基于IPSec的VPN技術(shù)穿越NAT的研究與設(shè)計(jì).pdf

1、本文在闡述了IPSecVPN和NAT技術(shù)原理的基礎(chǔ)上，詳細(xì)分析研究了兩種技術(shù)無(wú)法兼容的原因。針對(duì)這些造成不兼容的原因，分析了可能的幾種解決方案。通過(guò)對(duì)這些方案的對(duì)比，以費(fèi)用最優(yōu)化為原則，并考慮到目前中小型企業(yè)的實(shí)際需求，確定了使用UDP封裝并配合對(duì)IKE協(xié)議的修改和擴(kuò)充以實(shí)現(xiàn)NAT穿越的方法。利用這種方法，可以使附加的數(shù)據(jù)處理降至最低，同時(shí)對(duì)現(xiàn)有的NAT設(shè)備不需重新部署，是IPv6正式實(shí)施前一個(gè)較好的解決方案。從用戶的角度來(lái)說(shuō)，此種方案

2、也可以在較少投資的前提下，實(shí)現(xiàn)基于IPSec的VPN技術(shù)與NAT技術(shù)的有機(jī)融合。 根據(jù)在進(jìn)行NAT穿越過(guò)程中對(duì)數(shù)據(jù)的處理，提出了NAT穿越方案的總體架構(gòu)。在這個(gè)總體架構(gòu)中較為清晰地描述了在現(xiàn)有協(xié)議框架下如何進(jìn)行功能上的修改和擴(kuò)充以完成對(duì)NAT設(shè)備的穿越。指出了實(shí)現(xiàn)基于IPSec的VPN和NAT技術(shù)兼容的兩個(gè)必須要解決的關(guān)鍵問(wèn)題：UDP數(shù)據(jù)封裝和IKE協(xié)議的修改和擴(kuò)充。 針對(duì)這兩個(gè)關(guān)鍵問(wèn)題，詳細(xì)闡述了在IPSec數(shù)據(jù)包的基

3、礎(chǔ)上進(jìn)行UDP封裝的方法和數(shù)據(jù)格式；對(duì)于在IPSec協(xié)議體系中起到關(guān)鍵作用的IKE協(xié)議的工作模式及其工作過(guò)程也作了詳細(xì)說(shuō)明，同時(shí)研究了如何進(jìn)行IKE協(xié)議功能的擴(kuò)充和完善以完成相應(yīng)的要求，并且針對(duì)實(shí)現(xiàn)NAT穿越的幾個(gè)重要步驟如VendorID的校驗(yàn)、NAT設(shè)備的檢測(cè)、NAT-D數(shù)據(jù)包的Hash值的生成等均給出了詳細(xì)的分析和示意編碼。 結(jié)合目前中小型企業(yè)網(wǎng)絡(luò)的實(shí)際需求，在不需要對(duì)現(xiàn)有NAT設(shè)備進(jìn)行重新部署的前提下，提出了使用UDP數(shù)