（通信与信息系统专业论文）嵌入式linux下ipsec的研究与实现.pdf

北京交通大学硕士学位论文摘要 摘要 随着网络技术的不断普及，越来越多的人已经将网络作为自身生活 的一部分，然而随之而来的网络安全问题却同时困扰着众多网络用户。 如何能够更好地保护使用者的私有信息不泄露给他人；保护用户网上交 易的安全性；保护人们避免受到“黑客”的恶意攻击，是目前网络用户 最为关心的问题之一。 作为i e t f 工作组颁布的新一代网络安全协议，i p s e c ( i ps e c 皿t y ) 对于改善目前的网络安全现状具有重要的意义。该协议通过使用合理的 密钥协商方式，灵活运用各种加密，验证算法，对网络数据提供完整性、 机密性和合法性保护。鉴于目前承载i p s e c 协议的平台大多为非实时性 的系统，在软件体积及功耗、性能等方面存在一定不足，进行二次开发 较为困难。因此本文提出的在实时嵌入式操作系统嵌入式l i n u x 下实 现i p s e c 协议的方案，具有一定的实用性及创新性。 本论文的主要工作包括：介绍了i p s e c 协议的主要内容和其安全 处理过程；阐述了嵌入式系统，特别是嵌入式l i n u x 系统的优势； 跟踪口s e c 协议的最新发展和延伸( i k e v 2 协议) ，对比新旧协议的区 别；提出了一种嵌入式l i n u ) 【系统下实现i p s e c 的方案，并初步实现 了协议的基本功能；搭建网络环境，测试移植后安全协议的功能： 针对n a t 和移动网络中的应用，提出改进i p s e c 协议的思路，并设想 了今后网络安全的进一步发展。 关键字：嵌入式l i n u x 系统 i p s e ci k e v 2 北京交通大学硕士学位论文 独创性说明 本人声明所呈交的论文是我个人在导师指导下进行的研究工作及 取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外， 论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得北 京交通大学或其他教育机构的学位或证书而使用过的材料。与我一同工 作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表 示了谢意。 签名：耻日期：型二翌 关于论文使用授权的说明 本人完全了解北京交通大学有关保留、使用学位论文的规定，即： 学校有权保留送交论文的复印件，允许论文被查阅和借阅：学校可以公 布论文的全部或部分内容，可以采用影印、缩印或其他复制手段保存论 文。论文中所有创新和成果归北京交通大学电信学院i p 网络实验室所 有。未经许可，任何单位和个人不得拷贝。版权所有，违者必究。 一扭聊勿辉嗍照一 北京变通大学硕士学位论文第一章绪论 1 1 研究背景 第一章绪论 网络的发展正迅速地改变着人们的生活，它带给了人们新的学习、 工作和娱乐的方式。甚至可以说，网络正在成为一种方式。但是，在网 络提供给人们无数机会、便捷，并将绚丽多彩的世界展现在人们面前的 同时，也带来了一些新的问题。例如，人们的生活越来越依赖于网络及 其存储的信息，一旦网络由于某种原因发生故障，陷于瘫痪，人们的生 活也必然受到极大的影响。此外，更为严重的就是安全问题，计算机犯 罪的日益增多对网络的安全运行和进一步发展提出了严峻的挑战。 面对这种安全考验，为了增强网络的安全性，i p s e c ( i n t e m e tp r o t o c o l s e c 面t y d 安全) 协议应运而生。自从1 9 9 8 年1 1 月被i e t f ( 因特网工 程任务组) 公布出来后，d s e c 协议历经5 年的不断摸索和完善，到目 前为止已经形成了一套初步成形的安全协议族。其中主要包括：认证头 ( a h ) 【2 4 】、封装安全载荷( e s p ) 【2 5 】、i n t e m e t 密钥交换( i k e ) 【2 8 1 、 公共密钥基础设施( p ) 等协议。可以说，每一项协议都包含了丰富 的内容，协议之间既可以单独使用，也可以相互配合以完成更为复杂的 功能。其中a h 为i p 包提供数据完整性和验证服务：e s p 为i p 数据包 提供数据源验证、数据完整性、抗重播和机密性安全服务；i k e 为a h 和e s p 提供了密钥交换机制；p 为i k e 提供一种应用更为广泛的密 钥交换认证机制。可以说，综合考虑各类网络环境的特点，并配合其 他安全方式共同使用i p s e c 协议，能够为系统的安全等级带来很大的改 善。 北京交通大学硕士学位论文第一章绪论 1 1 1i p s e c 协议的现状及实现 目前，对于i p s e c 协议的研究正处于不断完善之中，仅仅m t f 工作 组中与i p s e c 协议相关的讨论组就有五个：i p s e c 工作组、i p s e c k e y 工作 组、m o b i k e 工作组、p k i 4 i p s e 工作组、和i p s p 工作组。其主要研究的内 容为： i p s e c 工作组：主要进行i p s e c 相关协议的制定、密钥产生管理 方式的设计以及某些情况( 如穿越n a t 和防火墙) 下i p s e c 协 议的使用。 