IPv6网络中多级多域安全策略系统研究

论文摘要

为了解决IPv6网络中基于策略驱动的网络安全问题以及多层次多地区的军事和商业安全应用需求,本文利用了IPv6内嵌的安全协议IPSec中安全策略数据库(SPD)对安全策略的支持和其强制实施性,在现有的SPS的基础上提出了支撑策略实施的“分层分域、统一管理、分布式控制”的多级多域安全策略系统。该系统中,中心策略统一配置、各安全域根据自身安全需求下载安全策略,本地策略协商配置。基于该架构本文主要研究了如何有效管理多级多域的分布式IPv6网络环境下安全策略管理实现中的相关问题,包括:安全策略的内容和描述方法、安全策略的配置与存储方案以及安全策略系统的实现等。从理论上证明了多级多域的安全策略系统的可实现性。虽然IPSec可以提供强大的安全支持,但是在安全策略驱动的分布式网络环境中,安全策略从配置、分发到实施的每一阶段都必须保持一致,否则有可能达不到预期的安全目标,本文通过深入研究策略冲突产生的原因并给出切实可行的解决方案。文章最后鉴于CERNET2的纯IPv6的网络环境,将多级多域安全策略系统与CERNET2网络相结合,给出了SPD中的IPSec安全策略在该系统中的部署和实施的方案设计,还根据选择符的内容进行了SP扩展,并加以实例说明。多级多域的安全策略系统具有很好的扩展性,适合IPv6环境下基于域的安全管理。安全策略在系统中正确配置实施,可以最大限度地维护IPv6网络安全,对现行的CERNET2网络也具有十分重要的实际意义。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 安全策略概述
• 1.2 基于IPV6/IPSec协议实施安全策略的技术需求
• 1.2.1 IPv6/IPSec协议概况
• 1.2.2 实施安全策略的技术需求分析
• 1.3 论文的研究目标和内容安排
• 第二章 多级多域的分布式安全策略系统
• 2.1 现有安全策略管理系统分析
• 2.1.1 IPSec策略管理需求
• 2.1.2 SPS系统及存在的问题
• 2.2 多级多域分布式安全策略系统的设计
• 2.2.1 安全策略系统总体框架
• 2.2.2 域的划分
• 2.2.3 公共开放式策略服务协议（COPS）
• 2.2.4 轻量级目录访问协议（LDAP）
• 2.2.5 策略协商协议（SPP）
• 2.2.6 策略服务器的选取
• 2.3 本章小结
• 第三章 基于多级多域安全策略系统的IPSec/SP管理实现
• 3.1 策略系统的实现
• 3.1.1 多级多域安全策略系统的IPSec实现框架
• 3.1.2 Linux内核中的系统实现
• 3.1.3 系统的IPSec实现要解决的问题
• 3.2 安全策略的内容和描述方法
• 3.2.1 安全策略的内容
• 3.2.2 策略的描述方法
• 3.3 策略的配置与存储
• 3.3.1 策略的配置
• 3.3.2 策略的存储方案
• 3.4 本章小结
• 第四章 安全策略一致性分析
• 4.1 策略一致性定义
• 4.2 策略配置冲突
• 4.2.1 配置冲突的分类
• 4.2.2 配置冲突的解决
• 4.3 策略系统冲突
• 4.3.1 系统冲突的分类
• 4.3.2 系统冲突的解决
• 4.4 策略实施冲突
• 4.4.1 IPSec隧道模式冲突分析
• 4.4.2 策略实施冲突的解决
• 4.5 算法分析
• 4.6 本章小结
• 第五章 安全策略系统在CERNET2 网络中的实现方案设计
• 5.1 CERNET2 网络介绍
• 5.2 多级多域的安全策略系统在CERNET2 中的部署方案
• 5.3 CERNET2 中的IPSec策略实例
• 5.4 过滤策略在SPD中的扩展
• 5.5 本章小结
• 第六章 总结与展望
• 6.1 总结
• 6.2 展望
• 致谢
• 参考文献
• 研究成果