（计算机应用技术专业论文）基于diameter协议的网络接入服务器模型研究.pdf

基于d i 柚e t e r 协议的网络接入服务器模型研究 摘要 认证、授权和计费( a 从) 协议，如t a c a c s 和r a d i u s ，当初是为了对终端 访问服务和p p p 拨号服务实行访问控制而开发的。随着互联网的发展，以及 新的接入技术的引入( 如无线接入、d s l 、移动i p 和以太网) ，越来越复杂的 路由器和网络接入服务器大量投入使用，对a 从协议提出了新的要求使得 t a c a c s 和r a d i u s 协议的缺点日益明显，已经无法胜任目前以及今后i p 网络， 尤其是n g n ( 下一代网络) 时代对a a a 服务日益增长的要求。 考虑到不同网络的融合以及互联网本身的发展，迫切需要新一代的基于 i p 的从a 技术，以期解决现在a 从服务中存在的一些问题。d i a m e t e r 协议已 经被i e t f 指定为下一代的从a 协议标准。 本文的主要工作包括： 首先，对d i a m e t e r 、队p 和p a n a 协议进行了较深入的研究分析。d ia l l i e t e r 协议不仅保持了与广为使用的r a d i u s 协议的兼容，更克服了r a d i u s 协议的 许多不足，它不仅被互联网采用，而且被下一代移动通信网( 3 g ) 采用。e a p 协议提供了端到端的认证机制，支持多种认证方法，具有良好的扩展性。p a n a 协议是独立于链路层的的网络接入认证协议，用于在用户和接入网络之间传 输卧p 报文，为用户的网络接入认证提供支持。 其次，基于d ia i i l e t e r 、e a p 和p a n a 协议，设计了一个网络接入服务器模 型。该模型覆盖了d ia i i l e t e rn a s r e q 应用和e a p 应用、p a n a 协议中p a a 和e p 的功能，以及e a p 协议中认证者的功能。 最后，设计并实现了一个网络接入服务器原型系统，并且对原型系统进 行了系统测试。测试结果表明，原型系统基本实现了d i 锄e t e r 、e a p 和p a n a 协议对网络接入服务器的要求。 关键词：a 从d i a m e t e re a pp a n a 网络接入服务器 t h er e s e a r c ho nan a sm o d e lb a s e do nd i a m e t e rp r o t o c o i a b s t r a c t a u t h e m i c a t i o n ，a u t h o r i z a t i o na n da c c o u n t i n g ( a a a ) p r o t o c o l ss u c ha s 1 、a c a c sa n dr a d i u sw e r ei n i t i a l l yd e p l o y e dt o p m v i d ed i a l u p p p pa n d t e 兀1 n i n a ls e r v e ra c c e s s w i t l lt l l e 粤d w t lo ft h ei n t e n l e ta i l dt h ei n t r o d u c t i o no f n e wa c c e s st e c h n o l o 西e s ，i n c l u d i n gw i r e l e s s ，d s l ，m o b i l ei pa n de t l l e m e t ， m u t e r s 卸dn e t 、o r ka c c c s ss e r v e r s ( n a s ) h a v ei n c r e a s e di nc o m p l e x i t ya 1 1 d d e n s i t y p u t t i n gn e wd e n l a n d so na a ap r o t o c o l s t a c a c sa n dr a d i u s p m t o c o l sa r en o tc o m p e t c n tf o rd 锄锄d so nc u e i l ta a as e i c e so fn e t w o r k s b a s e do n i p e s p e d a l l y i n n g ne r a i l l t t l e 如t u r c t a k i i l gi n t oa c c o u mm ea m a l g a m a t i o nb e n e e l lp s t n ，c o m p u t e rn e t 、v o r ka i l d c a b l et vn e t 、v o r k ，a i l dt h ed e v d o p m e n to fi n t e r n e t ，t h en e x tg e