维普资讯 http://www.cqvip.com
基于隧道模式Ｉ ＰＳｅｃ的ＮＡＴ穿越 杨名川 （深圳职业技术学院计算机应用工程系，深圳５１８０５５） 摘 要：阐述了ＩＰＳｅｃ和ＮＡＴ的原理，分析了在ＮＡＴ下应用ＩＰＳｅｃ可能出现的问题，提出了应用 ＥＳＰ隧道模式解决ＮＡＴ穿越的方法．阐遗在路由器上如何配置。 关键词：ＩＰＳｅｃ；ＮＡＴ；ＥＳＰ：隧道；ＩＫＥ ０引言 ＮＡＴ虽然可以让局域网内韵多台计算机共享一 将信息加密。 ＥＳＰ隧道模式的新隧道包头还是保留原状阱没 有被ＩＰＳｅｃ签名和加密，但是ＴＣＰ／ＵＤＰ端口却被加 密，因而无法读取。虽然ＮＡＴ可以改变隧道模式中的 隧道端点的ＩＰ地址，但是ＮＡＴ却无法改变端口．更 何况端口还被签名。不允许改变。 个Ｐｕｂｌｉｃ ＩＰ同时连接Ｉｎｔｅｒｎｅｔ，但如果同时采用ＩＰＳｅｃ 来确保信息传送安全性的话，就有问题产生，因为 ＮＡＴ会改变数据包的包头 ，然而ＩＰＳｅｃ不允许变更数 据包的包头。 １ 协议分析 １．１ ＮＡＴ对ＡＨ协议的影响 ＡＨ利用消息摘要算法对整个ＩＰ包产生一个加 密后的散列值。该散列值的作用范围是整个ＩＰ包，包 括那些不发生变化的ＩＰ头．如源ＩＰ地址和目的ＩＰ地 ｌ包头ｆ｝ ＪＩ 包头Ｌ包头 匕 上『Ｄａｔａ Ｊ ｌ逸ｕｔｌＩ 加密 签名 图２ ＥＳＰ隧道模式 １．３ ＮＡＴ对ＩＫＥ协议的影响 无论是ＡＨ还是ＥＳＰ，其对一个ＩＰ包执行操作之 址。接收方利用该散列值认证收到的ＩＰ包。如果在发 送过程中原始ＩＰ包中的任何字段（不包括可变字段． 如ＴＴＩ 等）发生变化，都将会导致接收方的认证失败， 接收方将据此丢弃该包。ＡＨ的目的是为了防止对ＩＰ 前首先必须建立一个ＩＰＳｅｃ ＳＡ。ＩＰＳｅｃ使用ＩＫＥ自动 建立和维护安全ＳＡ，并对对端做认证。目前最基本和 最常见的认证方式是预共享密钥。但这种方法使用ＩＰ 包的源地址和端口号做认证标志，如果在端点之间插 入ＮＡＴ，则外部源ＩＰ地址将被翻译成ＮＡＴ路由器的 包的未授权的修改、源地址欺骗以及中间人攻击。但 ＮＡＴ将会改变ＩＰ包的地址字段的值，从而导致消息 完整性认证失效。 地址，ＩＰ包所携带的地址标志是安全网关的起点．那 么ＩＫＥ就会丢弃这样的ＩＰ包，验证检查就会失败。 狃包头 ｝ＴＣＰ／ＵＤＰ包头ＩＤａｔａ ］ 现 ＡＨ ２ ＩＰＳｅｃ穿越ＮＡＴ的解决方法 ＮＡＴ穿越（ＮＡＴ Ｔｒａｖｅｒｓａｌ，ＮＡＴ一 就是为解决这 个问题而提出的，在ＲＦＣ３９４７、３９４８中定义．在 ＲＦＣ４３０６中也加入了ＮＡＴ—Ｔ的说明。由于ＡＨ是对 整个数据包做签名验证，而ＥＳＰ没有对“新隧道包 代 计 图１ ＡＨ隧道模式 算 机 １．２ ＮＡＴ对ＥＳＰ协议的影响 ＾ 总 第 是它可以确认收到的信息没有被篡改．