i p s e c k e y 工作组：设计一种使用在d n s ( d o m a i nn a m es y s t e m 域名系统) 中的特殊的i p s e c 源报告方式，这种报告可以用来 替换i p s e c 子类型中的源密钥报告功能。 m o b i k e 工作组；主要进行i k e v 2 协议的扩展，使之能够适用于 移动i p 中多家乡( 一个主机同时具有多个i p 地址) 的情况和 地址改变情况下不中断对i p s e c 主机的控制。 p k i 4 i p s e 工作组：主要任务是在i p s e c 协议标准中建立一个支持 p x 5 0 9 证书的架构。 i p s p 工作组：解决i p s e c 策略管理机制及其协议的修改、完善 和标准化工作。 总的来说，对i p s e c 协议本身的设计、改进和优化等方面的研究工 作大多数是由国外的研究机构完成的，国内对i p s e c 协议的研究普遍停 留在应用和实现之上。当然，近些年来国内的某些大型网络设备制造厂 商也开始加入到国际标准的制定中，并积极与各大专院校合作进行协议 的开发工作。 自从i p s e c 协议被提出之后，国内外各计算机厂商纷纷宣布对此协 北京交通大学硕士学位论文 第一章绪论 议的支持，并积极研制相应的产品。 支持i p s e c 协议和相关协议的产品， 由器和各种电子签证机构。 目前，各类厂商已经开发出了大量 主要包括：防火墙、v p n 、安全路 国外的相关产品有：t i m e s t e p 公司的p e r m i te n t e r p r i s e ；v p n e t 公司的v s u1 0 1 0 、c h e c kp o i n tv p n 一1 、n e t s c r e e n - 1 0 0 0 ：c i s c o c a t a l y s t6 5 0 0 系列和c i s c o7 6 0 0 系列互联网路由器设计的i p s e cv p n 服 务模块：j u l l i p e r 网络公司的m 系列路由器中的i p s e c 业务模块；惠普 9 0 0 0s u p e r d u m e 服务器支持i p s e c 的v p n ；此外，安氏的领信防火墙也 在一定程度上支持了i p s e c 协议。 国内的相关产品有：青鸟网关防火墙j b f w l 、天融信公司的网络 卫士防火墙系统n gf w 2 0 0 0 、东大的网眼防火墙n e t e y e 、绿盟科技的 系列网络安全产品、中科网威“长城”防火墙，它们都在不同程度上实现 了i p s e c 协议。 对于操作系统的支持，i p s e c 协议主要分为两类：自由操作系统( 各 种l i n u x 系统、b s d 系统等类u n i x 系统) 和商业操作系统( m i c r o s o r 的w i n d o 、s 系统、s u n 的s o l a r i s 系统、w i n d 黜v e r 的v x w o r k s 系统等) 。 这些系统或者将i p s e c 协议作为可选的模块，通过安装时选取相应的选 项来实现对所选系统的支持，再另外安装i p s e c 协议的工具包( 如l i n u ) ( 系统和v x w b r k s 系统等) ；或者直接将i p s e c 协议做入系统内，用户只 需通过安装系统、简单配置就可以实现i p s e c 协议的全部或部分功能( 如 w i n d o w s 系统) 。 1 1 2 嵌入式l i n u x 系统的现状 随着近年来计算机技术的不断发展，嵌入式操作系统作为操作系统 领域的一个重要的分支也取得了长足的发展。小到m p 3 、p d a 等微型 北京交通大学硕士学位论文第一章绪论 数字化设备，大到信息家电、智能电器、车载g i s ，各种新型嵌入式设 备的使用在数量上已经远远超过了通用计算机。 由于l m 1 1 ) ( 系统的独特优势，使得越来越多的企业和科研机构把目 光转向了嵌入式l i 肌x 的开发和研究上。目前，国外的嵌入式l i n u x 系 统主要有： m o n t a v i s t al m u x ：由业界领先的嵌入式l i n u ) ( 解决方案供应商 m o n t “i s t a 软件公司开发的嵌入式l i n l l x 操作平台。其最新版 本广泛地支持各类嵌入式应用，为通信基础设施、网络、消费 电子、仪表以及工控设备提供标准的嵌入式l i n u ) ( 平台。 u c l i n u x ：专为无存储器管理单元( m m u ) 的微控制器打造的 嵌入式l i n u x 操作系统。 e m b e d i xd e m o ：l i n c o 公司的e m b e d i x 是一种嵌入式l i n u ) ( 软 件解决方案，通过增加与l i n u x 的连通性来定制嵌入式设备。 它基于流行的桌面l i n u x ，目前可在m o t o r o l ap o w e r p c 、x 8 6 、 m i p s 和s u p e r h 上使用，并提供l i n u x 的能源、特性选择的灵 活性，可使设备制造商为多个解决方案创建定制内核的硬件支 持。 