n e r a t i o na a a t e c h n 0 1 0 盯b a s e do n 口i sn c c d c dt 0s 0 1 v em a n ye x i s 石n gp m b l e i t l si na a a s e f “c c s d i a m d t e rp r o t o c o lh a sb e a p p o n e d 声_ 协p r o t o c o ls t 醐d a r db yi e t f h lt l i sd i s s e r t a t i o 玛t h ep r i m a r yw o r ki i l d u d e s ： f i r s t l y m e 廿1 0 r o u 曲r c a r c h 锄d 趾a l y s i so fd i 锄e t 鹎e a p 柚dp a n a p m t o c o l si sd o n e d i a m e t e rp r o t o c o ln o to i l l yk e 印sc o i n p a t i b i l 埘惭t hr a d i u s p m t o c o l ，b u ta l s oo v e r c o m e sm a n ys h o r t c o m i l l g so fr a d i u sp m _ o c 0 1 d i 锄e t e r p r o t o c o l i sa d o p t c dn o to n l yb yh l t e m e t ，b u ta l s ob yt l l en e x tg e n e r a d o nm o b i l e 卿m u n i c a t i o nn 对、v o r k ( 3 g ) e a pp m v i d c sap e e 卜t o p e e ra u t h c n t i c a t i o n m e c h a n i s m ， w 1 1 i c h s u p p o r t s v 撕o u sa u 幽e n t i 锄o nm e t l l o d sa n dh a sh i g h e x p a l l s i b i b t y p a n ai sa1 i n k 1 a y e ra 朗o s t i ct r a n s p o r tp r o t o c o lf o re a p t oe n a b l e n 咖o r ka c o e s sa u t l l e n t i c a t i o nb e 脚e e nc l i e n t sa n da c c e s sn e t 、o n ( s s e c o n d ly t l l en a sm o d db 嬲e do nd i 锄c t e a pa n dp a n ap m t o c 0 1 si s d e s i 印e d t h em o d e lc o i l s i s t so fn a s r e qa n de a pa p p l i c a t i o no fd i 啪e t e r p r o t o c o l ，p a aa j l de p 缸1 c t i o no fp a n ap i o t o c o l ，a n da u m e l l t i c a t o r 缸l c t i o no f e a pp r o t o c 0 1 f i n a l ly t 1 1 en a sp r o t o t y p es y s t 锄i sd e s i 鲷c da n di m p l e l l l e n t c d ，a n dt l e s y s t e r ni st e s t e d t h er e s u l tp r o v e st h a tt h es y s t 哪b a s i c a l l ys a t i s 6 e sr e q u i r 朗n e n t o f an a sd e f i n c db yd i 锄鼬e a pa n dp a n a p m t o c o l s k e yw 叫d s ：a 从，d i a m e t e r je a p p a n a ，n e m o r ka o c e s ss e n r c r 合肥 工业 大学 小论文经答辩委员会全体委员审查，确认符合合肥【业人学 硕j 。学位论文质量要求。 答辩委员会签名：( 工作单位职称) 手席 委员 导师： 丝z 历中跏吹乏矿呕 乏心后峥 撕 1 矽儿 z ，彰足刍 7 7 髭霞 t 。 