[发明专利]对IPSEC数据报文进行负载分担的方法及系统

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种对IPSEC数据报文进行负载分担的方法及系统。

背景技术

目前人们的工作、娱乐等活动对网络的可靠性和稳定性要求越来越高，一般要求较高的场合的内网与不同运营商有两条链路(例如分别采用联通的外网和电信的外网)来实现路由负载分担，但在对网络设备的Internet协议安全性(IPSEC)数据报文进行路由负载分担时，通常采用按流负载分担和按包负载分担两种方式，但为了防止报文的乱序，在有些对数据传输要求较高的场合，通常会采用按流负载分担的方式，处理过程一般为：首先对报文进行分流(在对报文进行分流时，通常使用报文的IP五元组是否相同来判断是否为同一条流)，再将此流分配给流量较小的链路，以此来平衡每条链路的转发报文速度。

但由于现有技术中对IPSEC数据报文仅通过IP五元组来进行分流，精细度不够，容易导致一条数据流的数据很大，从而造成传输该数据流的链路负荷太大，严重影响了整机性能。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何提高对IPSEC数据报文分流的精细度，从而提高整机性能。

(二)技术方案

为解决上述技术问题，本发明提供了一种对IPSEC数据报文进行负载分担的方法，所述方法包括以下步骤：

S1：接收内网向外网发送的当前IPSEC数据报文；

S2：根据所述当前IPSEC数据报文的IP目的地址查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行步骤S3，所述路由负载分担功能为所述出口与多个外网入口相对应，所述出口包括与所述外网入口数量相同、且一一对应的出接口，所述出接口和外网入口均为物理接口；

S3：将所述当前IPSEC数据报文和所述当前IPSEC数据报文之前的IPSEC数据报文中具有相同IP五元组、以及安全参数索引的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。

优选地，步骤S3具体包括以下步骤：

S31：根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找快速转发表，若所述快速转发表中具有记录，则将查询获得的外网入口分配给所述当前IPSEC数据报文，否则将所述出口所对应的外网入口中流量较小的外网入口分配给所述当前IPSEC数据报文，并将所述流量较小的外网入口与所述当前IPSEC数据报文的IP五元组、以及安全参数索引的对应关系保存入所述快速转发表中；

S32：根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找地址转换表，若所述地址转换表中具有记录，则将查询获得的外网IP源地址替换所述当前IPSEC数据报文中的内网IP源地址，否则从与所述出口对应的地址池中选择未使用的公网IP地址替换所述当前IPSEC数据报文中的内网IP源地址；

S33：将所述当前IPSEC数据报文通过分配的外网入口进行发送。

优选地，步骤S3之后还包括以下步骤：

S4：接收所述外网接收到所述内网所发送的所述当前IPSEC数据报文后的回应报文；

S5：通过查询所述快速转发表和地址转换表，将所述回应报文发送至所述内网。

本发明还公开了一种对IPSEC数据报文进行负载分担的系统，所述系统包括：

接收模块，用于接收内网向外网发送的当前IPSEC数据报文；

判断模块，用于根据所述当前IPSEC数据报文的IP目的地址查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行发送模块，所述路由负载分担功能为所述出口与多个外网入口相对应，所述出口包括与所述外网入口数量相同、且一一对应的出接口，所述出接口和外网入口均为物理接口；

发送模块，用于将所述当前IPSEC数据报文和所述当前IPSEC数据报文之前的IPSEC数据报文中具有相同IP五元组、以及安全参数索引的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。

(三)有益效果

本发明通过采用IP五元组和安全参数索引来进行IPSEC数据报文的分流，并根据分流的结果进行数据发送，提高了对IPSEC数据报文分流的精细度、以及整机性能。

附图说明

图1是按照本发明一种实施方式的对IPSEC数据报文进行负载分担的方法流程图。

具体实施方式