（通信与信息系统专业论文）基于ipv6ipv4双栈的ipsecike协议的分析与测试.pdf

北京交通大学硕士学位论文基于i p v 6 ，i p v 4 ，双栈的i p s e c i k e 的分析与测试 摘要 近年来，计算机网络迅猛发展，己经融入了人类生产和生活的方方 面面。由于传统的i p v 4 网络并没有提供安全服务，所以安全问题已经 成为i n t e r n e t 发展的重点，它是网络正常运行的保障。在这种情况下， 新一代网络安全标准i p s e c ( i ps e c u r i t y ) 应运而生。经过几年来的发展， i p s e c 理论已经日臻成熟。随着i p v 6 在我国的大规模商用，i p s e c 也将 在下一代互联网上发挥其重要作用。因此，为了保证各种i p s e c 产品互 联互通，积极开展i p s e c 一致性测试理论和技术的研究就显得尤为重要。 i p s e c 是一个复杂的协议套件，它由几个相对独立的协议组成： e s p ( 封装安全载荷) 、a h ( 验证头) 和i k e ( i n t e m e t 密钥交换) 。它们可 以保证i p 层机密性、完整性、可认证性。文中对i p s e c 协议体系进行 了详细的阐述。 本文是国家8 6 3 项目：“高性能i p v 6 路由器协议栈软件”的一部分， 是为了保证i p s e c 予协议栈软件的质量而进行的测试工作。文中分析了 一般的软件测试技术以及i p s e c 测试技术的发展和研究现状，并在深入 地分析了i p s e c 相关组件的特点的基础上，对i p s e c 协议处理、工作模 式、协商过程等进行了测试。测试工作包括协议介绍、列举测试点、编 写测试用例、搭建测试环境并进行测试，最后给出了测试结果。本文的 所提的测试方案即可以支持i p v 4 i p v 6 双栈测试，也可以用于单协议栈 测试。通过对协议栈软件的测试工作，有效保证了协议栈的质量。 关键词：i p v 6i p s e ci k e a h e s p 被测实现i u t 嵌入式操作系 统v x w o r k s 北京交通大学硕士学位论文基于i p v 6 i p v 4 双栈的i p s e c i k e 的分析与测试 a b s t r a c t i nr e c e n ty e a r s ，c o m p u t e rn e t w o r kd e v e l o p sv e r ) tr 印i d l y ，i th a sc o m e i n t oe a c ha s p e c to f p e o p l e sl i f e b u ti p v 4 ，h i c hi sp o p u i a r l ya p p l i e dn o w i s ap r o t o c o lw i t hn oc o n s i d e r a t i o no fs e c u r i t y ，s ot h ep r o b l e mo fn c t w o r k s e c u r i t ya t t r a c t sm o r ea i l dm o r ea t t e m i o no fp e o p l ea n di th a sb e c o m et h e e m p h a s i so ft h ed e v e l o p m e n to fi p v 6 i n t e m e ts e c u t i t yi st l l es a f c g u a r do f n e t w o r kr u r u l i n gp r o p e r l y t h e r e f o r ei p s e c 血en e ws e c u r i t ys t a n - d a r df o r i n t e m e t ，w a sb o mw i t ht i m e a n dn o w ，t h c l e o r yo fi p s e cd e v e l 叩e dq u i t e m a t u r e l y w i t l lt h ec o s m i c a l l yu s eo fi p v 6i nc h i n a ，i p s e cw i l lb r i n gi t s i m p o r t a mu s ei r l t op l a 矿t h u s ，i no r d e rt og u a r a n t e et h a ta uk i n d so fi p s e c p r o d l l c t 3c a nw o r kt o g e t h e r ，w eh a v et or e s e a r c ht h et h e o r ya n dt e c h n o l o g y o fi p s e ct e s t i p s e ci sas u “o fc o r n p l e xp r o t o c o l s ，a 1 1 di tm a k eu po fs e v e r a la b s o l u t e p r o t o c