（通信与信息系统专业论文）移动vpn安全机制的研究.pdf

中文摘要 摘要：近年来，移动通信技术和互联网技术发展迅猛，逐渐成为信息产业的两 大支柱，使人们的工作和生活发生了巨大的变化。移动v p n 技术的出现，可以为企 业节省专网费用的同时，也能为企业用户提供移动的、有质量保证的数据通道。 移动v p n 是v p n 技术在公共移动网络中的扩展，任意两个节点之间的连接不再是 端到端的物理链路，而是利用移动公网的资源实现的。根据其应用业务的不同， 移动v p n 可以分为应用于数据业务的移动v p n 和应用于话音业务的基于智能网的 移动v p n 。移动v p n 技术发展时间较短，关于移动v p n 的研究还处于起步阶段， 当前正在运行的移动v p n 应用大多关注业务上的解决方案，而对其安全性考虑较 少。 本论文对移动v p n 两种应用中的安全问题进行了深入研究，分析存在的主要 问题，结合国内外安全技术的发展近况及研究趋势引入了w p k i 技术，针对两种应 用的各自特点分别提出了安全改进方案，并对改进后的安全流程进行了详细分析， 进而实现安全的移动v p n 。 对于应用于数据业务的移动v p n ，本文以g p r sv p n 为例进行了研究，针对现 有方案中缺乏移动终端对网络的认证和数据以明文形式传输的安全漏洞提出了利 用数字证书的解决方案。该方案的基本思想是通过证书获得对方的公钥，用该公 钥对认证过程中的信息进行加密传输，从而实现了移动终端和网络侧的双向认证 及密钥协商，并提供不可抵赖性，最终保证了移动终端到企业网的安全无缝的连 接，最后对该方案进行了安全性分析，证明了改进方案的安全性。 对于基于智能网的移动v p n ，针对用户漫游时鉴权信息以明文形式跨网传输 的问题和数据信息在网络中以明文形式传输的安全漏洞，本文提出了利用数字证 书对个人关键信息加密传输和实现端到端加密的安全通信过程的方案，该方案通 过证书获得对方公钥，利用公钥技术实现对个人信息的加密传输和双方加密密钥 的交换，最后对该方案进行了安全性分析。 关键词：虚拟专用网；移动v p n ；g p r s ) n ；智能网；无线公钥基础设施 分类号：t n 9 1 8 9 1 通信安全技术 a bs t r a c t a b s t r a c t ：i nr e c e n t y e a r s ，t h e m o b i l ec o m m u n i c a t i o na n di n t e r n e t t e c h n o l o g i e s ，d e v e l o p i n gr a p i d l y ，h a v eb e c o m et w op i l l a r si ni n f o r m a t i o ni n d u s t r y t h e a p p l i c a t i o no fm o b i l ev p n c a nn o to n l ys a v et h ec o s to fp r i v a t en e t w o r kf o re n t e r p r i s e b u ta l s op r o v i d eu s e r s 、7 i r i t l lm o v a b l ea n dq u a l i t y - a s s l 】1 a n c ed a t ac h a n n e l s m o b i l ev p n i st h ev p nu s e di np u b l i cm o b i l en e t w o r k , w h e r et h ec o n n e c t i o nb e t w e e na n yt w o n o d e su t i l i z e sp u b l i cm o b i l en e t w o r kr e s o u r c e si n s t e a do fe n d t o - e n dp h y s i c a ll i n k s a c c o r d i n gt oi t sa p p l i c a t i o n s ，m o b i l ev p nc a nb ed i v i d e di n t ot w ot y p e s ，o n ef o rd a t a s e r v i c ea n dt h eo t h e rf o rv o i c es e r v i c eb a s e do ni n t e l l i g e n tn e t w o r k a tt h ep r e s e n tt i m e ， t h er e s e a r c ho nm o b i l ev p ni sa tt h ei n i t i a ls t a g ea n dt h ec o n s i d e r a t i o nf o ri t ss e c u r i t y i s n te n o u g h t h es e c u r i t yp r o b l e m so ft w oa p p l i c a t i o n so fm o b i l ev p