网络准入控制系统关键技术分析与实现-analysis and implementation of key technologies in network access control system.docxVIP

国防科学技术大学研究生院硕士学位论文 第 i 页 摘 要 在网络和信息系统的实际使用中，管理手段的欠缺不仅会直接影响用户网络 的正常运行，甚至会给国家和社会带来不可挽回的灾难。业界常用的网络准入控 制系统虽然能够在一定程度上提高网络的整体安全性，但在认证接入方面普遍存 在着一定的缺陷，控制力度尚有不足。目前目录查询算法层出不穷，但是这些算 法都不同程度地存在查询开销较大、查询时延较长等问题，这使得目录服务的查 询效率降低，因此网络信息资源不能得到有效地集中展现和较高的可用性。 本文在对目前业界常用的终端安全接入技术进行深入分析的基础上，提出了 一套网络准入控制机制并针对这套机制设计了认证协议；在对目录查询算法进行 研究的基础上改进了查询算法，使查询性能得到了提升。 作者在课题研究期间的主要工作如下： 1）根据网络准入控制系统的不足，提出了一套全新的网络准入控制系统接入 认证机制。 2）针对提出的网络准入控制机制设计了认证协议。该协议解决了原有 802.1X 认证协议中存在的认证与业务不能分离、IP 地址容易被伪造、端系统安全性无法 验证以及网络用户权限无法区分等问题。通过原型系统，对该协议可能存在的威 胁和潜在的安全缺陷进行了分析和测试，结果证明该协议相对同类协议其功能性 和安全性都得到较大提高。 3）为了更好地管理网络用户的入网操作及行为监控，结合网络信息资源结构 以及表现形式的多样性特点，本课题将目录服务系统引入到网络准入控制系统中， 并重新设计了目录服务查询模块，改进了目录查询算法，使得目录查询开销和时 延都有所降低、查询成功率有所提升。原型系统的测试结果表明，目录查询算法 性能得到一定程度的提高，相对其他的目录查询算法，可减少 15%的查询开销和 10%的网络延迟。 以上研究工作已经在网络准入控制系统的实际工程应用中得以实现。论文最 后对本文所做的工作进行了总结，并且对后续的研究工作做了进一步的探讨和展 望。 主题词：网络准入控制，身份认证，目录服务，目录查询，认证协议  ABSTRACT Network Access Control (NAC) is a computer networking solution that uses a set of protocols to define and implement a policy that describes how to secure access to network nodes by devices when they initially attempt to access the network.In actual use of network and information system, the lack of management tools would directly affect the normal operation of the user network, even bring about irreparable disaster to the state and society. The usual network access control system can boost up the security of the network to a certain extent. However its deficient in the authentication access and insufficient in control efforts. Currently there are enumerous directory search algorithms, but these algorithms are cost heavely in query with a long delay. Thus the network of information resources can not be effectively demonstrated. In this paper, based on the in-depth analysis of current access technologies, a set of network access control processes are proposed and corresponding authentication protocol is designed for this set of processes. We design a new directory lookup algorithm to improve the search performance.Our