（计算机系统结构专业论文）虚拟专用网（vpn）中隧道及隧道交换技术研究与实现.pdf

东南人学硕士论文 虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 摘要 在i n t e m e t 迅猛发展的今天，随着企业规模不断扩大，分支机构不断扩展，移动办公不 断增加，企业内部及企业间信息传递越来越多。如何以最低的费用保障通信的高效性和安全 性，是企业极其关注的问题。流行的解决方案是利用i n t e m e t 等公共网络建立v p n ( 虚拟专 用网) 。 本论文的研究内容是国家”8 6 3 ”项目“江苏地区现代集成制造系统总体方案与关键 技术攻关”的一部分：v p n 中隧道及隧道交换技术的研究和实现。旨在探讨符合v p n 安全 需求的隧道及隧道交换技术，开发相应的原型系统并进行测试。 本文在理论研究方面，首先介绍了v p n 关键技术。然后阐述了基于i n t e r n e t 的几种v p n 隧道协议并对它们进行比较，通过比较提出利用i p s e c 隧道协议构建v p n 网关原型系统。 接着介绍i p s e c 的基本原理、i p s e c 协议族及大致的处理流程。最后阐述了y p n 隧道交换技 术及其应用和相关功能模块。 本文在原型系统开发方面，首先给出了原型系统的设计原则、体系结构和实现方案。其 次阐述了原型系统在l i n u x 操作系统中的实现思想、功能模块以及它们在l i n u x 内核中的实 现。最后给山系统的测试和性能评价，提出了系统存在的不足和进一步的改进措施。 关键字：v p n ，i p s e e ，隧道，隧道交换。 东南大学硕士论文虚拟专用同( v p n ) 中隧道及隧道交换技术研究与实现 a b s t r a c t n o w a d a y s ，w i t ht h er a p i dd e v e l o p m e n to fi n t e r n e t ，b e c a u s e o f e x p a n d so f e n t e r p r i s es c a l e 、i n c r e a s e so ft h eb r a n c ho f f i c e 、s p r e a do ft h em o b i l ew o r k ，t h e i n f o r m a t i o nt h a ti st r a n s f e r r e di ni n t e re n t e r p r i s ea n db e t w e e ne n t e r p r i s e sb e c o m e m o r ea n dm o r e s om a n ye n t e r p r i s e sp a ym u c ha t t e n t i o nt oh o wt og u a r a n t e eh i g h e f f i c i e n c ya n ds e c u r i t yo fc o m m u n i c a t i o nb u to n l yu s i n gt h el e a s tc o s t t h e p o p u l a r s o l u t i o ni st oe s t a b l i s hv p n ( v i r t u a lp r i v a t en e t w o r k ) u s i n gp u b l i cn e t w o r ks u c h a si n t e r n e t t h et h e s i s b a s e do nn a t i o n a l “8 6 3 ”p r o j e c t ：t h eo v e r a l l s c h e m ea n dk e y t e c h n o l o g yo fc i m si nji a n g s up r o v i n c e ，m a i n l yr e s e a r c h st u n n e la n dt u n n e ls w i t c h i n g t e c h n e l e g i e sa n di t si m p l e m e n ti nv p n a n dt h ei n t e n t i o nis t od i s c u s sa b o u tt h e t u n n e la n dt u n n e ls w i t c h i n gt e c h n o l o g i e sw h i c ha r es a t i s f i e dw i t ht h es e c u r i t y r e q u i r e m e n ti nv p n ，d e v e l o pc o r r e s p o n d i n gp r o t o t y p es y s t e ma n dt e s t i t i nt h er e s p e c to ft h e o r yr e s e a r c h ：t h et h e s i sf i r s t l y i n t r o d u c ec r i t i c a l t e