CN1567877A - 同步封包处理系统与方法 - Google Patents

Abstract

一种同步封包处理系统与方法，用以实现负载平衡而提高处理私密封包的速度。同步封包处理系统包含交换器和多个封包处理装置。交换器用以接收并转送私密封包。多个封包处理装置用以接收由交换器所转送的私密封包，且多个封包处理装置分别拥有不重复的装置编号，并通过一同步运作方式使多个封包处理装置之间能实现同步运作而处理私密封包。

Description

同步封包处理系统与方法

技术领域

本发明涉及一种同步封包处理系统，尤其涉及一种以集群式结构(clusteredarchitecture)实现负载平衡(load balance)而提高封包处理的速度的同步封包处理系统。

背景技术

互联网安全协议(IP security protocol，IPsec)是一种具体实现虚拟专用网络(Virtual Private Network，以下简称为VPN)的技术。而VPN是一种通过公众网络系统即可提供成本低且具安全性高的专用网络系统。

IPSec协议将多种安全技术整合，在两个网关(gateway)之间建立一具安全性的隧道(tunnel)，使外界无法获取在该隧道中所传递的数据。上述的安全技术包含：密钥交换技术(Diffie-Hellman)、数据加密标准(Data EncryptionStandard，DES)、密钥密码(Ron’s Code 4，RC4)、国际数据加密算法(InternationalData Encryption Algorithm，IDEA)、信息摘要(Message Digest 5，MD5)、安全HASH算法(Secure Hash Algorithm，SHA)以及数字签章等。

IPSec协议是由多个子协议所构成的协议包，而这些子协议包括有：互联网密钥交换协议(Internet Key Exchange，IKE)、IP认证标头(AuthenticationHeader，AH)、IP封装安全装载(Encapsulating Security Payload，ESP)等。其中最常用以实现IKE协议的协议为互联网安全关联及密钥管理协议(InternetSecurity Association Key Management Protocol，ISAKMP)。ISAKMP协议则是用来定义采用IPsec协议的两个对等的主机之间传递数据时应用的程序环境，如：DES。

IPsec协议所提供的子协议用以在网络层中，提供给两个对等的实体网络主机之间传递数据时的数据源验证、数据完整性验证和数据保密性验证。其中数据源验证和数据完整性验证通过AH协议而实现，而数据保密性则是通过ESP而实现。

请参阅图1，图1为现有技术采用IPsec协议的系统结构的示意图。上述程序环境被定义成一安全关联(Security Association，SA)，并且SA通过IKE协议所建立。每一SA单向地被建立，换句话说，若是要建立如图1所示的两个对等主机之间的IPsec协议的话，是必须建立第一主机10至第二主机11的SA和第二主机11至第一主机10的SA。通过IKE协议建立第一主机10至第二主机11的SA时，会以一安全参数索引(Security Parameter Index，SPI)和第一主机10的IP地址而定义出唯一的SA。在IPsec协议下，第一主机10将要传递的数据封包通过AH协议或ESP协议处理成额外具有SPI的私密封包后，通过互联网络传递至第二主机11。当第二主机11接收该私密封包后，会通过该私密封包中所具有的SPI找到相对应的SA，并且第二主机11以SA中所定义的程序环境进行处理该私密封包。此外，第一主机10通过AH协议处理要传递的数据封包成私密封包时，会额外赋予一顺序号码，使得当第二主机11通过纪录每一私密封包的顺序号码，而判断该私密封包是否为已接收过。若第二主机11发现该私密封包为已接收过时，该私密封包将被第二主机11舍弃不处理，用以避免重送攻击(replay attack)。

请参阅图2，图2为现有技术另一采用IPsec协议的系统结构图。若将如图1中所示的第一主机10和第二主机11均改变成网关时，如图2所示的第一主机10和第二主机11被视为一安全网关。在这样的结构下，客户端计算机21～28是不需做任何的设定或措施，即可通过第一主机10和第二主机11使用IPsec协议下的隧道模式，使得客户端计算机21～24和客户端计算机25～28互相传递数据时，所传递的数据封包不会在互联网络中被获取或假冒。上述在IPsec协议中所传递的封包，至少包含不重复的顺序号码、安全参数索引(SPI)、源地址和目的地址。其中源地址则是指封包的发送源，目的地址为封包的发送对象。

