校园网的VPN方案设计

论文摘要

虚拟专用网VPN——Virtual Private Network,基于ISP(互联网服务提供商)所提供的公用网络的接入,通过采用数据加密技术和访问控制技术,在公用网络(主要是Internet)中建立专用的数据通信网络的技术。为解决跨区域网络安全互联,以及数据安全加密传输,提供了廉价便捷的解决方案。VPN技术在不同领域得到了广泛的应用。本文深入研究了常用的VPN技术,OSI中第二层中PPTP、12TP的VPN技术,以及第三层中IPSEC的VPN技术,并且着重介绍了IPSEC的安全架构,工作原理。根据当前高校网络发展现状,归纳总结校园网内三种主要的安全连接需求：异地园区网络的相互安全访问,同一园区网络内部敏感数据的安全访问,校外终端对校内网络资源的安全访问。针对三种访问需求,以IPSEC技术为基础,分别设计规划了一套完整的安全解决方案,弥补了传统解决方式的不足。各高校网络普遍使用NAT来缓解IPV4网络中地址不足的问题,IPSEC(?)办议与NAT协议互不兼容,不能在同一系统下协议工作。针对这个问题,目前有三种解决的方案,但都有各自的局限性,“NAT先于IPSEC"该方案难以实现,RSIP方案实施困难,UDP封装ESP数据包只能够部分解决二者不兼容问题,分析总结现有方案,提出改进型的UDP封装方案(UDP封装IPSEC包)消除了IPSEC无法穿越NAT的问题。改进型UDP封装方案的可配置性、安全性、互操作性、防火墙的兼容性皆可以满足系统要求。当然这种方案也不是一种完美的解决办法,随着IPV6时代的到来,IP地址枯竭问题将会彻底改变,这个问题也将得到最终解决。文章的主体内容大体上分为四部分：第一部分是引言,简要介绍了虚拟专用网的产生背景、发展和现状,主要讲述了虚拟专用网的的特点；第二部分简要介绍了虚拟专用网的分类,详细说明了IPSec协议框架以及工作原理；第三部分,结合实践工作经验,明确校园网内外安全需求,以IPSEC网关构建虚拟专用网实现校园网内不同安全通信需求,比较现行的实现方法和与传统方案。最后,讨论了在VPN的实现中一些应该解决的问题、提出切实可行的IPSEC穿越NAT问题的解决方案。

论文目录

• 摘要
• ABSTRACT
• 1 前言
• 2 方案论证
• 2.1 VPN的封装协议
• 2.2 IPSEC的整体框架和安全体系
• 2.2.1 IPSec整体框架
• 2.2.2 IPSec安全体系
• 2.2.3 AH封装的两种模式
• 2.2.4 AH头在分组中的位置
• 2.3 安全联盟（SA）和安全策略数据库（SPD）
• 2.4 密钥协商与密钥管理
• 3 使用VPN实现校园网安全通信
• 3.1 VPN的主要实施方法
• 3.2 VPN的功能分类
• 3.3 使用VPN实现校园网安全通信的设计方案
• 3.3.1 高校不同校区之间网络的连接
• 3.3.2 校园网和学校在外人员的网络连接
• 3.3.3 校园网内各局域网主机之间的网络连接
• 4 对于IPSEC协议的进一步分析
• 4.1 关于IPSEC的多协议支持
• 4.2 关于IPSEC与NAT的兼容问题的解决方案
• 4.2.1 NAT技术原理简介
• 4.2.2 IPSEC、NAT不兼容性
• 4.2.3 解决问题的可行方法
• 4.2.4 方案的可行性分析
• 5 结束语
• 致谢
• 参考文献
• 攻读硕士学位期间发表的论文
• 学位论文评阅及答辩情况表