本发明专利技术公开了一种对IPSEC数据报文进行负载分担的方法及系统，涉及网络通信技术领域，所述方法包括：S1：接收内网向外网发送的当前IPSEC数据报文；S2：查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行步骤S3；S3：将具有相同IP五元组、以及安全参数索引的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。本发明专利技术通过采用IP五元组和安全参数索引来进行IPSEC数据报文的分流，并根据分流的结果进行数据发送，提高了对IPSEC数据报文分流的精细度、以及整机性能。
【技术实现步骤摘要】
本专利技术涉及网络通信
，特别涉及一种对IPSEC数据报文进行负载分担的方法及系统。
技术介绍
目前人们的工作、娱乐等活动对网络的可靠性和稳定性要求越来越高，一般要求较高的场合的内网与不同运营商有两条链路(例如分别采用联通的外网和电信的外网)来 实现路由负载分担，但在对网络设备的Internet协议安全性(IPSEC)数据报文进行路由负载分担时，通常采用按流负载分担和按包负载分担两种方式，但为了防止报文的乱序，在有些对数据传输要求较高的场合，通常会采用按流负载分担的方式，处理过程一般为首先对报文进行分流(在对报文进行分流时，通常使用报文的IP五元组是否相同来判断是否为同一条流)，再将此流分配给流量较小的链路，以此来平衡每条链路的转发报文速度。但由于现有技术中对IPSEC数据报文仅通过IP五元组来进行分流，精细度不够，容易导致一条数据流的数据很大，从而造成传输该数据流的链路负荷太大，严重影响了整机性能。
技术实现思路
(一 )要解决的技术问题本专利技术要解决的技术问题是如何提高对IPSEC数据报文分流的精细度，从而提高整机性能。( 二 )技术方案为解决上述技术问题，本专利技术提供了一种对IPSEC数据报文进行负载分担的方法，所述方法包括以下步骤SI :接收内网向外网发送的当前IPSEC数据报文；S2 :根据所述当前IPSEC数据报文的IP目的地址查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行步骤S3，所述路由负载分担功能为所述出口与多个外网入口相对应，所述出口包括与所述外网入口数量相同、且——对应的出接口，所述出接口和外网入口均为物理接口 ；S3 :将所述当前IPSEC数据报文和所述当前IPSEC数据报文之前的IPSEC数据报文中具有相同IP五元组、以及安全参数索引的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。优选地,步骤S3具体包括以下步骤S31 :根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找快速转发表，若所述快速转发表中具有记录，则将查询获得的外网入口分配给所述当前IPSEC数据报文，否则将所述出口所对应的外网入口中流量较小的外网入口分配给所述当前IPSEC数据报文，并将所述流量较小的外网入口与所述当前IPSEC数据报文的IP五元组、以及安全参数索引的对应关系保存入所述快速转发表中；S32:根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找地址转换表，若所述地址转换表中具有记录，则将查询获得的外网IP源地址替换所述当前IPSEC数据报文中的内网IP源地址，否则从与所述出口对应的地址池中选择未使用的公网IP地址替换所述当前IPSEC数据报文中的内网IP源地址；S33 :将所述当前IPSEC数据报文通过分配的外网入口进行发送。优选地，步骤S3之后还包括以下步骤S4 :接收所述外网接收到所述内网所发送的所述当前IPSEC数据报文后的回应报文；S5:通过查询所述快速转发表和地址转换表，将所述回应报文发送至所述内网。本专利技术还公开了一种对IPSEC数据报文进行负载分担的系统，所述系统包括接收模块，用于接收内网向外网发送的当前IPSEC数据报文；判断模块，用于根据所述当前IPSEC数据报文的IP目的地址查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行发送模块，所述路由负载分担功能为所述出口与多个外网入口相对应，所述出口包括与所述外网入口数量相同、且——对应的出接口，所述出接口和外网入口均为物理接口 ；发送模块，用于将所述当前IPSEC数据报文和所述当前IPSEC数据报文之前的IPSEC数据报文中具有相同IP五元组、以及安全参数索引的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。(三)有益效果本专利技术通过采用IP五元组和安全参数索引来进行IPSEC数据报文的分流，并根据分流的结果进行数据发送，提高了对IPSEC数据报文分流的精细度、以及整机性能。