基于MPLS VPN可信網(wǎng)的CE-CE成員認(rèn)證.pdf

1、隨著世界各國(guó)的組織和企業(yè)之間越來(lái)越頻繁的交流，人們對(duì)跨越廣大地理范圍的虛擬專用網(wǎng)VPN的安全性提出了越來(lái)越高的要求。MPLS VPN作為一種新的三層VPN技術(shù)，以其具有類似二層VPN的安全性而得到日益廣泛的重視。而從一個(gè)可信網(wǎng)的角度來(lái)分析當(dāng)前采用RFC 2547規(guī)范實(shí)現(xiàn)的MPLS VPN，可以發(fā)現(xiàn)對(duì)于該VPN的用戶邊界設(shè)備CE之間彼此并沒(méi)有采用任何身份認(rèn)證機(jī)制，這無(wú)形中給VPN的安全造成了潛在的安全漏洞。 針對(duì)目前的MPLS V

2、PN網(wǎng)絡(luò)安全狀況和發(fā)展需求,本文實(shí)現(xiàn)了一個(gè)基于MPLS VPN的CE和CE之間的VPN成員認(rèn)證機(jī)制。該機(jī)制主要是通過(guò)在CE路由器之間傳送一個(gè)標(biāo)志本VPN的身份認(rèn)證令牌CE-to-CE Verification Token(CVT)。CVT令牌通過(guò)BGP協(xié)議的擴(kuò)展共同體屬性來(lái)承載，當(dāng)CE發(fā)送BGP路由更新報(bào)文時(shí)，將該路徑屬性附加到路由更新中，傳到對(duì)端CE處，并在對(duì)端處對(duì)該令牌進(jìn)行驗(yàn)證。在具體的身份驗(yàn)證過(guò)程里，采用了隨機(jī)數(shù)加MD5摘要作為C