CN113312151B - 一种IPSecVPN集群的负载均衡方法 - Google Patents

Abstract

本发明属于负载均衡技术领域，具体涉及一种IPSec VPN集群的负载均衡方法。本发明包括设置初始时间步长，收集各服务节点的状态信息，存入节点的对应属性值中；计算每个服务节点的负载度，并选择最佳节点；通过每个服务节点的负载度，根据反馈步长调整公式，预测下一反馈步长；下一反馈步长时负载均衡器向服务器发送获取负载属性状态请求。本发明针对IPSec VPN集群环境中存在负载均衡问题，提供了一种IPSec VPN集群的负载均衡方法。本发明可以更好地提升IPSec VPN集群的负载均衡性，有效地提高处理效率。

Description

一种IPSecVPN集群的负载均衡方法

技术领域

本发明属于负载均衡技术领域，具体涉及一种IPSec VPN集群的负载均衡方法。

背景技术

在高速连接到互联网的时代，对个人信息安全和商业案例的需求，如云计算、大数据吞吐量和稳定的连接，变得越来越重要。当服务器处理高并发访问和大量数据时，服务器需要及时分析流量并返回结果，这一过程在用户看来体验感受非常明显，给服务器的性能带来了巨大挑战。服务器的处理性能差会导致用户不能满足需求，进而公司业务受到很大影响。而当服务器因为资源耗尽而导致崩溃时，对整个服务器业务都会产生很大影响，因此加快服务器的处理性能是至关重要的。

除了从提高单个服务器性能考虑之外，还可以考虑使用多个服务器来替代以前单个服务器的任务。服务器集群和负载均衡技术应运而生,并已在硬件和软件方面优化了服务器性能。

负载均衡是将工作负载分配给工作空间中的几个节点，以确保系统中没有节点空闲或过载。负载均衡可能是针对服务器集群、多核、磁盘驱动或其他设备的研究，而本发明只研究针对以集群方式实现的IPSec VPN网关的负载均衡问题。

高效的负载均衡方法通过比较系统中的每个节点可能的工作量来决定将当前任务交予哪个节点处理。常用的负载均衡方法包括静态负载均衡和动态负载均衡两类方法。

静态均衡方法适合于任务执行过程中负载变化较小的系统。动态平衡方法则在同质和异质环境中均更具适应性和有效性。在静态负载均衡方法中，流量在服务器之间平均分配。此方法需要系统资源的先验知识。处理器的性能是在执行开始时指定的，因此，转移负载的决定不取决于系统的当前状态。与动态负载平衡相比，静态负载均衡的应用具有较少的系统开销程序。负载平衡有助于公平分配资源，以提高系统的稳定性。静态负载均衡方法有一些缺点。例如，仅在创建任务后才将任务分配给处理器或计算机，并且在执行过程中无法将任务转移到任何其他计算机以进行负载平衡。

与静态负载平衡不同，在动态负载平衡中，负载决策受系统当前状态的影响。许多属性都被考虑在内。根据执行任务时收集的运行时负载属性信息，也可以将负载分配给特定的节点，然后再重新分配给另一个节点。尽管由于节点之间的运行时通信而增加了系统开销，但动态负载均衡技术比静态均衡技术具有许多优势。在一个节点关闭的情况下，尽管系统的性能有所下降，但系统并没有停止。当有的节点负载过大时可以将任务移动到未充分利用的节点，这类方法比静态方法更通用，在异构和动态条件下提供更好的结果。

为提高决策的准确性和高效性，最好的负载均衡方法是能实时动态地考虑每个服务节点的负载状况，通过负载计算来选择合适的服务节点，从而达到负载均衡。研究针对IPSec VPN的负载均衡方法，需要从IPSec VPN的特性出发研究适用于这个特定环境的负载均衡方法。

发明内容

本发明的目的在于提供一种IPSecVPN集群的负载均衡方法。

本发明的目的通过如下技术方案来实现：包括以下步骤：

步骤1：设置初始时间步长，开始收集各服务节点的状态信息，并存入各服务节点的对应属性值中；

步骤2：计算每个服务节点i的负载度α_i，选择对应负载度值最低的服务节点作为最佳的服务节点；

步骤2.1：计算服务节点i的复合负载CTL_i；

CTL_i＝β_dN_sa+β_aR_time+β_bN_alloc+β_cN_conn

其中，N_sa为IKE SA建立数；R_time为响应时间；N_alloc为已分配的IPSec请求数；N_conn为已建立的IPSec SA数；β_a、β_b、β_c、β_d为权重系数，β_a+β_b+β_c+β_d＝1；

