本申请涉及通信技术领域，特别是一种ipsec报文转发的方法及装置。
背景技术：
ipsec协议(internetprotocolsecurity，互联网安全协议)，能够对用户要求保护的通信数据提供认证、加密等保护。随着企业信息化程度的不断提高，基于ipsec协议下的vpn技术被越来越广泛地应用。
目前，相关技术中，由于使用国际算法加解密的ipsec报文较为通用，因而在计算机底层有支持国际算法加解密的硬件指令以供cpu使用，但对于国产算法进行加解密的ipsec报文，只能额外配置加密卡完成报文的加解密，而这种加密卡通常价格昂贵。
技术实现要素：
本申请提供一种ipsec报文转发的方法及装置，应用于配置有多个虚拟cpu的网络设备。将网络设备内的多个虚拟cpu进行第一、第二类的划分，设置第二类虚拟cpu对使用国产算法的ipsec报文进行加解密和转发处理。
根据本申请实施例的第一方面，提供一种ipsec报文转发的方法，包括：
当接收到ipsec报文时，第一类虚拟cpu根据所述ipsec报文的五元组，将所述ipsec报文与会话表进行匹配；
当所述ipsec报文与所述会话表匹配成功时，所述第一类虚拟cpu判断所述ipsec报文是否使用国产算法进行加解密；
当所述ipsec报文使用国产算法进行加解密时，所述第一类虚拟cpu将所述ipsec报文转发至第二类虚拟cpu；
所述第二类虚拟cpu对所述ipsec报文进行加解密处理；
转发加解密处理后的所述ipsec报文。
根据本申请实施例的第二方面，提供一种ipsec报文转发的装置，包括第一类处理单元和第二类处理单元：
所述第一类处理单元，用于在接收到ipsec报文时，根据所述ipsec报文的五元组，将所述ipsec报文与会话表进行匹配；
还用于当所述ipsec报文与所述会话表匹配成功时，判断所述ipsec报文是否使用国产算法进行加解密；
还用于当所述ipsec报文使用国产算法进行加解密时，将所述ipsec报文转发至第二类处理单元；
所述第二类处理单元，用于对使用国产算法的ipsec报文进行加解密处理；
所述第一类处理单元或第二类处理单元，用于转发加解密处理后的ipsec报文。
本申请所提供的技术方案，应用于配置有多个虚拟cpu的网络设备，通过对网络设备中的多个虚拟cpu进行划分，设置第二类虚拟cpu对使用国产算法的ipsec报文进行加解密处理，相较于相关技术，对使用国产算法的ipsec报文需要外设加密卡进行加解密处理的方案，节约了成本，提高了网络设备的工作效率。
附图说明
图1为本申请实施例的一种组网架构图；
图2为本申请实施例所提供的一种ipsec报文转发的方法流程图；
图3为本申请方案中判断ipsec报文是否使用国产算法进行加解密的方法流程图；
图4为本申请方案中将ipsec报文转发至第二类虚拟cpu的方法流程图；
图5为本申请方案中首个待加密ipsec报文转发的方法流程图；
图6为本申请方案中待解密ipsec报文转发的方法流程图；
图7为本申请所提供的一种ipsec报文转发的装置所在网络设备的硬件结构图；
图8为本申请所提供的一种ipsec报文转发的装置实施例框图。
具体实施方式
这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。
在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
ipsec协议，互联网安全协议，是一种建立在ip协议之上，实现认证和报文加解密的网络层协议。ipsec的基本功能是访问控制以及有选择地实施安全措施，即只有选中的报文才被允许通过或被指定的安全功能所保护。
在企业中所广泛使用的vpn(virtualprivatenetwork，虚拟专用网)，就是在internet之上，建立起的属于特定用户群体(例如，某企业用于办公的所有计算机)的一个虚拟的专用网络。vpn基于防火墙等ipsec相关技术实现，具有保障vpn内部数据隐私、减少外部安全威胁的技术效果。
图1所示为本申请实施例的组网架构中的一种，网络设备a和网络设备b进行基于ipsec协议下的会话，它们的通信数据将被ipsec协议下构造的隧道所保护，隧道中双方的ipsec报文会在原ip报文的基础上进行封装，增加新的ip头，使原报文真实的源、目的地址等能够被很好地隐蔽起来，提高了安全性。