nw e r ed e e p l ys t u d i e d a c c o r d i n gt oe a c hc h a r a c t e r i s t i c ，i m p r o v e ds e c u r i t ys c h e m e sw e r er a i s e ds e p a r a t e l yb y i n t r o d u c i n gw p k it e c h n o l o g yc o n s i d e r i n gt h et r e n d so fs e c u r i t yt e c h n o l o g ya th o m e a n da b r o a d a l s ot h ed e t a i l e da n a l y s i sa b o u tt h ei m p r o v e ds e c u r i t yf l o w sw a sm a d e t a k i n gg p r sv p nf o re x a m p l eo fm o b i l ev p nu s e di nd a t as e r v i c e ，d i 西t a l c e r t i f i c a t er e s o l u t i o nw a sp r o p o s e da i m i n ga tt h el a c ko fn e t w o r ka u t h e n t i c a t i o nf o r m o b i l et e r m i n a la n dt h es e c u r i t yl e a k so fd a t at r a n s m i t t i n gi nt h ep l a i n t e x tf o r mi nt h e a i ri n t e r f a c e t h eb a s i ci d e ao ft h ep r o p o s a lw a st o g e tt h eo t h e r sp u b l i ck e yb y c e r t i f i c a t ea n dt h e nt r a n s m i te n c r y p t e di n f o r m a t i o nb yt h ep u b l i ck e y , w h i c hr e a l i z e d t w o - w a ya u t h e n t i c a t i o na n dk e ya g r e e m e n tb e t w e e nt h em o b i l et e r m i n a la n dn e t w o r k a tl a s t ，t h es e c u r i t yo fi m p r o v e ds c h e m ew a s p r o v e db ya n a l y s i s f o rm o b i l ev p nb a s e do ni n t e l l i g e n tn e t w o r k ，as c h e m eb yu s eo f d i g i t a lc e r t i f i c a t e t or e a l i z ee n d - t o - - e n de n c r y p t i o na n di n d i v i d u a lk e yi n f o r m a t i o ne n c r y p t e dt r a n s m i s s i o n w a sp r o p o s e d ，a i m i n ga tt h es e c u r i t yl e a k so fa u t h e n t i c a t i o ni n f o r m a t i o nt r a n s m i s s i o ni n t h ep l a i n t e x tf o r mo v e rt h ei n t e r - n e t w o r kf o rr o a m i n gu s e ra n dd a t at r a n s m i t t i n gi nt h e p l a i n t e x tf o r mw i t h i nt h en e t w o r k t h i sp r o p o s a lu t i l i z e dt h eo t h e r sp u b l i ck e yt o r e a l i z et h ee n c r y p t i o no fp e r s o n a li n f o r m a t i o na n de x c h a n g ee n c r y p t i o nk e y sb e t w e e n t h et w os i d e s f i n a l l y , t h es e c u r i t yo ft h ep r o p o s a lw a sa l s oa n a l y z e d k e y w o r d s ：v l r t u a lp r i