GSRA IPsec-VPN NAT SSL-VPN GSRA Performance Evaluation of Group-based Secure Remote Access Kenta SUZUKI, 1 Hidekazu SUZUKI 1 and Akira WATANABE

Size: px

Start display at page:

Download "GSRA IPsec-VPN NAT SSL-VPN GSRA Performance Evaluation of Group-based Secure Remote Access Kenta SUZUKI, 1 Hidekazu SUZUKI 1 and Akira WATANABE"

はすなつつの
5 years ago
Views:

1 GSRA IPsec-VPN NAT SSL-VPN GSRA Performance Evaluation of Group-based Secure Remote Access Kenta SUZUKI, 1 Hidekazu SUZUKI 1 and Akira WATANABE 1 Existing remote access technology to access the network remotely, as often assumed that the terminal on the Internet. Of remote access technologies that are now widely available, IPsec-VPN, NAT and by the compatibility may not be available. SSL-VPN is readily available, but applications available are limited. In this paper, Remote access technology that we have proposed a scheme to improve GSRA be available from any private network to solve these issues. In addition, we evaluate the performance of common usage scenarios to show the usefulness of the proposed method. 1 Graduate School of Science and Technology, Meijo University 1. VPN Virtual Private Network VPN VPN PPTP Point-to-Point Tunneling Protocol 1) L2TP Layer 2 Tunnneling Protocol 2) IPsec Security Architecture for Internet Protocol 3) SSL Secure Socket Layer 4) IPsec VPN IPsec-VPN SSL SSL-VPN 2 IPsec-VPN SSL-VPN GSRA Group-based Secure Remote Access 5),6) NAT 7) IPsec-VPN NAT SSL-VPN SSL-VPN GSRA NAT GSRA NAT NAT IPsec-VPN SSL-VPN

2 2 3 GSRA 4 GSRA IPsec-VPN SSL-VPN EN External Node IN Internal Node 2.1 IPsec-VPN IPsec-VPN IPsec VPN IPsec-VPN EN IKE Internet Key Exchange 8)9) IPsec ESP IPsec IP IPsec-VPN NAT IPsec IPsec 2.2 SSL-VPN SSL-VPN SSL SSL-VPN Web ( 1 ) Web SSL-VPN SSL-VPN DMZ De- Militarized Zone SSL-VPN SSL PDA SSL Web Web ( 2 ) OpenVPN 10) Open- VPN Ethernet IP DNS LAN 3. GSRA GSRA 3.1 GSRA NAT NAT-f NAT-free Protocol 11) PCCOM Practical Cipher Communication Protocol 12) NAT GSRA 1 EN GSRA GSRA 1 GSRA Fig. 1 An example of a remote access configuration with GSRA.

3 DMZ GSRA 1 EN Group1 IN1 Group1 IN2 Group2 EN IN1 IN2 IN GSRA GSRA EN IN GSRA G i i = NodeID IP P i IP V i IP s, d, t, m EN GSRA GK DNS IN GSRA IP G GR GSRA ACT Access Contorol Table IN IP allow deny ACT ACT Alice TCP d UDP e Alice PCCOM EN IN 2 ( 1 ) EN DNS IN Alice G GR EN DNS G GR IP V IN EN IN IP V IN IN Alice GSRA IP Table 1 2 GSRA Fig. 2 GSRA negotiation. 1 ACT Example of Access Contorol Table. Host IP PCCOM Service Group Permit Name Address Support Alice P IN Yes d (tcp) Group1 allow e (udp) Group2 allow G GR IP V IN NRT Name Relation Table EN GSRA IP ( 2 ) EN V IN EN VAT Virtual Address Translation VAT 1 EN VAT GSRA ( 3 ) EN EN IN Alice Group1