步骤2.2：计算服务节点i的承载能力PE_i；

其中，Cs_i为服务节点i的CPU频率；Ms_i为服务节点i的内存容量；Ns_i为服务节点i的后端服务器网络带宽；Ac为服务器中所有服务节点的CPU平均频率；Am为服务器中所有服务节点的平均内存容量；An为服务器中所有服务节点的后端服务器的平均网络带宽；α_c、α_m、α_n为权重系数，α_c+α_m+α_n＝1；

步骤2.3：计算服务节点i的权重WE_i；

步骤2.4：计算服务节点i的负载度α_i；

步骤3：通过各服务节点i的负载度α_i，预测下一反馈步长τ；

其中，τ′表示上一反馈步长；和分别表示前两个反馈时间步长中服务器中所有服务节点的平均负载度；

步骤4：下一反馈步长时负载均衡器向服务器发送获取负载属性状态请求，返回步骤2。

本发明的有益效果在于：

本发明针对IPSec VPN集群环境中存在负载均衡问题，提供了一种IPSec VPN集群的负载均衡方法。本发明可以更好地提升IPSec VPN集群的负载均衡性，有效地提高处理效率。

附图说明

图1为IPSec VPN集群环境图。

图2为本发明负载均衡方法的对比效果图。

具体实施方式

下面结合附图对本发明做进一步描述。

本发明针对IPSec VPN集群环境中存在负载均衡问题，提供了一种IPSec VPN集群的负载均衡方法。本发明可以更好地提升IPSec VPN集群的负载均衡性，有效地提高处理效率。

一种IPSec VPN集群的负载均衡方法，包括以下步骤：

步骤1：设置初始时间步长，开始收集各服务节点的状态信息，并存入各服务节点的对应属性值中；

步骤2：计算每个服务节点i的负载度α_i，选择对应负载度值最低的服务节点作为最佳的服务节点；

步骤2.1：计算服务节点i的复合负载CTL_i；

CTL_i＝β_dN_sa+β_aR_time+β_bN_alloc+β_cN_conn

其中，N_sa为IKE SA建立数；R_time为响应时间；N_alloc为已分配的IPSec请求数；N_conn为已建立的IPSec SA数；β_a、β_b、β_c、β_d为权重系数，β_a+β_b+β_c+β_d＝1；

步骤2.2：计算服务节点i的承载能力PE_i；

其中，Cs_i为服务节点i的CPU频率；Ms_i为服务节点i的内存容量；Ns_i为服务节点i的后端服务器网络带宽；Ac为服务器中所有服务节点的CPU平均频率；Am为服务器中所有服务节点的平均内存容量；An为服务器中所有服务节点的后端服务器的平均网络带宽；α_c、α_m、α_n为权重系数，α_c+α_m+α_n＝1；

步骤2.3：计算服务节点i的权重WE_i；

步骤2.4：计算服务节点i的负载度α_i；

步骤3：通过各服务节点i的负载度α_i，预测下一反馈步长τ；

其中，τ′表示上一反馈步长；和分别表示前两个反馈时间步长中服务器中所有服务节点的平均负载度；

步骤4：下一反馈步长时负载均衡器向服务器发送获取负载属性状态请求，返回步骤2。

实施例1：

本发明采取的集群环境部署方式如图1所示，环境中将IPSec VPN网关替换成负载均衡器，其只负责任务的分发，具体的IPSec数据包处理过程在集群的服务节点中完成。集群同样是共享一个IP地址，但是集群内部有另一套IP地址用来与负载均衡器通信，反馈实时的负载信息。服务节点接收到真正服务器的响应信息经过加密后直接返回给客户端，而不再经过负载均衡器，这样负载均衡器的任务量减少，即使请求数量大时不会出现性能急剧下降的现象，即不存在单点性能瓶颈效应。

为了在更长的VPN会话期间获得更好的安全性，IPSec提供了一种定期更新IKE和IPSec密钥的机制。更新IKE密钥需要运行两个IKE阶段，但更新IPSec密钥只需要再次运行第二阶段(快速模式)。IKE通常在建立虚拟专用网连接期间不会只运行一次。它在较长的虚拟专用网会话期间定期运行，以增强安全性。此外，无线环境中频繁断开连接可能会导致客户端多次运行IKE。

有研究针对IPSec的各种开销进行了研究并得出结论：

1)IKE协议的开销远高于ESP处理数据包所产生的开销；

2)加密操作占IKE开销的32-60％，ESP开销的34-55％；

3)数字签名生成和Diffie-Hellman计算是IKE过程中开销的最大来源，只有少量开销可归因于对称密钥加密和哈希；

4)对称密钥加密是ESP处理过程中开销最大的操作。

综上研究，本发明将IKE协商作为负载计算时的重要依据。除了IKE协商的因素外，负载属性还考虑其他一些因素：

1)考虑服务器的处理能力即性能，这个属性代表了服务器能够处理的任务量有多大。决定服务器处理能力的属性包括CPU频率、内存容量、网络带宽和硬盘容量，此处硬盘容量不考虑放在服务器的负载计算中，因为IPSec流量处理时，占用的硬盘空间一般很少，变化较小的属性权重也不会发生大的变化，对负载计算的用处不是很大。

