利用SSL VPN構(gòu)建數(shù)字資源遠(yuǎn)程訪問(wèn)平臺(tái)

張凱，貝蓓，張建軍

(河北農(nóng)業(yè)大學(xué) 圖書館，河北 保定 071001)

利用SSL VPN構(gòu)建數(shù)字資源遠(yuǎn)程訪問(wèn)平臺(tái)

張凱，貝蓓，張建軍

(河北農(nóng)業(yè)大學(xué) 圖書館，河北 保定 071001)

對(duì)SSL(secure sockets layer，安全套接層協(xié)議層)VPN(virtual private network)系統(tǒng)的工作原理和SSL協(xié)議的運(yùn)用進(jìn)行了介紹.重點(diǎn)研究了資源管理、APP資源的配置和系統(tǒng)專線這幾個(gè)重要的系統(tǒng)配置.分析了系統(tǒng)以https登錄、虛擬IP池技術(shù)等為特點(diǎn)的顯著特性.最后提出實(shí)際使用中的一些問(wèn)題及解決辦法.

SSL VPN；APP資源；虛擬IP池

在高校圖書館，大多數(shù)電子資源通?？梢栽趯W(xué)校網(wǎng)絡(luò)的內(nèi)部IP內(nèi)被訪問(wèn)到，而這些電子資源在家中則無(wú)法訪問(wèn).同時(shí)，越來(lái)越多的校外合作機(jī)構(gòu)對(duì)電子資源的訪問(wèn)要求不斷增加，因此為了使校外合作機(jī)構(gòu)能在校園網(wǎng)IP以外訪問(wèn)資源，高校圖書館需要一種新的遠(yuǎn)程接入方式，來(lái)提高電子資源的利用率，實(shí)現(xiàn)電子資源共享的最大化.

VPN(virtual private network)即虛擬專用網(wǎng)技術(shù)，它可以在公用網(wǎng)絡(luò)(通常是因特網(wǎng))和特定的內(nèi)部網(wǎng)之間建立一個(gè)臨時(shí)的、可信的安全連接，并保證數(shù)據(jù)的安全傳輸.SSL(secure sockets layer，安全套接層協(xié)議層)VPN是VPN的一種.Netscape公司開發(fā)的SSL是一種互聯(lián)網(wǎng)數(shù)據(jù)安全協(xié)議.SSL協(xié)議為數(shù)據(jù)通訊提供安全支持，并且被用于Web瀏覽器與服務(wù)器之間的加密數(shù)據(jù)傳輸與身份認(rèn)證,是位于TCP/IP協(xié)議與各種應(yīng)用層協(xié)議之間的協(xié)議[1].

與傳統(tǒng)的遠(yuǎn)程接入方式IPSec VPN比較，SSL VPN不需要單獨(dú)安裝插件，使用簡(jiǎn)便，只需要通過(guò)瀏覽器即可訪問(wèn)；維護(hù)工作量小，不需要安裝任何客戶端軟件，終端能上網(wǎng)就能用的特點(diǎn),它們之間的差別類似于C/S構(gòu)架和B/S構(gòu)架的區(qū)別[2].

1 遠(yuǎn)程訪問(wèn)平臺(tái)系統(tǒng)分析

為保障資源的合理利用、擴(kuò)大電子資源使用范圍，河北農(nóng)業(yè)大學(xué)部署了深信服SSL VPN，為廣大在校園網(wǎng)以外的師生和科研工作者搭建了圖書館數(shù)字資源遠(yuǎn)程安全訪問(wèn)平臺(tái).

1.1工作原理

工作原理是在圖書館的防火墻后面放置一個(gè)SSL代理服務(wù)器，即深信服SSL VPN設(shè)備，在校園網(wǎng)外的用戶可以通過(guò)電腦、筆記本、手機(jī)等上網(wǎng)設(shè)備訪問(wèn)圖書館的各種電子資源，當(dāng)用戶在瀏覽器上輸入一個(gè)URL后，連接將被SSL代理服務(wù)器取得，并驗(yàn)證該用戶的身份，然后SSL代理服務(wù)器將提供一個(gè)遠(yuǎn)程用戶與各種電子資源服務(wù)器的虛擬通道.結(jié)構(gòu)原理如圖1所示[3-4].

