[发明专利]一种负载均衡的IPSecVPN设备集群系统及其工作方法

摘要

本发明提供了一种负载均衡的IPSec VPN设备集群系统及其工作方法。所述系统包括若干IPSec VPN设备，每台IPSec VPN设备均运行有计算能力评估模块、组内同步模块、负载管理模块、地址应答器、数据分类器。本发明实现了由不同IPSec VPN设备所组成的IPSec VPN集群的工作IP地址唯一和有效的负载均衡及冗余备份，经过不同IPSec VPN设备处理的出站IP数据报文具有相同的源IP地址，而入站的IP数据报文能实现负载的自动分配；多台不同设备间实现序列号和抗重放窗口的即时同步，实现负载的零间隔无缝切换。

主权项

一种负载均衡的IPSec VPN设备集群系统，其特征在于，包括若干IPSec VPN设备，每台IPSec VPN设备均运行有计算能力评估模块、组内同步模块、负载管理模块、地址应答器、数据分类器；计算能力评估模块用于在同一个集群内的IPSec VPN设备起动时进行签名运算，得到其所在IPSec VPN设备的计算能力评估结果；组内同步模块负责在同一个集群内的所有成员设备间进行安全策略、安全联盟、在线状态和计算能力信息的交互和同步并形成全局一致的安全策略、安全联盟和在线状态；负载管理模块通过组内同步信息得到全局一致的安全策略、安全联盟和在线状态，根据组内各IPSec VPN设备计算能力的不同进行数据负载的分配，并根据其所在IPSec VPN设备的负载分配设置实际生效的安全策略和安全联盟；地址应答器根据系统内所有IPSec VPN设备统一设置的虚拟地址信息，对从内网出站的IP数据报文和从外网入站的IP数据报文的链路层地址请求进行一致的回应；数据分类器根据数据报文是否处在其所在IPSec VPN设备已生效的安全策略或安全联盟之内，对进出站的IP数据报文提供不同的处理路径；所述数据分类器对出站的IP数据报文提供不同的处理路径具体为：对于处在本机已生效的安全策略或安全联盟范围之内的数据报文，进行正常的IPSec处理；或，对于处在本机已生效的安全策略或安全联盟范围之外但在仅更新的安全策略和安全联盟范围之内的数据报文，仅进行序列号的更新或序列号的验证及抗重放窗口的更新以及安全策略和安全联盟生存期的更新，并将该报文丢弃。