[发明专利]基于网络处理器的高速安全虚拟专用网通道及其实现方法

说明书

技术领域

本发明涉及网络信息安全领域，具体是指基于网络处理器的高速安全虚拟专用网通道及其实现方法。

背景技术

虚拟专用网(Virtual Private Network，VPN)是指依靠ISP和其他网络服务提供商，利用公共网络(如Internet，帧中继等)作为传输介质，通过加密、身份认证和访问控制等安全技术，在不可靠的公网上实现与专用网络相类似的安全性能，从而形成的一种逻辑上的专用网。VPN是一种功能性的网络，用户对这种功能性的网络的要求是多种的。有的用户强调数据传输的安全性，有的用户可能需要更高的传输速率，因此各种专用网的功能方面也有所侧重。目前常见的实现VPN的技术主要有两种：基于IPSec技术的VPN和基于MPLS(Multiprotocol Label Switching)技术的VPN。

IPSec是IETF的IPSec工作组定义的一组开放网络安全协议，它工作在IP层，为IP层及其以上的层提供安全保护。IPSec提供访问控制、无连接的完整性、数据来源验证、防重放保护、保密性、自动密钥管理等安全服务，使得通信安全可靠。IKE协议可自动产生需要的SA，并且ASA的生存期非常短，使得破译更加困难。定义安全策略方便灵活，只需在配置文件里进行编辑，就可实现安全策略。但是，IPSec采用的加密技术导致IPSec VPN系统与原有的网络安全机制(如防火墙等)产生冲突，另外通信时的加密和解密会产生一定的延时，影响网络传输的效率。

因特网的迅速发展和推广应用使人们对它提出不断增长带宽和复杂服务的需求。未来的网络不仅需要更大的带宽，还要求它能不断增加新的服务。为适应这种不断发展的网络技术，出现了网络处理器这种新的微处理器。网络处理器是一种专用于网络系统的微处理器，它使得网络系统能够具备高性能和灵活性。IXA(Internet Exchange Architecture)是原Intel公司开发的用于因特网数据交换设备的网络处理器产品系列的系统结构。IXP2850是IXA新一代网络处理器，是IXP2800的增强型网络处理器，它在IXP2800的基础上增加了两个加密功能部件，能够实现各种加解密功能。

发明内容

本发明的目的就是为了解决上述现有技术中存在的问题，提出一种基于网络处理器的高速安全虚拟专用网通道，其采用网络处理器IXP2850实现VNP功能，充分运用微引擎(ME)-内核(XSCale)构成的快-慢数据通道，利用专用的加解密内核，有效地缩短有效载荷加解密以及验证的周期，能够与路由、防火墙等其他模块高度集成，从而有效缓冲安全要求与数据处理速度的矛盾。

本发明的目的还在于提供上述基于网络处理器的高速安全虚拟专用网通道的实现方法。

本发明的目的通过下述技术方案实现：本基于网络处理器的高速安全虚拟专用网通道，包括微引擎簇、Xsacale(内核)模块、至少一个SRAM存储单元(静态随机存储器)及SRAM存储控制器、至少一个DRAM存储单元(动态随机存储器)及DRAM存储控制器、MSF(Media Switch Fabric，多媒体交换结构)模块、哈希单元；2个所述微引擎簇依次连接，且2个微引擎簇分别由8个微引擎依次连接组成；所述微引擎簇、内核、MSF、哈希单元分别与PCI总线连接；各个SRAM存储单元、DRAM存储单元相应通过SRAM存储控制器、DRAM存储控制器分别与PCI总线连接，所述PCI总线与上位机的管理系统模块连接。

为更好地实现本发明，所述网络处理器采用IXP2850。

所述微引擎包括接口微模块I、安全关联微模块、加解密微模块、协议处理微模块、IKE微模块；所述内核模块包括初始化微模块、接口微模块II、管理微模块、异常情况处理微模块；

所述初始化微模块与所述接口微模块I、安全关联微模块、加解密微模块、协议处理微模块、IKE微模块、接口微模块II、管理微模块、异常情况处理微模块分别连接；所述接口微模块I与接口微模块II、安全关联微模块、协议处理微模块、IKE微模块分别连接；所述接口微模块II与管理微模块、异常情况处理微模块分别连接；

所述安全关联微模块与协议处理微模块、IKE微模块、管理微模块、加解密微模块、SRAM存储单元、DRAM存储单元连接；所述协议处理微模块与管理微模块、IKE微模块、加解密微模块、SRAM存储控制器、DRAM存储控制器相连接；所述管理微模块与IKE微模块、SRAM存储控制器、DRAM存储控制器及上位机的管理系统模块相连接。