（计算机科学与技术专业论文）面向安全隔离的smtp透明代理服务器研究与实现.pdf

国防科学技术人学研究生院一f ： 项十学位论文 摘要 随着电子邮件的广泛应用，公司、企业内部网络通过s m t p 代理服务器与外 界进行邮件交流越来越频繁，人们在享受益处的同时，也要面对电子邮件带来的 安全方面的挑战。如何有效地防止病毒入侵，如何有效地防止机密泄露，正日益 引起重视，迫切需要建立一种安全可靠的机制来保障内部邮件系统的安全运行， 网络隔离技术应运而生，网络隔离技术能有效地隔离内外网络，保证内外网络数 据的安全传输。本文对面向安全隔离的s m t p 透明代理服务器技术进行了深入的 研究，着重讨论了其关键技术之线程池。 论文首先介绍了面向安全隔离的s m t p 透明代理相关技术，分析了透明代理 的优点，并提出了面向安全隔离的透明代理服务器的总体结构、组成和主要功能。 其次，对透明代理服务器中的关键技术一一透明模式和并发应用服务进行了 深入研究。归纳分析了当前的多线程技术，提出了一种新型的线程池技术一一扩 展线程池。对扩展线程池的形式化分析表明，该技术相对予传统线程池技术，扩 展线程池在满足并发连接的基础上，具有更高的吞吐量，可更好地满足代理服务 器的性能要求。 然后，本文对面向安全隔离的s m t p 透明代理服务器实现技术进行了研究， 着重讨论了其具体的实现流程、配置管理模块、访问控制模块、协议解析模块、 内容过滤模块和同志审计模块，并在此基础上实现了一个原型系统。 最后，对该系统的功能和性能进行了测试，测试结果表明了面向安全隔离的 s m t p 透明代理服务器技术的有效性，并对进一步的研究进行了展望。 主题词：网络隔离，s m t p ，透明代理，透明模式，线程池 第i 页 国防科学技术大学研究生院工学硕士学位论文 a b s t r a c t w i t ht h ew i d e ru o fe - m a i l c o m m u n i c a t i o nb e t w e e ne n t e r p r i s e sa n do u t s i d e w o r l db e c o m em o t ea n dn r ef r e q u e n tb ye - m a i lw h i c hi se x c h a n g e dt h r o u g hs m t p p r o x ys e r v e l s p e o p l ef a c et h es e c u r i t yc h a l l e n g e sw h i l et h e ye n j o yt h eb e n e f i t s h o wt o e f f e c t i v e l yp r e v e n tv i r u sa t t a c k s h o wt oe f f e c t i v e l yp r e v e n tt h el e a k a g eo fs e c r e t s ，a 阳 b e c o m i n gm o r ea n dm o r ea t t e n t i o n i t sav e r yu r g e n tn e e dt oe s t a b l i s has a f ea n d r e l i a b l em e c h a n i s mt op r o t e c tt h es a f eo p e r a t i o no ft h ei n t e r n a lm a i ls y s t e m n e t w o r k i s o l a t i o nt e c h n o l o g yh a se m e r g e d ，w h i c he f f e c t i v e l yi s o l a t e si n s i d en e t w o r ka n do u t s i d e n e t w o r ka n de n s l l r e as e c u r i t yo fn e t w o r kd a t at r a n s m i s s i o n i nt h i sp a p e r , t h es m t p t r a n s p a r e n tp r o x ys g l n e rf o rs e c u r i t yi s o l a 矗o nh a sb e e ns t u d i e di n - d e p t h , a n d0 1 1 eo f k e yt e c h n o l o g i e s - t h r e a dp 0 0 1 h a sb 嘲e m p h a s i z e d o n f i r s t l y , t e c h n o l o g i e so fs m t pt r a n s p a r e n tp r o x ys e r v e rf o rs e c u r i t yi s o l a t i o nw e r e i n t r o d u c e d t h em e r i