**************************************************************** 作者的話: 本文系在閱讀Linux源碼及一些相關資料的基礎上寫成的。 歡迎就文章的各個方面提出建議和批評意見,作者希望更多的交流和探討。 歡迎在保留原文完整性的前提下在網上轉貼,需部
****************************************************************
作者的話:
本文系在閱讀Linux源碼及一些相關資料的基礎上寫成的。
歡迎就文章的各個方面提出建議和批評意見,作者希望更多的交流和探討。
歡迎在保留原文完整性的前提下在網上轉貼,需部分引用請通知作者。
傳統媒體轉載和引用此文,請務必經過作者同意。
歡迎在實際的應用中使用此文提出的思想,希望同時知會作者。
作者信箱:
[email protected] 歡迎來信!!
*****************************************************************
O、
由於網絡的日益普及,網絡的安全成為目前的熱門話題。本文對隧道技術的分析,
就側重安全領域,對利用隧道技術實現虛擬專網提出建議。
為什麼需要IP隧道?沒有接觸過這個概念的人自然提出這樣的疑問。實際上概念
最初的提出很簡單,為了在TCP/IP網絡中傳輸其他協議的數據包。設想IPX協議或
X.25封裝的數據包如何通過Inte
.net網進行傳輸,在已經使用多年的橋接技術中是
通過在源協議數據包上再套上一個IP協議頭來實現,形成的IP數據包通過Internet後
卸去IP頭,還原成源協議數據包,傳送給目的站點。對源協議數據來說,就如被IP
帶著過了一條隧道。這種技術在業余無線網絡(Amateur Packet Radio network,
應該怎麼翻,請告訴我)得到了最廣泛的應用。
利用IP隧道來傳送的協議包也包括IP數據包,本文主要分析的IPIP封包就是如此,從字
面來理解IPIP就對了,就是把一個IP數據包又套在一個IP包裡。為什麼要這麼做呢?
多此一舉嘛。其實不然,見過一些應用就會明白,移動IP(Mobile-IP)和IP多點廣播
(IP-Multicast)是兩個通常的例子。目前,IP隧道技術在構築虛擬專網( Virtual
Private Network)中也顯示出極大的魅力。本文也將對利用IP隧道技術構築VPN做
簡單設想。
背景:隧道的多種理解和實現
Internet的研究者多年前就感到需要在網絡中建立隧道,最初的理解是在網絡
中建立一條固定的路徑,以繞過一些可能失效的網關。可以說,隧道就是一條
特定的路徑。
這樣的隧道是通過IP報頭中的源路由選項來實現的,在目前看來,這個方法的
缺陷 十分明顯。要設置源路由選項就必須知道數據包要經過的確切路徑,而且目前
多數路由實現中都不支持源路由。
另一個實現隧道的機制是
開發一種新的IP選項,用來表明源數據包的信息,原IP頭
可能成為此選項的一部分。這種隧道的意義與我們所說的隧道已十分接近。但它的
不足在於要對目前IP選項的實現和處理做較大的修改,也缺乏靈活性。
最後常用的一種實現方法是開發一種新的IP封包協議,仍然套用當前的IP頭格式。
通過IP封包,不須指明網絡路徑,封包就能透明地到達目的地。也可以通過封包空
間把未直接連接的機器綁在一起,從而創建虛擬網絡。這種方法易行、可靠、可擴
展性強,Linux采用了這一方法,這也是目前我們所理解的隧道思想。
一、
封包協議的結構和實現
封包協議的實現原理十分簡單。先看看通過隧道傳送的數據報在網絡中如何流動,
如圖一。
為了敘述簡便,我把在隧道中傳送的IP數據包稱為封包。
-------------- -----------
/ 子網A \ / 子網C \
/ \ / \
| | | |
| & | | |
| + +++++ | | ***** |
| +++++ + | | * * |
| + | | ***** * |
\ + / ----------- \ * * / ----------
\ ++> # * **>(#) * ***> # ++++ \
-------------- / * * \ ------------ / + \
| * * | | + |
| * * | | + |
| ***** * | | +++++++ |
| ***** | | V |
| | | & |
\ / \ /
\ 子網B / \ 子網D /
----------- ----------
++++++ 原數據報
****** 封裝後的數據包(封包)
# 封裝/解封
& 用戶主機
圖一. 封包協議實現模型
看圖中的設備 #,分別處於隧道的兩端,分別起打包(封裝)和解包(解封)
的作用,在整個數據包的傳送路徑中,除了隧道兩端的 # 設備,其他網關把
數據包看成一個普通的IP包進行轉發。
設備 # 就是一個封包基於的兩個實現部件--封裝部件和解封部件。封裝和解封
部件(設備)都應當同時屬於兩個子網。封裝部件對接收到的數據報加上封包頭
,然後以解封部件地址作為目的地址轉發出去;而解封部件則在收到封包後,還
原原數據報,轉發到目的子網。
隧道的源端(封裝部件)對進入隧道的數據包進行封裝,形成封包。一個完整
的封包如圖二所示。
/ +-----------------+
| | 封包IP頭 |
封包頭 | +-----------------+
| | 封包協議頭 |
\ +-----------------+
/ | 原協議頭 |
| +-----------------+
| | |
原數據報 | | 原協議數據 |
| . .
