基于MIP和HIP的移动管理方案设计

发布时间:2008/5/29 0:00:00 访问次数:530

1 引言

　　下一代一体化网络中异质网络的接人及其移动性和安全性是目前迫切需要解决的问题。为此，本文提出一种基于mip和hip的移动管理方案，有助于解决一体化网络中的移动和安全等问题。

　　mip是因特网建议标准，是解决ip网络中移动性管理的最早方案，也是最成熟的支持主机移动的技术。虽然它基本解决了主机移动时保持原会话不中断的问题，但该技术的性能、不同网络互连以及安全问题均没有得到满意的解决。于是，引出了对mip中移动性和安全性都有所提高的主机身份协议hip。

　　hip的关键思想就是断开网络层和传输层的紧密耦合，使应用层和传输层的连接不受ip地址变化的影响。当ip地址在一个连接中变化时，hi保持不变，由此保证了连接的不中断。在支持hip的主机中，ip地址只是用于路由和寻址功能，而hi则用来标识一个连接所对应的终端主机，代替连接套接字中所使用的ip地址。

　　hip协议提供了两个终端主机之间快速的hi值交换。hip基本交换建立了两个主机问双向的ipsec sa，如图1所示。当一个节点i要发起对r的hip连接时，它首先查询目录服务器(如dns)，获取r对应的地址、hi值和hit值，之后开始4个数据包的基本交换。首先，由i发送一个i1包，请求r的hip对话。于是，r就发出r1，开始了交换，r1包含产生的diffie-hellman密钥交换算法的dh半会话密钥，以及它自己的公钥hi，同时附上它的签名。当i接收到r1包之后，就可通过r的公钥检验r1包是否来自r。同时，产生自己的dh半会话密钥，结合r的半会话密钥计算得出dh会话密钥，然后由该会话密钥产生hip的sa，并使用该sa来认证加密数据包的信息。这些信息加上i的签名后作为i2发送给r。这时，r解开i的dh半会话密钥，计算dh会话密钥和创建sa，并获得i的公钥，通过签名确认该信息是i发送的。r2包用来确认并保护i免受重放攻击。另外，由于在i2包发送时已建立会话密钥，所以从第3个包开始就已能在基本交换中携带发送数据。

　　在基本交换之后，通信双方就确认了对方确实持有hi所对应的私钥，基本交换建立了一对不同方向的ipsec esp的sa。另外，由于hip工作在ip层之上，所以每个数据包中都会含有至少40 byte的hip负载；而esp又内含hip的信息，因此，在实际应用中，除了hip基本交换和维护hip状态时需要hip负载之外，在后续数据传输中就不再需要hip负载了；而hit实际上已经隐含在spi中，通过spi就可得到对应的hit值以及对应的秘密信息。

　　hip的实现是在网络层与传输层之间插入3.5层主机标识层，用于标识连接终端。hlp负载实际上类似于ipv6的一个扩展头。hip网络的层次结构如图2所示，其所使用的标识符称为hi，是公私钥对中的公钥，通常存放在dns中。由于hi的长度因不同的公钥体制算法而不同，所以在实际协议中通常使用固定长度的hit(hostidentity tag)值。hit值是对hi的128位hash结果值，前两位比特的选择使其保持与ipv6地址空间的兼容性。

2 新的移动管理方案

2.1 方案的提出

　　通过前两节对mip和hip的详细分析，可看出两种方案都存在着不足之处。

　　mip中，采用ipsec机制来保护mn和ha之间的安全通信，而在mn和cn之间用返回路由可达机制，虽然从一定程度上缓解了移动通信的安全威胁，但是还需要进一步改进协议加强安全保护。另外，虽然可把hoa作为主机的唯一标识符，但从本质上讲，ip地址只是代表通信主机在网络中的拓扑位置，因此，使用ip地址作为主机的身份，必然带来灵活性差，安全机制复杂等问题。

　　与mip相比，hip有很多优点，是目前整合解决移动、多宿主和安全问题的最好方案。但是，在实施hip协议时也不得不考虑其带来的开销，尤其对于安全要求不高或者数据量很小的应用来讲，hip的开销显得代价过高。在必要的时候应用原来的通信方式，同时尽可能地使用hip协议，这是目前对待hip协议的正确态度，也是本方案提出的根据所在。

　　本文借鉴hip协议中主机的身份和位置信息相分离的思想，以及mip中移动节点的家乡地址固定不变而实质上通过转交地址来进行数据包的收发过程，从而提出使用一个3元组(hi，hoa，port)来标识通信连接，既可实现主机身份和ip地址的分离，又可实现方便高效地移动管理。

2.2 过程的详细描述

2.2.1 数据结构

　　本文在传输层使用hi来标识通信主机，在网络层使用hoa标识主机的网络位置，而hi和hoa的映射关系在hi层进行。外出数据包在传输层用标识会话连接，在hi层完成hi到hoa的动态绑定；进入数据包在hi层完成hoa到hi的映射后，再提交到传输层。其位置关系如图3所示。