IKE實(shí)現(xiàn)方案
IKE實(shí)現(xiàn)方案
1 RFC文檔對(duì)IKE實(shí)現(xiàn)的要求
2 實(shí)現(xiàn)的總體思想
IKE是作為一個(gè)守護(hù)進(jìn)程運(yùn)行的，負(fù)責(zé)處理用戶(hù)的管理配置命令、同協(xié)商實(shí)體的交互、IKE數(shù)據(jù)報(bào)的處理以及同內(nèi)核的SADB的交互。整個(gè)系統(tǒng)就按照功能劃分成幾個(gè)模塊：IKE管理模塊、IKE驗(yàn)證模塊、消息處理模塊。其中消息處理模塊按照消息的來(lái)源又分為幾個(gè)子模塊：網(wǎng)絡(luò)消息處理模塊、內(nèi)核消息處理模塊、狀態(tài)消息處理模塊和用戶(hù)命令處理模塊。為了各個(gè)模塊能對(duì)協(xié)商的數(shù)據(jù)進(jìn)行共享，設(shè)計(jì)了IKE狀態(tài)庫(kù)模塊，能夠提供統(tǒng)一的接口實(shí)現(xiàn)查詢(xún)，更新、刪除、添加等操作。IKE作為一個(gè)應(yīng)用層協(xié)議實(shí)現(xiàn)在應(yīng)用層，但是需要同內(nèi)核SADB進(jìn)行SA消息的傳遞所以要提供了一個(gè)接口。本方案中實(shí)現(xiàn)了PF_KEY協(xié)議作為內(nèi)核和IKE守護(hù)進(jìn)程的接口。

左圖描述了本系統(tǒng)的基本框架。
其中用戶(hù)管理接口是整個(gè)IPSEC網(wǎng)關(guān)配置的一個(gè)子界面，提供用戶(hù)一個(gè)友好管理、配置、監(jiān)視界面。
UDP/500表示IKE守護(hù)進(jìn)程是利用UDP協(xié)議的500端口進(jìn)行網(wǎng)絡(luò)通信。

2.1 模塊功能簡(jiǎn)要介紹
◆ 管理模塊負(fù)責(zé)處理用戶(hù)的命令并調(diào)用對(duì)應(yīng)的處理函數(shù)，分析運(yùn)行數(shù)據(jù)并返回給用戶(hù)管理接口。
◆ 消息服務(wù)器模塊負(fù)責(zé)監(jiān)控幾個(gè)消息隊(duì)列，對(duì)其中的事件調(diào)用注冊(cè)的處理函數(shù)。消息隊(duì)列分為管理消息，網(wǎng)絡(luò)消息，內(nèi)核消息以及SA狀態(tài)消息。
◆ IKE驗(yàn)證模塊負(fù)責(zé)驗(yàn)證IKE協(xié)議的載荷數(shù)據(jù)，并構(gòu)造響應(yīng)或請(qǐng)求數(shù)據(jù)報(bào)文。
◆ IKE狀態(tài)庫(kù)記錄IKE運(yùn)行期間的需要的協(xié)商信息和當(dāng)前的SA信息。
2.2 模塊的交互關(guān)系
◆ 管理模塊與消息處理模塊
管理模塊能夠把管理員的某些命令傳遞給消息處理模塊的管理消息處理子模塊。通信機(jī)制是利用AF_UNIX socket協(xié)議簇。系統(tǒng)創(chuàng)建一個(gè)臨時(shí)運(yùn)行文件，然后管理模塊和管理消息子模塊都創(chuàng)建一個(gè) AF_UNIX socket int sock = socket(AF_UNIX, SOCK_STREAM, 0)。管理模塊向此socket發(fā)送管理消息，管理消息處理子模塊監(jiān)聽(tīng)此socket。
◆ 消息處理模塊與IKE驗(yàn)證模塊
網(wǎng)絡(luò)消息處理模塊分析并提取數(shù)據(jù)，組織成msg_digest數(shù)據(jù)結(jié)構(gòu)，然后把此數(shù)據(jù)作為參數(shù)調(diào)用IKE驗(yàn)證模塊進(jìn)行處理。IKE驗(yàn)證模塊返回后繼處理標(biāo)志，把構(gòu)建的響應(yīng)載荷或失敗代碼添加到msg_digest結(jié)構(gòu)中。
數(shù)據(jù)結(jié)構(gòu)（概念結(jié)構(gòu)）如下：
struct msg_digest {
原始數(shù)據(jù)包
消息到達(dá)的接口
發(fā)送者ip地址
發(fā)送者端口號(hào)
IKE載荷
加密標(biāo)志
包對(duì)應(yīng)的協(xié)商對(duì)象的狀態(tài)
當(dāng)前狀態(tài)對(duì)象
響應(yīng)報(bào)文載荷
驗(yàn)證失敗原因
}
3 各個(gè)模塊的實(shí)現(xiàn)
3.1 管理模塊的實(shí)現(xiàn)
3.1.1 設(shè)計(jì)思想
管理模塊對(duì)上提供系統(tǒng)的運(yùn)行狀態(tài)和狀態(tài)設(shè)置服務(wù)，對(duì)下則提供系統(tǒng)需要的各種初始參數(shù)，包括自身和遠(yuǎn)程安全網(wǎng)關(guān)的身份信息、密鑰信息、協(xié)商策略、協(xié)商時(shí)機(jī)，也包括了必要的防火墻策略設(shè)置信息以增強(qiáng)安全性。模塊設(shè)計(jì)能夠進(jìn)行實(shí)時(shí)監(jiān)控，實(shí)時(shí)反映系統(tǒng)的運(yùn)行狀態(tài)、及時(shí)響應(yīng)網(wǎng)管的命令。
配置文件記錄系統(tǒng)的初始運(yùn)行參數(shù)，它記錄的是靜態(tài)且一般為固定的信息。日志文件記錄系統(tǒng)運(yùn)行以來(lái)的所有事件，包括策略更改、狀態(tài)的更改、網(wǎng)絡(luò)異常事件。
管理模塊對(duì)上層提供了命令接口可以直接地動(dòng)態(tài)裝載和更改協(xié)商信息、啟動(dòng)協(xié)商，刪除SA。模塊這些命令數(shù)據(jù)，再把參數(shù)傳遞給消息處理模塊來(lái)具體執(zhí)行。

IKE實(shí)現(xiàn)方案