インターネットは現代社会において欠くことのできない存在となっている。最近では、外出先などからインターネットを使って安全に社内へアクセスしたり、特定のビジネスパートナーに対して安全に情報提供したりするニーズが高まっている。このようなニーズに対して専用線を用いる方法があるが、コストが高いという問題があった。インターネットを利用した場合にはコストの削減が可能であるが、データの盗聴・改ざんの危険が存在する。この両方の問題を改善するものとしてVPN (Virtual Private Network)が考えられた。VPNに使われる技術の１つにIPsecがある。本論文では、このIPsecについて、アプリケーションごとに制御できるように機能の追加を行う。修士論

岡部 吉彦

English

DSpace at Waseda University

2004IPsec2005 2 23603U031-81 42 IPsec VPN 52.1 VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52.2 VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62.3.1 L2TP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62.3.2 MPLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72.4 IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72.4.1 IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72.4.2 . . . . . . . . . . . . . . . . . . 82.4.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112.4.4 . . . . . . . . . . . . . . . . . . . . . . . 122.4.5 IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133 153.1 AH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153.1.1 AH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153.1.2 AH . . . . . . . . . . . . . . . . . . . . . . . . 153.1.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163.2 ESP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173.2.1 ESP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173.2.2 ESP . . . . . . . . . . . . . . . . . . . . . . . . 183.2.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193.2.4 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193.3 IPComp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203.3.1 IP . . . . . . . . . . . . . . . . . . . . . . . . . 2013.3.2 IPComp . . . . . . . . . . . . . . . . . . . . . . . . . 203.3.3 IPComp . . . . . . . . . . . . . . . . . . . . . . 203.3.4 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213.3.5 IPComp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213.4 IKE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233.4.1 IPsec . . . . . . . . . . . . . . . . . . 233.4.2 IKE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233.4.3 IKE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244 IPsec 254.1 IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254.1.1 . . . . . . . . . . . . . . . . . . . 254.2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265 285.1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 285.2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315.3.1 SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315.3.2 TELNET . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315.3.3 NSLOOKUP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325.3.4 TRACEROUTE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325.3.5 PING . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345.4 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 346 36383922.1 IPsec . . . . . . . . . . . . . . . . . . . 82.2 IPsec IPv4 . . . . . . . . . . . . . . 82.3 IPsec IPv6 . . . . . . . . . . . . . . 92.4 IPsec ( ) . . . . . . . . . . . . . . . 92.5 IPsec ( ) . . . . . . . . . . 102.6 IPsec ( ) . . . . . . . . . . . . . . . . . . . . . . . . . . 