基于國(guó)密標(biāo)準(zhǔn)的IPSec VPN服務(wù)器的內(nèi)核系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、互聯(lián)網(wǎng)技術(shù)發(fā)展日新月異，它給人們生活帶來方便的同時(shí)，伴隨而來的安全問題也不容忽視?；诿艽a學(xué)技術(shù)在公共網(wǎng)絡(luò)建立的虛擬私有網(wǎng)絡(luò)（VPN）已經(jīng)成為目前保障網(wǎng)絡(luò)安全的重要手段之一，而IPSec協(xié)議作為Internet工程任務(wù)組（IETF）提出的一項(xiàng)Internet協(xié)議安全工程，主要負(fù)責(zé)網(wǎng)絡(luò)層協(xié)議的安全，因其具有部署方便和強(qiáng)大的安全性，逐漸成為組建高性能VPN的首選方案。因此，IPSec VPN技術(shù)得到迅速推廣，與其相關(guān)的產(chǎn)品已經(jīng)在網(wǎng)絡(luò)安全方面

2、發(fā)揮著重要的作用。但是，由于IPSec協(xié)議密碼算法的公開性、主要技術(shù)實(shí)現(xiàn)掌握在國(guó)外組織機(jī)構(gòu)等問題，導(dǎo)致基于國(guó)際標(biāo)準(zhǔn)的IPSec VPN技術(shù)不適用于我國(guó)國(guó)情。
　　本文的目的就是設(shè)計(jì)和實(shí)現(xiàn)一款基于國(guó)家密碼管理局標(biāo)準(zhǔn)的IPSec VPN服務(wù)器的內(nèi)核系統(tǒng)，主要是基于國(guó)家密碼管理局制定的《IPSec VPN技術(shù)規(guī)范》的相關(guān)標(biāo)準(zhǔn)。在深入研究IPSec內(nèi)核的實(shí)現(xiàn)架構(gòu)基礎(chǔ)上，對(duì)IPSec的內(nèi)核層進(jìn)行改造和優(yōu)化，最終實(shí)現(xiàn)一個(gè)穩(wěn)定的、部署方便的、符

3、合國(guó)家密碼管理局標(biāo)準(zhǔn)的IPSec VPN服務(wù)器內(nèi)核架構(gòu)系統(tǒng)。本文的主要研究工作有：
　　1.拓展IPSec協(xié)議的密碼算法，向內(nèi)核加密框架注冊(cè)符合國(guó)家密碼管理局標(biāo)準(zhǔn)的對(duì)稱加密算法SM4和哈希算法SM3，以異步塊的調(diào)用方式供IPSec VPN服務(wù)器使用，可為通信實(shí)體間提供保密性和完整性的保障。
　　2.優(yōu)化IPSec內(nèi)核調(diào)用外部密碼算法的方式，分別設(shè)計(jì)了基于請(qǐng)求隊(duì)列和生產(chǎn)者-消費(fèi)者模式的調(diào)用框架，并經(jīng)過實(shí)際測(cè)試，數(shù)據(jù)平均傳輸速率

4、在TCP單向的情況下可達(dá)到400Mbps，與普通調(diào)用方式比較，效率提升30％。
　　3.修改IPSec協(xié)商數(shù)據(jù)包格式，使IPSec數(shù)據(jù)包能穿越NAT網(wǎng)絡(luò)，最終使系統(tǒng)能在NAT網(wǎng)絡(luò)上部署應(yīng)用。
　　4.對(duì)IPSec內(nèi)核的IPv6網(wǎng)絡(luò)模塊進(jìn)行優(yōu)化和裁剪，使本系統(tǒng)支持IPv6網(wǎng)絡(luò)。
　　綜上所述，本文實(shí)現(xiàn)了《IPSec VPN技術(shù)規(guī)范》相關(guān)的性能需求，并在原有內(nèi)核調(diào)用加密卡框架的基礎(chǔ)上增加一個(gè)新框架，使系統(tǒng)性能有較大的提升。