利用虛擬私有網路進行電子商務(II)---技術面、管理面、與應用面上之研究

1

行政院國家科學委員會專題研究計畫成果報告

利用虛擬私有網路進行電子商務(II)─技術面、管理面、與應用面

上之研究

Electronic Commerce on the Virtual Private Network (II)

-Technology, Management, and Application Issues

計畫編號：NSC

89-2416-H-009-040

執行期限：89 年 8 月 1 日至 90 年 7 月 31 日

主持人：羅濟群

國立交通大學資訊管理研究所

計畫參與人員：莊秉文

國立交通大學資訊管理研究所

With the advent of the Internet, the Electronic Commerce (EC) becomes a reality. Openness creates security threats to cooperator’s confidential information. The Virtual Private Network (VPN) provides a good solution to the security of business information. According to the suggested VPN architecture, we will relate VPN management schemes based on security policy management for business to use.

Keywor ds: virtual private network, security policy management 二、計畫緣由與目的 目前在虛擬私有網路、網路安全等相 關研究，多半著重於技術面的探討。在上 年度的計劃中(89-2416-H-009-013)，我們針 對企業組織對資訊安全的需求，探討企業 建構虛擬私有網路上技術面的相關課題， 然而當企業組織進行電子商務時，除了技 術層面的考量外，資訊安全管理上的考量 與配合，也是企業組織進行電子商務是否 能夠成功的重要因素。 本研究計劃的目的，在於提供企業運 用虛擬私有網路時，在管理面的參考與建 議。首先我們以安全政策管理為出發點， 提出以安全政策管理為基礎的虛擬私有網 路管理模式，並規劃安全政策管理系統架 構；為了滿足企業組織在傳輸品質服務的 需求，我們亦提出虛擬私有網路與傳輸品 質服務的整合模式；最後我們進一步探討 虛擬私有網路在多領域的網路環境下所延 伸的系統控管課題，並提出適當的系統控 管架構作為解決方案。 三、結果與討論 本年度的研究計劃中，我們規劃探討 企業組織利用虛擬私有網路進行電子商務 時，管理面與應用面相關的議題研究，並

2 已獲得顯著的研究成果。針對 Internet 應用 日益複雜與安全性考量的條件下，我們深 入探討以政策為基礎的管理模式，並將傳 輸品質服務的技術與虛擬私有網路技術整 合。針對在此種技術整合下所引發的管理 課題，我們最後提出一套虛擬私有網路系 統的管理架構，作為企業組織與網路系統 商在建構虛擬私有網路時的參考。 (一)政策管理與虛擬私有網路的整合 在 Internet Engineering Task Force (IETF)組織所公佈的 RFC2401 文件中清楚 地提出了 Security Policy Database (SPD)與 Security Association Database (SAD)之間的 運作關係，SPD 的內容是規範 SA 產生之 依據，在金匙管理機制建立傳輸所需要的 SA 之前，會先參考到 SPD 中的規範，然 後才協商產生出適當的 SA 資料項；不同的 SA 可 儲 存 不 同 安 全 機 制 所 要 使 用 的 資 料，因此當虛擬私有網路系統在管理上有 針對不同資料進行不同安全保護的需求 時，金匙管理、SPD、SAD 與企業組織營 運之間的相互配合，將顯得相當重要。 為了將以政策為基礎的管理模式與虛 擬私有網路系統結合，以及加強對 SPD 內 部資料的控管，我們需要一個安全政策管 理系統，做為管理者與虛擬私有網路系統 間溝通的角色，相關系統模組間的相互關 係可由圖 1 所示。 圖 1 結合政策管理之虛擬私有網路系統示意圖 良好的安全政策管理系統，不但要能 夠讓管理者建立與儲存安全政策外，還必 須解決相關的管理課題，才能讓政策管理 發揮良好的功效。茲將相關課題探討於下： 1. 政策的一致性(consistency)：為避免新 引入安全政策與系統已存在的政策相 互衝突，因此在建立新政策的同時，必 須進行對政策一致性的確認工作。 2. 分散式的政策管理：除了使用中央式的 政策管理系統外，當網路系統或政策管 理系統為分散，政策管理系統必須藉由 適當的傳輸協定來溝通系統間的資訊。 3. 與企業內部資訊系統的整合：網路安全 需求與企業內部的資訊系統相關，因此 政策管理系統應與企業內部相關資訊 系統整合，並從中建立對應關係。 根據以上針對虛擬私有網路中的安全 政策管理系統之相關探討，安全政策管理 系統除了提供政策儲存之用外，還必須確 認新政策的一致性；而新政策的發生可能 是由網路管理者產生，也可能經由其它政 策伺服器取得，或是對應公司相關權限控 管系統的設定。我們可依需求歸納出此管 理系統內所應包含的元件，以及其相互間 的關係，分別探討於下： 1. Policy Engine：用以管理系統中已存在 的政策並將新的政策引入系統。其功能 包 括 驗 證 (verification) 新 政 策 的 一 致 性、簡化政策的相關性(decorrelation)、 與政策的引入(resolution)。 2. SPD：用以存放政策管理系統的安全政 策，以供金匙管理機制參考使用。 3. Inter-server Communication：提供標準 的資訊傳輸協定的程序，以進行不同政 策管理系統間的訊息溝通。 4. Policy Template：儲存政策規範的樣 本，供新政策產生時的參考。 5. Policy Mapper：提供自動的程序將已存 在的企業內資訊系統的安全規範，轉換 成虛擬私有網路系統的安全政策。 6. User Interface：提供網路管理者建立新 政策或對政策系統進行管理的介面。