o l s ：a h ，e sp ，i k e ，e t c t h e yc a np r o v i d et h es e r v i c eo fi pl a y e r s c o n n d e n t i a l i t y 、i m e g r a l i t ya n da u t h e n t i c a t i o n w ee x p a t i a t e o ni p s e c p m t o c o la r c h i t e c t u r ei nt h i sp a p e r t h i sm e s i si so n ep a r to ft h en a t i o n a l “8 6 3 ”p r o j e c t ：“i p v 6r o u t i n g p r o t o c o ls t a c ks o r w a r ew i t hh i g hp e r f o 咖a n c e ”，i tm a i n l yd os o m et e s t st o e n s u r et 王l e q u a l i t yo ft 1 1 ei p s e cc h i l d p r o t o c o ls t a c ks o r w a r e f i r s t ，t h i s t h e s i sa n a l y s i st h eg e n e r i cs o r w a r et e s tt e c h n i q u e s ，a n dt h et e s tt e c l l n i q u e s t oi p s e cp r o t o c o l s b a s e do nd e e p l ya i l a l y z i n gt h ec h a r a c t e ro fi p s e c & i k e ， i t 把s t st h ep r o c e s so fi p s e c ，w o f km o d e s ，a r r a i l g i n gp r o c e s sa n ds oo n t h e w o r ko ft e s t i n gi n c l u d ei n t r o d u c ep m t o c o l s ，l i s tt e s tp o i m s ，w r i t et e s ts u “s ， m a k et e s te n v i r o m e n t sa 1 1 dd ot h et e s t ，a 1 1 dg i v et l l er e s u l t sa tl a s t n l et e s t 北京交通大学硕士学位论文 基于i p v 6 p v 4 双栈的i p s e c i k e 的分析与测试 c a s ec a ns u p p o r tt h ed o u b l es t a c ko fi p v 4a n di p v 6 ，a n di ta l s oc a l lb eu s e d i ns i n 9 1 es t a c k w i t ht h et e s tw o r kw ec a ne n s u r et h eq u a l i t yo ft h er o u t e r s k e yw o r d s ： i p v 6i p s e c i k ea he s pi u tv x w o r k s 北京交通大学硕士学位论文基于i p v 6 i p v 4 双栈的i p s e c i k b 的分析与测试 独创性说明 y87 9 8 9 5 本人声明所呈交的论文是我个人在导师指导下进行的研究工作及 取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外， 论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得北 京交通大学或其他教育机构的学位或证书而使用过的材料。与我一同工 作的同志对本研究所做的任何贡献均己在论文中作了明确的说明并表 示了谢意。 签名：髓日期：塑坚兰：鉴 关于论文使用授权的说明 本人完全了解北京交通大学有关保留、使用学位论文的规定，即： 学校有权保留送交论文的复印件，允许论文被查阅和借阅；学校可以公 布论文的全部或部分内容，可以采用影印、缩印或其他复制手段保存论 文。论文中所有创新和成果归北京交通大学i p 网络实验室所有。未经 许可，任何单位和个人不得拷 签名：盗盈新签 动心，) 。圬 北京交通大学硕士学位论文基于i p v 6 ，i p v 4 双栈的i p s e c i k e 的分析与测试 1 1 研究背景 第一章绪论 1 1 1 发展i p v 6 的必要性和必然性 i n t e m e t 可以说是2 0 世纪人类最伟大的发明，它已经深入到人类生 活的方方面面，成为人类发展不可缺少的重要组成部分。随着通信网络 技术的发展，传统的i p v 4 网络暴露出了一系列缺点，体现在地址空间 不足、移动性差、安全性差和配置复杂等方面，因此互联网工程任务组 ( i e t f ，i n t e m e te n g i n e e rt a s kf o r c e ) 提出了i p v 6 以解决这些问题。