插图清单 2 1t l s 协议栈 2 2e a p 协议体系结构， 2 3 卧p 协议的报文格式， 2 4e a p 请求和应答报文格式 2 5m d 5 七h a l l e n g e 类型的e a p 请求和应答报文格式 2 6e p 的s u c c e s s 和f a i l u r e 报文格式 2 7e a p 协议认证流程， 3 1d i a m e t e r 协议体系结构 3 2d i 锄e t e r 协议的报文格式 3 3d ia n l e t e r 协议的a v p 格式， 4 1p a n a 协议的体系结构 4 2p a n a 协议认证授流程 4 3p n a 协议的报文格式 4 4p a n a 协议的a v p 格式 5 1n a s 参考模型 5 2 网络接入服务a 从体系结构。 5 3 基于e a p m d 5 的n a s 认证系统功能实体协议栈 5 4 基于d i a m e t e r 协议的n a s 模型 6 tn a s 原型系统的总体框架， 7 1 测试环境拓扑结构， 7 2 用户认证结果图， 7 3 用户授权结果图 2 2 3 4 6 7 8 5 7 8 9 5 6 6 7 7 5 0 l l l l2 2 2 2 3 3 3 3 4 6 7 7 ， ， ， ， ， ， ， ， ， ， 图图图图图图图图图图图图图图图图图图图图图图 表5 1 认证流程， 表5 2 重新认证流程 表5 3 终止会话流程 表格清单 3 8 4 2 4 4 独创性声明 本人声明所呈交的学位论文是本人往导师指导f 进行的研究工作 及取得的研究成果。掘我所知，除了文中特别加以标注和致谢的地方外， 论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得 佥胆 王些盘堂或其他教育机构的学位或证书而使用过的材料。与我 - 一同工作的同志对本研究所做的任何贡献均己在论文中作了明确的说 明并表示谢意。 学雠文辅娩尹1 哀) 茔 签字吼彬年彻日 学位论文版权使用授权书 本学位论文笔者完全了解金匿王些太堂有关保留、使用学位论 文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁 盘，允许论文被查阅和借阅。本人授权盒壁王些太堂可以将学位论 文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印 或扫描等复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后适用本授权书) 学位论文笔者签名：尹匀i j 圭 签字日期。詹。弦争月6 日 导师签名： 签字日期 学位论文笔者毕业后去向： 工作单位：伴劳议桶乎黝灵电话 通讯地址：邮编 日 致谢 奉论文是在我的导师周健老师的指导下完成的。周老师治学严谨，学识 渊博，平易近人。在我三年的研究生学习期间，周老师给r 我悉心的指导和 无微不至的关怀。他严谨的工作作风，求实的科学态度，进取的研究精神给 了我深刻的影响，是我以后工作学习的楷模。住本论文的研究和撰写期间， 周老师提出了很多指导性的意见，并多次对文稿进行了悉心的审阅。在此， 向我的导师周健副教授表示最真挚的感谢! 感谢和我一起学习的李凯、洪燕、辜丽川和方璞同学，他们的意见和建 议让我获益匪浅。 感谢师兄谢飚、陈继和冷宁，在他们的帮助下，我的学习和研究工作少 走了很多弯路。感谢陆金山、李海锋和任清亮同学，我们在一个实验室度过 了两年快乐的时光。 感谢所有帮助过我的老师、同学和朋友。 最后，感谢我的父母家人和女友侯保花，在他们的帮助下，我才能顺利 完成学业。 笔者：尹家生 2 0 0 5 年4 月 1 1 研究背景 第一章绪论 网络接入服务器( n e t w o r ka c c e s ss e r v e f ，n a s ) 是处于网络边界的一台 设备，是最终用户进入网络的第一个入口点，基于请求网络服务的用户身份， 以及服务提供者的策略，对请求的网络服务进行控制，并且充当后续网络服 务的网关”1 。网络接入服务器可以被抽象为网络中的一个点，在该点，用户 被认证，访问策略被执行，网络服务被授权，网络使用被审计，资源消耗被 跟踪。网络接入服务器通常充当网络a 从a ( 认证、授权、计费、审计) 服务 的执行点。网络接入服务器通常是网络中执行安全策略，进行安全测量的第 一个地方”。因此，对最终用户和服务提供者而言，网络接入服务器的作用 都非常重要。 t a c a c s 叫和r a d i u s 。川一直被广泛应用于js p 和企业网，作为a 从( 认证、 授权、计费) 协议使用。实际上，这两个协议在设计之初，都是应用于仅支持 若干要求简单基于服务器认证的终端服务和p p p 拨号服务嘲的小型网络“。 随着互联网的发展，以及新的接入技术的引入( 如无线接入、d s l 、移动i p 和以太网) ，越来越复杂的路由器和网络接入服务器大量投入使用，对a a a 协议提出了新的要求，使得传统的t a c a c s 和r a d i u s 协议的缺点日益明显“， 已经无法胜任目前以及今后i p 网络，尤其是n g n ( 下一代网络) 时代对a a a 服 务日益增长的要求”1 。 目前，3 g 网络正逐步向全i p 网络演进，4 i 仅在核心网络使用支持i p 的网 络实体，在接入网络也使用基于i p 的技术，而且移动终端也成为可激活的 i p 客户端”1 。