| . .
| | |
\ +-----------------+
圖二. 封包結構
二、
Linux中的實現
本人分析的版本是Linux2.0.34(RedHat5.2采用)。
在Linux中,隧道的實現主要基於兩個文件new_tunnel.c和ipip.c
同時Linux定義了一種新的協議類型--IPIP(IPPROTO_IPIP),與上面所說封包
類型類似。
基本思路
在Linux中IP Tunnel的實現也分為兩個部件:封裝部件和解封部件,分別司職發送和接
收。但這兩個部分是在不同的層次以不同的方式實現的。
封裝部件是在數據鏈路層以虛設備的方式實現。所有源代碼見
/usr/src/
linux/drivers/net/new_tunnel.c
為實現封裝,Linux實現一個稱為tunl的網絡設備(類似loopback設備),此設備
具有其他網絡設備共有的特征,對於使用此設備的上層應用來說,對這些網絡設備
不加區分,調用及處理方法當然也完全一樣。
tunnel_init()和tunnel_xmit()是new_tunnel.c中的兩個主要過程。
tunnel_init()初始化與設備tunl相關的device結構。
而tunnel_xmit()在從tunl設備發送數據時被調用,tunl設備作為實現IP隧道
技術的封裝部分,在此過程中完成對相應的數據報進行封裝所需的全部操作,
形成IPIP類型的IP包,並重新轉發此數據包(ip_forward())。
解封部件在IP的上層實現,系統把它作為一個虛的傳輸層(實際上與傳輸層毫無
關系),具體處理見文件
/usr/src/linux/net/ipv4/ipip.c。
我們知道,每一個IP數據包均交由ip_rcv函數處理,在進行一些必要的判斷後,ip_rcv
對於發送給本機的數據包將交給上層處理程序。對於IPIP包來說,其處理函數是
ipip_rcv(就如TCP包的處理函數是tcp_rcv一樣,IP層不加區分)。也就是說,當
一個目的地址為本機的封包到達後,ip_rcv函數進行一些基本檢查並除去IP頭,然後
交由ipip_rcv解封。
ipip_rcv所做的工作就是去掉封包頭,還原數據包,然後把還原後的數據包放入相應的
接收隊列(netif_rx())。
從以上IP Tunnel實現的思想來看,思路十分清晰,但由於IP Tunnel的特殊性,其
實現的層次並不單純。實際上,它的封裝和解封部件不能簡單地象上面所說的那樣
分層。tunl設備雖應算進鏈路層,但其發送程序中做了更多的工作,如制作IPIP頭
及新的IP頭(這些一般認為是傳輸層或網絡層的工作),調用ip_forward轉發新包
也不是一個網絡設備應當做的事。可以說,tunl借網絡設備之名,一把抓干了不少
工作,真是‘高效’。而解封部件宏觀上看在網絡層之上,解出IPIP頭,恢復原數據包
是它分內的事,但在它解出數據包(即原完整的協議數據包)後,它把這個包
放入相應的協議接收隊列。這種事可不是一個上層協議干的,這是網絡設備中斷
接收程序的義務。看到了,在這點上,它好象到了數據鏈路層。
是不是有點亂,隧道機制就是這樣,你有沒有更好的辦法?
三、
為實現VPN的擴展
實際上Linux只為實現隧道機制提供了一個框架,圖二中的封包協議頭在
Linux中被忽略了,也就是說,封包頭只含封包IP頭,其後緊跟原IP數據包。
這樣的結構用於傳輸公開數據沒有關系,但對於一個VPN來說,安全保密是
不可缺少的重要功能。我們希望通過隧道的數據可靠且不可竊取和冒充的,
那麼,加密和認證就必不可少。
為實現這一構想,設計以下封包協議頭:
0 4 8 16 24 31
+-----+-----+-----------+------------------------+
| ver |type | hlen | OldPacketLen |
+-----------------------+------------------------+
| DeviceID | EncapID |
+-----------------------+------------------------+
| Flags | CheckSum |
+------------------------------------------------+
| IPIP Options( If any ) |
+------------------------------------------------+
. | padding |
. .
