[发明专利]一种基于DPDK实现高性能IPSCE网关

说明书

本发明提供了一种基于DPDK实现高性能IPSCE网关，其特征在于，包括管理平面、控制平面和转发平面三部分，所述管理平面是整个方案的用户管理入口，通过SOAP接口连接至控制平面；所述转发平面为整个方案的报文处理核心，负责报文的处理，通过RING连接至管理平面；所述管理平面为整个方案的管理核心，负责整个方案主要的复杂逻辑处理、协议处理、设备初始化和管理、模块初始化和管理，通过SOAP接口连接至管理平面，通过RING连接至转发平面。本发明通过使用DPDK提供的用户态网卡驱动，旁路LINUX内核协议栈收发报文，提高报文的收发效率；通过使用加速卡，提高对IPSEC报文的加解密性能；通过多核横向扩展，进一步提高IPSEC安全网关的性能。

技术领域

本发明涉及互联网领域，具体涉及一种基于DPDK实现高性能IPSCE网关。

背景技术

DPDK(Data Plane Development Kit，数据平面开发套件)由一套运行在用户空间的函数库与驱动组成，为数据平面提供高性能的数据收发和处理。IPSEC(InternetProtocol Security，互联网安全协议)是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族(一些相互关联的协议的集合)。

目前大多数IPSEC安全网关的实现基于LINUX系统，由于报文的多次拷贝(用户空间和内核空间)、IPSEC报文的加解密和校验、无法多核横向扩展等问题，导致IPSEC安全网的报文处理能力有限。

发明内容

本方案基于DPDK实现，既考虑到高性能要求，包括用户态网卡驱动、加速卡、转发和控制分离、转发平面可多核横向扩展等，也考虑到实现的难易程度，包括使用LINUX内核协议栈维护IPSEC隧道信息等，提供了一种基于DPDK实现高性能IPSCE网关。

为实现上述目的，本发明提供的具体技术方案如下：

一种基于DPDK实现高性能IPSCE网关，其特征在于，包括管理平面、控制平面和转发平面三部分，所述管理平面是整个方案的用户管理入口，通过SOAP接口连接至控制平面；所述转发平面为整个方案的报文处理核心，负责报文的处理，通过RING连接至管理平面。

所述管理平面主要为用户提供基于命令行和页面的管理功能，为用户提供数据平面信息的展示功能；所述平面信息包括隧道信息、流量信息、CPU使用率、内存使用率、接口状态等。

所述管理平面为整个方案的管理核心，负责整个方案主要的复杂逻辑处理、协议处理、设备初始化和管理、模块初始化和管理，通过SOAP接口连接至管理平面，通过RING连接至转发平面。

所述控制平面运作步骤如下：

步骤1.1:接收来自管理平面的配置信息，将其生效至控制平面和LINUX内核协议栈；

步骤1.2:通过KNI将从转发平面获取的IPSCE协议报文送入LINUX内核协议栈，同时通过KNI将从LINUX内核协议栈获取的IPSEC协议报文送入转发平面；用于LINUX内核协议栈strongswan维护IPSEC隧道信息；所述维护方式分为新建、删除和更新；

步骤1.3:通过NETLINK从LINUX内核协议栈中获取IPSEC隧道信息的变化，包括新建、删除和更新，将其同步至转发平面；

步骤1.4:将从转发平面和LINUX内核协议栈获取的信息上报给管理平面。

所述转发平面运作步骤如下：

步骤2.1:将从NIC接收IPSEC协议报文发送至控制平面，同时将从控制平面获取的IPSEC协议报文发送至NIC；

步骤2.2:从控制平面获取IPSEC隧道信息；

步骤2.3:完成IPSCE报文的校验、加密、解密、封装、解封装等；