【文章內容簡介】 terne 安全連接和密鑰管理協(xié)議（ ISAKMP）是 IPsec 體系結構中的一種主要協(xié)議。該協(xié)議結合認證、密鑰管理和安全連接等概念來建立 政府、商家和因特網(wǎng)上的私有通信所需要的安全。 因特網(wǎng)安全聯(lián)盟和密鑰管理協(xié)議（ ISAKMP）定義了程序和信息包格式來建立，協(xié)商，修改和刪除安全連接（ SA）。 SA 包括了各種網(wǎng)絡安全服務執(zhí)行所需的所有信息，這些安全服務包括 IP 層服務（如頭認證和負載封裝）、傳輸或應用層服務，以及協(xié)商流量的自我保護服務等。 ISAKMP 定義包括交換密鑰生成和認證數(shù)據(jù)的有效載荷。這些格式為傳輸密鑰和認證數(shù)據(jù)提供了統(tǒng)一框架，而它們與密鑰產(chǎn)生技術，加密算法和認證機制相獨立。 ISAKMP 區(qū)別于密鑰交換協(xié)議是為了把安全連接管理的細節(jié) 從密鑰交換的細節(jié)中徹底的分離出來。不同的密鑰交換協(xié)議中的安全屬性也是不同的。然而，需要一個通用的框架用于支持 SA 屬性格式，談判，修改與刪除 SA ， ISAKMP 即可作為這種框架。 把功能分離為三部分增加了一個完全的 ISAKMP 實施安全分析的復雜性。然而在有不同安全要求且需協(xié)同工作的系統(tǒng)之間這種分離是必需的，而且還應該對 ISAKMP 服務器更深層次發(fā)展的分析簡單化。 ISAKMP 支持在所有網(wǎng)絡層的安全協(xié)議 （如： IPSEC、 TLS、 TLSP、 OSPF 等等）的 SA 協(xié)商。 ISAKMP 通過 集中管理 SA 減少了在每個安全協(xié)議中重復功能的數(shù)量。 ISAKMP 還能通過一次對整個棧協(xié)議的協(xié)商來減少建立連接的時間。 ISAKMP 中，解釋域（ DOI）用來組合相關協(xié)議，通過使用 ISAKMP 協(xié)商安全連接。共享 DOI 的安全協(xié)議從公共的命名空間選擇安全協(xié)議和加密轉換方式，并共享密鑰交換協(xié)議標識。同時它們還共享一個特定 DOI 的有效載荷數(shù)據(jù)目錄解釋，包括安全連接和有效載荷認證。 總之， ISAKMP 關于 DOI 定義如下方面： DOI 協(xié)議標識的命名模式； ； ； 4.特定 DOISA 屬性語法； DOI 有效負載目錄語法； ，附加密鑰交換類型； ，附加通知信息類型。 xxx 畢業(yè)論文 9 協(xié)議結構 （如圖 15 所示） 圖 15密鑰交換 協(xié)議結構 ? Initiator Cookie ― Initiator Cookie ：啟動 SA 建立、 SA 通知或 SA 刪除的實體 Cookie。 ? Responder Cookie ― Responder Cookie ：響應 SA 建立、 SA 通知或 SA 刪除的實體 Cookie。 ? Next Payload ― 信息中的 Next Payload 字段類型。 ? Major Version ― 使用的 ISAKMP 協(xié)議的主要版本。 ? Minor Version ― 使用的 ISAKMP 協(xié)議的次要版本。 ? Exchange Type ― 正在使用的交換類型。 ? Flags ― 為 ISAKMP 交換設置的各種選項。 ? Message ID ― 唯一的信息標識符，用來識別第 2 階段的協(xié)議狀態(tài)。 ? Length ― 全部信息（頭＋有效載荷）長（八位）。 IPSEC 的 運行 模式 隧道模式 (Tunneling Mode) 隧道模式 (Tunneling Mode) (如 圖 16 所示 )可以在兩個 Security Gateway 間建立一個安全 隧道 ，經(jīng)由這兩個 Gateway Proxy 的傳送均在這個通道中進行。通道模式下的 IPSec 報文要進行分段和重組操作，并且可能要再經(jīng)過多個安全網(wǎng)關才能到達安全網(wǎng)關后面的目的主機。 通道模式下，除了源主機和目的地主機之外，特殊的網(wǎng)關也將執(zhí)行密碼操作。在這種模式里，許多隧道在網(wǎng)關之間是以系列的形式生成的，從而可以實現(xiàn)網(wǎng)關對網(wǎng)關安全。 通道模式可表示為： | 新 IP 頭 | IPsec 頭 | IP 頭 | TCP 頭 | 數(shù)據(jù) | xxx 畢業(yè)論文 10 圖 16 隧道模式示意圖 傳送模式 (Transport Mode) 傳送模式 (Transport Mode)(如 圖 17 所示 )加密的部份較少，沒有額外的 IP 報頭，工作效率相對更好，但安全性相對于隧道模式會有所降低。 傳送模式下，源主機和目的地主機必須直接執(zhí)行所有密碼操作。加密數(shù)據(jù)是通過使用 L2TP（第二層隧道協(xié)議）而生成的單一隧道來發(fā)送的。數(shù)據(jù)（密碼文件）則是由源主機生成并由目的地主機檢索的。 傳送模式可表示為： | IP 頭 | IPsec 頭 | TCP 頭 | 數(shù)據(jù) | 圖 17 傳輸模式示意圖 xxx 畢業(yè)論文 11 第 4 章 基于 IPSEC 的 VPN 實現(xiàn) IPSec 的總體設計 在對 IPSec 的相關技術和協(xié)議進行了深入的研究以后我們提出了下面這個總體設計框架，如圖 18 所示 圖 18 安全網(wǎng)關上的 IPSec 的總體設計框架 過網(wǎng)關送出的包即進入隧道 的包可能來 自兩個方向：來自網(wǎng)關保護的內部局域網(wǎng)的某臺主機或來自網(wǎng)關的應用層。