102.7 IPsec (IPv4) IPv4 . . . . . . . . . . . . . . 102.8 IPsec (IPv6) IPv6 . . . . . . . . . . . . . . 112.9 SA(AH ESP ) . . . . . . . . . . . . . . 123.1 AH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163.2 ESP ( ) . . . . . . . . . . . . . . . . . . 183.3 IPComp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213.4 IPComp ( ) . . . . . . . . . . 223.5 IPComp ( ) . . . . . . . . . . . . . . 224.1 ESP ( ) . . . . . . . . . . . . . . . . . . . 264.2 ESP ( ) . . . . . . . . . . . . . . . . 264.3 IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274.4 TCP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275.1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 285.2 Cisco . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305.4 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305.5 SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315.6 TELNET . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325.7 (TELNET) . . . . . . . . . . . . . . . . . . . . . . . . . 3235.8 NSLOOKUP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325.9 TRACEROUTE . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335.10 (TRACEROUTE) . . . . . . . . . . . . . . . . . . . . . 335.11 PING . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345.12 . . . . . . . . . . . . . . . . . . . . . . . . . . . 3542.1 IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . 75.1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295.2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295.3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315.4 . . . . . . . . . . . . . . . . . . . . . . . . . . . 3451VPN (Virtual Private Network) VPNVPN IPsec IPsec62IPsec VPN2.1 VPNVPNVPNVPN2VPNIPIP VPN72 IPSEC VPNVPN(QoS : Quality of Service)(QoS) VPNQoS QoS RSVP(Resource Reservation Protocol) DiffServ (Differentiated Services)VPN2.2 VPNVPN VPN VPNVPNVPNVPNVPN2.3VPNIPsec VPNL2TP (Layer 2 Tunneling Protocol) MPLS (Multiprotocol La-bel Switching) IPsec2.3.1 L2TPL2TP Microsoft PPTP (Point-to-Point Tunneling Protocol) CiscoSystems L2F (Layer 2 Forwarding)L2TP PPP (Point-to-Point Protocol)82 IPSEC VPNL2TP IPsec2.3.2 MPLSMPLS IETF MPLS VPNIP 4 (Shim Header)IP MPLS IPMPLSMPLS2.4 IPsecIPsec IPv4 IP IPv6IPv6 IPsec2.4.1 IPsecIPsec ( )2.1 IPsec2.1: IPsec(AH : Authentication Header) 51(ESP : Encapsulation Security Payload) 50IPComp (IP Payload Compression Protocol) 108IKE (Internet Key Exchange) 500/UDPIPComp IKE IPsec IPsecAH ESP IPComp IKE 4 IPsec92 IPSEC VPN2.4.2IPsecIPsecIPsec ( 2.1 )IP2.1: IPsecIPv4 IPv4 IPsec( 2.2 )2.2: IPsec IPv4IPv6 AH ESP IPv6 IPv6IPv4 IPv6 IPsec( 2.3 )102 IPSEC VPN2.3: IPsec IPv6IPsecIPIPVPN( 2.4 )IPsecIPsec( 2.5 )( 2.6 )2.4: IPsec ( )112 IPSEC VPN2.5: IPsec ( )2.6: IPsec ( )IPv4 IPsec IPv4IPsecIPv4 IPsec 2.72.7: IPsec (IPv4) IPv4IPv6 IPsec IPv6IPsecIPv6 IPsec 2.8122 IPSEC VPN2.8: IPsec (IPv6) IPv6IPv6 IPv4 IPsec IPv4IPv4 Pv6 IPsec IPv62.4.3IPsec IPIPsec IP• (discard)• IPsec (bypass IPsec)• IPsec (apply IPsec)132 IPSEC VPN(SPD)IPsec SPDSPDSPD 22.4.4IPsec (SA : Security Association)SASA AH ESPSA AH ESP SA2SA 2.9 AH ESP SASA AH ESP(SPI : Security Parameter Index) 3SA SPISASA ( ) IPsec(AH ESP) AH ESP ()IKE SA2.9: SA(AH ESP )SA (SAD : Security Associa-142 IPSEC VPNtion Database) SAD IKESADSAD SAD SADIPsec SPI SA2.4.5 IPsecIP IPsec1.IPSPD2. SAIPsec (apply IPsec)SAD SA SASA SA SA3. IPsecIPsec (AH ESP)4.IPsecIPsec1. SASPI IPsec (AH ESP)SAD SA SAIPsec152 IPSEC VPN2. IPsecSA IPsec(AH ESP)3.AH ESP IPSPDIPsec4.IPIP IP1633.1 AH3.1.1 AHAH (ICV: Integrity Check Value)IP IP IPIPTTL (IPv6 ) TOS (IPv6) AHAH ICV IPAH3.1.2 AHAH 3.1173   	   ﬀﬂﬁﬃ! #"%$&')(*#+,.