4 GSRA GSRA ACT EN IN EN IN t EN GSRA EN t VAT ( 4 ) GSRA EN GSRA EN 2 G GR : t GSRA GSRA GSRA PIT Process Information Table EN EN PIT / EN EN PIT 2 ( 5 ) 3 G i : s G j : d G i : s G j : d G i : s G j : d G i : s G j : d EN IN EN VAT IP / PIT PCCOM GSRA GSRA GSRA / IP / IN / GSRA GSRA IN EN EN EN IN 4. Fig. 3 3 Address translation process. GSRA EN EN NAT 4.1 NAT HR Home Router HR EN HR IP / GSRA HR HR GSRA NAT SPI Stateful Packet Inspection SPI TCP SPI HR

5 NAT GSRA TCP/UDP 1 HR SPI NAT SPI TCP/UDP HR 4.2 TCP TCP NAT TCP/SYN GSRA HR SPI HR HR HR HR HR EN ICMP 1 EN 4.3 GSRA GSRA 4 EN ICMP GSRA EN TCP GSRA TCP GSRA TCP G GR : t t GSRA ICMP TCP HR G HR : m ICMP EN GSRA EN HR HR HR 5. GSRA FreeBSD EN GSRA GSRA GSRA IP GSRA IP GSRA 4 GSRA Fig. 4 New GSRA sequence.

6 5 EN Fig. 5 Implementation of External Node. 6 GSRA Fig. 6 Implementation of GSRA router. 2 Table 2 Compare of remote access method. IPsec-VPN SSL-VPN Web base OpenVPN L2TP GSRA IPsec-ESP SSL SSL IPsec-ESP PCCOM P2P HR 5.1 EN EN 5 IP ip input() ip output() GSRA GSRA GSRA GSRA NRT VAT PIT GSRA 5.2 GSRA GSRA 6 GSRA GSRA NAT natd natd FreeBSD GSRA divert natd GSRA ACT PIT 6. VPN GSRA P2P GSRA GSRA HR HR IPsec-VPN L2TP NAT VPN HR Web SSL-VPN Web IPsec- VPN L2TP OS Open- VPN GSRA Web SSL-VPN IPsec-VPN OpenVPN L2TP VPN L2TP

7 . GSRA 6.2 FreeBSD 7 LAN LAN Dummynet 13) Dummynet 40Mbps 10ms 20ms 0% PC 3 AES-128bit EN-VPN OpenVPN TCP UDP TCP TCP over TCP UDP Wireshark 1 EN wget 2 IN 50MB wget UNIX HTTP FTP 10 IPsec-VPN OpenVPN 2 ( 1 ) IPsec-VPN GSRA OpenVPN IPsec-VPN GSRA EN wireshark wget IN 0Byte OpenVPN 4 GSRA DNS Fig. 7 Table 3 7 Measurement environment. 3 Device specification. OS CPU Memory NIC EN FreeBSD 7.2 Pentium4 3.4GHz 1GB 100Base-TX VPN Server FreeBSD 7.2 Pentium4 2.8GHz 2GB 100Base-TX Dummynet FreeBSD 8.0 Pentium4 3.4GHz 512MB 100Base-TX IP EN IPsec-VPN IPsec-VPN 200ms 3 IPsec-VPN OpenVPN 3 SSL