t so ft r a n s p a r e n tp r o x yw e r ea n a l y z e d a n dt h e n 也ea r c h i t e c t u r e , c o n s t i t u t i o na n dm a i nf u n c t i o no fs m t pt r a n s p a r e n tp r o x ys e r v e rf o rs e 砌t yi s o l a t i o n w 船p r o p o s e d s e c o n d l y , t h ep a p e rs t u d i e dt r a n s p a r e n tm o d e la n dt h ec o n c u r r e n ta p p l i c a t i o n s e r v c z t e c h n o l o g yi n - d e p t h , a n a l y z e dt h e c u r r e n tm u l t i t h r e a d i n gt e c h n o l o g y , t h e n p r o p o s e dan e wt e c h n o l o g yo f t h r e a dp o o l e x p a n d e dt h r e a dp 0 0 1 f o r m a la n a l y s i so f t h ee x p a n d e dt h r e a dp o o l ，i n d i c a t e dt h a tt e c h n o l o g yc o u l dg e th i g h e rt h r o u g h p u tw h i l e f u l f i l l i n gt h en e e do f c o n e u r r e n tc o n n e c t i o n s ，a n dg e tb e t t e rp e r f o r m a n c et h a nt r a d i t i o n a l t h r e a dp o o lt e c h n o l o g i e s t h e n , t h ei m p l e m e n t a t i o no ft r a n s p a r e n tp r o x ys e f v e rf o rs e c u r i t yi s o l a t i o nw a s s t u d i e d t h ep a p e rd i s c u s s e ds m p h a f i e a l l yi t sc o n c r e t er e a l i z a t i o nf l o w ，c o n f i g u r a t i o n m a n a g e m e n tm o d u l e ，a c c e s sc o n t r o lm o d u l e ，p r o t o c o lp r o c e s s i n gm o d u l e ，c o n t e n t f i l t e r i n gm o d u l ea n da u d i tl o gm o d u l ea n d a p r o t o t y p es y s t e mh a sb e e ni m p l e m e n t e d f i n a l l y , t h ef u n c t i o na n dp e r f o r m a n c eo f 也ep r o t o t y p es y s t e mw a st e s t e d ，a n d a n a l y z et h er e s u l t s a tt h e8 a l n et i m e , w eg e tf u r t h e rr e s e a r c hi nt h ef u t u r eo nt h e e x i s t i n gb a s i s k e yw o r d s = n e t w o r ki s o l a t i o n ，s m t p ，t r a n s p a r e n tp r o x y ，t r a n s p a r e n t m o d e l ，t h r e a dp o e i 第i i 页 国防科学技术大学研究生院工学硕士学位论文 图目录 图2 1 图2 2 图2 3 图3 1 图3 2 图3 3 图3 4 图3 5 图4 1 图4 2 图4 3 图4 4 图4 5 图5 1 图5 2 图5 3 图5 4 图5 5 图5 6 s m t p 代理服务器交互图 代理服务器模型 网络隔离系统结构图 面向安全隔离的透明代理服务器体系结构 内网处理单元软件架构。 内外网信息交换前 内网处理单元与隔离交换单元交互。 