-0/ (SPI)132)+/*4	56,3ﬀ(  ( 78  : 32 9 ;:=<>ﬂ? )0 8 16 313.1: AH8AH IP832 AH 2160(SPI)32 SASPI321SA 0 SA(ICV)AH IPv4 32IPv6 64 ICVAH3.1.3AH HMAC-MD5-96 HMAC-SHA-1-96HMAC-RIPEMD-160-96 DES-MAC AES-MAC183Keyed-MD53.2 ESP3.2.1 ESPESP IPIPESP IPAH IPESPESP ICV IPESPESPIPESPIP1933.2.2 ESPESP 3.2 	ﬁﬀﬂ (SPI)ﬃ !#"%$ﬂ ( &('*)  )$*+ (0 , 255 - #.  )$*+)/ 0$ﬂ ( &('*) )     1*24365	7ESP  24365$ﬂ$ﬂESP  .80 8 16 31243.2: ESP ( )(SPI)32 SASPI321SA 0 SA1( )IPIP (IV)203( )• 4• IV•11 2 3 ( 1 22)( ) 88IPESPESP (ICV)SA3.2.3ESP DES-CBC NULL3DES-CBC RC5-CBC IDEA-CBC CAST-128-CBC Blowfish-CBC NULL3.2.4ESP AH2133.3 IPCompIPComp IP IPComp RFC23933.3.1 IPESPIPComp IPComp ESP3.3.2 IPCompIPComp IPComp (IPCA:IPComp Association) IPCA IPsec(SA)• IPCA CPI (Compression Parameter Index: )•• ( )• IPCAIPCA IKE3.3.3 IPCompIPComp 3.32230 8 16 24 31   	  CPI( ﬀﬁﬃﬂ  )3.3: IPComp880CPICPI CPI 163.3.4IPComp DEFLATE LZS LZJH 3IPComp3.3.5 IPCompIPIPComp ESP AHESP AH IPComp CPI3.4 ( ) 3.5 ( ) IPCompIPsec (ESP)2333.4: IPComp ( )3.5: IPComp ( )2433.4 IKE3.4.1 IPsecIPsec SA ISAKMP (Internet Se-curity Association and Key Management Protocol) ISAKAMPIKE (Internet Key Exchange)IKE IPsecISAKMPISAKMP SAIKEIKEISAKMP SAIPsec SA ISAKMP(ISAKMP SA) ISAKMP SA SA3.4.2 IKEIKE AH ESPIKE 41.2. (RSA DSA ECDSA)3. (RSA ElGamal)4. (RSA ElGmal)2533.4.3 IKEIKE 2 1 ISAKMP SA2 IPsec SA 2 1ISAKMP SAISAKMP SA ( )11. ISAKMP SA2. ISAKMP SA3.SA ( 2)2 1 ISAKMP SA IPsec AH ESPSA 21. SA2. SA264IPsec4.1 IPsec4.1.1IPsec IPsec• 51 (AH)• 50 (ESP)• 108 (IPComp)• UDP 500 (IKE)IPsecIPsec••274 IPSEC4.2IPsec TCP UDPIP ESP AH 4.14.2 ESP4.1: ESP ( )4.2: ESP ( )IPsecIP0 4 ( 4.3 )284 IPSEC4.3: IPTCP ( 4.4 )0 	 	ﬀﬁ  ﬂﬃ "! #$%&'6 (ﬃ*) +-,/.+1032-45687ﬃ:92; <=4>URGACKPSHPSTSYNFIN15  160 314.4: TCP295( )5.15.15.1:Cisco FreeBSD4.105.15.2 Cisco (ipsec)3055.1:/ /TCP / /23UDP / /1024IP / /¶ ³CISCO#show access-listExtended IP access-list ipsecdeny tcp any any eq telnetdeny udp any any gt 1023permit ip any anyCISCO#µ ´5.2: Cisco5.25.25.2:A BOS FreeBSD4.10 FreeBSD4.10gcc2.95.4 gcc2.95.45.3 5.4SA3155.3:5.4:IP( IP ) 170( ) 1305.33255.3:CBC-DES HMAC-MD5-96 DEFLATE5.3A B• SSH (22/TCP)• TELNET (23/TCP)• NSLOOKUP (53/UDP)• TRACEROUTE (1024 /UDP)• PING5.3.1 SSHB (192.168.2.1) ipsec 5.5¶ ³> ssh ipsec@192.168.2.1ipsec@192.168.2.1’ password:µ ´5.5: SSH5.3.2 TELNETB (192.168.2.1) 5.65.7 telnet (23)335¶ ³> telnet 192.168.2.1Trying 192.168.2.1...telnet: connect to address 192.168.2.1: Connection refusedtelnet: Unable to connect to remote hostµ ´5.6: TELNET¶ ³#CISCOXX:XX:XX: %SEC-6-IPACCESSLOGP: list ipsec denied tcp 192.168.10.1(50890) ->192.168.20.1(23), 1 packet#CISCOµ ´5.7: (TELNET)5.3.3 NSLOOKUPB (192.168.2.1) A (192.168.1.1) 5.8B A¶ ³> nslookup 192.168.1.1 