经 过几年的发展，i p v 6 技术已经日渐成熟，成为下一代互联网的标准【l l 】。 i p v 6 以其健壮的安全性，可以抵抗互联网黑客、病毒，提供更安全的 保障；凭借广泛的地址空间以及对移动性的支持，i p v 6 可以实现3 g 与 互联网的融合，让每部手机都有i p 地址；此外i p v 6 支持“永远在线”， 可以为客户提供更满意的服务。因此，对i p v 6 及相关技术的研究和应 用成为世界各国竞相发展的热点。 目前，从世界范围来看，日本在i p v 6 技术和产品研发上走在前列。 日本政府把i p v 6 确立为使日本重新成为信息化强国的国策之一，明确 设定在2 0 0 5 年完成互联网向i p v 6 的过渡。日立公司2 0 0 1 年推出的世 界最早的硬件支持的i p v 6 千兆级路由器g r 2 0 0 0 系列目前在全球销售 超过万台，其中作为i p v 6 路由器使用的超过5 0 。从2 0 0 1 年n t t 在 全球第一个推出i p v 6 商用服务至今，日本已有十数家运营商及i s p 提 供i p v 6 商用服务。思科在苏格兰专门建立了i p v 6 研发中心；而思科、 北京交通大学硕士学位论文基于i p v 6 i p v 4 双栈的i p s e c i k e 的分析与测试 j u l l i p e r 借助i p v 4 形成的研发规模和市场环境，在产品研发和市场推广 上占有更多优势，不仅在主推路由器型号中增加了i p v 6 硬件转发功能， 从核心路由器到汇聚层路由器和接入网关都做了针对i p v 6 协议体系的 改造。韩国信息通信部( m i n i s t r vo fi n f o r m a t i o na n dc o m m u n i c a t i o n ， m i c ) 提出“下一代互联网基础计划”，要在2 0 11 年一完成i p v 6 的演变 过程。美国国防部也作出了要在2 0 0 8 年实现美国本土全面的i p v 6 计划， i p v 4 协议退出的决定。 i p v 6 为我国的信息和网络产业的发展创造了宝贵的契机。在i p v 4 上落后的中国力求占领未来网络制高点，我国的i p v 6 进程在2 0 0 4 年奏 响了大规模商用的前奏。投资1 4 个亿的、目前世界上最大的i p v 6 示范 网中国下一代互联网示范工程( c n g i ) 已经在国家多个部委级领导 部门的支持下启动。各大运营商中国电信、中国网通、中国移动、中国 联通、中国铁通以及赛尔网络( 中国教育和科研计算机网，c e r n e t ) 等积极竞标和筹建i p v 6 骨干网。各大互联网设备提供商如中兴、华为 等也在积极研制和生产支持i p v 6 的路由器等网络设备。2 0 0 4 年上半年， 华为全线路由器产品将全部支持i p v 6 ；中兴在做系统设备的同时，还 加强了i p v 6 芯片的研发；大唐电信为我军提供了多款高保密级别的 i p v 6 路由器；佳讯飞鸿主打汇聚层i p v 6 路由器市场。预计我国i p v 6 大 规模商用将在2 0 0 6 年到2 0 l o 年，以i p v 6 为代表的下一代互联网技术 和产业将成为通信信息产业最重要的组成部分。 1 1 2i n t e r n e t 安全与i p s e c i m e m e t 提供的互联性和开放性使信息的交换与共享成为现实，为 社会带来了巨大的利益，全球信息化己成为人类发展的大趋势。然而由 北京交通大学硕士学位论文基于i p v 6 i p v 4 双栈的i p s e c i k e 的分析与测试 于早期网络协议设计上对安全问题的忽视、网络使用和管理的无政府状 态，以及计算机网络具有联结形式多样性、终端分布不均匀性和网络的 开放性、互连性等特征，逐渐使i n t e m e t 自身的安全受到严重的威胁。 在i n t e m c t 所受到的攻击中，最严重的有i p 哄骗( 入侵者伪造假的 i p 地址，并对基于i p 认证的应用程序进行哄骗) 和各种的窃听以及嗅 探网包( 攻击者在信息传输过程中非法截取如登录口令或数据库内容一 类的敏感信息) 。所以网上信息的安全和保密是一个至关重要的问题。 对于军用的自动化指挥网络、c 3 i 系统和银行等传输敏感数据的计算机 网络系统而言，其网上信息的安全和保密尤为重要，否则该网络将是个 无用、甚至会危及国家安全的网络。 因此，i p 网络的安全问题已成为一个十分重要的问题，网络安全 已经日益成为与国家、政府、企业、个人的利益休戚相关的大事。安全 成为通信的一个最基本的前提。 为此，i e t f 专门制订了新一代的网络层安全标准一i p s e c ( i p s e c u r i t y ) ，并作为i p v 6 内置的安全特性强制实行。其目标是把安全集 成到i p 层，以便对i n t e m e t 的安全业务提供低层支持。它可以“无缝” 地为i p 引入安全特性，并对数据源提供身份验证，数据安全完整性检 查以及机密性保证机制，可以防范数据收到来路不明的攻击。