基于安全套接層的虛擬專用網(wǎng)服務(wù)器的開發(fā).pdf

1、基于SSL(SecureSocketLayer，安全套接層)協(xié)議的虛擬專用網(wǎng)技術(shù)易于使用、成本較低，近年來獲得了飛速發(fā)展。但SSLVPN存在一個(gè)較大的缺陷：只能訪問通過瀏覽器連接的資源。傳統(tǒng)的C/S模式的應(yīng)用只能支持少部分，而且不能支持ICMP、ARP等應(yīng)用層以下協(xié)議。這就使客戶的應(yīng)用局限在一個(gè)小的范圍內(nèi)，隨著網(wǎng)絡(luò)的發(fā)展用戶需求增長必定打破這個(gè)狹小的范圍。 傳統(tǒng)的SSLVPN解決方案是建立在WEB基礎(chǔ)上的，對(duì)非WEB應(yīng)用支持不理

2、想。而企業(yè)內(nèi)部提供的資源服務(wù)各異，為使得遠(yuǎn)程Linux用戶能夠通過不同的應(yīng)用層協(xié)議安全地訪問內(nèi)網(wǎng)資源，可設(shè)計(jì)SSLVPN客戶端安全接入模型。接入模型在Linux內(nèi)核插入一個(gè)字符設(shè)備來完成對(duì)訪問請(qǐng)求的過濾。該設(shè)備會(huì)把對(duì)虛擬專用網(wǎng)內(nèi)部服務(wù)器的連接請(qǐng)求重定向到VPN網(wǎng)關(guān)，然后再由VPN網(wǎng)關(guān)轉(zhuǎn)發(fā)到真實(shí)服務(wù)器。遠(yuǎn)程客戶與VPN網(wǎng)關(guān)的連接建立在開放的公共網(wǎng)絡(luò)上，而SSL協(xié)議在公共網(wǎng)絡(luò)上為通信的雙方提供安全的通道。 對(duì)各種資源訪問控制策略進(jìn)行

3、了詳細(xì)分析，實(shí)現(xiàn)了基于角色和基于內(nèi)容的訪問控制策略，能更靈活，更細(xì)粒度的對(duì)資源進(jìn)行控制。 作為唯一的客戶接入點(diǎn)，服務(wù)器需要仔細(xì)設(shè)計(jì)以提高SSLVPN架構(gòu)的性能。在連接建立階段主要是公鑰算法影響性能，而在數(shù)據(jù)傳輸階段主要是加解密操作影響性能，相應(yīng)的給出了連接重用，數(shù)據(jù)包壓縮，添加硬件加速卡的方法來提高服務(wù)器的性能。經(jīng)測試，改進(jìn)后的SSLVPN系統(tǒng)簡單易用，實(shí)現(xiàn)了對(duì)大多數(shù)傳統(tǒng)應(yīng)用程序的支持，解決了SSLVPN的應(yīng)用范圍受限問題。