基于SSL协议的VPN技术研究与实现

摘要

随着互联网技术的发展，越来越多的企业和部门将其业务放到互联网上进行，这直接导致了对信息安全产品需求的增长。近几年的市场调查报告显示，VPN市场增长突飞猛进。由于IPsec VPN在应用中逐渐显现出来的不足(比如，与NAT设备冲突、配置和使用复杂、给操作系统内核带来的安全隐患等)，人们开始寻求更加安全易用的VPN技术。 基于SSL，协议的VPN是当前最引人关注的一种新兴的VPN技术。但由于缺乏统一的标准和规范，目前市场上基于SSL协议的VPN产品(一般称为SSL VPN)，技术参差不齐，功能差异较大，这给VPN产品的选择带来困难。另外，由于受美国对出口密码产品管制的限制，在标准的SSL协议实现中，密钥长度较短，因而其安全强度被大大削弱，不符合在国内一些对安全要求较高的领域(比如政府、军队、金融等)应用的需要。因此有必要对基于SSL协议的VPN技术进行深入系统的研究并加以改进。 本文首先结合SSL协议的安全性，分析了SSL协议对VPN实现的支持，总结出基于SSL协议的VPN的特征，提出将基于SSL协议的VPN划分为代理型SSL VPN和隧道型SSL VPN两大类。并对SSL协议在VPN应用中应该注意的问题进行了总结。 代理型SSL VPN的特点是基于代理技术实现和“无客户端”的运行模式，即其运行只需要WEB浏览器即可，无需专门安装客户端。本文研究了代理型SSL VPN的技术原理；总结了代理型SSL VPN支持的应用类型，并针对不同应用类型所采用的代理技术进行了研究；分析了代理型SSL VPN客户端存在的安全缺陷并提出了解决方案；总结了代理型SSL VPN的优势、不足以及适用的场合。 隧道型SSL VPN基于虚拟网卡技术实现，其运行需要通信双方安装VPN软件，通过虚拟网卡建立的隧道进行安全数据传输。本文研究了隧道型SSL VPN的技术原理；详细说明了虚拟网卡的原理；对隧道型SSL VPN中可能出现的TCP over TCP的隧道数据封装方式带来的问题进行了讨论，并给出了解决办法；总结了代理型SSL VPN的优势、不足以及适用的场合。 本文在最后提出了一种支持国产密码设备和算法的基于SSL协议的VPN实现方案。该方案基于成熟的隧道型VPN开源项目OpenVPN实现，通过自定义OpenSSL Engine实现对国产密码设备和算法的调用，以弥补标准SSL协议的密钥强度较弱的缺陷。这种方案既满足了国内对基于SSL协议VPN的应用需要，又加快了开发进度，降低了VPN构建成本。 概括起来，本文的主要研究工作(创新点)包括： (1)总结出基于SSL协议的VPN的特征，提出将基于SSL协议的VPN划分为代理型SSL VPN和隧道型SSL VPN两大类。 (2)对代理型SSL VPN和隧道型SSL VPN的关键技术进行了系统的研究，分析了其各自的优势和不足，总结了其各自适用的场合和支持的应用。 (3)提出了一种支持国产密码设备和算法的基于SSL协议的VPN实现方案。 本人在读期间参加过SSL VPN预研项目，对完成本文有较大帮助。

目录

文摘

英文文摘

声明

第1章绪论

1.1前言

1.2选题背景

1.2.1 IPSec VPN在应用中的不足

1.2.2基于SSL协议VPN的兴起与研究现状

1.3本文的研究内容

1.4论文的结构安排

第2章虚拟专用网基础知识

2.1虚拟专用网基础

2.1.1 VPN的概念

2.1.2 VPN的类型

2.1.3 VPN关键技术

2.2相关密码学技术

2.2.1加密

2.2.2杂凑(Hash)函数和消息认证码(MAC)

2.2.3数字签名

2.2.4公钥基础设施(PKI)及数字证书

2.3 小结

第3章SSL协议及其对VPN实现的支持

3.1 SSL协议介绍

3.1.1 SSL协议结构

3.1.2两个重要概念

3.1.3握手协议

3.1.4警告协议

3.1.5修改密文规约协议

3.1.6记录协议

3.2 SSL协议对VPN实现的支持

3.2.1身份认证的支持

3.2.2密钥管理的支持

3.2.3数据加密的支持

3.2.4隧道的支持

3.3基于SSL协议的VPN特征及其分类

3.4 SSL协议在VPN应用中需要注意的问题

3.5 小结

第4章代理型SSL VPN技术研究

4.1代理型SSL VPN基本原理

4.2代理型SSL VPN使用的代理技术

4.2.1代理型SSL VPN支持的应用

4.2.2 WEB反向代理

4.2.3应用转换代理

4.2.4端口转发代理

4.3身份认证技术

4.4访问控制

4.5一种比较完善的代理型SSL VPN实现技术

4.6代理型SSL VPN应用分析

4.6.1代理型SSL VPN的优势与不足

4.6.2代理型SSL VPN的应用模式

4.6.3代理型SSL VPN客户端的安全缺陷及解决方案

4.7小结

第5章隧道型SSL VPN技术研究

5.1隧道型SSL VPN基本原理

5.2虚拟网卡通信原理

5.3 TCP over TCP的隧道数据封装带来的问题及解决办法

5.4隧道型SSL VPN分析

5.4.1隧道型SSL VPN的优势与不足

5.4.2隧道型SSL VPN的应用模式

5.5 小结

第6章支持国产密码设备和算法的SSL-based VPN实现

6.1开源项目OpenVPN介绍

6.2基于OpenVPN的支持国产密码设备和算法的VPN方案设计

6.2.1方案的提出

6.2.2方案设计

6.3基于OpenVPN的采用国产密码设备和算法的VPN方案实现

6.3.1 OpenSSL Engine机制

6.3.2自定义Engine的实现

6.3.3测试自定义Engine

6.4小结

第7章结束语

参考文献

致谢

在读期间的科研工作