在該遠(yuǎn)程訪問(wèn)平臺(tái)上，管理員建立好用戶名和密碼，用戶通過(guò)在瀏覽器地址欄里輸入網(wǎng)址，登錄到界面，按提示輸入用戶名和密碼，并提交硬件特征碼，經(jīng)管理員審批后就可順利訪問(wèn)圖書館的數(shù)字資源,同時(shí)支持短信認(rèn)證、USBKey認(rèn)證、動(dòng)態(tài)令牌認(rèn)證、終端硬件特征碼認(rèn)證等. 對(duì)于在家使用SSL VPN登錄電子數(shù)據(jù)庫(kù)的教師，為其設(shè)置用戶名/密碼和電腦終端硬件特征碼雙重認(rèn)證,大幅提高接入用戶身份鑒別安全性.

圖1 SSL VPN結(jié)構(gòu)

1.2SSL協(xié)議

1.2.1 SSL協(xié)議的分層結(jié)構(gòu)

筆者搭建的SSL VPN平臺(tái)是使用SSL 協(xié)議進(jìn)行認(rèn)證和加密的，并且為數(shù)據(jù)通訊提供安全支持.在圖2中，SSL協(xié)議位于各種應(yīng)用層協(xié)議與傳輸協(xié)議TCP之間.SSL協(xié)議包括：SSL握手協(xié)議(SSL handshake protocol)和SSL記錄協(xié)議(SSL record protocol).SSL握手協(xié)議用于雙方協(xié)商加密算法、身份認(rèn)證、交換加密密鑰等，是位于SSL記錄協(xié)議上層的.SSL記錄協(xié)議則是為高層協(xié)議提供數(shù)據(jù)封裝、壓縮、加密等支持.

SSL協(xié)議可用于保護(hù)正常運(yùn)行于TCP之上的任何應(yīng)用協(xié)議，如HTTP,FTP,SMTP或Telnet的通信.最常見的是用SSL來(lái)保護(hù)HTTP的通信.SSL協(xié)議進(jìn)行服務(wù)器認(rèn)證、加密算法、協(xié)商通信密鑰的操作是在應(yīng)用層協(xié)議前面完成的，所以應(yīng)用層協(xié)議隨后傳送的數(shù)據(jù)會(huì)被加密，保證通信安全性.因此，高層的應(yīng)用協(xié)議(HTTP,Telnet,FTP)可以透明地建立在SSL協(xié)議之上，可見其顯著特點(diǎn)是與應(yīng)用層協(xié)議無(wú)關(guān).

SSL協(xié)議需要在握手之前建立TCP連接，所以不能保護(hù)UDP應(yīng)用.如果考慮UDP協(xié)議層以上的安全防護(hù)，就要運(yùn)用IP層的安全解決方案.

1.2.2 SSL協(xié)議的工作流程

首先，客戶機(jī)和服務(wù)器相互交換信息.客戶機(jī)發(fā)出client_hello，服務(wù)器以server_hello回應(yīng),這個(gè)過(guò)程會(huì)產(chǎn)生和交換防止重放攻擊的隨機(jī)數(shù).安全參數(shù)是：會(huì)話ID、算法加密、版本協(xié)議等.同時(shí)隨機(jī)數(shù)C1ientHello.Random 和 ServerHello.Random進(jìn)行交換，用于計(jì)算機(jī)“會(huì)話主密鑰”.其次，發(fā)送hello信息，服務(wù)器會(huì)發(fā)送自身證書，以確保被認(rèn)證.隨后為了請(qǐng)求證書，服務(wù)器發(fā)送certificate_request給客戶，在這之前服務(wù)器會(huì)發(fā)送server_key_exchange,直到服務(wù)器的hello階段結(jié)束，服務(wù)器會(huì)一直發(fā)送server_hello_done.再次，服務(wù)器請(qǐng)求客戶機(jī)證書，客戶機(jī)要回應(yīng)無(wú)證書指示或者返回證書，這是單向認(rèn)證時(shí)候的情況，即客戶端沒有證書.隨后，Client 發(fā)布交換密鑰信息.最后服務(wù)器回應(yīng)Finished，握手完成信息，用來(lái)表示完整的握手信息交換全部完成.這時(shí)，服務(wù)器和客戶開始通信完整性的檢驗(yàn)，并且使用相同的對(duì)稱密鑰實(shí)現(xiàn)數(shù)據(jù)通訊.這標(biāo)志著SSL 安全通道開始數(shù)據(jù)通信[5].