由于是处 于网络层的安全协议，i p s e c 协议可被上层的任何协议所使用，如t c p 、 u d p 、i c m p 、b g p 等等。i p s e c 的设计既适用于i p v 4 又适用于i p v 6 ， 它在i p v 4 中作为一个建议的可选服务，对i p v 6 是一项必需支持的功能。 i p s e c 其实是一个复杂的协议套件，它由几个相对独立的协议组成： e s p ( 封装安全载荷) 、a h ( 验证头) 和i k e( i n t e m e t 密钥交换) 。其中 e s p 协议主要用来处理对i p 数据包的加密。a h 用于为i p 数据包提供 数据完整性、数据源验证以及些可选的、有限的抗重播攻击服务。i k e 北京交通大学硕士学位论文基于i p v 6 ，i p v 4 双栈的i p s e c i k e 的分析与测试 协议用于在两个通信实体之间安全秘密的协商所要采用的算法，并生成 进行i p s e c 处理所需要的会话密钥。i p s e c 协议是为i p v 4 和i p v 6 提供 可互操作的、高质量的基于密码的安全性。提供的安全服务系列包括接 入控制、无连接完整性、数据源验证、抗重播保护、机密性( 加密) 、 有限通信流机密性。这些服务在i p 层提供，保护i p 和或上层协议。 现如今网络安全正越发成为企业关心的重要问题。i p s e c 是业界一 种主要的数据通道和加密技术。作为目前唯一能为任何形式的i n t e m e t 通信提供安全保障的协议，i p s e c 一问世就立即受到了全世界的瞩目， 并被业界普遍接受和应用。各种应用程序可以享用i p 层提供的安全服 务和密钥管理，而不必设计和实现自己的安全机制，因此减少密钥协商 的开销，也降低了产生安全漏洞的可能性。i p s e c 可连续或递归应用， 在路由器、防火墙、主机和通信链路上配置，实现端到端安全、虚拟专 用网络( v p n ) 和安全隧道技术。而且，i p s e c 技术的出现为v p n 的实 现提供了一种优越的途径，它已经成为构建虚拟专用网的基础。此外， 随着i p v 6 在国际和国内的大规模商用，i p s e c 前景广阔，将在未来几十 年或者更长的时间里担当起未来网络安全卫士的重任。 1 2 论文选题意义 当前，与如火如茶的大规模网络建设相比基于i p v 6 下一代互联 网的应用在我国却面临着一定困难。究其原因，主要是i p v 4 投资回报 尚低，运营商还需要时间收回成本。因此，i p v 6 的商用初期，必须解 决与i p v 4 共存的问题。所以本文将研究方向定位在支持i p v 4 i p v 6 双栈 上，有着更实用的现实意义。 另外，协议是整个网络的灵魂，而i p s e c 协议族作为保证整个网络 北京交通大学硕士学位论文基于i p v 6 i p v 4 双栈的i p s e c i k e 的分析与测试 安全通信的主要协议，也日益成为i n t e r n e t 的灵魂。协议测试是保证协 议实现其目标性能的有效手段，对于i p s e c 协议的测试日益成为众多科 研人员所关注的热点和工程实践的必要环节。随着各种i p s e c 产品陆续 推出，由于对应同一标准却存在许多不同的实现版本，所以为了保证各 种实现版本与i p s e c 协议标准一致及相互之间能够安全、可靠地相互通 讯，就需要对各i p s e c 协议实现进行协议的一致性测试。但目前协议测 试工作和成果主要集中于基本协议的测试，而对于i p s e c 协议族的测试 相对较为薄弱。适于基本协议测试的测试方法和测试系统对于i p s e c 协 议族测试的适用性在理论和实践上均面临着挑战。中华人民共和国信息 产业部曾制定了一套基于i p v 4 的路由器测试规范，但目前还没有针对 i p v 6 以及i p s e c i k e 协议族的统一的协议测试标准，更没有针对双栈技 术的、适用于多种操作系统平台的完整的测试系统。不仅如此，消费者 在购买产品时，只能凭营业或开发人员的推荐，并无实际可以参考的国 家标准依据。这将严重影响i p v 6 和i p s e c 产品的商用进程。所以随着因 特网向i p v 6 过渡步伐的加快，迫切需要制定出一套完善的基于i p v 6 的包 括i p s e c i k e 协议组件在内的协议测试规范，以保证世界各地采用i p s e c i k e 协议的网络可以协调一致的工作。况且在当前，中国的计算机网络 市场充斥着大量的国外产品，而我们正投入大量的人力物力推进国产化 进程。在这个过程中，开展对i p s e c 协议族的测试研究不仅能使我们拥有 自主的知识产权，同时更是中国未来互联网产品正确性、可靠性以及计 算网络安全性的有力保证。 因此在这种情况下，本论文着手研究适用于多操作系统平台的、支 i p v 6 i p v 4 双栈的i p s e c & i k e 测试系统，不仅是对我国出台统一的、完 善的测试系统的有益尝试，也可用于各公司的i p s e c 产品的测试工作， 同时也对i p v 6 在几年后的大规模商用有着积极的现实意义。 