论文部分内容阅读
IPSec作为虚拟专用网(VPN)的实现技术之一，具有其他VPN实现技术不具备的诸多优点。IKE是IPSec体系的重要组成部分，它能够动态协商和管理IPSec SA，从而建立IPSec VPN之间安全的通讯隧道。而IKE的改进版本IKEv2进一步增强了通讯隧道的安全性。目前国内研发的同类VPN网关大都没有实现IKEv2动态密钥协商机制，国外成熟产品由于安全原因不能大规模地应用于我国的重要部门，所以研制适合我国国情的IPSec VPN系统具有很好的现实意义。 本文首先简要介绍了IPSec VPN的基本原理，阐述了IKE和IPSec VPN之间的关系，同时分析了国内外同类研究的现状，并且说明了课题的来源和意义。然后，分析了IKEv2及其相关技术，提出了本课题的IPSec VPN和IKEv2实现方案，建立了全新的模块架构。在此基础之上，对动态协商模块、内核通讯模块、加密认证算法模块分别进行了设计与实现。本文通过扩展IKEv2改进了动态IP地址环境下IKEv2协商的不足，并且通过BAN逻辑分析证明了扩展方案的可靠性。另外，通过提出增加新的消息类型和扩展项，本文对PF_KEY协议第二版本进行扩展，增加了IKEv2进程和内核中安全策略数据库以及ID-IP映射数据库之间的交互能力。然后，本文分析实现了IKEv2相关的密码学算法，提出了预共享密钥认证方式的整体改进思路。最后，本文对所做工作进行了总结，并讨论了VPN和IKE的发展趋势，提出了课题下一步扩展的若干思路。