基于IPSec的VPN技術穿越NAT的研究與設計.pdf

1、本文在闡述了IPSecVPN和NAT技術原理的基礎上，詳細分析研究了兩種技術無法兼容的原因。針對這些造成不兼容的原因，分析了可能的幾種解決方案。通過對這些方案的對比，以費用最優(yōu)化為原則，并考慮到目前中小型企業(yè)的實際需求，確定了使用UDP封裝并配合對IKE協(xié)議的修改和擴充以實現(xiàn)NAT穿越的方法。利用這種方法，可以使附加的數(shù)據(jù)處理降至最低，同時對現(xiàn)有的NAT設備不需重新部署，是IPv6正式實施前一個較好的解決方案。從用戶的角度來說，此種方案

2、也可以在較少投資的前提下，實現(xiàn)基于IPSec的VPN技術與NAT技術的有機融合。 根據(jù)在進行NAT穿越過程中對數(shù)據(jù)的處理，提出了NAT穿越方案的總體架構。在這個總體架構中較為清晰地描述了在現(xiàn)有協(xié)議框架下如何進行功能上的修改和擴充以完成對NAT設備的穿越。指出了實現(xiàn)基于IPSec的VPN和NAT技術兼容的兩個必須要解決的關鍵問題：UDP數(shù)據(jù)封裝和IKE協(xié)議的修改和擴充。 針對這兩個關鍵問題，詳細闡述了在IPSec數(shù)據(jù)包的基

3、礎上進行UDP封裝的方法和數(shù)據(jù)格式；對于在IPSec協(xié)議體系中起到關鍵作用的IKE協(xié)議的工作模式及其工作過程也作了詳細說明，同時研究了如何進行IKE協(xié)議功能的擴充和完善以完成相應的要求，并且針對實現(xiàn)NAT穿越的幾個重要步驟如VendorID的校驗、NAT設備的檢測、NAT-D數(shù)據(jù)包的Hash值的生成等均給出了詳細的分析和示意編碼。 結合目前中小型企業(yè)網絡的實際需求，在不需要對現(xiàn)有NAT設備進行重新部署的前提下，提出了使用UDP數(shù)