北京交通大学硕士学位论文基于i p v 矾p v 4 双栈的i p s c c i k e 的分析与测试 1 3 国内外研究现状 从1 9 9 3 年初i e t f 成立了i p s e c 工作组进行i p s e c 的研究和探讨开始， 到现在已近1 1 年。在这1 1 年中间，i p s e c 由最初的雏形发展到现在形成 了较为完善的体系方案：在1 9 9 8 年1 1 月i p s e c 工作组公布了 r f c 2 4 0 1 一r f c 2 4 1 2 ，不仅将i s a k m p 和o a l 【l e y 制定成为标准，并且修改 了r f c l 8 2 5 r f c l 8 2 9 做为新的r f c 公布，所以r f c 2 4 0 1 为基础的这一 系列文档成为i p s e c 协议较为完整的文档。并且从9 8 年末开始，对i p s e c 开始逐步完善，这些完善工作包括：定义、修改和完善s a 、i k e 协议及 所用到的加密和鉴定算法；新成立i p s p ( i ps e c 谢t yp o l i c y ) 工作组来 解决i p s e c 策略管理机制及其协议的修改、完善和标准化工作等等。并 且在近年，为适应移动性的发展，还提出了j f k ( j u s tf a s tk e y i n g ) 和i k e v 2 的草案，以实现增强密钥协商对移动性、更安全性的支持，和提高处理 效率的目标。目前还在继续完善的过程中。 i p s e c i k e 的测试属于协议测试范畴。协议测试从七十年代开始受 到研究人员的重视，并投入了大量的人力物力从事这方面的研究。围绕 着协议，已经开展了各种各样的研究，从而形成了一个新的学术领域一 一协议工程学。协议测试是协议工程学的一个重要分支。由于一个标准 的协议的各种实现之间并不能确保成功可靠地通信，所以协议测试研究 应运而生。在过去的几十年间，将协议测试的研究分成一致性测试、互 操作性测试和性能测试分别进行研究。而且，协议测试的研究是由国际 标准化组织倡导的，其中很多概念都是基于开放系统互联o s i 的7 层参考 模型。 许多计算机厂家和实验室也纷纷推出自己的测试系统和测试仪。例 如：美国s p i r e n t 公司的协议一致性测试仪、加拿大i d a c o m 公司的o s i 北京交通大学硕士学位论文基于i p v 6 p v 4 双栈的i p s e c i k e 的分析与测试 协议一致性测试仪、美国a l c a t e lt i t n 公司的0 s i 协议一致性测试系 统x r t l e 、美国a l c a t e l 公司的0 s i 协议一致性测试仪系列、美国惠普 公司的测试仪系列、法国的一家实验室的跨式测试系统以及柏林的g o r 科学研究院的计算机技术与信息协会开发的t e k o s 测试系统等。领先的 网络仪表厂商i x i a 在2 0 0 3 年推出针对网络安全测试的i p s e c 测试工具。 i x i a 的新设备集成了他们获奖的以太网流量发生器以及实时流量管理 软件。i x i a 的自动网络校准库a n v l 也是业界领先的协议测试标准。i x i a 针对i p s e c 的测试还特别增加了5 0 0 个测试案例。i x i a 表示他们的设备 在一台机器集成了性能测试和标准符合测试两个方面，可以解决目前 i p s e c 测试的大部分问题。韩国情报通信部与韩国情报保护振兴院( k i s a ) 合作研制了一套适用于资讯保护制品的标准测试系统，并着手开发针对 虚拟私设网( v p n i p s e c ) 等部分的标准测试系统。 近几年来，中国的很多研究机构也投入了大量精力进行网络协议测 试工作的研究。这其中主要有清华大学计算机系网络实验室，开发了一 套测试集自动生成系统；中科院的网络测试实验室，进行了较多对基本 网络协议和测试技术的研究，初步开发了基于i p 协议的一致性测试软 件；华为、中兴等网络设备厂商，他们由于需要对自己的产品进行测试 也进行了一些针对自己产品的协议测试工作。这些单位主要是对i p v 4 下的基本协议和i p s e c 协议部分内容进行测试。由于各个实验室的大量 投入，协议一致性测试技术已经取得了不少成绩，并在不断地发展完善 中。北京交通大学i p 网络实验室作为国内最早从事i p v 6 网络技术研究的 机构，对于i p v 4 和i p v 6 下的i p s e c i k e 协议进行了长期大量的研究，开 发了一套兼容i p v 4 和i p v 6 的协议测试系统。 北京交通大学硕士学位论文基于i p v 酎i p v 4 双栈的i p s e c i k e 的分析与捌试 1 4 论文的项目来源 2 0 0 2 年5 月北京交通大学电子学院i p 网络实验室签订并启动了“国 家高技术研究发展计划( 8 6 3 计划) 高性能i p v 6 路由器协议栈软件项 目f 项目编号：2 0 0 l 从1 2 1 0 1 4 ) ”。本项目的目标是面向下一代互联网的 发展趋势与需求，研究高性能路由器i p v 6 协议实现技术，自主开发完 成i p v 6 协议栈软件，形成具有自主知识产权的协议软件实现技术，突 破高性能路由器研制过程中软件严重滞后的瓶颈，为高性能i p v 6 路由 器的研究开发及产业化提供关键技术支撑。