隔离交换单元与外网处理单元交互 6 8 1 l 1 4 1 5 1 6 透明模式网络拓扑图2 0 a r p 代理实现透明模式 透明模式在面向安全隔离的s m t p 代理中韵实现模型2 5 透明模式中的网络隔离设备软件架构 面向安全隔离的s m t p 透明代理服务器模型3 0 面向安全隔离的s m t p 透明代理服务器软件架构 内网处理单元执行流程。 外网处理单元执行流程 3 8 4 1 代理服务端执行流程4 2 协议解析模块执行流程 5 l 系统测试平台5 9 第页 国防科学技术大学研究生院工学硕士学位论文 表4 1 表4 2 表目录 使用线程池的开销与不使用线程池的开销比较 线程池模型比较 3 4 3 7 第v 页 独创性声明 本人声明所呈交的学位论文是我本人在导师指导下进行的研究工作及取得的研 究成果尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已 经发表和撰写过的研究成果，也不包含为获得国防科学技术大学或其它教育机构的学 位或证书而使用过的材料与我一同工作的同志对本研究所做的任何贡献均已在论文 中作了明确的说明并表示谢意 学位论文题目 学位论文作者签名：日期：矽6 年7 7 月历 学位论文版权使用授权书 本人完全了解国防科学技术大学有关保留、使用学位论文的规定本人授权国 肪科学技术大学可以保留并向国家有关部门或机构送交论文的复印件和电子文档，允 许论文被查阅和借阅；可以将学位论文的全部或部分内容编入有关数据库进行检索， 坷以采用影印、缩印或扫描等复制手段保存汇编学位论文 ( 保密学位论文在解密后适用本授权书) 国防科学技术大学研究生院工学硕士学位论文 第一章绪论 1 1 课题研究背景 随着网络技术的飞速发展，越来越多的计算机连入了因特网。目前已经联系 着1 6 0 多个国家和地区，1 9 9 8 年上网的计算机已超过5 0 0 0 万台。截止2 0 0 6 年7 月，我国上网计算机总数约5 4 5 0 万台，相当于1 9 9 8 年全世界上网计算机的总和。 据英国媒体报道，当前，国际互联网拥有4 3 亿个口地址，大约1 3 正在使用，另 有l 3 已被分配。据调研机构f r o s t & s u l l i v a n 预计，到2 0 1 0 年，全球国际互联网 口地址资源将全部耗尽。代理服务器能很好的解决口地址资源问题。 随着i n e t n e t 的普及，网络闻的信息交换需求日益强烈，公司、企业纷纷建立 自己的内都网络，内部网计算机通过代理服务器与外界进行交流。另一方面，网 络黑客入侵、病毒攻击等安全事件不断发生。如何有效的防止内部网络机密泄嚣， 如何有效的防止病毒入侵，迫切需要建立一种安全可靠的机制来保障内部网络的 安全运行。 1 2 研究现状 目前普遍采取的网络安全机制主要有防火墙、数据加密、身份认证、防病毒、 入侵检测和v p n 等，目前网络安全市场上，最流行的安全架构是以防火墙为核心 的安全体系架构，通过防火墙来实现网络的安全保障系统。防火墙是指位于被保 护网络和外部不可信任网络闯，在网络信息通过时对它们实施访问控制策略的一 个或一组系统。防火墙大致可分为两类【1 1 ，一类是包过滤型防火墙，它作用在网络 层上，它能针对往来内、外网之f b 】的数据报进行过滤，但对应用层的保护还远远 不够，功能相对较弱；另一类是代理型防火墙，也就是我们通常所说的代理服务 器网关，它的任务是切断内外网间的真接连接，同时针对应用层的各种协议进行 访问控制检查和协议过滤，它又可以分为应用代理防火墙和透明代理防火墙两类， 后者的应用已得到迅速普及。 以上的安全技术和产品，有个共同的特点，就是每一种技术和产品都有很 强的针对性。所谓针对性就是管辖属于自己管辖的事情，出了这个边界就不灵了。 防火墙主要是可控性产品，v p n 则是加密类产品，入侵检测是可审查产品，防病 毒和身份认证都部分地实现并确保完整性。但用户希望能有一种产品同时满足安 全的五大要素( 机密性、完整性、可用性、可控性、可审查性【2 】) ，上述产品未能 满足用户的这种要求【3 】。 第1 页 国防科学技术大学研究生院工学硕士学位论文 入侵检测存在局限性。入侵检测最大的局限性就是漏报和误报严重，几乎不 是个可以依赖的安全工具，而是一个参考工具。漏报等于没有报，而误报则是 报错了，这两个特点几乎破坏了入侵检测的可用性。防病毒产品也有局限性，防 病毒产品的最大局限性是对新病毒的处理总是滞后的，这导致每年都会大规模地 爆发病毒，特别是新病毒【3 1 。 防火墙存在局限性。防火墙不能防止利用标准网络协议中的缺陷进行的攻击， 一旦防火墙允许某些标准网络协议通过，防火墙不能防止利用该协议中的缺陷进 行的攻击明；利用d o s 或d d o s ，对开放的端口进行攻击，防火墙无法禁止；利 用开放服务流入的数据来攻击，防火墙无法防止；利用开放服务的数据隐蔽隧道 进行攻击，防火墙无法防止：攻击开放服务的软件缺陷，防火墙无法防止：防火 墙不能防止对自己的攻击，只能强制对抗，防火墙本身是一种被动防卫机制，不 是主动安全机制。防火墙不能干涉还没有到达防火墙的包，如果这个包是攻击防 火墙的，只有已经发生了攻击，防火墙才可以对抗，根本不能防止。 在防火墙的发展过程中，人们最终意识到防火墙在安全方面的局限性奇性 能、高安全性、易用性等方面的矛盾并没有很好的解决。