在这样的网络中，移动i p 将被广泛使用。支持移动i p 的终端 呵以在注册的家乡网络中移动，或漫游到其他运营商的网络。当终端要接入 到网络，并使用运营商提供的各项业务时，就需要严格的a a a 过程9 。r a d i u s 协议没有对代理提供明确的支持，并且缺乏审计和传输层安全机制，这使得 基于r a d i u s 协议的漫游容易受到第三方的攻击，甚至受到参与漫游的一方的 欺骗”1 。 考虑到不同网络的融合以及互联网本身的发展，迫切需要新一代的基于 i p 的从a 技术，以期解决现在从a 服务中存在的一些问题“。为此，1 9 9 8 年1 2 月，i e t f ( 互联网工程任务组) 在第4 3 次会议上成立了a a a 工作组，着 手a 从相关标准的研究“。很快4 个协议方案s n m p 、r a d i u s + 、叭a m e t e r ” 和c o p s 被提出“。2 0 0 1 年6 月，i e t f 的a a a 工作组同意将d i a m e t e r 协议 定为下一代的从a 协议标准。d i a m e t e r 基础协议已经于2 0 0 3 年9 月被l e s g 批准成为标准，各种应用协议正在开发中，没有形成r f c 文档。 d i a m e t e r 协议的设计目的，是创建一个能够充分满足目前乃至今后i p 网络( 包括n g n 以及3 g 等) 用户访问控制要求的从a 协议。 d i a m e t e r 协议不仅保持了与广为使用的r a d i u s 协议的兼容，更克服了 r a d i u s 协议的许多不足，而且它不仅被互联网采用，更被下一代移动通信网 ( 3 g ) 采用“。在i t u ，3 g p p 和3 g p p 2 等国际标准组织中，都已经l f 式将 d i a j n e t e r 协议作为n g n 、w c d m a 和c d m a 2 0 0 0 等未来通信网络的首选a 从协议 r 7 】 综上所述，对基于d i 锄e t e r 协议的网络接入服务器进行研究，具有重要 的理论意义和实践意义。 1 2 本文工作 笔者在本论文中反映的工作包括三大部分： ( 1 ) 对d i 硼e t e r ”3 、e a p “”和p a n a “2 1 协议的研究分析，为后续章节中n a s 模型的设计，以及n a s 原型系统的设计与实现奠定了理论基础。 ( 2 ) 基于d i 硼e t e r 、e a p 和p a n a 协议，设计了一个n a s 模型，阐述了该 模型的体系结构和工作流程。 ( 3 ) 在上述研究分析的基础上，设计并实现了一个n a s 原型系统，并且对 该原型系统进行了系统测试。测试结果表明，笔者设计与实现的n a s 原型系 统基本实现了d a i i i e t e r 、e a p 和p a n a 协议对网络接入服务器的要求。 1 3 本文结构 本文的后续章节安排如下： 第二章介绍网络a 从服务的基础知识，包括a 从服务常用的术语、传输 协议和安全协议，并且对e a p 协议( 扩展认证协议) 进行研究分析。 第三章研究分析d i a m e t e r 协议的体系结构、工作原理、报文格式，对 等连接的建立与维护机制，用户会话的维护与终止机制，d i 硼e t e r 协议的 n a s r e q 应用，以及d ia l i l e t e r 协议的e a p 应用。 第四章研究分析p a n a 协议的体系结构、工作原理、报文格式，p a n a 会 话的建立、维护与终止机制。 第五章根据前面几个章节的研究分析，基于d i 鲫e t e r 、e a p 和p a n a 协 议，设计一个n a s 模型。 第六章基于本文第五章设计的n a s 模型，设计并实现一个n a s 原型系统。 第七章对n a s 原型系统进行系统测试。 论文的最后一部分是对本文工作的总结和对今后工作的展望。 第二章网络a 从服务基础知识 本章对网络a 从服务的基础知识进行介绍，包括a a a 服务常用的术语、 传输协议和安全协议，并且对e a p 协议进行研究分析。 2 1a a a 服务常用术语 a u l h o r iz a ti o n ，a n da c c o u n t i n g ，a 从) ：认证、 认证( a u t h e n t i c a t i o n ) ：验证一个用户身份的行为。认证是通过对用户 所持有的标识的检查完成的。标识可能是密码、数字证书、智能卡等。 授权( a u t h o r i z a t i o n ) ：基于用户的身份、所访问的服务、当前的系统状 态，决定一个用户是否被允许使用某些资源的行为。 计费( a c c o u n t i n g ) ：对用户所消耗的资源进行追踪。这些信息可以用于 管理、规划、记帐，以及其它目的。计费信息通常包括用户标识、服务类型、 服务的起始时间和结束时间等。 实时计费( r e a 卜t i m ea c c o u n t i n g ) ：要求对资源使用信息在规定的时间 内处理完毕。