[发明专利]一种安全网关的数据处理方法、装置及安全网关

说明书

本发明提供一种安全网关的数据处理方法、装置及安全网关，方法包括：网络密钥交换协议IKE业务处理模块向底层硬件模块发送控制指令；接收所述底层硬件模块根据所述控制指令传输的网络数据报文，进行处理得到的处理结果；所述底层硬件模块包括：中央处理器CPU、与所述CPU通信连接的中转现场可编程门阵列FPGA模块以及与所述接口FPGA模块通信连接的算法FPGA模块；所述接口FPGA模块根据所述控制指令对其接收到的网络数据报文发送至所述算法FPGA模块进行安全运算处理或者发送至所述CPU处理。释放了中央处理器CPU的运算能力，缩减了软件的开发难度与周期，提高了安全性和响应能力。

技术领域

本发明涉及计算机技术领域，特别是指一种安全网关的数据处理方法、装置及安全网关。

背景技术

现有技术中，互联网安全协议虚拟专用网IPSec VPN安全网关大多采用通用型或定制型服务器主板、中央处理器CPU模块、外接高速串行计算机扩展总线标准PCI-e密码卡形式组成。服务器主板提供网络接口、CPU模块负责收发网络数据并对其进行解析，PCI-e密码卡对网络数据进行加解密或者签名验签运算。CPU收发网络数据包会消耗大量CPU和系统中断资源，尤其在使用万兆网卡的情况下，万兆网卡满速运行需要至少4核心以上CPU，并且消耗20％左右的CPU资源。CPU调用PCI-e密码卡进行加解密运算，也需要消耗大量CPU资源，进一步加重CPU的运行负担。并且现有的PCI-e密码卡的加解密和签名验签能力普遍不是很高，能达到10Gbps加解密速率的产品屈指可数，无法满足日益增大的网络数据传输需求。

发明内容

本发明要解决的技术问题是如何提供一种安全网关的数据处理方法、装置及安全网关。释放了中央处理器CPU的运算能力，缩减了软件的开发难度与周期，提高了安全性和响应能力。

为解决上述技术问题，本发明的技术方案如下：

本发明提供一种安全网关的数据处理方法，所述方法包括：

网络密钥交换协议IKE业务处理模块向底层硬件模块发送控制指令；

接收所述底层硬件模块根据所述控制指令传输的网络数据报文，进行处理得到的处理结果；所述底层硬件模块包括：中央处理器CPU、与所述CPU通信连接的中转现场可编程门阵列FPGA模块以及与所述接口FPGA模块通信连接的算法FPGA模块；所述接口FPGA模块根据所述控制指令对其接收到的网络数据报文发送至所述算法FPGA模块进行安全运算处理或者发送至所述CPU处理。

可选的，所述接口FPGA模块根据所述控制指令对其接收到的网络数据报文发送至所述算法FPGA模块进行安全运算处理或者发送至所述CPU处理，包括：

所述接口FPGA模块根据所述控制指令对其接收到的网络数据报文进行解析，得到解析结果；

若所述解析结果表示所述网络数据报文是需要进行安全处理的业务数据，将所述网络数据报文发送至所述算法FPGA模块进行安全运算处理，并接收所述算法FPGA模块返回的运算结果；

若所述解析结果表示所述网络数据报文是不需要进行安全处理的控制数据，将所述控制数据发送至所述CPU处理。

可选的，所述接口FPGA模块通过中转FPGA模块与所述CPU通信连接；

所述接口FPGA模块将所述控制数据通过所述中转FPGA模块发送至所述CPU处理和/或接收所述CPU发送的配置信息；所述配置信息由系统参数配置模块产生并配置给所述CPU。

可选的，所述接口FPGA模块与千兆/万兆网口模块通信连接；