基于IPSec的VPN实用方案的设计与实现.pdfVIP

基于IPSec的VPN实用方案的设计与实现 贾玉静 (山东政法学院信息科学技术系，山东济南250014) 摘要：设计了基于IPsec协议的虚拟专用网的实用方案，该方案使一个公司的专用网可以跨越一个公网，并通过一个专用 的虚拟通道来建立专用的连接。同时，从访问控制、数据保密性、地址和路由信息的安全等方面分析了此方案设计中所需要 解决的问题。 关键词：VPN；IPSec协议；方案实现 伴通过互联网连接在一起。 1 基于lPSec协议的VPN 下面从访问控制、数据保密性、地址和路由信息的 VPN(VirtualPrivate Network)，一般译为虚拟专用 安全等各方面来分析此虚拟专用网方案设计中所需要 网络，或虚拟专网。VPN是一种通信环境，在这一环境 解决的安全性能问题。 中，存取受到控制，目的在于只允许被确定为同一个共 2．1访问控制 同体的内部同层之间实现连接，而VPN的构建则是通 该企业的防火墙将只允许本公司的业务数据通过 过对公共通信基础设施的通信介质进行某种逻辑分割 而将从其它地方来的数据丢弃，通过使用IPSec的验证 来进行的，其中基础通信介质提供基于非排他性网络 协议可达到这一要求。IPSec的验证技术能够比传统 的通信服务。同时，VPN又是一种网络连接技术。VPN 的、非密码学的包过滤技术对于“地址假冒”攻击提供 通过共享通信基础设施为用户提供定制的网络连接， 更强的保护措施。在这种情况下，使用HMAC函数的 在共享的通信基础设施上采取隧道技术和特殊配置技 IPSec验证可以作为第一道防线，而包过滤技术可以作 术措施，仿真点到点的连接。 为第二道防线来进行更加详细的访问控制IlI。 IPSec是为了在IP层提供通信安全而制定的一套 2．2数据保密性 协议族。它包括安伞协议部分和密钥协商部分。安全协 当企业的数据在互联网上传输时，企业当然希望 议部分定义了对通信的安全保护机制；密钥协商部分 数据是以加密形式传输。但在企业内部网中传输时，数 定义了如何为安全协议协商保护参数，以及如何对通 据可能是明文方式，也可能是密文方式。因此有两种情 信实体的身份进行鉴别。 形，对于不同的情形可以采取不同的设计方案。 利用IPSec协议，可以构造一个安全的虚拟专用 (1)若企业认为其内部网是安全的，则可仅在两个 网，使一个公司的专用网可以跨越一个公网(如互联 网络的防火墙之间进行数据的加密和验证，而在各自 网)，并通过～个专用的虚拟通道来建立专用的连接。 的内部网中数据是以明文方式传输的。这样处理的优 使公司可以同远程用户、公司的分部及公司的贸易伙 点是可以大大减少对安全关联的管理工作，缺点是易 伴通过互联网连接在一起。 受到企业内部人员的攻击。在这种情形下，在两个防火 墙之间可以使用ESP协议的隧道模式； 2具体方案实施 (2)企业希望数据能够抵抗来自互联网和内部网 假如一个企业想利用VPN将地理上分散的几个 的攻击，因此数据将在两个通信主机之间的整个路径 分部连接起来，具体方案如下：将企业根据地理位置划 中进行加密传输。此时，在源主机和目的主机之间使用 分成为几部分单独的网络(Intranet)，每一网络在in—