上述的网络设备a和网络设备b可以是客户终端、服务器或网关等，网络设备a和网络设备b可以分别处于两个不同的vpn中，也可以一方处于vpn中而另一方处于vpn外，或者是两个进行端到端通信的网络设备，本申请对此不做限制，图1所示仅用以示例。
在ipsec中，对数据流提供的具体安全服务通过sa(securityassociation，安全联盟)策略来实现，它包括协议、算法、密钥、封装模式等内容，具体确定了如何处理ipsec报文。
基于ipsec进行通信的会话双方，在会话建立前，需要进行协商，协商的内容包括安全隧道的建立和sa策略的确认。协商成功后，sa策略将被插入sa索引表(后文简写为，sa表)中，各个会话的sa策略都被统一存储在sa表中，以使ipsec报文被处理时，相关的加解密参数等能够被更便捷地查询到。
在上述技术背景下，首先，对本申请所提供的一种ipsec报文转发的方法进行说明，该方法应用于配置有多个虚拟cpu的网络设备，参见图2，所述方法包括：
步骤102，当接收到ipsec报文时，第一类虚拟cpu根据所述ipsec报文的五元组，将所述ipsec报文与会话表进行匹配。
其中，所述网络设备的虚拟cpu为使用虚拟技术构建的cpu，网络设备中的各个进程能够分时复用各个虚拟cpu，而多个虚拟cpu能够分时复用同一个物理cpu。
根据本申请实施例所提供的方案，网络设备中配置有多个虚拟cpu，将其划分为第一类虚拟cpu和第二类虚拟cpu，本申请对于网络设备中的虚拟cpu的实现和其总数，以及第一、二类虚拟cpu分别的数量，不做具体限定。
网络设备中的虚拟cpu在不处理ipsec报文时，所有的虚拟cpu均可执行工作任务，保障正常工作效率不受影响。当需要处理ipsec报文时，被划分出的第一类虚拟cpu进行对ipsec报文的接收、报文与会话表的匹配、新会话表项的生成以及对报文所使用算法的判断等，第二类虚拟cpu则对使用国产算法的ipsec报文进行加解密处理和转发等。
在步骤102中，网络设备的第一类虚拟cpu接收到ipsec报文后，能够由报文的基本头部信息获得该报文的五元组，所述的报文五元组即报文的源ip地址、源端口号、目的ip地址、目的端口号、和该报文传输层协议，根据报文的五元组可以确定报文所属的唯一会话。
而在网络设备中，为了快速处理各类报文，存储有一张会话表(也称，快转会话表)，同一会话下的各报文会基于该会话表中的内容执行特定的操作，如：加解密、转发、丢弃等。
网络设备中的第一类虚拟cpu在获取所述ipsec报文的五元组信息后，根据所述ipsec报文的五元组信息与上述的会话表进行匹配，根据匹配命中的会话表项，能够确认所述ipsec报文所属的会话。
步骤104，当所述ipsec报文与所述会话表匹配成功时，所述第一类虚拟cpu判断所述ipsec报文是否使用国产算法进行加解密。
根据步骤102，当由ipsec报文五元组匹配命中某一会话表项后，基于该会话表项中的内容，第一类虚拟cpu能够判断所述ipsec报文进行加解密时所使用的算法，所述ipsec报文使用的加解密算法包括国际标准算法(后简称，国际算法)，如：des、aes等，以及国产算法(也称，国密算法)，如：sm3、sm4等。
第一类虚拟cpu判断ipsec报文所使用的加解密算法的方法，包括第一类虚拟cpu根据报文所属会话对应查询网络设备中的sa索引表判断等，本申请对此不做限定。
步骤106，当所述ipsec报文使用国产算法进行加解密时，所述第一类虚拟cpu将所述ipsec报文转发至第二类虚拟cpu。
根据步骤104，第一类虚拟cpu判断得到所述ipsec报文所使用的算法后，当所述ipsec报文使用国际算法进行加解密时，所述第一类虚拟cpu能够直接将该ipsec报文发往sae核，即调用硬件指令，完成对使用国际算法的ipsec报文的加解密处理。
当所述ipsec报文使用国产算法进行加解密时，所述第一类虚拟cpu将该ipsec报文转发至第二类虚拟cpu进行加解密的处理，然后所述第一类虚拟cpu即可执行其他工作任务，无需等待该报文的返回。
步骤108，所述第二类虚拟cpu对所述ipsec报文进行加解密处理。