圖2 SSL協(xié)議的分層結(jié)構(gòu)

1.2.3 報(bào)警協(xié)議

報(bào)警協(xié)議是和SSL握手協(xié)議位于同一層的高層協(xié)議.SSL報(bào)警協(xié)議包含了錯(cuò)誤的危害程度.在通信過(guò)程中如果其中一方發(fā)現(xiàn)任何異常，收到報(bào)警消息時(shí)當(dāng)前連接就立即中斷.根據(jù)嚴(yán)重程度，報(bào)警消息定義為Fatal錯(cuò)誤和Warning消息.報(bào)警消息分為報(bào)警描述和報(bào)警等級(jí)2部分，結(jié)構(gòu)如下：

enum {

fatal(2) , warning(1) } Alertlevel ;

報(bào)警等級(jí)分致命和警告.

bad__certficate,

close_notified,

certifcate__unknown,

uint8 padding_length,

decompresion_failure,

certficate__expired,

unsupported__certificate,

unexpected_messages,

certifcate__revoked,

handshake,

no__certificate,

} Alertdescrption;

2 系統(tǒng)后臺(tái)配置

2.1資源管理與添加

用戶登錄后能夠訪問(wèn)的電子資源是由管理員在后臺(tái)添加的.根據(jù)資源的類型和所屬網(wǎng)絡(luò)協(xié)議的不同，可以靈活地添加3種不同的資源:APP資源、WEB資源和IP資源[6].

APP資源：主要用于定義、配置和管理各種類型的SSL VPN內(nèi)網(wǎng)資源，以適應(yīng)各種各樣C/S結(jié)構(gòu)的應(yīng)用程序訪問(wèn)SSL VPN內(nèi)網(wǎng)資源和內(nèi)網(wǎng)服務(wù)器.它使用tcp協(xié)議，也是最經(jīng)常使用的資源.河北農(nóng)業(yè)大學(xué)圖書館大部分電子數(shù)據(jù)庫(kù)都設(shè)置為APP資源形式，供讀者訪問(wèn).

WEB資源：通常是網(wǎng)頁(yè)形式.它所定義的資源，是通過(guò)修改“訪問(wèn)地址”來(lái)實(shí)現(xiàn)訪問(wèn)的，有一定局限性.而APP資源幾乎支持所有的C/S應(yīng)用，包括Web,Mail和Ftp等.如果通過(guò)WEB資源無(wú)法實(shí)現(xiàn)，可以使用APP資源來(lái)添加.需要注意的是，添加的WEB資源例如：增加資源http://aaa/index.html，用戶只能訪問(wèn)到index.html所在目錄和子目錄的鏈接，而不能訪問(wèn)其他目錄的鏈接.

IP資源：主要用于定義、配置和管理各種基于IP協(xié)議的內(nèi)網(wǎng)資源，以適應(yīng)各種各樣C/S結(jié)構(gòu)及不同協(xié)議(TCP/UDP/ICMP)的應(yīng)用程序訪問(wèn)SSL VPN內(nèi)網(wǎng)資源和內(nèi)網(wǎng)服務(wù)器.值得注意的，IP服務(wù)訪問(wèn)的內(nèi)網(wǎng)服務(wù)器一定要放在設(shè)備LAN口或DMZ口端，即SSL VPN網(wǎng)關(guān)和服務(wù)器通信時(shí)一定要保證數(shù)據(jù)是從LAN口或DMZ口發(fā)出.而WEB和APP資源沒有這個(gè)要求.