然而，在IPsec协议下，处理数据封包使用了大量的加密/解密的演算程序，并且当上述安全网关所连接的客户端计算机数量越来越多时，安全网关的负荷会越来越大。当安全网关负荷过量时将无法正常运作，整个网络通讯将因此变得十分缓慢，甚至中断，因此，的确需要另一方法或结构以避免安全网关成为整体网络通讯上的瓶颈。当将上述安全网关改采集群式结构(clusteredarchitecture)的安全网关时，将可避免安全网关成为网络通讯上的瓶颈，也可避免单一台安全网关无法运作而导致网络通讯中断。

在集群式结构的安全网关中，需要以一种负载平衡机制，使得要处理的私密封包得以平均地交给不同的封包处理装置进行处理，提高整体处理私密封包的速度。并且，在集群式结构的安全网关中的每一封包处理装置需要实时地获得其它封包处理装置所产生的SA，使得每一封包处理装置能依据SPI找到相对应的SA。并且，在产生SA的过程中，必须正确且一致地将SPI分配于每一SA中。以及每一封包处理装置均能正确地赋予和纪录在私密封包中的顺序号码。

然而，现有的负载平衡机制，仅适用于处理没有相互关联性的封包，无法将其中一台封包处理装置所产生的SA实时且同步地让其它封包处理装置也拥有，所以其它封包处理装置无法通过SPI查找相对应的SA，而需重新建立另一个SA，因此便无法达到负载平衡的目的。并且，由于现有负载平衡机制用以处理封包的特性，使得SPI对应SA的一致性也产生问题。此外，在现有负载平衡机制下，每一封包处理装置也难以通过私密封包中的顺序号码防止重送攻击。

综上可知，所述现有技术的封包处理装置及方法，在实际使用上，显然存在不便与缺陷，所以有必要加以改进。

发明内容

针对上述的缺陷，本发明的主要目的在于，提供一种同步封包处理系统，以提高整体的封包处理的速度。

本发明的另一目的在于，提供一种同步封包处理系统，使得在同步封包处理系统中每一封包处理装置能实时且同步地拥有相同的SA，以同步地进行封包的处理。

本发明的另一目的在于，使得在同步封包处理系统中每一封包处理装置能实时且同步地分配适当的SPI给每一SA，以有效率地进行封包的处理。

本发明的另一目的在于，使得在同步封包处理系统中每一封包处理装置能实时且同步地赋予和纪录每一私密封包的顺序号码，以有效率地进行封包的处理。

为了实现上述目的，本发明提供一种同步封包处理系统，通过集群式结构而实现负载平衡，而得以提高处理私密封包的速度。同步封包处理系统包含交换器和多个封包处理装置。交换器用以收送该私密封包。多个封包处理装置用以接收由交换器所转送的私密封包，且多个封包处理装置分别拥有不重复的装置编号，并通过一同步运作方式使多个封包处理装置之间能实现同步运作而处理私密封包。

本发明还提供一种同步封包处理系统，至少包含：至少一交换器，用以接收并转送一封包；以及多个封包处理装置，分别具有不重复的一装置编号，依据一同步运作方式同步地接收由该交换器所转送的该封包，且同步地处理该封包的一顺序号码，并自该多个封包处理装置中择一继续处理该封包。

本发明还提供一种同步封包处理方法，至少包含下列步骤：提供多个封包处理装置及至少一交换器；使该多个封包处理装置自该交换器同步地接收一封包；建立一安全关联于该封包的一发送端与该封包所指定的一目的端之间；使该多个封包处理装置同步地赋予相同的一顺序号码予该封包；自该多个封包处理装置中依据一负载平衡机制择一并通过该安全关联继续处理该封包；以及递送该封包至该目的端。

本发明还提供一种同步封包处理方法，至少包含下列步骤：提供多个封包处理装置及至少一交换器；使该多个封包处理装置自该交换器同步地接收一封包；通过该封包所包含的一发送端位置与该封包所指定的一目的端位置查出一安全关联；使该多个封包处理装置同步地赋予相同的一顺序号码予该封包；自该多个封包处理装置中依据一负载平衡机制择一并通过该安全关联继续处理该封包；以及递送该封包至该目的端。

本发明还提供一种同步封包处理方法，至少包含下列步骤：提供多个封包处理装置及至少一交换器；使该多个封包处理装置自该交换器同步地接收一封包；使该多个封包处理装置同步地纪录该封包所具有的一顺序号码于一数据表中，若该封包的该顺序号码已存在于该数据表中，则舍弃该封包；通过该封包所具有的一安全关联索引，查找出相对应于该安全关联索引的一安全关联；自该多个封包处理装置中依据一负载平衡机制择一并通过该安全关联继续处理该封包；以及递送该封包至目的端。

