[发明专利]一种基于DPDK实现高性能IPSCE网关

权利要求书

1.一种基于DPDK实现高性能IPSCE网关，其特征在于，包括管理平面、控制平面和转发平面三部分，所述管理平面是整个方案的用户管理入口，通过SOAP接口连接至控制平面；所述转发平面为整个方案的报文处理核心，负责报文的处理，通过RING连接至管理平面；

所述管理平面为用户提供基于命令行和页面的管理功能，为用户提供数据平面信息的展示功能；所述平面信息包括隧道信息、流量信息、CPU使用率、内存使用率、接口状态；

所述控制平面运作步骤如下：

步骤1.1:接收来自管理平面的配置信息，将其生效至控制平面和LINUX内核协议栈；

步骤1.2:通过KNI将从转发平面获取的IPSCE协议报文送入LINUX内核协议栈，同时通过KNI将从LINUX内核协议栈获取的IPSEC协议报文送入转发平面；用于LINUX内核协议栈strongswan维护IPSEC隧道信息；维护方式分为新建、删除和更新；

步骤1.3:通过NETLINK从LINUX内核协议栈中获取IPSEC隧道信息的变化，包括新建、删除和更新，将其同步至转发平面；

步骤1.4:将从转发平面和LINUX内核协议栈获取的信息上报给管理平面；

所述转发平面运作步骤如下：

步骤2.1:将从NIC接收的IPSEC协议报文发送至控制平面，同时将从控制平面获取的IPSEC协议报文发送至NIC；

步骤2.2:从控制平面获取IPSEC隧道信息；

步骤2.3:完成IPSCE报文的校验、加密、解密、封装、解封装；

步骤2.4:定时将流量信息上报至控制平面；

所述步骤2.1还包括：转发平面通过使用DPDK提供的用户态网卡驱动，旁路LINUX内核协议栈收发报文，提高报文的收发效率；所述步骤2.3还包括通过使用加速卡，提高对IPSEC报文的加解密性能；所述转发平面可多核横向扩展，进一步提高IPSEC安全网关的性能。

2.根据权利要求1所述的基于DPDK实现高性能IPSCE网关，其特征在于，所述控制平面通过NETLINK从LINUX内核协议栈接收IPSEC隧道信息后，先对隧道信息进行加工处理，然后将其同步至转发平面，转发平面通过IPSEC隧道信息对报文进行处理。

3.根据权利要求1所述的基于DPDK实现高性能IPSCE网关，其特征在于，所述转发平面从NIC接收的报文后，将报文分为三类：IPSEC协议报文、IPSEC数据报文和需要通过IPSEC隧道处理的报文；所述IPSEC协议报文发送到所述控制平面，所述控制平面通过KNI将报文发送至LINUX内核协议栈；IPSEC数据报文校验通过后，先送入加速卡进行解密，然后对其进行解封包操作，最后将报文通过NIC发送至内网用户；所述需要通过IPSEC隧道处理的报文，先封装IPSEC头，再送入加速卡进行报文的加密，然后添加校验头，最后通过NIC将IPSEC报文发往对端IPSEC安全网关。

4.根据权利要求1所述的基于DPDK实现高性能IPSCE网关，其特征在于，所述控制平面通过KNI从LINUX内核协议栈接收IPSEC协议报文，然后发送至所述转发平面，所述转发平面通过NIC将IPSEC协议报文发送对端IPSEC安全网关。