防火墙体系结构在高安 全性方面的缺陷，驱使人们追求更高安全性的解决方案，人们期望更安全的技术 手段。防火墙、数据加密、身份认证、入侵检测和v p n 等技术从某种程度上提高 了网络的安全防护，但并没有彻底改善网络的安全状况。面对新型网络攻击手段 的出现和高安全度网络的特殊需求，一种全新的网络安全防护技术一网络隔离 技术应运而生，网络隔离技术能有效的隔离内外网络，保证内外网络数据的安全 传输。 国家保密局2 0 0 0 年1 月1 日起颁布实施的计算机信息系统国际联网保密管 理规定第二章保密制度的第六条舰定：“涉及国家秘密的计算机信息系统，不 得直接或日j 接地与国际互联网或其它公共信息网络相连接，必须实行物理隔斟5 】”。 物理隔离是指内部网络不直接通过有线或无线等任何手段连接到公共网络。从而 使内部网络和外部网络在物理上处于隔离状态的一种物理安全技术。 物理隔离技术自问世以来，经过实践的检验和应用，不断发展成熟。目前市 场上存在的产品从技术角度可以分为五代，每一代技术都产生了一种具有代表性 的产品和解决方案。物理隔离产品的大量出现，正是经历了隔离技术理论和应用 实践不断地互相结合的发展过程。 第一代隔离技术一一完全的隔离。此方法使得网络处于信息孤岛状态，做到 了完全的物理隔离，物理隔离作为种安全管理和技术手段，能够比较有效地防 范来自外界对网络和信息系统的安全威胁。但是物理隔离隔断了网络，禁止了数 据交换，造成信息交流的不便和成本的提高，这样给维护和使用带来了极大的不 第2 页 国防科学技术大学研究生院工学硕士学位论文 便，属于消极的防御方法。 第二代隔离技术一一硬件卡隔离。通过硬件卡控制独立存储和分时共享设备 与线路来实现对不同网络的访问，在客户端增加一块硬件卡，客户端硬盘或其他 存储设备首先连接到该卡，然后再转接到主板上，通过该卡能控制客户端硬盘或 其他存储设备。而在选择不同的硬盘时，同时选择了该卡上不同的网络接口，连 接到不同的网络。但是，这种隔离产品有的仍然需要网络布线为双网线结构，存 在使用不便、可用性差等问题，产品存在着较大的安全隐患。 第三代隔离技术一一数据转播隔离。利用转播系统分时复制文件的途径来实 现隔离，切换时间非常长，甚至需要手工完成，不仅明显地降低了访问速度，更 不支持常见的网络应用，只能完成特定的基于文件的数据交换，失去了网络存在 的意义。 第四代隔离技术一一空气开关隔离。通过使用“单刀双掷开关”，使内，外 网处理单元分时访阀临时缓存器来完成数据交换，缓存中的数据是经过内、外网 处理单元安全审查的、珊离了所有协议的纯尉户数据。“单刀双掷开关”是一种 形象的比喻，即用于数据传输中介的缓存器同一时刻只能与内、外网处理单元中 的个物理相连，实现了内外网之间的物理隔离。存在支持网络应用少、传输速 度慢和硬件故障率高等问题，往往成为网络的瓶颈。 第五代隔离技术一一安全通道隔离。此技术通过专用通信硬件和专有安全协 议等安全机制，来实现内、外网络的隔离和数据交换，不仅解决了以| j i 隔离技术 存在的问题，并有效地把内、外网络隔离开来，而且高效地实现了内网和外网数 据的安全交换，透明支持多种网络应用，成为当前隔离技术的发展方向州。 物理隔离技术不是要替代防火墙，它的指导思想与防火墙有很大不同：防火 墙的思路是在保障互联互通的前提下，尽可能安全，而物理隔离的思路是保证安 全的前提下，尽可能互联互通。它是用户“深度防御”安全策略的另外一块基石， 它能解决防火墙存在的根本问题。 1 3 本文的主要工作 本文以项目为背景，对s m t p 协议进行了深入的研究，主要完成了以下工作： 1 ) 在全面了解网络隔离设备的基础上，对如何在网络隔离设备中实现s m t p 透明代理服务器进行了深入研究，通过对网络隔离与信息交换系统( 以下 简称网络隔离系统) 与防火墙进行比较，阐述了面向安全隔离的s m t p 透明代理服务器的优点。 2 ) 结合安全隔离技术与透明代理服务器技术，设计了面向安全隔离的透明代 理服务器的体系结构、软件架构，并给出信息交换流程，为实现原型系统 第3 页 国防科学技术大学研究生院工学硕士学位论文 奠定了技术基础： 3 ) 对透明模式及其实现技术进行了深入的探讨，并对透明模式和透明代理进 行比较，进而提出了透明模式的优点以及透明模式在网络隔离设备中的实 现方案。归纳分析了当前主要的并发应用服务器技术，提出了一种新型的 并发服务器技术一扩展线程池技术，与传统线程池技术相比，该技术在满 足并发连接的基础上，可获得更高吞吐率同时避免了连接丢弃现象，可更 好地满足代理服务器的性能要求。 4 ) 研究并实现了网络隔离设备中的s m t p 透明代理服务器原型系统，并在代 理服务器中支持用户访问控制、s m t p 客户端和服务器的五元组过滤、基 于邮件内容的关键字过滤和病毒检查，基于发送邮件用户和接收邮件用户 的过滤，并可在日志中记录过滤信息和访问控制信息等，具有较高的安全 性。 第章 第二章 第三章 第四章 第五章 第六章 1 4 本文的组织结构 主要介绍课题的研究背景、研究现状和本文的主要工作。 主要介绍了代理服务器的功能和分类，以及介绍了网络隔离与 信息交换系统的概念、组成及其主要功能。 