基于KI体系结构的校园网VN系统的设计探讨

时间:2022-08-16 06:28:20

基于KI体系结构的校园网VN系统的设计探讨

概述了面向高校校园网VPN系统的研究现状与理论基础;然后对高校校园网VPN系统的技术进行了深入的分析和研究;在比较分析了各高校校园网VPN系统的基础上,提出通过采用单CA多RA的PKI体系结构,确定其实现的具体思路是基于PKI技术的IPSec为基础,在此基础上构建了校园网VPN系统。

【关键词】虚拟专用网 数字证书 身份认证 校园网

虚拟专用网(VPN)是信息安全基础设施的一个重要组成部分,是一种普遍适用的网络安全基础设施。目前,一些企业在架构VPN时都会利用防火墙和访问控制技术来提高VPN的安全性,但存在不少的安全隐患。因此针对现有VPN系统无法满足校园网安全使用的问题,深入分析、研究了VPN系统中的关键技术和主要功能,构建了一种基于PKI的校园网VPN系统的体系架构。

1 系统框架设计及系统功能模块描述

1.1 系统框架设计

VPN系统需要解决的首要问题是网络上的用户与设备都需要确定性的身份认证。错误的身份认证。不管其他安全设施有多严密。将导致整个VPN的失效, IPSec本身的因为它的身份认证规模较小、比较固定的VPN上是可行的,把PKI技术引进VPN中是为了网络的可扩展性和保证最大限度的安全,CA为每个新用户或设备核发一张身份数字证书,利用CA强大的管理功能,证书的发放、维护和撤销等管理极其容易,借助CA,VPN的安全扩展得到了很大的加强。传统的VPN系统中,设备的身份是由其IP地址来标识的。IP地址也可能随着服务商或地点的改变而改变,借助CA提供的交叉认证,无论用户走到哪儿,该用户的数字证书却不会改变可以随时跟踪该数字证书的有效性。本人提出将PKI证书身份认证技术应用在校园网IPSec-VPN网关中,以此来解决VPN的身份认证。

1.2 系统功能模块描述

从软件结构上分VPN网关系统分为应用层模块和内核层模块,SAD手工注入接口模块和密钥管理程序模块为运行在应用层的软件模块。IPSEC处理模块、CA模块和防火墙模块为运行在内核层的软件模块。

2 VPN系统分析

2.1 系统的需求分析

师生们越来越多地走出校园。他们也可能需要用到校园内部专用网络资源。这是因为随着我校的发展、项目的合作以及文化的交流越来越频繁,通过校园网VPN网统在公共网络中建立的可保密、控制授权、鉴别的临时安全虚拟连接,它是一条穿越相当混乱的公用网络的安全隧道,是高校内部网的扩展,采用通道加密技术的VPN系统,通过基础公网为使用高校提供安全的网络互联服务。这样师生们很方便的访问我校内网的网络资源,而且相对专用网、校园网VPN系统大大降低成本;相对Internet通信,VPN系统又具有相当高的安全性。密钥基础设施PKI是一种遵循既定标准的密钥管理平台,能够为所有网络应用提供加密和数字签名等密码服务以及所必须的密钥和证书管理体系,这正好能弥补VPN的IPSec在身份认证方面的缺点。

2.2 流程分析设计

(1)将PKI的认证、机密性和完整性协议定义为PKI专用数据,并把它们置于DOI字段中,同时加载证书字段,生成带PKI性能的IKE载荷。

(2)IKE进行野蛮模式或者主模式交换,互换证书,建立IKE SA。

(3)双方用公钥检查CA和证书中的身份信息在证书上的数字签名。

(4)用公开密钥加密算法验证机密性。

(5)用数字签名算法验证完整性。

(6)协商一致后,生成具体的SA。

IPSec与PKI结合后,在密钥交换过程中,通过交换证书的方式交换了公钥和身份信息,验证数字签名、机密性和完整性,从而充分的保证了信息来源的可信度、完整性等,同时,IPSec配置文件中实现与多数用户的通信,只需少数的CA证书即可。

3 VPN系统的实现

3.1 IPSec内核处理模块实现

(1)为每种网络协议(IPv4,IPv6等)定义一套钩子函数(IPv4定义了5个钩子函数)。在数据涉及流过协议栈的几个关键点这些钩子函数被调用。在这几个点中,协议栈将把数据报及钩子函数标号作为参数调用Netfilter框架。

(2)内核的任何模块注册每种协议的一个或多个钩子,实现挂接,这样当传递给Netfilter框架某个数据包时,内核能检测是否有任何模块对该协议和钩子函数进行了注册。如果注册了,则调用该模块的注册时使用的回调函数,这样这些模块就有机会检查(可能还会修改)该数据包、丢弃该数据包及指示Netfzlter将该数据包传入用户空间的队列。

(3)那些排队的数据包是被传递给用户空间的异步地进行处理。一个用户进程能检查数据包,修改数据包,甚至可以重新将该数据包通过离开内核的同一个钩子函数中注入到内核中。

3.2 CA系统功能模块实现

根据我校校区的分布,在这里PKI系统采用单CA多RA的系统结构,这种结构是单CA的改进,其中RA承担了CA的部分任务,减轻了CA的负担,随着校园规模和校园网的进一步扩大,如果经费允许,我们将建立层次CA,学校一个根CA,考虑到系统的安全性,CA服务器、RA服务器、Ldap服务器放置在北校区的防火墙后面,由于我校已购置日立的磁盘阵列,实际的数据库系统采用磁盘阵列实现。

CA服务器负责制作证书,签发证书作废表,审核证书申请,管理和维护中心CA系统,提供加密服务,保护存储密钥和密钥管理等等功能,整个系统基于windows系统,采用Java平台,并利用OpenSSL函数库和命令行工具而本论文并不讨论与之相关的加密、解密和密钥存储,证书策略等。

4 结语

本文从互联网的发展说明VPN技术产生的背景和意义,再对VPN的相关技术、协议进行研究与分析。在此基础上,结合校园网络的实际情况,提出了一个基于PKI校园网VPN系统的实现方案以利用VPN安全技术突破校园专用网的区域性限制来解决校园网存在的一些问题。同时根据提出的方案给出了一个校园网VPN实现的实例,并对该实现过程进行了检验和分析,在一定程度上验证了所提方案的有效性。

参考文献

[1]钱爱增.PKI与VPN技术在校园网内部资源安全问题中的应用研究[J].中国教育信息,2008(9):77-80.

[2]冯登国,李丹.当前我国PKI/PMI标准的制订与应用[J].信息网络安全,2005:16-17.

作者单位

辽宁大学外国语学院 辽宁省辽阳市 111000

上一篇:刍议智能光网络在电力通讯中的实践 下一篇:基于NGN的一机双网铁路专网技术