通信隧道发出，以及对从所述安全通信隧道收到的所述外部设备的数据进行解密，并将解密后的数据发送给所述虚拟机。

网络身份信息在本公开的一些实施例中是指协议代理组件所要代理的虚拟机或主设备的IP地址、Mac地址(Media Access Control Address，媒体访问控制地址)等用于在网络中标识具体设备身份的身份信息。

协议代理组件是运行在专用数据处理器SOC上的协议代理软件系统。

安全通信隧道在本公开的一些实施例中是指IPsec通信隧道。

关键信息是指用于指导网络数据在安全通信隧道中加解密以及对网络数据的收发相关规则信息。以IPsec通信隧道为例，包括安全策略(Security Policy，SP)和安全关联(Security Association，SA)、以及基于SP生成的流表。

网络处理单元是位于专用数据处理器上的基于硬件实现的网络报文处理单元，可根据关键信息对收到的数据实现安全通信隧道上的数据封装发送与接收解析。

在步骤S1中，获取虚拟机的网络身份信息，可以通过人工生成配置文件的方式将需要建立安全通信隧道的虚拟机的IP地址、Mac地址等身份信息添加到对应的配置文件中；也可以是在对应的虚拟机需要和外部设备建立通信隧道时，通过使用自动化工具收集对应的虚拟机的网络身份信息。进一步，将虚拟机的身份信息配置到协议代理组件，使得协议代理组件可根据该虚拟机网络身份，代替该虚拟机生成协商报文并向外部设备发送协商报文。

在步骤S2中，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息是指：协议代理组件根据虚拟机的网络身份信息生成协商报文，然后将协商报文通过网络发送到位于网络对端的外部设备，以及接收网络对端的外部设备发送的应答报文，分析应答报文并得到协商结果，如果协商成功则生成关键信息。协商失败则上报协商失败的情况或者按照既定的协商逻辑再次发起新一轮协商。

进一步，如果协商成功并且生成对应的关键信息，则将关键信息下放到专用数据处理器上的网络处理单元。

在步骤S3中，在安全通信隧道协商完成后，虚拟机发送的网络数据在到达网络处理单元后，网络单元根据关键信息确认是否对虚拟机发送的网络数据采用安全通信隧道传输，如果是要采用安全通信隧道传输，则根据关键信息对网络数据进行加密，然后通过安全通信隧道发送到网络对端的外部设备。

进一步，如果是从网络对端的外部设备且采用安全通信隧道发来的网络数据，则根据关键信息确定对应的虚拟机，再根据关键信息对从安全通信隧道发送而来的网络数据进行解密，并将解密后的数据发送到虚拟机上。

在本公开的一些实施方式中，协议代理组件包括协议协商组件；

获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件，包括：

获取所述虚拟机的网络身份信息，根据所述网络身份信息在所述协议协商组件中配置所述协议协商组件的网络身份，使得所述协议协商组件可以根据所述网络身份生成协商报文；

基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，包括：

通过所述协议协商组件根据收到的所述协商报文所对应的应答报文生成关键信息。

在本公开的一些实施例中，如图3所示，协议代理组件还包括协议协商组件。在本公开的一些实施例中，协议协商组件由开源工具Strongswan实现。用来对于需要建立安全通信隧道的虚拟机，根据该虚拟机的IP地址来生成协商报文。

具体地，通过手动配置将对应虚拟机的IP等信息写入到Strongswan的配置文件或者使用自动工具自动获取需要采用安全通信隧道的虚拟机的IP等信息并配置到Strongswan的配置文件中，其中隧道地址与保护地址均为虚拟机的IP。在需要建立安全通信隧道时，通过Strongswan的控制模块触发Strongswan协商过程，以模拟虚拟机的网络身份生成对应的协议报文。

进一步，在收到对应的协商成功的应答报文后，根据应答报文生成该虚拟机与网络对端的外部设备的安全通信隧道的关键信息。例如生成IPsec隧道的安全关联SA和安全策略SP。进一步根据安全策略SP生成对应的IPSec隧道的流表。

在本公开的一些实施方式中，协议代理组件包括隧道代理组件；

所述基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息包括：

将所述协议协商组件生成的协商报文发送到所述隧道代理组件，通过所述隧道代理组件，根据所述虚拟机的媒体访问控制地址对所述协商报文进行封装，并发送到网络处理单元，通过网络处理单元将所述协商报文发送到所述外部设备；