c h n o l o g i e si nv p n t h e nd e s c r i b es e v e r a lt u n n e lp r o t o c o lb a s e do ni n t e r n e t ，b y c o m p a r i s o no ft h ed i f f e r e n tt u n n e lp r o t o c o l ，t h et h e s i sp u tf o r w a r dp r o t o t y p es y s t e m o nv p ng a t e w a yw h i c hi sb a s e do ni p s e cp r o t o c o l ，f o l l o w i n g ，t h ep r i n c i p l eo fi p s e c 、 i p s e cs u i t ea n dr e l a t e dp r o c e s sf l o wo ft h e ma r eg i v e n a tl a s t ，v p nt u n n e ls w i t c h i n g t e c h n o l o g ya n di t sa p p l i c a t i o na r ee x p l a i n e d 1 et h er e s p e c to fp r o t o t y p es y s t e md e v e l o p m e n t ：f i r s t l y ，t h et h e s i ss h o wt h e s y s t e md e s i g np r i n c i p l e 、a r c h i t e c t u r ea n di m p l e m e n t a t i o nm e t h o d ，t h e ne x p a t i a t e t h ed e s i g nt h o u g h ta n df u n c t i o nm o d u l ew h i c hi se x e c u t e di nl i n u xo p e r a t i n gs y s t e m l a t e r ，t h et e s ta n dp e r f o r m a n c ev a l u eo ft h ep r o t o t y p es y s t e ma r eg i v e n ，i na l l u s i o n t ot h es h o r t so fo u rs y s t e m ，t h eb e t t e r m e n tm e a s u r ei nt h ef u t u r ei sa l s ob r o u g h t o u t z e y w o r d s ：v p n ，i p s e c ，t u n n e l ，t u n n e ls w i t c h i n g i i y s 6 1 0 2 3 东南大学学位论文独创性声明及使用授权的说明 一、学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究 工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的 地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包 含为获得东南大学或其它教育机构的学位或证书而使用过的材料。与 我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确 的说明并表示了谢意。 、 签名： 关于学位论文使用授权的说明 东南大学、中国科学技术信息研究所、国家图书馆有权保留本人 所送交学位论文的复印件和电子文档，可以采用影印、缩印或其他复 制手段保存论文。本人电子文档的内容和纸质论文的内容相一致。除 在保密期内的保密论文外，允许论文被查阅和借阅，可以公布( 包括 刊登) 论文的全部或部分内容。论文的公布( 包括刊登) 授权东南大学 薹篙筮新躲逝嗍签名：盟导师签名：二盟日期： 皆 址 出 东南人学硕士论文 虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 1 1 论文研究背景 第一章前言 中国加入w t o ，国际国内市场统一中国制造企业面临更为激烈的竞争，企业信息化 和企业协作( 如虚j 彗 企业) 被认为是提升企业竞争力的重要手段。信息技术的发展，因特网 的普及为企业间的协作建立了技术上的支撑平台。潜在的问题是基于公网( 如因特网) 传输 信息的安全性。 就企业而言内部构建专用网支持企业本身的信息化，但企业间的协作( 包括企业本身 覆盖范围的扩大。如跨地域的分支机构的设置) 使得铺设专用线路的成本急剧提升。迫切需 要一种技术支持基于公网的数据安全传输。虚拟专用网( v p n ) 技术应运而生。本文研究的 隧道及隧道交换技术就是v p n 的一项关键支撑技术。 v p n 具体实现形式多种多样，但多基于一种称作安全或者加密的隧道( t u n n e l ) 技术。 