a t en e t w o r k ；m o b i l ev p n ；g p r sv p n ；i n t e l l i g e n tn e t o r k ； w i r e l e s sp u b l i ck e y l n f r a s t r u c t u r e c l a s s n o ：t n 9 1 8 9 1c o m m u n i c a t i o ns e c u r i t y t e c h n o l o g y i v 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研 究成果，除了文中特别加以标注和致谢之处外，论文中不包含其他人已经发表或 撰写过的研究成果，也不包含为获得北京交通大学或其他教育机构的学位或证书 而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作 了明确的说明并表示了谢意。 学位敝作者签名： 蜮年 签字日期。 卅年 6 月f ，日 5 3 学位论文版权使用授权书 本学位论文作者完全了解北京交通大学有关保留、使用学位论文的规定。特 授权北京交通大学可以将学位论文的全部或部分内容编入有关数据库进行检索， 并采用影印、缩印或扫描等复制手段保存、汇编以供查阅和借阅。同意学校向国 家有关部门或机构送交论文的复印件和磁盘。 ( 保密的学位论文在解密后适用本授权说明) 学位论文作者签名： 吏螅阜 签字日期：俨c f 年6 月i 蜩 新龋糇 签字日期：力矽年多月厂日 致谢 本论文的工作是在我的导师吴昊教授的悉心指导下完成的，吴老师严谨的治 学态度、精深渊博的学识、兢兢业业的工作作风、科学合理的工作方法、谦虚的 为人以及随和的性格，都使我获益颇深、终生难忘。导师不仅在学术和科研方面 给予了我不断的帮助和谆谆教诲，而且在做人和道德情操的培养方面为我树立了 光辉的榜样，使我更加充满信心地为我的理想奋斗。在论文的选题、资料收集和 整理、论文的写作和修改、定稿等过程中，导师更是付出了极大的心血，时时刻 刻给我以谆谆教诲和严格要求。在此衷心感谢两年来吴吴老师对我的关心和指导。 在实验室工作及撰写论文期间，程超、李雪等同学对我论文的写作给予了热 情帮助，在此向她们表达我的感激之情。 另外也感谢我的爸爸、妈妈以及我的朋友们，他们的理解和支持使我能够在 学校专心完成我的学业。 在这里我要向所有帮助过我，关心过我的老师、同学、朋友们表示衷心的感 谢，谢谢你们的关心和支持! 1 引言 1 1课题的研究背景 随着i n t e m e t 和信息技术的快速发展，越来越多的企业职工需要将便携式计算 机随时随地连接到企业的网络，越来越多的企业建立跨国分公司或分支机构，越 来越多的企业依靠网络维护来加强他们与合作伙伴或客户之间的动态联系。所有 这些都增加了远程连接成本、网络复杂性，带来了网络的管理和安全性问题。 v p n ( 虚拟专用网，v i r t u a lp r i v a t en e t w o r k ) 技术【l - 2 】就是在这种形势下应运而 生的。它是一种采用隧道技术以及加密、身份认证等方法，通过安全的“加密管 道”在公网上传输私有数据、达到私有网络的安全级别，从而利用公网构筑企业 专网的组网技术。它兼备了公众网的便捷和专用网的安全，是介于公众网与专用 网之间的一种网。作为一种解决网络互联安全问题的新技术，v p n 综合了传统数 据网络的安全和服务质量，以及共享数据网络结构的简单和低成本，建立安全的 数据通道。v p n 在降成本的同时满足了用户对网络带宽、接入服务不断增加的需 求。 v p n 是一种在公共网络资源上实现专用通信的技术，它可以将物理上分散的 分支机构连接在一起，从而有效地实现办公一体化、电子商务等。目前最常见的 是基于i n t e m e t 的v p n ，其缺点是用户不能随意漫游、移动。 伴随无线通信技术的快速发展，人们不再满足于仅仅通过有线线路的上网服 务，而是希望通过无线方式甚至是移动环境中接入互联网络。正是在这种需求的 推动下，互联网技术和无线通信技术相结合的移动v p n 技术应运而生，实现有线 网络与无线网络的完美结合，满足人们随时随地采用任何方式获取任何地点信息 的需要。而且，随着智能网的发展，在移动网络内部建立逻辑话路专用网也成为 客户集团的需求。 移动v p n 3 】技术是对v p n 技术在公共移动网络中的扩展，根据其应用业务的方 面不同，移动v p n 分为应用于数据业务的移动v p n 和应用于话音业务的基于智能 网的移动v p n 。 应用于数据业务的移动v p n 技术，有别于v p n 的远程访问，它是通过无线方 式接入网络，在节点移动的整个过程中始终保持安全的通信连接。移动v p n 技术 的应用，能够保证企业员工在离开企业内部网络进入公网后，只要存在无线网络 的覆盖，就能使员工保持同企业内部的通信不问断，同时保证传输信息的安全性。 移动v p n 在技术上借鉴了基于i n t e r n e t 的传统v p n 的思想和其中的关键技术， 可以将v p n 的各种优点应用到移动网络中。利用移动v p n 技术，用户可以利用各 种移动接入方式( 如g p r s 或c d m a ，3 g ) 安全地接入到企业内部网中进行资源的查 询和访问。