在本申请实施例的方案中，网络设备的多个虚拟cpu中被划分为第二类虚拟cpu的，接收由第一类虚拟cpu转发的使用国产算法的ipsec报文，对其进行加解密处理，具体的加解密处理不再赘述。
步骤110，转发加解密处理后的所述ipsec报文。
ipsec报文在处理和转发时，具有需要封装和解封外ip头的特点，其中，对ipsec报文的加解密处理是基于内ip头中的相关信息所确定的，而对ipsec报文的转发则是基于外ip头或内ip头中的相关信息所确定的。因此，在完成对ipsec报文的加解密处理后，对该报文的转发应视具体情况确定由第一类虚拟cpu或第二类虚拟cpu执行。
本申请实施例的方案中，描述的是一种报文异步处理方式，对ipsec报文的接收、加解密处理和转发，能够由不同的虚拟cpu完成。当对ipsec报文的处理由第一类虚拟cpu转至第二类虚拟cpu进行时，第一类虚拟cpu能够正常执行它的其他工作任务，无需等待继续执行该ipsec报文有关的其他操作。
本申请所提供的ipsec报文的转发方法，应用于配置有多个虚拟cpu的网络设备，通过设置第二类虚拟cpu对使用国产算法的ipsec报文进行加解密处理和转发，相较于相关技术使用外设加密卡的方案，节约了成本，较一般的软件加解密方案，又具有更高的处理效率。同时分设的第一类、第二类虚拟cpu实现了ipsec报文的异步处理，进一步提高了网络设备在ipsec报文处理上的工作效率。
如图3所示，为本申请技术方案中，步骤104，第一类虚拟cpu判断ipsec报文是否使用国产算法进行加解密的方法流程图，包括以下步骤：
步骤1042，根据与所述ipsec报文匹配成功的会话表项，获取所述ipsec报文对应的sa策略。
当所述ipsec报文与会话表中的一会话表项匹配成功时，根据所述会话表项中该会话的相关信息，获取报文对应的sa策略。
在一个例子中，ipsec报文对应sa策略的获取，可基于会话表项信息，查询sa表得到。
在另一个例子中，当某一会话的首个ipsec报文到达时，第一类虚拟cpu在生成其会话表项时，对应查询sa表，将该会话对应的sa策略添加在该会话的会话表项中，此时对所述ipsec报文对应sa策略的获取，可由所述ipsec报文匹配成功的会话表项中挂载的sa策略直接获取。
步骤1044，根据所述sa策略判断所述ipsec报文是否使用国产算法进行加解密。
基于sa策略所描述的会话双方通信所使用的认证方式、算法、密钥等信息，判断所述ipsec报文所使用的加解密算法是否为国产算法，本申请对ipsec具体使用何种国产算法不做限定，包括sm3、sm4算法等。
如图4所示，为本申请技术方案中，步骤106，当ipsec报文使用国产算法进行加解密时，网络设备的第一类虚拟cpu将ipsec报文转发至第二类虚拟cpu的方法流程图，包括以下步骤：
步骤1062，当预设划分的第二类虚拟cpu的数量为多个时，第一类虚拟cpu轮询各第二类虚拟cpu的收包队列的剩余空间。
例如，一个网络设备中配置有8个虚拟cpu，预设的第二类虚拟cpu为虚拟cpu7、虚拟cpu8，其余的虚拟cpu1至6均为第一类虚拟cpu。当前执行报文转发的第一类虚拟cpu为虚拟cpu3，第一虚拟cpu3判断当前ipsec报文使用国产算法进行加解密后，轮询第二类虚拟cpu7、8的收包队列，得到第二类虚拟cpu7、8收包队列的剩余空间大小，如，第二类虚拟cpu7收包队列剩余空间为可再接收112个报文，第二类虚拟cpu9收包队列剩余空间可再接收96个报文。
当预设划分的第二类虚拟cpu只有一个时，第一类虚拟cpu直接转发所述ipsec报文给这个第二类虚拟cpu，无需执行步骤1062。
步骤1064，第一类虚拟cpu将所述ipsec报文转发至收包队列剩余空间最大的第二类虚拟cpu的收包队列。
根据步骤1062所述第二类虚拟cpu7、8收包队列剩余空间分别为可再接收112个和96个报文，因此，执行报文转发的第一类虚拟cpu3将当前的ipsec报文转发至第二类虚拟cpu7的收包队列。
第一类虚拟cpu轮询第二类虚拟cpu收包队列的剩余空间，选择其中收包队列剩余空间最大的进行ipsec报文的转发，该方法对需要第二类虚拟cpu执行加解密处理的ipsec报文进行分流，提高了报文处理的效率。