2.2APP資源的配置

在該SSL VPN系統(tǒng)里，主要是用戶對(duì)圖書館內(nèi)網(wǎng)的數(shù)據(jù)進(jìn)行訪問(wèn)，而圖書館內(nèi)網(wǎng)對(duì)用戶本身并沒有訪問(wèn)要求,所以在添加新資源時(shí)經(jīng)常用到APP資源.

APP資源設(shè)置如圖3所示.在系統(tǒng)后臺(tái)“資源管理”的“APP資源”里新建資源.圖中是河北農(nóng)業(yè)大學(xué)購(gòu)買的人大復(fù)印資料數(shù)據(jù)庫(kù)的配置.“名稱”即是用戶登陸后看到的資源名稱.“類型”選擇HTTP.這是因?yàn)槠鸪踉趫D書館主頁(yè)的網(wǎng)站后臺(tái)里建立人大復(fù)印資料數(shù)據(jù)庫(kù)的鏈接地址時(shí)，使用的是HTTP形式.有一點(diǎn)需要注意，這里提到的類型選擇HTTP是SSL VPN系統(tǒng)后臺(tái)的設(shè)置，不是用戶在前臺(tái)登錄時(shí)輸入的地址開頭,用戶在地址欄中是輸入以https為開頭的.關(guān)于https登陸在本文系統(tǒng)特點(diǎn)分析中會(huì)提到.

圖3 APP資源配置

“所屬資源組”選擇能夠訪問(wèn)該資源的用戶組，定義為默認(rèn)用戶組可以訪問(wèn).“主機(jī)地址”選擇單IP，并且輸入人大復(fù)印資料在河北農(nóng)業(yè)大學(xué)圖書館本地服務(wù)器上的地址，端口使用8080.這樣用戶就可以在前臺(tái)訪問(wèn)該數(shù)據(jù)庫(kù)內(nèi)容.

2.3SSL VAN專線配置

為了訪問(wèn)的安全性，可以設(shè)置成系統(tǒng)專線訪問(wèn)，即用戶接入SSL VPN后自動(dòng)斷開其余所有網(wǎng)絡(luò)鏈接，防止黑客以終端用戶主機(jī)作為進(jìn)攻內(nèi)網(wǎng)的工具.在建立用戶或用戶組時(shí)選擇“接入SVPN后禁止該用戶組上網(wǎng)”,這樣客戶端接入系統(tǒng)后，PC的默認(rèn)路由會(huì)消失掉，同時(shí)生成到SSL VPN設(shè)備的主機(jī)路由.

3 系統(tǒng)特點(diǎn)分析

河北農(nóng)業(yè)大學(xué)搭建的SSL VPN遠(yuǎn)程訪問(wèn)系統(tǒng)，改善了傳統(tǒng)解決方案的不足，為使用者提供了快速、安全、易用的遠(yuǎn)程接入方式.其主要特點(diǎn)如下.

3.1使用https登錄

用戶在地址欄里輸入以https開頭的地址，而非普通的http.https也就是http的安全版本，是http的安全通道.它在http下加入SSL層，所以加密的具體內(nèi)容需要SSL，因此https的安全基礎(chǔ)是SSL.而http是無(wú)狀態(tài)的，連接簡(jiǎn)單.https協(xié)議比http協(xié)議更加安全，因?yàn)槠浔旧砜蛇M(jìn)行加密傳輸、身份認(rèn)證，并且由SSL+HTTP協(xié)議構(gòu)建.http使用的端口是80而https使用的是443，兩者的連接方式是完全不同的.

3.2虛擬IP池技術(shù)

利用IPTunnel的虛擬IP池技術(shù)，把高校網(wǎng)絡(luò)的IP地址放入虛擬IP池里，這樣外網(wǎng)用戶就可以通過(guò)虛擬IP進(jìn)行訪問(wèn).也可以讀取LDAP和Radius里面分配好的虛擬IP，讓外網(wǎng)用戶可以獲得內(nèi)網(wǎng)IP，訪問(wèn)校園網(wǎng)的內(nèi)部電子資源；運(yùn)用虛擬IP池，采用輪詢方法，解決單個(gè)IP訪問(wèn)流量過(guò)大的矛盾，以免一些電子資源服務(wù)商封鎖下載流量過(guò)大的IP地址[7].