基于移动v p n 的网络给用户提供了安全的远程访问，在很大程度上保 障了通讯数据传输的安全性。 而基于智能网的移动v p n 是利用现有移动网络资源及智能网业务平台，建立 的一个逻辑话路专用网，能提供在一个用户群内进行相互联系的网络，为移动用户 提供类似固定网中小交换机的专用网络业务。 基于智能网的移动v p n 是为集团客户量身定制的，代表集团客户利益的业务， 是为企业或集团客户提供的一种高效率、 客户通过移动v p n 业务进行内部通信时， 利。 低成本的内部通话局域网络服务，集团 就好像使用自己的移动通信专网一样便 移动通信飞速发展及提供的业务越来越广泛，使得人们对通信中的安全机制 越来越重视。移动v p n 在给人们带来便利的同时，也带来了更多的安全问题，如 何在依托移动公网的条件下，实现移动终端和i n t e m e t 之间安全数据共享和交换， 实现移动终端和移动终端之间的安全通信，成为当前亟待解决的重要问题。 在移动网络中，v p n 业务是一个很重要的业务，移动v p n 是将来3 g 应用中一 项重要的业务。目前，关于移动v p n 的研究基本上还处于起步阶段，正如传统v p n 技术的发展过程一样，移动v p n 技术也在不断发展中。 1 2现有相关研究成果 2 0 世纪9 0 年代以来，有2 种技术得到了广泛应用，那就是i n t e r n e t 和无线通信。 i n t e m e t 通常需要与固定的有线网络相连，无法满足人们在移动中或没有固定有线 网络的地方获取信息的需要，无线通信的发展打破了通信与地点之间的固定连接 的限制。 v p n 是一种较好解决组织员工、合作伙伴安全访问组织内部网络的技术，移 动v p n 是将v p n 技术扩展到移动网络中，利用无线网络设施! z l g s m 、g p r s 、u m t s 等网络建立同组织内部网的安全隧道，进行消息的安全传输。在移动通信网络中 建立v p n 通道的移动v p n 解决方案，可以用于支持离开企业的员工在任何时间、 任何地点实时快捷安全地访问企业内网资源。 v p n 技术根据隧道协议的不同也分为多种，如l 2 t pv p n 、i p s e cv p n 、s s l v p n 和m p l sv p n 等【4 7 】，各协议工作在不同层次，它们在o s i 七层模型中的位置如 表1 所示。以上v p n 技术各有特色、各有所长，无所谓谁更有优势，适用于不同的 2 网络环境。目前国外主要厂商对s s l v p n 技术、m p l sv p n 技术发展相对比较重视， 但是目前应用最为广泛，技术最为成熟的仍然是i p s c cv p n 技术。 表1 常见v p n 技术对比 t a b l e lc o n t r a s to f c o m m o nv p nt e c l m o l o g i e s v p n 技术i s o o s i 所在层 采用的安全相关技术 应用范围 l 2 t p链路层 p p t p 和l 2 f 的安全集合组建远程接入方式的 v p n 、多用户 m p l s兼顾链路层和网络地址空间和路由独立、隐实现对服务质量、服务等 层藏内部网和攻击防范级的划分以及对网络资 源的利用率、网络的可靠 性有较高要求的场合 i p s e e网络层a h 、e s p 、i k e 主要是s i t e t o s i t e 企业级 应用 s s l传输层之上、应用 压缩、密钥交换和加解密多用于w e b 的端到端应 层之下等用 基于智能网的移动v p n 是针对竞争日益激烈的移动通信市场而推出的一项旨 在通过集团内部优惠来吸引集团客户的业务，其建立在现有移动网络基础之上， 根据用户的签约信息来触发v p n 业务的实现，采用现有移动网络的安全技术。由 于移动通信的固有特点，手机与基站之间的空中接口是开放的，这给破译网络通讯 密码提供了机会。因此，在整个通信过程中，通信链路的建立、信息的传输均存在 被第三方截获的可能，从而给集团客户造成损失。另一方面在移动通信系统中，移 动用户与网络之间不像固定电话那样存在固定的物理连接，网络如何确认移动 v p n 用户的合法身份，如何防止用户否认v p n 业务的使用都是急需解决的安全问 题。 v p n 技术以其安全性和低成本越来越受企业用户的青睐，当前大多数v p n 是 针对固定用户的，而随着无线通信的发展，移动v p n 的需求也必将越来越大，能 为用户提供安全、无缝接入的移动v p n 技术日益受到运营商的关注。目前，移动 v p n 已经作为未来3 g 的一项重要业务为广大运营商接受，可以说移动v p n 蕴含 着巨大的商机。 然而，移动v p n 技术发展时间较短，关于移动v p n 的研究还处于起步阶段， 在学术领域的建树并不是很多。当前正在运行的移动v p n 应用大多关注业务上的 解决方案，对安全性考虑很少。使用移动v p n 业务的一般是企业或集团用户，如 何实现用户的安全通信变得尤为重要。 3 1 3研究目的和意义 移动v p n 就是利用移动公网实现专用网络功能的一种方式，无论是应用于数据 业务的移动v p n 还是应用于话音业务的基于智能网的移动v p n ，都因移动网络的 开放性及移动通信自身的安全问题而面临着严重的安全威胁。 