b 1 u e c a t ：b l u e c a tl i n u x 是著名的开放源代码以及实时嵌入式解 决方案供应商l y n u x w o r k s 公司的舰旗产品。支持多种处理器， 包括i n t e l x s c a l e 、i n t e l i x p l 2 0 0 网络处理器、嵌入式i n t e l a r c h i t c c t u r e 等。 国内的嵌入式l i n u x 产品也比较丰富，主要包括： p o c k e t ：由博利思软件有限公司开发的第一个中文嵌入式 l i n u x 。 移软嵌入式l i m 一m l i n u x ：基于嵌入式l i n u x 系统的软件平 北京交通大学硕士学位论文第一章绪论 台，它主要为手机、掌上电脑、寻呼机等移动终端设备设计。 泛友j i n u x ：由泛友科技有限公司开发的通用型嵌入式系统平 台和应用软件平台，它是由j a v a 、l i n u x 、m 、 h t m l ) ( m l h t m l 等数项技术整合而成的核心技术和解决 方案。 中软实时嵌入式l i n u x 系统：在中软l i i l u x 标准版系列产品的 基础上，自主开发的适合各行业应用的实时嵌入式系统平台。 综合考虑国内外的各嵌入式l i n u x 产品，由于国外相关产品的起步 较早，技术积累较为雄厚，因此无论是在系统性能或者功能上，国外的 同类产品都要优于国内的产品。尤其是在系统的稳定性和对网络协议的 支持上，我们的产品与国外产品都有一定的差距。 特别是对网络安全协议i p s e c 的支持上，目前国内外都还没有专门 的可以支持高版本嵌入式l i n u x 的产品。由于对一个国家的安全产品来 说，在国家的党政机关、事业单位和军队不可能直接采用国外的现有产 品来保护各类敏感信息，因此能否开发出具有自主知识产权的安全产品 对目前我国网络安全建设来说极为重要。 1 2 研究意义 我们可以从不同角度对网络安全作出不同的解释。一般意义上，网 络安全是指信息安全和控制安全两部分。国际标准化组织把信息安全定 义为“信息的完整性、可用性、保密性和可靠性”；控制安全则指身份 认证、不可否认性、授权和访问控制。 互联网与生俱有的开放性、交互性和分散性特征使人类所憧憬的信 息共享、开放、灵活和快速等需求得到满足。网络环境为信息共享、信 息交流、信息服务创造了理想空间，网络技术的迅速发展和广泛应用， 北京交通大学硕士学位论文第一章绪论 为人类社会的进步提供了巨大的推动力。然而，正是由于互联网的上述 特性，产生了许多安全问题： a ) 信息泄漏、信息污染、信息不易受控。例如，资源未授权侵用、 未授权信息流出现、系统拒绝信息流和系统否认等，这些都是信息安全 的技术难点。 b ) 在网络环境中，一些组织或个人出于某种特殊目的，进行信息泄 密、信息破坏、信息侵权和意识形态的信息渗透，甚至通过网络进行政 治颠覆等活动，使国家利益、社会公共利益和各类主体的合法权益受到 威胁。 c ) 网络运用的趋势是全社会广泛参与，随之而来的是控制权分散的 管理问题。由于人们利益、目标、价值的分歧，使信息资源的保护和管 理出现脱节和真空，从而使信息安全问题变得广泛而复杂。 d ) 随着社会重要基础设施的高度信息化，社会的“命脉”和核心控 制系统有可能面临恶意攻击而导致损坏和瘫痪，包括国防通信设施、动 力控制网、金融系统和政府网站等。 众所周知，下一代互联网协议i p v 6 是i p s e c 协议运行的最佳环境， 这是由于它在协议本身的结构设计上就充分考虑了安全问题，特别是如 何更方便地实现i p s e c 协议。同时，对于目前网络中主流的i p v 4 协议 来说，在其基础上配置i p s e c 协议也比较容易实现。目前的i p s e c 协议 不仅支持v p n ( 虚拟专用网) 和n a t ( 网络地址转换) ，在移动i p 方 面也有其适合的应用。这些i p s e c 的应用在当前的网络条件( 从i p v 4 网 络逐渐过渡到i p v 6 的网络环境) 下，对改善网络安全现状具有重要的 意义。 支持或者部分支持i p s e c 协议的操作有很多，包括w i n d o w s 操作系 统以及大量的类u n i x 系统。而以嵌入式l i n u x 为实现平台实现i p s e c 6 北京交通大学硕士学位论文第一章绪论 协议，具有许多独特的优势。采用这种方式不仅可以继承l i 叫x 系统本 身的各种优点：作为一种自由的多任务操作系统，其源代码公开，支持 多种类型的硬件平台。这对于受成本、时间限制的研究与开发项目是很 有吸引力的。另外，相对于传统l i n u x 需要在拥有硬盘和大容量内存的 p c 机上运行这一局限性，嵌入式系统经过小型化裁减并能烧入容量仅 有几百k b 到几m b 的存储介质内，不需要硬盘，也不需要各种复杂的 外设。最小的嵌入式l i n u ) ( 系统只需要包括以下几部分：启动程序、内 存管理、进程管理、硬件驱动程序、文件管理系统、必需的应用程序、 t c p i p 通讯协议。