具有vpn功能的防火墻的研究與實(shí)現(xiàn).pdf

1、計(jì)算機(jī)網(wǎng)絡(luò)安全主要有兩個(gè)方面的問題 ：(1)如何保證在網(wǎng)絡(luò)上傳輸?shù)男畔⑺接行?防止被非法竊取、篡改、偽造。(2)如何限制網(wǎng)絡(luò)上用戶(或程序)的訪問權(quán)限,防止非法用戶(或程序)的侵入?，F(xiàn)階段解決第一個(gè)問題的最好辦法是使用VPN（虛擬專用網(wǎng)）技術(shù),而解決第二個(gè)問題普遍采用的方法則是防火墻技術(shù)。防火墻考慮的是阻止未經(jīng)授權(quán)的傳輸進(jìn)入或離開專網(wǎng)，而一般不考慮傳輸離開專網(wǎng)之后的安全問題。VPN技術(shù)是指采用隧道技術(shù)以及加密、身份認(rèn)證等方法，在公眾網(wǎng)絡(luò)

2、上構(gòu)建專用網(wǎng)絡(luò)的技術(shù)，數(shù)據(jù)通過安全的"加密管道"在公眾網(wǎng)絡(luò)中傳播，保證離開專網(wǎng)后的傳輸是安全的。VPN和防火墻都是安全技術(shù)，它們的功能相互交叉，因此在同一個(gè)設(shè)備中集成VPN功能和防火墻功能已經(jīng)變成了一種趨勢。 本文研究的主要內(nèi)容是防火墻的工作機(jī)制、過濾技術(shù)和VPN的IPSEC協(xié)議。根據(jù)防火墻和VPN發(fā)展趨勢，針對防火墻不能對網(wǎng)絡(luò)傳輸進(jìn)行保護(hù)的缺陷，設(shè)計(jì)出一種防火墻與VPN相結(jié)合的防火墻改進(jìn)策略。 改進(jìn)策略的特點(diǎn)是：（1）

3、使用驅(qū)動(dòng)程序級的HOOK技術(shù)截獲封包，在網(wǎng)絡(luò)層進(jìn)行"行為"上的有效結(jié)合。利用現(xiàn)有的VPN和防火墻技術(shù)，萃取在VPN中的包結(jié)構(gòu)變化的思想進(jìn)行數(shù)據(jù)包的結(jié)構(gòu)重構(gòu)（鑒于防火墻應(yīng)用的對象是普通用戶，所以采用VPN中的ESP傳輸模式），融入完善的加密措施，并與網(wǎng)絡(luò)層包過濾型防火墻相結(jié)合，對防火墻加密認(rèn)證機(jī)制進(jìn)行了研究和部分實(shí)現(xiàn)。（2）建立防火墻過濾規(guī)則與VPN的安全聯(lián)盟、安全策略數(shù)據(jù)庫的無縫連接，進(jìn)行"思想"上的結(jié)合。本文所研究的防火墻吸取了狀態(tài)連

4、接技術(shù)的思想，建立自己的過濾規(guī)則策略庫，使得防火墻能夠在滿足自己防衛(wèi)安全的同時(shí)，與SPD（安全策略數(shù)據(jù)庫），SAD（安全聯(lián)盟數(shù)據(jù)庫）進(jìn)行連接，從而使得進(jìn)出主機(jī)的數(shù)據(jù)包得到較高質(zhì)量的加密和認(rèn)證等服務(wù)。 經(jīng)過該策略改進(jìn)后的防火墻，不但能夠保護(hù)計(jì)算機(jī)不受非法用戶的攻擊，也能夠保證數(shù)據(jù)在網(wǎng)絡(luò)上傳輸?shù)陌踩?。改進(jìn)后的防火墻摒棄了一些適用于大型網(wǎng)關(guān)的復(fù)雜策略管理，專注于VPN的認(rèn)證和加密兩大功能，使得本文所研究的防火墻具有很好的易用性。