一种基于FPGA的IPSec数据流高速处理系统及方法技术方案

本发明专利技术提出了一种基于FPGA的IPSec数据流高速处理系统，包括：密钥协商模块和FPGA；密钥协商模块在主控CPU中以软件方式完成，FPGA部分包括：输入处理模块，输出处理模块，SADB模块，SPDB模块，加/解密、认证处理模块，包括：认证处理模块，ESP加/解密处理模块，认证处理模块包括ESP认证处理模块和AH认证处理模块。本发明专利技术的基于FPGA的IPSec数据流高速处理系统及方法，处理速率高，集成度高，支持算法的扩展。

IPSec data stream high-speed processing system and method based on FPGA

The invention provides a high-speed stream processing system based on FPGA IPSec data, including key negotiation module and FPGA module; key agreement completed by software in the main control CPU, FPGA includes: input processing module, output module, SADB module, SPDB module, encryption / decryption and authentication processing module, including ESP: the authentication processing module, encryption / decryption processing module, authentication module includes ESP authentication module and AH authentication module. The FPGA based IPSec data stream high-speed processing system and method of the invention have high processing speed, high integration degree and support the expansion of the algorithm.

【技术实现步骤摘要】
一种基于FPGA的IPSec数据流高速处理系统及方法
本专利技术涉及网络通信领域，特别涉及一种基于FPGA的IPSec数据流高速处理系统，还涉及一种基于FPGA的IPSec数据流高速处理方法。
技术介绍
安全性对于网络通信而言至关重要，IPSec是一套在IP层实现数据安全传输的协议框架，其处理流程主要包括密钥协商，SA(安全关联)、SP(安全策略)的管理以及AH(认证首部)、ESP(封装安全载荷)协议处理。其中密钥协商以及SA、SP的管理由于不是针对每个通信数据报文都需要进行的，因而不是影响IPSec处理速度的关键；而AH、ESP协议处理每个通信数据报文都要进行，因此AH、ESP的处理速度是影响IPSec处理速度的瓶颈。AH为IP保文提供数据完整性、数据原始身份验证等服务；ESP为IP报文提供机密性、数据源验证、抗重播以及数据完整性等服务。AH和ESP都是用符合国际标准的加密算法和散列算法，如DES、3DES、AES、MAC-MD5、MAC-SHA等。这些加密和散列算法计算复杂，寻找高速的处理实现方法成为IPSec大规模应用的关键。目前，主要可以分为两种技术路线：基于软件的形式以及基本文档来自技高网...

【技术保护点】
一种基于FPGA的IPSec数据流高速处理系统，其特征在于，包括：密钥协商模块和FPGA；密钥协商模块在主控CPU中以软件方式完成，FPGA部分包括：输入处理模块、输出处理模块、SADB模块、SPDB模块、加/解密、认证处理模块；输入处理模块，从输入数据中提取特征数据，利用这些特征数据对SPDB以及SADB进行搜索，得到输入数据的处理参数；输出处理模块，对经过AH以及ESP处理的数据进行组合，送给输出；SADB模块，存储与IPSec数据流处理相关的参数信息；SPDB模块，存储对IP数据报提供何种保护以及具体的保护措施；加/解密、认证处理模块，包括：ESP加/解密处理模块和认证处理模块；ESP加...

【技术特征摘要】
1.一种基于FPGA的IPSec数据流高速处理系统，其特征在于，包括：密钥协商模块和FPGA；密钥协商模块在主控CPU中以软件方式完成，FPGA部分包括：输入处理模块、输出处理模块、SADB模块、SPDB模块、加/解密、认证处理模块；输入处理模块，从输入数据中提取特征数据，利用这些特征数据对SPDB以及SADB进行搜索，得到输入数据的处理参数；输出处理模块，对经过AH以及ESP处理的数据进行组合，送给输出；SADB模块，存储与IPSec数据流处理相关的参数信息；SPDB模块，存储对IP数据报提供何种保护以及具体的保护措施；加/解密、认证处理模块，包括：ESP加/解密处理模块和认证处理模块；ESP加/解密处理模块，根据SADB的搜索结果调用相应的加/解密算法对输入数据进行计算，得到加/解密后的数据；认证处理模块，包括ESP认证处理模块和AH认证处理模块，根据SADB的搜索结果调用相应的认证算法对输入数据进行计算，得到认证结果。2.如权利要求1所述的一种基于FPGA的IPSec数据流高速处理系统，其特征在于，所述加/解密、认证处理模块的具体结构包括：每一级的BUF状态信息反馈到前级的ESP加/解密处理模块或认证处理模块，利用这些信息进行处理的启动控制，控制粒度为一个处理数据块，以防止BUF的溢出。3.如权利要求1所述的一种基于FPGA的IPSec数据流高速处理系统，其特征在于，所述ESP加/解密处理模块由多个算法模块组成，包括DES、3DES、AES。4.如权利要求3所述的一种基于FPGA的IPSec数据流高速处理系统，其特征在于，所述算法模块采用流水线技术实现。5.如权利要求1所述的一种基于FPGA的IPSec数据流高速处理系统，其特征在于，所述认证处理模块也由多个算法模块组成，包括HMAC-MD5、HMAC-SHA1。6.如权利要求5所述的一种基于F...

【专利技术属性】
技术研发人员：袁海军，吴恒奎，
申请(专利权)人：中国电子科技集团公司第四十一研究所，
类型：发明
国别省市：山东,37