8 Table 4 4 Result of a measurement of negotiation time. DNS [ms] [ms] [ms] IPsec-VPN OpenVPN GSRA GSRA HR Windows OS Table 5 5 Result of a measurement of throughput. [Mbps] [Mbps] IPsec-VPN OpenVPN GSRA GSRA 100ms DNS A AAAA 2 GSRA 3 Dummynet 1 20ms 5 RTT 100ms EN GSRA 2 3 GSRA GSRA ( 2 ) 5 GSRA IPsec-VPN OpenVPN GSRA PCCOM GSRA 1) Hamzeh, K., Pall, G., Verthein, W., Taarud, J., Little, W. and Zorn, G.: Pointto-Point Tunneling Protocol (PPTP), RFC 2637, IETF (1999). 2) Townsley, W., Valencia, A., Rubens, A., Pall, G., Zorn, G. and Palter, B.: Layer Two Tunneling Protocol L2TP RFC 2661, IETF (1999). 3) Kent, S. and Seo, K.: Security Architecture for the Internet Protocol, RFC 4301, IETF (2005). 4) Dierks, T. and Rescorla, E.: The Transport Layer Security (TLS) Protocol, RFC 5246, IETF (2008). 5) NAT Vol.51, No.9, pp (2010). 6) NAT DICOMO2010 Vol.2010, No.1, pp (2010). 7) Srisuresh, P. and Egevang, K.: Traditional IP Network Address Translator (Traditional NAT), RFC 3022, IETF (2001). 8) Hoffman, P.: Algorithms for Internet Key Exchange version 1 (IKEv1), RFC 4109, IETF (2005). 9) C.Kaufman, P.Hoffman, Y.Nir and P.Eronen: Internet Key Exchange Protocol Version 2 (IKEv2), RFC 5996, IETF (2010). 10) OpenVPN Technologies, Inc.: OpenVPN - Open Source VPN. 11) NAT NAT-f Vol.48, No.12, pp (2007). 12) NAT PCCOM Vol.47, No.7, pp (2006). 13) L.Rizzo: Dummynet home page GSRA GSRA

9 リモートアクセス方式 GSRA の性能評価名城大学大学院理工学研究科鈴木健太, 鈴木秀和, 渡邊晃

10 研究背景リモートアクセスのニーズが増加遠隔地の LAN にアクセス在宅勤務, 学内サイトの利用既存方式自宅からのアクセス NAT(HR ) が存在 Home Router : 家庭ネットワーク側に設置される NAT IPsec-VPN SSL-VPN OpenVPN GSRA(Group-based Secure Remote Access) NAT 配下からの利用が充分想定されていない 1

11 既存方式 IPsec-VPN きめ細かい設定が可能設定が煩雑 NAT 通過には専用の機能が必要 SSL-VPN IPsec IPsec-VPN パススルー IPsec 手軽に利用できる Web 用途に限定されるクライアントに証明書が必要在宅勤務のような用途に向かない OpenVPN セキュリティと簡単さを両立カプセル化による性能低下アドレス重複により通信ができなくなる可能性 SSL ブラウザ OpenVPN OpenVPN DMZ DMZ 2

12 GSRA GSRA (Group-based Secure Remote Access) NAT-f にアクセス制御と暗号化を追加グルーピングに基づいたアクセス制御管理負荷の軽減 IPsec-VPN ネットワーク層に実装アプリケーションは制限されない SSL-VPN アドレスを変換しながら中継通信高スループット IPsec-VPN,OpenVPN GSRA GSRA Group1 Group1 Group2 鈴木秀和, 渡邊晃 : 通信グループに基づくサービスの制御が可能な NAT 越えシステムの提案, 情報処理学会論文誌, Vol.~51, No.~9, pp (2010). 3

13 GSRAによるリモートアクセスグループ認証 EN と IN との通信に使用するポート t を割り当てマッピング GSRA ルータにアドレス変換テーブルを生成 EN の送信元情報と宛先 IN の対応付け EN-GR 間に NAT がある場合, 正しく行えない EN GR IN Group1 Alice IP:G GR IP:P GR IP:G EN Group1 Port:s G EN s t G GR t IP:P IN HN:Alice Group1 Port:d EN:External Node IN:Internal Node GR:GSRA Router {G EN :s G GR :t} {P GR :t P IN :d} 4

14 既存 GSRA の課題 NAT 配下からの利用を想定していない HR によるアドレス変換に対応する必要がある TCP/UDP1 往復によりマッピングアドレスを調べる SPI(Stateful Packet Inspection) HR を通過する通信ログを記録通信ログから不正なパケットを判断破棄シーケンス番号の整合性など近年の NAT ルータの多くに搭載されている提案 GSRA を HR 配下から利用可能にする SPI によるパケット破棄を回避 5