2)服务器在运行过程中各项属性参数也会动态地发生改变，这些属性会反应服务器的实时负载情况。动态参数包括CPU利用率、内存利用率、网络带宽利用率。这些参数都可以通过获取服务器的对应文件得到。

3)基于最小连接数的动态负载均衡方法是考虑分配最少连接的服务器性能可能更好，所以优先分配给最小连接数的服务器。针对IPSec VPN网关的处理过程，IPSec连接过程生成的各种SA数可以作为负载依据。IPSec连接过程为先做IKE协商，生成IKE SA，后利用协商的信息生成IPSec SA，因此可以获取已建立的IKE SA、IPSec SA数作为负载属性。

4)负载均衡器收到IPSec连接请求后，会选择最佳的服务节点分发IPSec请求，这会更新每个服务器分发的IPSec请求数，当某个服务器分发的IPSec请求数增加时，会影响到服务器的整体性能，这时服务器的负载度应该增大，因此将这一属性归纳到负载计算中。

综上所述，负载属性包括：静态参数(CPU频率、内存容量和网络带宽)和动态参数(CPU利用率、内存利用率、网络带宽利用率、响应时间、已分配的IPSec请求数、已建立的IPSec SA建立数以及IKE SA建立数)。负载均衡器使用这些属性值计算服务节点的负载状态。其中在每次负载计算完成后，分发被所有服务节点的IPSec请求数被清零，这样在下一负载计算时IPSec请求数是在时间步长内的变值。

静态负载参数(CPU频率，内存容量和网络带宽)反映了服务器的承载能力，即服务器的性能。动态负载参数中的CPU利用率，内存利用率和网络带宽利用率反映了服务器上的负载。而响应时间、IPSecVPN请求数、IPSec SA建立数以及IKE SA建立数间接反映了负载情况。

根据收集到的负荷信息计算出服务器节点的负载能力和负载，进而计算出服务器的权重。最后，将根据响应时间、已分配的IPSec安全信道建立请求数、已建立的IPSec安全信道数以及SA建立数来计算复合负载。服务器的权重越大，复合负载越小，将其分配给请求的可能性就越大。

1)复合载荷的计算

考虑结合IKE SA建立数、响应时间、已分配的IPSec请求数以及已建立的IPSec SA数的复合负载(CTL)，并使用CTLi表示节点n的复合负载，计算方法如公式(1)所示。

CTL_i＝β_dN_sa+β_aR_time+β_bN_alloc+β_cN_conn (1)

其中，β_a+β_b+β_c+β_d＝1是用来反映各因素的重要性。当CTL_i较小时，将请求分配给节点n的可能性较大。

2)节点承载能力的计算

静态负载参数反映了服务器的承载能力，即服务器的性能。Ac，Am和An分别表示CPU的平均频率，平均的内存容量，和后端服务器的平均网络带宽，使用公式(2)、公式(3)、公式(4)分别计算，然后使用公式(5)计算第i个节点的承载能力，用PE_i来表示。其中α_c+α_m+α_n＝1，这是用来反映每个的重要性因子。

3)节点负载条件的计算

动态负载因子反映了服务器上的负载。使用如下公式(6)计算第i个节点的负载，用LS_i表示。

LS_i＝α_cCs_j+α_mMs_j+α_nN_sj (6)

当LS_i大于某个值时，可以认为节点i的负载过大，应该停止将负载分配给它。

4)节点权重的计算

令节点的权重为WE_i。权重越大，分配给请求的可能性就越大。WE_i与服务器的承载能力PE_i正相关，与LS_i负相关。WE_i的计算公式如公式(7)所示。

5)计算服务节点的负载度

通过前面的分析，可以知道节点n被分配给请求的概率与其复合负载CTL_n负相关，并与它的权重WE_n正相关。服务节点i的负载度如公式(8)所示。

如公式(9)所示选择最低负载度的节点作为最佳的服务节点。

负载计算中节点承载能力、节点负载条件、复合载荷中都涉及到属性的权重值，接下来讨论属性权重的计算。很多动态负载均衡方法中使用静态权重计算负载，当服务器的一项属性指标达到负载时，计算方法仍然使用原先确定的权重计算，这会导致出现由于负载计算小而某项属性已导致服务器崩溃的情况，方法不能动态地做出调整，分配的任务无法得到处理。因此在属性权重计算后对属性权重做调整，然后根据收集的服务器属性信息，计算服务器负载。

