黄超++赵建平++韦勇钢

摘 要：文章分析研究Netlink机制对于Linux内核IPSec服务的支持，提出了一种基于Netlink消息通信机制的IPSec VPN实现方案。方案由内核空间IPSec服务模块和用户空间IPSEC管理软件组成，两者通过Netlink进行通信，并为IPSec VPN提供了灵活、高效的IKE协商机制和安全可靠IP数据包传输保障。

关键词：Netlink；IPSec VPN；IKE协商；用户空间；内核空间

中图分类号：TP393 文献标识码：A

1 引言

VPN即虚拟专用网，是利用开放、不安全的公用网络作为基本传输介质，通过采用隧道封装、信息加密、用户认证和访问控制等技术形成专用的虚拟链路实现对信息传输过程的安全保护，从而向用户提供类似专用网络安全性能的网络服务技术。

IPSec是Internet工程任务组IETF定义的一套安全标准，包括一系列安全协议，为IP数据包传输提供安全保障。Linux 虚拟地址空间为0到4G，划分为内核空间和用户空间两部分。内核空间包括最高的1G字节，而用户空间包括较低的3G字节。

基于Linux 的IPSec VPN由内核IPSEC服务模块和用户空间IPSec管理软件组成。内核IPSec模块在内核提供IP数据包的地址验证、数据完整性校验，数据机密性保护等业务，用户空间IPSec管理软件执行IKE密钥协商，密钥配置等业务。其中IKE密钥协商用于产生通信双方可用于加解密的工作密钥。

Netlink是Linux提供的一种消息通信机制，用于内核空间和用户空间之间的信息传输。本文提出了一种基于Netlink消息通信机制的IPSec VPN的实现方案。本方案重点是设计用户空间IPSec管理软件，实现安全策略管理配置等功能，内核模块采用Linux内核原生IPSec服务模块。……