网络层身份验证机制的设计与实现

网络层安全体系框架IPSec(IP Security)在报文信息安全模型基础上提供了基于密钥的报文源验证服务。针对该服务存在的一些不足,在面向网络基础设施的安全模型基础上,提出一种网络层身份验证机制,利用机制中设计的身份标识协议和报文源身份验证机制,可保证通信实体的合法性,提供可靠的基于IP地址的报文源验证服务和基于通信实体特征信息的密钥协商机制。最后通过测试实验,阐述新机制具有的功能和性能。     

VPN网络中IPSec安全策略的形式化描述

针对虚拟专用网络中IP安全协议规则制定和配置繁杂、易出现冲突等问题,提出对IP安全协议规则集中的保护访问规则表和保护传输规则表进行形式化,进而采用图形管理的方法,开发出IP安全协议规则分析管理工具软件.通过对真实的IP安全协议规则进行分析检测,该软件判断出规则集中所存在的各类冲突.实验结果表明这种形式化模型能很好地管理IP安全协议规则.     

支持移动网络的身份验证协议研究

为了解决主机在移动过程中发生跨域时,移动网络应用层的安全性,结合移动网络的特点以及存在的安全威胁,对Kerberos域间身份验证协议进行改进,减少客户端参与的协议报文交互次数,使其适合为移动网络的应用服务提供身份验证服务,并采用形式化方法对改进的身份验证协议进行安全性验证.结果表明改进的安全协议能够提供与原有协议相同的安全性.     

SNMP协议TRAP报文在IP组播传播中的应用和实现

本文介绍了IP组播的概念和特点，分析了SNMP协议TRAP报文的格式和工作机制，给出了基于winSNMP编程实现SNMP协议TRAP报文在IP组播传播的具体步骤．以期为IP网监控系统的建设提供借鉴。     

多播组动态管理协议IGMP的形式化分析

 随着IP网络多播技术的发展,IGMP在IP协议栈中的作用越来越重要.在对IGMP详细的机制分析的基础上用扩展的有限自动机和扩展的库所/变迁网对其进行了形式化的描述,从而奠定了IGMP协议分析和具体实现的基础.     

基于NSIS的网络管理信令协议的设计及验证

提出了一种基于信令机制的可扩展NSIS网络管理协议,定义了NSIS网络管理协议的服务原语及数据单元,以实现协议的主要通信过程及管理操作流程.利用Petri网对协议进行了形式化描述,并对协议的逻辑正确性和性能进行了验证分析.利用NS-2对整个协议进行了仿真.相关验证及仿真结果表明,基于NSIS的网络管理协议兼备IP的灵活性和信令的高效性,保障了管理信息的安全、可靠传输,能够满足基于IP承载的新一代多业务网络的管理需求.     

一体化标识网络中的用户身份认证协议

一体化标识网络解决了传统网络中IP地址二义性问题,是一种基于网络的身份与位置分离体系.本文在一体化标识网络中提出一种用户身份认证协议,基于该协议设计了一种利用数字证书构建的接入标识.这种接入标识唯一的表示一体化标识网络中的终端,实现用户身份信息与终端的绑定.该用户身份认证协议基于Diffie-Hellman密钥交换完成用户到用户真实身份的双向认证,采用谜题机制和无认证状态防止应答方受到DoS攻击.通过C-K安全模型分析用户身份认证协议的安全性,分析表明该协议是会话密钥安全的.     

基于总线以太网的控制协议改进

为了解决实时控制网络应用中的通讯实时性和确定性问题,提出在总线以太网上实现一种CSMA/CD-Master/Slave切换混合协议,并在其上构建UDP/IP协议,同时对该混合协议的实时性和可靠性进行计算机仿真分析.在实时控制网络应用中,当网络轻载时,采用CSMA/CD访问控制方式;当网络重载时,自动切换到Master/Slave方式,实现自动调节达到对介质的有限争用.仿真表明CSMA/CD-Master/Slave切换混合协议的应用能够提高通讯实时性和可靠性,可以保证控制网络的稳定性和实效性.     

