一個基于IPSec VPN的農(nóng)行辦公網(wǎng)安全方案.pdf

1、虛擬專用網(wǎng)(VirtualPrivateNetwork，簡稱VPN)綜合了傳統(tǒng)數(shù)據(jù)網(wǎng)絡(luò)的性能(隱秘、私有和服務(wù)質(zhì)量等)和共享公有數(shù)據(jù)網(wǎng)的優(yōu)點(diǎn)(簡單和低成本)，因而成為網(wǎng)絡(luò)發(fā)展的新趨勢。目前基于IPSec協(xié)議的VPN技術(shù)是較為完善的網(wǎng)絡(luò)安全技術(shù)。論文基于此項(xiàng)技術(shù)解決一個全省范圍內(nèi)農(nóng)行系統(tǒng)機(jī)關(guān)辦公網(wǎng)絡(luò)的安全通訊問題，設(shè)計(jì)一套安全解決方案。 針對該農(nóng)行網(wǎng)絡(luò)特點(diǎn)，設(shè)計(jì)一個通過Internet連接的VPN系統(tǒng)，可實(shí)施安全、快捷通訊；深入分

2、析VPN技術(shù)和內(nèi)聯(lián)網(wǎng)風(fēng)險性的同時，利用IPSec隧道技術(shù)構(gòu)建農(nóng)行網(wǎng)絡(luò)系統(tǒng)安全平臺，從而保證內(nèi)聯(lián)網(wǎng)的信息安全傳輸?；谵r(nóng)行機(jī)關(guān)網(wǎng)的IP地址是利用NAT技術(shù)的內(nèi)部地址此現(xiàn)狀，農(nóng)行辦公網(wǎng)IPSec實(shí)施過程中存在三個關(guān)鍵問題：AH協(xié)議為IP頭提供保護(hù)，要求傳輸中不能改變，而NAT進(jìn)行地址翻譯時修改了源地址字段，必然導(dǎo)致IPSec認(rèn)證失效；ESP協(xié)議對數(shù)據(jù)包進(jìn)行加密的同時，TCP頭也被加密，NAT就無法重新計(jì)算TCP校驗(yàn)和，從而導(dǎo)致校驗(yàn)失?。皇褂?/p>

3、IKE協(xié)議建立維護(hù)SA時，由于NAT的插入，也會導(dǎo)致協(xié)議失效。針對上述問題，設(shè)計(jì)一種有效的解決方案：即利用IP_in_IP隧道協(xié)議，在網(wǎng)關(guān)與網(wǎng)關(guān)間搭建一條IP_in_IP隧道，使網(wǎng)關(guān)兩端的IP網(wǎng)絡(luò)能透明穿過隧道交互數(shù)據(jù)。 農(nóng)行網(wǎng)的安全隱患經(jīng)進(jìn)一步深入分析后，在確保網(wǎng)絡(luò)邊界設(shè)備即網(wǎng)關(guān)安全的情況下，構(gòu)建一個安全的網(wǎng)絡(luò)平臺。此平臺采用主動安全防御體系和被動防御體系相結(jié)合的思想，部署了安全保護(hù)機(jī)制，有效避免不安全因素穿過或繞過網(wǎng)關(guān)此類隱