设计了多层纵深网络安全隔离体系结构，包括内部网络处理单 元、外部网络处理单元和隔离交换单元三个系统独立单元，并 对各单元的功能进行了描述，最后阐述了面向安全隔离的 s m t p 透明代理服务器的优点。 介绍了面向安全隔离的s m t p 透明代理服务器系统的关键技 术一一透明模式和线程池技术，并对透明模式实现技术和线程 池技术进行了深入的研究，提出了一种新型的线程池技术一一 扩展线程池，并对各种线程池模型进行了理论分析。 通过对s m t p 协议的分析，解码，在网络隔离设备中实现了对 s m t p 客户端的访问控制，对邮件内容进行过滤，对邮件附件 进行病毒检查，并记录日志信息。最后，在实际测试环境中， 对面向安全隔离的s m t p 透明代理服务器进行功能测试。 对全文的工作进行总结，提出下步的研究内容。 1 5 本文的研究成果 本文对面向安全隔离的s m t p 透明代理服务器进行了深入的研究和分析，在 第4 页 国防科学技术大学研究生院工学硕士学位论文 对其关键技术一一线程池研究的基础上，提出了一种新型的线程池技术一一扩展 线程池。该技术在满足并发连接的基础上，获得了高吞吐量，同时避免了连接丢 弃现象。最后实现了面向安全隔离的s m t p 透明代理服务器。本人以第一作者在 计算机工程杂志上发表论文一篇( 见附录) 。 第5 页 国防科学技术大学研究生院工学硕士学位论文 第二章相关技术 2 1s m t p 协议 t c p i p 协议中电子邮件发送协议被称为s m t p ( s i m p l e m a i l t r a n s f e r p r o t o c 0 1 ) ， 它被用来在e m a i l 服务器之问或e m a i l 客户端软件同服务器之间可靠高效的传递邮 件，协议端口号为2 5 。 8 m r p 可以看作一个应用程序或进程问通信。邮件传递同其它的网络使用方法 有根本区别。一般她，网络协议都是直接发送分组到目的地，并为各个报文使用 定时器，在定时器超时仍然未收到确认时，要进行重传。但是s m t p 使用邮件的 存储转发机制，可进行不同网络上的主机接力传送。如果接收方与发送方连接在 同一个传送服务下时，邮件可以直接由发送方主机传送到接收方主机，当两者不 在同一个传送服务下时，通过s m t p 中继服务器传送【7 】。 s m t p 设计基于以下通信模型：针对用户的邮件请求，发送方s m t p 与接收 方s m t p 之间建立个双向的传输通道，接收方s m t p 可以是最终接收者也可以 是中间传送者。发送方s m t p 产生并发送s m t p 命令到接收方s m t p ，接收方s m t p 对该命令做出响应，并把响应返回给发送方s m t p t s 。 发送方s h f r p接收方s m t p 图2 1s m t p 代理服务器交互图 一旦建立好传输通道，发送方s m t p 发送m a i l 命令指明m a i l 的发送者，如 果接收方s m t p 能接收m a i l ，便响应一个o k ，发送方s m t p 然后发送r c p t 命 令指明m a i l 的接收者，如果接收方s m t p 能为那个接收者接收m a i l ，则响应一个 o k ，如果不能，响应一个拒绝，可能有几个接收者，商议好接收者后，发送方s m t p 发送m a i l 数据，以一个特别序列结束，如果接收方s m t p 成功处理m a i l 数据，则 响应一个o k 。 s m t p 邮件传输由三个步骤构成：m a i l 、r c p t 、d a t a ，传输以m a i l 命令 开始，m a i l 命令指明发送方邮件地址。一个或多个r c p t 命令用来指明接收方。 然后d a t a 命令给出邮件数据。最后以 c r u 结束邮件内容。 第一步：m a i l 命令指明发送方邮件地址 第6 页 国防科学技术大学研究生院工学硕士学位论文 如果接受，则接收方s m t p 返回一个2 5 0o k 应答。 v 9 可能不止 一个邮箱( 源主机邮件路由列表和源邮箱， r 鲫懿叩a l h 中的第一个主机应该是 发送命令的主机) 第二步：r c p t 命令指明接收方邮件地址 r c p t t o ： 如果接受，则响应一个2 5 0o k ，如果接收方s m t p 不知道该接收者，贝f j 返回 一个5 5 0 错误。第二步可能重复多次。 v p 可不止一个邮箱( 源主 机邮件路由列表和目的邮箱。 中的第一个主机应该是接收命令的主 机) 。 第三步：d a t a 命令用来传输邮件内容 d a t a 如果接受，接收方s m i p 返回一个中问的应答3 5 4 和考虑为所有后续的消息 正文排队。接收到正文结束并存储了消息正文，接收方s m t p 发送2 5 0o k 应答。 必须指明邮件数据的结尾，以便命令和应答能重用，s m t p 通过发送仅仅包含 一个句点的行来表明邮件正文结束，d a t a 命令仅仅在邮件处理不完全或者资源 无法获得时才失败9 1 。 