这种技术可以用来提供网络到网络( n e t w o r kt on e t w o r k ) 主机到网络( h o s tt on e t w o r k ) 或者主机到主机( h o s tt oh o s t ) 的安全通道。简单地说，隧道就是封装，一种封装异种数据 包的协议。隧道是一种虚拟的端到端的连接，这个连接可为隧道的两个端点提供了认证、加 密和访问控制。隧道所使用的协议主要有第二层隧道协议( 包含p p t p 和l 2 t p ) 及第三层隧 道协议( 如i p s e c ) 。 目前的v p n 应用主要采用外包方式，也即由专业公司维护，提供基于公网的增值服务， 此时v p n 隧道的实现终止到企业网防火墙或两个防火墙之间。这种思路的依据是防火墙内的 企业网的安全性由企业自己保证，包括外包公司进入企业网可能会带来其它的副作用。应用 中产生的问题是企业网内部未必绝对安全，不同部门的数据也具有相互屏蔽的要求，包括访 问控制权限的要求。企业网范围的扩大，也使得企业网的本身形成企业内部的公用网。一些 企业提出了自建内部v p n 的思路，这种思路导致了隧道交换技术的需求。利用隧道交换器衔 接公网v p n 和内阿v p n 的隧道，保证用户应用的端到端的安全性。 本论文正是围绕这样的应用需求而开展。 1 2 论文的项目来源及研究目标 v p n 隧道及隧道交换技术是国家“8 6 3 ”项目“江苏地区现代集成制造系统总体 方案与关键技术攻关”的一部分，旨在为企业信息化和企业间的协作构建支撑平台。v p n 的研究包括隧道及隧道交换技术、身份认证等安全技术、访问控制技术、网络管理和q o s 技术。本论文分析现有的隧道及隧道交换技术，结合企业的安全策略，选择合适的i p s e c 隧 道协议并加以实现。 1 3 论文的章节安排 本论文总体分为二个部分：第一部分为v p n 技术、v p n 隧道技术和v p n 隧道交换技术的 讨论：第二部分为基于i p s e c 的v p n 总体设计及网关原型系统的实现。具体如f ： 第一章前言部分：介纠论文的研究背景、目标及安排。 东南大学硕士论文 虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 第二章 第三章 第四章 第五章 v p n 综述；介绍v p n 的定义及其关键技术。 v p n 隧道技术研究；介绍v p n 隧道技术的基本概念，当前几种较为常用的i p 隧 道协议，并对其进行比较分析。 i p 安全( i p s e c ) 协议研究：详细介绍了i p 安全( i p s e c ) 协议的基本原理以 及i p 压缩及其在i p s e cv p n 实现中的作用。 v p n 隧道交换技术研究；介绍了v p n 隧道交换技术弁勺基本原理、应用和实现模 块。 第六章基于i p s e c 的v p n 系统的总体设计：主要介绍论文原型系统网络结构和设计方 案。 第七章基于i p s e c 的v p n 原型系统的实现；主要介绍论文原型系统的实现思想、i p s e c 安全网关对i p 报文的处理过程和i p s e c v p n 网关功能模块之间的关系及实现。 第八章论文原型系统的测试和总结。 东南文学硕士论文 艘拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 2 1v p n 概念及作用 第二章v p n 综述 目前，我国各级政府、企业都在建设自己的企业网以提高自身的工作效率和竞争力。随 着业务范围的不断扩大，网络规模也在扩大有些企业网甚至超过了城域网而真正成为了广 域网。如果按照传统的方式来建造自己的专用广域网或城域网，昂贵的费用是任何一个单位 都无法承受的。因此，通常都采用通过公众信息网进行内部网络互连的( 如图2 1 所示) 。 圈2 1 通过公用同互差的内部喇 公众信息网是对整个社会开放的公众基础网络，具有覆盖范围广、费用低、使用方便等 特点，但同时也存在着安全性差的问题。用户通过公众信息网传输的信息，在传输过程中随 时可能被窃取、修改和伪造。因此通过公众信息网进行企业网络互连尽管能够大幅地降低组 网的成本，但也带来了重大的安全隐患。解决这一矛盾的方法之一就是采用v p n ( v i r t u a l p r i v a t en e t w o r k 虚拟专用网) 技术。 v p n 技术本质上是一个被加密或封装的通信过程，该过程实现数据安全地由一端传到 另一端，这里数据的安全性由可靠的加密技术来保障，而数据是在一个开放的、没有安全保 障的、经过路由转送的网络上传输的。 v p x 技术实现了企业网信息在公众信息网中的传输，就如同在茫茫的广域网中为用户拉 出一条专线。对于用户来讲，公众网络起到了“虚拟专用”的效果。 2 ，2v p n 的关键技术 实现v p n 的关键技术主要包括： ( 1 ) 安全隧道技术( s e c u r et u n n e l i n gt e c h n o l o g y ) 。通过将待传输的原始信息经过加 密和协议封装处理后再嵌套装入另种协议的数据包送入网络中，像普通数据包一样进行传 输。经过这样的处理，只有源端和宿端的用户对隧道中的嵌套信息进行解释和处理，而对于 其他用户而言只是无意义的信息。这里采用的是加密和信息结构变换相结合的方式，而非单 纯的加密技术。 ( 2 ) 用户认迁技术( u s e ra u t h e n t i c a l i o nt e c h n o l o g y ) 。在正式的隧道连拨开始之前需 要确认_ l ；| 户的身份，以便系统进一步实施资源访问控制或h j 户授权( a u t h o r i z a t i o n ) 。 东南大学硕士论文虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 ( 3 ) 访问控制技术( a e c e s sc o n t r o lt e c h n o l o g y ) 。由v p n 服务的提供者与最终网络信 息资源的提供者共同协商确定特定用户对特定资源的访问权限，以此实现基于用户的细粒度 访问控制，以实现对信息资源的最大限度的保护。 ( 4 ) 隧道交换技术( t u n n e ls w i t c h i n gt e c h n o l o g y ) 。随着企业网本身规模的扩大，以 及内部网安全性的重视程度提高，尤其是企业网内的部门应用的相对独立性，导致了端到端 隧道技术的应用需求增加，面对这种潜在的应用需求，隧道交换技术逐步引起人们的重视。 利用隧道交换技术开发的隧道交换机是隧道终止器发起器的结合体。使用它可把隧道从一 个网络延伸到另一个网络，例如，把进入i s p 的隧道延伸到公司网络中；使用它可用“端一 交换一端”的连接代替“端一端”的连接这更像专用的电话交换电路，即使它是发生在路 由网络上。 4 东南火学硕二l 论文虚拟专用网( v p n ) 中隧道及隧道变换技术研究与实现 3 1 隧道技术 第三章v p n 隧道技术 v p n 具体实现形式多种多样，但都基于一种称作安全或者加密的隧道技术。这种技术可 以用来提供网络到网络主机到主机，或者主机到网络的安全连接。所谓隧道，实质上是一 种封装，它通过将待传输的原始信息( 协议x ) 经过加密和协议封装处理后再嵌套装入另一 种协议( 协议y ) 的数据包送入网络中，像普通数据包一样进行传输，实现跨越公共网络传 送私有数据包的目的。这里协议x 称为被封装协议，协议y 称为封装协议，封装时一般还要 加上特定的隧道控制信息。因此隧道协议的一般封装形式为( 协议y ( 隧道协议( 协议x ) ) ) 。 3 2v p n 隧道协议 在实现基于i n t e r n e t 的v p n 时，我们使用的封装协议为i p 协议，相应的隧道协议称为 i p 隧道协议，其封装形式为( i p ( 隧道协议( 协议x ) ) ) 。目前i p 网上较为常见的隧道协议大 致有两类：第二层隧道协议( 包括p p t p 、l 2 t p ) 和第三层隧道协议( 包括g r e 、i p s e c 、 m p l s ) ，现简介如下。 3 2 1g r e 协议 通用路由封装( g e n e r i cr o u t i n ge n c a p s u l a t i o n ) 协议是针对一些特殊的封装方案( 如 i p 封装i p x ，i p 封装x 2 5 等) 而提出的通用封装协议，支持全部的路由协议( 如r i p 2 、0 s p f 等) ，它是其它的隧道协议的基础，其封装形式为( i p ( g r e ( 协议x ) ) ) 。 g r e 协议的主要用途有两个：企业内部协议封装和私有地址封装。企业使用g r e 的唯一 理由应该是对内部地址的封装。当运营商向多个用户提供这种方式的v p n 业务时会存在地址 冲突的可能性。此外，g r e 只提供了数据包的封装，并没有加密功能来防止网络侦听和攻击， 所以在实际环境中经常与i p s e c 在一起使用，由i p s e c 提供用户数据的加密从而给用户提 供更好的安全陛。 3 2 2p p t p 协议 p p t p ( p o i n tt op o i n tt u n n e lp r o t o c 0 1 ) 协议由r f c 2 6 3 7 定义的，其目的提供i p 分 组封装p p p 分组的方法。p p t p 能够分成两个不同的组成部分：传输工具和加密。传输工具 构成虚拟连接，而加密部分使其成为专用连接。其封装形式为( i p ( t c p ( p p t p ( 协议x ) ) ) ) 。 p p t p 利用两个标准的安全特性来保证数据流的安全性：鉴别和加密。p p t p 鉴别有两种 形式：用户鉴别和数据鉴别。用户鉴别要求交换口令( p a p ) 或散列( c h a p 或者m s c h a p ) 数据鉴别通过使用加密的检验和来实现，这种检验和是基于一个只有发送者和接收者才知道 的加密密钥的。微软公司开发的点到点加密( p o i n t t o p o i n te n c r y p t i o n ，m p p e ) 能够为 p p t p 提供加密。通过使川r s a 的r c 4 流密码，m p p e 把数据加密台并在p p p 负载量中由r 东南大学硕士论文虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 加密仅仅出现在p f p 负载量中而不是出现在整个p p t p 分组中，因此，这很类似i p s e c 的传 输模式。 