IPSec安全策略数据库研究及其硬件实现方案 Research and Implementation of IPSec Security Policy Database Based on Hardware.pdfVIP

研究与开发 I PSec安全策略数据库研究及其硬件实现方案幸 孙宁。张兴明。朱珂 (解放军信息．y-：ft．大学信息工程学院信息技术研究所郑州450002) 分析比较现有两种基于软件实现的SPD查找方案性能后。通过测试得出利用软件实现SPD的 查找效率难以提高。需采用硬件方式才能较大改善IPSee的处理性能。提出一种利用TCAM存 储IPSeeSPD数据库的实现方案。并论证了该方案的可行性。 纂键阈。_i蟛’；摹全策略数塘库；记蟪 进入或外出的每一个数据包都有3种可能的选择：丢 1 引言 弃、绕过或应用IPSee。“丢弃”表示不让数据包进入或 IPgee是IETF提出的基于IP层的安全协议．能够为 外出：“绕过”表示允许通过而不用额外IPSee保护的传 上层数据包提供透明保护，解决了TCP／IP协议的安全性输：“应用”表示需要IPSee保护的传输并且对于这样的 问题。目前．IPSee在网络安全领域得到了广泛应用。对于传输．SPD必须规定提供的安全服务所使用的协议、算 IPSee数据处理而言．有两个必要的数据库：安全策略数据法等。 库(SPD)和安全关联数据库(SAD)。 安全策略要求策略管理应用能够添加、删除和修改策 本文对SPD使用的两种数据结构进行分析后。给出基 略．因此对SPD库的数据结构提出了更高的要求．以便快 于软件实现的性能测试结果。经深入研究。提出采用基于 速完成策略更新。 硬件的IPSee的SPD数据库实现方案．可提高IPSec的处 3基于软件的SPD数据结构分析 理效率。 3．1 基于Radix树的IPSec策略数据库数据结构 2 IPSec安全策略数据库 3．1．1 实现原理 IPSec是一套灵活而严密的网络安全协议。可以根 据用户的策略提供安全服务，这种灵活的机制很大程 Radix树型结构来构造的。 度上取决于SPD的设计。通过SPD．用户可以设计自己 SPD的策略通过选择符检索，选择符从网络层和传输 的安全策略，并且能够在不同粒度上实现。对于一个 层首部提取出来。对于一个IP数据包，要根据选择符中的 IPSec实施点，进入包和外出包都需要参考SPD。对于源地址和目的地址共同决定具体实施的策略。因此，将。目 的地址+源地址”作为关键字进行Radix树的查询，树中的 每一个叶子节点就是一个策略项。 ‘国家“863”计划基金资助项目(No．2004AAl03130) 万方数据 电信科学2008年第3燃 首先将策略项组成一个由目的地址和源地址作为关 3．2基于Hash算法的IPSec策略数据库数据结构 键字的策略表．这样查找策略表的目标就是为了找到一个 3．2．1 实现原理 能够匹配给定目标的特定地址组合，称这个给定的目标为 查找键。对查找键和策略表项进行逻辑与运算，如果得到 的结构来实现的。 的值与该策略表项中的目的地址和源地址组合相同，则称 对于一个需要查询SPD的数据包来说，首先应按照方 该策略表项是匹配的。 向来判断它是进入包、外出包还是转发包。然后从方向数 Radix树型结构策略表如图1所示，矩形框代表内