s m t p 发送实例： s ：2 2 0s a m s u n g l i n u x m a i l t c s t m t ne s m t ps c n d m m l8 1 2 1 0 8 1 2 1 0 ；w c d ，2 3 a u g 2 0 0 61 7 ：0 9 ：2 9 + 0 8 0 0 c ：h e l o z x z s ：2 5 0s a m s u n g l i l l b x m a i l t e s t m mh d l o2 x z m a i l t e s t m n l ，p l e 鹊ct om e e ty o l i c ：m a i lf r o m ： s ：2 5 02 ，1 0 s e n d e r o k c ：r c p t t o ： s ：2 5 02 1 5 r e c i p i e n to k c ：r c p tt o ： s ：2 5 02 1 5 r e c i p i e n to k c ：d a t a s ：3 5 4e n t e r m a i l ；e n dw i t h c r u c ：h e l l o c ：e t c c ： s ：2 5 0 0 k c ：q u i t s ：2 2 12 0 0s a m s u n g l i n u x m a i l t e s t m t nc l o s i n gc o r m c 叫d o n 2 2 代理服务器概述 第7 页 国防科学技术大学研究生院工学硕士学位论文 2 2 代理服务器概述 在t c p i p 网络中，传统的通信过程是这样的：客户端向服务器请求数据，服 务器响应该请求，将数据传送给客户端。在引入了代理服务器以后，这一过程变 成了这样：客户端向服务器发起请求，该请求被送到代理服务器；代理服务器分 析该请求，并代替客户端向该服务器发出请求；服务器响应以后，代理服务器将 响应数据返回给客户端。 代理服务器是客户端与服务器之间的中介。必须具有以下基本功能： 1 ) 能够接收和解析客户端的请求。 2 ) 能够创建到服务器的新连接。 3 ) 能够接收服务器发来的响应。 4 ) 能够解析服务器的响应并转发给客户端【1 0 l 。 代理服务器模型如图所示【l l 】： 图2 2 代理服务器模型 代理服务器在网络中既作为服务器又作为客户端存在，对于客户端，代理服 务器作为服务器存在，对于服务器，代理服务器却是作为客户端而存在。 代理服务器具有以下功能： 1 ) 充当防火墙：因为所有内部网用户通过代理服务器访问外界时，只映射为 一个p 地址，所以外界不能直接访闯到内部网，同时可以设置i p 地址过 滤，限制内网用户对外网的访问权限。 2 ) 节省口开销：正如前面所说，所有的内网用户只占用一个毋地址，所以 不必租用过多的口地址，降低网络维护成本。 3 ) 通过缓存提高访问速度：缓存有主动缓存与被动缓存之分。所谓被动缓存， 指的是代理服务器只在客户端请求数据时才将服务器返回的数据进行缓 存。如果数据过期了，又有客户端请求相同数据时。代理服务器必须重新 发起新的数据请求，然后将响应数据传送给客户端的同时又进行新的缓 存。所谓主动缓存，就是代理服务器不断地检查缓存中的数据，一旦有数 据过期，则代理服务器主动发起新的数据请求来更新数据，这样，当有客 户端请求该数据时就会大大缩短响应时间。 4 ) 隐藏内部网络结构：如果内部用户访问i n t e m e t 都是通过代理服务器，那 么代理服务器就成为进入i n t e m e t 的唯一通道，如果你没有做反向代理， 第8 页 国防科学技术大学研究生院工学硕士学位论文 而大大增强了网络的安全性。 5 】身份认证：用来证实被认证对象是否名符其实或是否有效，防止入侵者主 动攻击，如假冒、串改等。常见的认证方式有：加密口令、一次性口令系 统、令牌认证和其他基于双因素的认证方式。 6 ) 记录和审计：统计记录被代理服务的相关信息，提供实施网络安全政策和 审计工作所必需的系统管理接口，以方便地控制网络资源的使用，并对危 害网络安全策略的网络活动给予报警。 2 2 1 代理服务器分类 按照提供服务的不同，可以分为 r m 代理、f r p 代理、s o c k s 代理、s m t p 代理、p o p 3 代理、t e l n e t 代理、s s l 代理、d n s 代理等1 1 “。 1 1h t r p 代理：能够代理客户端的m 卯访问请求，主要是代理浏览器访问 网页，它的端口一般为8 0 、8 0 8 0 等。 2 ) f t p 代理：能够代理客户机上的f r p 软件访闯f 1 p 服务器，它的端口一 般为2 1 、2 1 2 1 。 3 ) s m t p 代理：代理客户机上的部件软件以s m t p 方式发送邮件，端口一般 为2 5 。 4 ) p o p 3 代理：代理客户机上的邮件软件以p o p 3 方式接收邮件，端口一般 为1 1 0 。 5 ) t e l n e t 代理：能够代理通信机的t e l n e t ，用于远程控制，端口一般为2 3 。 6 ) s o c k s 代理：s o c k s 代理与其他类型的代理不同，它只是简单地传递数 据报，而并不关心是何种应用协议，既可以是h t t p 请求也可以是盯p 等其他请求，所以s o c k s 代理服务器比其他类型的代理服务器速度要快 很多。