所述当第二类虚拟cpu的数量为多个时，第一类虚拟cpu选择第二类虚拟cpu进行报文转发的方法包括但不限于上述方式，第一类虚拟cpu也可随机选择一个第二类虚拟cpu进行报文转发，或判断各个第二类虚拟cpu的状态，将当前ipsec报文转发给当前空闲、未在工作的第二类虚拟cpu，本申请对此不做限定。
为了使本领域技术人员更好地理解本申请中的技术方案，接下来结合附图，对ipsec报文的处理和转发作进一步的详细说明，后续描述的实施例仅仅是本申请的一部分实施例，而不是全部的实施例。
在如图1所示的组网架构中，假设网络设备a与网络设备b进行基于ipsec的会话时，双方以ipsec报文通信的过程如下。
在网络设备a与网络设备b进行基于ipsec协议的会话前，双方将会对本次会话进行协商，协商的内容包括上述安全隧道的建立，以及彼此通信中具体的认证、报文算法和密钥等，当协商成功后，协商得出的双方会话的sa策略会被网络设备a和网络设备b各自保存在自己的sa索引表中。
假设上述的网络设备a、b都配置有8个虚拟cpu，其中预设置的第二类虚拟cpu为虚拟cpu7、8，第一类虚拟cpu为虚拟cpu1至6。
图5所示，为本申请方案中，以网络设备a为例，首个待加密ipsec报文转发的方法流程图。
当网络设备a开始发送ipsec报文给网络设备b时，所述ipsec报文为网络设备a和网络设备b双方会话(后文简写为会话a-b)的首个待加密ipsec报文，该报文生成后到达了网络设备a的第一类虚拟cpu3。
步骤502，网络设备a的第一类虚拟cpu根据首个待加密ipsec报文五元组等信息生成会话a-b的会话表项，并添加sa策略。
网络设备a的第一类虚拟cpu3接收上述ipsec报文后，由于该报文为会话a-b的首个报文，第一类虚拟cpu3为会话a-b生成其会话表项，并在sa索引表中查询得到已协商成功的会话a-b的sa策略，将该sa策略添加进会话a-b的会话表项中，所述会话a-b的会话表项如下表1所示。
表1
步骤504，基于所述会话a-b的sa策略，网络设备a的第一类虚拟cpu3判断得到该ipsec报文需要使用国产算法进行加密。
步骤506，网络设备a的第一类虚拟cpu轮询第二类虚拟cpu，并将ipsec报文转发给收包队列剩余空间最大的第二类虚拟cpu。
网络设备a的第一类虚拟cpu3轮询设备中的第二类虚拟cpu7、8的收包队列的剩余空间，得到第二类虚拟cpu7、8收包队列的剩余空间分别为可再接收112个和96个报文，因此第一类虚拟cpu3将该ipsec报文转至第二类虚拟cpu7进行加密处理。
步骤508，网络设备a的第二类虚拟cpu完成对ipsec报文的加密和外ip头的封装，然后将报文返回给第一类虚拟cpu。
网络设备a的第二类虚拟cpu7基于会话a-b对应的sa策略，使用对应的国产算法完成对所述ipsec报文的加密处理后，所述第二类虚拟cpu7为该ipsec报文封装外ip头，使报文能在ipsec隧道中传输，鉴于第二类虚拟cpu并不执行会话表项生成的任务，无法为该ipsec报文新封装的外ip头生成新的对应会话表项，因此此时第二类虚拟cpu7将该ipsec报文返回给第一类虚拟cpu3。
步骤510，网络设备a的第一类虚拟cpu基于外ip头生成对应会话表项并转发该报文。
网络设备a的第一类虚拟cpu3根据该ipsec报文加密后封装的外ip头，为其生成对应会话表项，然后根据外ip头对应的会话表项，网络设备a的第一类虚拟cpu3转发该已完成加密处理的ipsec报文，该ipsec报文封装的外ip头对应的会话表项如下表2所示。
表2
ipsec报文加密后封装的外ip头对应会话的源和目的可以是隧道两端的网络设备，也可以是vpn内部的中转路由设备，本申请对此不做限制。
当网络设备a向网络设备b发送会话a-b的后续非首个待加密的ipsec报文时，假设所述的一个非首个待加密报文到达网络设备a的第一类虚拟cpu3后，根据会话a-b的会话表项中的sa策略，第一类虚拟cpu3将报文转发至第二类虚拟cpu中收包队列剩余空间更大的第二类虚拟cpu7的收包队列，第二类虚拟cpu7根据会话a-b的会话表项中的sa策略，对所述ipsec报文进行加密处理以及外ip头的封装后，根据上述已生成的外ip头对应的会话表项，第二类虚拟cpu直接转发该ipsec报文。