附图简要说明

下面结合附图，通过对本发明的较佳实施例的详细描述，将使本发明的技术方案及其他有益效果显而易见。

附图中，

图1为现有技术采用IPsec协议的系统结构的示意图；

图2为现有技术另一采用IPsec协议的系统结构的示意图；

图3为本发明一具体实施例的系统结构的示意图；

图4A及图4B为本发明循环优先权方式的示意图；

图5A及图5B为本发明处理量优先权方式的示意图。

具体实施方式

下文，将详细描述本发明。

请参阅图3，图3为本发明一具体实施例的系统结构的示意图。本发明具体实施例中的系统包含一局域网络39和40、交换器31～34、封包处理装置群37和38、路由器35和36。其中局域网络39和40分别通过交换器32和34得以传递数据封包，并且对局域网络39和40而言，封包处理装置群37和38通过交换器31和33以及路由器35和36而成为一虚拟的路由器。换言之，在如图3的结构下，对于局域网络39和40中所包含的客户端计算机21～28，不但不需要有额外的配合措施，还可以提高客户端计算机21～24和客户端计算机25～28以IPsec协议互相通过互联网络通讯的速度。

当封包处理装置群37和交换器32搭配时，为了处理发自局域网络39中的客户端计算机21～24的封包，并且在处理完成后通过交换器31传递至封包处理装置群38。此时，在封包处理装置群37中所进行的同步运作主要将封包处理后再传递至封包处理装置群38。

另一种情况，当封包处理装置群38和交换器33搭配时，为了通过互联网络(即外部网络)接收并处理发送自封包处理装置群37并传递至封包处理装置群38的封包。在此时，在封包处理装置群38中所进行的同步运作主要将封包处理后传递至局域网络40中的客户端计算机25～28。

由于，在IPsec协议中，封包的处理需依据二封包处理群间(封包处理装置群37和38)的SA而进行。因此，以下将分别针对于二封包处理群之间SA的建立与否分别说明，包含有：二封包处理群之间先建立SA后再发送封包、二封包处理群之间已建立有SA的封包发送、以及二封包处理群之间已建立有SA的封包接收。

第一实施例

本实施例说明在二封包处理群之间先建立SA后再发送封包的过程。

当局域网络39中的客户端计算机21要通过IPsec协议发送一封包给局域网络40中的客户端计算机25时，封包处理装置群37会通过交换器32同步地接收该封包。然而，若客户端计算机21从未发送任何封包给客户端计算机25时，则必须先通过IKE协议建立该封包的发送端与所指定的一目的端之间的SA。

在SA建立完成后，为使接收该封包的封包处理装置群37得以实现IPsec协议中所提供的防止重送攻击的功能，接着使封包处理装置群37同步地赋予相同的一顺序号码予封包。

在封包流量极大的情况下，封包处理装置群37通过一负载平衡机制而提高整体处理封包的速度。该负载平衡机制在封包处理装置群37所包含的封包处理装置41～44中选择出一封包处理装置，例如：封包处理装置41。封包处理装置41处理该封包后，封包处理装置41会通过互联网络传递该封包至封包处理装置群38，而封包处理装置群38则会将该封包处理后再传递至客户端计算机25。

上述负载平衡机制通过循环(Round-Robin)优先权方式和处理量(Shortest-Queue-First)优先权方式而实现。此外，不论是何种情况下的同步运作方式均采用相同的负载平衡机制。

请参阅图4A及图4B，图4A及图4B为本发明循环优先权模式的示意图。如图4A所示的循环优先权模式主要依据封包处理装置的装置编号而循环分配封包处理装置的处理顺序。首先，依据每一封包处理装置的装置编号越小者，而设定封包处理装置的优先级越高，因此封包处理装置41具有最高的优先权。接着，具有最高优先级的封包处理装置41处理过私密封包后，如图4B所示，原先具有最高优先级的封包处理装置41将成为具有最低优先级的封包处理装置。