其中路由器协议栈软件主要 涉及到以下五个协议的实现：路由协议i 己i p n g ，o s p f v 3 ，b g p 4 + ； 网管协议s n m p v 3 ；安全协议i p s e c 。本论文构建在此项目的 i p s e c 协议实现上，具体来说就是在v x w o r k s 和实时l i n u ) ( 两种操作系 统下实现支持i p v 4 和i p v 6 双协议栈的i p s e c 协议。 本项目组在多年信息网络的研究，特别是i p v 6 相关技术研究成果 基础上，按照科学研究的继承性、可持续发展和创新原则，利用自己开 发的i p v 6 路由器平台，开发研制了可以在单处理器和分布式多处理器 硬件平台上运行的、基于v x w o r k s 和实时l i n u x 两种操作系统的、能 够与i p v 4 协议栈实现互连互通的、具有多操作系统移植性、稳定性、 能方便地运行于“8 6 3 ”i p v 6 硬件平台、兼顾效率的“高性能i p v 6 路由 器协议栈软件”。 本论文的来源是课题的重要组成部分一i p s e c 协议体系在实时 l i n u x 和v x w o r k s 两套操作系统下的支持i p v 4 ，v 6 双栈的具有可移植性 的软件实现。主要工作集中在整个i p s e c 子系统的研究和测试工作。测 试作为整个协议栈软件工作的一部分对于整个软件的质量保证具有非 常重要的作用。通过测试工作，可以发现软件中潜存的b u g 找到代 北京交通大学硕士学位论文基于i p v 6 ，i p v 4 取栈的i p s e c i k e 的分析与测试 码实现上不符合协议标准的地方，给开发人员提出需要解决的问题。 测试工作的第一步从2 0 0 2 年7 月开始到2 0 0 3 年1 月，主要是相关 i p s e c & i k e 协议和测试理论的学习和研究，制定整个测试的计划，并规 划测试的方案和具体的工作；第二步从2 0 0 3 年2 月到2 0 0 4 年5 月，主 要是具体的测试工作，包括编写测试用例，根据测试用例搭建测试环境 并进行测试，总结测试结果并对修改后的代码进行二次测试等。第三步 是2 0 0 4 年5 月，完成测试报告的文档编写。 1 5 论文主要工作和结构 论文的工作主要包括以下几个方面： 1 在学习和理解i e t f 制定的系列相关标准的基础上，深入剖析了 i p s e c 协议体系和具体实施方法，了解其中各个组成部分的作用及相互 之间的关系。 2 深入分析了i k e 协议，介绍了它的组成、协商机制和具体协商过 程。 3 分析了软件测试的一般性理论，介绍了软件测试的目的、原则和 发展方向，介绍了软件测试中最常用的黑盒测试和白盒测试技术。 4 学习l i 叫x 和v x w o r k s 操作系统下的编程，分析了这两套操作系 统的网络部分内核代码：并对用c 语言实现的源代码进行编译调试。 5 进行协议的一致性测试。主要包括列举测试点，编写测试用例， 搭建测试环境并进行测试，给出测试结果分析。 6 总结测试工作，指出下一步要继续加强和完善的地方。 7 ，跟踪i p s e c 安全体系和i k e 协议以及测试技术的发展方向。 论文结构如下： 北京交通大学硕士学位论文基于i p v 6 ，i p v 4 双栈的i p s e c i k b 的分析与测试 第一章绪论，介绍论文研究背景和选题意义，给出论文总纲。 第二章i p s e c & i k e 协议体系研究，分析i p s e c 和i k e 协议族的原理 和基本概念，给出了他们的实现过程。 第三章软件测试理论与技术研究，介绍测试的基本原理和本论文采 用的测试技术，分析i p s e c & i k e 测试的特点。 第四章i p s e c & i k e 协议测试，介绍具体测试环境、测试方法，并给 出具体测试例和测试结果。 第五章总结与展望，总结论文工作并跟踪相关技术发展方向。 1 0 北京交通大学硕士学位论立基于v 6 仃p v 4 双栈的i p s c c i k e 的分析与测试 第二章i p s e c i k e 协议体系研究 2 1i p s e c 综述 i p s e c 是一整套协议包而不只是个荦独的协议，仅涉及i p 层安全， 这种安全通过加密和协议安全机制的组合来实现。口s e c 协议把多种安 全技术集合到一起，从而建立起一个安全、可靠的隧道。在i p s e c 安全 体系结构中包括了3 个虽基本的协议：a h ( a u c h e n t i c “o nh e a d e r ) 协 议为i p 包提供信息源验证和完整性保证；e s p ( e n c 印s u l a t i n gs e c u r 时 p a y l o a d ) 协议白j 咀提供验证和加密保证，有超级a h 之称；密钥交换 协议i k e ( i n t e m e tk e ye x c h a l l g e ) 提供双方交流时的共享安全信息，i k e 协商的参数同协议本身分隔开来实现的。协商的参数被归于一个单独的 文档内，名为i p s e c 解释域，或者i p s e cd o i 。