3 茲以圖 2 表示出安全政策管理系統內 外元件的相互關係，以及其間資料流動的 方向： 圖 2 安全政策管理系統相關模組示意圖 (二)虛擬私有網路與傳輸品質服務的整合 傳輸品質服務的技術近年來也引入網 際網路的應用，根據相關的研究與考量， 我們將 Diff-Serv(differentiated services)機 制作為與虛擬私有網路整合的基礎。由於 在 Diff-Serv 架構下路由選擇的機制與流量 控制機制相互隔離，使得在現行體系下建 構此種路由器較為方便，以避免其它機制 如 MPLS(multiprotocol level switch)對整個 路由方式變更所造成實行上的難題。 Diff-Serv 機制與 IPSec 協定具有多處 適於相互搭配運行的特點，下面針對這些 相關性的進行討論： 1. 在 IP 層進行 QoS 保證：Diff-Serv 機制 與 IPSec 協定同樣於是針對 IP 層進行 相關機制的運作，在技術的整合上將較 為方便。 2. 以資料傳輸集合為控管單元：IPSec 協 定與 Diff-Serv 機制同樣以資料傳輸集 合(traffic aggregation)為控管單元，因 此我們可對不同集合的封包進行不同 安全等級與傳輸品質的服務。 3. 僅需加強邊端節點的功能：在 Diff-Serv 機制與 IPSec 協定中，僅需要加強邊端 節點的功能，而中介節點在這兩種協定 中，多半保持原來運作機制即可。 除了上面提及的相關性，表 1 針對 IPSec 協定與 Diff-Serv 機制的相關特性進 行整理。 表 1：IPSec 與 Diff-Serv 相關特性表 網路協定與機制 IPSec Diff-Serv 核心技術 Tunneling PHB 系統控管單元 SA DSCP 機制運作層級 IP 層 IP 層 邊端節點功能加強 需要 需要 中介節點功能加強 不需要 僅增加 PHB 不同等級傳輸機制 支援 支援 輔助的管理機制 金匙管理 服務仲介 使用 IPSec 協定搭配 Diff-Serv 機制的 整合模式，將是在虛擬私有網路進行傳輸 品質服務的解決方案；針對在 IPSec 安全 通道中的封包，可依需求指派這些封包的 DS 欄位值，以提供傳輸品質服務，藉由不 同的通道與 DS 值配對，滿足在安全性與傳 輸品質具有不同等級的傳輸需求。 管理不同等級的資料傳輸集合，是虛 擬私有網路中重要的系統控管工作。IPSec 協定利用對 SA 的管理，規範並儲存在不同 安全等級的通道中所使用的系統參數；而 在 Diff-Serv 機制則對 DSCP(DS codepoint) 的控管來達成不同的傳輸品質服務。隨著 相關技術的發展與多元化的應用需求，SA 與 DSCP 逐漸利用相關政策控管機制進行 動態建立與管理，而這些系統參數的規範 過程，均須在邊端節點完成，其系統架構 可規畫如圖 3 所示： Session Control tunneling module routing core traffic control Admission Control SA

