ForCES架构VPN的IPsec关键模块的设计及在NP上的实现

摘要

针对当前网络设备的封闭性、垄断性和灵活性差等缺点，国际互联网工程任务组中路由领域的ForCES工作组提出了转发件与控制件分离的开放性路由器体系结构。随着互联网的迅速发展和计算机网络的广泛使用，网络安全问题也越来越得到重视。因此，网络设备的开放性和安全性成为了ForCES工作组的重点研究方向。 本文主要研究基于网络处理器(Network Processors，NP)的ForCES架构VPN中实现的若干关键技术，包括：(1)根据ForCES体系结构对VPN作整体架构设计；(2)根据ForCES FE模型对VPN进行LFB建模；(3)根据网络处理器的特点对其资源进行高效率的分配；(4)基于ForCES体系结构对VPN的配置协议进行研究等等。在对以上关键技术研究的基础上，本文主要做了以下几方面的工作。 1、提出了基于NP的ForCES架构VPN的体系结构，使得VPN的扩展非常灵活。 2、提出了基于ForCES架构VPN的IPsec入站和出站处理LFB模型。第三方的安全管理软件可以基于IPsec LFB进行开发而不用关心VPN底层硬件的实现细节。 3、在基于Intel网络处理器的可移植性框架中开发实现了IPsecVPN的LFB，验证了本文提出的IPsec LFB模型实施的可行性。 4、设计并实现了一种NP的嵌入式Linux系统中基于字符设备驱动的用户空间与内核空间通信的IPsec SA的配置协议，用户空间与内核空间的IPsec SA配置遵循这种协议，使得IPsec SA的管理具有一定的规范性和扩展性。 最后，对本文所实现的基于NP的ForCES架构VPN的样机进行了测试，结果表明本文提出的基于ForCES架构的VPN模型是正确的和高效的。

目录

文摘

英文文摘

声明

1.绪论

1.1.研究背景

1.2.国内外研究现状

1.2.1.ForCES框架研究

1.2.2.VPN研究

1.2.3.基于NP的ForCES架构VPN研究

1.3.本文的研究内容

1.4.本文的创新点与主要贡献

1.5.本文结构

2.基于NP的ForCES架构VPN实现的需求分析

2.1.ForcES体系结构及FE模型

2.2.IPSec协议研究

2.2.1.IPsec协议概述

2.2.2.IPsec体系结构

2.2.3.AH 协议

2.2.4.ESP 协议

2.2.5.IPsec的两种模式

2.3.NP架构与网络设备

2.4.基于NP的ForCES架构VPN的需求分析

2.5. 小结

3.基于NP的ForcES架构VPN实现的关键技术研究

3.1.ForCES架构VPN的体系结构设计

3.2.NP中高效率资源分配机制的研究

3.2.1.存储资源分配

3.2.2.微引擎资源分配

3.3.IPSec VPN相关LFB建模

3.3.1.IPscc_Inbound_Process LFB模型

3.3.2.IPsec_Outbound_Process LFB模型

3.4.基于散列技术的安全关联数据库管理机制的研究

3.4.1.安全关联数据结构设计

3.4.2.SADB的哈希散列技术管理与查找

3.5.用户空间与内核空间IPsec SA通信机制的研究与配置协议的设计

3.5.1.用户空间与内核空间通信方式的研究

3.5.2.Linux内核地址空间和用户地址空间之间数据传输

3.6.小结

4.基于NP的ForcES架构VPN的具体实现

4.1.SADB哈希管理的实现

4.1.1.IPsec核模块的哈希算法管理实现

4.1.2.IPsec微模块的哈希算法查找实现

4.2.IPsec VPN入站与出站的具体实现

4.2.1.IPsec数据包处理功能模块划分

4.2.2.IPsec VPN的数据包处理的具体实现

4.3.用户空间与内核空间IPsec SA通信的具体实现

4.3.1.IPsec字符设备驱动注册

4.3.2.系统调用流程

4.3.3.IPsec配置协议的具体实现

4.4.小结

5.测试与分析

5.1.IPsec安全关联内核通信功能测试

5.1.1.测试方案

5.1.2.测试结果

5.2.IPsec封装/解封装LFB测试

5.2.1.测试方案

5.2.2.测试结果

5.3.IPsec VPN拓扑结构测试

5.3.1.测试方案

5.3.2.测试结果

5.4.IPsec VPN整体功能测试

5.4.1.测试方案

5.4.2.测试结果

5.5.IPsec VPN数据包处理平台性能分析与测试

5.5.1.系统性能分析

5.5.2.微引擎性能分析

5.5.3.存储器性能分析

5.5.4.测试方案

5.5.5.测试结果

6.总结与展望

6.1.论文总结

6.2.工作展望

参考文献：

本文作者硕士期间参加的科研项目及发表的学术论文

致谢