位置与标识分离的网络访问控制机制

在位置与标识分离的体系结构(LISA)的基础上,提出位置与标识分离的体系结构的网络访问控制机制(LISA-NAC).该机制包括基于标识的访问控制(IBAC)模型和自验证标识.IBAC模型提供了更加精确和高效的网络访问控制,并能适应移动节点的访问控制.自验证标识使得报文接收方可以不依赖第三方认证,直接根据报文携带的信息来验证报文源归属,从而减少标识欺骗的可能性.基于原型系统的实验结果表明,LISA-NAC带来的传输性能下降和系统开销较小,具有可行性.     

异构环境下的iSCSI协议分析与实现

iSCSI协议可以有效解决SAN中数据在IP网络上的传输和共享问题,在对iSCSI协议进行了详细的分析的基础上,给出了在异构环境下利用该协议实现异地数据访问的实现方法.     

一种基于HIP的SIP电话协议流程

下一代网络是以IP技术为核心，同时支持语音、数据、多媒体业务的新型网络。会话初始化协议SIP是一种在IP网络中建立、修改和终止多媒体会话的应用层协议。而主机标识符协议HIP的优势主要体现在提供安全和移动性支持。将SIP协议和HIP协议结合起来实现网络语音业务，设计了一种基于HIP的SIP电话协议流程，在支持HIP协议的主机上实现SIP电话，同时提供端到端的安全数据传输和网络层移动性支持。     

一种基于HIP的SIP电话协议流程

下一代网络是以IP技术为核心。同时支持语音、数据、多媒体业务的新型网络。会话初始化协议SIP是一种在IP网络中建立、修改和终止多媒体会话的应用层协议。而主机标识符协议HIP的优势主要体现在提供安全和移动性支持。将SIP协议和HIP协议结合起来实现网络语音业务，设计了一种基于HIP的SIP电话协议流程，在支持HIP协议的主机上实现SIP电话，同时提供端到端的安全数据传输和网络层移动性支持。     

利用802.1x技术加强校园网安全管理

随着网络的快速发展,校园网中存在的很多安全问题也日渐突出,主要表现在IP和MAC地址冒用和网络病毒的快速传播.利用802.1x技术不仅做到入网即认证,弥补以太网安全接入的不足,还可以有效地解决校园网中存在的一些安全问题,从而加强校园网的安全管理.     

HSRP与容错IP路由

随着企业对网络依赖的日益提高,对网络的可靠性要求也越来越高．对于接入层、汇接层及核心层设备而言,由于冗余技术的完善,已不再如用户级那样成为瓶颈．本文着重讨论用户级的工作站和网络设备如何利用HSRP来提供容错IP路由的问题．     

不同密级系统间基于BLP的访问控制机制

将传统的BLP (Bell-La Padula)模型扩展,提出了一种适用于网络访问控制的N-BLP模型,通过定义网络元素和构造新的状态转换规则,实现了主体间通信行为的控制,并采用有限状态机理论验证了N-BLP模型的安全性,同时,基于LSM (Linux Security Modules)架构和TCP/IP协议构造了一个符合N-BLP模型的网络访问控制系统原型.结果表明,该系统能够精确控制连接的建立和数据流的传输,保障了不同密级网络系统之间信息交换的安全性.     

Implementation of Security Facilities in Simple Network Management Protocol (SNMP)

Simple Network Management Protocol (SNMP) is the most widely used network management protocol on TCP/IP-based networks. However, the lack of security features, notably authentication and privacy, is its weakness. To rectify this deficiency, a new version of SNMP, known as SNMPv3, is presented. The principal security facilities defined in SNMPv3 which include timeliness mechanism, authentication, privacy and access control are outlined, and a example on how to implement security features in a practical software system is given.     