15 NAT 対応の検討 TCP1 往復パケットの追加 HR でマッピングされるアドレス G HR :m を得るマッピングアドレスに対応した変換テーブルを生成ネゴシエーション完了後に送信される TCP パケットとの間にシーケンスの不整合が生じるシーケンス番号に手を加えることは困難 & 望ましくない EN SPI HR GR IN IP:P EN Group1 Port:s IP:G HR Group Authentication TCP TCP G HR :m IP:G GR IP:P GR Seq=Y Seq=Y+1 IP:P IN HN:Alice Group1 Port:d EN:External Node IN:Internal Node GR:GSRA Router TCP/SYN Mapping Seq=X 不整合 6

提案方式バインディング処理 TCP の再送制御の特性を利用 HR でマップされるポート番号, シーケンス番号は再送前と同値 Binding Req(TCP): マッピング内容を GR に通知ネゴシエーション完了後送信されるのはこのパケットの再送として処理 Binding Req(ICMP): マッピング内容を EN に通知マッピング処理時に送信元情報として使用 EN SPI HR GR

16 提案方式バインディング処理 TCP の再送制御の特性を利用 HR でマップされるポート番号, シーケンス番号は再送前と同値 Binding Req(TCP): マッピング内容を GR に通知ネゴシエーション完了後送信されるのはこのパケットの再送として処理 Binding Req(ICMP): マッピング内容を EN に通知マッピング処理時に送信元情報として使用 EN SPI HR GR IN IP:G EN Group1 Port:s IP:G HR Group Authentication Binding Request (ICMP) IP:G GR IP:P GR IP:P IN HN:Alice Group1 Port:d Seq=X Binding Request(TCP) drop G HR :m retry Mapping TCP/SYN {G HR :m G GR :t} {P GR :t P IN :d} 7

17 実装 FreeBSDへ実装ネットワーク層の入出力関数よりGSRAモジュールへ変換などの処理はすべてGSRAモジュールで行う処理後は元の位置へ差し戻す External Node GSRA Router 8

性能測定測定項目ネゴシエーション時間スループット比較対象 wget でファイルをダウンロード 10 回試行した平均測定値 IPsec-VPN,OpenVPN 利用用途が近い手法 Dummynet HR EN DNS Server VPN Server IN External Node FreeBSD 7.2 VPN Server FreeBSD 7.

18 性能測定測定項目ネゴシエーション時間スループット比較対象 wget でファイルをダウンロード 10 回試行した平均測定値 IPsec-VPN,OpenVPN 利用用途が近い手法 Dummynet HR EN DNS Server VPN Server IN External Node FreeBSD 7.2 VPN Server FreeBSD 7.2 Dummynet FreeBSD 8.0 OS CPU Memory NIC Pentium4 3.4 GHz Pentium4 2.8 GHz Pentium4 3.4 GHz 1 GB 100Base-TX 2 GB 100Base-TX 512 MB 100Base-TX Dummynet parameter Bandwidth 40 Mbps Delay 20 ms Packet Loss Rate 0 % 9

19 性能測定結果ネゴシエーション時間 IPsec-VPN: トリガとなったパケットは失われる再送が発生 OpenVPN: ネゴシエーション時間が最長 GSRA:DNSの利用が必須だが, 他方式に比べ短時間で完了スループット背景負荷の有無に関わらず,GSRA が最も高スループット GSRA ではカプセル化等の追加処理が発生しないネゴシエーション時間 [ms] スループット [Mbps] DNS 名前解決追加オーバヘッド背景負荷無し背景負荷有り IPsec-VPN OpenVPN GSRA

20 比較評価 GSRA: 既存方式の課題を解決 HR 配下からの利用も可能性能評価により通信性能の高さも証明 IPsec-VPN SSL-VPN OpenVPN GSRA 管理負荷アプリケーション制限カプセル化オーバヘッドクライアントソフトアドレス管理 HR 通過ネゴシエーション時間 - スループット - 11

21 まとめ家庭からのリモートアクセスを想定し,NAT 配下からの利用を可能にした GSRA を提案した提案方式を FreeBSD へ実装し, 性能測定を通じて有用性を示した今後の課題他 OS への対応 12