p p t p 的最大优势是m i c r o s o f t 公司的支持。n t 4 0 已经包括了p p t p 发起和终止的功能。 井且考虑了w i n d o w s 9 5 环境。另外个优势是它支持流量控制，可保证客户机与服务器问不 拥塞，改善通信性能，最大限度地减少包丢失和重发现象。p p t p 把建立隧道的主动权交给 了客户，但客户需要在其p c 机上配置p p t p ，这样做既会增加用户的工作量，又会造成网络 的安全隐患。另外，p p t p 仅工作于i p ，不具有隧道终点的验证功能，需要依赖用户的验证。 3 2 3 l 2 t p 协议 即第二层隧道协议( l a y e r2t u n n e lp r o t o c 0 1 ) 。事实上l 2 t f 就是p p t p 和l 2 f 的继承 和发展。l 2 t p 的封装形式为( i p ( u d p ( l 2 t p ( 协议x ) ) ) ) 。 与f p t p 类似，l 2 t p 通过在数据传输中使用p p p 来提供多协议支持。然而。与l 2 t p 不 同的是，l 2 t p 并不具有内置的加密。在l 2 t p 中内置的唯一机制就是在隧道i d 生成过程中 使用随机数字和呼叫i d ，以便保护对l 2 t p 的盲目袭击。对于那些想对l 2 t p 数据流进行加 密的用户，可以利用一种功能强大的加密方法即i p s e c 。 l 2 t p 主要由l a c ( 接入集中器) 和l n s ( l 2 t p 网络服务器) 构成。l a c 支持客户端的 l 2 t p ，用于发起呼叫、接收呼叫和建立隧道。l n s 是所有隧道的终点。在传统的p p p 连接中， 用户拨号连接的终点是l a c l 2 t p 使得p p p 协议的终点延伸到l n s 。 3 2 4 i p s e c 协议 即i p 层安全协议，是i e t f 的i p s e c 工作组提出的将安全机制引入t c p i p 网络的一系 列标准。i p s e c 通过使用两种通信安全协议来达到这些目标：认证头( a h ) 和封装安全载荷 ( e s p ) ，以及象i m e m e t 密钥交换( i k e ) 协议这样的密钥管理过程和协议来达到这些目标。 i p a h 协议主要提供数据源认证，e s p 协议主要提供数据保密性。对于a h 和e s p 都 有两种操作模式：传输模式和隧道模式。i k e 协议用于协商a h 和e s p 协议所使用的密码 算法，并将算法所需的必要密钥放在合适的位置。 i p s e c 所使用的协议被设计成与算法无关的。算法的选择在安全策略数据库( s p d ) 中 指定。可供选择的密码算法取决于i p s e c 的实现：然而，为了保证全球因特网上的互操作性， i p s e c 规定了一组标准的默认算法。关于l p s e c 的体系结构和实现将在下章详细介绍，这里 就不再赘述。 3 2 5 m p l s 协议 m p l s ( i u l t i p r o t o c o l l a b e l s w i t c h i n g ) 为每个i p 包加上一个固定长度的标签，并 根据标签值转发数据包。m p l s 实际上就是一种隧道技术，所以使用它来建立v p n 隧道是十 分容易的。同时，m p l s 又是一种完备的网络技术，因此可以用它来建立起v p n 成员之间简 单而高效的v p n 。m p l sv p n 适用于实现对于服务质量( q o s ) 、服务等级划分以及对网络资源 的利_ ；! j 率、网络的可靠性有较高要求的v p n 业务。如图3 - i 所示。 用户边缘路由器( c e ) 是用于一个用户站点接入服务提供者网络的路由器。c e 路由器 不使h jm p l s ，它可以只是一台i p 路由器。c e 不必支持任何v p n 的特定路由协议或信令。提 东南上学硕士论文 虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 中的标记边缘路由器( l e r ) ，它需要能够支持b g p 协议、一种或几种i g p 路由协议以及m p l s 协议，需要能够执行i p 包检查、协议转换等功能。 虽然m p l sv p n 网络中的主角仍然是边缘路由器( 此时是m p l s 网络的边缘l s r ) ，但是 它需要公共i p 网内部的所有相关路由器都能够支持m p l s ，所以这种技术对网络有较为特殊 的要求。 l e r ( 标记边缘路由器) l s r ( 标记交换路由器) p e ( 提供者边缘) c e ( 用户边缘) 图3 1m p l s v p n 示意图 m p l s 完全可以隔离无关用户的通信，使得无关用户的通信不会混杂，从而提高了安全 性。这是在不必使用隧道和加密的前提下就能完成的。m p l s 根据服务类型区分的传输方法 和完全的口0 s 策略使得服务商豹原来面向传输的服务模型转变成为重点集中于服务变化的 模型。基于m p l s 的网络能够将数据流分开无需建立隧道或加密即可提供保密性基于 m p l s 的网络，以网络到网络的方式提供保密性，为用户提供服务。这将支持服务供应商实 现从面向传输的模式到面向服务的模式转变。