基于IPSec协议的VPN穿越NAT的研究与实现

论文摘要

网络地址转换(Network Address Translation, NAT)和虚拟专用网(Virtual Private Network, VPN)分别是用以缓解IP地址被耗尽和建立安全通信和的常用技术。但NAT协议和支撑VPN的IPSec协议在兼容性上存在先天性的不足。IPSec协议的主要作用是保护数据安全,在数据传输过程中,对IP地址传输标志的修改,都被视为对IPSec协议的违背,从而致使数据包无法通过安全检查而被丢弃;但在VPN中运用NAT,修改IP地址是不可避免的。因此,在VPN网络中,如何使IPSec和NAT协同工作是极为重要的。本研究旨在探讨如何解决IPSec和NAT的兼容性,论文的主要工作包括:1、研究与分析了NAT协议和IPSec协议。从二者的组成、工作原理及作用等方面入手,深入分析了NAT协议和IPSec协议的兼容性问题,同时也分析了几种已经存在的解决方案的优缺点。2、研究了基于UDP协议的NAT双向穿越技术。本文采用了基于超结点的UDP穿透NAT的方法,完成节点在不同内网之间的穿越,使之成为一种可自由通信的网络。3、改进了IPSec穿越NAT的方法。本文提出了用UDP封装整个IPSec数据包的方法,不但能有效解决IPSec和NAT的不兼容问题,支持所有的协议和模式,而且也具有实现和部署容易的特点。4、设计并实现了基于IPSec的VPN穿越NAT系统。整个系统由应用层和驱动层组成,应用层主要完成参数和用户信息的设置,然后将设置信息传递给驱动层;而驱动层则实现IPSec和NAT的功能。本研究给出了实现IPSec和NAT兼容的VPN的一种完整的思想和方法,针对IPSec VPN实现所面临的问题如NAT穿越问题、数据包封装问题,提出了完整的解决办法,从而实现内网通过Internet连网,实现自由安全的互访。

论文目录

• 摘要
• ABSTRACT
• 第1章 绪论
• 1.1 研究背景
• 1.2 研究现状
• 1.2.1 国外研究现状
• 1.2.2 国内研究现状
• 1.2.3 当前研究的不足
• 1.3 研究内容及论文的组织
• 1.3.1 研究内容
• 1.3.2 论文组织
• 第2章 相关研究与技术介绍
• 2.1 IPSec 协议
• 2.1.1 IPSec 体系结构
• 2.1.2 IPSec 协议工作流程
• 2.1.3 安全关联（SA）
• 2.1.4 认证头（AH）协议
• 2.1.5 封装载荷协议（ESP）
• 2.1.6 IKE
• 2.2 NAT 协议
• 2.3 IPSec 与NAT 的不兼容性
• 2.3.1 NAT 与AH
• 2.3.2 校验和与NAT
• 2.3.3 IKE 与NAT
• 2.3.4 固定IKE 端口号与NAPT
• 2.4 IPSec 与NAT 兼容性方法
• 2.4.1 在IPSec 之前先使用NAT
• 2.4.2 RSIP
• 2.4.3 UDP 封装
• 第3章 基于超结点的 UDP 穿透 NAT 的模型设计
• 3.1 NAT 穿透技术研究
• 3.2 基于第三方服务器的UDP 打洞穿越NAT
• 3.3 基于超结点的UDP 穿透NAT 模型设计
• 3.3.1 模型组件
• 3.3.2 穿透原理
• 3.3.3 模型分析
• 第4章 基于 UDP 封装的 IPSec 穿越 NAT 的设计
• 4.1 IPSec 能够穿越NAT 的情形
• 4.2 IPSec 与NAT 的兼容性要求
• 4.3 UDP 封装IPSec 实现NAT 的穿越
• 4.4 改进的UDP 封装包穿越NAT 方案设计
• 4.4.1 基本思想
• 4.4.2 通信的工作流程
• 4.4.3 改进后的模型分析
• 第5章 与 NAT 兼容的 IPSec VPN 的系统实现
• 5.1 系统总体设计
• 5.1.1 IPSec VPN 系统目标
• 5.1.2 NAT 和VPN 功能的实现
• 5.2 系统工作流程
• 5.3 核心层网络封包捕获
• 5.3.1 NDIS 驱动
• 5.3.2 中间层网络驱动PassThru
• 5.4 IPSec 功能的实现
• 5.5 开发平台及程序的编写
• 5.6 系统试用情况
• 5.6.1 网络穿越测试
• 5.6.2 IPSec 数据保护测试
• 第6章 总结和展望
• 6.1 总结
• 6.2 展望
• 参考文献
• 致谢