Why 使用TLS记录封装IP层VPN IS A Bad Idea
这种想法必须经过深思熟虑的,但不幸的是,。这是一个错误的想法。有文章《Why TCP Over TCP Is A Bad Idea》,详解了Why。
其实重传叠加问题是无法解决的,要知道,TCP的RTO计算是极其复杂的。影响它的因素也非常多,这就是说,仅仅要你用一个TCP封装还有一个TCP。外层TCP丢包,且RTO小于内层TCP的RTO。连接就会崩溃。而以上这个条件是非常easy满足的。
用TLS来封装IP数据报是对TLS的误用!SSL/TLS的初衷是提供传输层之上的安全层,本身执行了可靠的TCP上,其记录层协议封装的是应用层数据,因此。SSL/TLS是对基于TCP应用的安全增强,并非一个通用的传输协议。之所以TLS执行于TCP之上,就是这个原因。由于应用是基于TCP的。假设你想实现一个IP层的VPN,用TLS来封装IP数据报,就相当于你将IP数据报当成了一个基于TCP的应用数据,这不正是《Why TCP Over TCP Is A Bad Idea》中描写叙述的那种连接崩溃的场景吗?事实是,IP数据报显然不是基于TCP的应用数据。
后来出现了DTLS。显然去掉了非常多约束,轻量了非常多,假设非要封装使用TLS封装IP数据报,首先要想到的怎么也应该是DTLS而不是TLS。DTLS衍生自TLS,而且保留了UDP无序的语义。可是它还是从TLS继承了非常多复杂的东西,本质上,DTLS也是封装应用数据的,这些应用基于UDP。循着这个思路,假设我们能够将IP数据报看作是一个基于UDP的应用数据。那么就能够用DTLS封装它了。能吗?当然能。UDP本身就是IP的第四层镜像。仅仅是多了一个多路复用机制。
使用DTLS封装IP数据报实现一个IP层VPN将会是一个不错的选择,可是还有更好的方法。
OpenVPN提供了一种更好的方式。仅仅使用TLS实现控制通道。而封装加密IP数据报的数据通道则是首选普通UDP通道。这有点IPSec的影子,不是吗?IPSec使用独立的IKE协商好SA,然后使用独立的ESP/AH协议封装加密IP数据报。
其实。这才是实现IP层VPN的正确方式,本来安全參数的协商和认证/加密就是两个独立的过程,独立的过程。
TLS/DTLS将这些封装进了一个会话过程中。该会话通过一个称为SSL握手的过程建立。在握手的过程中协商安全參数。握手完成后将使用协商好的安全參数保护兴许的应用数据。这样的方式的不灵活性在于你无法添加自己的协商机制,除非改动TLS协议。
另外作为一个TLS Record,IP数据报被封装在Application data中,外部能看到的仅仅是一个TLS Record,中间系统非常难对其进行识别和控制,也就是说。作为加密后的IP数据报的传输协议。TLS非常适合。可是非常难从外部去控制它,你看到的永远是一个TLS Record头,而看不到VPN协议的头。
对于IP数据报的保护,终于的思想还是IPSec的那套思想。即定义安全端点,定义安全联盟。协商安全參数,保护IP数据报,四个过程是全然独立的。
尽管你能够将IP数据报看作是“应用数据”,可是它毕竟不是应用数据,TLS源自应用数据的安全需求,它针对单一应用,单独的业务逻辑能够起到非常好的安全加固作用,比方实现HTTPS。比方OpenVPN的控制通道,这些都是业务单一且固定的应用。可是加密IP数据报却不适合,抛开TCP over TLS的连接崩溃问题不谈而引入DTLS,控制和传输叠加在一个会话中将会使扩展非常难,比方防火墙无法区分VPN数据和其他TLS应用数据。比方无法实现组播加密,比方无法重协商单独的安全參数,同一个SSL会话无法被不同的安全端点共享...
因此, 使用TLS记录封装IP层VPN IS A Bad Idea。DTLS更好,但是不是绝对的。真正的好节目,最大限度地利用TLS不要控制通道协商交换安全参数,然后定义一个单独的封装协议封装保护的安全参数IP数据报。
样品太多,IPSec。OpenVPN。只是OpenVPN该代码是太恶心了,据了解,这个想法写了后它。也许它会更好。
Why 使用TLS记录封装IP层VPN IS A Bad Idea的更多相关文章
- 老斜两宗事-七层代理模式还是IP层VPN
1.七层代理模式还是IP层VPN 非常多人会问,我究竟是使用代理模式呢,还是使用VPN模式,假设我想数据在中间不安全的链路上实现加密保护的话.这个问题有一个背景.那就是,你想保护你的数据,能够使用VP ...