可以确认信息 二 ＥＳＰ也采用消息摘要算法做ＩＰ包的认证，也就 头”部分进行加密和签名，所以选择使用ＥＳＰ方式来 解决ＮＡＴ穿越的问题。该方法将ＥＳＰ协议包封装到 确实是由所要通信的计算机传过来的．而且ＥＳＰ会 收稿日期：２００７—０３—２１修稿日期：２００７－０５—０６ 五 九 期 作者简介：杨明川（１９７１－），黑龙江哈尔滨人，讲师，研究方向为计算机网络 维普资讯 http://www.cqvip.com
安全技术 ＵＤＰ包中（在原ＥＳＰ协议的ＩＰ包头外添加新的ＩＰ头 和ＵＤＰ头），这样，当此数据包穿过ＮＡＴ网关时，被 ／ ＩＰＳｅｃ数据包封装到ＩＫＥ协商所使用的连接隧道里。 ＮＡＴ穿越要求必须使用ＩＰＳｅｃ的ＥＳＰ封装方式。在使 用隧道模式进行ＵＤＰ封装传送报文时，内部ＩＰ头中 可能会包含不适合当前网络的地址。这时需要根据本 地策略对数据包做如下检查：如果在策略中，已为对 端的封装报文定义了一个有效的源ＩＰ地址空间，则 修改的只是最外层的ＩＰ／ＵＤＰ数据，而对其内部真正 的ＩＰＳｅｃ数据没有进行改动；在目的主机处再把外层 的ＩＰ／ＵＤＰ封装去掉．就可以获得完整的ＩＰＳｅｃ数据 包。＋这样在ＮＡＴ的内部网中可以有多个ＩＰＳｅｃ主机 建立ＶＰＮ通道进行通信。这项技术的实现分为两个 步骤：ＩＫＥ协商和ＵＤＰ封装。 ２．１ ＩＫＥ协商 应检查在内部报文中的ＩＰ源地址是否属于有效范 围：如果已经为远程对端分配了一个地址，则应检查 内部报文中的ＩＰ源地址是否与该地址一致。对报文 在ＩＫＥ协商时首先是判断通信的双方是否支持 ＮＡＴ－Ｔ．这主要通过ＩＫＥ协商时彼此发送的第一个数 据包来判断。在判断双方均支持ＮＡＴ—Ｔ后，进入到第 二个阶段．去发现在上方的链路中间是否存在ＮＡＴ 设备，这一个阶段通常称为ＮＡＴ发现（ＮＡＴ Ｄｉｓｃｏｖ— ｅｒｙ）。ＮＡＴ发现的原理实际上就是判断通信双方的 ＩＰ地址或者端口是否发生了改变。当发现ＮＡＴ设备 以后．ＮＡＴ—Ｔ双方开始协商所采用的数据包封装方 式，至此完成协商过程。ＩＫＥ协商过程如下： （１）ＩＫＥ通过Ｃｏｏｋｉｅ载荷交换来确定远程主机 是否支持ＮＡＴ穿越。如果协商双方支持ＮＡＴ穿越， 则协商双方在阶段１的前两条消息中应加入一个 Ｃｏｏｋｉｅ载荷，载荷的内容是对本地秘密、对方标识和 当前时间进行ＭＤ５运算得出的散列值。该字串需标 明它所支持的ＮＡＴ穿越方法应遵循的要求。 （２）ＮＡＴ发现（ＮＡＴ Ｄｉｓｃｏｖｅｒｙ）载荷不仅用于探测 两个ＩＫＥ实体之间是否存在ＮＡＴ，也用于探测ＮＡＴ 所处的位置。Ｋｅｅｐａ｜ｉｖｅ消息能从位于ＮＡＴ后面的实 体发出。为了探测出两台主机之间的ＮＡＴ，需要检查 ＩＰ地址和端口是否沿着传输路径发生改变。协商双 方只需各自向对端发送源方和目的方的ＩＰ地址与端 口的散列值．就可以检测地址和端口在传输过程中是 否发生改变。