[发明专利]利用IPSEC实现负载分担的方法及系统

说明书

技术领域

本发明涉及网络通信技术领域，特别是涉及一种利用IPSEC实现负载分担的方法及系统。

背景技术

当前网络设备大多带IPSEC功能和流量负载分担功能。接口流量负载分担通常将目的地址相同的数据流以负载分担的方式尽可能平均的分配到负载分担接口（负载分担接口大于等于2），此时负载分担接口有到相同目的地址的路由，所以可以将数据通过两个不同的接口送到相同的目的地。而利用IPSEC功能对报文进行转发时，通常不能对接口进行选择，因此，不能实现在不同的接口为对应的用户提供不同质量的服务。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是：如何实现在指定的接口对报文进行加密转发，从而实现在不同的接口为对应的用户提供不同质量的服务。

（二）技术方案

为了解决上述技术问题，本发明提供一种利用IPSEC实现负载分担的方法，包括以下步骤：

S1、网络设备为多个负载分担接口分别配置IPSEC隧道，各IPSEC隧道的访问控制列表ACL不同；

S2、根据配置有IPSEC隧道的所述多个负载分担接口对报文进行转发。

优选地，步骤S2具体为：对报文进行路由，若查找到报文的出接口为负载分担接口组，且所述负载分担接口组中具有配置了IPSEC隧道的负载分担接口，则将报文与所述IPSEC隧道进行匹配，若匹配成功，则从与报文匹配的IPSEC隧道的所绑定的负载分担接口对报文进行加密转发；若所述负载分担接口组中没有配置IPSEC隧道的负载分担接口或未匹配成功，则进行负载分担计算，从计算出的接口对报文进行转发。

优选地，步骤S2中，使用ACL作为报文与IPSEC隧道匹配的规则。

优选地，所述网络设备为防火墙、路由器和交换机中的一种。

本发明还提供了一种利用IPSEC实现负载分担的系统，所述系统包括：

隧道建立模块，用于为多个负载分担接口分别配置IPSEC隧道，各IPSEC隧道的访问控制列表ACL不同；

报文转发模块，用于根据配置有IPSEC隧道的所述多个负载分担接口对报文进行转发。

优选地，所述隧道建立模块为网络设备。

优选地，所述网络设备为防火墙、路由器和交换机中的一种。

（三）有益效果

上述技术方案具有如下优点：通过结合IPSEC和数据负载分担功能，配置不同的IPSEC绑定到不同的负载分担接口上，进行负载分担时，首先通过IPSEC隧道的ACL规则进行匹配，查找匹配上的IPSEC隧道所绑定的出接口，如果匹配不上再根据负载分担算法进行接口分配，以达到报文走指定出接口的目的，从而实现在不同的接口为对应的用户提供不同质量的服务。

附图说明

图1是本发明的方法流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

如图1所示，本发明提供一种利用IPSEC实现负载分担的方法，包括以下步骤：

S1、网络设备为2个负载分担接口分别配置IPSEC隧道，2个负载分担接口分别为a接口和b接口，各IPSEC隧道的访问控制列表ACL不同，目的地址可以相同也可以不同；

S2、根据配置有IPSEC隧道的所述多个负载分担接口对报文进行转发。

优选地，步骤S2中具体为：对报文进行路由，若查找到报文的出接口为负载分担接口组，且所述负载分担接口组中具有配置了IPSEC隧道的负载分担接口，则将报文与所述IPSEC隧道进行匹配，若匹配成功，则从与报文匹配的IPSEC隧道所绑定的负载分担接口对报文进行加密转发；若所述负载分担接口组中没有配置IPSEC隧道的负载分担接口或未匹配成功，则进行负载分担计算，从计算出的接口对报文进行转发。此过程中，一旦报文匹配上IPSEC隧道后就会自动触发IKE协商，由于ike协商是预先配置好的，所以此处不用关心协商流程。

优选地，步骤S2中，使用ACL作为报文与IPSEC隧道匹配的规则。

优选地，所述网络设备为防火墙、路由器和交换机中的一种。

上述步骤S2为网络设备从内网向外网发起报文的过程，对外网向内网发起报文的过程类似，过程为，首先会收到加密报文并对报文进行解密，然后将解密后的报文查找路由后直接转发。

本发明还提供了一种利用IPSEC实现负载分担的系统，所述系统包括：