1、Internet的互聯(lián)性和開放性使信息的交換與共享成為現(xiàn)實，為社會帶來巨大利益的同時，也不可避免地帶來許多安全隱患。IPSec協(xié)議是IETF為網(wǎng)絡(luò)層提供安全服務(wù)而定義的一組相關(guān)協(xié)議?；贗PSec構(gòu)建VPN網(wǎng)關(guān)成為一種主流的VPN技術(shù)，然而，IPSec協(xié)議的處理將會大大增加網(wǎng)關(guān)的負(fù)載，因此，IPSec VPN網(wǎng)關(guān)的實現(xiàn)要特別講究優(yōu)化設(shè)計以提升效率。利用Linux的Netfilter機制，可以插入一個內(nèi)核模塊來實現(xiàn)網(wǎng)絡(luò)新特性的擴展。另外，

2、Linux內(nèi)核穩(wěn)定而高效，開放源代碼，既降低了成本、又掌握了系統(tǒng)的安全。論文研究Linux下基于Netfilter機制的IPSec處理，完成的工作包括：
　　 研究了Linux下開源的IPSec協(xié)議簇的實現(xiàn)——S/WAN項目中KLIPS模塊的體系結(jié)構(gòu)，重點研究了Openswan的內(nèi)核空間模塊和用戶空間模塊的源代碼實現(xiàn)，總結(jié)出Openswan的系統(tǒng)框架、IPSec的實現(xiàn)方法，進(jìn)而結(jié)合IPSec的實現(xiàn)機制，指出了Openswan中I

3、PSec實現(xiàn)的架構(gòu)缺陷。
　　 研究了Linux內(nèi)核的網(wǎng)絡(luò)模塊處理機制，TCP/IP處理流程以及Netfilter的HOOK機制，重點研究了Netfilter機制的實現(xiàn)過程，提出了一種基于Netfilter機制的IPSec處理框架?；谠摽蚣?，可以將整個IPSec協(xié)議的實現(xiàn)融入到IP協(xié)議棧中，在不影響原操作系統(tǒng)協(xié)議棧的前提下，既能利用Linux內(nèi)核網(wǎng)絡(luò)協(xié)議棧已實現(xiàn)的功能，又擁有了內(nèi)核處理的高效性，實現(xiàn)更為合理，更具有可操作性。<

4、br>　　 研究和實現(xiàn)了基于Netfilter機制的IPSec相關(guān)處理模塊的處理流程和模塊框架，利用Linux開放源代碼的特性以及Netfilter的HOOK機制，借助于Openswan開源軟件，改造其KLIPS模塊形成新的IPSec相關(guān)處理模塊、函數(shù)，利用可加載內(nèi)核模塊技術(shù)動態(tài)加載其到內(nèi)核空間，在HOOK點上注冊IPSec相關(guān)處理模塊、函數(shù)，使得IPSec處理加入到操作系統(tǒng)內(nèi)核中的IP數(shù)據(jù)包處理過程的適當(dāng)位置，形成Linux下新的、

5、具有高效的IPSec處理功能的IP層。
　　 搭建了虛擬機環(huán)境下的IPSec VPN實驗系統(tǒng)，對論文提出的改進(jìn)方案進(jìn)行了初步的功能測試和性能測試，并對測試結(jié)果進(jìn)行了分析。實驗結(jié)果表明：利用本文改進(jìn)的IPSec VPN網(wǎng)關(guān)建立的ESP隧道進(jìn)行網(wǎng)絡(luò)通信，可以有效保護(hù)網(wǎng)關(guān)之間信息傳輸?shù)陌踩?，與Openswan的虛接口機制相比，該方案提高了IPSec處理的效率，加快了數(shù)據(jù)包在網(wǎng)關(guān)上的傳送速度，使IPSec VPN網(wǎng)關(guān)的性能在吞吐量及響應(yīng)