如果协商双方计算出的散列值与其收到 的散列值相同，则表示它们之间没有ＮＡＴ。反之，则 是在传输中对地址或端口进行了转换，说明所通过的 ＩＰＳｅｃ报文进行了ＮＡＴ穿越的处理。如果发送者不能 确定自己的ＩＰ地址ｆ比如拥有多个网络接口，并且不 能确定包路由选择到哪一个接口）．它可以在报文中 包含多个本地ＩＰ地址的散列值。在这种情况下，仅当 所有的散列值均不匹配时，才表明ＮＡＴ的存在。 ２．２ ＵＤＰ封装 经过ＩＫＥ协商．如果发现途中的ＮＡＴ网关设备， 则将在之后的ＩＰＳｅｃ数据传输中使用ＵＤＰ封装，即将 执行ＮＡＴ转换，使其适合在本地网络中传输。 隧道模式下ＥＳＰ封装的报文格式如图３。隧道模 式下ＥＳＰ封装的步骤为：普通的ＥＳＰ封装处理；插入 一个适当格式的ＵＤＰ头部。 包头ｌｌ嚣｛包头ｌ 包头 包头 Ｉ加密 ｝Ｐ【Ｄ…Ｉａｔａ Ｉ尾部Ｉ Ａｕｔ ｈ 签名 图３隧道模式下ＥＳＰ封装 隧道模式下ＥＳＰ解封装的步骤为：从报文中删 除ＵＤＰ头；编辑ＩＰ头中的总长字段、协议字段以及 校验和字段，使之与所得的报文相匹配；应用普通的 ＥＳＰ解封装处理过程；应用隧道模式解封装ＮＡＴ处 理过程。 显然．ＮＡＴ—Ｔ加大了数据包的长度和负载，大约 为每个数据包增加了２０ Ｂｙｔｅｓ的长度。这增加了设备 处理的时间和负担。但是对应ＮＡＴ—Ｔ的实现简单和 安全而言，这是非常值得的，因此ＮＡＴ—Ｔ实际上已成 为ＶＰＮ设备的必备功能，由于ＮＡＴ技术在国内的广 泛应用．不具备这种功能的ＩＰＳｅｃ ＶＰＮ使用环境会大 大受到，所以用户在选用ＶＰＮ设备时应该将这 一功能作为一个重要的考核指标。 ３ 配置ＩＰＳｅｃ穿越ＮＡＴ 现 代 计 算 机 ＾ 总 第 二 五 图４ ＩＰＳｅＣ穿越ＮＡＴ 九 期 ｖ ＭＯＤＥＩ￣Ｎ ｃ０ＭＰｕＴＥＲ舢．５ ｏ 维普资讯 http://www.cqvip.com
＼＼＼ ：兰兰 ＩＰＳｅｃ的访问控制列表可称为加密访问控制列表。加 密访问控制列表匹配（ｐｅｒｍｉｔ）的报文将被保护，加密 访问控制列表拒绝（ｄｅｎｙ）的报文将不被保护。加密访 问控制列表既可用于加密人口数据流，也可用于加密 出口数据流。 通过图４说明使用华为路由器配置ＩＰＳｅｃ穿越 ＮＡＴ的步骤；路由器Ａ是某企业分部的出口路由器， 只负责ＮＡＴ转换：路由器Ｂ是某企业分部内ＩＰＳｅｃ 加密的路由器，不做ＮＡＴ：路由器Ｃ是某企业总部路 由器．有固定ＩＰ；路由器Ｂ和Ｃ的ＩＰＳｅｃ穿透了路由 器Ａ的ＮＡＴ转换。 该实例为路由器Ｂ和Ｃ之间通过ＩＰＳｅｃ构造的 ３．４配置ＩＰＳｅｃ安全提议 安全提议保存ＩＰＳｅｃ需要使用的特定安全性协 议以及加密／验证算法，为ＩＰＳｅｃ协商ＳＡ提供各种安 ＶＰＮ通信。但是数据包在通信的途中经过网关Ａ，需 做地址转换，也就是ＩＰＳｅｃ数据包要穿越ＮＡＴ。