支持多鏈路負(fù)載平衡的IPSec VPN系統(tǒng)的設(shè)計與實現(xiàn).pdf

1、隨著Internet應(yīng)用的普及和深入，全球性公司和組織廣泛分布，各分支機構(gòu)之間需要進行及時安全的通信，VPN作為一種廉價安全的組網(wǎng)方案越來越受到人們的青睞。IPSec協(xié)議良好的體系結(jié)構(gòu)及解決端對端通信的能力，使其成為目前最常用的VPN解決方案。 目前的IPSecVPN系統(tǒng)仍存在一些不足。首先，由于多數(shù)負(fù)載平衡系統(tǒng)無法判別被VPN系統(tǒng)加密的數(shù)據(jù)包，使得多鏈路負(fù)載平衡功能和容錯功能幾乎喪失，無法保證VPN的高效性和可靠性。其次，傳統(tǒng)

2、的IPSec實施方案難以保證VPN系統(tǒng)的通信性能和可擴展性。 針對上述需求和傳統(tǒng)方案的缺陷，本文提出利用Linux的Netfilter框架來實現(xiàn)基于IPSec的VPN網(wǎng)關(guān)系統(tǒng)。這種實現(xiàn)方法既沒有直接修改內(nèi)核源代碼，又真正達到了修改內(nèi)核IP協(xié)議棧處理流程的目的。 該系統(tǒng)利用Netfilter的HOOK機制，將IPSec處理、多鏈路負(fù)載平衡與原有的網(wǎng)絡(luò)層處理融合在一起。IPSec處理與網(wǎng)絡(luò)層處理的無縫結(jié)合保證了系統(tǒng)的高效性；

3、多鏈路負(fù)載平衡提供的鏈路選擇、備份和連接遷移功能提高了系統(tǒng)的性能和容錯能力；對PFKEY協(xié)議的實現(xiàn)和擴展，使內(nèi)核空間與用戶空間的通信更加方便靈活，并為系統(tǒng)進一步完善IKE功能做了準(zhǔn)備；而Netfilter架構(gòu)本身的良好特性進一步增強了系統(tǒng)的可擴展性。此外，系統(tǒng)的配置、日志、報警等功能為用戶提供了全面、便利的管理手段。 本文對系統(tǒng)的功能和性能均做了詳細(xì)測試，并給出了測試過程中遇到的主要問題及其解決方法。最后，針對系統(tǒng)的的不足本文提