SSL VPN服務(wù)器的研究與設(shè)計(jì).pdf

1、隨著應(yīng)用服務(wù)模式從C/S結(jié)構(gòu)向Web的遷移,企業(yè)必須面對(duì)一個(gè)新的挑戰(zhàn),即在不影響最終用戶使用的前提下,實(shí)現(xiàn)在任何地方靈活地訪問應(yīng)用服務(wù).SSL VPN (Secure Socket Layer Virtual Private Netwrok)結(jié)合SSL的加密特性和細(xì)粒度的訪問控制,很好地解決了上述問題.服務(wù)器是SSLVPN系統(tǒng)的關(guān)鍵部分.對(duì)其的研究工作主要包括:設(shè)計(jì)良好的函數(shù)接口來實(shí)現(xiàn)SSL協(xié)議,以保證通信數(shù)據(jù)的保密性和完整性;提供靈活

2、完善的認(rèn)證策略確保客戶端的合法性;通過細(xì)粒度的訪問控制保證客戶對(duì)資源訪問的有效性;優(yōu)化服務(wù)器的設(shè)計(jì)以提高SSL VPN構(gòu)架的性能;通過對(duì)資源的抽象化管理提高服務(wù)器的可擴(kuò)展性.首先對(duì)嚴(yán)格遵守SSL標(biāo)準(zhǔn)的編程接口OpenSSL進(jìn)行了仔細(xì)研究,對(duì)其在客戶端驗(yàn)證和連接重用方面支持不足的缺陷做了完善,利用其來保證通信數(shù)據(jù)的安全性和完整性.然后通過對(duì)多種客戶端認(rèn)證技術(shù)的研究,提出了以PKI(Public Key Infrastructure)系統(tǒng)為

3、基礎(chǔ),支持用戶名/密碼形式和雙因素認(rèn)證的策略;針對(duì)傳統(tǒng)SSL VPN在認(rèn)證點(diǎn)上可能出現(xiàn)的認(rèn)證缺失、無法控制延遲等問題,設(shè)計(jì)了私有協(xié)議SSL_ECP(SSL Enhanced Control Protocol)來解決.還對(duì)各種資源訪問控制策略進(jìn)行了詳細(xì)分析,實(shí)現(xiàn)了基于角色和基于內(nèi)容的訪問控制策略,能更靈活,更細(xì)粒度的對(duì)資源進(jìn)行控制.最后,詳細(xì)分析了服務(wù)器的性能問題.由于在連接建立階段主要是公鑰算法影響性能,而在數(shù)據(jù)傳輸階段主要是加解密操作