一种基于DTLS协议的VPN方案设计.docVIP

一种基于DTLS协议的VPN方案设计 电子科技2006年第7期(总第202期) 一 种基于DTLS协议的VPN方案设计 赵华,周利华 (西安电子科技大学多媒体研究所,陕西西安710071) 摘要DTLS(DatagramTransportLayerSecurity)协议是TLS协议的变体,用于在不可靠传输网络上 对应用层数据提供安全保护.文中介绍了DTLS协议,提出一种基于DTLS协议的应用层VPN解决方案,并进行了 仿真. 关键词数据报传输层安全协议;虚拟网络;专用传输层安全协议 中图分类号TN9l5.O4 DesignofAVPNSchemeBasedonDTLS ZhaoHua,ZhouLihua (MultimediaTechnologyInstitute,XidianUniversity,Xian710071,China) AbstractRecently,ApplicationLayerVPNbasedSSL(SecureSocketLayer)/TLS(TransportLayerSecurity) becomespopular.AnextensionofTLSprotocol,DTLS(DatagramTransportLayerSecurity)protocolisusedtoSecure datagramtransport.ThispaperintroducestheDTLSprotocol,basedonwhichaVPNschemeisproposedwithits simulationgiven. KeywordsDTLS;VPN;TLS 1概述2DTLS协议介绍 在目前的VPN(VirtualPrivateNetwork)技术 领域中,应用层VPN逐步兴起.应用层VPN多基 于SSL(SecureSocketLayer)/TLS(TransportLayer Security)协议,主要对应用层数据提供安全保护. 应用层VPN具有不影响现有网络结构,无需安装 客户端软件,价格低廉等特点.但应用层VPN的 应用多局限在Web系统的远程接入方面,不能对网 络到网络的通信提供安全保护. DTLS(DatagramTransportLayerSecurity)协 议是一种用于保护数据报流量的TLS协议变体,笔 者提出了一种基于DTLS协议的应用层VPN解决 方案(以下简称为DTLS—VPN),并进行了仿真. DTLS—VPN具有VPN简单易用的特点,同时又能 提供网络到网络的安全保护. 收稿日期:2005—10—25 作者简介:赵华(1979一),女,硕士研究生.研究方向 网络安全. 32 1999年,IETF发布了TLS1.0传输层安全协议. TLS协议在可靠的传输层(典型的为TCP)之上提 供端到端的安全服务.DTLS协议,致力于保护不 可靠的传输协议(典型的为UDP)上流量的安全. DTLS设计时力求尽可能的相似于TLS,保持了TLS 整体架构,尽量重用了TLS的代码.DTLS在UDP 传输层之上,应用层之下,分为记录层和握手层. 如图1所示. 应用层 改变密码应用数据握手协议警告协议 规格协议协议 记录层协议 UDP IP 图1DTLS协议框构 记录层协议得到要发送的消息之后,将数据分 成易于处理的数据分组,进行数据压缩,计算MAC 一 种基于DTLS协议的VPN方案设计 (MessageAuthenticationCode)和加密,然后发送. 接收的消息先被解密,然后校验MAC,解压缩, 重组,传递给协议的高层客户.记录层协议有4种 类型的客户协议:握手协议,警告协议,改变密码 规格协议和应用数据协议,其中握手协议最为重 要. 握手协议负责建立连接会话状态的密码学参 数,由客户端和服务器间交换的一系列消息组成, 如图2所示.包括以下步骤:交换ClientHello和 ServerHello消息以协商密码算法;交换证书和密码 学参数,使客户和服务器能相互认证;生成密钥, 为记录协议提供安全参数. Client ClientHello Certificate ClientKeyExchange CertificateVerify [ChangeCipherSpec】 Finished ApplicationData ———— ,_——一 ServerHello Certificate ServerKeyExchange CertificateRequest ServerHelloDone [ChangeCipherSpec】 Finished ApplicationData 图2握手过程消息流程图 3DTLS_VPN总体设计 DTLS—VPN致力于保护任意两个网络或主机 间在Intemet上的安全通信