解决 问题思路为首先配置ＩＫＥ安全提议一配置ＩＫＥ对等 体一配置ＩＰＳｅｃ访问控制列表一配置ＩＰＳｅｃ安全提 议一应用ＩＰＳｅｃ安全策略。 ３．１配置ＩＫＥ安全提议 ＩＫＥ提议定义了一套属性数据来描述ＩＫＥ协商 怎样进行安全通信。配置ＩＫＥ提议包括创建ＩＫＥ提 议、选择加密算法、选择验证方法、选择验证算法、选 择Ｄ ｅ—Ｈｅｌｌｍａｎ组标识和设置安全联盟生存周期。 用户可以按照优先级创建多条ＩＫＥ提议，但是 协商双方必须至少有一条匹配的ＩＫＥ提议才能协商 成功。协商时将从优先级最高的提议开始匹配一条双 方都相同的提议，匹配的原则是：协商双方具有相同 的加密算法、验证算法、验证方法和ＤＨ组标识。 ３．２配置ＩＫＥ对等体 ＩＫＥ对等体是成功实现第一阶段协商的关键配 置。在对等体中，需要设置协商模式，其中模式支持 ＮＡＴ穿越，而主模式不支持；需要配置ＩＫＥ协商所使 用的身份认证字，以保证双方协商的合法性；无论使 用地址协商（ｉｄ—ｔｙｐｅ ＩＰ）还是ＮＡＭＥ协商（ｉｄ—ｔｙｐｅ ＮＡＭＥ）．ＩＰＳｅｃ ＳＡ的发起方必须配置对端安全网关 设备的ＩＰ地址，当发起协商时，发起方会发送自己的 ＩＰ地址给对端来标识自己的身份。若使用ＮＡＭＥ协 商方式．则必须指定对端的ＮＡＭＥ．且需要保证对方 指定的ＩＫＥ ＮＡＭＥ与之相同，否则将代之以路由器 名．这很可能发生校验错误而引起ＩＫＥ协商失败；根 现 据穿越ＮＡＴ的需要．可选择配置ＮＡＴ穿越功能。此 代 外，还可以配置本端安全网关ＩＤ的类型、指定对端安 计 算 全网关设备的ＩＤ、配置子网类型等。 机 ３．３配置ＩＰＳｅｃ访问控制列表 ＾ 用于ＩＰＳｅｃ的访问控制列表的作用不同于在防 总 第 火墙中的访问控制列表。一般的访问控制列表是用来 二 决定一个接口上哪些数据可通过，哪些要被拒绝；而 五 ＩＰＳｅｃ是根据访问控制列表中的规则来确定哪些报文 九 需要安全保护，哪些报文不需要安全保护．故用于 期 ｏ ＭＯＤＥＲＮ ＣＯＭＰＵＴＥＲ舢．５ 全参数。为了能够成功地协商ＩＰＳｅｃ的ＳＡ，两端必须 使用相同的安全提议。 ３．５配置ＩＰＳｅｃ安全策略 安全策略规定了对数据流采用何种安全提议。 安全策略分为手工安全策略和ＩＫＥ协商安全策略，前 者需要用户手工配置密钥、ＳＰＩ等参数，在隧道模式下 还需要手工配置安全隧道两个端点的ＩＰ地址：后者 则由ＩＫＥ自动协商生成这些参数。ＩＰＳｅｃ穿越ＮＡＴ必 须使用ＩＫＥ自动协商方式配置安全策略。 ３．６应用ＩＰＳｅｃ安全策略 为使定义的ＳＡ生效，应在每个要加密的出站数 据、解密的人站数据所在接口（逻辑的或物理的）上应 用一个安全策略组。由这个接口根据所配置的安全策 略组和对端加密路由器配合进行报文的加密处理。当 安全策略组从接口上被删除后．此接口便不再具有 ＩＰＳｅｃ的安全保护功能。 ４结语 在应用ＩＰｓｅｃ穿越ＮＡＴ时可能会出现下面的问 题：攻击者可监听网络中的所有通信流，修改报文顺 序，在已发现的报文之前注入新的报文时，对每个有 效验证的报文更新ＩＫＥ ＳＡ报文和ＥＳＰ ＵＤＰ封装报 文的ＩＰ地址和端口，则会造成ＤｏＳ攻击。攻击者可从 位于ＮＡＴ后面的主机截取已验证的报文，修改报文 的ＵＤＰ源方和目的方的ＩＰ地址与端口，并在真正的 报文到达之前发送给对端。如果不是在ＮＡＴ后面的 主机接收到伪造报文后，将根据伪造报文更新它的 ＩＰ地址和端口映射，并将随后的通信流发送至错误 的主机或端口。这种情况在攻击者停止攻击并接收到 第一个正确报文后才能修正。所以用户应该每次审计 映射的改变．一般情况下它不应经常发生。 在一些系统中，ＥＳＰ封装ＵＤＰ可能引发ＤｏＳ攻 击，特别是使用普通操作系统的ＵＤＰ功能。因此，建 议用户勿打开普通的ＵＤＰ端口。 （下转第４６页） 维普资讯 http://www.cqvip.com
＼ 安全技术 要加强网络硬件的物理安全，而且应在关键的网络层 次上采用成熟的加密技术和严格的访问控制技术，这 ６ｔｏ４隧道技术存在对６ｔｏ４伪接口的攻击、本地定向 广播攻击和业务盗用的危险，在使用时需要加载一系 列的安全策略：６ｏｖｅｒ４隧道技术可以采用一定的策略 样才能提高ＩＰｖ６网络的安全性能。 参考文献 来保证网络安全．但是该技术要求ＩＰｖ４网络支持组 播，应用范围有限，建议尽量不要使用。 …胡道元，阂京华．网络安全．北京：清华大学出版社，２００４ ５结语 欺骗攻击是攻击者在对网络安全知识相当了解． 对网络技术和基本原理相当熟悉的基础上，采用的非 【２】张岳公，李大兴．ＩＰｖ６下的网络攻击和入侵分析．计算机 科学。２００６．３３（２） Ｉ３】刘耀东，戴冠中．移动ＩＰｖ６协议及其安全机制分析．计算 机应用研究，２００５（９）：１４９～１５１ 常专业化的攻击手段。在ＩＰｖ６网络下。ＩＰＳｅｃ的引入 提高了网络的安全性能．但不能期望ＩＰＳｅｃ能解决所 有的安全问题．更应该看到ＩＰＳｅｃ引入后对现有的网 『４１郑晓红，刘知贵，陆荣杰．ＩＰｖ６与ＩＰｖ４网络攻击方式研 究．２００６（１２）：１５９～１６１ 络安全体系和网络监管带来的新的挑战 在此情况 下，防止欺骗攻击，应该从网络的各个层次着眼，不仅 『５】姚树宇．ＩＰｖ６协议及其过渡技术的安全问题．现代计算 机．２００５．２２５：４６～４９ ． Ｄｅｆｅｎｓｅ ｏｆ Ｓｐｏｏｆｉｎｇ Ａｔｔａｃｋ ｉｎ Ｉ Ｐｖ６ ＸＵ Ａｉ＿ｊｕｎ，ＬＩＮ Ｊｉｎｇ—ｚｈａｎｇ，ＷＡＮＧ Ｊｉｎ—ｌａｎ （Ｇｕａｎｇｚｈｏｕ Ｉｎｓｔｉｔｕｅ ｏｆ Ｒａｉｌｗａｙ Ｔｅｃｈｎｏｌｏｇｙ，Ｇｕａｎｇｚｈｏｕ ５１０４３０） Ａｂｓｔｒａｃｔ：Ｔｈｅ ｐｅｒｆｏｒｍａｎｃｅ ａｎｄ ｓｅｃｕｒｉｔｙ ｏｆ ＩＰｖ６ ｈａｓ ｂｅｅｎ ｅｒｒｈａｎｃｅｄ ｏｂｓｅｒｖａｂｌｙ，ｂｕｔ ｉｔ ｂｒｉｎｇｓ ｌｏｔｓ ｏｆ ｐｒｏｂｌｅｍｓ ａｎｄ ｃｈａｌｌｅｎｇｅｓ ａｔ ｔｈｅ ｓａｍｅ ｔｉｍｅ．