LIC安全交换路由协议的NetFPGA实现(上)

　　本项目中的LIC(Link Interface Code)安全路由协议是在“一体化可信网络”体系架构下，设计的一种新型的路由协议，数据包在进入核心网时，IP包被封装在LIC报文中，IP包头的地址、端口号在核心网的传输过程中被加密和隐藏起来，以确保核心网络的通信安全性。

　　本系统首次对LIC协议进行了硬件实现，将系统进行了软件和硬件功能的划分，硬件部分是系统的主要组成部分，实现了协议的路由转发的核心功能。软件部分主要是对协议与用户交互部分界面的开发及对协议所需的IP数据包的格式进行定义，以配合硬件实现。同时，在原有LIC协议的基础上，加入了身份认证、白名单、IP地址加密、端口转换及远程可重配置等安全机制，并进行了硬件实现。

　　功能与指标

　　本项目的主要目的是利用NetFPGA实现路由层安全交换路由协议，并借助于接入认证、白名单、数据加密、不可见端口映射、硬件可重构技术以增强网络通信的安全性。

　　需要指出的是，LIC在数据转发过程中，a)采用的是LIC路由，而不是IP地址，故数据包报头中的源、目的IP地址信息在传输过程中可以被隐藏或加密，这在IP交换中是做不到的，b) LIC报文的报头长度和内容在传输过程中会不断更新和变化。基于上述两个原因，网络窃听者在捕获到LIC的数据包后很难分析出数据包的源与目的是谁，这在一定程度上大大增强网络通信的安全性。此外，路由器的LIC编码是独立进行的，因而可以实施一定的策略，定期或随机地更新和变化路由节点内部的LIC，以进一步提高通信的安全性，而这样的操作在LIC中并不会引起大的开销。故，LIC能有效提高网络通信的安全性.

　　系统架构

　　本系统就是建立在实验室已有的三台NetFPGA开发平台之上进行实现。NetFPGA是由斯坦福大学开发设计的一个可重用平台，他的出现使研究人员可以在硬件级别的开发环境上搭建Gb/s级的网络系统模型，LIC安全交换路由协议充分利用其适合于网络协议开发的特性，同时也在最大程度上发挥NetFPGA路由交换的功能。在这里要说明的是，LIC安全交换路由协议不仅限于此结构，即使在更大的拓扑中其依然可以正常运行。

　　系统采用了三台NetFPGA和三台终端，如图2所示，R1，R2，R3为NetFPGA节点，S，T，Q为三台终端，由于设备的限制(NetFPGA数量有限)，但能搭建一个最小的多点网络，我们的系统正是建立在这样一个结构之上的。