通过所述隧道代理模块从所述网络处理单元接收所述外部设备发送的应答报文，并将所述应答报文发送给所述协议协商组件，由所述协议协商组件根据所述应答报文生成所述关键信息。

在本公开的一些实施例中，如图3所示，协议代理组件还包括隧道代理组件。隧道代理组件是位于用户态协议栈进程中的一个过程，用于过滤对应的隧道协商报文，例如IPSec隧道协商报文，对于以虚拟机身份发出的协商报文则查询对应的ARP表，以获取虚拟机的Mac地址，然后根据Mac地址对协商报文进行封装。另外，对于从外部设备发往主设备方向的应答报文，则将其转发到协议协商组件。

具体地，协议协商组件根据虚拟机的网络身份信息生成协商报文后，需要将协商报文发送给隧道代理组件，由隧道代理组件根据虚拟机的Mac地址对协商报文进行封装，然后将封装后的协商报文发送到网络处理单元，由网络处理单元发送到网络对端的外部设备。

进一步，隧道代理组件在接收到对应的应答报文之后将应答报文发送给协议协商组件。

在本公开的一些实施方式中，协议代理组件包括协商报文发送组件；

所述基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息包括：

通过所述协商报文发送组件接收所述协议协商组件的协商报文，并将所述协商报文发送到隧道代理模块；以及

接收所述隧道代理模块发送的应答报文并将所述应答报文发送给所述协议协商模块。

在本公开的一些实施例中，如图4所示，协议代理组件还包括协商报文发送组件。协商报文发送组件为嵌入在协议协商组件内的通信组件。用于实现协议协商组件和隧道代理组件之间的通信。例如与隧道代理组件之间建立socket通信，在以Strongswan开源工具为协议协商组件的情况下，在Strongswan根据虚拟机的身份信息生成对应的协商报文后，需要将协商报文发出，而原生的Strongswan工具并不具备向而隧道代理组件通信的能力，因此通过协商报文发送组件实现Strongswan工具与隧道代理组件的协商报文与应答报文的发送。具体地，在隧道代理组件收到应答报文后，协议发送组件从隧道代理组件获取应答报文，然后将应答报文发送给Strongswan工具；以及当Strongswan工具生成协商报文后，由协议发送组件将协商报文发送给隧道代理组件。

在本公开的一些实施例中，还通过协商报文发送组件将协商隧道地址，即虚拟机IP地址发送给隧道代理组件，使得隧道代理组件根据虚拟机的IP地址查找ARP表获取虚拟机对应的Mac地址，用于后续的协商报文的封装。

在本公开的一些实施方式中，协议代理组件包括关键信息发送组件和关键信息分发组件；所述将所述关键信息下发到所述专用数据处理器上的网络处理单元，包括：

通过所述关键信息发送组件，将所述关键信息发送到所述关键信息分配组件，以便所述关键信息分配组件将所述关键信息分配到所述网络处理单元。

在本公开的一些实施例中，协议代理组件还包括关键信息发送组件和信息分发组件。其中，如图4所示，关键信息发送组件为嵌入在协议协商组件中，用于协议协商组件在经过一轮或多轮的协商报文和应答报文的协商之后，取得协商结果并生成关键信息后，将关键信息发送出协议协商组件。即同样是以Strongswan开源工具为例，通过关键信息发送组件嵌入到Strongswan工具中，在Strongswan工具生成的关键信息后，通过关键信息发送组件发送到信息分发组件。信息分发组件是专用数据处理器上的网络处理单元通信的配置组件，用于将关键信息配置到网络处理单元，使得网络处理单元根据关键信息可以直接与外部设备实现安全通信隧道的通信。

具体地，在公开的一些实施例中，关键信息发送组件与信息分发组件通过共享内存实现在专用数据处理器中的数据互通。

在本公开的一些实施方式中，关键信息包括安全策略信息、安全关联信息、以及隧道流表，所述隧道流表指示所述安全通信隧道中的隧道流；

所述根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密，包括：

获取所述虚拟机发往所述外部设备的所述数据，根据所述隧道流表确定所述虚拟机对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行加密，并将加密后的所述数据通过所述安全通信隧道发送到外部设备；

