基于Netfilter機(jī)制的IPSec VPN網(wǎng)關(guān)的研究與實(shí)現(xiàn).pdf

1、Internet的互聯(lián)性和開放性使信息的交換與共享成為現(xiàn)實(shí)，為社會(huì)帶來(lái)巨大利益的同時(shí)，也不可避免地帶來(lái)許多安全隱患。IPSec協(xié)議是IETF為網(wǎng)絡(luò)層提供安全服務(wù)而定義的一組相關(guān)協(xié)議。基于IPSec構(gòu)建VPN網(wǎng)關(guān)成為一種主流的VPN技術(shù)，然而，IPSec協(xié)議的處理將會(huì)大大增加網(wǎng)關(guān)的負(fù)載，因此，IPSec VPN網(wǎng)關(guān)的實(shí)現(xiàn)要特別講究?jī)?yōu)化設(shè)計(jì)以提升效率。利用Linux的Netfilter機(jī)制，可以插入一個(gè)內(nèi)核模塊來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)新特性的擴(kuò)展。另外，

2、Linux內(nèi)核穩(wěn)定而高效，開放源代碼，既降低了成本、又掌握了系統(tǒng)的安全。論文研究Linux下基于Netfilter機(jī)制的IPSec處理，完成的工作包括：
　　 研究了Linux下開源的IPSec協(xié)議簇的實(shí)現(xiàn)——S/WAN項(xiàng)目中KLIPS模塊的體系結(jié)構(gòu)，重點(diǎn)研究了Openswan的內(nèi)核空間模塊和用戶空間模塊的源代碼實(shí)現(xiàn)，總結(jié)出Openswan的系統(tǒng)框架、IPSec的實(shí)現(xiàn)方法，進(jìn)而結(jié)合IPSec的實(shí)現(xiàn)機(jī)制，指出了Openswan中I

3、PSec實(shí)現(xiàn)的架構(gòu)缺陷。
　　 研究了Linux內(nèi)核的網(wǎng)絡(luò)模塊處理機(jī)制，TCP/IP處理流程以及Netfilter的HOOK機(jī)制，重點(diǎn)研究了Netfilter機(jī)制的實(shí)現(xiàn)過(guò)程，提出了一種基于Netfilter機(jī)制的IPSec處理框架。基于該框架，可以將整個(gè)IPSec協(xié)議的實(shí)現(xiàn)融入到IP協(xié)議棧中，在不影響原操作系統(tǒng)協(xié)議棧的前提下，既能利用Linux內(nèi)核網(wǎng)絡(luò)協(xié)議棧已實(shí)現(xiàn)的功能，又擁有了內(nèi)核處理的高效性，實(shí)現(xiàn)更為合理，更具有可操作性。<

4、br>　　 研究和實(shí)現(xiàn)了基于Netfilter機(jī)制的IPSec相關(guān)處理模塊的處理流程和模塊框架，利用Linux開放源代碼的特性以及Netfilter的HOOK機(jī)制，借助于Openswan開源軟件，改造其KLIPS模塊形成新的IPSec相關(guān)處理模塊、函數(shù)，利用可加載內(nèi)核模塊技術(shù)動(dòng)態(tài)加載其到內(nèi)核空間，在HOOK點(diǎn)上注冊(cè)IPSec相關(guān)處理模塊、函數(shù)，使得IPSec處理加入到操作系統(tǒng)內(nèi)核中的IP數(shù)據(jù)包處理過(guò)程的適當(dāng)位置，形成Linux下新的、

5、具有高效的IPSec處理功能的IP層。
　　 搭建了虛擬機(jī)環(huán)境下的IPSec VPN實(shí)驗(yàn)系統(tǒng)，對(duì)論文提出的改進(jìn)方案進(jìn)行了初步的功能測(cè)試和性能測(cè)試，并對(duì)測(cè)試結(jié)果進(jìn)行了分析。實(shí)驗(yàn)結(jié)果表明：利用本文改進(jìn)的IPSec VPN網(wǎng)關(guān)建立的ESP隧道進(jìn)行網(wǎng)絡(luò)通信，可以有效保護(hù)網(wǎng)關(guān)之間信息傳輸?shù)陌踩?，與Openswan的虛接口機(jī)制相比，該方案提高了IPSec處理的效率，加快了數(shù)據(jù)包在網(wǎng)關(guān)上的傳送速度，使IPSec VPN網(wǎng)關(guān)的性能在吞吐量及響應(yīng)