基于专用协议栈的防火墙系统中VPN网关的实现

论文摘要

本论文选用了开放源代码的Linux操作系统作为开发平台,在自主开发的专用协议栈基础上,采用网络层的IPSec协议族实现了虚拟专用网(VPN)网关,并集成于防火墙系统中。课题采用标准的C语言进行程序开发。 本论文参考了IETF关于IPSec协议族的RFC建议文档,通过研究对比,确定了在专用协议栈上以ESP隧道模式的工作方式实现VPN网关,主要的结构包括动态密钥交换、安全服务协议、安全策略等几大模块;详细分析了在Linux网络协议栈中实现IPSec协议的自由软件FreeS/WAN,研究了在对IPSec协议的具体实现流程中需要考虑和重点解决的问题;分析了Linux网络协议栈处理流程,完成了基于专用协议栈的IPSec模块的设计,并成功地将其嵌入专用协议栈中,实现了ESP隧道模式的安全服务;最后,采用UDP封装的方案,很好地实现了IPSec对NAT网关的穿越,并试探性地采用IP载荷压缩技术,以优化由于ESP协议和UDP封装所增加的数据包长度而可能影响到的网络性能。 本系统所采用和借鉴的均为Linux平台上的开放源码和自由软件,所参考的RFC文档为IETF公开发布的权威性文件,故系统实现具有较低的开发成本以及良好的移植性。从安全角度出发,专用协议栈的处理方案也成为本VPN网关坚实的安全堡垒。再加上对IPSec与NAT冲突的解决和IP载荷压缩技术的考虑,本VPN网关很好地实现了集安全、实用、高效于一体的最终目的,为广大中小型企业解决专用网到Internet的接入提供了有效的解决方案。

论文目录

• 前言
• 第一章 系统概述
• 1.1 Internet的安全
• 1.1.1 保密性的丢失
• 1.1.2 数据完整性的丢失
• 1.1.3 身份欺骗
• 1.1.4 拒绝服务
• 1.2 VPN的产生和关键技术
• 1.3 各层安全措施和协议
• 1.3.1 各层安全措施和协议的分析比较
• 1.3.2 VPN与防火墙需要集成实施
• 1.4 专用协议栈
• 1.5 本章小结
• 第二章 IPSec协议分析
• 2.1 IPSec协议的体系结构
• 2.2 ESP机制
• 2.2.1 ESP封装的两种模式
• 2.2.2 ESP头在IP分组中的插入位置
• 2.2.3 ESP载荷格式
• 2.3 AH机制
• 2.3.1 AH封装的两种模式
• 2.3.2 AH头在分组中的位置
• 2.3.3 AH载荷格式
• 2.4 密钥协商管理
• 2.5 IPSec协议分析
• 2.5.1 IPSec协议的复杂性
• 2.5.2 隧道模式的ESP协议
• 2.6 IPSec协议的不足和解决
• 2.6.1 操作系统的不安全性
• 2.6.2 非端到端安全
• 2.6.3 认证对象的不足
• 2.6.4 不能阻止拒绝服务DOS的攻击
• 2.7 本章小结
• 第三章 Frees／WAN分析
• 3.1 FreeS／WAN软件概述
• 3.2 FreeS／WAN各功能模块的实现方案
• 3.2.1 安全策略库（SPD）的实现
• 3.2.2 安全关联库（SAD）的实现
• 3.2.3 ESP协议处理模块实现
• 3.2.4 AH协议处理模块实现
• 3.2.5 算法实现
• 3.2.6 日志、统计、配置与审计实现
• 3.2.7 应用程序与内核的通信接口实现
• 3.3 FreeS／WAN在Linux网络协议栈中的实现
• 3.3.1 Linux2.4内核网络协议栈的处理流程
• 3.3.2 IPSec协议在Linux内核中的登记注册
• 3.3.3 IPSec协议的接收处理
• 3.3.4 向系统注册虚接口
• 3.3.5 IPSec协议的发送处理
• 3.4 密钥协商及管理模块
• 3.4.1 IKE在FreeS／WAN中的实现
• 3.4.2 ISAKMP SA的建立
• 3.4.3 IPSec SA的建立
• KEY模块'>3.5 PF_KEY模块
• 3.6 本章小结
• 第四章 系统的具体实现
• 4.1 系统网络流程的修改
• 4.2 IPSec模块的登记
• dir_entry结构的注册'>4.2.1 proc_dir_entry结构的注册
• 4.2.2 接收发送函数的实现
• 4.3 ESP隧道模式的加密发送处理流程
• 4.4 对自建协议栈中VPN网关的测试
• 4.4.1 测试环境
• 4.4.2 测试项目
• 第五章 系统改进
• 5.1 IPSec与NAT协同工作的研究
• 5.1.1 NAT技术概述
• 5.1.2 IPsec与NA（P）T不兼容性的分析
• 5.1.3 解决方案分析
• 5.2 IP载荷压缩技术
• 5.2.1 应用IPSec后的数据压缩问题
• 5.2.2 IP载荷压缩协议的分析与实现技术研究
• 5.2.3 使用IPComp时需要注意的一些问题
• 5.4 本系统的综合流程图
• 总结与展望
• 参考文献
• 在校期间发表的论文
• 致谢