所述对从所述安全通信隧道收到的所述外部设备的数据进行解密，包括：获取外部设备发送的所述数据，根据所述隧道流表确定所述第二数据对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行解密，并将解密后的所述数据发送给所述安全通信隧道对应的虚拟机。

在本公开的一些实施例中，如前所述，关键信息包括：安全关联、安全策略和流表。在网络处理单元被配置好关键信息后，虚拟机可直接将相应的网络数据发送给网络处理单元，网络处理单元判断收到的网络数据是否命中流表中的转发规则，如果命中，则说明对应的网络数据是要采用安全通信隧道转发，则通过安全关联信息对虚拟机发送的网络数据进行加密，并在加密完成后，将加密后的网络数据通过该虚拟机所对应的安全通信隧道发送到外部设备。

进一步，在网络处理单元收到来自网络对端的外部设备通过安全通信隧道发来的数据之后，基于关键信息中的安全关联对数据进行解密。并根据流表确定解密后的数据所要发往的虚拟机，随后通过网络处理单元将解密后的数据发送给虚拟机。

在本公开的一些实施方式中，将所述关键信息下发到所述专用数据处理器上的网络处理单元，包括：

根据所述安全策略生成所述虚拟机与所述外部设备建立的安全通信隧道的流表，并将所述流表分配到所述网络处理单元。

在本公开的一些实施例中，在将关键信息下发到网络处理单元之前，根据安全策略生成虚拟机和外部设备所建立的安全通信隧道的流表。

如图5所示，本公开的第二方面还提出一种安全通信系统，用于与主设备通信的加速卡，包括：

身份配置模块5001，用于获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件；

隧道建立模块5002，用于通过所述协议代理组件，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，将所述关键信息下发到所述专用数据处理器上的网络处理单元；

安全通信模块5003，用于通过所述网络处理单元，根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密并通过所述安全通信隧道发出，以及对从所述安全通信隧道收到的所述外部设备的数据进行解密，并将解密后的数据发送给所述虚拟机。

在本公开的一些实施方式中，协议代理组件包括协议协商组件；

身份配置模块5001，还用于：

获取所述虚拟机的网络身份信息，根据所述网络身份信息在所述协议协商组件中配置所述协议协商组件的网络身份，使得所述协议协商组件可以根据所述网络身份生成协商报文；

隧道建立模块5002，还用于：

通过所述协议协商组件根据收到的所述协商报文所对应的应答报文生成关键信息。

在本公开的一些实施方式中，协议代理组件包括隧道代理组件；

隧道建立模块5002，还用于：

将所述协议协商组件生成的协商报文发送到所述隧道代理组件，通过所述隧道代理组件，根据所述虚拟机的媒体访问控制地址对所述协商报文进行封装，并发送到网络处理单元，通过网络处理单元将所述协商报文发送到所述外部设备；

通过所述隧道代理模块从所述网络处理单元接收所述外部设备发送的应答报文，并将所述应答报文发送给所述协议协商组件，由所述协议协商组件根据所述应答报文生成所述关键信息。

在本公开的一些实施方式中，协议代理组件包括协商报文发送组件；

隧道建立模块5002，还用于：

通过所述协商报文发送组件接收所述协议协商组件的协商报文，并将所述协商报文发送到隧道代理模块；以及

接收所述隧道代理模块发送的应答报文并将所述应答报文发送给所述协议协商模块。

在本公开的一些实施方式中，协议代理组件包括关键信息发送组件和关键信息分发组件；隧道建立模块5002，还用于：

通过所述关键信息发送组件，将所述关键信息发送到所述关键信息分配组件，以便所述关键信息分配组件将所述关键信息分配到所述网络处理单元。

在本公开的一些实施方式中，关键信息包括安全策略信息、安全关联信息、以及隧道流表，所述隧道流表指示所述安全通信隧道中的隧道流；

安全通信模块5003，还用于：

获取所述虚拟机发往所述外部设备的所述数据，根据所述隧道流表确定所述虚拟机对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行加密，并将加密后的所述数据通过所述安全通信隧道发送到外部设备；；

所述对从所述安全通信隧道收到的所述外部设备的数据进行解密，包括：获取外部设备发送的所述数据，根据所述隧道流表确定所述第二数据对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行解密，并将解密后的所述数据发送给所述安全通信隧道对应的虚拟机。

