论文部分内容阅读
【摘要】 IPSEC协议为一组网络安全协议集合,具有更高灵活性、透明性以及安全性特点,能够为网络上所传输的各项信息提供保护,实现IP数据运行使用的安全性。本文对IPSEC协议在网络安全技术中的应用进行了简要分析。
【关键词】 IPSEC协议 网络安全 密钥
面对网络信息安全问题,针对IP网络通信安全性与保密性,可以基于IPSEC协议进行研究,其为安全协议的集合,可以提供对传送、接收端数据认证,以及完整性检查,对提高网络安全具有重要意义。
一、IPSEC协议工作原理分析
IPSEC协议工作原理与包过滤防火墙运行相似,在获得一个IP数据包以后,利用包过滤防火墙头部实施匹配处理,将此数据包放置在规格表内。再次找到一个规则且可以与该数据包进行匹配,则以制定规则的基本原则为依据,对前面获得数据包进行丢弃或转发操作。对于IPSEC协议来说,运行时主要是通过查询SD相关信息,并将查询到的结果作为处理数据包的依据,与包过滤防火墙处理相比,IPSEC对数据包的处理,除了丢弃与转发两种操作外,还具有第三种处理方式,即IPSEC操作[2]。
二、基于IPSEC协议安全技术应用分析
2.1系统设计目标
系统内要保证数据加、解密流程以及算法的独立性,且可以实现用户自己对加密、认证算法的扩展。对于AH协议与ESP协议间要保持相互独立,可以结合实际需求选择独立或者联合运行方式。还需要保证加密流程与解密流程的独立性、秘钥管理流程以及IPSEC流程的独立性。同时,系统应同时支持软件与硬件加密技术要求,且预留出扩展加密/认证算法阿玉硬件加密方式接口。为提高数据传输效率,应支持对报文先进行压缩后加密传输方式。用户在实际应用中,能够根据自身需求来选择是否选择应用安全访问服务,以及安全协议与加密/认证算法等。
2.2系统结构框架
IPSEC安全系统主要包括IEK模块、接口模块、用户配置管理模块、ASD数据库、SA管理模块、IPSEC处理模块等,对于不同模块其所具有的功能不同。其中,IPSEC处理模块主要完成ESP协议与AH协议的实施,可以对外出包增加一个或者多个IPSEC头,且对于隧道模式与传送模式下的数据包进行有效处理,且可以根据IPSEC包荷载类型,将其传送到与操作系统相对应的内核处理程序。
2.3系统模块功能
1、IKE模块。此模块主要负责通信双方间SA的建立,确保能够实现与SADB和IPSEC基本协议的交互,且用户可以手动启动IKE协商。IKE模块为用户级进程,其与内核空间交互较少,只需要在IPSEC SA建立时启动,且作为后台守护程序运行。
2、接口模块。用户管理配置模块与IKE模块为系统应用层,SA管理模块在系统核心层,且通过接口模块来实现之间的交互,采用IPSEC协议规定的PE-KEY协议接口通信,其为PF-ROUTE协议衍生而来的Socket协议,进程只需要调用接口建立一个Socket即收发消息,并不使用任何Socket地址。
3、用户配置管理模块。此模块可以显示系统运行状态,且为用户提供状态设置服务,为IKE模块守护进程的正常运行提供所有所需参数。其中,状态设置服务包括协商隧道的启闭,以及协商和删除SA,系统运行所需参数包括用户自身以及对方身份信息、协商策略、秘钥信息、协商时机等。在用户实际应用中可以通过此模块来传达各项指令
4、SAD模块。主机系统进入或外出的数据包,均需要搜索相应的SAD,查询数据包头中解析出相匹配的条目,查询到后对该SA参数与AH或者ESP头中相关参数进行对比,如果对比结果一致,选择处理操作,否则丢弃该数据包。如果未从SAD中查询到相匹配条目,如果进入的为数据包,则将其丢弃;如果输出的为数据包,则由IKE模块来创建SA,且将其输入到SAD内。
2.4实现驱动引擎
一方面,接受包进行处理,如果链路层数据达到网卡,将其传输给内核标准IP处理程序,通过IP分片重组处理,调用IPSEC进入到处理模块。经过IPSEC处理后,对IP包进行重新组装,并将其发送到内核标准IP处理入口。再次IP处理后,最终到达传输层进行处理。另一方面,发送包处理。在接收到传输层数据后,首先将其传输给内核标准IP处理程序,经过IP分片外出包处理后,调用IPSEC外出处理模块。然后经过IPSEC外出处理,将数据包发送到内核标准IP层外出处理入口。最后进行IP分片以及层外处理,重新路由后将其发送到链路层并进入网卡。此种处理方式中,IPSEC处理模块于内核处理来说为一个完全独立的部分,IPSEC处理程序在运行时基本上不会对内核内容进行修改。
结束语:IPSEC协议为安全协议的集合,对提高数据包传输安全性具有重要意义。将其应用到安全技术中,在研究时需要基于其所具有的技术特点,以满足实际运行需求为目的,详细分析不同模块功能,建立安全运行系统。
参 考 文 献
[1] 王妍.基于IPSec的VPN系统设计与实现[D].电子科技大学,2013.