其标准端口为1 0 8 0 。s o c k s 代理又分为s o c k s 4 和s o c k s 5 ，二 者不同的是s o c k s 4 代理只支持t c p 协议，而s o c k s 5 代理既支持t c p 协议也支持u d p 协议，还支持各种身份验证机制、服务器端域名解析等。 我们常用的聊天工具q q 在使用代理时就要求用s o c k s 5 代理，因为它使 用u d p 协议来传输数据。 代理服务器按照代理的设置方式可以分为应用代理和透明代理。 2 2 。2 应用代理 传统的应用代理在使用代理服务器前，需要先把客户端主机的相关参数设置 为代理服务器的口地址和监听端口号，客户端向服务器发起请求时，必须先与代 理服务器建立连接，由代理服务器代替客户端向服务器发送请求，代理服务器接 第9 页 国防科学技术大学研究生院工学硕士学位论文 收服务器返回的响应，并返回给客户端。 2 2 3 透明代理 透明代理是指内部网络主机访问外部网络时，不需要做任何设置，用户完全 意识不到代理服务器的存在。透明代理服务，顾名恩义，代理服务的设置对用户 是透明的，用户不需要知道代理服务是如何运行的。在这种情况下，用户不用在 浏览器中显示指定代理服务主机，只要把网关设罱为代理服务所在主机，代理服 务主机收到浏览请求后，把这些数据报重定向到本机代理服务所在的端口，由代 理服务程序进行处理。 2 2 4 应用代理与透明代理的比较 1 ) 应用代理必须在客户端设置代理服务器的口地址和监听端口号。而透明 代理不需要在邮件客户端做任何附加的操作，就像不存在任何代理，只需 要把客户端的网关地址设置成代理服务器所在主机的口地址即可。 2 】s m t p 应用代理服务器需要从配置文件中获得邮件服务器的地址，然后与 邮件服务器建立连接。而s m t p 透明代理采用重定向技术，从代理服务器 与邮件客户端的连接中获得邮件服务器的地址，然后与邮件服务器建立连 接。 在使用透明代理服务器的网络中，对于用户来说，由于只需要知道网关地址， 就可以通过代理服务器访问外部网络，极大了方便了用户操作，而在使用应用代 理的网络中，用户需要填写代理服务器的球地址和监听端i = 1 ，如果代理服务器的 监听端口发生变化时，必须通知所有的用户修改其设置。 2 3 网络隔离与信息交换系统 2 3 1 网络隔离系统概述 网络隔离系统是位于两个不同安全域之间，通过协议转换的手段，以信息摆 渡的方式实现数据交换，有且只有系统允许通过的信息可以通过该安全部件。 网络隔离技术的思想来源于一个著名的黑盒定理一一如果想保证一个计算机 系统的绝对安全，就将它锁进一个黑盒。计算机系统与外界的连接越多，它所受 的安全危险就越大。如何调节安全性和互联性这一对不可调和的矛盾，使计算机 系统在隔离的情况下能够提供服务，便成了网络隔离技术研究的出发点。 专用安全通道隔离技术的实现原理是通过专用通信设备、专用通信协议，进 行不同安全级别网络之间的数据交换，彻底阻断了网络问的直接t c p i p 连接，同 第1 0 页 国防科学技术大学研究生院工学硕士学位论文 行不同安全级别网络之间的数据交换，彻底阻断了网络间的直接t c p i p 连接，同 时增加了网间数据交换的安全性，杜绝了由于操作系统和网络协议自身漏洞带来 的安全风险 2 3 2 网络隔离系统的组成 1 网络隔离系统由以下三个单元组成 1 2 1 ： 外网处理单元； 内网处理单元； 隔离交换单元。 网络隔离系统的结构如图所示。 网络隔离系统 内隔外 网离网 处 交 处 理换理 苴盥盟 一一一 兀兀兀 图2 3 网络隔离系统结构图 内部网络与外部网络为不同的安全域，具有不同用户对象和数据敏感程度。 网络隔离系统处于内部网络与外部网络之间，其内网处理单元与内网相连，外网 处理单元与外网相连，隔离交换单元作为内网处理单元与外网处理单元信息交互 的桥梁，在同一时间内，只能与其中之一相连，网络隔离系统保证内、外网络隔 离的前提下，对交换的数据进行安全检查，确保各自网络的边界安全。 2 网络隔离系统的主要安全模块【1 2 1 嘲： 安全隔离模块：隔离硬件在两个网络上进行切换，通过对硬件上的存储芯片 的读写，完成数据的交换。保证两个网络在物理层和链路层断开，不与两个网络 同时连接，两个网络交换的数据必须是剥离了t c p i p 协议后的应用层数据。 安全检查模块：数据完整性检查、病毒检查、恶意攻击代码检查等。 身份认证模块：支持身份认证。 访阎控制模块：实行强制访问控制。 内容过滤模块：对通信数据进行过滤处理。 日志审计模块：建立完善日志审计系统。 第1 1 页 国防科学技术大学研究生院工学硕士学位论文 阻断网络的直接物理连接：网络隔离系统在任何时刻都只能与非可信网络和 可信网络之一相连接，而不能同时与两个网络连接【1 2 l 。 阻断网络的逻辑连接：网络隔离系统不依赖于操作系统、不支持t c p i p 协议。 两个网络之间的信息交换必须将t c p i p 协议剥离，将原始数据通过p 2 p 的非 t c p i p 连接方式，通过存储介质的“写入”与“读出”完成数据转发。 