ipsec安全策略自动生成机制的研究 a study of automatic generation of ipsec security policies.pdfVIP

lPSec安全策略自动生成机制的研究 邓磊， 艾吉松 (同济大学电子与信息工程学院，上海201804) 方法之后，给出了一个自动生成零冲突IPsec策略的算法，并与文献中的其他方法进行了此较。 关键词：JPse。；安全策略；策略冲突 ofAutomaticGenerationofIPSec Po¨cies AStudy Security DENG Lei。AlJj—song 《丁。n彩渤f僧憎#y．s魄Rg协f2D『804．c黼穆 are and is a netwOrk WⅢfunction if correctIyspeciffedconfigured． Abstract：IPSectypicaIpO¨cy—enabJed8erivce，it correctIyOnly securftypoIicies is a issuehowto the autnor an to However，ittough generatepoIiclescorrectfy．AfceranaIyzjngpossibIepoHcyconflicts，thepPoposedaIgoPithm other and cOnf¨ct—free whicn aIs0cOmparedtheresul七s0fsimulatjonwith approacnes automatjca¨ygenerate pOlicies satisfya¨requirementg．We showthatit in廿1e OutperfOrmse×istingapproachesIiterature． conf¨cts Keywords：IPSec；3ecurjtypoljcie3；policy 1引言 2策略冲突问题分析 IPSec是由IETF提出的保护IP层通信的标准化协议产生策略冲突的原阑是多条策略有交集，即当一条隧 套件，其针对数据在通过公共网络时的数据完整性、安全 道的某个数据包经过一个网络节点时，被封装进了此节点 性和合法性等问题设计了一整套隧道加密和认证方案，被 策略的另一条隧道。只有在这种情况下，策略冲突才可能 Private 广泛用于在组织或企业内部构建VPN(Virtual 会发生。我们可以简化此问题，只考虑两条隧道以及他们 Network)。IPSec在IP层实现其安伞服务，直接保护所之间所有的交集关系。因为，策略冲突仅在第一条隧道的 有的数据包以达到安全目的，上层应用不需要做任何改变。 包被封装进第二条隧道时才可能发生，我们只需考虑线性 根据一个组织内部的安全需求，安全策略配置在VPN上 网络结构，即两条隧道间的一维关系。此处，我们根据数 的各安全网关或路由器上来执行所需的保护。 据包被封装的次序将两条隧道称为第一条和第二条隧道。 安全策略是一定条件下的安全规则，如何由特定需求 正确地产生安全策略是一个重要的课题，如果在某一个网 关或路由器上设置错误，数据包就会被丢弃进而造成安全 问题。策略之间可能存在冲突，不是每种可能的配置都能 满足需求。此问题首先在文献fl】中提出。因此，我们提 图1两条隧道间的交集关系 出了一个策略生成算法来产生满