在本公开的一些实施方式中，隧道建立模块5002，还用于：

根据所述安全策略生成所述虚拟机与所述外部设备建立的安全通信隧道的流表，并将所述流表分配到所述网络处理单元。

根据本公开实施方式提供的安全通信方法，通过将主设备上的虚拟机的网络身份信息配置到加速卡上的协议代理组件，由协议代理组件替代虚拟机向对端的外部设备建立起IPSec隧道，并协商出IPSec隧道安全通信的关键信息，进一步将关键信息下发到DPU上的网络处理，由网络处理单元直与对端的外部设备实现IPSec隧道的报文通信，并直接和主设备上的虚拟机进行数据通信，实现由主设备上的虚拟机<—>网络处理单元<—>外部设备的IPSec隧道通信，解决传统的实现方案在underlay网络下不支持的IPSec transport模式的问题。并且免去传统实现方式中依赖Vxlan的隧道头封装，使得IPSec隧道的网络数据收发能力大大提高。

下面参照图6来描述根据本公开的实施方式的专用数据处理器500。图6显示的专用数据处理器500仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

图6所示的专用数据处理器500可以包括但不限于：至少一个处理单元510、至少一个存储单元520、连接不同系统组件(包括存储单元520和处理单元510)的总线530。存储单元520存储有程序代码，程序代码可以被处理单元510执行，使得处理单元510执行本说明书上述示例性方法的描述部分中描述的根据本公开各种示例性实施方式的步骤。

存储单元520可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)5201和/或高速缓存存储单元5202，还可以进一步包括只读存储单元(ROM)5203。

存储单元520还可以包括具有一组(至少一个)程序模块8205的程序/实用工具5204，这样的程序模块5205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线530可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

专用数据处理器500也可以与一个或多个外部设备600(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与专用数据处理器500交互的设备通信，和/或与使得该专用数据处理器500能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口550进行。并且，专用数据处理器500还可以通过网络适配器560与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器560通过总线530与专用数据处理器500的其它模块通信。应当明白，尽管图中未示出，专用数据处理器500可以使用其它硬件和/或软件模块实现，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机程序介质，其上存储有计算机可读指令，当计算机可读指令被计算机的处理器执行时，使计算机执行上述方法实施例部分描述的方法。

根据本公开的一个实施例，还提供了一种用于实现上述方法实施例中的方法的程序产品，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本公开的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施方式的方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由所附的权利要求指出。

需要指出，根据实施的需要，可将本申请实施例中描述的各个部件/步骤拆分为更多部件/步骤，也可将两个或多个部件/步骤或者部件/步骤的部分操作组合成新的部件/步骤，以实现本申请实施例的目的。

上述根据本申请实施例的方法可在硬件、固件中实现，或者被实现为可存储在记录介质(诸如CD ROM、RAM、软盘、硬盘或磁光盘)中的软件或计算机代码，或者被实现通过网络下载的原始存储在远程记录介质或非暂时机器可读介质中并将被存储在本地记录介质中的计算机代码，从而在此描述的方法可被存储在使用通用计算机、专用处理器或者可编程或专用硬件(诸如ASIC或FPGA)的记录介质上的这样的软件处理。可以理解，计算机、处理器、微处理器控制器或可编程硬件包括可存储或接收软件或计算机代码的存储组件(例如，RAM、ROM、闪存等)，当所述软件或计算机代码被计算机、处理器或硬件访问且执行时，实现在此描述的校验码生成方法。此外，当通用计算机访问用于实现在此示出的校验码生成方法的代码时，代码的执行将通用计算机转换为用于执行在此示出的校验码生成方法的专用计算机。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及方法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请实施例的范围。

以上实施方式仅用于说明本申请实施例，而并非对本申请实施例的限制，有关技术领域的普通技术人员，在不脱离本申请实施例的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本申请实施例的范畴，本申请实施例的专利保护范围应由权利要求限定。

Claims (10)

1.一种安全通信方法，用于与主设备通信的专用数据处理器，所述安全协议通信用于所述主设备中的虚拟机、与外部设备之间的通信，其特征在于，所述安全协议通信方法包括：

获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件；

通过所述协议代理组件，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，将所述关键信息下发到所述专用数据处理器上的网络处理单元；