数据传输机制的不可编程性：网络隔离系统的数据传输机制具有不可编程的 特性。 安全审查：网络隔离系统具有安全审查功能，即网络在原始数据“写入”网 络隔离系统前，根据需要对原始数据的安全性进行检查，把病毒、恶意攻击消灭 干净等。 原始数据无危害性：网络隔离系统转发的原始数据，不具有攻击或对网络安 全有害的特性。就像瞰文本不会有病毒一样，也不会执行命令等。 管理和控制功能；建立完善的只志系统。 根据需要建立数据特征库：在应用仞始化阶段，结合应用要求，提取应用数 据的特征，形成用户特有的数据特征库，作为运行过程中数据校验的基础。当用 户请求时，提取用户的应用数据，抽取数据特征和原始数据特征库比较，符合原 始特征库的数据请求进入请求队列，不符合的进行过滤处理。 支持单向，双向文件交换。 支持内容过滤、病毒检查等功能。 邮件同步：支持标准的s m t p 服务，安全，高可用性的邮件过滤策略p 】。 2 a 本章小结 以上对$ m t p 协议和代理服务器的原理、功能，分类情况进行了详细的介绍， 并通过比较说明了应用代理、透明代理的配置情况及其区别。然后对网络隔离系 统的原理作了详细的介绍，网络隔离系统由内网处理单元、外网处理单元和隔离 交换单元构成，它们互相协作、紧密相关。 第1 2 页 国防科学技术大学研究生院工学硕士学位论文 第三章面向安全隔离的透明代理服务器总体设计 3 1 应用环境 1 ，涉密网与非涉密网之间 涉密网络中存储了机密的数据，为了防止这些机密数据的泄露，又能完成涉 密网络与非涉密网络之间正常的数据交换，可以在涉密网络与非涉密网络之间部 署网络隔离系统。网络隔离系统以黑匣子的形式放置在涉密网络和非涉密网络之 问，控制网络之间的数据交换，提供边界出口安全保障。 2 局域网与互联网之间 部分局域网，特别是政府办公网络，涉及敏感信息，如果与互联网直接连接， 内部网络都暴露在互联网中各种病毒和网络攻击之下，严重危险到敏感数据的安 全。因此可以在局域网络与互联网之间部署网络隔离系统，断开网络之f h j 的直接 连接，保证内部网络的数据安全【l ” 3 办公网与业务网之间 由于办公网络与业务网络的信息敏感程度不同，例如，银行的办公网络和银 行业务网络就是很典型的信息敏感程度不同的两类网络。为了提高工作效率，办 公网络有时需要与业务网络交换信息。为了解决业务网络的安全，比较好的办法 就是在办公网与业务网之间使用网络隔离系统，实现两类网络的物理隔离。 4 电子政务的内网与专网之闻 在电子政务系统建设中要求政府内网与外网之问用逻辑隔离，在政府内网与 外网之问用物理隔离。现常用的方法是用网络隔离系统来实现。 5 业务网与互联网之问 电予商务网络一边连接着业务网络服务器，一边通过互联网连接着广大民众。 为了保障业务网络服务器的安全，在业务网络与互联网之问应实现物理隔离 s j 。 3 2 1 系统框架设计 3 2 系统总体设计 3 2 1 1 系统体系结构 网络隔离系统通过允许原始应用数据进入的技术手段保证内部网络和外部网 络的安全隔离，主要解决不同安全等级网络间的数据交换问题，防止内网的资源 被隔离对象以外的人员访问，并保证交换数据的完整性、实时性。 结合网络隔离系统上的网络应用，根据不同的数据服务，对内外网之问通信 第1 3 页 国防科学技术大学研究生院工学硕士学位论文 的数据内容进行过滤，防止未经允许的内网数据泄露。其体系结构如图所示： 碍络f鬲离j磊统 内隔外 网离网 处交处 理换理 苴苴苴 兀兀兀 图3 1 面向安全隔离的透明代理服务器体系结构 3 2 1 2 软件架构设计 面向安全隔离的透明代理服务器系统中内部网络处理单元( 外网处理单元的 软件模块与内网处理单元基本相同，只有一点不同。就是内网处理单元中使用的 是代理服务端模块，而外网处理单元中使用的是代理客户端模块) 包括代理服务 端、配置管理模块、身份认证模块、访闯控制模块、应用协议解析模块、内容过 滤模块、日志审计模块等软件功能单元。以下是内网处理单元的软件架构图： 内网处理单元 图3 2 内网处理单元软件架构 3 2 1 3 信息交换流程 网络隔离与信息交换系统( 以下简称为网络隔离系统) 隔离、阻断了网络的 所有连接。网络被隔离、阻断后，两个独立主机系统之间如何进行信息交换? 在 互联网时代以前，信息照样进行交换，如文件复制( 拷贝) 、数据摆渡，数据镜 像，数据反射等等，网络隔离系统就是使用数据“摆渡”的方式实现两个网络之 间的信息交换【1 4 1 。 网络的外部主机系统通过网络隔离系统与网络的内部主机系统连接起来，网 络隔离系统将外部主机的t c p i p 协议全部剥离，将原始数据通过存储介质，以“摆 渡”的方式导入到内部主机系统，实现信息的交换。 当内网与外网之间无信息交换时，隔离交换单元与内网处理单元、隔离交换 第1 4 页 国防科学技术大学研究生院工学硕士学位论文 单元与外网处理单元、内网处理单元与外网处理单元之间是完全断开的，即三者 之问不存在物理连接和逻辑连接1 2 1 ，如图所示： 两络隔离系统 图3 3 内外网信息交换前 当内网数据需要传输到外网时，内网数据首先到达内网处理单元，内网处理 单元对数据进行解析，在网络的第七层将数据还原