192.168.2.1*** Can’t find server name for address 192.168.2.1: No response from server*** Default servers are not availableµ ´5.8: NSLOOKUP5.3.4 TRACEROUTEB (192.168.2.1) TRACEROUTE 5.9 1UDP5.10udp345¶ ³> traceroute 192.168.2.1traceroute to 192.168.2.1 (192.168.2.1), 64 hops max, 40 byte packets1 192.168.1.254 (192.168.1.254) 0.218 ms 0.196 ms 0.112 ms2 * * *3 * * *( )µ ´5.9: TRACEROUTE¶ ³#CISCOXX:XX:XX: %SEC-6-IPACCESSLOGP: list ipsec denied udp 192.168.10.1(41132) ->192.168.20.1(33435), 1 packetXX:XX:XX: %SEC-6-IPACCESSLOGP: list ipsec denied udp 192.168.10.1(41133) ->192.168.20.1(33436), 1 packetXX:XX:XX: %SEC-6-IPACCESSLOGP: list ipsec denied udp 192.168.10.1(41134) ->192.168.20.1(33436), 1 packet#CISCOµ ´5.10: (TRACEROUTE)3555.3.5 PINGB (192.168.2.1) TRACEROUTE 5.11¶ ³> ping -c 3 192.168.2.1PING 192.168.2.1 (192.168.2.1): 56 data bytes64 bytes from 192.168.2.1: icmp_seq=0 ttl=62 time=1.312 ms64 bytes from 192.168.2.1: icmp_seq=1 ttl=62 time=0.945 ms64 bytes from 192.168.2.1: icmp_seq=1 ttl=62 time=0.980 ms--- 192.168.2.1 ping statistics ---3 packets transmitted, 3 packets received, 0% packet lossround-trip min/avg/max/stddev = 0.945/1.079/1.312/0.165 ms>µ ´5.11: PING5.45.1 A B 200MB 400MB 800MB( ) ( )( ) 5.4200MB 17 400MB 39 800MB 76SCP5.4:(MB) ( ) ( )200 94 111400 185 224800 367 4435.12 5.43655.12:376200MB 400MB 800MB 17 39761MB 0.0851MB 1 10KB100 (1M = 1000K) webKB KB 1 100KB1 0.0085170 130 IPsec OSOS (UNIX ) OS386IP 0 4 TCP0SA IPsecSA3940[1] : IPsec , , 2001.[2] S.Kent, R.Atkinson, RFC2401, Security Architecture for the Internet Protocol, 1998.[3] S.Kent, R.Atkinson, RFC2402, IP Authentication Header, 1998.[4] C.Madson, R.Glenn, RFC2403, The Use of HMAC-MD5-96 within ESP and AH, 1998.[5] C.Madson, N.Doraswamy, RFC2405, The ESP DES-CBC Cipher AlgorithmWith ExplicitIV, 1998.[6] S.Kent, R.Atkinson, RFC2406, IP Encapsulating Security Payload, 1998.[7] D.Piper, RFC2407, The Internet IP Security Domain of Interpretation for ISAKMP, 1998.[8] D.Harkins, D.Carrel, RFC2409, The Internet Key Exchange (IKE), 1998.[9] A.Shacham, R.Monsour, R.Pereira, M.Thomas, RFC2393, IP Payload Compression Pro-tocol (IPComp), 1998.[10] R.Pereira, RFC2394, IP Payload Compression Using DEFLATE, 1998.[11] W.Richard Stevens , , : TCP/IP Vol 1 ,, 2000.[12] Gary R.Wright, W.Richard Stevens , , : TCP/IP Vol 2 ,, 2002.[13] : TCP/IP , ,2001.[14] Eric Rescorla : , , : TCP/IP SSL/TLS, , 2003.41

Extension of IPSec for Port Control

修士論文textインターネットは現代社会において欠くことのできない存在となっている。最近では、外出先などからインターネットを使って安全に社内へアクセスしたり、特定のビジネスパートナーに対して安全に情報提供したりするニーズが高まっている。このようなニーズに対して専用線を用いる方法があるが、コストが高いという問題があった。インターネットを利用した場合にはコストの削減が可能であるが、データの盗聴・改ざんの危険が存在する。この両方の問題を改善するものとしてVPN (Virtual Private Network)が考えられた。VPNに使われる技術の１つにIPsecがある。本論文では、このIPsecについて、アプリケーションごとに制御できるように機能の追加を行う。thesi

Okabe, Yoshihiko

35361

岡部, 吉彦

35360

Waseda University Repository

ポート制御を可能にするIPsec仕様の拡張法

https://waseda.repo.nii.ac.jp/?action=repository_action_common_download&item_id=21150&item_no=1&attribute_id=20&file_no=1

Extension of IPSec for Port Control

Abstract

Similar works

Full text

Available Versions

DSpace at Waseda University

Waseda University Repository