e s p 和a h 协议都有相 关的一系列支持文件，规定了加密和认正的算法。此外，p s e c 的安全体 系结构还包括存储安全联盟s a ( s e c u r 吣a s s o c 血i o n ) 的安全联盟数据 库s a d b ( s e c 删_ ya s s o c i a t i o nd a t a b a s e ) 和存储安全策略s p ( s e c i 】r 畸 p o u c y ) 的安全策略数据库s p d b ( s e c 删t yp o l i 。yd a t a b a s c ) 。密钥管理 进程和i p s 内核之间采用p fk e y 接口进行通信。其结构体系下图所 进程和口s c c 内核之间采用p fk e y 接口进行通信。其结构体系下图所 刁r ： 北京交通大学硕士学位论文基于i p v 6 九p v 4 双栈的i p s c c i k e 的分析与测试 图2 1i p s e c 结构体系 2 1 1i p s e c 提供的安全服务 i p s e c 通过激活系统所需要的安全协议、确定用于服务的算法及所 要求的密钥来提供安全服务。i p s e c 可用来保护一条或多条介于主机之 间、安全网关之间或主机和安全网关之间的数据通道。 i p s e c 所能提供的安全服务集包括访问控制、无连接完整性、数据 源认证、重播保护( 各部分的序列完整) 、机密性( 加密) 以及有限传 输流量的机密性。由于这些服务在i p 层提供，能被更高层次的协议所 利用( 如：t c p 、u d p 、i c m p 、b g p 等) ，并且对于应用程序和终端用 户来说是透明的，所以，应用和终端用户不需要更改程序和进行安全方 面的专门培训。 访问控制访问控制是指防止未经授权对资源进行访问。 i p s e c 中，需要进行访问控制的资源通常指主机中的数据和计 算能力、安全网关内的本地网及其带宽。i p s e c 使用身份认证 机制进行访问控制。 数据源认证数据源认证对数据来源所声明的身份进行验证， 北京交通大学硕士学位论文基于i p v 6 n p v 4 双栈的i p s e c i k e 的分析与测试 通常与无连接数据完整性相结合。i p s e c 使用消息鉴别机制实 现数据源认证服务。 机密性和有限传输流量的机密性相应的接收者能获取发送 的真正内容，而无意获取数据的接收者无法获知数据的真正 内容。有限传输流量的机密性服务是指防止对通信的外部属 性( 源地址、目的地址、消息长度和通信频率等) 的泄露， 从而使攻击者无法对网络流量进行分析，推导其中的传输频 率、通信者身份、数据包大小、数据流标识符等信息。 无连接完整性和抗重播无连接完整性服务对单份数据包是 否被修改进行检查，而对数据包的到达顺序不作要求。i p s e c 使用数据源认证机制实现无连接完整性服务。i p s e c 的抗重播 服务，亦称为部分序号完整性服务，是指防止攻击者截取和 复制i p 包，然后发送到目的地。i p s e c 根据i p s e c 头中的序 号字段，使用滑动窗口原理，实现抗重播服务。 上面的服务都在i p 层上实现。a h 提供无连接完整性、数据源认证 和可选的防重播服务。e s p 协议可提供机密性和受限传输流机密性；还 可提供无连接完整性、数据源认证和防重播服务。这些协议可单独使用 或组合使用，以提供所希望的安全服务。 i p s e c 允许用户( 或系统管理员) 控制安全服务的粒度。如：单个 加密隧道用于两个安全网关间所有的传输或在通过网关的两台主机间 为每个t c p 连接建立独立的加密隧道。i p s e c 在使用何种安全服务和何 种组合、给定的安全保护采用何种粒度、采用何种加密的算法方面体现 了很大的灵活性。 由于这些安全服务使用共享的安全值即加密密钥，因此i p s e c 必须 依赖于一套独立的密钥管理机制。 北京交通大学硕士学位论文基于i p v 6 ，i p v 4 双栈的i p s e c i k e 的分析与测试 i p s e c 提供了一个基于公钥体系的实现方法i k e ，并要求支持手工 和自动密钥分发。在i p s e c 中采用了多种密码技术。同时，也可以采用 其他自动密钥分发技术，如：基于k d c 的系统( k e r b e r o s ) 和其他公钥 系统。 i p s e c 较好地融合了加密技术和访问控制技术，实现了在主机或安 全网关环境中对i p 传输的保护。这种保护或者基于安全策略数据库 ( s p d ) 中定义的需求，或者基于由应用定义的需求。通常，报文按s p d 数据库中匹配的情况，根据i p 和传输层的头信息选择提供i p s e c 安全 服务、丢弃或允许旁路( b y p a s s ) ，这是根据筛选器标识的相应数据库 策略来确定。 i p s e c 可以运行于网络的任意一部分，它可以在路由器和防火墙之 间、路由器和路由器之间、p c 机和服务器之间、p c 机和拨号访问设备 之间，为各种分布式应用提供安全，可保证l a n 、专用和公用w a n 以 及i n t e m e t 的通信安全。 