附图说明图I是按照本专利技术一种实施方式的对IPSEC数据报文进行负载分担的方法流程图。具体实施例方式下面结合附图和实施例，对本专利技术的具体实施方式作进一步详细描述。以下实施例用于说明本专利技术，但不用来限制本专利技术的范围。图I是按照本专利技术一种实施方式的对IPSEC数据报文进行负载分担的方法流程图，本实施方式的方法包括以下步骤SI :接收内网向外网发送的当前IPSEC数据报文；S2 :根据所述当前IPSEC数据报文的IP目的地址查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行步骤S3，所述路由负载分担功能为所述出口与多个外网入口相对应，所述出口包括与所述外网入口数量相同、且——对应的出接口，所述出接口和外网入口均为物理接口 ； S3 :将所述当前IPSEC数据报文和所述当前IPSEC数据报文之前的IPSEC数据报文中具有相同IP五元组、以及安全参数索引(全称为Security Parameter Index,简称SPI，是IPSEC协议的基本概念之一，SPI值是一个32比特的数值，在每一个IPSEC数据报文中都携带该值)的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。IPSEC数据报文分封装安 全有效负载(Encapsulating Security Payload, ESP)报文和认证头(Authenticaton Header, AH)报文两种,本专利技术不仅通过IP五元组来区分不同的数据流，还通过ESP报文和AH报文中的SPI值是否相同来再次区分不同的数据流，通过本专利技术的方法可以更精细的对IPSEC数据流进行划分，以便于将报文更加平均的分发到外网入口，提高每个外网入口的使用率，以提升整机性能。优选地,步骤S3具体包括以下步骤S31 :根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找快速转发表，若所述快速转发表中具有记录，则将查询获得的外网入口分配给所述当前IPSEC数据报文，否则将所述出口所对应的外网入口中流量较小的外网入口分配给所述当前IPSEC数据报文，并将所述流量较小的外网入口与所述当前IPSEC数据报文的IP五元组、以及安全参数索引的对应关系保存入所述快速转发表中；S32 :根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找地址转换表，若所述地址转换表中具有记录，则将查询获得的外网IP源地址替换所述当前IPSEC数据报文中的内网IP源地址，否则从与所述出口对应的地址池中选择未使用的公网IP地址替换所述当前IPSEC数据报文中的内网IP源地址；S33 :将所述当前IPSEC数据报文通过分配的外网入口进行发送。在需要接收外网的回应报文时，步骤S3之后还包括以下步骤S4 :接收所述外网接收到所述内网所发送的所述当前IPSEC数据报文后的回应报文；S5 :通过查询所述快速转发表和地址转换表，将所述回应报文发送至所述内网。本专利技术还公开了一种对IPSEC数据报文进行负载分担的本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种对IPSEC数据报文进行负载分担的方法，其特征在于，所述方法包括以下步骤 51:接收内网向外网发送的当前IPSEC数据报文； 52:根据所述当前IPSEC数据报文的IP目的地址查找路由表获得所述当前IPSEC数据报文对应的出口，判断所述出口是否具有路由负载分担功能，若有，则执行步骤S3，所述路由负载分担功能为所述出口与多个外网入口相对应，所述出口包括与所述外网入口数量相同、且——对应的出接口，所述出接口和外网入口均为物理接口 ； 53:将所述当前IPSEC数据报文和所述当前IPSEC数据报文之前的IPSEC数据报文中具有相同IP五元组、以及安全参数索引的IPSEC数据报文划分为同一条数据流，并将属于同一条数据流的报文通过相同的外网入口进行发送，以实现负载分担。2.如权利要求I所述的方法，其特征在于，步骤S3具体包括以下步骤 531:根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找快速转发表，若所述快速转发表中具有记录，则将查询获得的外网入口分配给所述当前IPSEC数据报文，否则将所述出口所对应的外网入口中流量较小的外网入口分配给所述当前IPSEC数据报文，并将所述流量较小的外网入口与所述当前IPSEC数据报文的IP五元组、以及安全参数索引的对应关系保存入所述快速转发表中； 532:根据所述当前IPSEC数据报文的IP五元组、以及安全参数索引查找地址转换表...
【专利技术属性】
技术研发人员：陈海滨，
申请(专利权)人：汉柏科技有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。