对计费加上实时性要求，主要是为了降低金融风险。 a v p ( a v p ) ：d i a m e t e r 报文是由一个报文头部和多个属性值对 ( a t t r i b u t e v a l u e p a i r s ，a v p s ) 构成。a v p 用于封装d i a m e t e r 协议数据( 如 路由信息) ，1 以及认证、授权、计费信息。 d ia i i l e t e r 服务器( d ia i i l e t e rs e r v e r ) ：处理来自特定域的认证、授权、 计费请求的服务程序。d i a m e t e r 服务器不仅要支持d i a e t e r 基础协议，而 且要支持d i a m e t e r 应用协议。在不引起混淆的情况下本文把运行该服务程 序的主机也称为d i 鲫e t e r 服务器。 d i a m e t e r 客户( d i a m e t e rc l i e n t ) ：处于网络边界执行访问控制的设备。 典型的d i a m e t e r 客户是网络接入服务器和外部代理。 d i 锄e t e r 用户( d ia f i l e t e ru s e r ) ：请求或者使用网络资源的实体。 网络接入服务器( n e t w o r ka c c e s ss e r v e r ，n a s ) ：为用户提供网络接入服 务的设备。 中继器( r e l a ya g e n t ) ：中继器根据报文中与路由相关的a v p 和本地的路 由表条目来转发报文。 4 c阻tem 。 柚费“计 帆 、 权授 代理( p r o x ya g e n t ) ：代理不仅转发d ia i i l e t e r 报文，而且做出关于资源 使用与提供的决定。代理会跟踪d i a e m t e r 客户的状态，并且依据d ia j l l e t e r 客户的状态做出决定。 重定向器( r e d fr e c ta g e n t ) ：重定向器并不在d i a m e t e r 客户和d i a m e t e r 服务器之间转发报文，收到d i a m e t e r 客户发来的报文后，仅仅修改报文中与 路由相关的a v p ，然后把报文返回给d i a m e t e r 客户，使得d ia i 】1 e t e r 客户与 d ia f i l e t e r 服务器之间可以直接通信。 协议转换器( t r a n s l a t i o na g e n t ) ：提供d ia l e t e r 协议和其它协议( 如 r a d i u s 协议) 之问转换服务的节点。 d ia i i l e t e r 节点( d i a m e t e rn o d e ) ：实现了d ia i i l e t e r 协议，执行d ja i i l e t e r c l i e n t 、d i 踟e t e ra g e n t 、d i 硼e t e rs e r v e r 功能的主机。 安全交换( s e c u r i t ye x c h a n g e ) ：在两个节点之问建立端到端安全的过 程。 安全关联( s e c u r i t ya s s o c i a t i o n ，s a ) ：参与同一个会话的两个端点之 间的一种联系。即使在这两个端点之问存在中继与代理，这种联系仍然保证 这两个端点之间通信的数据完整性和数据保密性。 会话( s e s s i o n ) ：关于某个特殊活动的一组相关而且连续的事件。所有的 d i a m e t e r 应用都必须提供有关会话何时开始与何时结束的指导。具有相同 s e s s i o n i d 的所有的d i 锄e t e r 报文，被认为属于同一个会话。 端到端安全( p e e r - t o p e e rs e c u r i t y ) ：t l s 和i p s e c 提供了跳到跳安全 ( h o p 岫y h o ps e c u r i t y ) ，或者说是传输层安全。当报文被中继或者代理处理 之后，这种跳到跳安全并不能保证用户的整个会话是安全的。端到端安全保 证两个节点之间的整个会话是安全的，即使该报文被a g e n t 处理过。这种安 全保证从信息始点到信息终点的整条传输路径是安全的。 网络访问标识( n e t w o r ka c c e s si d e n t i f i e r ，n a i ) ：在d ia j i i e t e r 协议中， n a i 由用户标识、“ ”符号和域名组成。用户标识用于在认证授权时标识 个用户，而域名是该用户家乡域的域名，用于对d i a e t e r 报文进行路由。 域( r e a l m ) ：n a i 中跟在“ ”字符之后的字符串。n a i 中的域名需要具有 唯一性，并且要与d n s 名称空问中的相应部分一致。d i a m e t e r 使用域名来决 定报文是需要由本地处理，还是需要路由或重定向。 