基于Openswan的IPv6 IPsec VPN网关的研究

摘要

随着网络技术的不断发展，越来越多的企业拥有了自己的异地分支机构，如何实现彼此之间的安全通信已成为越来越重要的课题。以IPsec协议为基础的虚拟专用网(VPN)技术为广域网上的安全通信提供了一种有效的解决方案。然而，目前的IPsec实现大都基于IPv4，具有开销大和“NAT穿越问题”等缺点，为了从根本上解决这些问题，需要IPv6协议，因为在该协议下：路由速度提高；IPsec实现简单；地址空间巨大、NAT问题不再存在。 本文首先对VPN技术做了概述、分析了IPsec协议族，并对IPv6协议进行研究、指出了其相对于IPv4的优点、论述了IPsec在IPv6下实现的可行性。然后对Linux内核中的IPsec模块NETKEY进行了深入分析，总结出了其基本框架和支持IPv6的关键技术。最后，本文对开源软件Openswan进行了源代码级的深入剖析，具体研究了其内核模块KLIPS、用户模块Pluto，对其主要函数做了详细的注释，总结出了其整体框架，并对比了KLIPS与NETKEY的优缺点。 在对Openswan进行了深入的理论分析之后，本文提出了实现IPv6 IPsec VPN的总体思路：即利用Openswan的虚接口机制，结合NETKEY中支持IPv6的具体方法，实现IPv6 IPsec VPN。本文对Openswan中的冗余代码进行了删减，并去掉了NAT-T的支持模块，对IPv4的相关接口和数据结构进行了向IPv6的迁移，实现了IPv6协议下的虚接口模块、进入和外出处理模块、SPD模块、SAD模块、ESP模块、IKEvl模块和PF-KEYv2模块，最终完成了支持IPv6的VPN软件v6swan。最后在Linux平台上安装此软件，并在我校IPv6实验网上进行模拟测试，测试的数据表明，本文的v6swan方案是切实可行的。

目录

文摘

英文文摘

声明

第1章绪论

1.1网络安全现状

1.2提高网络安全的主要措施

1.3课题研究背景及意义

1.4国内外研究现状

1.5论文的研究工作和结构安排

第2章虚拟专用网VPN及IPsec协议

2.1 VPN简介

2.2 VPN的工作原理

2.3 VPN的应用类型

2.4 VPN的实现技术

2.4.1 VPN中的隧道技术

2.4.2 VPN中的加密技术

2.5 IPsec协议简介

2.6 IPsec协议族详解

2.6.1认证头(AH)

2.6.2封装安全载荷(ESP)

2.6.3 IKE协议

第3章IPv6协议的特点

3.1 IPv6概述

3.2 IPv6在国内外的发展情况

3.3 IPv6的新特性

3.3.1聚合性的IP地址

3.3.2高效的报头

3.3.3端点分片

3.3.4良好的服务质量

3.3.5强制的安全性

第4章Linux中支持IPv6的IPsec模块

4.1 IPv6协议在Linux内核中的实现

4.2 Linux支持IPsec协议的历史

4.3 NETKEY模块

4.4 NETKEY的体系结构

4.5 XFRM子模块

4.5.1 XFRM简介

4.5.2 Sk_buff对XFRM的支持

4.5.3 XFRM子模块在IPsec进入处理中的作用

4.5.4 XFRM子模块在IPsec外出处理中的作用

4.6 Netlink接口的实现

4.7 PF_KEY接口的实现

4.7.1 PF_KEY简介

4.7.2 PF_KEY消息及操作

4.7.3 PF_KEY的实现源码

第5章Openswan的总体框架及源代码分析

5.1 Openswan简介

5.2 Openswan的体系结构

5.2.1 Openswan软件的体系结构图

5.2.2 Openswan各主要模块分析

5.2.3 KLIPS模块与NETKEY模块的对比

5.3 Openswan详细源码分析

5.3.1基本目录结构

5.3.2内核空间模块详细分析

5.3.3用户空间模块详细分析

第6章IPv6下的IPsec VPN网关的总体设计

6.1 VPN网关的总体设计思路

6.2 VPN网关的具体设计方案

6.2.1 VPN网关的内核模块与Linux内核的交互方式

6.2.2内核中IP包的基本传输流程

6.2.3需实现的功能模块及其之间的关系

6.2.4 IPv4向IPv6的迁移方案

第7章IPv6下的IPsec VPN网关的具体实现

7.1开发平台

7.2基础数据结构

7.3代码及文档的组织结构

7.4虚接口模块的实现

7.5 v6swan的进入处理模块

7.5.1基本处理流程

7.5.2 IPv4向IPv6所做的迁移

7.6 v6swan的外出处理模块

7.6.1基本处理流程

7.6.2 IPv4向IPv6所做的迁移

7.7安全策略库(SPD)模块

7.7.1基本处理流程

7.7.2 IPv4向IPv6所做的迁移

7.8安全关联库(SAD)模块

7.8.1基本处理流程

7.8.2 IPv4向IPv6所做的迁移

7.9安全封装载荷(ESP)模块以及相应的算法库

7.9.1 ESP模块的基本流程

7.9.2 ESP模块从IPv4到IPv6的迁移

7.9.3相关的认证、加密算法库

7.10用户区守护进程IKE模块

7.10.1基本处理流程

7.10.2 IKE模块从IPv4到IPv6的迁移

7.11用户区与内核区通讯接口模块

7.11.1基本处理流程

7.11.2 PF_KEY模块从IPv4到IPv6的迁移

7.12 v6swan的配置与测试

7.12.1测试平台

7.12.2操作系统的配置

7.12.3 v6swan的安装

7.12.4配置v6swan的用户区程序

7.12.5 IPsec隧道的启动

结论

参考文献

攻读学位期间公开发表论文

致谢

研究生履历