基于IPSec的VPN模型的研究.pdfVIP

维普资讯 2008年第6期 《贵州电力技术》 (总第 108期) 基于 IPSec的VPN模型的研究 乌江渡发电厂 张礼华 [563000] 摘 要 VPN就是针对通信安全尤其是企业分散子网间通信安全问题的一种解决办法，本文讨论一个改进 了的基 于 IPSec的VPN模型的设计和实现。其中包括 VPN隧道方案的选择，IPSec的实现、IKE的实现，并对该具体 的 VPN模型进行功能和性能的测试。 关键词 VPN 安全隧道技术 IP层安全协议 现在网络发展的趋势是所有的网络，无论是 我们采用 IPSec的相关协议对两端的通信数据 ATM、卫星网、无线网等的构建都向基于TCP／IP协 进行加密、认证、封装等安全措施，实现两端的安全 议的网络发展，TCP／IP协议几乎成为 Internet的统 通信，达到专用网的安全性要求。对于这个 VPN模 一 实现标准，因此网络协议层次的安全性分析集中 型中的隧道技术有以下两种的实施方案： 在TCP／IP协议簇上，由于TCP／IP的安全和控制机 方案一：在主机 中实施 制是依赖于 IP地址的认证，然而一个数据包的源 IP 主机一般来说是 “数据包的始发设备”。这种 地址是很容易被伪造和篡改的。更糟的是网络控制 方案实现的VPN模型如图2所示。 特别是路由协议根本就没有认证机制。另一个主要 主机 缺点是TCP／IP协议没有能力保护网上数据的隐私 性，协议数据是明文传输的，缺乏保密机制。这样， TCP／IP就不能保证网上传输信息的机密性、完整性 局域网1 局域网2 与真实性。 图2 主机为隧道端点的VPN模型 VPN就是针对通信安全尤其是企业分散子网间 图中的安全隧道建立在主机 1和主机 2之间， 通信安全问题的一种解决办法。它通过采用在公用 即 IPSec处理在这两个主机上 2完成。如 图 2 网上建立加密的隧道的方式，虚拟不同的专线来连接 所示 ， 分布在各地的企业子网，甚至移动用户。隧道是一种 隧道是贯穿两主机的整个通信线路的。无论是 虚拟的点到点的连接 ，这个连接可以为隧道的两个端 隧道模式还是传输模式，IPSec处理后的IP头的源 点提供了认证、加密和访问控制。可以在不同的协议 地址和 目的地址都是主机 1和主机 2，而网关只是 层上来实现隧道技术。在每个协议层上的实现具有 简单的将这些数据包进行转发。在主机 中实施的优 不同的实现难度，也提供了不同强度的安全保护。 点如下：保障端到端的安全性、能够实现所有的IP_ 1 VPN的实现模型 Sec的安全模式、能够逐数据流提供安全保障、在建 立 IPSec的过程 中，能够维持用户身份的验证 。 为了在不安全的公网上保证两个局域网间的安 方案二：