Implementation of Security Facilities in Simple Network Management Protocol (SNMP)

Simple Network Management Protocol (SNMP) is the most widely used network management protocol on TCP/IP-based networks. However, the lack of security features, notably authentication and privacy, is its weakness. To rectify this deficiency, a new version of SNMP, known as SNMPv3, is presented. The principal security facilities defined in SNMPv3 which include timeliness mechanism, authentication, privacy and access control are outlined, and a example on how to implement security features in a practical software system is given.     

移动IP中的多播技术分析及改进的新方案

以移动IP作为网络层路由支持向移动主机提供多播技术是一个巨大的挑战。首先对基于IP网络模型的移动IP和IP多播技术做概括论述，分析了IP多播的算法和多播路由协议。然后侧重研究在目前的移动IP中如何有效提供多播技术的支持，分析了在现有的IP网络中集成多播和移动性时出现的问题，阐明了几种可能的机制并比较了各自的优缺点。最后提出了一种改进的基于移动IP的移动主机多播技术支持，并和其他方案进行了比较。     

一种利用域名系统支持主机移动的路由协议

当网络主机改变网络接入点时。传统的TEP／IP协议无法正常运作。这是由于IP地址的双重作用(既是主机的名也指明主机当前的网络位置)引起的，支持主机移动的网络协议SHMUD(Supporting Host Mobility Using DNS)用域名作为主机名。保留主机IP地址指示其当前网络位置的作用，解决了这一问题，SHMUD以域名服务系统作为它的位置目录，在每个移动主机可能访问的网络中安装移动代理，当移动主机从一个网络移动到另一个网络。并通过DHCP服务器获得了当地网络的一个IP地址后。向它的归属代理(Home Agent)发送登记请求，归属代理根据该移动主机的请求通知DNS服务器。DNS服务器就更新该移动主机的域名—地址映射。这样网络中其它主机利用域名与该移动主机通信时就可以直接将IP报发往该移动主机的当前IP地址了，在移动主机改变网络接入点的过程中，可能与其它主机正在进行通信。为保证通信不被中断(称为平滑越区)。SHMUD提出了一种新的机制以实现主机的平滑越区。此外，SHMUD还提供必要的安全措施使各个移动代理和DNS服务器不受网络攻击。最后，给出了SHMUD的原型系统和性能分析，与其它支持主机移动的路由方案如Mobile-IP相比，SHMUD实现了路径优化、资源的分布式管理、平滑越区以及身份验证等。此外，它只需要在移动主机可能访问的网络中安装移动代理，并在移动主机上安装必要的软件即可运行，不必进行大规模的软件升级，因此较适于在因特网中推广。     

Broadband Communications for High-Speed Trains via NDN Wireless Mesh Network

With the increasing utilization of High-Speed Trains(HSTs), the need for a reliable and high-bandwidth Internet access under high-speed mobility scenarios has become more demanding. In static, walking, and low mobility environments, TCP/IP(transmission control protocol/Internet protocol) can work well. However, TCP/IP cannot work well in high-speed scenarios because of reliability and handoff delay problems. This is mainly because the mobile node is required to maintain the connection to the corresponding node when it handovers to another access point node. In this paper, we propose a named data networking wireless mesh network architecture for HST wireless communication(NDN-Mesh-T), which combines the advantages of Wireless Mesh Networks(WMNs) and NDN architectures. We attempt to solve the reliability and handoff delay problems to enable high bandwidth and low latency in Internet access in HST scenarios. To further improve reliability and bandwidth utilization, we propose a Direction-Aware Forwarding(DAF) strategy to forward Interest packet along the direction of the running train.The simulation results show that the proposed scheme can significantly reduce the packet loss rate by up to 51%compared to TCP/IP network architecture. Moreover, the proposed mechanism can reduce the network load,handoff delay, and data redundancy.