[发明专利]交换芯片或NP与CPU协同完成报文IPSEC加密的方法与系统

摘要

本发明公开了一种交换芯片或NP与CPU协同完成报文IPSEC加密的方法与系统，该方法包括以下步骤：从业务接口接收报文，根据报文的目的IP地址查路由表，且若出接口类型是普通接口，将报文进行路由转发；若是IPSEC隧道接口，则根据报文五元组查询ACL并判断是否命中，如未命中则丢弃报文；否则判断安全策略的动作，并根据安全策略的动作对报文进行路由转发、丢弃或封装私有头并发往CPU；CPU接收待加密报文，将根据报文五元组和三元组查询SA信息，若未查到，则丢弃报文；否则根据SA信息对报文进行IPSEC加密并发送至接口板。本发明将输入至CPU处理的报文先经接口板进行筛选，只有安全策略为应用IPSEC的报文才送至CPU中，提升了交换网络带宽利用率，加强了CPU的处理效率。

主权项

1.一种交换芯片或NP与CPU协同完成报文IPSEC加密的方法，其特征在于，包括以下步骤：主控板在收到用户配置或进行IKE协商后，生成安全策略数据库SPD和安全联盟SA，并将这些配置下发到业务板CPU上；同时，根据SPD信息生成权限安全策略ACL，ACL的匹配规则为报文五元组，ACL的安全策略的动作为丢弃、绕过或应用IPSEC，再将生成的ACL下发到接口板的交换芯片或NP上；从业务接口接收报文，根据报文的目的IP地址查路由表，并判断路由表项的出接口类型，若是普通接口，将报文进行路由转发；若是IPSEC隧道接口，则根据报文五元组查询ACL并判断ACL是否命中，如未命中，则丢弃报文；否则判断ACL的安全策略的动作，将动作为应用IPSEC的报文封装私有头，并发往业务板CPU；将动作为绕过的报文进行路由转发；将动作为丢弃的报文丢弃；业务板CPU接收待加密的报文，将根据报文五元组查询SPD且获得对应的SPI，再根据本SIP及报文三元组查询SA信息，并判断是否查到SA信息，若未查到，则丢弃报文；否则根据SA信息对报文进行IPSEC加密并发送至接口板。