3.3多線路復(fù)用技術(shù)

各個(gè)高校購(gòu)買的電子資源一般位于教育網(wǎng)線路，但是有訪問(wèn)需求的外網(wǎng)用戶大多都位于移動(dòng)、電信等公網(wǎng).本系統(tǒng)運(yùn)用多線路復(fù)用技術(shù)，即可完成網(wǎng)絡(luò)線路的自動(dòng)選路,因此保證了移動(dòng)、電信等不同網(wǎng)絡(luò)運(yùn)營(yíng)商的訪問(wèn)速度，通過(guò)選路，可以實(shí)現(xiàn)外網(wǎng)用戶瀏覽速度和校園網(wǎng)內(nèi)網(wǎng)幾乎相同，極大提升了使用效率.

4 問(wèn)題解決

在該系統(tǒng)的使用過(guò)程中，經(jīng)常有讀者來(lái)電咨詢使用中的一些疑問(wèn)，筆者把主要的問(wèn)題總結(jié)如下.

4.1客戶端使用代理上網(wǎng)

有些用戶會(huì)通過(guò)代理服務(wù)器上網(wǎng)，這時(shí)可以同SSL設(shè)備建立連接，但在使用APP和IP資源時(shí)，可能會(huì)遇到問(wèn)題.因?yàn)榇頃?huì)優(yōu)先于控件和虛擬網(wǎng)卡抓包，訪問(wèn)數(shù)據(jù)無(wú)法被正常封裝就傳給代理服務(wù)器，從而使用戶無(wú)法正常訪問(wèn)資源,這時(shí)可以將服務(wù)器內(nèi)網(wǎng)地址填入排除列表,這樣可以使SSL控件正常抓包封裝.

4.2兼容性視圖問(wèn)題

在本系統(tǒng)中，筆者發(fā)現(xiàn)有大量用戶使用IE8瀏覽器,經(jīng)常會(huì)出現(xiàn)用戶登錄后看到的資源組列表文字顯示不全的問(wèn)題.經(jīng)過(guò)研究發(fā)現(xiàn)，由于IE8支持新的網(wǎng)頁(yè)標(biāo)準(zhǔn)，瀏覽某些不兼容的網(wǎng)站時(shí)會(huì)出現(xiàn)例如：網(wǎng)頁(yè)顯示不正常，出現(xiàn)圖片錯(cuò)位和文字跑遠(yuǎn)等問(wèn)題,給用戶帶來(lái)不便.

解決方法：登錄到讀者界面后，在該界面的IE工具中選擇“兼容性視圖設(shè)置”，把該網(wǎng)站的網(wǎng)址添加到兼容性列表中,這樣設(shè)置就可以對(duì)特定網(wǎng)站實(shí)現(xiàn)兼容性顯示.

4.3APP資源新建與重啟網(wǎng)關(guān)

隨著在河北農(nóng)業(yè)大學(xué)圖書館注冊(cè)的SSL VPN用戶數(shù)量的增加，用戶要求訪問(wèn)的資源越來(lái)越多.對(duì)于中外期刊、各種特色培訓(xùn)數(shù)據(jù)庫(kù)、百家講壇、借還書服務(wù)等遠(yuǎn)程訪問(wèn)要求不斷增多.筆者在用APP方式增加資源時(shí)，新建的資源配置好后，點(diǎn)保存,可是用戶只能看到舊的資源，新建的資源無(wú)法看到,即保存后此功能沒有實(shí)現(xiàn),而其他的常用設(shè)置比如新建和刪除用戶、硬件特征碼審批等保存后即可實(shí)現(xiàn).開始以為是IE版本兼容問(wèn)題，后來(lái)試了幾個(gè)版本都無(wú)法顯示,最后在系統(tǒng)配置里把設(shè)備網(wǎng)關(guān)重新啟動(dòng)，問(wèn)題才解決.

