[发明专利]分布式报文传输安全保护装置和方法

权利要求书

1.一种报文传输安全保护装置，其特征在于，包括：主控板、与主控板相连的多个接口单元、以及与主控板相连的多个处理板，其中，

所述主控板，针对各接口单元上的互联网安全IPSec隧道建立对应的安全联盟SA，并根据预设规则将建立SA得到的SA信息发送给各处理板，处理板存储接收到的SA信息；

所述接口单元将接收到的报文发送给所述主控板，所述主控板将接收到的需要进行IPSec处理的报文，发送给存储着与该报文的报文特性匹配的SA信息的处理板；

所述处理板，利用存储的SA信息，对来自主控板的报文进行IPSec处理。

2.如权利要求1所述的装置，其特征在于，所述主控板中进一步包括根据不同SA信息建立的重定向表；

所述需要进行IPSec处理的报文，是根据查找所述重定向表的结果，发送给存储着与该报文的报文特性所匹配的SA信息的处理板的。

3.如权利要求2所述的装置，其特征在于，

所述重定向表包括：根据不同入方向SA的SA信息建立的入方向重定向表、和根据不同出方向SA的SA信息建立的出方向重定向表；

如果所述主控板通过接口单元接收到的报文为入方向报文，则该报文是依据查找由对应入方向SA的SA信息建立的重定向表的结果，发送给存储着与该报文的报文特性所匹配的SA信息的处理板的；

如果所述主控板通过所述至少一个接口单元接收到的报文为出方向报文，则该报文是依据查找由对应出方向SA的SA信息建立的重定向表的结果，发送给存储着与该报文的报文特性所匹配的SA信息的处理板的。

4.如权利要求3所述的装置，其特征在于，

所述入方向重定向表中包括入方向报文特性与处理板标识的映射关系；查找入方向重定向表的结果为入方向报文特性对应的处理板标识；

其中，所述入方向重定向表中的入方向报文特性是根据入方向SA的SA信息确定的。

5.如权利要求4所述的装置，其特征在于，所述入方向报文特性包括：

根据入方向SA的SA信息中的访问控制列表ACL规则号，从预设ACL表中查找得到的五元组，以及该入方向SA的SA信息中的接口索引；

或者包括：入方向SA的SA信息中的接口索引；

或者包括：入方向SA的SA信息中的隧道对端IP和接口索引；

或者包括：入方向SA信息中的SA保护流五元组和接口索引；

其中，接口索引是根据所述接收到的入方向报文中的目的IP查找预设转发表得到的。

6.如权利要求3所述的装置，其特征在于，

所述出方向重定向表中包括出方向报文特性与处理板标识的映射关系；查找由出方向重定向表的结果为出方向报文特性对应的处理板标识；

所述出方向重定向表中的出方向报文特性，是根据出方向SA的SA信息确定的。

7.如权利要求6所述的装置，其特征在于，

所述出方向的报文特性包括：对应的出方向SA信息中的安全索引、隧道本端IP、安全协议类型。

8.如权利要求4至7中任意一项所述的装置，其特征在于，所述处理板标识为处理板板号；

所述入方向重定向表中的处理板板号，是根据所述入方向重定向表的数量对所述处理板的数量取模后的结果确定的；

所述出方向重定向表中的处理板板号，为对应的入方向重定向表中的处理板板号；其中，该出方向重定向表对应的出方向SA，与所述对应的入方向重定向表对应的入方向SA相关联。

9.如权利要求1所述的装置，其特征在于，所述接口单元为所述主控板上的物理接口，或者为独立于所述主控板的功能单元。

10.如权利要求1所述的装置，其特征在于，所述主控板、处理板和接口单元位于同一物理实体内部；

或者，所述主控板、处理板和接口单元中的任意两者分别位于不同物理实体内部。

11.如权利要求1所述的装置，其特征在于，该报文传输安全保护装置为网关。