对于中低端网络用户而言，嵌入式l i n u ) 【+ i p s e c 将 会是一个非常不错的选择。同时，由于目前此类基于嵌入式l m u x 系统 的i p s e c 实现还不多见，因此本论文在这方面的研究具有一定的实用性 和创新性的。本文的思路是通过参照高版本l i n u x 系统的内核，对嵌入 式l i n u x 系统的内核进行修改，并将i p s e c 协议的代码移植到嵌入式系 统中，使其最终支持i p s e c 协议体系。 1 3 本文主要工作 本论文研究的内容属于“国家高技术研究发展计划( 8 6 3 计划) 高 性能i p v 6 路由器协议栈软件”项目中的子课题。主要研究在实时l i n u x 操作系统下实现支持双协议栈( i p v 4 和i p v 6 ) 的i p s e c 协议。作者在深 入研究了i p s e c 协议、嵌入式操作系统和l i n u x 系统内核原理与结构的 基础上，提出了通过系统移植来实现口s e c 协议的方法。 本论文的工作主要包括： 1 深入分析i p s e c 体系结构，介绍i p s e c 的原理和各子协议之间的 关系： 2 针对i p s e c 在移动领域中的应用，分析了最新的i k e v 2 协议与 北京交通大学硕士学位论文第一章绪论 最早的i k e v l 协议的区别； 3 介绍了嵌入式系统的发展和特点，在此基础上重点分析嵌入式 l i n u x 系统的构成和运行原理； 4 学习了嵌入式l i n u x 系统下的编译原理和程序设计语言； 5 在理解l i n u x 系统内部原理的基础上，提出通过系统移植的方 法，将i p s e c 协议从l i n u x 系统移植到嵌入式系统中； 6 通过简单的测试方案，验证移植的结果； 7 总结目前的工作，确定下一步研究的方向。 论文的主要结构为： 第一章绪论综述论文的研究意义、国内外研究现状和本论文的主 要工作。 第二章理论基础分析i p s e c 协议的体系结构、i k e v 2 协议的最新研 究以及嵌入式系统的理论和优势。 第三章i p s e c 协议的设计与实现提出了总体设计思想和各模块的 具体实现方案。 第四章测试与结果通过自己设计的测试方案验证移植的正确性。 第五章总结与展望总结目前完成的工作，分析对i p s e c 协议的改进 方案并提出未来研究的方向。 北京交通大学硕士学位论文第二章技术基础简介 第二章技术基础简介 2 1i p s e c 协议体系【2 2 1 1 协议构成 i p s e c 协议由一系列协议规范组成，除了r f c 2 4 0 1 ( i p 层协议安全 结构) 之外，还包括r f c 2 4 0 2 ( 验证头协议a h ) 、r f c 2 4 0 6 ( 封装安 全载荷协议e s p ) 、r f c 2 4 0 7 ( 用于i n t e m e t 安全联盟和密钥管理协议 i s a k m p 的i n t e m e t 安全解释域) 、r f c 2 4 0 8 ( i s 刖( m p 协议) 、i 心c 2 4 0 9 ( i n t e m e t 密钥交换协议i k e ) 、r f c 2 4 1 1 ( i p 安全文档指南) 和r f c 2 4 1 2 ( o a k l e y 密钥确定协议) 等。i p s e c 协议组件包括安全协议验证头 ( a h ) 、封装安全载荷( e s p ) 、安全联盟( s a ) 、密钥交换( i k e ) 以 及加密和验证算法等。各部分之间的关系见图2 1 。 a h 提供无连接完整性、数据源认证和可选的抗重播( a 埘- r c p l a y ) 服务；e s p 与a h 相比，还提供了机密性和有限的流量保密服务，并且 在提供认证服务时，其作用范围比a h 的作用范围窄：s a 通过在两个 通信实体之间协商建立一种协定，决定用来保护数据包安全的i p s e c 协 议、转码方式、密钥以及密钥的有效存在时间等等：i k e 被用于生成验 证和加密算法需要的密钥；加密和验证算法是保证数据传输是否安全的 根本因素。 i p s e c 协议即可以用来保护一个完整的i p 载荷，也可以用来保护某 个i p 载荷的上层协议，这是通过i p s e c 的两种不同的模式来完成的。 具体的保护情况见图2 2 。其中，传输模式用来保护上层协议；而隧道 模式用来保护整个i p 数据报。 北京交通大学硕士学位论文第二章技术基础简介 图2 1 i p s e c 协议各组件关系 在传输模式中，i p 头与上层协议头之间需要插入一个特殊的i p s e c 头；而在隧道模式中，要保护的整个i p 包都被封装到另一个i p 数据报 里，同时在外部与内部i p 头之间插入一个i p s e c 头。a h 和e s p 两种协 议都可以同时以传输模式或者隧道模式工作。这两种模式的最大区别就 在于通信的终点是否为加密的终点。对于传输模式来说，数据通信的终 点就是需要加密的终点，所以这种情况多用于终端之间的直接加密：隧 道模式则反之，其通信的终点并不就是需要加密的终点，因此，在安全 网关之间的加密传输多采用隧道模式。当然，在更为复杂的情况下，两 种模式也可以嵌套使用。 