網(wǎng)絡(luò)地址轉(zhuǎn)換與IP安全協(xié)議沖突問題分析與解決.pdf

1、國(guó)際互聯(lián)網(wǎng)的快速發(fā)展導(dǎo)致了IPSEC技術(shù)和NAT技術(shù)的廣泛應(yīng)用.IPSEC技術(shù)能夠?yàn)镮P報(bào)文提供數(shù)據(jù)源身份驗(yàn)證,數(shù)據(jù)完整性檢查和數(shù)據(jù)保密功能.NAT技術(shù)能有效的緩解目前國(guó)際互聯(lián)網(wǎng)地址資源緊缺問題.它們都是很有用的技術(shù),但由于NAT需要修改IP報(bào)文,而IPSEC則要保護(hù)IP報(bào)文,防止它受到修改,因此它們不能一起友好工作,這將會(huì)影響國(guó)際互聯(lián)網(wǎng)的發(fā)展,必須設(shè)計(jì)一個(gè)能讓它們一起友好工作的解決方案.目前主要有兩種思路能讓它們一起友好工作:RSIP

2、和NAT-TRAVERSAL.RSIP是通過對(duì)NAT進(jìn)行更改來(lái)解決它們之間的不兼容問題,而NAT-TRAVERSAL是對(duì)IPSEC進(jìn)行擴(kuò)展來(lái)解決這個(gè)問題.通過對(duì)它們進(jìn)行比較,NAT-TRAVERSAL具有實(shí)施代價(jià)低和與普通IPSEC系統(tǒng)互操作性好等優(yōu)點(diǎn).通過對(duì)NAT-TRAVERSAL的分析與改進(jìn)提出了一種基于NAT-TRAVERSAL的解決方案.在該方案中采用名字標(biāo)識(shí)位于內(nèi)部網(wǎng)絡(luò)中的主機(jī),并在IKE協(xié)商過程中建立名字和IP地址與端口號(hào)

3、的對(duì)應(yīng)關(guān)系,解決了內(nèi)部主機(jī)的標(biāo)識(shí)問題.通過對(duì)標(biāo)準(zhǔn)IKE的擴(kuò)展實(shí)現(xiàn)了探測(cè)對(duì)方是否支持NAT-TRAVERSAL,探測(cè)IPSEC保護(hù)通路上是否存在NAT以及探測(cè)NAT位置的功能.采用UDP封裝技術(shù)使得NAT網(wǎng)關(guān)把UDP封裝的IPSEC包當(dāng)成普通的UDP包,這樣能讓IPSEC包穿越NAT網(wǎng)關(guān).并利用內(nèi)建NAT技術(shù)解決了NAT-TRAVERSAL的傳輸模式下端口沖突問題.最后應(yīng)用NAT-KEEPLIVE技術(shù)保證了IPSEC保護(hù)的通訊連接在通訊過