嵌入式VPN网关的设计和实现.pdfVIP

第三篇 网络、通信与数据传输 373 嵌入式VPN网关的设计与实现 ————————————————————————————————————一———————— 黄邦强 庞宏冰 北京航空航天大学计算机学院，北京，100083 摘要本论文首先讨论开放的套用网络系统中存在的安全威胁，接下来对虚拟专用网技术进行了简单 介绍，论述在套用网上组建虚拟专用网的基本要求和关键技术。在分析现有基于IPSec协议的VPN系统基础 上，提出了结合VPN功能的防火墙，以厦在RTEMS嵌入式系统上如何实现具有VPN功能的防火墙，构建安 仝的VPN网茭。 关键字 网络隧道，虚拟专用网，防火墙 随着lmernet的迅速发展．网络安全问题变得越来越重要。目前防火墙是最常用的内部网安全设备，但是 防火墙却无法保证网络通信的安全。虚拟专用网技术是保护网络信息传输安全的技术。使用虚拟专用网代替 租用线路或专线连接的私人专用网是未来发展趋势。 以下介绍如何在RTEMS嵌入式操作系统上实现一个具有VPN功能的防火墙．构建安全的VPN网关。 l RTEMS嵌入式操作系统 RTEMS(RealTimeExecutivefor Muhiprocessor Systems)是强大且灵活的实时嵌入式操作系统的一个典 型范例。起初RTEMS是专门为美国军方设计，源码现已公开，可以自由获得。RTEMS实现了一般嵌入式系 统所应具有的功能，在设计上采用了层次(1ayered)结构。是一种倒置的金字塔结构，每一层都建立在较低层的 功能之上。RTEMS体系结构的设计，体现了嵌入式操作系统的灵活性以及良好的扩展性，主要表现在可移植 性和可裁剪性。RTEMS的体系结构如图1所示： 使用RTEMS嵌人式系统主要出于系统安全的考虑： ●RTEMS操作系统有较好的功能可裁剪性，可以将RTEMS定制为运行安全服务的系统．简化与安全服 务不相关的其他功能，从而提高系统的安全性和运行效率。 ●RTEMS不支持命令行操作，攻击者无法直接通过操作命令对系统进行控制，在一定程度上减少系统被 入侵的可能。 基于以上原因，本系统采用RTEMS作为开发平台，并通过修改RTEMS的网络内核来实现VPN网关。 圈1 RTEMS的体系结构圈 374 2003年全国单片机厦嵌入式系统学术年会论文集(上册) 2系统的实现 现成的系统都经过了充分的调试和优化。使用现有的代码资源能够提高开发速度，减少系统的凋试，保证 ————————————————————一—————————一 系统的稳定l生和安全性。因此，在具体实现时尽量使用已有的系统。在本系统中t通过移植Netfiher防火墙实 现一个基本的防火墙原型，IPSee协议的实现主要参考FreeS／WAN和KAME系统。 2．1 Netfilter防火墙的移植 TcP／1P济泌栈总体结构基本相同，但是实现的具体细节是不同的，比如函数的名称与调用的过程不相同，而 框架。 RTEMS中NetfiIter框架的钩子函数设置如图2所示。 图2 Netfilter框架的钩子函数设置 IP数据包按照如图2所示的过程通过RTEMS系统的TCP／1P协议栈的情况如下：lP数据包从左边进入 系统，首先检查校验码、数据包的长度，判断是否合格的IP数据包，接着进入第一个钩子函数NF—IPPRE— R()UTING，经Netfiher防火墙处理后，判断1P数据包的目的地址是否本机地址，以决定该数据包是需要转发 还是发给本机的；若该数据包是发送给本机，首先重组IP分片，然后将完整的IP数据包送人NFjI】_I。OCAL_IN 子函数·然后查找路由。本地产生的数据经过NLIP—LOCAI。一OUT钩子函数处理后，进行路由查找；所有输 出的数据包经过最后一个钩子函数NFIP—POST—ROU11ING，然后对大数据包进行分片并传输到网络设备． 由网络设备发送输出。这与