图5A及图5B为本发明处理量优先权模式的示意图。处理量优先权模式主要依据封包处装置已处理的封包大小而动态分配进行封包处理的封包处理装置。首先，封包处理装置的装置编号越小者，设定该封包处理装置的优先级越高，如图5A所示。接着，当每一封包处理装置均处理过私密封包并纪录已处理过的私密封包的数据量后，如图5B所示，再依据已处理的数据量大小反序设定封包处理装置处理后续封包的优先级，即已处理的数据量越大的封包处理装置其处理后续封包的优先级越低。借此平衡各个封包处理装置的负载程度。

第二实施例

本实施例说明在二封包处理群之间已建立有SA的封包发送过程。

当局域网络39中的客户端计算机21要通过IPsec协议发送一封包给局域网络40中的客户端计算机25时，封包处理装置群37会通过交换器32同步地接收该封包。若客户端计算机21曾发送过封包给客户端计算机25，则客户端计算机21和25之间的SA将已存在于封包处理装置群37中，所以，封包处理装置群37可通过该封包的发送端与该封包所指定的目的端查找出对应的SA。

查找出对应的SA后，使封包处理装置群37同步地赋予相同的一顺序号码予封包，以实现IPsec协议中所提供的防止重送攻击的功能。

当封包流量极大的情况下，封包处理装置群37通过与第一实施例相同的负载平衡机制而提高整体处理封包的速度。该负载平衡机制会在封包处理装置群37中择出一封包处理装置，例如：封包处理装置42，以继续处理该封包。封包处理装置42处理该封包后，会通过互联网络传递该封包至封包处理装置群38，而封包处理装置群38则会将该封包处理后再将其传递至客户端计算机25。

第三实施例

本实施例说明在二封包处理群之间已建立有SA后的封包接收过程。

当局域网络39中的客户端计算机21要通过IPsec协议发送一封包给于局域网络40中的客户端计算机25时，封包处理装置群38会通过交换器33同步地接收该封包。若客户端计算机21曾发送过封包给客户端计算机25，则客户端计算机21和25之间的SA将已存在于封包处理装置群38中，所以封包处理装置群38可通过该封包所具有的SPI，查找出相对应于该SPI的SA。

查找出相对应的SA后，封包处理装置群38同步地纪录该封包所具有的一顺序号码于一数据表中，若所接收的该封包的该顺序号码已存在于该数据表中时，则舍弃该封包而实现IPsec协议中所提供的防止重送攻击的功能。

同样地，封包处理装置群38通过与第一实施例相同的负载平衡机制而提高整体处理封包的速度。该负载平衡机制在封包处理装置群38所包含的封包处理装置45～48中择出一封包处理装置，例如：封包处理装置45，以继续处理该封包。封包处理装置45处理该封包后，会通过交换器34将该封包传递至客户端计算机25。

综上所述，本发明所提供的同步封包处理系统在能够满足IPsec协议对于适当建立或分享SA以及防止重送攻击等要求下，通过本发明所揭露的三种不同的同步运作方式和负载平衡机制而实现提高整体处理封包的速度。

可以理解的是，对于本领域的普通技术人员来说，可以根据本发明的技术方案和技术构思作出其他各种相应的改变和变形，而所有这些改变和变形都应属于本发明后附的权利要求的保护范围。

Claims (13)

1、一种同步封包处理系统，其特征在于，至少包含：至少一交换器，用以接收并转送一封包；以及多个封包处理装置，分别具有不重复的一装置编号，依据一同步运作方式同步地接收由该交换器所转送的该封包，且同步地处理该封包的一顺序号码，并自该多个封包处理装置中择一继续处理该封包。

