IPSec与和NAT兼容性问题的研究

1、IPSec与和NAT兼容性题目的研究摘要网络地点转换技能(NAT)与IPSe在因特网上都是得到普及应用的技能，但是它们之间却是不兼容的。该文起首别离先容了NAT和IPSe两种协议的根本原理，阐发了两者的不兼容性，然后讨论了办理该题目必需满意的要求，末了给出了利用UDP封装法实现NAT透明穿透的办理方案。关键词IPSe;NAT;IKE;UDP封装1弁言基于IP技能的假造专用网VirtualPrfessinalNetrk，简称VPN是通过Internet平台将局域网扩展到长途网络和长途盘算机用户的一种本钱效益极佳的要领。随着网络宁静技能的飞速生长，越来越多大型企业利用互联网接纳IPSe技能创立VP

2、N网络，IPSe已渐渐成为VPN构建的主流技能。IP宁静协议IPSeurityPrtl，简称IPSe是由互联网工程产业组InternetEngineeringTaskFre，简称IETF1998年底方案并订定的网络IP层尺度。IPSe不但可以为IP协议层以上全部的高层协媾和应用提供同等性的宁静庇护，并且除了可用于IPv4之外，也可用于下一代IP协议IPv6。别的，NATNetrkAddressTranslatin技能通过改变收支内部网络的IP数据包的源和目的地点，把无效的内部网络地点翻译成正当的IP地点在Internet上利用。该技能一方面可以把私有IP地点隐蔽起来，使外界无法直接拜候内部网络

3、，对内部网络起到庇护作用；另一方面，它可以缓解由于IPv4天赋方案上的不敷，而导致的IP地点严峻短缺的近况。但是，被普及利用的网络地点转换NAT装备却制约着基于IPSe技能的VPN的生长，这是由于IPSe协议在VPN中负担庇护传输数据的宁静性使命。在数据传输历程中，任何对IP地点及传输标识表记标帜符的修改，都被视为难刁难该协议的违犯，并导致数据包不克不及通过宁静查抄而被抛弃。但在VPN中运用NAT技能，那么不成制止地要将私网地点映射为公网地点，即对IP地点要举行修改。因此，在VPN网络中怎样使IPSe和NAT协同事情，实现NAT的透明穿透具有实际意义。2协议先容2.1IPSeIPSe包罗宁静协

4、媾和密钥办理两部门。此中，AH和ESP是两个宁静协议，提供数据源验证、面向无毗连的数据完备性、抗重放、数据机密性和有限抗流量阐发等宁静使命。为了可以或许将相应的宁静办事、算法和密钥应用于必要庇护的宁静通道，IPSe划定两个通讯实体举行IPSe通讯之前起首构建宁静关联SA。SA划定了通讯实体两边所必要的详细宁静协议、加密算法、认证算法以及密钥。IKE提供了用来协商、互换和更新SA以及密钥的完备机制。IPSe界说了两种范例的封装形式传输形式和隧道形式。传输形式只对IP分组应用IPSe协议，对IP报头不举行任何修改，它只能应用于主机对主机的IPSe假造专用网VPN中。隧道形式中IPSe将原有的IP分

5、组封装成带有新的IP报头的IPSe分组，如许原有的IP分组就被有用地隐蔽起来了。隧道重要应用于主机到网关的长途接入的环境。2.2NATNAT能办理如今IP地点紧缺的题目，并且能使得表里网络断绝，提供必然的网络宁静保障。它办理题目的措施是：在内部网络中利用内部地点，通过NAT把内部地点翻译成正当的IP地点在Internet上利用，其详细的做法是把IP包内的地点或用正当的IP地点来更换。NAT成效通常被集成到路由器、防火墙、ISDN路由器大概单独的NAT装备中。NAT有三种范例：静态NAT、动态地点NAT、网络地点端口转换NAPT。此中静态NAT设置起来最为简朴，内部网络中的每个主机都被永世映射成