如图6所示，为本申请方案中，以网络设备b为例，待解密ipsec报文转发的方法流程图。
步骤602，当上述经过加密和封装处理后的ipsec报文达到网络设备b时，网络设备b的第一类虚拟cpu3首先对待解密ipsec报文的外ip头进行解封装，从而得到真实的待解密ipsec报文，根据其五元组对应生成对应的会话a-b的会话表项，并在sa索引表中查询得到已协商成功的会话a-b的sa策略，将该sa策略添加进会话a-b的会话表项中。
步骤604，基于所述会话a-b的sa策略，网络设备b的第一类虚拟cpu3判断得到该ipsec报文需要使用国产算法进行解密。
步骤606，网络设备b的第一类虚拟cpu3轮询设备中的第二类虚拟cpu7、8的收包队列的剩余空间，得到第二类虚拟cpu7、8收包队列的剩余空间分别为可再接收112个和96个报文，因此第一类虚拟cpu3将该ipsec报文转至第二类虚拟cpu7进行解密处理。
步骤608，网络设备b的第二类虚拟cpu7完成对所述ipsec报文的解密处理。
步骤610，网络设备b的第二类虚拟cpu7，根据上述解封装后生成的会话a-b的会话表项，直接转发该报文。
上述技术方案，应用于配置有多个虚拟cpu的网络设备，通过对网络设备中的多个虚拟cpu进行划分，设置第二类虚拟cpu对使用国产算法的ipsec报文进行加解密处理，不需要在网络设备内额外配置其他用于加解密的硬件设备，节约了成本，提高了报文处理效率。在ipsec报文的处理转发的过程中，第一类虚拟cpu通过对第二类虚拟cpu轮询选择转发报文给其中收包队列剩余空间最大的，实现了ipsec报文加解密处理前的分流，同时分设的第一、第二类虚拟cpu，实现了ipsec报文的异步处理，进一步提高了网络设备的工作效率。
与前述ipsec报文转发的方法实施例相对应，本申请还提供了ipsec报文转发的装置实施例。
本申请所提供的ipsec报文转发的装置实施例，可以应用在任一配置有多个虚拟cpu的网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在网络设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图7所示，为本申请服务器健康状态的监测装置所在网络设备的一种硬件结构图，除了图7所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的网络设备通常根据其实际功能，还可以包括其他硬件，对此不再赘述。
参见图8，为本申请实施例所提供的一种ipsec报文转发的装置的框图，该转发装置包括第一类处理单元810和第二类处理单元820：
其中，第一类处理单元810，用于在接收到ipsec报文时，根据所述ipsec报文的五元组，将所述ipsec报文与会话表进行匹配；
还用于当所述ipsec报文与所述会话表匹配成功时，判断所述ipsec报文是否使用国产算法进行加解密；
还用于当所述ipsec报文使用国产算法进行加解密时，将所述ipsec报文转发至第二类处理单元；
第二类处理单元820，用于对使用国产算法的ipsec报文进行加解密处理；
第一类处理单元810或第二类处理单元820，用于转发加解密处理后的ipsec报文。
可选地，第一类处理单元810，在判断ipsec报文是否使用国产算法进行加解密时，具体用于：
第一类处理单元810根据与所述ipsec报文匹配成功的会话表项，获取所述ipsec报文对应的sa策略；
根据所述sa策略判断所述ipsec报文是否使用国产算法进行加解密。
可选地，第一类处理单元810，在转发使用国产加解密算法的ipsec报文给第二类处理单元820时，具体用于：
当第二类处理单元820的数量为多个时，第一类处理单元810轮询各第二类处理单元820的收包队列的剩余空间；
第一类处理单元810将所述ipsec报文转发至收包队列剩余空间最大的第二类处理单元820的收包队列。
可选地，第一类处理单元810或第二类处理单元820，在转发加解密处理后的ipsec报文时，具体用于：
当ipsec报文为任一会话的首个待加密报文时，第二类处理单元820对所述ipsec报文进行加密后，将所述ipsec报文返回至第一类处理单元810，所述第一类处理单元810转发加密后的ipsec报文；
