论文部分内容阅读
随着计算机网络技术的蓬勃发展,网络信息系统存在的多种安全缺陷不断被暴露出来,网络安全问题日趋严重。安全风险的增大,促使人们加大对网络安全的研究力度,并由此产生了多种面向网络安全的传输协议和相关设备。高速边缘路由器是一种在边缘接入网使用的基于IPSec协议的高速路由器。作为接入网中重要的安全设备,高速边缘路由器必须提供高速的安全报文转发和大容量的安全信息(包括安全策略、证书、签名等)存储能力,满足边缘接入网在速度匹配和安全管理上的特殊需求。为了支持高速边缘路由器这些特性,有必要针对接入网中安全报文转发速度快、安全信息存储量大的应用特点,研究与之相适应的高速边缘路由器的IPSec体系结构和相关实现的关键技术。 本文力图在综合通用IPSec路由器体系结构模型特点的基础上,提出一种面向高速边缘路由器应用的体系结构模型,对其中的IKE协商优化调度机制、安全数据库管理机制和AH/ESP处理机制进行研究,设计和描述相关的算法,并将其应用于高速边缘路由器的原型实验系统中。 围绕上述高速边缘路由器IPSec体系结构的构造思路,本文分析和研究了基于双阈值队列长度算法的IKE密钥协商调度策略、基于混合式结构的安全数据库管理关键技术和基于流水线的AH/ESP处理过程,工作主要在以下一些方面展开: 1.高速边缘路由器混合式体系结构模型的构造。传统的集中式模型不利于有效利用并行的报文处理技术和网络处理器的能力,并发式模型又会给系统带来繁重的通讯开销。引入混合式模型有利于提高系统的并行性和可扩展能力。 2.面向IPSec协议的安全策略管理框架的构造及其在高速边缘路由器安全数据库系统中应用的关键技术。安全策略的管理制约着安全数据库的设计,面向高速边缘路由器安全数据库的管理更需要一种简单、有效的机制,以提供对大容量安全数据的有效分割和对外部安全策略系统的一致性管理接口。通过引入面向IPSec协议的安全策略管理框架,并基于该框架构造混合式安全数据库管理模型,可以有效地提高安全数据库管理系统的管理能力。 3.高速边缘路由器系统设计中各功能部件的关键技术。与传统的IPSec报文处理部件相比,高速边缘路由器系统的功能部件在处理速度或存储能力上都有着更高的要求,有必要研究基于大规模IPSec协议处理的部件结构,并通过原型系统的构造来检验上述设计的合理性。 以上各方面中,(1)是本文其他工作的基础。(2)是(1)在安全数据库管理模型上的延伸和应用。(3)是(1)和(2)工作在高速边缘路由器系统中的具体展开,并在具体的实现中贯彻了(1)的要求。 本文的主要研究成果和创新包括以下几个方面: 1.提出了混合式HSBR体系结构HAIR。本文深入分析了通用IPSec路由器集中式模型