對于送出的數(shù)據(jù)，為了不改動 其它層協(xié)議和不增加其它層協(xié)議的負擔，即不讓傳 輸層和網(wǎng)絡接口層區(qū)分這個包 應該交給 I P協(xié)議處 理還是交給 IPSec 處理，我們都將這些數(shù)據(jù)交給 IP 層作預處理。預處理做的工作就是對這個包是否應 實施 IPSec 作判斷，需要 IPSec 處理的包交給 IPSec 基本協(xié)議模塊，不需要的直接做 IP 層相應的工作。 IP 層判斷數(shù)據(jù)是否要實施 IPSec 處理是通過與 IPSec 中 SPD 的接 口進行的，它將數(shù)據(jù)包的特征提取 出來與 SPD 中的選擇符進行對比，找到相應的處理策略 (丟棄、應用 IPSec、繞過 IPSec)，如果需要進行 IPSec 處理，在 SPD 中提取對應的 SADB 中的信息 (SAID)，并將數(shù)據(jù) 交給 IPSec 基本協(xié)議模塊接口。 IPSec 基本協(xié)議模塊通過SAID 找到 SADB 中對這個數(shù)據(jù)包的具體處理方法 ( 安全協(xié)議、加密／認證算法、密鑰等 ) 對其進行安全處理。對于需要加密 或認證的數(shù)據(jù)則交由加密認證模塊處理后交 回 IPSec 基本協(xié)議模塊對其添加外部 IP 頭后交給 IP 的后續(xù)模塊處理，而不是直接交給網(wǎng)絡接口層傳出。這樣做有兩個好處： 網(wǎng)絡接口層不必區(qū)分是 IP 協(xié)議傳來xxx 畢業(yè)論文 12 的包還是 IPSec 傳來的包； 有一些 IP 與 IPSec 重疊的工作 ( 如對數(shù)據(jù)包的分段 )就只有一個實 現(xiàn)模塊，避免了重復。后網(wǎng)絡接 口層將輸出 的包 傳給與外部 相連的網(wǎng)卡。 對于進入的數(shù)據(jù)，鏈路層將它交給 IP協(xié)議做進入的預處理 (如數(shù)據(jù)包的重組 ) ， 同時查看 IP 頭中下一協(xié)議頭字段是否為 50(ESP)或 51(AH)，如果是，將其交給 IPSec處理模塊。當 IPSec 處理完后將沒有出錯的包交給 IP 協(xié)議做后續(xù)處理， IP 層后續(xù)處理根據(jù)內部 IP頭中的目的地址將其交給傳輸層或將其交給網(wǎng)絡接口層再轉發(fā)給內部主機。 基本協(xié)議模塊 IPSec 的基本協(xié)議模塊主要實現(xiàn) AH 和 ESP 的協(xié)議處理。由于網(wǎng)關上實現(xiàn)的隧道，隧道口的地址和真正通信的主機地址往往是不同的， 因此我們需要添加一個外部 IP頭，外部 IP 頭中的地址為網(wǎng)關的 IP 地址。因此系統(tǒng)必須采用隧道模式， 即隧 AH或隧道／ ESP。如圖 19 所示。 圖 19 隧道／ AH 和隧道／ ESP 的認證范圍 從圖中我們發(fā)現(xiàn)，在隧道模式下，在認證方面 ESP與 AH認證的唯一 區(qū)別就 是對外部 IP 頭有無認證， AH 對其進行了認證，而 ESP 沒有。而實現(xiàn) VPN 時最重要的是保護局域網(wǎng)內部主機的通信數(shù)據(jù)，即圖 5 中 AH 和 ESP 頭后面的數(shù)據(jù)。由于對外部IP 的攻擊是很少的，所以在我們的實現(xiàn)中就只采用“ 隧道／ AH 和隧道／ ESP”這一種實現(xiàn)。 輸出數(shù)據(jù)模塊 在 TCP／ IP 協(xié)議中傳輸層的數(shù)據(jù)傳給 IP 層， IP 層預處理完后，通過尋路，找到下一步將要進行的相應處理模塊的網(wǎng)絡設備接口，然后將該 IP 包放到該 設備的發(fā)送隊列中等待處理。在我們的實現(xiàn)中，通 過向 Linux 系統(tǒng)注冊一個虛擬的網(wǎng)絡接口，然后添 加路由將需要 IPSec 處理的輸出接口指向該虛擬設 備，我們就可以在該虛xxx 畢業(yè)論文 13 擬設備的發(fā)送函數(shù)中進行相 應的 IPSee 處理。在實現(xiàn)中只需要實現(xiàn) ESP 協(xié)議，其中ESP 頭的定義如下： structes phdr { ipsee— spitesp— spi；／ }安全參數(shù) 索引 }／ u32 esp_rpl；／ }抗重播序列號 }／ u8 esp— iv[8]；／ }初始化向量 }／ }； Linux系統(tǒng)初始化在執(zhí)行到定義在 ／ ipv4／ af_ ie時調用了文件中 IPSee初始化函數(shù) ipsee— init ()，進行 IPSee的初始化。 Static i_init (void) { if defined(CON 兀 G_IPSEC 1 extem ipsee— init()； end if } ipsee— init(void) { i_add_protocol (amp。esp— protoco1) ； } 其中 ESP的協(xié)議結構定義如下： struct i_ protoeol esp — protocol { ipsee— rcv ，／斗定義此協(xié)議處理函數(shù) }／ NULL，／ } 錯誤處理函數(shù) }／ 0，／ }下一個頭 }