+------------------------------------------------+
圖三、 IPIP頭設想圖
ver: 版本號,利於擴展
type: 用於建立不同目的的隧道(可能處理上有差別)
OldPacketLen: 進入隧道的原數據包長度
DeviceID: 對數據包進行封裝的設備標識
EncapID: 此封包的ID號
Flags: 標志位,共16位,初步定義如下:
0 保留
1 有否加密
2 有否做摘要
3 有否簽名
4 保留
5 有否傳送消息密鑰
6 消息密鑰有否加密
7 消息密鑰是否需保留
8-15 保留
CheckSum: 頭校驗
IPIP Options: 用來傳送一些必要的數據,比如消息密鑰、簽名等
格式: +-------------------------------------+
| 類型 | 長度 | 數據 ... |
+-------------------------------------+
好了,有了這個東西,我們就可以擴展Linux IP Tunnel為我們的VPN服務了。
首先,改寫new_tunnel.c和ipip.c兩個文件,加入對IPIP頭的處理。
接著,我們要實現一種密鑰的管理和傳送機制。
當然,對稱密鑰是必需的,而對IP數據包加密要使用序列密碼。從全體考慮,
我們可以提出建立VPN的邏輯步驟;
1、准備工作:建網安裝系統完成配置等等
2、隧道的兩端分別向對方發送自己的公開密碼和設備號
3、如有必要,產生序列密碼,後加密簽名傳給對方
4、正常通信,----放心,你的數據已經很保險了。
在一個VPN的隧道中,一個封包的格式應如圖四所示。
/ +-----------------+
| | 封包IP頭 |
封包頭 | +-----------------+
| | 封包協議頭 |
\ +-----------------+
/ | |
| | 原協議頭 |
| | 及 |
封包數據 | | 原協議數據 |
| . (密文) .
| . .
| | |
\ +-----------------+
圖四. VPN封包結構
你的幾種使用方法。
事情往往不能兩全其美,你在安全強度和通信速度上必須作出選擇,
(不然你就需要在安全強度和Money的耗費中做選擇。)
使用這樣的協議,根據你的
需求不同,你可有不同的使用方法,下面列舉
一些:
0、跨Internet的公司多個內部網之間進行通信,保密性並不重要
直接使用原框架機制,無任何加密措施
這樣速度快、效率高,公司也不用申請多個IP地址,方便可行
1、一般性的商業應用,具有保密要求
利用事先產生的序列密碼,每次對原數據包加密
安全度提高了,是一種十分實用的方法。只要強度足夠,一般很難破譯
速度快
2、密碼不變的方式你認為不夠安全
你可以自己實現一種密碼傳送方法,每隔一段時間更換一次密碼。
其中一些握手關系需要完善,有興趣的歡迎探討。
如果發展成熟,此法相信很有前途。
4、高度機密領域
敬請使用一次一密,並進行每次簽名。
每次產生新密鑰和簽名十分費時,在目前我國Internet網絡的速度下
幾乎不可行。
但相信有此需要的部門也能夠設法提高其網絡帶寬,讓網絡狀況適合
這種應用。
另外,當然還可以就加密強度自身作出選擇,比如選擇128位,還是512位、1024位
四、
待完善
主要牽涉到隧道的管理,在封包的傳送過程中如果出現錯誤是十分正常的,
當一台路由器檢測到錯誤時,它會發送一個ICMP包給隧道的發送端,但遺憾的是
ICMP返回的數據除了IP頭外,只含8個字節的上層協議信息。只憑這個難以對
ICMP信息作出反應,因此,在隧道端保留一些狀態信息是必須的。這些信息
主要包括:
隧道的另一端的可達性
隧道的擁塞狀況
隧道的MTU
同時所發送的封包信息也是需要保留的,舉例說,當一個路由不可達信息
到來時,封包的發送者要能夠找出所封裝的數據來自何方,並發送相應的ICMP包。
強調一點,MTU的更新對隧道來將很重要,因為一個靈活的隧道的下一級設備是
不定的,同時一些數據包本身也要求更改MTU。
所有這些,在Linux中的處理都不夠或根本沒有處理。大家努力呀!