- TCP/IP协议之IP层
TCP/IP协议的结构参见下图.有应用层,运输层,网络层,链路层. 但是如果更细化的话,其实还有几层没在这上面体现出来. 1 表示层:数据格式化,代码转换,加密. 没有协议 2 会话层:解除或者建立与 ...
- IP 层收发报文简要剖析3--ip输入报文分片重组
在ip_local_deliver中,如果检测到是分片包,则需要将报文进行重组.其所有的分片被重新组合后才能提交到上层协议,每一个被重新组合的数据包文用ipq结构实例来表示 struct ipq { ...
- linux记录登录ip方法
PS:Linux用户操作记录一般通过命令history来查看历史记录,但是如果因为某人误操作了删除了重要的数据,这种情况下history命令就不会有什么作用了.以下方法可以实现通过记录登陆IP地址和所 ...
- Linux内核IP层的报文处理流程(一)
本文主要讲解了Linux内核IP层的整体架构和对从网卡接受的报文处理流程,使用的内核的版本是2.6.32.27 为了方便理解,本文采用整体流程图加伪代码的方式对Linxu内核中IP整体实现架构和对网卡 ...
- TCP层的分段和IP层的分片之间的关系 & MTU和MSS之间的关系 (转载)
首先说明:数据报的分段和分片确实发生,分段发生在传输层,分片发生在网络层.但是对于分段来说,这是经常发生在UDP传输层协议上的情况,对于传输层使用TCP协议的通道来说,这种事情很少发生. 1,MTU( ...
- vivado封装IP
reference: https://www.cnblogs.com/mouou/p/5851736.html 1.新建一个测试工程 工程化的设计方法是离不开工程的,第一步往往都是新建工程,后面我 ...
- 把mysql中的记录封装成集合
package cn.hu3.com;import cn.hu1.com.JdbcUtils;import java.sql.Connection;import java.sql.PreparedSt ...
- 原 TCP层的分段和IP层的分片之间的关系 & MTU和MSS之间的关系
首先说明:数据报的分段和分片确实发生,分段发生在传输层,分片发生在网络层.但是对于分段来说,这是经常发生在UDP传输层协议上的情况,对于传输层使用TCP协议的通道来说,这种事情很少发生. 1,MTU( ...
随机推荐
- Java线程并发中常见的锁--自旋锁 偏向锁
随着互联网的蓬勃发展,越来越多的互联网企业面临着用户量膨胀而带来的并发安全问题.本文着重介绍了在java并发中常见的几种锁机制. 1.偏向锁 偏向锁是JDK1.6提出来的一种锁优化的机制.其核心的思想 ...
- Visual Studio的SDK配置
Visual Studio的SDK Visual Studio 6.0自带的SDK是1998年的,目录为C:\Program Files\Microsoft Visual Studio\VC98\,这 ...
- Ext图表的精彩
最近做了几个Ext的图表,觉得效果还不错,分享一下 1.Chart[饼图.折线图.柱状图.堆状图]: 2.Grid: 3.最大化:
- Jenkins: 使用Jenkins搭建持续集成(CI)环境
http://www.cnitblog.com/luckydmz/archive/2012/01/03/77007.html 首先从官网http://jenkins-ci.org/下载 Java We ...
- 手把手教你修改pcduino系统默认的音频输出
最近要搞个小玩意儿,要用到pcduino的音频输出,但是系统默认的是输出到hdmi的音频,我的显示器上没有喇叭,只能搞个USB声卡.但是系统默认又不是输出到USB,这里我手把手叫你怎么设置系统默认声卡 ...
- ubuntu10.10 tftp安装,配置,测试
ubuntu10.10 tftp安装,配置,测试 成于坚持,败于止步 虽然ubuntu/centos/redhat都是linux,但是内核其中存在一定的修改,所以对于tftp服务器的安装存在不同的命令 ...
- 程序启动读取和关闭时保存应用程序设置(QSettings)
保存应用程序设置(QSettings)1. QSettings 类 QSettings 提供保存应用程序当前设置的接口,可以方便地保存程序的状态,例如窗口大小和位置,选项的选中状态等等.在 Windo ...
- boost 的函数式编程库 Phoenix入门学习
这篇文章是我学习boost phoenix的总结. 序言 Phoenix是一个C++的函数式编程(function programming)库.Phoenix的函数式编程是构建在函数对象上的.因此,了 ...
- Apache Lucene
1.Lucene -全文搜索引擎 Apache Lucene 是一个基于Java的全文搜索引擎,利用它能够轻易的为Java软件添�全文搜索引擎的功能. Lucene最重要的工作是替文件的每个字索引, ...
- codeforces.com/contest/325/problem/B
http://codeforces.com/contest/325/problem/B B. Stadium and Games time limit per test 1 second memory ...