对于应用于数据业务的移动v p n ，虽然借鉴了基于i n t e m e t 的传统v p n 的思想和 关键技术，但因移动网络带宽资源有限和移动终端计算能力有限等缺点，v p n 的 安全隧道等关键技术只能应用在移动核心网和企业网关之间，在移动终端和移动 核心网之间还没有很好的安全机制，因此不能保证移动终端安全无缝的连入企业 内部网。 基于智能网的移动v p n 建立的初衷是想实现类似内部小交换机的专网功能， 而目前采用的是现有网络的安全技术，其安全性存在诸多问题，比如通信数据在 网络内部以明文形式传输，用户的个人信息有可能以明文形式在空中接口传输， 这对于安全性要求高的集团用户来说远远不够的。 本文对移动v p n 安全机制研究的目的是想通过分析现有移动v p n 的安全技 术，找出其存在的安全漏洞，并提出解决方案，为企业用户提供安全无缝的服务。 本文对移动v p n 技术的两种应用都进行了安全分析，并针对各自网络结构的特点， 分别提出了基于w p k i 技术的安全改进方案，成功解决了移动v p n 面临的安全问 题，具体包括： 1 、以g p r sv p n 为例分析了应用于数据业务的移动v p n 的安全现状和面临 的安全威胁。 2 、根据g p r sv p n 的结构特点、网络带宽和终端设备的特点，提出了移动 v p n 的整体安全通信思想，即移动终端和移动核心网络部分采用基于证书的双向 认证和密钥协商机制，核心网到企业网关之间采用v p n 安全隧道技术。 3 、具体对g p r sv p n 的改进方案进行了分析，详细描述了安全通信流程，并 进行了安全性分性。 4 、分析了应用于话音业务的基于智能网的移动v p n 现有的安全技术和面临 的安全威胁。 5 、根据基于智能网的移动v p n 的网络特点，将证书机制应用到移动v p n 的 网络实体中，进行数据传输前先通过公钥进行加密，保证了用户信息跨网传输时 的安全性。 6 、对于移动v p n 业务提出了端到端加密的安全通信方案，详细描述了安全 通信流程，保证了数据在网络内部传输的安全性，实现专网通信的安全级别。 4 i 4 论文的组织结构 第一章是引言，主要介绍了移动v p n 的研究背景，分析了现有的相关研究成 果；针对移动v p n 在数据和语音两个方向的应用，指出了各自面临的安全问题； 阐述了本课题的研究目的和意义，描述了论文的组织结构。 第二章是移动v p n 相关知识的介绍，主要对v p n 的原理及常见技术、移动 v p n 技术及两种应用业务进行了介绍，并对移动v p n 的两种应用技术的安全现状 进行了分析。 第三章以g p r sv p n 为例对应用于数据业务的移动v p n 的安全技术的不足进 行了分析，通过引入w p k i 技术提出了移动终端和g g s n 之间的双向认证和密钥 协商机制，并对改进后的安全方案进行了详细描述和安全性分析。 第四章是对基于智能网的移动v p n 的安全机制的改进，通过分析其面临的安 全威胁，结合w p k i 技术将公钥技术应用到核心网，解决了通信数据及用户的关 键信息在网络内部以明文形式传输的安全问题，并提出了端到端加密的安全通信 方案，详细描述了改进后的通信流程。 第五章是结论，这一部分总结了课题的研究成果，指出了研究中有待进一步 完善之处以及下一步的工作。 5 2 移动v p n 技术 本章首先介绍了v p n 原理及常见技术，在对移动v p n 进行概述后，针对 移动v p n 的应用特点，详细介绍了以g p r sv p n 为代表的应用于数据业务的移动 v p n 和基于智能网的应用于语音业务的移动v p n 技术，并分析了这两个应用技 术的安全现状。 2 1v p n 概述 2 1 1v p n 介绍 v p n 【8 即虚拟专用网( x r x r t u a lp r i v a t en e t w o r k ) ，被定义为通过一个公用网络( 通 常是i n t e m e t ) 建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、 稳定的隧道，通过对网络数据的封包和加密传输，从而实现在公网上传输私有数 据、达到私有网络的安全级别。它有两层含义：第一，它是“虚拟的 ，即实际 上并不存在一个独立专用的网络，不需要建设或租用专线，而是将其建立在分布 广泛的公共网络上，就能组成一个属于自己专用的网络；第二，它是“专用的 ， 相对于“公用的 来说，它强调私有性和安全可靠性。 v p n 是建立在实际网络( 或称物理网络) 基础上的一种功能性网络，或者说是 一种专用网的组网方式。它向使用者提供一般专用网所具有的功能，但本身却不 是一个独立的物理网络，也可以说虚拟专用网是一种逻辑上的专用网络。 v p n 的基本网络结构如图2 1 所示。它主要由接入网、网络接入服务器( n a s ) 、 i p 骨干网和用户端设备( c p e ) 组成。 