基于m p l s 的v p n 提供了逻辑上最大的安全 性网络的安全性是由b g p 、i p 地址方案、可选的i p s e c 加密三方面结合而成的。 在m p l sv p n 中，使用双层标签技术实现隧道。内部标签由边缘设备( p e ) 完成与用户 站点的映射，外层标签完成在m p l s 域中的转发，标识着本标签报文需要哪个边缘设备处理， 核心层的设备不需要也不可能知道内层标签的存在，只是按照标签路径转发报文。 目前有两种流行的v p n 实施模型得到了广泛使用，分别是叠加模型利对等模型。 ( 1 ) 在叠加模型中，运营商提供给客户的是点到点的仿真租用线路。 ( 2 ) 在对等模型中，返营商与客户交换的是第三层的路由信息可以以最优的路径中继 客户站点之间的数据而客户不需要参与。 m p l s 协议本身的制定尚未完成，m p l sv p n 也正处于研究、开发和实验之中也就不足为 奇。目前使用m p l sv p n 还面临着许多问题，首先就是t v i p l s 技术的不成熟性。m p l s 技术本 身还面临着不少问题，比如信令协议的选择问题等：其次，m p l sv p n 解决方案需要网络中 东南大学硕士论文虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 身还面临着不少问题，比如信令协议的选择问题等；其次，m p l sv p n 解决方案需要网络中 所有的节点都要支持m p l s ，这将需要对网络中所有的节点进行功能的升级；第三，虽然m p l s 本身利用已经能够提供一定的安全机制，m p l sv p n 可以将不同用户的数据流分开，可以利 用标记来判断分组所属的v p n ，从而可以防止数据的误传但是m p l s 中并没有描述对于用 户数据的加密机制以及用户的认证过程，所以，当对于数据的加密以及用户的认证有较高的 要求时，需要将m p l s 与i p s e c 等安全协议结合起来使用。在安全能力上的欠缺也是m p l s 有待完善的方面。 3 2 6v p n 隧道协议的比较 以上几个隧道协议都有各自的特点及其应用环境，因此在实施v p n 时 情况加咀选择。下面结合v p n 的要求 表3 1 对各隧道协议的协议机制进行比较 v p n 隧道协议的比较 必须根据具体 见表3 1 。 武 比较内沁 g r e 协议 p p t p 饥议 l 2 t p 协议i p s c c 协议 m p l s 协议 客户机服务器方客户机服务器方对等方式 工作模式对等方式对等方式 o s i 层l a y c 卜3 l a y e 十2l a v e 2 l a y c 卜3l a y e r 3 有一定的鉴别和较弱的鉴别和加完整的内在的安全依赖与i p s e c 协议地 安全机制较弱，仅源鉴别 加密机制 隧道的配置与建 网管显式 网管，显式网管显式i k e 交互，隐式 隧道的管理与维回显请求回复 无h e l l o 报文等机制无 护 利用k c y 域支支持 多路复用支持支持 支持 持 依赖m p l s 的相关 特性 多协议支持支持 支持 支持不支持，需扩展 支持可支持但目前未 分组顺序支持不支持支持 用 反重演 否是是是 服务质量支持 币支持支持 扩展陛问题有待研究支持 东南大学硕士论文 虚拟专用阐( v p n ) 中隧道及隧道交换技术研究与实现 第四章i p 安全协议 4 1i p s e c 安全体系结构 4 1 1i p s e c 文档 为了满足用户对i n t e r n e t 更多更好的安全性需要，i e t f 成立的i p 安全协议工作组定 义了一系列的文档。文档被划分成七个组，如图4 - i 所示： 体系结构：覆盖了定义i p s e c 技术的一般性概念、安全需求、定义和机制。 封装安全有效载荷( e s p ) ：覆盖了使用e s p 进行分组加密和可选的鉴别有关分组的 格式和一般问题。 鉴别首部( a h ) ：覆盖了使用a h 进行分组鉴别的分组的格式和一般问题。 加密算法：一组文档描述了怎样将不同的加密算法用于e s p 。 鉴别算法：一组文档描述了怎样将不同的鉴别算法用于a h 和e s p 可选的鉴别选项。 密钥管理：描述密钥管理机制的文档。 解释域( d o i ) ：包含了其他文档需要的为了彼此间相互联系的一些值。这些值包括 经过检验的加密和鉴别算法的标识以及操作参数，例如密钥的生存期。 4 1 2i p s e c 的服务 图4 一li p s e c 文档一览 i p s e c 在i p 层提供安全服务使得一个系统可以选择需要的安全协议，决定为这些服 务而使州的算法，选择提供要求的服务所需要的任何密钥。使用两个协议来提供安全性：一 个是由协议的首部即鉴别首部( a h ) 指明的鉴别协议，个是由协议的分组格式，即封装安 全有效载荷( e s p ) 指明的加密鉴别混合协议。下面是一些提供的服务： 访问控制。 东南大学硕士论文 虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 无连接完整性。 数据源的鉴别。 拒绝重放的分组。 机密性( 加密) 。 表4 - i 显示了a i 和e s p 协议提供了哪些服务。对于e s p 存在两种情况：提供或不提供 鉴别选项。