Security Policy QoS Policy

DSCP

ingress traffic egress traffic

4

(三)虛擬私有網路的系統管理架構

為了針對不同的資料流進行不同等級 的服務，我們可藉由控管 SA、DSCP 與 SLA (service level agreement)來達成，而動態的 控管工作，需要倚靠相關政策的制定與良 好的系統控管機制，能依照政策規範提供 正確的服務並進行系統內的設備控管。 我們使用服務仲介者(service broker) 做為系統控管的重心；服務仲介者接受傳 輸服務需求，驗證系統是否有足夠的資源 提供此服務，必要時進行對系統設備的控 管。服務仲介者可分為兩級：1)內部服務 仲介者(internal service broker, ISB)負責控 管在單一領域內所提供的服務，並能夠依 服務需求對設備進行控管；2)外部服務仲 介者(external service broker, ESB)在遇到跨 領域的服務需求時，進行與其他領域的協 商工作。如圖 4(a)所示使用 ISB 進行服務 與系統控管；當傳輸需求發生時，ISB 根 據領域內的系統狀態提供傳輸服務，並對 領域內的設備進行控管，像是依照政策指 派適當的 SA 與 DSCP 供邊端節點使用，或 對中介節點進行 PHB 的參數設定等。 圖 4 虛擬私有網路的服務控管機制 對於進行多領域環境下的服務，使用 者的服務需求在送至本地端的 ISB 之後， 必須再送往該領域 ESB 做為與其他領域 ESB 的協商基礎，分屬不同領域的 ESB 參 照服務需求與跨領域的服務政策，取得不 同領域間的 SLA 協議。ESB 並不具備對設 備的控管能力，相關的設備控管工作只要 指示相對應的 ISB 去達成即可。 企業組織使用虛擬私有網路時，通道 建置的服務需求可透過服務管理中心來提 出，此管理中心可依照企業組織對電腦設 備位置、使用者或應用程式的資訊安全與 傳輸品質政策，在通道建置時對網路服務 提供者提出適當的服務需求。利用這些動 態的管理機制相互配合，企業組織在使用 虛擬私有網路時將更便利，而且無論在資 訊安全或傳輸品質的控管，都將更具保 障，其系統運作架構如圖 4(b)所示。 四、計畫成果自評 目前國內對於虛擬私有網路的相關研 究，多半集中於網路安全技術的研發，本 研究針對虛擬私有網路的管理面與應用面 提出具建設性的課題與解決方案；如同本 計畫初期的規劃，我們以安全政策管理為 基礎，歸納出適當的政策管理系統與運作 模式，並依據企業的應用需求，將傳輸品 質服務機制與虛擬私有網路技術整合，提 出整體性的系統控管架構。本研究的成果 對於虛擬私有網路技術或管理運作模式的 發展上，提供可行的方針與參考。 五、參考文獻 [1] 羅濟群, 莊秉文, “針對虛擬私有網路進行傳輸品質 服務之整合模式與系統管理架構”, 第六屆資訊管理 研究暨實務研討會, 2000 [2] 羅濟群, 莊秉文, “以政策管理為基礎之虛擬私有網 路系統架構”, 第七屆海峽兩岸資訊管理發展策略研 討會, 2001 ISB A B service requirement network domain equipments ISB ISB ESB ESB ISP1 ISP2 SLA VPN manager host service request (a) (b)