家乡域( h o m er e a l m ) ：为用户提供账号的管理域。 家乡服务器( h 0 m es e r v e r ) ：位于家乡域中的a 从服务器。 本地域( l o c a lr e a l m ) ：为用户提供服务的管理域。一个管理域可以作为 一些用户的本地域，同时作为另一些用户的家乡域。 p p p ( p o i n t t o p o i n tp r o t o c o l ，p p p ) ：多协议串行数据链路。p p p 是用 于拨号网络接入服务的主要i p 数据链路协议。 c h a p ( c h a l l e n g eh a n d s h a k ea u t h e n t i c a t i o np r o t o c o l ，c h a p ) ： 用于 p p p 中的。个认证协议。 队p ( e x t e n s i b l ea u 仙e n t i c a t i o np r o t o c o l ，e a p ) ：扩展认证协议，提 供端到端的认i l i 机制，支持多种认证方法，具有良好的扩展性。 p a n a ( p r ol o c o lf o rc a r r y i n ga u t h e n t i c a t i o nf o rn e t w o r ka c c e s s ， p a n a ) ：独立于链路层的的网络接入认证协议，用于在用户和接入网络之间传 输e a p 认证信息。 p a c ( p a n ac ji e n t ，p a c ) ：p a c 是实现p a n a 协议的客户程序。该实体部署 在请求网络接入服务的节点( p a c s ) 上。p a c s 是通过有线或无线接口接入网络 的主机，例如笔记本电脑、p d a s 、蜂窝电话、桌面p c 、路由器等。p a c 负责 请求网络接入，并且使用p a n a 协议参与认证过程。在不引起混淆的情况下， 本文直接把运行p a c 的主机，或者使用该主机的用户称为p a c 。 p 从( p a n aa u t h e n t i c a t i o na g e n t ，p 从) ：p a a 是实现p a n a 协议的服务 程序，位于用户与认证服务器之间，负责对用户的网络接入进行认证授权。 e p ( e n f o r c e m e n tp o i n t ，e p ) ：e p 是访问控制的执行者，允许授权用户 接入，禁止未授权用户接入。e p 从p a a 获得授权用户的参数。 m a c ( m e s s a g ea u t h e n t i c a t i o nc o d e ， i a c ) ：消息认证码，用于报文的完 整性验证。 2 2a a a 服务使用的传输协议 2 2 1t c p 协议简介 t c p ( t r a n s m i s s i o n c o n t r o lp r o t o c 0 1 ，t c p ) “3 1 是一个面向连接的数据传 输协议，运行于网络层之上，为应用程序提供可靠的端到端数据传输服务。 t c p 能够处理数据损坏、数据丢失、数据重复、数据乱序等情况。t c p 是一个面向字节流的协议，发送方的t c p 为自己发送的每一个字节予以编号， 并且要求接收方的t c p 对收到的所有数据予以确认。在数据发送后一段时间， 如果发送方没有收到确认信息，那么发送方将重新发送该数据。接收方根据 编号对收到的数据进行排序，并且删除重复数据。在发送数据前，发送方对 t c p 报文进行校验和计算，并且把计算的结果添加到t c p 报文中；接收方对 收到的报文进行校验，丢弃损坏的报文。 6 t c p 提供了流量控制机制，使得接收方可以控制发送方的发送速度。t c p 使用滑动窗口机制来实现流量控制机制，在确认报文中包含一个数值用于指 定在耵个成功接收的分段后可以接收的编号的范围，发送方不应该发送该 范崮之外的分段。 为了让一个主机中多个进程可以使用t c p 同时进行通信，t c p 在每个主 机中提供了批端口，并把这些端口称为主机地址。把主机地址和网络地址 ( 主机的网络层地址) 连在一起构成了一个套接字( s o c k e t ) 。一对套接字构成 一个t c p 连接，这样允许多个t c p 连接同时使用。 在传输数据前，t c p 需要建立连接，并且维护连接的状态信息。这些信 息包括套接字、顺序号( 执行同步时协商出的字段编号) 、滑动窗口的大小， 这些信息构成了一个连接。一个连接唯一的确定了一对套接字，并且唯一的 标识了通信的双方。t c p 提供了拥塞控制机制。 t c p 利用网络层的服务类型( t y p eo fs e r v i c e ，t o s ) 字段和安全选项为 t c p 用户提供基于t c p 连接的数据传输的优先顺序和数据安全。 2 2 2u d p 协议简介 u d p ( u s e rd a t a g r 硼p r o t o c o l ，u d p ) 1 是一个面向非连接的数据传输协 议，运行于网络层之上。