[2] 刘帮涛.基于IPSec网络安全协议的研究及实现[D].电子科技大学,2010.
【关键词】 IPSEC协议 网络安全 密钥
面对网络信息安全问题,针对IP网络通信安全性与保密性,可以基于IPSEC协议进行研究,其为安全协议的集合,可以提供对传送、接收端数据认证,以及完整性检查,对提高网络安全具有重要意义。
一、IPSEC协议工作原理分析
IPSEC协议工作原理与包过滤防火墙运行相似,在获得一个IP数据包以后,利用包过滤防火墙头部实施匹配处理,将此数据包放置在规格表内。再次找到一个规则且可以与该数据包进行匹配,则以制定规则的基本原则为依据,对前面获得数据包进行丢弃或转发操作。对于IPSEC协议来说,运行时主要是通过查询SD相关信息,并将查询到的结果作为处理数据包的依据,与包过滤防火墙处理相比,IPSEC对数据包的处理,除了丢弃与转发两种操作外,还具有第三种处理方式,即IPSEC操作[2]。
二、基于IPSEC协议安全技术应用分析
2.1系统设计目标
系统内要保证数据加、解密流程以及算法的独立性,且可以实现用户自己对加密、认证算法的扩展。对于AH协议与ESP协议间要保持相互独立,可以结合实际需求选择独立或者联合运行方式。还需要保证加密流程与解密流程的独立性、秘钥管理流程以及IPSEC流程的独立性。同时,系统应同时支持软件与硬件加密技术要求,且预留出扩展加密/认证算法阿玉硬件加密方式接口。为提高数据传输效率,应支持对报文先进行压缩后加密传输方式。用户在实际应用中,能够根据自身需求来选择是否选择应用安全访问服务,以及安全协议与加密/认证算法等。
2.2系统结构框架
IPSEC安全系统主要包括IEK模块、接口模块、用户配置管理模块、ASD数据库、SA管理模块、IPSEC处理模块等,对于不同模块其所具有的功能不同。其中,IPSEC处理模块主要完成ESP协议与AH协议的实施,可以对外出包增加一个或者多个IPSEC头,且对于隧道模式与传送模式下的数据包进行有效处理,且可以根据IPSEC包荷载类型,将其传送到与操作系统相对应的内核处理程序。
2.3系统模块功能
1、IKE模块。此模块主要负责通信双方间SA的建立,确保能够实现与SADB和IPSEC基本协议的交互,且用户可以手动启动IKE协商。IKE模块为用户级进程,其与内核空间交互较少,只需要在IPSEC SA建立时启动,且作为后台守护程序运行。
2、接口模块。用户管理配置模块与IKE模块为系统应用层,SA管理模块在系统核心层,且通过接口模块来实现之间的交互,采用IPSEC协议规定的PE-KEY协议接口通信,其为PF-ROUTE协议衍生而来的Socket协议,进程只需要调用接口建立一个Socket即收发消息,并不使用任何Socket地址。
3、用户配置管理模块。此模块可以显示系统运行状态,且为用户提供状态设置服务,为IKE模块守护进程的正常运行提供所有所需参数。其中,状态设置服务包括协商隧道的启闭,以及协商和删除SA,系统运行所需参数包括用户自身以及对方身份信息、协商策略、秘钥信息、协商时机等。在用户实际应用中可以通过此模块来传达各项指令
4、SAD模块。主机系统进入或外出的数据包,均需要搜索相应的SAD,查询数据包头中解析出相匹配的条目,查询到后对该SA参数与AH或者ESP头中相关参数进行对比,如果对比结果一致,选择处理操作,否则丢弃该数据包。如果未从SAD中查询到相匹配条目,如果进入的为数据包,则将其丢弃;如果输出的为数据包,则由IKE模块来创建SA,且将其输入到SAD内。
2.4实现驱动引擎
一方面,接受包进行处理,如果链路层数据达到网卡,将其传输给内核标准IP处理程序,通过IP分片重组处理,调用IPSEC进入到处理模块。经过IPSEC处理后,对IP包进行重新组装,并将其发送到内核标准IP处理入口。再次IP处理后,最终到达传输层进行处理。另一方面,发送包处理。在接收到传输层数据后,首先将其传输给内核标准IP处理程序,经过IP分片外出包处理后,调用IPSEC外出处理模块。然后经过IPSEC外出处理,将数据包发送到内核标准IP层外出处理入口。最后进行IP分片以及层外处理,重新路由后将其发送到链路层并进入网卡。此种处理方式中,IPSEC处理模块于内核处理来说为一个完全独立的部分,IPSEC处理程序在运行时基本上不会对内核内容进行修改。
结束语:IPSEC协议为安全协议的集合,对提高数据包传输安全性具有重要意义。将其应用到安全技术中,在研究时需要基于其所具有的技术特点,以满足实际运行需求为目的,详细分析不同模块功能,建立安全运行系统。
参 考 文 献
[1] 王妍.基于IPSec的VPN系统设计与实现[D].电子科技大学,2013.
[2] 刘帮涛.基于IPSec网络安全协议的研究及实现[D].电子科技大学,2010.