22 13

23 既存方式 ( グローバルから ) IPsec-VPN きめ細かい設定が可能設定が煩雑 SSL-VPN 手軽に利用できる Web 用途に限定されるクライアントに証明書が必要 OpenVPN セキュリティと簡単さを両立カプセル化による性能低下 IPsec SSL OpenVPN IPsec DMZ SSL OpenVPN 14

24 既存方式 ( プライベートから ) IPsec-VPN NAT との相性が悪い NAT を通過するには専用の機能が必要 SSL-VPN Web 用途に限定される在宅勤務のような用途に向かない OpenVPN アドレス重複の可能性重複した場合, 一切の通信ができない IPsec SSL OpenVPN IPsec-VPN パススルー SSL IPsec DMZ OpenVPN 15

25 PCCOM 独自の TCP/UDP チェックサム計算本人性確認とパケットの完全性保証暗号化範囲 =TCP ペイロード部 NAT をまたがった暗号通信が可能パケットフォーマットに変更を加えない高スループット転送中に変化しない値暗号鍵 Checksum Base 暗号化後のデータ TCP/UDP ヘッダ TCP/UDP 疑似ヘッダ疑似データ独自チェックサム計算 16

26 仮想アドレスの生成 INのFQDNから生成する V IN =A.B.C.D A: 仮想アドレスと認識するための値 EN から到達性がない値 B: 初期値 =0 仮想アドレスが重複した場合に変化させる C: ドメイン名 (example.net) のハッシュ値 D: ホスト名 (alice) のハッシュ値 IN:alice.example.net 17

27 グループ鍵の配送 LDAP(Lightweight Directory Access Protocol) ディレクトリサービスへとアクセスするためのプロトコルユーザ名などのキー値から情報を検索することが可能公開鍵秘密鍵 GK1,GK2,GK3 公開鍵 EN LDAP サーバ GSRA ルータ IN ユーザ認証要求 SSL で暗号化した LDAP 通信 ( ユーザID, パスワード ) ユーザ認証応答 ( 認証可否, ユーザ情報,SK EN,g1,GK1,T EN ) SK EN,GK1 セッション鍵 / チケットの配送 SK EN : 乱数を元に生成 T EN : 乱数を元に生成 (T GR,SK EN,T EN ) SK EN T EN T EN 18

28 EN が PCCOM をサポートする場合 IN に PIT を生成 GSRA ルータはアドレス変換のみ行う Group:1 EN ホームルータ GSRA ルータ IN(Alice) IP:P EN アプリケーションカーネル Group:1 IP:P HR IP:G HR IP:G GR IP:P GR IP:P IN P EN G GR PIT(EN) Encrypt マッピング要求マッピング応答 PIT(GR) G HR G GR Bypass PIT 要求 PIT 応答 Bypass PIT(IN) P GR P IN Decrypt P EN G GR Decrypt G HR G GR Bypass P GR P IN Encrypt 19

FTP Group:1 EN GSRA ルータ FTP サーバ IP:G EN IP:G GR IP:P GR Group:1 IP:PIN SYN GSRA ネゴシエーション 3 Way Handshake SYN/ACK (V IN,A,B) ACK PASV 要求 PASV(P IN,A,B) PASV 応答 SYN GSRA ネゴシエーション

29 FTP Group:1 EN GSRA ルータ FTP サーバ IP:G EN IP:G GR IP:P GR Group:1 IP:PIN SYN GSRA ネゴシエーション 3 Way Handshake SYN/ACK (V IN,A,B) ACK PASV 要求 PASV(P IN,A,B) PASV 応答 SYN GSRA ネゴシエーション 3 Way Handshake SYN/ACK ACK PASV 応答メッセージ内のサーバ IP アドレスを仮想 IP アドレスに書き換え & ポート番号を GSRA ルータへ通知エイリアスリストを生成 FTP サーバが PCCOM 対応 ( エンドエンドで暗号化通信 ) の場合応答メッセージを送信する前にポート番号を GSRA ルータに通知 20

