基于安全套接層的虛擬專用網(wǎng)服務(wù)器的開發(fā).pdf

1、基于SSL(SecureSocketLayer，安全套接層)協(xié)議的虛擬專用網(wǎng)技術(shù)易于使用、成本較低，近年來獲得了飛速發(fā)展。但SSLVPN存在一個較大的缺陷：只能訪問通過瀏覽器連接的資源。傳統(tǒng)的C/S模式的應(yīng)用只能支持少部分，而且不能支持ICMP、ARP等應(yīng)用層以下協(xié)議。這就使客戶的應(yīng)用局限在一個小的范圍內(nèi)，隨著網(wǎng)絡(luò)的發(fā)展用戶需求增長必定打破這個狹小的范圍。 傳統(tǒng)的SSLVPN解決方案是建立在WEB基礎(chǔ)上的，對非WEB應(yīng)用支持不理

2、想。而企業(yè)內(nèi)部提供的資源服務(wù)各異，為使得遠程Linux用戶能夠通過不同的應(yīng)用層協(xié)議安全地訪問內(nèi)網(wǎng)資源，可設(shè)計SSLVPN客戶端安全接入模型。接入模型在Linux內(nèi)核插入一個字符設(shè)備來完成對訪問請求的過濾。該設(shè)備會把對虛擬專用網(wǎng)內(nèi)部服務(wù)器的連接請求重定向到VPN網(wǎng)關(guān)，然后再由VPN網(wǎng)關(guān)轉(zhuǎn)發(fā)到真實服務(wù)器。遠程客戶與VPN網(wǎng)關(guān)的連接建立在開放的公共網(wǎng)絡(luò)上，而SSL協(xié)議在公共網(wǎng)絡(luò)上為通信的雙方提供安全的通道。 對各種資源訪問控制策略進行

3、了詳細分析，實現(xiàn)了基于角色和基于內(nèi)容的訪問控制策略，能更靈活，更細粒度的對資源進行控制。 作為唯一的客戶接入點，服務(wù)器需要仔細設(shè)計以提高SSLVPN架構(gòu)的性能。在連接建立階段主要是公鑰算法影響性能，而在數(shù)據(jù)傳輸階段主要是加解密操作影響性能，相應(yīng)的給出了連接重用，數(shù)據(jù)包壓縮，添加硬件加速卡的方法來提高服務(wù)器的性能。經(jīng)測試，改進后的SSLVPN系統(tǒng)簡單易用，實現(xiàn)了對大多數(shù)傳統(tǒng)應(yīng)用程序的支持，解決了SSLVPN的應(yīng)用范圍受限問題。