基于IPSec的VPN的安全性分析与设计.pdfVIP

144 福 建 电 脑 20l2年第 2期 基于 IPSec的VPN的安全性分析与设计 贾玉静 (山东政法学院信息科学技术系 山东 济南 250014) 【摘 要】：设计了基于 IPSec协议的虚拟专用网的实用方案，该方案使一个公司的专用网可以跨越一 个公网，并通过一个专用的虚拟通道来建立专用的连接。同时，从访 问控制 、数据保密性、地址和路 由信息 的安全等方面分析 了此方案设计 中所需要解决的问题 。 【关键词】：VPN；IPSec协议；安全；接 口层 前言 安全参数便存在于SADB之 中 经过安全封装 的数据 VPN是一种通信环境 ．在这一环境 中．存取受到控 报到达远程 VPN后 ，远程 VPN的IPSec模块对其拆解 制 ．目的在于只允许被确定为同一个共同体的内部同 封装 ．并将还原后 的数据报转发至 目的主机 层之间实现连接 1．安 全关联数据库 SADB fSecuritvAss0ciati0n IPSec协议是 VPN协议体系的核心 ．它弥补了IP DataBase) 层的安全缺陷．定义 了一套将密码学这种技术运用到 安全策略表达 了系统管理员对网络的安全要求 ． IP分组这种对象之上的方法 ．同时定义了针对 IP分组 而安全关联则是安全策略在计算机内部的体现 安全 的加密部件和验证部件．以及在信源端为 IP分组附加 关联数据库维护在操作系统的内核之中 这些部件 ．在信宿端分析拆解这些部件的方法 安全关联数据库 由两部分组成 ：搜索引擎和通道 IKE协议是 VPN协议体系的外围．其任务是负责 描述符表。 生成和刷新 IPSec使用的加密部件和验证部件 ．即通 搜索引擎 的作用是利川原始 IP数据报中的字段作 常意义下的密钥管理工作 为索引．检索安全关联标识符。使用 BSDUNIX中组织 IPSec和 IKE通过接 口层进行交互 IPSec通过接 路由表的 Radix树数据结构来组织搜索引擎是一种很 口层 向IKE发出生成或刷新 IPSee的加密部件和验证 好的选择 部件的请求 ．IKE则通过接 口层 向IPSec注入加密部件 通道描述符表中的每一项即为一个安全关联 源 和验证部件 或者 目的地址 、安全参数索引、安全协议这个三元组是 VPN中使用的IPSec安全通道包括两部分 ：通道 安全关联的标识符 ．即它唯一的标识 了一条安全关联 本身和安全参数 通道本身 由通道 的源地址和 目的地 2．IPSec模块 址描述。安全参数则包括安全协议 (AH或ESP)，加密 IPSec是对 IP层的安全扩展 ．川于保障网络层 的 算法 ．验证算法 ，加密密钥 ，验证密钥等 因素。在 VPN 安全 在 Linux中．由于源代码是开放 的．因而可以实 的术语 中．通道和安全参数的集合称为安全关联 SA 现 IPSec．使其与IP层无缝 的接合在一起 IPSec是作 (securityassociation)。 为一个网络软设备实现 的．其地位与以太网网络接 口 图 1显示了基于 IPSec的VPN的体系结构 ： 这样的硬件设备相 当 在对 IP分组的处理上也具有相 似性 !!!竺竺兰I竺!竺竺l兰 I： L—一 以太嘲帧头——__J 图 2 以太 网中IP分组 的封装