2、根据权利要求1所述的同步封包处理系统，其特征在于，该系统还包含：多个局域网络，通过该交换器以传递该封包。

3、根据权利要求1所述的同步封包处理系统，其特征在于，该封包与该封包所指定的一目的端之间建立有一安全关联。

4、根据权利要求1所述的同步封包处理系统，其特征在于，该系统还包含：一路由器，用以传递该封包于该交换器与一互联网络之间。

5、一种同步封包处理方法，其特征在于，至少包含下列步骤：

提供多个封包处理装置及至少一交换器；

使该多个封包处理装置自该交换器同步地接收一封包；

建立一安全关联于该封包的一发送端与该封包所指定的一目的端之间；

使该多个封包处理装置同步地赋予相同的一顺序号码予该封包；

自该多个封包处理装置中依据一负载平衡机制择一并通过该安全关联继续处理该封包；以及

递送该封包至该目的端。

6、根据权利要求5所述的同步封包处理方法，其特征在于，该负载平衡机制为一循环优先权方式，至少包含下列步骤：

依照该多个封包处理装置的装置编号顺序设定该多个封包处理装置的一封包处理优先权顺序；

使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包；及

循环传递该封包处理优先权顺序至具有次一的该封包处理优先权顺序的一该封包处理装置，并重复上述步骤。

7、根据权利要求5所述的同步封包处理方法，其特征在于，该负载平衡机制为一处理量优先权方式，至少包含下列步骤：

依照该多个封包处理装置的装置编号顺序设定该多个封包处理装置的一封包处理优先权顺序；

使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包并纪录该封包的一数据量；

循环传递该封包处理优先权顺序至具有次一的封包处理优先权顺序的该封包处理装置，并重复上述步骤至所有该多个封包处理装置均纪录该封包的该数据量；及

依照该多个封包处理装置的该数据量设定该多个封包处理装置的该封包处理优先权顺序，使得该数据量越小的该封包处理装置具有越高的该封包处理优先权顺序，并使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包并累加纪录该封包的该数据量，重复本步骤。

8、一种同步封包处理方法，其特征在于，至少包含下列步骤：

提供多个封包处理装置及至少一交换器；

使该多个封包处理装置自该交换器同步地接收一封包；

通过该封包所包含的一发送端位置与该封包所指定的一目的端位置查找出一安全关联；

使该多个封包处理装置同步地赋予相同的一顺序号码予该封包；

自该多个封包处理装置中依据一负载平衡机制择一并通过该安全关联继续处理该封包；以及

递送该封包至该目的端。

9、根据权利要求8所述的同步封包处理方法，其特征在于，该负载平衡机制为一循环优先权方式，至少包含下列步骤：

依照该多个封包处理装置的装置编号顺序设定该多个封包处理装置的一封包处理优先权顺序；

使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包；及

循环传递该封包处理优先权顺序至具有次一的该封包处理优先权顺序的该封包处理装置，并重复上述步骤。

10、根据权利要求8所述的同步封包处理方法，其特征在于，该负载平衡机制为一处理量优先权方式，至少包含下列步骤：

依照该多个封包处理装置的装置编码顺序设定该多个封包处理装置的一封包处理优先权顺序；

使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包并纪录该封包的一数据量；

循环传递该封包处理优先权顺序至具有次一的该封包处理优先权顺序的该封包处理装置，并重复上述步骤至所有该多个封包处理装置均纪录该封包的该数据量；及

依照该多个封包处理装置的该数据量设定该多个封包处理装置的该封包处理优先权顺序，使得该数据量越小的该封包处理装置具有越高的该封包处理优先权顺序，并使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包并累加纪录该封包的该数据量，重复本步骤。

11、一种同步封包处理方法，其特征在于，至少包含下列步骤：

提供多个封包处理装置及至少一交换器；

使该多个封包处理装置自该交换器同步地接收一封包；

使该多个封包处理装置同步地纪录该封包所具有的一顺序号码于一数据表中，若该封包的该顺序号码已存在于该数据表中，则舍弃该封包；

通过该封包所具有的一安全关联索引，查找出相对应于该安全关联索引的一安全关联；

自该多个封包处理装置中依据一负载平衡机制择一并通过该安全关联继续处理该封包；以及

递送该封包至目的端。

12、根据权利要求11所述的同步封包处理方法，其特征在于，该负载平衡机制为一循环优先权方式，至少包含下列步骤：

依照该多个封包处理装置的装置编号顺序设定该多个封包处理装置的一封包处理优先权顺序；

使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包；及

循环传递该封包处理优先权顺序至具有次一的该封包处理优先权顺序的该封包处理装置，并重复上述步骤。

13、根据权利要求11所述的同步封包处理方法，其特征在于，该负载平衡机制为一处理量优先权方式，至少包含下列步骤：

依照该多个封包处理装置的装置编号顺序设定该多个封包处理装置的一封包处理优先权顺序；

使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包并纪录该封包的一数据量；

循环传递该封包处理优先权顺序至具有次一的该封包处理优先权顺序的该封包处理装置，并重复上述步骤至所有该多个封包处理装置均纪录该封包的该数据量；及

依照该多个封包处理装置的该数据量设定该多个封包处理装置的该封包处理优先权顺序，使得该数据量越小的该封包处理装置具有越高的该封包处理优先权顺序，并使得具有最高的该封包处理优先权顺序的该封包处理装置继续处理该封包并累加纪录该封包的该数据量，重复本步骤。

Images