北京交通大学硕士学位论文 第二章技术基础简介 原始的，r 包 二至三二 二至三二圉 篇箍臣习三丑亘圈 揣梳臣习至丑至夏叵 图2 2 传输模式与隧道模式下数据包的受保护情况 2 1 2 安全协议a h 与e s p 验证头( a u t h e n t i c a t i o nh e a d e r ，简称a h ) 是种安全协议头，为 i p 包提供数据完整性和验证服务，通过使用数据完整性检查，可判定数 据包在传输过程中是否被修改；通过使用验证机制，终端系统或网络设 备可对用户或应用进行验证和过滤通信流；验证机制还可防止地址欺骗 攻击和重播攻击。 下一个头载荷长度保留 安全参数索引( s p i ) 序列号 验证数据 图2 3a h 头格式 a h 的格式如图2 3 所示，其中的s p i ( 安全参数索引) 字段和外部 头的目的地址一起，用来唯一地识别进行身份验证的安全联盟：序列号 用来提供对重播攻击的抵抗；验证数据字段用来保存加密m a c ( 消息 认证码) 的摘要。a h 协议中默认的、强制实施的加密m a c 是 h m a c m d 5 和h m a c s h a ，它们都是9 6 位的。 北京交通大学硕士学位论文第二章技术基础简介 封装安全载荷( e n c a p s u l a t i n gs e c u r i t yp a y l o a d ，简称e s p ) 也是一 种安全协议头，采用加密和验证机制为i p 数据包提供数据源认证、数 据完整性、抗重播和机密性安全服务。 e s p 的结构见图2 4 所示，一般来说，e s p 头会紧跟在i p 头之后。 与a h 的头一样，由在i k e 交换过程中目的主机产生的一个随机数s p i 和i p 头之前的目的地址标识一个s a ；通过一个独一无二的、单向递增 的、由发送端插在e s p 头的一个序列号来抵抗重播攻击；如果包含了 特殊的加密算法，那么还需要一个i v ( 初始化向量) 对此算法进行描 述；填充项保证了e s p 的边界；在数据验证字段同样保存着数据完整 性检验的结果一经过密钥处理的散列函数。需要注意的是，s p i 和序列 号是不需要进行加密的，这是由于它们并不被用来保证数据的机密性。 安全参数索引( s p i ) 序列号 初始化向量 要保护的数据 填充项 净充项长叫下一个头 验证数据 图2 4e s p 头格式 2 1 3i p s e c 的处理过程 对于i p s e c 包的处理，包括输入和输出处理。其中输出处理比较复 杂，首先处理从传输层传来的数据包，在i p 层检索s p d 数据库，判断 北京交通大学硕士学位论文第二章技术基础简介 应该为此数据包提供何种安全服务。这些安全服务可能包括以下三种情 况： 丢弃( d i s c a r d ) ：此时包不被处理，仅仅简单的丢掉。 绕过( n o n e ) ：此时i p 层会为载荷增加i p 头并发送i p 包。 应用( r e q u i r e ) ：此时如果已经建立了一个s a ，则返回指向这个 s a 的指针；如果没有建立s a ，则调用i k e 协商 建立s a 。然后，根据策略的规定选择是否进行 i p s e c 的处理，需要注意的是，在s a 正式建立之 前，数据包不会被传送出去。 输入处理相对比较简单，要根据收到的包是否包含i p s e c 头来决定。 如果没有，则根据策略( 搜索s p d 数据库) 选择进行丢弃、绕过或是 应用处理( 特别需要指出的是，如果策略规定进行应用处理，但是s a 没有被建立，那么此时同样会把数据包丢弃) ；如果包含i p s e c 头部， 则从i p 数据报中取出s p i 、源地址和目的地址，根据三元组 检索s a d b 数据库( 可根据需要加入源地址) 。经过协议 载荷处理和载荷校验( 包括检查s a 是否得当，以及s a 保护的传输层 协议是否符合要求) 后，将i p s e c 头剥离下来，并送交到下一层。 2 1 4 安全策略 策略是i p s e c 结构中非常重要的一个组件，它定义了两个实体之间 的安全通信特性；定义了在什么模式下使用什么协议；还定义了如何对 待i p 包。安全策略规定了为数据包提供的所有安全服务。在i p s e c 的 实施方案中，安全策略存放在一个名为s p d ( s e c 嘶t y p o l i c y d a t a b a s e 安 全策略数据库) 的数据库中，对于不同的安全应用可以随时增添、删除 和修改策略。与s p d 相关的是s a d b ( s a 数据库) ，它是用来维护i p s e c 北京交通大学硕士学位论文第二章技术基础简介 协议中的s a 记录的。在包处理的过程中，s p d 和s a d b 这两个数据库 需要联合使用。 对于外出通信，通过一个指针搜索s a d b 中的s a ，在s a 已经建 立的前提下它指向s a 或者s a 束。这些s a 或者s a 束就是根据策略要 求处理数据的依据：对于进入通信，首先对包进行安全处理，然后检索 s p d 数据库，证实采用的策略是否正确。需要说明的是，检索s p d 数 据库的依据是一个被称为“选择符”的数据。