Ａｎａｌｙｚｅｓ ｔｈｅ ｓｐｏｏｆｉｎｇ ａｔｔａｃｋ，ｐｕｔｓ ｆｏｒｗａｒｄ ａｌｌ ｔｈｅ ｆｏｎＴ】ｏｆ ａｔｔａｃｋｓ ａｎｄ ｔｈｅｉｒ ｄｅｆｅｎｓｅ ｍｅｃｈａｎｉｓｍｓ ｉｎ ＩＰｖ６． Ｋｅｙｗｏｒｄｓ：ＩＰｖ４；ＩＰｖ６；Ｓｐｏｏｆｉｎｇ Ａｔｔａｃｋ；Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ （上接第４０丽） 参考文献 ｈｔｔｐ：／／ｗｗｗ．ｖｌａｎ９．ＣＯＩＴＩ，２００５．１２ 【３】戴有炜．Ｗｉｎｄｏｗｓ Ｓｅｒｖｅｒ ２００３网络专业指南．清华大学出 【１】华为３Ｃｏｍ技术有限公司．华为３Ｃｏｍ网络学院教材（第 八学期）．２００６ 【２］ＩＰＳｅｃ穿越ＮＡＴ兼容性问题及技术要求． 版社．２００４（６） 【４］ＲＦＣ２７０９．Ｓｅｃｕｒｉｔｙ Ｍｏｄｅｌ ｗｉｔｈ Ｔｕｎｎｅｌ—ｍｏｄｅ ＩＰＳｅｃ ｆｏｒ ＮＡＴ Ｄｏｍａｉｎｓ ＮＡＴ ＴｒａｖｅｒｓａＩ Ｂａｓｅｄ ｏｎ Ｉ ＰＳｅｃ Ｔｕｎｎｅｌ－ｍｏｄｅ 现 代 计 算 机 ＾ Ｙａｎｇ Ｍｉｎｇ——ｃｈｕａｎ （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒ，Ｓｈｅｎｚｈｅｎ Ｐｏｌｙｔｅｃｈｎｉｃ，Ｓｈｅｎｚｈｅｎ ５ １ ８０５５） Ａｂｓｔｒａｃｔ：Ｄｉｓｃｕｓｓｅｓ ｔｈｅ ｐｒｉｎｃｉｐｌｅ ｏｆ ｔｈｅ ＮＡＴ ａｎｄ ＩＰＳｅｃ，ａｎａｌｙｓｅｓ ｔｈｅ ｐｒｏｂｌｅｍ ｏｆ ａｐｐｌｙｉｎｇ ＩＰＳｅｃ ｔｏ ｔｒａｖｅｒｓａｌ ＮＡＴ，ｐｕｔｓ ｆｏｒｗａｒｄ ａ ｗａｙ ｏｆ ＥＳＰ ｔｕｎｎｅｌ—ｍｏｄｅ ｔｏ ｓｏｌｖｅ ＮＡＴ，ｄｅｓｃｒｉｂｅｓ ｈｏｗ ｔｏ ｃｏｎ． 总 第 二 五 ｉｆｇｕｒｅｉｎｔｈｅ ｒｏｕｔｅｒ． 九 斯 、一 Ｋｅｙｗｏｒｄｓ：ＩＰＳｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ）；ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）；ＥｓＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏ１）；Ｔｕｎｎｅｌ； ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ） ｏ ＭＯＤＥＲＮ Ｃｏ肘ＰＵＴＥＲ ２００７．５