一個基于IPSec VPN的農行辦公網安全方案.pdf

1、虛擬專用網(VirtualPrivateNetwork，簡稱VPN)綜合了傳統(tǒng)數據網絡的性能(隱秘、私有和服務質量等)和共享公有數據網的優(yōu)點(簡單和低成本)，因而成為網絡發(fā)展的新趨勢。目前基于IPSec協議的VPN技術是較為完善的網絡安全技術。論文基于此項技術解決一個全省范圍內農行系統(tǒng)機關辦公網絡的安全通訊問題，設計一套安全解決方案。 針對該農行網絡特點，設計一個通過Internet連接的VPN系統(tǒng)，可實施安全、快捷通訊；深入分

2、析VPN技術和內聯網風險性的同時，利用IPSec隧道技術構建農行網絡系統(tǒng)安全平臺，從而保證內聯網的信息安全傳輸。基于農行機關網的IP地址是利用NAT技術的內部地址此現狀，農行辦公網IPSec實施過程中存在三個關鍵問題：AH協議為IP頭提供保護，要求傳輸中不能改變，而NAT進行地址翻譯時修改了源地址字段，必然導致IPSec認證失效；ESP協議對數據包進行加密的同時，TCP頭也被加密，NAT就無法重新計算TCP校驗和，從而導致校驗失??；使用

3、IKE協議建立維護SA時，由于NAT的插入，也會導致協議失效。針對上述問題，設計一種有效的解決方案：即利用IP_in_IP隧道協議，在網關與網關間搭建一條IP_in_IP隧道，使網關兩端的IP網絡能透明穿過隧道交互數據。 農行網的安全隱患經進一步深入分析后，在確保網絡邊界設備即網關安全的情況下，構建一個安全的網絡平臺。此平臺采用主動安全防御體系和被動防御體系相結合的思想，部署了安全保護機制，有效避免不安全因素穿過或繞過網關此類隱