可以被用作选择符的有： 1 源地址源地址可以是通配符、地址范围、网络前缀或者指定的 主机。通配符用于对一个主机的所有包都采取同样策略的情况； 网络前缀和地址范围用于安全网关；指定主机的情况用于在安 全要求已经明确的前提下使用。 2 目的地址目的地址可以是通配符、地址范围、网络前缀或者指 定的主机。前三者用于隐藏在安全网关后的主机。 3 名字用于标识与有效用户或者系统名称相对应的策略。只有在 i k e 协商期间，名字字段才可以作为选择符使用。 4 协议在传送协议能够访问的情况下指定了传送协议( 很多情况 下，使用了e s p 协议，传送协议就无法访问，此时需要使用通 配符) 。 5 上层端口在进行面向会话的密钥交换是，上层端口代表源和目 的端口，因此真正使用协议的是这些端口。 2 2 嵌入式系统简介 2 2 1 嵌入式系统概述 嵌入式系统( e m b e d d e ds y s t e m s ) 被定义为：以应用为中心，以计 北京交通太学硕士学位论文第二章技术基础简介 算机技术为基础，软件硬件可裁剪，适用对功能、可靠性、成本、体积、 功耗严格要求的专用计算机系统。它一般是指非p c 系统，通过将微处 理器( c p u ) 或微控制器( m c u ) 的系统电路域其专用的软件平台相 结合，来达到系统操作的最高效率。嵌入式系统的大体结构一般可分为 处理器、内存、输入与输出、操作系统和应用软件5 部分。 系统 p a l m o sw i n d o w sc e3 o 嵌入式l i n u x 核心为5 0 0 k b 的 r o m 和2 5 0 k b 的 r a m 。整个w j n d o w s 核心从几十k b 到 大小 核心几十个k b ， c e 操作系统，包括硬 5 0 0 k b 。整个嵌入 整个嵌入环境不 件抽象层( h a l 和 式环境最小才 h a r d w a r ea b s t r a c t j o n 1 0 0 k b 左右，并且 大 以后还将越来越小l a v e r ) 、w i n d o s wc e k e m e l 、u s e r 、g d i 、 文件系统和数据库， 大约共1 5 m b 用户开发定制不方可以方便地开发定 开发定制可以方便地开发 便，受m i c r o s o f t 公司制，自由地卸装用 定制 限制较多户模块，不受任何 限制 互操作性比较强， 互操作型互操作性强 w i n d o w sc e 可通过互操作性很强 o e m 的许可协议使 用于其它设备 不仅适应于x 8 6 芯 适用于多种c p u适用于多种c p u 和多 片，并且可以支持 通用性 和多种硬件平台 种硬件平台 3 0 多种c p u 和多 种硬件平台，开发 和使用都很容易 实用性 比较好 比较好很好 应用领域较广。由于l i n u 内核结 w i 力d o w sc e 是为新 构及功能等原因， 应用领域较广，特 一代非传统的p c 设嵌入式l i n u 应用 适用的应用领域 别适用于掌上电 备而设计的，这些设领域非常广泛。特 脑的开发 备包括掌上电脑、手别适于进行信息家 持电脑以及用于车载电的开发 电脑等 表2 1 三种嵌入式系统的比较 北京交通大学硕士学位论文第二章技术基础简介 嵌入式系统起源于2 0 世纪8 0 年代，最早嵌入式系统的产生是为了 某些特殊的控制要求而设计的特殊控制系统，一般是由单片机及其外围 设备构成。随着微电子技术的进步，芯片的制造成本和销售价格都大幅 下降，为了缩短产品的设计周期和运行时间，更加稳定可靠、高效的完 成工作，并实现所需的各种功能，必须存在能够运行于嵌入式处理器上 的操作系统，才能形成完整的系统平台。 一般来说，嵌入式操作系统可以分为两类：一类是面向控制、通信 等领域的实时操作系统，如w i n d 础v e r 公司的v x w o r k s 、p a l m 公司的 p a l mo s 、i s i 的p s o s 、q n x 系统软件公司的q n x 、a t i 的n u c l e u s 等；另一类是面向消费电子产品的非实时操作系统，这类产品包括个人 数字助理( p d a ) 、移动电话、机顶盒、电子书、w e b p h o n e 等。表2 1 是目前三种常用嵌入式操作系统( p a l m0 s 、w i n d o w sc e 和嵌入式 l i l l u x ) 的比较。 纵观嵌入式系统的发展，大致经历了四个阶段： 无操作系统阶段此阶段的主要应用是基于单片机的，由于仅仅 使用8 位的c p u 芯片来执行一些单线程的程序，因此严格说还 谈不上“系统”的概念。其主要特点是系统结构和功能相对单 一，处理效率较低，存储容量较小，几乎没有用户接口。 简单操作系统阶段2 0 世纪8 0 年代，随着微电子工艺水平的提 高，i c 制造商开始把嵌入式应用中所需要的微处理器、i o 接 口、串行接口以及r a m 、r o m 等部件统统集成到一片v l s i ( 超大规模集成电路) 中，制造出面向i o 设计的微控制器， 并一举成为嵌入式系统领域中异军突起的新秀。其主要特点是 出现了大量高可靠、低功耗的嵌入式c p u ( 如p o w e rp c 等) ， 各种简单的嵌入式操作系统开始出现并得到迅速发展。 