30 GSRA グルーピングに基づいたアクセス制御管理負荷の軽減 IPsec-VPN ACT(Access Contorol Table) に基づくネットワーク層に実装アプリケーションは制限されない SSL-VPN トンネリングはしないアドレスを変換しながら中継高スループット IPsec-VPN,OpenVPN GSRA DMZ ACT Host Name IP Address PCCOM Support Service Group Permit GSRA Alice P IN Yes d (tcp) Group1 allow e (udp) Group2 allow 21

31 GSRA によるリモートアクセス (1/3) 名前解決処理 DNS 応答 (G GR ) を仮想 IP アドレス (V IN ) に書き換え G GR と V IN の関係を NRT(Name Relation Table) に登録アプリケーションは IN のアドレスを V IN と認識通信開始宛先が仮想 IP アドレス宛のパケットをトリガにして,GSRA ネゴシエーションを開始トリガとなったパケットは一時的に待避 External Node Application IP:G EN Group:1 Kernel NRT Alice :G GR :V IN Alice:G GR IP:G GR IP:P GR IP:P IN HN:Alice Group:1 DNS Server GSRA Router Internal Node DNS Request Alice V IN DNS Response G GR トリガ TCP store 22

32 GSRA によるリモートアクセス (2/3) グループ認証処理 ACTを参照し,INへの接続が許可されているか認証該当セッションに使用するエフェメラルポート ( t ) の割り当て VAT(Virtual Address Translation) テーブルを生成マッピング処理 GSRAルータにアドレス変換テーブルを生成 ENとGSRAルータにPIT(Proccess Information Table) を生成 External Node Application IP:G EN Group:1 Kernel PIT G EN G GR :Encrypt G EN G GR :Decrypt PIT G EN G GR :Decrypt G EN G GR :Encrypt IP:G GR IP:P GR GSRA Router IP:P IN HN:Alice Group:1 Internal Node Group Authentication Request Alice, G1 Group Authentication Response t Mapping Request Mapping Response proccess 23

33 GSRA によるリモートアクセス (3/3) アドレス変換通信生成したテーブルに従ってアドレスが変換される EN side NRT VAT PIT Alice :G GR :V IN {G EN V IN } {G EN G GR } {G EN G GR } :Encrypt {G EN G GR } :Decrypt GR side mapping table PIT {G EN G GR } {P GR P IN } {G EN G GR } :Decrypt {G EN G GR } :Encrypt IP:G EN Group:1 IP:P IN IP:G GR HN:Alice External Node IP:P GR Group:1 Application Kernel GSRA Router Internal Node restore { G EN G GR } {P GR P IN } {G EN V IN } {G EN G GR } {P GR P IN } 24

34 改良 GSRA バインディング処理 TCP の再送制御の特性を利用 HR でマップされるポート番号, シーケンス番号は再送前と同値 Binding Req(TCP):NAT に穴をあけた後破棄ネゴシエーション完了後送信されるのはこのパケットの再送として処理 Binding Req(ICMP): マッピングアドレスを EN に通知続くマッピング処理時に送信元情報として使用 IP:G EN Group:1 External Node IP:G HR IP:G GR IP:P GR IP:P IN HN:Alice Group:1 Application Kernel Home Router GSRA Router Internal Node TCP copy Group Authentication Binding Request(ICMP) Binding Request(TCP) drop retry Binding Response(ICMP) G HR :m Mapping TCP 25

Vol.54 No (June 2013) GSRAv2 1,a) 1,b) 1,c) 1,d) , IPsec-VPN SSL-VPN OpenVPN PacketiX VPN GSRA Group-based Secure Remote

Vol.54 No (June 2013) GSRAv2 1,a) 1,b) 1,c) 1,d) , IPsec-VPN SSL-VPN OpenVPN PacketiX VPN GSRA Group-based Secure Remote GSRAv2 1,a) 1,b) 1,c) 1,d) 2012 9 21, 2013 3 1 IPsec-VPN SSL-VPN OpenVPN PacketiX VPN GSRA Group-based Secure Remote Access NAT GSRA GSRA NAT GSRAv2 GSRAv2 NAT VPN Proposal and Evaluation of GSRAv2 that