udp封装实现ipsec的nat穿越应用研究

《udp封装实现ipsec的nat穿越应用研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、重庆大学工程硕士学位论文UDP封装实现IPSec的NAT穿越应用研究硕士研究生：樊子牛指导教师：向宏教授兼职导师：缪秦高级工程师工程领域：软件工程重庆大学软件学院二OO七年十月ProjectMasterDissertationofChongqingUniversityNAT-TraversalWithUDPEncapsulationMasterCandidate:FanZiniuSupervisor:Prof.XiangHongPluralitySupervisor:SeniorEngineerMiaoQingSpecialt

2、y:SoftwareEngineeringCollegeofSoftwareEngineeringChongqingUniversityOct.2007摘要IPSec是构建VPN(VirtualPrivateNetwork虚拟专用网)的常用技术，它可以较好地解决目前Internet上面临的各种安全威胁，有效地保证数据的安全传输。但在实际的应用中，IPSec技术与用于解决IPv4地址匮乏的NAT技术存在严重的不兼容性。因为IPSec协议在VPN中用于保护传输数据的完整性，传输过程中，任何对IP地址及传输标志位的修改，都被视作对该

3、协议的违背，并导致数据包不能通过安全检查而被丢弃。但在VPN中运用NAT技术，则不可避免地要对私有地址映射为公有地址，即对IP地址要进行修改。这一不兼容性已经严重地限制了NAT和IPSec的应用范围，特别是对远程用户访问VPN服务器造成很大的不便。在网络安全应用领域，往往需要NAT网关和IPSec网关能够协同工作。为此，本人提出的基于X.509证书的UDP封装方案穿越NAT的技术，在IKE协商SA的过程中增加载荷以探测网关之间的VPN是否支持NAT穿越以及网关之间是否存在NAT；增加了对ESP报文进行UDP封装和解封装的处理；

4、并对整个过程进行了详细地测试与分析；同时也分析了采用UDP封装穿越NAT方案中有待解决的问题。本文结合目前我院校园网络的实际需求，在不需要对现有NAT设备进行重新部署的前提下，提出了使用UDP数据封装穿越NAT的方法来完成VPN和NAT技术的融合。以NAT穿越方案的总体架构为基础，对数据封装格式进行改进和相关协议的功能进行扩充，可以形成一套完整的NAT穿越解决方案。关键字：IPSec，NAT，IKE，UDP封装，安全关联（SA），SPDIAbstractIPSecisacommontechniquewhichisanimpor

5、tantpartofVPN(VirtualPrivateNetwork).ItcanhelpusnotonlydealwithvarioussecuritythreatsonInternet,butalsoensureeffectivelysafedatatransmissions.However,inapplicationsthetechniqueofIPSecisnotcompatiblewiththetechniqueofNAT,whichisusedtosolveproblemsofIPv4addresslack.Th

6、eagreementofIPSecinVPNisusedtokeepthedataintegralityintransmissions,butanychangetoIPaddressortransmissiontagsintransmissionswillberegardedasaviolationtothisagreementandcausetheresultthatdatapackagescannotbepassedbysecuritychecksandwillbelost.TheapplicationofNATinVPN

7、isinevitabletomapprivateaddressestopublicaddresses,whichchangesIPaddress.TheincompatibilityhaslimitedtheapplicationscopeofNATandIPSec,andespeciallyisinconvenientforremoteuserstovisitVPNservers.ThecooperationbetweenNATgatewayandIPSecgatewayisnecessaryintheapplication

8、fieldofnetworksecurity.Therefore,IputforwardthetechniqueofUDPEncapsulationacrossNATbasedontheX.509Certificateandincreasingloadstoexploreif