由此筆者認(rèn)為APP資源設(shè)置的任何改動(dòng)和一般的設(shè)置是不同的，它是和SSL VPN系統(tǒng)的硬件設(shè)備里涉及到底層的網(wǎng)關(guān)服務(wù)密切相關(guān)的.

5 結(jié)論

目前整個(gè)圖書館遠(yuǎn)程資源共享平臺(tái)的教師用戶已經(jīng)有2 060多人.在使用中，SSL VPN設(shè)備運(yùn)行穩(wěn)定、使用效率高，操作便利，對(duì)電子數(shù)據(jù)庫(kù)資源的普及和利用起到很大的促進(jìn)作用,極大方便了廣大師生和科研工作者查閱使用電子資源，推動(dòng)了河北農(nóng)業(yè)大學(xué)圖書館信息化的快速發(fā)展.

[1]金家琴.基于SSL VPN技術(shù)實(shí)現(xiàn)公共圖書館電子資源遠(yuǎn)程訪問(wèn)[J].圖書館雜志，2009，28(3)：62-63.

JIN Jiaqin. Remote access to E-resources of public library based on SSL VPN[J].Library Journal，2009，28(3)：62-63.

[2]叢欣.SSL/IPSec打造一體化VPN[J].計(jì)算機(jī)安全，2006(2)：49-51.

[3]夏志方.遠(yuǎn)程訪問(wèn)圖書館電子資源技術(shù)綜述[J].圖書情報(bào)工作，2006(3)：123-126.

XIA Zhifang.A reviews on techniques offering remote access to library digital resources[J].Library and Information Service，2006(3)：123-126.

[4]郭玲，李偉生.SSL VPN 的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)技術(shù)與發(fā)展，2007(8)：148-150.

GUO Ling，LI Weisheng.Design and implementation of SSL VPN[J].Computer Technology and Development，2007(8)：148-150.

[5]史默然，韓永飛，栗穎佳.SSL握手協(xié)議的分析及改進(jìn)[J].電腦與信息技術(shù)，2012(4)：8-10.

SHI Moran，HAN Yongfei，LI Yingjia.The analysis and improvement of SSL handshake protocol[J].Computer and Information Technology，2012(4)：8-10.

[6]海濱，唐全.VPN技術(shù)及其安全優(yōu)勢(shì)的分析[J].電氣電子教學(xué)學(xué)報(bào)，2003(6)：46-49.

HAI Bin，TANG Quan.Analysis of VPN technique and superiority safety[J].Journal of Electrical & Electronic Engineering Education，2003(6)：46-49.

[7]黃澤偉.VPN中的隧道技術(shù)研究[J].重慶電力高等?？茖W(xué)校學(xué)報(bào)，2004(4)：42-46.

HUANG Zewei.Research on tunneling technology of VPN[J].Journal of Chongqing Electric Power College，2004(4)：42-46.

ConstructionofremoteaccesssystemtothedigitalresourcesbasedonSSLVPN

ZHANGKai,BEIBei,ZHANGJianjun

(Library, Agricultural University of Hebei, Baoding 071001, China)

This paper describes the working principle of remote access system based on SSL(secure sockets layer)VPN(virtual private network). The use of the SSL protocol is introduced in the paper. Meanwhile, it focuses on resource management, APP resource settings and system line settings. In addition, it analyses system characteristics such as https login, virtual IP pool technology and so on. At last, it puts forward some problems and solutions in actual use.

SSL VPN；APP resource；virtual IP pool

10.3969/j.issn.1000-1565.2013.04.018

2012-12-20

2010年河北農(nóng)業(yè)大學(xué)非生命學(xué)科與新興學(xué)科基金項(xiàng)目；GALIS全國(guó)農(nóng)學(xué)文獻(xiàn)信息中心2012年研究項(xiàng)目

張凱(1980-)，男，河北保定人，河北農(nóng)業(yè)大學(xué)館員，主要從事計(jì)算機(jī)信息化方向研究.

E-mail:zhangkai@hebau.edu.cn

G250

A

1000-1565(2013)04-0437-06

(責(zé)任編輯孟素蘭)