6、外部网络中的某个正当的地点。而动态地点NAT那么是在外部网络中界说了一系列的正当地点，接纳动态分派的要领映射到内部网络。NAPT那么是把内部地点映射到外部网络的一个IP地点的差异端口上。按照差异的必要，三种NAT方案各有利弊。3IPSe与NAT的不兼容性阐发按照协议的界说，我们知道IPSe和NAT两个协议之间存在必然的不兼容性。其不兼容性重要有以下几种情势：1NAT对AH的影响IPSeAH举行验证的时间，处置惩罚的是整个IP包，包罗源地点和目的地点。假设IPSe通讯两边存在NAT装备，NAT装备就会修改外层IP包头的源地点并修改其校验和，如许吸收方会因认证失败而抛弃该包。2NAT对ESP的影响

7、TP/UDP校验和地盘算涉及一个假造的IP包头，该包头含有IP源和目的地点。因此，当NAT装备改变IP地点时也必要更新IP头和TP/UDP校验和。假设接纳ESP传输形式，IP包颠末NAT装备时，NAT装备修改了IP包头，但是TP/UDP校验和由于处于加密负载中而无法被修改。如许，该信包颠末IPSe层后将由于TP协议层的校验和的错误而被抛弃。别的，由于TP/UDP校验和只与内层原始IP包头有关，外层IP包头的修改并不合错误其造成影响，因此接纳ESP隧道形式和仅静态或动态NAT的环境下不存在TP校验和的题目。但是，在NAPT环境下，由于NAPT必要TP/UDP端口来匹配收支信包，而端标语受到ESP

8、加密庇护，以是ESP分组通讯将会失败。3NAT对IKE的影响IKE主形式与快速形式中假设利用IP地点作为身份信息，颠末NAT后，会导致IKE协商的失败。IKE协议利用结实目的端口500，当NAPT装备后的多个主机向同一相应者提倡SA协商时，为了实现多路分发返回的IKE包，NAPT修改外出的IKE包的UDP源端口。因此，相应者应该能处置惩罚端标语并非500的IKE协商哀求，但每每NAPT对UDP端口的映射很快会被删除，再协商的历程就将出现一些不成预见的题目，很轻易导致NAPT装备无法将协商包送到准确的目的地。综上所述，IPSe组件对NAT的支持本领如表1所示。表1IPSe对NAT的支持本领从表1

9、中可以看出，只有在隧道形式和地点转换环境下才可以实现IPSe数据流的NAT穿越。这一要领既低落了IPSe协议的宁静性，又限定了NAT的事情方法，因此在实际应用中可行度较差。4IPSe与NAT的兼容性要求在现有的条件下，为了鞭策基于IPSe的VPN的生长，IPSe和NAT兼容性办理方案必要满意以下要求：1可摆设性IPSe和NAT兼容性办理方案作为一个过渡的办理措施必需比IPv6易于摆设。应该只需修改主机，无需改变路由器，在短时间内能与现存的路由器和NAT产物协同事情。2长途拜候IPSe的一个紧张应用是长途拜候公司的内部网络。NAT穿越方案必需思量长途客户端与VPN网关之间存在多个NAT的环境。3

10、防火墙兼容性IPSe和NAT兼容性方案应该制止对IKE或IPSe目的端口的动态分派，使防火墙办理员举行简朴的设置，就可以操纵穿越NAT的IPSe数据流。4可扩展性IPSe和NAT兼容性方案应具有精良的扩展性，必需包管在大范围长途拜候的环境中，在大量长途接入的环境下，同一时间段多个主机和长途宁静网关创立毗连。5后向兼容性IPSe和NAT兼容性方案中必需能与已有的IPSe实现互操纵。穿越方案应该能主动检测是否存在NAT，能断定通讯对方的IKE实现是否支持NAT穿越。6宁静性IPSe和NAT兼容性办理方案的引入必需包管不得带来新的宁静缺点。5利用UDP封装法实现NAT的穿透本文中的办理方案是接纳UD