n a s c p e 卜强制隧道_ i 一自愿隧道l 图2 1v p n 的基本网络结构 f i g u r e 2 - lb a s i cn e t w o r ks t r u c t u r eo f n 6 接入网可以是公共陆地移动n j ( g s m 和g p r s 等) 或固定接入网( a d s l 和以太网 等) ，用于承载v p n 用户与n a s 之间的数据。 n a s 是骨干网的接入点，与接入网连接并支持各种接入网协议和隧道协议，它 还负责安全和认证管理，在采用强制隧道模型的v p n 中，它是隧道的起点。 v p n 网关属于用户端设备，它是隧道的终点，能支持各种隧道协议并提供隧道 服务。根据网络功能的不同要求，可以是路由器或防火墙等具有相应功能的设备。 c p e 除v p n 网关外，还包括a a a ( a u t h e n t i c a t i o n 、a u t h o r i z a t i o n 、a c c o u n t i n g ) 服务器，如r a d i u s 服务器；其他应用服务器，如文件服务器、数据库服务器、邮件 服务器等。如果企业没有能力维护a a a 服务器，也可以把a a a 服务托付给n a s 管 理。 图2 i 中还显示了两种不同的隧道模型：自愿隧道模型和强制隧道模型。自愿 隧道是由v p n 用户发起，v p n 用户的请求通过认证后在v p n 用户和v p n 网关之间 配置和创建一条自愿隧道。此时，v p n 用户作为隧道客户方成为隧道的起点。强 制隧道在n a s 和v p n 网关之间配置和创建，此时隧道的起点不是v p n 用户而是 n a s 。 通常，v p n 是对企业内部网的扩展，通过它企业可以以明显更低的成本连接 它们的远地办事机构、出差工作人员以及业务合作伙伴，并保证数据的安全传输。 v p n 的应用大致可分为三类：远程访问虚拟网( r e m o t e a c c e s sv p n ) 、企业内部虚 拟网( i n t r a n e tv p n ) 和企业扩展虚拟网( e x t r a n e tv p n ) ，其基本用途就是提供企 业分支机构和企业，企业客户和企业以及企业内部的，远端企业员工与企业安全 的点对点通信。 1 、r e m o t e a c c e s s v p n 是指企业员工通过因特网远程拨号的方式访问企业内联 网而构筑的v p n ，通常也叫做远程拨号v p n 。v p n 技术的这种应用代替了传统的 直接拨入内联网的远程访问方式，能使用户随时随地以其所需的方式访问企业资 源，大大降低远程访问的费用。 2 、i n t r a n e t v p n 是指在一个组织内部如何安全地连接两个相互信任的内联网， 要求在公司与分支机构之间建立安全的通信连接。这种应用模式需要做的不仅是 要防范外部入侵者对企业内联网的攻击，还要保护在因特网上传送的敏感数据。 3 、e x t r a n e tv p n 是基于i n t e m e t 的v p n ，虚拟专用网络支持远程访问客户以安 全的方式通过公共互联网络远程访问企业资源。e x t r a n e tv p n 是i n t r a n e tv p n 的一 个扩展，即通过因特网连接两台分别属于两个互不信任的内部网络的主机。它要 求一个开放的基于标准的解决方案，以便解决企业与各种合作伙伴和客户网络的 协同工作问题。 7 2 1 2v p n 采用的安全技术 v p n 的基本思想就是利用i n t e r n e t 公网来传输私有信息而形成逻辑上的专网， 从而为企业级用户提供比专网价格低廉和高安全性的资源共享和互连服务。在传 统的v p n 中，为了保证数据的完整性和安全性采用了几项关键的技术【9 】：隧道技术 ( t u n n e l i n g ) 、加解密技术( e n c r y p t i o n & d e c r y p t i o n ) 、密钥管理技术仪e y m a n a g e m e n t ) 、使用者与设备身份认证技术( a u t h e n t i c a t i o n ) 。 1 、隧道技术( t u n n e l i n g ) 隧道技术是v p n 的核心。所谓隧道【1 0 】，实质上是一种封装，将一种协议( 协 议x ) 封装在另一种协议( 协议y ) 中传输，从而实现协议x 对公用网络的透明 性。采用隧道机制实现v p n 的协议体系结构如图2 2 所示，这里协议x 称为被封 装协议( 乘客协议) ，协议y 称为封装协议，封装时一般还要加上特定的隧道控 制信息，因此隧道协议的一般封装形式为( 协议y ( 隧道头( 协议x ) ) ) 。 上层协议 v p n 上协议 上层协议 协议x 一一 协议x 协议y 协议y 一- 协议y 1r 公用网上协议 下层协议 下层协议 下层协议 图2 - 2v p n 的协议体系结构 f i g u r e 2 - 2p r o t o c o l a r c h i t e c t u r eo f v p n 新的隧道头提供了路由信息，从而使封装的负载数据能够通过互联网络传递。 被封装的数据包在隧道的两个端点之间通过公共互联网络进行路由，一旦到达隧 道终点，数据将被解包并转发到最终目的地。隧道技术是指包括数据封装，传输 和解包在内的全过程。 