当ipsec报文为任一会话的非首个待加密报文时，第二类处理单元820对所述ipsec报文进行加密后，转发加密后的ipsec报文；
当ipsec报文为任一会话的待解密报文时，第二类处理单元820对所述ipsec报文进行解密后，转发解密后的ipsec报文。
上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。
对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
本说明书中描述的主题及功能操作的实施例可以在以下中实现：数字电子电路、有形体现的计算机软件或固件、包括本说明书中公开的结构及其结构性等同物的计算机硬件、或者它们中的一个或多个的组合。本说明书中描述的主题的实施例可以实现为一个或多个计算机程序，即编码在有形非暂时性程序载体上以被数据处理装置执行或控制数据处理装置的操作的计算机程序指令中的一个或多个模块。可替代地或附加地，程序指令可以被编码在人工生成的传播信号上，例如机器生成的电、光或电磁信号，该信号被生成以将信息编码并传输到合适的接收机装置以由数据处理装置执行。计算机存储介质可以是机器可读存储设备、机器可读存储基板、随机或串行存取存储器设备、或它们中的一个或多个的组合。
本说明书中描述的处理及逻辑流程可以由执行一个或多个计算机程序的一个或多个可编程计算机执行，以通过根据输入数据进行操作并生成输出来执行相应的功能。所述处理及逻辑流程还可以由专用逻辑电路—例如fpga(现场可编程门阵列)或asic(专用集成电路)来执行，并且装置也可以实现为专用逻辑电路。
适合用于执行计算机程序的计算机包括，例如通用和/或专用微处理器，或任何其他类型的中央处理单元。通常，中央处理单元将从只读存储器和/或随机存取存储器接收指令和数据。计算机的基本组件包括用于实施或执行指令的中央处理单元以及用于存储指令和数据的一个或多个存储器设备。通常，计算机还将包括用于存储数据的一个或多个大容量存储设备，例如磁盘、磁光盘或光盘等，或者计算机将可操作地与此大容量存储设备耦接以从其接收数据或向其传送数据，抑或两种情况兼而有之。然而，计算机不是必须具有这样的设备。此外，计算机可以嵌入在另一设备中，例如移动电话、个人数字助理(pda)、移动音频或视频播放器、游戏操纵台、全球定位系统(gps)接收机、或例如通用串行总线(usb)闪存驱动器的便携式存储设备，仅举几例。
适合于存储计算机程序指令和数据的计算机可读介质包括所有形式的非易失性存储器、媒介和存储器设备，例如包括半导体存储器设备(例如eprom、eeprom和闪存设备)、磁盘(例如内部硬盘或可移动盘)、磁光盘以及cdrom和dvd-rom盘。处理器和存储器可由专用逻辑电路补充或并入专用逻辑电路中。
虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上所述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。
类似地，虽然在附图中以特定顺序描绘了操作，但是这不应被理解为要求这些操作以所示的特定顺序执行或顺次执行、或者要求所有例示的操作被执行，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的分离不应被理解为在所有实施例中均需要这样的分离，并且应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品中，或者封装成多个软件产品。
由此，主题的特定实施例已被描述。其他实施例在所附权利要求书的范围以内。在某些情况下，权利要求书中记载的动作可以以不同的顺序执行并且仍实现期望的结果。此外，附图中描绘的处理并非必需所示的特定顺序或顺次顺序，以实现期望的结果。在某些实现中，多任务和并行处理可能是有利的。
以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。
1.一种ipsec报文转发的方法，应用于配置有多个虚拟cpu的网络设备，其特征在于，所述方法包括：