a h 和e s p 都是访问控制的媒介基于加密密钥的分布和这些安全协议有关的通 信量的管理。 表4 1i p s e c 的服务 a he s p ( 只加密) e s p ( 加密并鉴别) 访问控制 无连接完整性 数据源的鉴别 拒绝重放的分组 机密性 有限的通信量的机密性 4 i 3 安全关联 i p 的鉴别和机密性机制中出现的一个关键概念是安全关联( s a ) 。关联是在发送者和为 进出通信量提供安全服务的接收者之间的一种单向的关系。如果需要一个对等的关系用于双 向的安全交换。就要有两个安全关联。提供给一个s a 的安全服务用于a i 或e s p ，但不能同 时用于两者。 安全关联是由三个参数来惟一标识的： 安全参数索引( s p i ) ：赋予这个s a 的比特串并且只在本地有意义。s p i 被加载在 a h 和e s p 的首部，使得接受系统能够选择s a 来处理接受的分组。 i p 目的地址：目前只允许单播地址；这是s a 的目的端点的地址。可能是终端用户 系统或者是网络系统，例如防火墙或路由器。 安全协议标识符：它指出这个关联是否是一个a i 或e s p 的安全关联。 因此，在任何i p 分组中，安全关联是由i p v 4 或i p v 6 首部的目的地址和封装的扩展首 部( a h 或e s p ) 中的s p i 来惟一标识的。 1 ) s a 参数 在每一个i p s e c 的实现中，都要有一个名义上的安全关联数据库用于定义与每个s a 相 关联的参数。安全关联一般由下面的参数定义： 序号计数器溢出：一个标记，用于只是序号计数器的溢出是否应该生成可检查的事 件，并防止在这个s a 上继续传输分组( 所有实现都需要) 。 反重放窗口：州来确定进入的a i 或e s p 分组是否是重放。 a h 信息：a h 使用的鉴别算法、密钥、初始值、密钥生存期和相关参数( e s p 实现需 要) 。 安全关联的生存剃：一个事件区间或字节计数，在这之后，一个s a 必须被一个新 的s a ( 和新的s p i ) 代替或者被终止。再加上哪一个动作应该发生的指示( 所有实 现都需要) 。 i p s e c 协议方式：隧道、传输或通配符( 所有实现都需要) 。 路径 盯u ：可观察的路径最大传输单元( 不经过分片就可以传送的分组的昂大氏度) 。 东南大学硕士论文虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 用于分发密钥的密钥管理机制只是通过安全参数索引与鉴别的专用机制相联系，因此， 鉴别和专用机制被说明成都独立于任何密钥管理机制。 2 ) sa 选择器 i p s e c 提供给用户相当大的灵活性用来将i p s e c 的服务应用到i p 通信量。可以用很 多方法来组合s a 以产生想要的用户配置。进一步地，i p s e c 提供了一种高级程度的粒度来 区分负担了i p s e c 保护的通信量和放允许旁路的i p s e c 的通信量，在前一种情况下，i p 通 信量与特定的s a 相联系。 i p 通信量和特定的s a 相联系的方式( 或者在允许旁路的i p s e c 的通信量时没有s a ) 是 名义上的安全策略数据库( s p d ) 。最简单的形式是一个s p d 包含一些项，每个项定义了i p 通信量的一个子集并指向该通信量的一个s a 。在更复杂的环境中，可能会有多个项与单个 s a 相联系，或者多个s a 与单个s p d 项相关联。 每个s p b 项通过i p 和叫做选择器的上层协议字段值的集台来定义。实际上，这些选择 器是用来过滤出通信量的，目的是将其映射到特定的s a 。对于每个i p 分组，输出处理遵从 下面的一般顺序： 1 ) 将分组相应字段的值与s p d 相比较以找到一个匹配的s p d 项，后者将指向0 个或多 个s a 。 2 ) 如果这个分组存在s a ，确定s a 和它关联的s p i 。 3 ) 完成需要的i p s e c 处理( 即a h 或e s p 处理) 。 下面一些选择器确定了一个s p d 项： 目的i p 地址：这可能是单个的i p 地址、一个枚举列表或地址范围，或一个统配符 ( 掩码) 地址。后两个在支持多个目的系统共享同一个s a 的时候需要使用( 例如 在防火墙之后) 。 源i p 地址：这可能是单个的i p 地址、枚举列表或地址范围，或统配符地址。后两 个在支持多个源系统共享同一个s a 的时候需要使用( 例如在防火墙之后) 。 用户i d ：来自操作系统的用户标识符。这不是i p 或上层首部的一个字段，但是如 果i p s e c 和用户运行在同样的操作系统中，用户i d 是可用的。 数据敏感性程度：用于为系统提供信息流的安全性( 例如，秘密的或非机密的) 。 运输层协议：从i p v 4 的p r o t o c o l 字段或i p v 6 的n e x t 字段中获得。它可能是单独 的协议号、协议号列表或协议号的个范围。 i p s e c 协议( a h 或e s p 或矧e s p ) ：如果存在，这个选择器是从i p v 4 的协议字段或 i p v 6 的下一个字段中获得的。 源端口和目的端口：这些可能是单独的t c p 或u d p 端口值、一个端口的枚举列表或 一个通配符端口。 