IPsec协议栈.doc

1. 前言 在Linux2.6内核中自带了IPSEC的实现,这样就不用象2.4那样打补丁来实现了。该实现包括以下几个部分: PF_KEY类型套接口, 用来提供和用户层空间进行PF_KEY通信，代码在net/key目录下，前面已经介绍过；安全联盟SA和安全策略SP管理，是使用xfrm库来实现的，代码在net/xfrm/目录下定义；ESP，AH等协议实现，在net/ipv4(6)下定义；加密认证算法库，在crypto目录下定义，这些算法都是标准代码了。本系列文章主要描述XFRM库的实现以及在IPV4下相关协议的处理部分, IPV6的忽略。 本文Linux内核代码版本为。xfrm是内核中变化比较大的部分,每个版本中都有不小的差异, 同时也说明了该模块的不成熟性。 在net/xfrm目录下的各文件大致功能说明如下: xfrm_state.c: xfrm状态管理xfrm_policy.c: xfrm策略管理xfrm_algo.c: 算法管理xfrm_hash.c: HASH计算函数xfrm_input.c: 安全路径(sec_path)处理,用于进入的ipsec包xfrm_user.c: netlink接口的SA和SP管理 在net/ipv4目录下的和ipsec相关各文件大致功能说明如下: ah4.c: IPV4的AH协议处理esp4.c: IPV4的ESP协议处理ipcomp.c: IP压缩协议处理xfrm4_input: 接收的IPV4的IPSEC包处理xfrm4_output: 发出的IPV4的IPSEC包处理xfrm4_state: IPV4的SA处理xfrm4_policy: IPV4的策略处理xfrm4_tunnel: IPV4的通道处理xfrm4_mode_transport: 传输模式xfrm4_mode_tunnel: 通道模式xfrm4_mode_beet: BEET模式 2. 数据结构 内核SA的定义用xfrm_state结构定义，SP用xfrm_policy结构定义，在include/net/xfrm.h中定义。 2.1 状态(SA) xfrm_state状态结构用来描述SA在内核中的具体实现: struct xfrm_state{ /* Note: bydst is re-used during gc */// 每个状态结构挂接到三个HASH链表中 struct hlist_node bydst; // 按目的地址HASH struct hlist_node bysrc; // 按源地址HASH struct hlist_node byspi; // 按SPI值HASH atomic_t refcnt; // 所有使用计数 spinlock_t lock; // 状态锁 struct xfrm_id id; // ID结构， 即目的地址，SPI，协议三元组 struct xfrm_selector sel; // 状态选择子 u32 genid; // 状态的标志值, 防止发生碰撞 /* Key manger bits */ struct { u8 state; u8 dying; u32 seq; } km; // KEY回调管理处理结构参数 /* Parameters of this state. */ struct { u32 reqid; // 请求ID u8 mode; // 模式: 传输/通道 u8 replay_window; // 回放窗口 u8 aalgo, ealgo, calgo; // 认证,加密,压缩算法ID值 u8 flags; // 一些标准 u16 family; // 协议族 xfrm_address_t saddr; // 源地址 int header_len; // 添加的协议头长度 int trailer_len; // } props; // SA相关参数结构 struct xfrm_lifetime_cfg lft; // 生存时间配置 /* Data for transformer */ struct xfrm_algo *aalg; // hash算法 struct xfrm_algo *ealg; // 加密算法 struct xfrm_algo *calg; // 压缩算法 /* Data for encapsulator */ struct xfrm_encap_tmpl *encap; // NAT-T封装信息 /* Data for care-of address */