基于云的跨自治域安全訪問策略研究

薛樂梅

摘要：自治域間的互通通常采用邊界網關協議BGP協議。本文分析了跨自治域通信所面臨的安全問題，并提出了對應的解決方案。

關鍵詞：自治域系統;網絡安全;加密;云

中圖分類號：TP393.1 文獻標識碼：A 文章編號：1007-9416（2018）11-0175-02

0 引言

目前，因特網協議（IP，Internet Protocol）骨干網絡多采用外部邊界網關協議（EBGP，External Border Gateway Protocol）實現不同自治系統（AS，Autonomous System）間的互通，采用內部邊界網關協議（IBGP，Inner Border Gateway Protocol）實現自治系統內部的業務承載。

網絡技術的發展就像一把雙刃劍，一方面帶給用戶前所未有的便利，另一方面也引入了不可低估的安全威脅。從網絡安全而言，跨自治域通信易出現信息泄露或被非法篡改。為了確保自治域內的資源安全性，通常僅在域內分享需要進行安全保障的信息，在域間分享的為普通信息，導致自治域外部用戶僅能訪問普通信息。然而，隨著網絡應用與業務的縱深發展，自治域間需要實現關鍵業務的交互。因此，如何改善自治系統間的訪問安全是本領域的當務之急。

1 自治系統面臨的主要安全威脅

基于自治系統網絡的特點，其面臨的網絡安全威脅主要包括：自治域內部安全、域內主節點故障導致的安全威脅、跨域訪問安全、節點接入安全等。

目前，通過IPSec、L2TP等確保數據傳輸安全。然而，通過預配置模式配置的IPSec策略存在更新慢、易于出錯等問題。本文提出基于云的跨自治域安全訪問策略，其能夠確保跨域訪問信息的安全性，并能夠實現安全策略的實時動態更新。

2 解決方案

2.1 可信云服務器系統策略

自治域間各邊界節點基于BGP協議進行跨域消息轉發的過程中，存在消息泄露或被篡改的風險，因此，可考慮配置如圖1所示的基于云的集中控制轉發系統，以配置用于集中控制轉發的云服務器系統，云服務器系統中各云服務器互為冗余備份，且在云服務器間進行主、備選舉，可選取性能最優的云服務器作為主用云服務器，其余均配置為備用云服務器，主用云服務器和其余備用云服務器組成保護組，保護組內的云服務器間采取雙向認證策略，以確保云服務器系統的安全、可信。進一步，為了提高數據處理能力，可以設置保護組集群，當處理任務超過本保護組最大處理能力閾值時，將處理任務切換至其他保護組集群處理。

2.2 基于云的集中控制轉發策略

當自治域系統內的節點需要訪問域外的資源時，則通過本域邊界節點統一將消息發送至云服務器系統，云服務器系統中的主用服務器接收到消息后，將消息進一步轉發至目的自治域，最終，由目的自治域的邊界節點將消息發送至本域內的目的節點。

考慮到消息轉發過程中的信息泄露威脅，主用云服務器在系統初始化時，可將安全策略分發至各個自治域的邊界節點，各自治域邊界節點在進行自身安全策略的配置的同時，通過廣播消息將安全策略廣播至域內節點，域內節點在完成安全策略的配置后，發送配置完成響應消息至邊界節點，最終，各邊界節點向主用云服務器反饋本域安全策略配置完成消息。

具體的安全策略可配置為：（1）加解密策略;（2）完整性檢測策略。

（1）加解密策略：當本域內節點需要跨域訪問目的節點時，使用云服務器下發的安全策略中的會話密鑰將消息明文加密為消息密文，并使用云服務器下發的公鑰加密會話密鑰以生成密鑰密文，將消息密文、密鑰密文打包為數據包，發送至邊界節點，邊界節點識別數據包的目的節點為域外節點，則使用hash算法生成本域ID的運算值以及目的域ID的運算值，將本域ID的運算值以及目的域ID的運算值添加至數據包中提交給云服務器;云服務器接收到數據包后，基于本地存儲的可信安全域列表匹配本域ID的運算值以及目的域ID的運算值，當匹配成功時，則表明本域、目的域均為可信安全域，再利用各域ID的運算值與轉發路徑的映射表，將目的域ID的運算值與該映射表進行匹配，匹配成功后，將數據包按照匹配到的路徑轉發至目的域邊界節點，目的域邊界節點接收到數據包后，使用自身私鑰解密密鑰密文，以得到會話密鑰，再使用會話密鑰解密消息密文，以得到消息明文。由于消息在傳輸中均以密文經打包后進行傳輸，且域ID在傳輸中以域ID的運算值進行傳輸，降低了消息以及域ID被泄露的風險。

（2）為了確保消息在傳輸中沒有被篡改，在目的節點接收到消息后，對消息執行完整性檢測。云服務器向各節點下發的安全策略中要求各節點在發送消息時配置本地時間戳，因此，目的節點可基于接收到的消息中的時間戳來對消息完整性進行驗證。

2.3 動態安全策略更新技術

云服務器系統能夠實時動態的對安全策略進行更新，通過各自治域反饋的安全漏洞以及通過遠程數據中心實現安全策略的動態實時更新。

2.4 基于令牌和保活協議的身份認證技術

考慮到云服務器系統安全，可進一步配置CA服務器對云服務器系統中各云服務器進行安全身份認證，在認證通過后，CA服務器向云服務器下發帶有期限的令牌，且云服務器需要定時向CA服務器發送攜帶有所述安全令牌的心跳消息，CA服務器能夠基于所述心跳消息對云服務器的性能狀態進行監測，當未接收到云服務器的心跳消息時，進行保護組內的冗余切換;當發現令牌過期時，需要重新對云服務器進行身份認證。當CA服務器接收到當前保護組內主用云服務器所反饋的處理任務超過最大處理能力閾值的消息時，CA服務器將任務切換至其他保護組處理。

3 結語

本文從跨自治域訪問的安全角度簡要闡述了自治域網絡的特點，以及跨自治域訪問所面臨的網絡安全威脅，然后針對安全威脅提出了對應的安全方案。

參考文獻

[1]石穎.基于SSL協議的VPN技術的研究與實現[J].電腦知識與技術，2009，5（19）：5121-5123.

[2]賈亞軍 等.局域網環境下安全準入認證方法的研究[J].計算機系統應用，2007，26（4）：5-8.

[3]王瑞，等.入侵檢測系統模型研究與分析[J].計算機工程與應用，2003，30（17）：143-149.

Research on cloud-based cross-autonomous security access strategy

XUE Le-mei

（Patent examination cooperation guangdong center of the patent office， CNIPA，Guangzhou Guangdong? 510530）

Abstract：Interworking between autonomous domains usually uses the Border Gateway Protocol. This paper analyzes the security issues faced by cross-autonomous communication and proposes corresponding solutions.

Key words：autonomous system; network security; encryption; cloud