i p v 6 类型：从i p v 6 的首部获得。这可能是特定的i p v 6 类型值或通配符值。 i p v 6 流标号：从i p v 6 的首部获得。这可能是特定的i p v 6 流标号值或通配符值。 i p v 4 服务类型( t o s ) ：从i p v 4 的首部获得。这可能是特定的i p v 4t o s 值或通配符 值。 4 1 4 运输和隧道方式 a h 和e s p 都支持两种使用方式：运输和隧道方式。 1 ) 运输方式 运输方式主要为上层协议提供保护，即运输方式的保护扩充到i p 分组的有效载荷。例 子包括一个t c p 或u d p 的报文段，或者一个i n t e r n e t 控制信息协议( i c m p ) 分组，所有这 东南人学硕士论文虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 些在主机的协议都直接运行在i p 之上。运输方式典型地是用于两个主机之间的端到端通信 ( 例如客户与服务器，或这两个工作站) 。当主机在i p v 4 上运行a h 或e s p 时，有效载荷一 般是跟着i p 首部的数据。对于i p v 6 ，有效载荷一般是跟着i p 首部和任何存在的i p v 6 扩展 首部之后的数据，可能的例外是目的选项首部，它可能包括在保护之内。 运输方式的e s p 对i p 有效载荷而不是i p 首部加密并可选地鉴别，运输方式的a i 对i p 有效载萄和i p 首部的特选部分进行鉴别。 2 ) 隧道方式 隧道方式对整个i p 分组提供保护。为了实现这一点，在a h 或e s p 字段加入到i p 分组 之后，整个分组加上安全字段被看成是带有新的输出i p 首部的新的i p 分组的有效载荷。整 个原始的，或内部分组通过一个“隧道”从i p 网络的一点传输到另一点。在传输过程中， 没有路由器能够检查内部的i p 首部。因为原始的分组经过了包装，新的、更大的分组可以 有完全不同的源地址和目的地址，增加了安全性。隧道方式用于当s a 的一端或两端是安全 网芙，例如实现了i p s e c 的防火墙或路由器的隋况。使用隧道方式，在防火墙之后的网络上 的一组主机可以不实现i p s e c 而参加安全通信。通过局域网边界的防火墙或安全路由器上的 i p s e c 软件建立的隧道方式s a ，这些主机产生的未保护的分组通过隧道连到外部网络。 隧道方式的e s p 加密可选的鉴别整个内部i p 分组，包括内部的i p 首部。隧道方式的 a h 鉴别整个内部r p 分组雨i 步p 部首部的特选部分。 表4 2 总结了运输和隧道方式的功能。 表4 2 隧道方式和运输方式的功能 运输方式s a隧道方式s a 鉴别i p 有效载荷和i p 首部的特选部分和 鉴别整个内部i p 分组( 内部首部加卜i p 有效载 h 荷) 加匕外部首部的特选部分和外部的i p v 6 扩展 i p v 6 的扩展首部 首部 加密i p 有效载荷和跟着e s p 首部的任何 e s p加密内部的i p 分纽 i p v 6 扩展首部 带卡筘 力 鬻i p 有效载荷和跟着e s p 首部的任何 i p v 6 扩展首部鉴别i p 有效载荷但不包括加密内部的i p 分组。鉴别内部的i p 分组 别e s p i p 酋部 4 2 鉴别首部 鉴别首部对数据完整性和i p 分组的鉴别提供支持。数据完整性特征保证在传输过程中 对分组内容的修改都可以监测出来。鉴别特征使得终端系统或网络设备能够鉴别用户或应用 的身份并相应地过滤通信量，它也可以防止在今天的i n t e r n e t 上可以观察到的地址欺骗攻 m 。a h 还能对付在本仃后面描述的重放攻击。 鉴别基于报文鉴别码( m a c ) 的使用，冈此通信双方必须共享一个密钥。 簦州茸部是由下面的字段组成的( 图4 2 ) ： r 一个前部( 8 比特) ：标识了紧跟着这个首部的下一个首部的类型。 东南大学硕士论文 虚拟专用网( v p n ) 中隧道及隧道交换技术研究与实现 有效载荷长度( 8 比特) ：以3 2b i t 字为单位鉴别首部的长度减去2 。例如鉴别数 据字段的默认长度是9 6 比特，即3 个3 2b i t 字。加上3 个字的固定首部。在首部 中总共有6 个字，因此有效载荷长度字段的值为4 。 保留( 1 6 比特) ：为了将来使用。 安全参数索引( 3 2 比特) ：标识了一个安全关联。 序号( 3 2 比特) ：一个单调递增的计数器的值。 鉴别数据( 可变) ：一个可变长度的字段( 必须是3 2b i t 字的整数倍) ，包含了这 个分组的完整性检查值( i c y ) 或者m a c 。 4 2 1 反重放服务 图4 2i p s e c 鉴别首部 重放攻击指的是攻击者获得了鉴别分组的副本，并且以后将它传输到它的目的地址。收 到了重复的鉴别i p 分组可能会以某种方式中断服务或者出现其他一些意想不到的后果。序 号字段是设计用来阻挡这种攻击的。 因为i p 是无连接、不可靠的服务，协议不能保证分组的按序交付，也不能保证所有的 分组都会被交付。冈此，i p s e c 鉴别文档规定接收者应该实现大小为w 的窗口默认的情况 下w = 6 4 。 4 2 2 完整性检查值 鉴别数据字段中包含了完整性检查值。这个i c v 是报文