[发明专利]一种基于加密引擎的IPSec处理方法和设备

权利要求书

1.一种基于加密引擎的IP安全IPSec处理方法，应用于包括逻辑线卡和辅助线卡的网络设备中，其特征在于，该方法包括以下步骤：

逻辑线卡的现场可编程阵列FPGA在收到IPSec报文后，利用所述IPSec报文的转发信息查询流表；

如果所述流表中没有所述IPSec报文的转发信息，所述逻辑线卡的FPGA将所述IPSec报文发送给所述逻辑线卡的中央处理单元CPU，由所述逻辑线卡的CPU内的加密引擎对所述IPSec报文进行加密处理或者解密处理，并由所述逻辑线卡的CPU生成所述IPSec报文的转发信息对应的流表项，将所述IPSec报文的转发信息对应的流表项下发到所述逻辑线卡的FPGA的流表；所述IPSec报文的转发信息对应的流表项中记录有用于处理所述IPSec报文的转发信息对应流的IPSec报文的线卡，所述线卡为逻辑线卡或者辅助线卡；

如果所述流表中有所述IPSec报文的转发信息，所述逻辑线卡的FPGA确定用于处理所述IPSec报文的线卡；如果用于处理所述IPSec报文的线卡为逻辑线卡，所述逻辑线卡的FPGA将所述IPSec报文发送给所述逻辑线卡的CPU，由所述逻辑线卡的CPU内的加密引擎对所述IPSec报文进行加密处理或者解密处理，并由所述逻辑线卡的CPU将加密处理或者解密处理后的IPSec报文发送给所述逻辑线卡的FPGA；如果用于处理所述IPSec报文的线卡为辅助线卡，所述逻辑线卡的FPGA将所述IPSec报文发送给所述辅助线卡的CPU，由所述辅助线卡的CPU内的加密引擎对所述IPSec报文进行加密处理或者解密处理，并由所述辅助线卡的CPU将加密处理或者解密处理后的IPSec报文发送给所述逻辑线卡的FPGA。

2.如权利要求1所述的方法，其特征在于，所述逻辑线卡的CPU生成所述IPSec报文的转发信息对应的流表项的过程，具体包括：

所述逻辑线卡的CPU生成包含IPSec处理标志、IPSec加解密标志、IPSec安全联盟SA索引和IPSec线卡槽位的流表项；其中，在所述逻辑线卡的CPU内的加密引擎对所述IPSec报文进行加密处理时，所述IPSec处理标志为第一标识、所述IPSec加解密标志为第二标识；在所述逻辑线卡的CPU内的加密引擎对所述IPSec报文进行解密处理时，所述IPSec处理标志为第一标识、所述IPSec加解密标志为第三标识；所述IPSec SA索引为所述逻辑线卡的CPU内的加密引擎对所述IPSec报文进行加密处理或者解密处理时采用的SA内容对应的SA索引；所述IPSec线卡槽位为对所述IPSec报文的转发信息对应流的IPSec报文进行IPSec处理的线卡的槽位，所述线卡的槽位为逻辑线卡的槽位或者辅助线卡的槽位。

3.如权利要求2所述的方法，其特征在于，

所述逻辑线卡的FPGA将所述IPSec报文发送给所述逻辑线卡的CPU之前，所述方法还包括：所述逻辑线卡的CPU获取本逻辑线卡上维护的SA内容，将所述SA内容下发到本逻辑线卡或者辅助线卡，并在SA关系表中记录所述SA内容对应的SA索引与下发到的本逻辑线卡的槽位或者辅助线卡的槽位之间的对应关系；

所述逻辑线卡的CPU在生成所述IPSec报文的转发信息对应的流表项时，利用逻辑线卡的CPU内的加密引擎对IPSec报文进行加密处理或者解密处理时采用的SA内容对应的SA索引查询SA关系表，得到所述SA索引对应的本逻辑线卡的槽位或者辅助线卡的槽位，将本逻辑线卡的槽位或者辅助线卡的槽位记录到所述IPSec报文的转发信息对应的流表项的IPSec线卡槽位中。