北京交通大学硕士学位论文第二章技术基础简介 实时操作系统阶段2 0 世纪9 0 年代，在分布控制、柔性制造、 数字化通信和信息家电等巨大需求的牵引下，嵌入式系统进一 步飞速发展，而面向实时信号处理算法的d s p 产品则向着高速 度、高精度、低功耗的方向发展。随着硬件实时性要求的提高， 嵌入式系统的软件规模也不断扩大，逐渐形成了实时多任务操 作系统( r t o s ) ，并开始成为嵌入式系统的主流。其特点是 操作系统的实时性得到了很大改善，已经能够运行在各种不同 类型的微处理器上，具有高度的模块化和扩展性。 面向i n t e r n e t 阶段在i n t e m e t 飞速发展的今天，嵌入式设备与 网络的结合成为新的趋势。由于新的微处理器层出不穷，嵌入 式操作系统自身结构的设计更加便于移植，能够在短时间内支 持更多的微处理器。通用计算机上使用的新技术、新观念也开 始逐步移植到嵌入式系统中，如嵌入式数据库、移动代理、实 时c o r b a 等，嵌入式软件平台得到进一步完善。这一阶段的 特点是网络化和信息化，精简系统内核，优化关键算法，降低 功耗和软硬件成本，以及能够提供更友好的多媒体人机交互界 面。 2 2 2 嵌入式l i n u x 嵌入式l i n u x 出现在面向i n t e m e t 阶段，它是指对l m l l ) ( 经过裁剪小 型化后，可固化在存储器或单片机中，应用与特定嵌入式场合的专用 l i n u x 操作系统。嵌入式l i n l 】) ( 系统继承了l i n u x 系统原有的优点： 首先，l i n u x 系统的层次结构且内核完全开放。l i n u x 是由很多体积 小且性能高的微内核和系统组成。在内核代码完全开放的前提下，不同 领域和不同层次的用户可以根据自己的应用需要很容易地对内核进行 北京交通大学硕士学位论文第二章技术基础简介 改造，在低成本的前提下，设计和开发出真正满足自己需要的嵌入式系 统。 其次，强大的网络支持功能。l i n u x 诞生于因特网并具有u n i x 的特 性，这就保证了它支持所有标准的因特网协议，并且可以利用l i n u x 的 网络协议栈将其开发成为嵌入式的t c p i p 网络协议栈。 第三，l i n u x 具备一整套工具链，容易自行建立嵌入式系统的开发 环境和交叉运行环境并且可以跨越嵌入式系统开发中仿真工具的障 碍。一般开发嵌入式操作系统的程序调试和跟踪都是使用仿真器来实现 的，而使用l i n u ) ( 系统做原型的时候，可以绕过这个障碍，直接使用内 核调试器来做操作系统的内核调试和查错。 第四，l i l l u x 具有广泛的硬件支持特性。无论是s c 还是c i s c 、 3 2 位还是6 4 位等各种处理器，l i n u x 都能运行。l i n u x 最通常使用的微 处理器是i n t e lx 8 6 芯片家族，但它同样能运行于m o t o r o l a 公司的6 8 k 系列c p u 和i b m 、a p p l e 、m o t o r o l a 公司的p o w e r p cc p u 以及i m e l 公 司的s t r o n ga r mc p u 等处理器系统，这意味着嵌入式l i n u ) ( 将具有更 广泛的应用前景。 在进行嵌入式l i r n l x 下的开发时，由于嵌入式系统的资源有限因 此直接在硬件平台上编写软件比较困难，有时甚至是不可能的。所以一 般采用的方法是先在通用计算机平台上编写程序，然后通过交叉编译生 成可在目标平台上运行的二进制代码格式，最后将其下载到目标平台的 指定位置上运行。具体的流程如下： 1 建立适用于嵌入式l i n u x 的交叉开发环境 交叉开发环境是指编译、链接和调试嵌入式应用软件的环境。 它与运行嵌入式应用软件的环境有所不同。通常采用宿主机目标机 模式。目前，常用的交叉开发环境主要有开放和商业两种类型。开 北京交通大学硕士学位论文第二章技术基础简介 放的交叉开发环境的典型代表是g n u 工具链，目前已经能够支持 x 8 6 、a 鼢“、m i p s 、p o w e r p c 等多种处理器。商业交叉开发环境主 要有m e t r o w e r k sc o d e w a r r i o r 、ar m s o f i r a r cd e v e l o p m e n tt 0 0 1 k i t 、 s d sc m s sc o m p i l e r、w i n d r i v e rt o m a d o 、 m i c r o s o f te m b e d d e d 蝴lc + + 等。 2 交叉编译和链接 在完成嵌入式软件的编码之后，就需要进行编译和链接，以生 成可执行代码。由于开发过程大多是在i n t e lx 8 6 系列c p u 的通用 计算机上进行的，而目标环境的处理器芯片却大多为a r m 、m i p s 、 p o w e r p c 、d m g o n b a l l 等系列的微处理器，这就要求在建立好的交 叉开发环境中进行交叉编译和链接。 