目前因特网上较为常见的隧道协议大致有两类：第二层隧道协议和第三层隧 道协议。两者的区别主要在于用户数据包在网络协议栈的第几层被封装，然后在 隧道中传输。第二层隧道协议对应o s i 模型中的数据链路层，使用帧作为数据交 换单位，将数据封装在点对点协议( p p p ) 帧中通过网络发送。第三层隧道协议对 应o s i 模型中的网络层，使用包作为数据交换单位，将p 包封装在附加的口包头 中通过口网络传送。 2 、加解密技术【l l - 1 2 】( e n c r y p t i o n & d e c r y p t i o n ) v p n 网络是建立在公共网络上的私有网络，公共网络是一个不安全的网络， 嗅探等网络行窃手段层出不穷，如果在其上传递的信息不经过加密的话，非常容 易被窃取，给私有网络造成非常大的危害。因此，我们必须对经v p n 网络进行传 输的信息进行加密处理，以使即使信息被窃取，对方也不能得知信息的内容，以 达到保护数据传输的目的。 v p n 技术的安全保障主要就是靠加解密技术来实现的。加密技术可以在协议 栈的任意层进行，可以对数据或报文头进行加密。算法种类包括：对称密钥算法 和公共密钥算法。对称密钥算法在加密和解密时使用的是同一个密码，而公共密 钥算法有一对密钥，分别称为公钥和私钥，用其中一个密钥加密，必须用另一个 密钥才能解密。 3 、密钥管理技术( k e ym a n a g e m e n t ) 密钥管理的主要任务是如何保证在公用数据网上安全地传递密钥而不被窃 取。v p n 中密钥的分发与管理是非常重要的。密钥的分发有两种方法：一种是通 过手工配置的方式，另一种采用密钥交换协议动态分发。手工配置的方法由于密 钥更新困难，只适合于简单网络的情况。密钥交换协议采用软件方式动态生成密 钥，适合于复杂网络的情况且密钥可快速更新，可以显著提高v p n 的安全性。 4 、使用者与设备身份认证技术( a u t h e n t i c a t i o n ) 网络上的用户与设备都需要确定性的身份认证，这是v p n 需要解决的首要问 题。错误的身份认证将导致整个v p n 的失效，不管其他安全设施有多严密。 使用者与设备身份认证技术最常用的是使用者用户名与密码方式，这种认证 方式广泛地使用在计算机用户认证中，实际应用表明，这种认证方式存在诸多缺 陷，只能用在安全要求不高的场合。而v p n 上传递的是敏感信息，如果因为各种 主观或客观原因造成用户名密码泄露，整个网络将处于危险之中，因此常规用户 名密码方式显然不能提供足够的安全保障。对于设备更安全的认证通常依赖可信 第三方签发的数字证书。设备间交换资料前，须先确认彼此的身份，接着出示彼 此的数字证书，双方将此证书比对，如果比对正确，双方才开始交换资料，反之， 则不交换。 以上这些安全技术提供了v p n 的基本安全保证。 2 1 3 常用的v p n 技术 目前，常用的v p n 技术主要有3 种：基于m 安全协议的i p s e cv p n 、基于安全套 接层协议的s s lv p n 和基于多协议标签交换的m p l sv p n ，下面对这三种技术进行 简要的介绍。 l 、i p e cv p n 技术【1 3 】 i p s e c ( i ps e c u r i t y ) 是由i e t f 制定的保护i p 协议安全通信的标准，其旨在在网络 层为i p 分组提供安全服务，包括提供访问控制、数据机密性和完整性保护、数据来 源认证、防重播。i p s e c 作为一个协议族由以下部分组成：( 1 ) 保护分组流的协议； 9 ( 2 ) 用来建立这些安全分组流的密钥交换协议( i k e ) 。前者又分成两个部分：加密分 组流的封装安全载荷( e s p ) 及较少使用的认证头( a h ) ，认证头提供了对分组流的认 证并保证其消息完整性，但不提供保密性。 所谓的i p s e c 处理就是对口包进行认证和加密。i p s e c 既可以对m 数据包只进行 加密或只进行认证，也可以同时实施二者。但无论是进行加密还是进行认证，i p s e c 都有两种工作模式，一种是隧道模式，另一种是传输模式。 ( 1 ) 隧道模式，对整个i p 数据包进行加密和认证。此时，需要生成一个新的p 头部，将原始i p 包作为数据封装在新的印数据包中，i p s e c 头部被放在新产生的口 头部和以前的p 数据包之间，从而组成一个新的口头部。 ( 2 ) 传输模式，只对p 数据包的有效负载进行加密和认证。此时，继续使用以 前的i p 头部，只对i p 头部的部分域进行加密，将i p s e c 协议头部插入到p 头部和传 输层头部之间。 i p s e c 中有2 个重要的数据库：s a d ( 安全联盟数据库) 和s p d ( 安全策略数据库) 。 s a d 中的每一个元组是个安全联盟s a ，它是构成i p s e c 的基础，是两个通信实体 经协商建立起来的一种协定，它决定了用来保护数据包安全的i p s e c 协议、转码方 式、密钥以及密钥的有效存在时间等。s p d 中的每一个元组是一条安全策略s p ， 定义了应用于数据包的安全服务以及如何对数据包进行处理，是人机之间的安全 接口，包括策略定义、表示、管理以及策略与i p s e c 系统各组件间的交互。 