IPSec及SSL技术在构建VPN中应用研究.docVIP

第一章 绪论 1.1 引言 在最近的几年里计算机网络得到飞速的发展，特别是因特网(Intemet)〔’，2]。它走进了我们日常生活的方方面面，影响并改变着我们的生活方式。电子商务活动，网上购物，网络商务会议以及网络视频教学等等极大地改善了我们的生活和工作方式，带来了极大的便利，我们正经历着一场信息化的革命。但是正像网络带给我们的惊喜一样，网络安全问题也越来越引起我们的关注，各种安全威胁也离我们越来越近。大型商务网络或公众网络越来越受到各种病毒以及木马黑客程序的攻击，使网络瘫痪或大量敏感信息泄露;同样个人电脑中的重要信息也被窃取，或电脑被远程控制成为“肉机”攻击别的电脑或网络，所以无论对公司还是个人都受到了网络安全问题的威胁，己经或即将造成很大的损失。 随着企业规模不断扩大，分支机构不断扩展，移动办公不断增加，企业内部及企业间信息传递越来越多。如何以最低的费用保障通信的高效性和安全性，是企业极其关注的问题。流行的解决方案是利用Intemet等公共网络建立VPN(虚拟专用网)〔3，4]。银行是专用网络应用的先行者，构造了庞大复杂的银行金融机构专用网。这种专线专网的最大弊端就是成本很高。随着全球一体化经济的发展，产生了越来越多的跨国、跨地区的企业及机构，网络化办公、远程办公等等依附于互联网的办公、经营方式也越来越多。而构建专线专网的方式，无论从成本还是拓展灵活性方面都不是最佳选择。那么，虚拟专用网 (VPN)技术正好弥补了专线网的缺点，并且越来越受到网络用户的欢迎。 虚拟专用网技术允许公司用户在家或在公司外，通过公共网络(Intemet)与远程公司的服务器建立一个端到端的连接，构成一个虚拟的专用网络，进行网络办公或营销。VPN也可以让各分公司的网络通过公共网络连接到公司总部网络中，那么这些分散的网络就像一张专用的大网连接到一起。在这两种情况下，虽然通信数据经过了公众网络(Intemet)，但由于采用了一些密码认证等措施，其安全性像专线网络一样，甚至更好。 近年来，随着网络带宽的大幅度提升，网络数据也更加顺畅，这都加速了 VPN的更广泛的应用。现在VPN技术的应用日趋成熟，在技术的可行性、可靠 性和安全性以及可管理性等各个方面都成为研究的热点。 1.2选题背景 1.2.1IPSeeVPN研究背景 随着因特网(Intemet)用户及网络设备的迅猛增加，现行的第四版因特网协议(IPv4)[2]所能提供的IP地址空间面临枯竭。IP的下一个版本(IPv6)[5]将可以解决地址空间短缺的问题，但是从IPv4向IPV6迁移的过程需要对现行网络基础实施进行整体的协议转换，所以这个过程非常缓慢。同时，由IETF(IntemeEngineeringTaskForce)[6]提出的N灯(Netwo改 ^ddressTranslation)[7]协议可提供更多的私有地址空间。NAT设备放置在私有网络连接因特网的网络边界，可以使私有网络中的多个用户共享一个或几个的公网IP接入因特网。NAT也用于保护内网安全，通过IP隐藏(IPmasquerade)来保护内网的网络结构等信息。IP安全协议 (IPsec)[8]广泛应用于因特网应用中来提供强端到端安全 (strongend一。一 endsecurity)服务，其在IP网络层为通信双方提供数据的完整性、私密性和认证性。 然而IPSec和NAT结合在一起使用将产生一系列严重问题，由于NAT地址翻译的本质和IPSec保护数据包完整性、机密性相抵触的结果。在IPSee通信数据包通过基于NAT的私有网络和因特网的网络边界时就会产生这种问题。IPSec也是PV6的必需组成部分，无论是现在还是将来都迫切需要一种解决方案，既可以提供地址转换的灵活性又能提供安全的通信服务。一般的 IPSeeVPN只提供设备级认证(通过预共享密钥和数字证书)，而没有提供用户级认证，这样存在极大的安全隐患。IPSeeVPN穿越NAT问题，至今也没有成熟的解决方案，IETF只有几个草 案说明这个问题，无完整的解决方案。 1.2.2 SSL VPN 研究背景 当今世界商业活动更加繁忙，特别是移动办公工作量迅速增加。经常移动办公的用户他们希望从任何地方接入公司总部，无论在家里、在宾馆里、在飞机场候机亭等等。 SSLVPN技术是特别为远程接入用户设计，提高用户的工作效率。它帮助用户简易、安全地接入到目的网络中的各种应用程序和资源。同时使相关的安全风险降低到最低，最重