u d p 的目标是为用户提供快速的数据传输服务，但 是不检测重复的数据，不迸行流量控制，不提供数据分段和重组功能，不需 要建立连接，也不需要撤除连接，不对收到的数据进行确认，不检测数据是 否丢失，不提供数据的重新传输机制。u d p 协议的开销很小，传输速度快， 但是提供的是一种不可靠的数据传输服务。此外，u d p 不提供拥塞控制机制。 u d p 协议适用于需要快速的数据传输服务，并且对少量的数据丢失不太 敏感的应用，如视频传输。使用u d p 的应用需要自己对收到的数据进行重新 排序，如果需要实现可靠的数据传输，需要应用协议自己实现数据的丢失检 测，以及数据的重新传输。 在局域网环境中，数据丢失率低，u d p 可以充分发挥其长处：在互联网 环境中，数据丢失率高，如果希望获得可靠的数据传输，那么t c p 是更好的 选择，因为t c p 提供的数据传输服务是可靠的，降低了应用程序开发的难度。 t c p 提供了数据分段和重组的功能，因此应用程序可以使用t c p 一次传 输大量数据；而u d p 没有提供类似的功能，因此使用l j d p 的应用程序需要自 己控制。次传输的数据量的大小。 2 2 3s c t p 协议简介 d ia i l 】e t e r 协议使用具有流量控制、传输确认和重传功能的s c t p 或t c p 作为传输协议。s c t p ( s t r e a mc ( ) n t r ( ) lt r a n s m i s s i o n 阶o t o c o l ，s c t p ) 1 h 1 是较新的传输层协议，与u d p 和t c p 位于同一层次。s c t p 在有些方面与t c p 相似1 ，如： ( 1 ) s c t p 在两个端节点之间提供一种面向连接的传输服务； ( 2 ) s c t p 提供可靠传输，确保数据的按序发送，无丢失和无重复： ( 3 ) s c t p 提供完全的双向数据传输功能： ( 4 ) s c t p 利用滑动窗口机制进行流量控制。 另一方面，s c t p 提供了下述t c p 不具备的功能： ( 1 ) s c t p 在两个节点之间能提供多个数据流。对于每一个数据流，均能 保证报文的无丢失、无重复和按序发送。单独的数据交换可以在多个流上同 时进行，其中一个流上的报文丢失并不影响其它流的数据传输。t c p 只能提 供一个流的数据传输，单个报文的丢失会影响后续报文的发送，这种现象称 为线头阻塞( h e a d o f l i n eb l o c k i n g ) 问题。减少线头阻塞是s c t p 的功能之 一，这种特性非常有利于d i 锄e t e r 协议。 ( 2 ) s c t p 是面向报文的，s c t p 保持报文边界，并能为上层协议发送完整 的报文。t c p 是面向字节的，在传输的字节流中不能保持报文边界，需要上 层协议自己处理。 ( 3 ) s c t p 能识别并能利用多址主机( m u l t i - h o m e d h o s t ) 提供的功能。多 址主机具有一个或多个i p 接口。在初始化阶段，对等s c t p 节点可以交换自 己的i p 接口地址池。需要重发的s c t pl 叮以使用另外一个i p 接口进行发送， 从而增加发生网络故障时s c t p 会话的恢复能力。 s c t p 利用多址的目的是进行冗余，而非负载均衡。相对而言，t c p 会话 只能使用单一的i p 地址，i p 接口的失效将导致整个会话的失效。 2 3a 从服务使用的安全协议 2 ，3 1i p s e c 协议简介 i p s e cn 7 1 安全协议的目的，是为了实现数据传输的完整性和保密性，以及 提供一定程度的对重放( r e p l a y ) 攻击的防范。i p s e c 通过认证头 a h ( a u t h e n t i c a t i o nh e a d e r ，a h ) 1 和封装安全负载e s p ( e n c a p s u l a t i n g s e c u r i t yp a y l o a d ，e s p ) 3 来实现对数据传输的鉴别和加密。例如a h 和e s p 可以使用h m a c m d 5 或h 姒c s h a l ”鉴别算法对数据进行完整性保护：e s p 进一步可以使用d e s c b c 。“或其它加密算法实现数据的保密性。a h 和e s p 支 持两种一i ：作模式：传输模式( t r a n s p o r t o d e ) 或隧道模式( t u n n e lm o d e ) 。在 传输模式中，1 p 头与上层协议头之间嵌入一个新的i p s e c 头，即a h 或e s p ； 在隧道模式中，要保护的整个i p 包都封装到另一个i p 数据包里，同时在外 部与内部i p 头之间嵌入一个新的i p s e c 头。 