1)数据标准化

由于指标的度量单位不一致，因此必须首先将数据标准化。它使用Min-max规范化将结果值映射到[0，1]。归一化计算公式如公式(11)所示。

Y_ij是服务器j关于属性i的预处理后的值。

2)确定权重系数

服务器j在该属性下占属性i的比例为p_ij，计算方法如公式(12)所示。

每个属性的信息熵表示为E₁，E₂，...，E_n，如公式(13)所示。

使用公式(14)计算每个属性指标的权重即W_i。

本发明将实验中获得的属性数据作为实验数据，通过公式(11)进行归一化，然后属性的权重系数使用信息熵计算得到。

3)权重调整

公式(15)表示每个服务器的所有属性中当前属性的比率F_i。可以如公式(16)所示来调整服务器节点权重。

W′_i＝F_i*W_i (16)

通过调整权重可以改善负载不平衡节点的情况。但是，加权的不平衡通常是由短时间内的高并发访问引起的。因此，当没有高负载节点时，服务器节点权重将逐渐调整为初始权重。

动态反馈负载平衡方法可以分为以下几个策略：信息收集、反馈和任务再分配。收集负载信息并用于确定任务迁移或重新分配，从而提高负载平衡的程度

在给定时间步骤完成任务后，收集负载信息，并根据历史负载信息动态地重新分配任务。反馈机制旨在实现动态负载均衡，并使方法具有自适应性。负载信息反馈会导致资源开销。然而，对于大规模计算问题，如果反馈时间步长得到适当控制，反馈开销不会显著影响计算效率。动态负载平衡是通过使用负载预测方法结合动态规划方法进行任务重新分配来实现的。反馈时间步长是动态变化的，以适应动态环境。当负载频繁变化时，该方法可以达到更好的适应性。

1)信息收集策略

主要过程被设置为时间步长循环。在一个步长过程中，负载均衡器向服务节点发送请求，请求获取各个负载属性值，通过负载计算方法计算出每个服务器的负载度。之后根据服务节点的平均负载度进行反馈时间步长的调整。

2)反馈策略和反馈时间步长预测

为了减少资源开销，预测每个节点的处理能力，并在每个反馈时间步长重新分配一次任务。为了避免降低系统的吞吐量，对于给定的反馈时间步长，在所有步骤中采用相同的分配方案。指数平滑法用于预测下一时间步长每个节点的处理能力。反馈时间步长基于前两个反馈时间步长中所有服务器的平均负载平衡度(和)。下一反馈时间步长时平均负载度方法如公式(17)所示。

当下一时间步长间平均负载均衡度变小时，可以预测出当前有些服务器负载变小，可以适当地增加反馈步长，而平均负载度变大时，预测出当前有些服务器负载变大，需要减小反馈步长。当平均负载度基本不变时，预测出当前所有服务器负载变化不大，不需要改变反馈步长。

因此将下一反馈步长与上一反馈步长时服务器的平均负载度差作为反馈步长变化的依据，计算方法如公式(18)所示。

τ′是上一反馈步长。平均负载变化度变化比较小时认为是系统稳定的情况，所以直接使用上一次的反馈步长。这是负载变大的情况，因此减小步长。这是负载变小的情况，应该增加步长。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种IPSecVPN集群的负载均衡方法，其特征在于，包括以下步骤：

步骤1：设置初始时间步长，开始收集各服务节点的状态信息，并存入各服务节点的对应属性值中；

步骤2：计算每个服务节点i的负载度α_i，选择对应负载度值最低的服务节点作为最佳的服务节点；

步骤2.1：计算服务节点i的复合负载CTL_i；

CTL_i＝β_dN_sa+β_aR_time+β_bN_alloc+β_cN_conn

其中，N_sa为IKE SA建立数；R_time为响应时间；N_alloc为已分配的IPSec请求数；N_conn为已建立的IPSec SA数；β_a、β_b、β_c、β_d为权重系数，β_a+β_b+β_c+β_d＝1；

步骤2.2：计算服务节点i的承载能力PE_i；

其中，Cs_i为服务节点i的CPU频率；Ms_i为服务节点i的内存容量；Ns_i为服务节点i的后端服务器网络带宽；Ac为服务器中所有服务节点的CPU平均频率；Am为服务器中所有服务节点的平均内存容量；An为服务器中所有服务节点的后端服务器的平均网络带宽；α_c、α_m、α_n为权重系数，α_c+α_m+α_n＝1；

步骤2.3：计算服务节点i的权重WE_i；

步骤2.4：计算服务节点i的负载度α_i；

步骤3：通过预测下一反馈步长τ；

其中，τ'表示上一反馈步长；和分别表示前两个反馈时间步长中服务器中所有服务节点的平均负载度；

步骤4：下一反馈步长时负载均衡器向服务器发送获取负载属性状态请求，返回步骤2。