多功能IP代理服务器的用户管理设计与安全策略
随着信息技术的告诉发展和网络的逐步普及, 互联网已经深入到人们日常生活中的方方面面, 可以说互联网已经成为人们工作、学习、生活、娱乐中不可或缺的工具。截止到2010年, 我国网民数量已经突破4.2亿, 然而我国分配到的IP地址八千多万个, 远远低于人均一个IP地址的标准。为了有效解决IP地址资源紧张的状况, 越来越多的公司、单位、机构或者学校在他们自己的局域网的建设中使用了IP代理服务器系统。
1 工作原理浅析
代理服务器使用的是内网终端需要通过代理服务器才能与外网进行信息传输, 而外网主机只能访问到代理服务器这种代理机制。通常, 较为流行的是采取IP代理方式, 基于这种方式的I P代理服务器能够使没有分配到IP地址的内网终端通过分配到I P地址的代理服务器顺利访问到外网主机。其工作原理是:当一台内网终端需要访问外网主机时, 需要向工作在I P层的服务器发送一个IP包, 这是服务器会将该IP包的源地址和TCP/IP包中的端口号分别替换成自己现有的IP地址和一个临时生成的端口号, 与此同时, 服务器会将该源IP地址和该临时端口号记录下来, 当外网主机发送I P包返回时, 代理服务器就能过自动识别并将该IP包替换其IP地址和端口号然后发送到内网终端。由于现在的代理服务器都安装有动态主机设置协议即DHCP, 服务器能够自动的动态分配I P地址给内网终端, 使得内网用户在访问外网主机时几乎感觉不到代理服务器的存在。
2 存在的注意缺点
IP代理服务器虽然在使用便利等方面有许多优点, 但在用户管理上存在一些不足。由于它是基于IP层工作, 因此IP代理服务器对信息访问的控制职能基于I P报文, 因在用户身份认证方面就出现了很大漏洞, 对用一个内网终端上的不同用户不能分别进行计费, 也不能对不同的用户实施不同的安全策略。因此, 在进行IP代理服务器的用户管理设计时首先要加入一个包括了认证管理的管理系统。
3 用户管理系统的设计
目前较为广泛使用的身份认证机制是口令验证机制, 但采用这种机制的用户管理系统大多存在一些安全隐患。首先, 系统中的用户口令往往是以明文形式储存验证, 其次, 用户口令的输入和传输也是采用的明文形式, 因此口令泄露出去是非常简单的事情, 一些别有用心的人可以利用系统漏洞、监听线路或者伪造登陆界面等方式轻易的获取到。
出于对以上问题的考虑, 为了保障用户信息的安全, 在用户系统和安全策略设计时应首先对用户口令进行单向函数加密, 以密文的形式在系统中传输和储存, 而且只能加密不能解密, 同时也大大提高用户在输入口令时的安全性。目前较为以普遍的服务器操作系统是Linux, 因此可以使用DES加密口令, 对于一些对安全性较为敏感的单位服务器还可以用随机数来确定DES算法中的E置换办法来减小被破译的可能性。
4 安全策略的设计
在解决了用户身份认证问题后下面需要考虑用户账号和密码的管理问题。创建用户账号的一般方式是管理员在服务器上直接操作, 将账号加入服务器上的/etc/password文件中, 并且给这些用户最低的权限是的他们无法访问服务器上的文件。
用户在获得账号时需要更改初始密码, 初始密码往往是由管理员设置的如123456或者admin。, 服务器端的daemon监听到内网终端向服务器发送更改用户密码的请求时会提示用户输入原始密码、新密码等验证信息, 用户将信息输入完后发送到服务器, 服务器端daemon会调用相应的函数更改并保存新的用户密码, 这是整个过程结束。
在设计用户管理系统时, 需要利用Linux系统中的PAM库来调用各种认证函数。PAM库支持认证管理、账户管理、密码管理和会话管理四个界面。通过PAM库的认证模块administrator可以在不重新编写、编译程序的情况下变更认证机制。它是应用程序编程接口用来确认用户的应用程序, 为系统管理时候进行用户信息确认提供了广泛的严格控制。PAM库可以进行单独配置也可以利用/etc/pam.d/终端配置文件一起来配置, 单独配置的方法是通过设置/etc/pam.conf文件来实现的。
在PAM提供的四个界面中, Authentication management (认证界面) 主要是核对认证用户名和密码等, 以提示输入密码并进行核对为例, 设置保密字如用户组或KERBEROS通行证;Account management (帐户管理界面) 主要负责检测核对用户收费被允许登陆、账号是否已经过期、账号是否存在登陆条件限制等等;Password management (密码管理界面) 主要用来修改用户密码。用户在通过了前面三个界面的认证后Session management (会话管理界面) , 将会出现主要是提供对会话的管理和记账, 用来安装用户的H O M E目录, 用户的E-mail, 界面管理等初始化红做。
在PAM中, Authentication managemen t (认证界面) :包括‘pare-authenticate () ’函数用来认证账号和密码, ‘pam-sered () ’用来更新或者删除账号的credentials。Account management (帐户管理界面) :包括‘pare-ac ct—mgmt () ’用来核对检验用户的有效性, 他能检查出登陆超时与否以及账号是不是在有效期内。password management (密码管理界面) 包括:‘pam-chauthtok () ’修改账号密码用的。程序通过调用‘pam-slart () ’和‘pare-end () ’来开始或结束一次PAM事务。‘pam-get.item () ’和‘pam-set.item () ’读写有关事务的信息。可以用‘pam-suerlDr () ’来取得错误信息oSessionmanagement包括‘p am-open.session () ’和‘pam-dose-session () 用于对话过程的管理。例如;可以用来纪录用户的连接时间。一次telnet过程实际上也是一个session。
摘要：随着我国信息技术的发展, IP地址逐渐成为网络时代发展的瓶颈, 为了有效解决IP地址资源紧张的状况, 越来越多的单位、机构在他们自己的局域网的建设中使用了IP代理服务器系统。但是由于技术和硬件的限制, 服务器的安全性和用户管理方面存在一些缺陷和不便, 本文将浅析IP代理服务器的工作原理, 分析其优缺点, 并着重探讨多功能IP代理服务器的用户管理设计与安全策略。
关键词：多功能IP代理服务器,用户管理,安全策略
参考文献
[1] 刘育楠, 马军.局域网安全与代理服务器设置[M].北京:清华大学出版社, 2004.
[2] 孙青.代理服务器安装配置与应用[M]北京:冶金工业出版社, 2002.
[3] Douglas E.Comer, David L.Stevens.INTERNETWORKING WITH TCP/IP[M].北京:电子工业出版社, 2001.
[4] 周明天, 汪文勇.TCP/IP网络原理与技术[M].北京:清华大学出版社, 1996.
[5] 汤子瀛, 哲凤屏.计算机操作系统[M].西安:西安电子科大出版社, 1995.
[6] 张焕国, 等.计算机安全保密技术[M].北京:机械出版杜, 1995.