2 1 2i p s e c 的工作模式 i p s e c 有两种工作模式：通道模式( t u n n e lm o d e ) 和传送模式 ( t r a n s p o r tm o d e ) ，封装安全载荷( e s p ) 协议和验证头( a h ) 协议都 可以工作与这两种模式下。但在实际应用中，我们并不采用通道模式中 a h ，因为它保护的数据与传送模式中的a h 保护的数据是一样的。 a h 和e s p 头在通道和传送模式之间不会发生变化。两种模式的区 别是在于它们保护的东西不同，一个是i p 包，一个是i p 载荷。对传送 模式所保护的数据包而言，其通信终点必须是一个加密的终点。在隧道 模式，通信终点便是由受保护的内部头指定的地点，而加密终点则是那 北京交通大学硕士学位论文基于i p v 6 i p v 4 双栈的i p s e c i k e 的分析与测试 些由外部i p 头指定的地点。在i p s e c 处理结束的时候，安全网关会剥 离出内部i p 包，再将那个包转发到它最终的目的地。 2 1 2 1 传送模式 在传送模式中，a h 和e s p 保护的是传送头。在这种模式中，a h 和 e s p 会拦截从传送层到网络层的数据包，并根据具体的配置提供安全保 护。 如果没有启用安全保护时，传送层( 比如t c p 和u d p ) 数据包会流 入网络层( i p ) ，i p 会在其中增加i p 头，然后转到数据链路层。如果 在传送层启用了安全保护，传送层的包会流入i p s e c 组件。i p s e c 组件 作为网络层的一部分来实现( 与o s 集成在一起时) 。i p s e c 组件会增加 a h ；增加e s p ；或者两个头都增加。随后，会调用网络层的一部分，令 其增加网络层的头。 只有在要求端到端的安全保障时，才能使用i p s e c 的传送模式。正 如前面指出的那样，路由器主要通过检查网络层来作出路由决定，而且 路由器不会、也不应该改变网络层头之外的其它东西。如果通过路由器 为数据包流插入传送模式的i p s e c 头，便违反了这一规则。 a h 和e s p 两者都在传送模式中使用时，首先应该应用e s p 。原因很 明显：如果先用a h 保护传送包，再用e s p ，数据的完整性便只能适用 于传送载荷，因为e s p 头是在以后增添的，如图2 2 所示。 图2 2 使用e s p 和a i 保护的数据包格式 如果先用e s p 保护以后，再用a h 重新保护一遍数据包，那么数据 的完整性就能同时应用于e s p 载荷，其中包含了传送载荷，如图2 3 所 北京交通大学硕士学位论文 基于i p v 6 ，i p v 4 双栈的i p s e c i k e 的分析与测试 不。 图2 3 使用a h 和e s p 保护的数据包格式 2 1 2 2 通道模式 在数据包最终目的地不是安全终点的情况下，或者在使用了b i t s 或b i t w 实施方案的情况下，通常需要在通道模式下使用i p s e c 。假如 安全保护能力需由一个设备来提供，而该设备并非数据包的始发点( 比 如在v p n 的情况下) ；或者数据包需要保密传送到与实际目的地不同的 另一个目的地，便需要采用通道模式。路由器为自己转发的数据包提供 安全服务时，也要选用通道模式。 在通道模式中，i p s e c 在一个i p 包内封装了i p s e c 头，并增加了 一个外部i p 头，如图2 4 所示。 i p 头le s p 头 i p 头i 网络载荷l 图2 4 受通道模式保护的i p 包 内部头由主机创建，而外部头是由提供安全服务的那个设备添加的。提 供安全服务的设备既可以是主机，也可以是一个路由器。如果安全保护 服务是以端到端的形式提供的，那么用传送模式还要好一些，因为它不 会添加额外的i p 头。i p s e c 同时为a h 和e s p 定义了通道模式。i p s e c 还支持嵌套通道。 2 1 3i p s e c 实施 i p s e c 的实施灵活性很强，它可在终端主机、网关路由器或两者中 间进行实施和配置。至于它到底在网络的什么地方配置，则由用户对安 1 6 北京交通大学硕士学位论文基于i p v 6 n p v 4 双栈的m s e c i k e 的分析与测试 全保密的要求来决定。 在主机实施有下列好处：保障端到端的安全性、能够实现所有的 i p s e c 安全模式、能够逐数据流提供安全保障可保障端到端的安全；在 建立婵s e c 的过程中，能够维护用户身份验证的场景等。 主机实施可分成两类： 1 与操作系统( o s ) 集成实施，将其作为网络层的一部分嵌入， 需要i p 层的服务来构建i p 头。如下图2 5 所示； 图2 5 i p s e c 与o s 集成实施 2 在协议堆栈的网络层与数据链路层之间实施，作为两者之间的一 个“楔予”使用，我们称其为“堆栈中的肿块( b i t s ) ”实施方案。如 下图2 6 所示 i 善；瘟厢蓦j p i 传遴层 i _ 网络层 ； 蠹 蓦l p s e e 层 。 器： ； j 数据链潞瑶l 图2 6b i t si p s e c 堆栈的分层 如在路由器中实施，可在网络的一部分中对传输的数据包进行安全 保护。在路由器中实施有下列优点：能对通过公用网络在两个子网之间 流动的数据提供安全保护：能进行身份验证，并授权用户进入私