11、P封装法实现NAT的透明穿透，不必要修改现有的NAT网关和路由器。以是该方案具有简朴且易于实现的长处，缺点是由于添加了一个UDP报文头，而加大了带宽开销，但相对付如今连续扩大的传输带宽来说，这个UDP报文头的带宽开销可以忽略不计。下面详细讨论其原理和实现历程。5.1封装格式UDP封装法是在原有的IP包的IP头和AH/ESP的数据之间再封装一个UDP头，如许封装后的数据包端口值对NAT可见，就可以准确的实现端口转换。UDP封装格式如图1所示。图1UDP封装格式别的，由于IKE已经利用了UDP的500端口，为了简化设置和制止多个端口带来的宁静隐患，UDP封装的ESP也利用该端口。如许就必要接纳必然

12、的要领来区分端口500的数据包是IKE消息照旧UDP封装的ESP。为了区分两者，我们接纳在IKE报头添加Nn-ESP标识表记标帜。在确定存在一此中心NAT之后，支持IPSeNAT-T的对话方开始利用新的IKE报头。5.2IKE协商历程IPSe通讯实体两边是否接纳UDP封装取决于对话对方是否支持该要领以及是否存在NAT装备，这个历程通过IKE协商来完成。在IKE协商历程中增加了新的NAT-D和NAT-A有用载荷和以及UDP通道范例。1新的NAT-Disvery(NAT-D)有用载荷这个新的有用载荷包罗一个散列值，它整合了一个地点和端标语。在主形式协商期间，即IKE协商第一阶段第三、四条消息中，I

13、PSe对话方包罗两个NAT-Disvery有用载荷一个用于目的地点和端口，另一个用于源地点和端口。吸收方利用NAT-Disvery有用载荷来创造NAT之后是否存在一个经NAT转换过的地点或端标语，并基于被改变的地点和端标语来确定是否有对话方位于NAT之后。2新的NAT-riginalAddress(NAT-A)有用载荷：这个新的有用载荷包罗IPSe对话方的原始地点。对付UDP封装的ESP传输形式，每个对话方在快速形式协商期间发送NAT-A有用载荷。吸收方将这个地点存储在用于SA的参数中。3用于UDP封装的ESP传输形式和隧道形式的新的封装形式这两种新的封装形式是在快速形式协商期间指定的，用于照

14、顾IPSe对话方应该对ESP利用UDP封装。5.3地点告示和Keepalive包由于用UDP来封装IPSe分组的头脑只办理了NAPT装备不支持AH和ESP通讯的题目。比方TP校验和错误、UDP端口映射的保持等题目还必要帮助要领来办理。为包管校验和准确无误，通讯两边需将自身的原始IP地点和端口发送给对方，即实现地点告示。地点告示的实现通过IKE第二阶段的前两条消息中的NAT-A有用载荷。由于NAT-A有用载荷中包罗IPSe对话方的原始地点，为此，吸收方就拥有了查验解密之后的上层校验和所需的信息。消息提倡者在NAT中创立了一个UDP端口映射，它在初始主形式和快速形式IKE协商期间利用。然而，NAT

15、中的UDP映射通常凌驾一按时间没用就会被删撤除。假设相应者随后向提倡者发送IKE消息却没有提供UDP端口映射，那么这些消息将被NAT抛弃。这个题目的办理措施是通过按期发送Keepalive包，用于后续IKE协商和UDP封装的ESP的UDP端口映射同时在NAT中得到革新，从而包管通讯的正常运行。6竣事语IPSe作为网络层的宁静协议，如今的应用越来越普及,已成为构建VPN的底子协议之一。而由于IPv6代替IPv4将是一个漫长的历程，NAT装备的普及存在极大地限定了IP层宁静协议IPSe的推广，因此在如今的条件下，UDP封装要领无疑是一种在当前环境下无需修改NAT网关和路由器、简朴可担当的办理IPS

16、e和NAT兼容性的要领，具有必然的实际意义。但是该方案还不美满，有待进一步讨论和研究。参考文献1RF3022-2001.TraditinalIPnetrkaddresstranslatr(TraditinalNAT)S.2RF2401-1998.SeurityArhitetureftheInternetPrtlS.3RF2402-1998.IPAuthentiatinHeaderS.4RF2406-1998.IPEnapsulatingSeurityPaylad(ESP)S.5RF2409-1998.TheInternetKeyExhange(IKE)S.6RF3103-2001.RealSpeifiIPPrtlSpeifiatinS.7AbbaB,illiaDixn