安全加密路由器浅析

21世纪即将到来，互联网的热潮冲击着整个世界。所有发达国家都已建成了多个、多种国家级的计算机网络，并互联成覆盖全球的计算机网络。据统计入网主机数量超过4000万台，连入的计算机子网已达60多万个，Internet迅速商业化并在社会中大量应用，它已成为现代社会的重要信息基础设施之一。

----随着Internet技术的迅猛发展，网络规模不断扩大，网络结构更加复杂。目前，组建大型计算机信息网络的关键技术是TCP/IP网络互联和路由器技术，特别是在Internet中，路由器起着重要的作用。着眼于国家信息安全，1997年“国务院信息化工作领导小组办公室”提出了国际联网安全研究项目，在网络安全关键设备和网络安全关键技术两类10多个课题中，就包括了国产安全（加密）路由器设备的研究。

----当前，国内市场所流通的（包括国产的和国外的）几乎都是“普通路由器”和“不具有加密功能的安全路由器”。这些路由器有的只有路由功能而没有安全、加密功能；有的只增加了包过滤功能。下面我们要讨论集常规路由器和安全、加密功能于一体的内嵌式“安全（加密）路由器”。

解决的主要问题
----网络已从单个的、封闭的计算机网发展为开放的互联网。并由此带来以下变化：

----封闭网到开放网：社会的发展和人们工作、生活的需求，是网络技术发展的动力；网络技术的发展又进一步刺激着人们工作、生活模式的变更。单个的Intranet网在很多情况下已不能满足（或不能很好地满足）人们工作和生活的需要，网络由封闭走向互联和开放已成趋势。

----集团通信到个人通信：以前，计算机网络通信几乎都是集团（部门、单位、企业等）的行为，个人行为是微乎其微的。随着网络技术的发展和人们工作、生活等各方面需求的变更，个人通信在增加，所占比例越来越大。

----有中心网到无中心网：从网络体系来讲，封闭的Intranet网是有中心网（一级网、二级网等）；而互联网属无中心网，网络之间可以自由通信、自由交互、自由往来。

----网络安全问题更加突出：由于互联网是无中心网，网络之间可以自由通信、自由交互、自由往来，因此，网络安全问题更加突出。如何保证网络设备自身的安全以及存储在其上或通过其传输的敏感信息的安全，就成为必须解决的问题。

----安全（加密）路由器是保证互联网（同时也包括Intranet和Extranet）信息安全的关键设备之一,它需要解决的主要问题是：

----防止虚假路由信息的接收和路由器的非法接入

----发送虚假路由信息，使路由器路由混乱、阻塞，从而导致网络瘫痪是黑客可用的手段之一,黑客也常常将“自制路由器”接入到网络之中。安全（加密）路由器应当对路由器具有鉴别功能，能够阻止路由器的非法接入。在Intranet/Extranet网中需要解决和保证虚假路由信息的辨认，对虚假路由信息拒收。

----防止非授权人员的入侵

----非授权人员，从路由器的操作系统入手，从“后门”侵入路由器，从而更改路由表或窃取有用信息，是需要特别加以防范的。

----对路由信息和IP数据报的加密保护

----路由器是网络的转接设备，它不断地接收和发送路由信息和IP数据报。因此，路由信息和敏感的IP数据报的安全保护就成为极其重要的问题。安全（加密）路由器应当具有对路由信息和敏感IP数据报的加密保护功能。它涉及加密算法、密钥、数据完整性和数字签名等问题。

----加密算法的选择：出于对国家信息安全的考虑和对国外安全产品是否留有“陷门”的忧虑，并遵守国家有关政策、法规，设备应当选择我国有关部门批准的加密算法。在进行加密作业时，则尽量做到一次一密。

----密钥的管理：密钥是加密作业中最活跃的因素，所谓“一次一密”，简言而之，就是每次加密所用的密钥互不相同。因此，从某种意义上说，保密的关键是密钥，它应考虑以下几个方面：密钥种子、密钥的随机性；密钥的种类和层次；密钥长度；密钥生成算法的复杂度；密钥（含密钥生成算法及密钥自身）保护；密钥的存储、传输、更换和废除以及密钥的管理方式等。

----数据完整性验证：严密的设计应当考虑IP数据报完整性验证，当然，也可以对传送的密钥做完整性验证，或者两者都做。在某些应用环境或考虑到某些因素的情况下，也可以不进行数据完整性验证。

----数字签名：这是对发报者的确认，也是发报者自身严肃性的体现。采用加密技术做数字签名，对很多作业来说是需要的。但同数据完整性验证一样，在某些应用环境或考虑到某些因素的情况下，也可以不进行数字签名。

----复杂网络加密的正确性和系统的可用性

----这是指解决多个路由器、一次一密的情况下，相互通信（一对多）的正确性。

----由于加密是一个完整的流程，相对不加密来说，必然也必须附加一些动作，因此，效率的降低（甚至是明显的降低）也是必然的。一方面，要尽量使所设计的安全（加密）路由器机制效率更高；再者，要对系统进行综合考虑，在保密和效率之间进行权衡。

内嵌式设计框架
　
----对安全（加密）路由器的设计，这里不展开叙述，只是讨论它的设计框架。

----产品定位（功能设计）

----路由器和安全加密模件有机集成内嵌式的安全（加密）路由器，这样的路由器具有以下功能和特点：

----1内嵌式体系结构

----将加密模件放在路由器里，路由器与加密模件集成为一体，进行内部交互。这与路由器外挂加密机的外挂式体系结构有着明显的区别。

----保密性：一般来说，内嵌式路由器结构较外挂式好。路由器大都设有多个（低端路由器为2～3个）广域口，外挂式解决多个广域口的保密问题比较复杂，内嵌式相对来说要简单一些；再者，外挂式的加密在路由器外部进行，内嵌式的加密是在路由器内部进行的；第三，内嵌式比外挂式较为容易实现一次一密。

----灵活性：内嵌式可以由用户自行设置要加密的客户机和（或）服务器，而外嵌式则对经过路由器的所有客户机和服务器的IP数据报都要加密；从密钥管理来看，内嵌式亦较外挂式优越，在设置分布式密钥管理机制情况下，可不专设密钥管理中心。

----经济性：由于内嵌式是将加密模件集成到路由器里，而不是像外挂式那样，做成一台独立的机器，因此，成本较低；第二，设计成分布式密钥管理时，可不加配密钥管理中心，系统集成比较经济。

----效率：内嵌式安全（加密）路由器的加密模件集成在安全(加密)路由器里，可以将加密做成硬件，和路由器进行内部交互（这种交互是比较多的）连接，加密速度较快；另外，采用分布式密钥管理机制，不用与密钥管理中心进行交互。因此，内嵌式的效率一般来说要比外挂式高。

----2加密算法和密钥

----这是一个敏感而又重要的问题，必须按国家的有关政策和法规办事。

----加密

【相关文章】

• 如何有效测试无线路由器的安全功能

• 保障网络安全：合理配置路由器的安全措施