在i p s e cv p n 中，s p d 和s a d 联合使用。对于发送方，每个s p d 中的s p 都指向 相关的s a d 中的s a 。如果一个s p 没有指向适合发送包的s a ，那么将会创建新的 s a ，并将s p 和新的s a 链接起来。对于接收方，通过包头信息包含的i p 目的地址、 i p 安全协议类型( a n 或e s p ) 以及s p 在s a d 中查找对应的s a 。 i p s e cv p n 是通过i p s e c 技术建立安全数据隧道的v p n 解决模型。安全数据隧道 本质上是提供独立封闭的数据包安全传输。i p s e c 工作于网络层，对终端站点间所 有传输数据进行保护，而不管是哪类网络应用。它在事实上将远程客户端“置于” 企业内部网，使远程客户端拥有内部网用户一样的权限和操作功能。 i p s e cv p n 是目前应用最广泛的方案，它可以采用几乎所有的加密算法，安全 性高，被大多数公司和组织认可，但需要安装v p n 客户端，配置较复杂，而且i p s e c v p n 建立的连接使客户端像访问内部局域网的方式访问网络，如果客户端感染病 毒容易导致整个内部网受感染。 2 、s s lv p n 技术【1 4 】 s s l ) n 即指采用s s l 协议来实现远程接入的一种新型v p n 技术。s s l ( s e c u r e s o c k e tl a y e r ) 即安全套接层协议，是网景公司提出的基于w e b 应用的安全协议， 它指定了在应用程序协议( 如h t f p 、t e l n e t 、f t p 等) 和t c p i p 协议之间进行数据交 1 0 换的安全机制，为t c p i p 连接提供数据加密、服务器认证、消息完整性以及可选 的客户机认证，因此s s l 协议提供的是应用程序的安全服务而不是网络的安全服 务。 s s l 协议由s s l 握手协议、修改密文协议、告警协议和s s l 记录协议组成，它 们共同为应用访问连接提供认证、加密和防篡改功能，其协议栈如图2 3 所示。 h t n f ，i p s m t p 握手协议修改密文协议 告警协议 s s l s s l 记录协议 t c p i p 图2 - 3s s l 协议结构图 f i g u r e 2 3p r o t o c o ls 仃u c t i eo fs s l 握手协议是s s l 中最复杂的部分，主要用于服务器和客户之间的相互认证，协 商加密算法和m a c ( m e s s a g e a u t h e n t i c a t i o i lc o d e ) 算法，用于生成在s s l 记录中发送 的加密密钥；s s l 记录协议为各种高层协议提供基本的安全服务，在客户机和服务 器之间传输应用数据和s s l 控制数据，即用于交换应用数据；s s l 修改密文协议由 一条消息组成，其作用是把未定状态拷贝为当前状态，更新用于当前连接的密钥 组；s s l 告警协议主要用于为对等实体传递与s s l 相关的告警信息，用于标识在什 么时候发生了错误或两个主机之间的会话在什么时候终止。 s s l 通过握手协议来建立会话j 握手协议是在应用程序传输之前使用的。建立 s s l 连接的双方在执行握手协议的过程中实现对服务器的身份鉴别( 或双方相互身 份鉴别) ，通过协商确定加密算法、h a s h 算法、压缩算法、交换加密使用的对称密 钥，实现服务器和客户机之间逻辑意义上的“安全握手，这时应用程序才能开始 交换数据。 应用程序消息被分割成可管理的数据块( 可以选择压缩数据) ，并产生一个 m a c 信息，加密，插入新的文件头，最后在t c p 中加以传输；接收端将收到的数 据解密，做身份验证、解压缩、重组数据包然后交给高层应用进行处理。 s s l v p n 重点在于保护具体的敏感数据，比如s s l v p n 可以根据用户的不同身 份，给予不同的访问权限，而且在配合一定的身份认证方式的基础上，不仅可以 控制访问人员的权限，还可以对访问人员的每个访问，每个操作进行数字签名， 保证每笔数据的不可抵赖性和不可否认性，为事后追踪提供了依据。 s s l v p n 可以提供基于应用层的访问控制，具有数据加密、完整性检测和认证 机制，而且客户端无需安装特定软件，更加容易配置和管理等特点，它正成为企 业应用、无线接入设备、w 曲服务以及远程用户的安全接入管理的关键技术。 3 、m p l sv p n 技术【1 5 - 1 6 】 m p l sv p n 是一种基于m p l s ( m u l t i p r o t o e o ll a b e ls w i t c h i n g ，多协议标签交 换) 技术的i p 虚拟专用网络。m p l s 交换技术引入了基于标签的机制，把选路和转发 分开，由标签来规定一个分组通过网络的路径。 m p l sv p n 典型组网如图2 4 所示，其中，p e 为骨干网边缘路由器，是m p l s v p n 的核心，为每个v p n 建立一个虚拟路由转发表) ，执行标签的强加( 入口 p e 路由器) 和移除( 出口p e 路由器) 。c e 为用户网边缘路由