3 交叉调试 交叉调试可以分为软件调试和硬件调试两种：软件调试是指在 嵌入式l i n u x 中利用系统内核进行调试，通过在内核中设置个调 试点( d e b u gs t l l b ) ，用作宿主机和目标机之间的通信服务器，然后在 宿主机中通过调试器的串口与调试点进行通信，并通过调试器控制 目标机上l i n u x 内核的运行；硬件调试是指利用c p u 直接在内部实 现调试功能，并通过开发板上引出的调试端口发送调试命令和接收 调试信息，完成调试过程。 对于上层应用软件的调试可以使用本地调试和远程调试两种方 法。如果采用的是本地调试，首先要将所需的调试器移植到目标系 统中，然后就可以直接在目标机上运行调试器来调试应用程序了； 如果采用的是远程调试，则需要移植一个调试服务器到目标系统 中，并通过它与宿主机上的调试器共同完成应用程序的调试。 4 系统调试 北京变通大学硕士学位论文第二章技术基础简介 系统调试是指对软件系统进行的整体测试。测试时需要整体考 虑各方面的因素，选择到底是在目标机还是宿主机上进行测试。基 于目标机的测试需要消耗更多的时间和经费，而基于宿主机的测试 虽然消耗较少，但是这是在仿真环境中进行的测试，并不能完全反 映出软件运行的实际情况。 一般来说，在嵌入式软机测试中经常用到的测试工具有：内存 分析工具、性能分析工具、覆盖分析工具和缺陷跟踪工具等。 嵌入式l i n u x 系统之所以精简，不需要硬盘的支持，是由于采用了 将内核与任务分离的方式，其内核通常驻留在内存中，每个应用程序都 是从磁盘运到内存上执行，当程序结束后，所占用的内存就被释放。并 且由于l i n u x 系统还具有“加载”和“卸载”程序的能力，因此可以进 一步节省内存。典型的嵌入式l i n u x 使用一个大小在8 1 6 m b 左右的 f l a s hm e m o r y 和8 m b 的内存，就可以组成一个系统。所有的程序都以 文件形式存储在f l a s h 文件中，需要时再装入内存。 2 2 1 3h a r dh a tl i n u x h 盯dh a tl i n u x 是由m o n t a v i s t a 公司开发的一款嵌入式l i m 系统， 它是种可以根据嵌入式软件开发者的需要而裁剪的操作系统。 所有m o n t a s t a 的技术都源于2 4 版本的l i n u xk e m e l ，在工业界 m o n t a v i s t a l i n u x 支持最广泛的处理器和目标版。处理器的体系结构包 括： m o t o r o l ap p c7 x “7 4 0 0 8 x x 8 2 x x i b mp p c4 0 5 4 4 0 + 7 5 0 c x 4 i m e l i a 3 2 ，x 8 6 兼容 i n t e ls t r o n g a n n1 1 0 1 1 0 0 1 1 1 0 ，x s c a l e + ，i x p l 2 0 0 + 2 0 北京变通大学硕士学位论文第二章技术基础简介 n e c ，q e d ，a l c h e m ym i p s4 x x “5 x x x h i t a c i l is h - 3 s h - 4 4 a 且m 7 2 0 t 9 2 0 t 此外，在应用程序移植方面，h a r dh a tl i 肌x 通过提供开放源码和 仿真工具包的方式，使用户可以方便地完成期望的工作。在交叉编译方 面， h a l dh a t 支持包括r e dh a t 、s 0 1 a r i s 和v m w a r ew i t hr e dh a tl i n u x 等各种交叉开发主机平台。程序开发者可以使用厂家提供的工具包( 包 括编码、编译、调试、配置和发行工具) 进行开发。这些工具包利用了 三种丰富的源码：开放源码组织工程项目和技术、第三方商业开发工具 和m o n t a v i s t a 开发和发起的工具和使用程序。 2 3i k e v 2 协议的最新研究 i p s e c 工作组致力于在i k e v 2 协议的基础上增加漫游、移动性和多 家乡的特性。移动性是为了有效地支持m o b i l ei p 协议，并且在设备进 行漫游( 在移动的同时i p 地址改变) 时同样需要，其关键要求是在地 址改变的时候保持现有的i k e 和i p s e cs a 不变，即不需要重新进行密 钥协商。多家乡和多地址的支持是为了支持路由器的多接口，例如移动 设备可能使用多种不同的方式连接上网( 如通过w l a n 和g p r s ) 。 i k e v 2 协议尽管仍处于研究阶段，但是从其协议的设计框架和原理 上可以看出，它比以往同类协议更为安全和有效，因此很可能在短时间 内成为移动安全下的协议标准。 2 3 1i k e v 2 协议与i k e v l 协议的主要区别 i k e v 2 协议对新特性的支持是通过简化协商步骤和改进交换过程来 实现的，同时协议本身还增加了多种新型载荷并通过消息的交互来提高 2 1 北京交通大学硕士学位论文第二章技术基础简介 安全等级。 在密钥交换时，i k e v 2 协议沿袭了i k e 协议的一贯方法，将交换步 骤分为两个阶段。但是新协议在第一阶段的交换过程中(