i p s e c 中有两个重要的数据库，分别是安全策略数据库s p d ( s e c u r it y p o l i c vd a t a b a s e ，s p d ) 和安全关联数据库s a d ( s e c u r i t ya s s o c i a t i o n d a t a b a s e ，s a d ) 。s p d 中的每一个元组是一条安全策略，规定数据包的安全 服务以及如何对数据包进行处理。s a d 数据库中的每一个元组是一个安全关 联s a ( s e c u r i t ya s s o c i a l j o n ，s a ) 。s a 是两个通信实体经协商建立起来的 一种协定，决定用来保护数据包安全的协议类型、工作模式、密钥以及密钥 的有效期等重要参数，是构成i p s e c 的基础。s p d 和s a d 数据库必须联合起 来使用。在发送方，每个s p d 的元组都有指针指向相关的s a d 元组。如果一 个s p d 元组没有指向适合发送数据包的s a ，那么将创建新的s a 或s 集。对 于接收方，通过数据包头的目的i p 地址、安全协议类型、安全参数索引 s p i ( s e c u r i t yp a r a l l l e t e ri n d e x ，s p i ) ，在s a d 中查找对应的s a ，从而对接 收的数据包进行处理。 2 3 2t l s 协议简介 t l s ( t r a n s p o r tl a y e rs e c u r i t y ，t l s ) 。协议的基本设计目标，是为 两个通信实体之间提供数据的完整性和保密性保护。t l s 协议能使客户服务 器之间的通信不被攻击者窃听，并且始终对服务器进行认证，还可以选择对 客户进行认证。该协议分为两层：t l s 记录协议和t l s 握手协议，如图2 1 “” 所示。 t l s 握手协议应用协议( 如 r r r p ) t l s 记录拚议 t c p s c t p i p i p v 6 图2 it l s 协议栈 t l s 记录协议建立在可靠的传输协议( 如t c p 、s c t p ) 之上。t l s 记录协议 9 提供的连接安全性有两个基本特点“： ( 1 ) 连接是保密的。在数据加密中使用了对称密码算法( 如d e s 、r c 4 ) 。对 于每个连接，都要根据另+ 个协议( 如t l s 握手协议) 协商的秘密产生一个唯 一的对称密码算法韵密钥( 会话密钥) 。记录协议也可以在没有加密的情况下 使用。 ( 2 ) 连接是可靠的。报文的传输使用了加密的m c 。在计算m a c 时，使用 r 安全的 i a s h 函数( 如s h a ，m d 5 ) 。记录协议也可以不通过m a c 来操作。 记录协议接收传输的应用报文，将数据分成可管理的块，选择性地压缩 数据，应用m a c ，加密，增加首部，在t c p 报文段中传输结构单元。被接收 的数据被解密、验证、解压和重新装配，然后交付给高层协议。 记录协议用于封装高层的协议，例如孔s 握手协议。握手协议使客户和 服务器之间相互进行认证，并拂商加密算法和密钥。在传输任何应用数据前， 使用握手协议。t l s 握手协议提供的连接安全性有以下三个基本特点： ( 1 ) 对等实体可以使用公钥密码算法( 如r s a 、d s s ) 进行认证。这种认证是 可选的，但是通常至少需要对一方进行认证。 ( 2 ) 共享秘密的协商是安全的。即使攻击者能够发起中间人攻击，协商的 秘密也不可能被窃听者获得。 ( 3 ) 协商是可靠的，攻击者不能在不被发现的情况下篡改协商通信数据。 t l s 握手协议包含两个阶段，第一个阶段用于建立秘密通信信道，第二个阶 段用于服务器认证。 t l s 协议的优势在于它对于高层应用协议的透明性( 与应用层协议独立) 。 高层的应用层协议( 如m t p ，f t p ，t e i n e t 等) 能透明的建立于t l s 协议之上， 即t l s 协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商以 及服务器认证工作。高层应用协议可以使用t l s 协议建立的加密信道透明地 传输数据。同时，t l s 协议不依赖于低层的传输协议，可以建立在任何能够 提供可靠连接的协议之上，例如t c p 、s c t p 等。从概念上讲，t l s 记录协议 位于传输层，而t l s 握手协议位于应用层，也就是说，t l s 协议位于传输层 和应用层之间。 2 4e a p 协议分析 2 4 1e a p 协议概述 队p ( e x t e n s i b l ea u t h e n t i c a t i o np r o t o c 0 1 ，e a p ) 1 是一个认证框架， 0 提供了端到端的认证机制，支持多种认证方法，如e a p m d 5 、e a p t l s 、 e a p s i m 、e a p t t l s 以及e a p a k a 等1 ，并且具有良好的扩展性。e a p 可以 直接运行于数据链路层之上，如p p p “7 1 和i e 旺8 0 2 ”，