移动IP技术指南09.pdf

下载第9章因特网上的移动：一个更复杂的应用在前一章中我们将问题简化，只考虑与全球范围的因特网不相连的、专用的园区内部网络，而且移动节点只允许在园区或企业内部移动。在本章中，我们将研究一个复杂得多的移动PI应用，即允许移动用户在整个因特网上任意移动，而不对他的专用网带来任何额外的安全威胁。我们还将介绍公司向它的用户、销售商和其他客人提供外地代理的一种方法，当然，这也不能牺牲公司网络的安全性。这一章还将介绍防火墙对移动PI带来的复杂性，特别介绍当移动节点在专用网外部时，如何使数据包穿过防火墙这个问题。本章所关系到的基本技术相对来说是比较成熟的，但防火墙穿越问题仍是FTEI的移动PI工作组的一个工作热点。9.1应用模型这一节中我们介绍在整个因特网上提供移动能力应如何使用移动PI。首先，我们描述家乡代理和外地代理的位置，以及移动节点如何得到它们的服务；然后我们研究这种网络面临的安全威胁，并提供一些对付这些威胁的保护措施。9.1.1假设和要求如本章开始所述，在前一章中我们做了尽可能的假设来简化问题，在这一章中，则正好相反。我们仍然假设有一个企业内部网，它有一些重要的数据必须保证机密性。然而，如图9-1-9所示，这次我们允许专用网与因特网相连。按常规，与因特网相连要求有一些防火墙来保护企业网络，防止对企业网的未授权的访问。部门LAN(防火墙“内”)会议室(防火墙“外”)外地代理DHCP服务器因特网家乡/外地代理外地代理图9-1移动IP提供全球的移动性114使用第三部分移动IP的应用下载在决定移动PI应用方案以及家乡代理和外地代理与防火墙的相对位置时，有下面一些要求：1)必须保证企业网络不受到侵入。也就是说，在企业网络和因特网之间必须有一个防火墙。2)经过认证的移动节点，也就是那些属于公司职员的移动节点，在访问防火墙内部的资源时应不受到任何的连接限制，即使当它们在防火墙外面的外地链路上时也应保证这种连接性。3)企业网必须没有面临新的安全威胁，也就是说它所面临的安全威胁不应该比连到因特网上的任何其他网络（通过防火墙）更多。4)来访人员应可以从会议室、培训部门等“公共”区域连接到因特网上（或与他们自己的专用网相连）。最后一条要求显然是是需要的，因为它使得一个来访人员(如销售商、客户或顾问)可以使用移动PI通过因特网连接到他们自己的专用网上。9.1.2如何应用移动IP达到这些要求图1-9中表明了要达到前一节中列出的那些要求应如何应用移动PI。和前一章中所述一样，部门的NAL可能采用许多种不同的媒介，它们与升级为家乡代理和外地代理的路由器相连，这些代理则通过高速的光纤骨干相连。如图1-9所示，一些网络设备在防火墙“内部”，而一些则在防火墙“外部”。这里，“内部”指的是专用网的部分，它必须受到保护以防受到攻击；外部则指因特网的其他部分，防火墙要防止那里的设备对专用网的攻击。各部门的NAL，包括传统的主机、家乡/外地代理和一些移动节点则都在防火墙内部。我们还要求严格的物理安全性，即要明确哪些人允许进入一个部门的房间、楼层或工厂等。另一方面，所有可以公用的网络接口(如在会议室和其他接待区域设置的网络插头)都放在防火墙外，这些区域的物理安全不要求特别严格，这些公共区域的网络插头都与外地代理相连，由外地代理提供下面介绍的标准移动PI支持功能。所有移动节点，包括那些由公司拥有的和其他任何人拥有的，都可能在这些公共区域中连接到网络上。和前一章所述一样，公司职员拥有的移动节点分配的家乡代理和家乡链路都在这些职员所在的部门的NAL上，来访的移动节点的家乡代理和家乡链路则在防火墙之外，但它们可以通过因特网访问到。连接到图1-9所示的会议室网络插头上的那些来访的移动节点很可能也在它们自己的防火墙之外，就像公司职员拥有的移动节点一样。在这些公共区域中应有外地代理来帮助移动节点完成移动检测、得到转交地址以及选择一个缺省路由器。另外，这些外地代理还为那些想从PCHD服务器上得到配置转交地址的移动节点提供中继代理的功能。这些外地代理的R比特将被关闭，因为网络管理员不必为在防火墙外的这部分网络提供接入控制机制。9.1.3为什么要这么做采用图1-9所示的结构的主要动机是为了将所有移动节点放在防火墙以外，只有那些可以通过防火墙认证的经过授权的移动节点才允许与公司网络中受保护的那些主机进行通信，但所有其他移动节点都可以访问因特网。这种方案不会对企业带来新的安全威胁，这时网络面临的安全威胁与任一个连接到因特网上的网络一样。第9章因特网上的移动：一个更复杂的应用用115下载这种方案中值得特别注意的是有一个防火墙将会议室内的移动节点与公司内部的家乡代理分隔开，这就要求有一种方法使得经过授权的移动节点可以穿越防火墙收发数据包。本章的难点就在于定义这样一种机制，而不牺牲网络的安全性。有了这种移动