当接收到ipsec报文时，第一类虚拟cpu根据所述ipsec报文的五元组，将所述ipsec报文与会话表进行匹配；
当所述ipsec报文与所述会话表匹配成功时，所述第一类虚拟cpu判断所述ipsec报文是否使用国产算法进行加解密；
当所述ipsec报文使用国产算法进行加解密时，所述第一类虚拟cpu将所述ipsec报文转发至第二类虚拟cpu；
所述第二类虚拟cpu对所述ipsec报文进行加解密处理；
转发加解密处理后的所述ipsec报文。
2.根据权利要求1所述的方法，其特征在于，所述第一类虚拟cpu判断所述ipsec报文是否使用国产算法进行加解密，包括：
第一类虚拟cpu根据与所述ipsec报文匹配成功的会话表项，获取所述ipsec报文对应的sa策略；
根据所述sa策略判断所述ipsec报文是否使用国产算法进行加解密。
3.根据权利要求1所述的方法，其特征在于，所述第一类虚拟cpu将所述ipsec报文转发至第二类虚拟cpu，包括：
当所述第二类虚拟cpu的数量为多个时，所述第一类虚拟cpu轮询各第二类虚拟cpu的收包队列的剩余空间；
所述第一类虚拟cpu将所述ipsec报文转发至收包队列剩余空间最大的第二类虚拟cpu的收包队列。
4.根据权利要求1所述的方法，其特征在于，所述转发加解密处理后的所述ipsec报文，包括：
当ipsec报文为任一会话的首个待加密报文时，
所述第二类虚拟cpu对所述ipsec报文进行加密后，将所述ipsec报文返回至所述第一类虚拟cpu，所述第一类虚拟cpu转发加密后的ipsec报文；
当ipsec报文为任一会话的非首个待加密报文时，
所述第二类虚拟cpu对所述ipsec报文进行加密后，转发加密后的ipsec报文。
5.根据权利要求1所述的方法，其特征在于，所述转发加解密处理后的所述ipsec报文，包括：
当ipsec报文为任一会话的待解密报文时，所述第二类虚拟cpu对所述ipsec报文进行解密后，转发解密后的ipsec报文。
6.一种ipsec报文转发的装置，其特征在于，所述装置包括第一类处理单元和第二类处理单元：
所述第一类处理单元，用于在接收到ipsec报文时，根据所述ipsec报文的五元组，将所述ipsec报文与会话表进行匹配；
还用于当所述ipsec报文与所述会话表匹配成功时，判断所述ipsec报文是否使用国产算法进行加解密；
还用于当所述ipsec报文使用国产算法进行加解密时，将所述ipsec报文转发至第二类处理单元；
所述第二类处理单元，用于对使用国产算法的ipsec报文进行加解密处理；
所述第一类处理单元或第二类处理单元，用于转发加解密处理后的ipsec报文。
7.根据权利要求6所述的装置，其特征在于，所述第一类处理单元用于判断所述ipsec报文是否使用国产算法进行加解密，包括：
第一类处理单元根据与所述ipsec报文匹配成功的会话表项，获取所述ipsec报文对应的sa策略；
根据所述sa策略判断所述ipsec报文是否使用国产算法进行加解密。
8.根据权利要求6所述的装置，其特征在于，所述第一类处理单元用于当所述ipsec报文使用国产算法进行加解密时，将所述ipsec报文转发至第二类处理单元，包括：
当所述第二类处理单元的数量为多个时，所述第一类处理单元轮询各第二类处理单元的收包队列的剩余空间；
所述第一类处理单元将所述ipsec报文转发至收包队列剩余空间最大的第二类处理单元的收包队列。
9.根据权利要求6所述的装置，其特征在于，所述第一类处理单元或第二类处理单元，用于转发加解密处理后的ipsec报文，包括：
当ipsec报文为任一会话的首个待加密报文时，所述第二类处理单元对所述ipsec报文进行加密后，将所述ipsec报文返回至所述第一类处理单元，所述第一类处理单元转发加密后的ipsec报文；
当ipsec报文为任一会话的非首个待加密报文时，所述第二类处理单元对所述ipsec报文进行加密后，转发加密后的ipsec报文。
10.根据权利要求6所述的装置，其特征在于，所述第一类处理单元或第二类处理单元，用于转发加解密处理后的ipsec报文，包括：
当ipsec报文为任一会话的待解密报文时，所述第二类处理单元对所述ipsec报文进行解密后，转发解密后的ipsec报文。
技术总结