通过所述网络处理单元，根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密并通过所述安全通信隧道发出，以及对从所述安全通信隧道收到的所述外部设备的数据进行解密，并将解密后的数据发送给所述虚拟机。

2.根据权利要求1所述的方法，其特征在于，所述协议代理组件包括协议协商组件；

获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件，包括：

获取所述虚拟机的网络身份信息，根据所述网络身份信息在所述协议协商组件中配置所述协议协商组件的网络身份，使得所述协议协商组件可以根据所述网络身份生成协商报文；

基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，包括：

通过所述协议协商组件根据收到的所述协商报文所对应的应答报文生成关键信息。

3.根据权利要求2所述的方法，其特征在于，所述协议代理组件包括隧道代理组件；

所述基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息包括：

将所述协议协商组件生成的协商报文发送到所述隧道代理组件，通过所述隧道代理组件，根据所述虚拟机的媒体访问控制地址对所述协商报文进行封装，并发送到网络处理单元，通过网络处理单元将所述协商报文发送到所述外部设备；

通过所述隧道代理模块从所述网络处理单元接收所述外部设备发送的应答报文，并将所述应答报文发送给所述协议协商组件，由所述协议协商组件根据所述应答报文生成所述关键信息。

4.根据权利要求3所述的方法，其特征在于，所述协议代理组件包括协商报文发送组件；

所述基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息包括：

通过所述协商报文发送组件接收所述协议协商组件的协商报文，并将所述协商报文发送到隧道代理模块；以及

接收所述隧道代理模块发送的应答报文并将所述应答报文发送给所述协议协商模块。

5.根据权利要求1所述的方法，其特征在于，所述协议代理组件包括关键信息发送组件和关键信息分发组件；所述将所述关键信息下发到所述专用数据处理器上的网络处理单元，包括：

通过所述关键信息发送组件，将所述关键信息发送到所述关键信息分配组件，以便所述关键信息分配组件将所述关键信息分配到所述网络处理单元。

6.根据权利要求1所述的方法，其特征在于，所述关键信息包括安全策略信息、安全关联信息、以及隧道流表，所述隧道流表指示所述安全通信隧道中的隧道流；

所述根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密，包括：

获取所述虚拟机发往所述外部设备的所述数据，根据所述隧道流表确定所述虚拟机对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行加密，并将加密后的所述数据通过所述安全通信隧道发送到外部设备；

所述对从所述安全通信隧道收到的所述外部设备的数据进行解密，包括：

获取外部设备发送的所述数据，根据所述隧道流表确定所述第二数据对应的安全通信隧道；通过所述安全通信隧道对应的安全策略信息和安全关联信息对所述数据进行解密，并将解密后的所述数据发送给所述安全通信隧道对应的虚拟机。

7.根据权利要求6所述的方法，其特征在于，所述将所述关键信息下发到所述专用数据处理器上的网络处理单元，包括：

根据所述安全策略生成所述虚拟机与所述外部设备建立的安全通信隧道的流表，并将所述流表分配到所述网络处理单元。

8.一种安全通信系统，用于与主设备通信的加速卡，其特征在于，包括：

身份配置模块，用于获取所述虚拟机的网络身份信息，将所述网络身份信息配置到所述专用数据处理器中的协议代理组件；

隧道建立模块，用于通过所述协议代理组件，基于所述网络身份信息与所述外部设备建立安全通信隧道以生成所述安全通信隧道的关键信息，将所述关键信息下发到所述专用数据处理器上的网络处理单元；

安全通信模块，用于通过所述网络处理单元，根据所述关键信息，对所述虚拟机发往所述外部设备的数据进行加密并通过所述安全通信隧道发出，以及对从所述安全通信隧道收到的所述外部设备的数据进行解密，并将解密后的数据发送给所述虚拟机。

9.一种专用数据处理器，其特征在于，包括：

存储器和处理器，其中，所述存储器中存储有计算机程序，当所述计算机程序被所述处理器执行时，实现如权利要求1-7中任一项所述的安全通信方法。

10.一种计算机存储介质，其特征在于，所述计算机存储介质存储有计算机程序代码，当所述计算机程序代码被处理器运行时，使处理器执行如权利要求1-7任一项所述的安全通信方法。