[发明专利]VPN业务实现方法、装置和VPN服务器

说明书

技术领域

本发明涉及通信领域，具体来说，涉及一种VPN业务实现方法、装置和VPN服务器。

背景技术

VPN属于远程访问技术，简单地说就是利用公网链路架设私有网络。例如公司员工出差到外地，他想访问企业内网的服务器资源，这种访问就属于远程访问。VPN技术可以使外地员工访问到内网资源。其实现方法为：在内网中架设一台VPN服务器，VPN服务器有两块网卡，一块连接内网，一块连接公网。外地员工在当地连上互联网后，通过互联网找到VPN服务器，然后利用VPN服务器作为跳板进入企业内网。为了保证数据安全，VPN服务器和客户机之间的通讯数据都进行了加密处理。有了数据加密，就可以认为数据是在一条专用的数据链路上进行安全传输，就如同专门架设了一个专用网络一样。但实际上VPN使用的是互联网上的公用链路，因此只能称为虚拟专用网。即：VPN实质上就是利用加密技术在公网上封装出一个数据通讯隧道。有了VPN技术，用户无论是在外地出差还是在家中办公，只要能上互联网就能利用VPN非常方便地访问内网资源。

VPN的实现有很多种方法，常用的有以下四种：

1)VPN服务器，在大型局域网中，可以在网络中心通过搭建VPN服务器的方法来实现。

2)软件VPN，可以通过专用的软件来实现VPN。

3)硬件VPN，可以通过专用的硬件来实现VPN。

4)集成VPN，很多的硬件设备，如路由器，防火墙等等，都含有VPN功能。

但是，现有技术难以满足高性能处理的需求，因为现有基于软件的实现的IPSec VPN，受到所用CPU平台计算资源限制，同时处理非对称加解密处理算法和对称加密算法的性能有限，难以达到很高的性能；而硬件的VPN受到加解密芯片自身处理性能限制。

针对相关技术中的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中的问题，本发明提出一种VPN业务实现方法、装置和VPN服务器。

本发明的技术方案是这样实现的：

根据本发明的一个方面，提供了一种VPN业务实现方法。

该方法包括：

通过高性能多核处理器平台建立控制平面的IPSec隧道及对用户配置进行管理；

通过FPGA对数据包进行加密或解密处理，并对数据包进行识别和转发。

其中，FPGA通过接收的高性能多核处理器平台下发的安全联盟信息对数据包进行解析并进行加密或解密处理，加密或解密过程所使用的密钥通过国密局认证的专用安全芯片中带有的物理噪声源产生的真随机数产生。

其中，上述高性能多核处理器平台可以为高性能多核x86平台。

根据本发明的另一方面，提供了一种VPN业务实现装置。

该装置包括：主控模块、FPGA模块、网络模块；

其中，主控模块进一步包括：

建立单元，用于建立控制平面的IPSec隧道；

管理单元，用于对用户配置进行管理；

其中，FPGA模块进一步包括：

加解密单元，用于对数据包进行加密或解密处理；

识别转发单元，用于识别数据包并转发数据包；

网络模块，用于提供带宽需求。

其中，FPGA模块进一步包括：

接收单元，用于接收主控模块下发的安全联盟信息；

解析单元，用于根据接收的安全联盟信息解析数据包。

其中，加解密单元进一步用于通过国密局认证的专用安全芯片带有的物理噪声源产生的真随机数产生的密钥对所述数据包进行加密处理。

其中，主控模块可以为高性能多核x86平台。

根据本发明的又一方面，提供了一种VPN服务器。

该VPN服务器包括如上述本发明另一方面所述的任一VPN业务实现装置。

本发明通过将高性能多核处理器平台与高性能FPGA平台相结合实现了高性能的IPSec VPN隧道建立和数据包处理，通过高性能FPGA实现对数据包进行加解密以及识别转发，解决了CPU资源限制以及加解密限制影响系统使用性能的问题，从而大大提高了VPN系统的性能。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例的VPN业务实现方法的流程图；