基于IPSec协议的用户访问权限控制研究

论文摘要

Internet网络普及以来,具有覆盖范围广、速度快、组网成本低、使用方便等特点,在我国机关、企事业单位中得到迅速发展,但是由于Internet网络也有其致命缺点:安全性能差,导致了很多单位不得不租用专线进行异地联网,这实际上也导致了单位运营成本的大幅提高,也导致了网络带宽资源的浪费。而VPN(虚拟专用网)技术的产生和发展使普通Internet网用户也可以在公众数据网络上建立属于自己的私有数据网络。 由于基于IPSec协议的VPN是针对网络层的IP数据包实现数据安全传输的,其权限控制功能较弱,只能实现IP地址的过滤,而在这种跨Internet网络的虚拟局域网中,应用服务程序的权限控制也是非常重要的,各上下级、平级部门之间的权限管理对于对信息化依赖很强的企事业单位非常必要。如何实现虚拟局域网内部的安全管理成为了VPN安全网关实现的技术难题。 本论文在实现虚拟局域网的IPSec协议基础上,提出了在虚拟局域网内用户认证和访问权限控制的技术,使数据在虚拟局域网内也可以实现保密、安全传输和授权访问,能有效防止合法用户的非授权访问。 本论文通过建立安全策略管理系统,采用跨协议层用户访问权限控制表的方式,实现对网络层、传输层及以上协议层的权限控制,使VPN网关具备了应用级权限控制功能,对于虚拟局域网内部权限控制起到了很好的作用,有效地防止了虚拟局域网间合法用户的非授权访问。采用的主要技术手段是建立跨协议层权限访问控制表,通过权限表实现权限资源共享,而对于需要特别保护的服务器,也可以利用VPN网关和权限表实现内部用户的认证和数据流的保密传输。 在此基础上,完成了系统分析和数据结构的建立,对各功能子系统进行了详细设计,并对用户访问权限控制管理模块部分进行了实验和测试,完全符合预期的设计要求。 本论文最终解决了利用VPN安全网关构建的虚拟局域网内合法用户的非授权访问安全问题,能实现较好的用户访问权限控制管理。

论文目录

• 中文摘要
• 英文摘要
• 1 绪论
• 1.1 问题提出的背景
• 1.1.1 Internet数据安全传输的实用意义
• 1.1.2 Internet数据传输领域安全研究状况
• 1.2 问题的提出
• 1.2.1 Internet数据安全传输实现的困难
• 1.2.2 VPN技术简介
• 1.2.3 利用IPSEC实现VPN
• 1.2.4 实现VPN对于房地产信息交易管理的重要意义
• 1.3 本文研究的内容
• 1.4 本章小结
• 2 WINDOWS环境下的网络封包截获技术
• 2.1 WINDOWS操作系统TCP/IP协议实现剖析
• 2.1.1 Windows操作系统总体架构
• 2.1.2 Windows操作系统中的OSI模型
• 2.1.3 Windows操作系统中的TCP/IP协议
• 2.2 设备驱动程序简介
• 2.2.1 Win32驱动程序模型简介
• 2.2.2 WDM特性
• 2.2.3 WDM工作原理
• 2.3 C语言、DDK简介
• 2.3.1 C语言简介
• 2.3.2 DDK开发工具简介
• 2.4 如何在WINDOWS操作系统中截获网络封包
• 2.4.1 在传输层截获网络封包语言简介
• 2.4.2 利用NDIS截获网络封包
• 2.5 本章小结
• 3 基于IPSEC协议的用户访问权限控制系统结构设计
• 3.1 IPSEC安全体系结构
• 3.1.1 IPSec总体框架图
• 3.1.2 IPSec数据包处理流程图
• 3.2 IPSEC安全协议
• 3.2.1 基于IPv4的认证报头（AH）协议及实现
• 3.2.2 基于IPv4的封装安全负载（ESP）协议及实现
• 3.3 安全关联数据库SAD和安全策略数据库SPD
• 3.4 IKE密钥协商
• 3.5 权限策略管理系统
• 3.6 用户访问权限数据库UAD
• 3.7 具用户访问权限控制的IPSEC安全体系结构
• 3.8 本章小结
• 4 基于IPSEC协议的用户访问权限控制系统详细设计
• 4.1 VPN安全网关系统架构图
• 4.2 本系统软硬件实现环境
• 4.3 具用户访问权限控制功能的VPN安全网关系统框架图
• 4.4 策略数据管理模块
• 4.4.1 安全关联数据库（SAD）
• 4.4.2 安全策略数据库（SPD）
• 4.5 IKE密钥交换模块
• 4.5.1 模块功能简要介绍
• 4.5.2 IKE管理模块
• 4.5.3 IKE监听模块
• 4.5.4 SA协商模块
• 4.6 IPSec处理模块
• 4.6.1 NDIS中间驱动程序
• 4.6.2 IPSec数据包接收处理模块
• 4.6.3 数据包接收处理算法描述
• 4.6.4 IPSec数据包发送处理函数
• 4.6.5 数据包发送处理算法描述
• 4.7 用户访问权限控制管理模块
• 4.7.1 用户访问权限控制管理基本思想
• 4.7.2 用户访问权限数据库（UAD）
• 4.7.3 算法实现流程
• 4.7.4 用户访问权限数据库（UAD）结构定义
• 4.7.5 主要功能函数
• 4.8 本章小结
• 5 总结
• 致谢
• 参考文献