基于MIP和HIP的移动管理方案设计

1 引言

　　下一代一体化网络中异质网络的接人及其移动性和安全性是目前迫切需要解决的问题。为此，本文提出一种基于MIP和HIP的移动管理方案，有助于解决一体化网络中的移动和安全等问题。

　　MIP是因特网建议标准，是解决IP网络中移动性管理的早方案，也是成熟的支持主机移动的技术。虽然它基本解决了主机移动时保持原会话不中断的问题，但该技术的性能、不同网络互连以及安全问题均没有得到满意的解决。于是，引出了对MIP中移动性和安全性都有所提高的主机身份协议HIP。

　　HIP的关键思想就是断开网络层和传输层的紧密耦合，使应用层和传输层的连接不受IP地址变化的影响。当IP地址在一个连接中变化时，HI保持不变，由此保证了连接的不中断。在支持HIP的主机中，IP地址只是用于路由和寻址功能，而HI则用来标识一个连接所对应的终端主机，代替连接套接字中所使用的IP地址。

　　HIP协议提供了两个终端主机之间快速的HI值交换。HIP基本交换建立了两个主机问双向的IPSec SA，如图1所示。当一个节点I要发起对R的HIP连接时，它首先查询目录服务器(如DNS)，获取R对应的地址、HI值和HIT值，之后开始4个数据包的基本交换。首先，由I发送一个I1包，请求R的HIP对话。于是，R就发出R1，开始了交换，R1包含产生的Diffie-Hellman密钥交换算法的DH半会话密钥，以及它自己的公钥HI，同时附上它的签名。当I接收到R1包之后，就可通过R的公钥检验R1包是否来自R。同时，产生自己的DH半会话密钥，结合R的半会话密钥计算得出DH会话密钥，然后由该会话密钥产生HIP的SA，并使用该SA来加密数据包的信息。这些信息加上I的签名后作为I2发送给R。这时，R解开I的DH半会话密钥，计算DH会话密钥和创建SA，并获得I的公钥，通过签名确认该信息是I发送的。R2包用来确认并保护I免受重放攻击。另外，由于在I2包发送时已建立会话密钥，所以从第3个包开始就已能在基本交换中携带发送数据。

　　在基本交换之后，通信双方就确认了对方确实持有HI所对应的私钥，基本交换建立了一对不同方向的IPSec ESP的SA。另外，由于HIP工作在IP层之上，所以每个数据包中都会含有至少40 byte的HIP负载；而ESP又内含HIP的信息，因此，在实际应用中，除了HIP基本交换和维护HIP状态时需要HIP负载之外，在后续数据传输中就不再需要HIP负载了；而HIT实际上已经隐含在SPI中，通过SPI就可得到对应的HIT值以及对应的秘密信息。

　　HIP的实现是在网络层与传输层之间插入3.5层主机标识层，用于标识连接终端。HlP负载实际上类似于IPv6的一个扩展头。HIP网络的层次结构如图2所示，其所使用的标识符称为HI，是公私钥对中的公钥，通常存放在DNS中。由于HI的长度因不同的公钥体制算法而不同，所以在实际协议中通常使用固定长度的HIT(HostIdentity Tag)值。HIT值是对HI的128位Hash结果值，前两位比特的选择使其保持与IPv6地址空间的兼容性。

2 新的移动管理方案

2.1 方案的提出

　　通过前两节对MIP和HIP的详细分析，可看出两种方案都存在着不足之处。

　　MIP中，采用IPSec机制来保护MN和HA之间的安全通信，而在MN和CN之间用返回路由可达机制，虽然从一定程度上缓解了移动通信的安全威胁，但是还需要进一步改进协议加强安全保护。另外，虽然可把HoA作为主机的标识符，但从本质上讲，IP地址只是代表通信主机在网络中的拓扑位置，因此，使用IP地址作为主机的身份，必然带来灵活性差，安全机制复杂等问题。

　　与MIP相比，HIP有很多优点，是目前整合解决移动、多宿主和安全问题的方案。但是，在实施HIP协议时也不得不考虑其带来的开销，尤其对于安全要求不高或者数据量很小的应用来讲，HIP的开销显得代价过高。在必要的时候应用原来的通信方式，同时尽可能地使用HIP协议，这是目前对待HIP协议的正确态度，也是本方案提出的根据所在。

　　本文借鉴HIP协议中主机的身份和位置信息相分离的思想，以及MIP中移动节点的家乡地址固定不变而实质上通过转交地址来进行数据包的收发过程，从而提出使用一个3元组(HI，HoA，Port)来标识通信连接，既可实现主机身份和IP地址的分离，又可实现方便高效地移动管理。

2.2 过程的详细描述

2.2.1 数据结构

　　本文在传输层使用HI来标识通信主机，在网络层使用HoA标识主机的网络位置，而HI和HoA的映射关系在HI层进行。外出数据包在传输层用标识会话连接，在HI层完成HI到HoA的动态绑定；进入数据包在HI层完成HoA到HI的映射后，再提交到传输层。其位置关系如图3所示。

　　在HI层，HI和IP地址的映射表也类似于HA维护的绑定缓存表项，其中包括节点的HI，HoA，CoA，生存期、顺序号字段等。

2.2.2 连接建立过程

连接建立过程如图4所示。

　　使用HIP中4次握手过程代替了MIP中返回路径可达过程，从而能更好地进行移动管理，并且提高了移动过程的安全性。需要指出的是，SA的更新过程是HIP的标准过程(图中没有表示)。

　　1)CN和MN通信，先发起“DNS查询请求”消息，希望获得MN对应的地址、HI和HIT等；

　　2)DNS经过查询，给CN返回“DNS查询响应”消息，告诉其MN对应的HoA，HI及HIT等；

　　3)CN向MN发送HIP的I1消息，请求MN的HIP对话，这一消息被HA截获；

　　4)HA查询绑定缓存表，然后将收到的I1消息通过隧道发给MN目前的CoA；

　　5)MN向CN发送HIP的R1消息，开始了交换，R，包含产生的DH半会话密钥，以及它自己的公钥HI，同时附上它的签名，这一消息通过反向隧道先发到HA；

　　6)HA查看地址后，将R1消息发给CN；

　　7)CN接收到R1包之后，就可通过MN的公钥HI检验R1包是否来自MN，同时，它产生自己的DH半会话密钥，结合MN的半会话密钥汁算得出DH会话密钥，然后由该会话密钥产生HIP的SA，并使用该SA来加密数据包的信息，这些信息加上CN的签名后作为I2消息直接发送给MN的CoA；

　　8)MN收到I2消息后，解开CN的DH半会活密钥，计算DH会话密钥和创建HIP SA，并获CN的公钥，通过签名确认该信息是CN发送的，然后直接发送HIP的R2消息给CN，R2包用来确认并保护CN免受重放攻击；

　　9)至此，HIP的协商过程就完成了，并建立了用于通信的SA，MN和CN可以开始正常的通信。

2.2.3 通信过程

　　连接建立之后，MN和CN就可进行正常的通信，而且这一过程在IPSec的保护下，所以安全性比较高。

2.3 新方案分析

　　本文在传输层使用HI来标识通信主机。采取这种方法的好处是：

　　1)HI只用来标识主机身份，与主机位置无关，所以无论主机移动到什么位置，HI保持不变，这就屏蔽了主机的移动对会话的影响，实现了移动对上层的透明性；

　　2)HIP可实现，而IPSec可实现数据加密，所以将HIP协议和IPSec协议结合起来使用，可利用HIP的协商机制，协商出IPSec安全连接所用的密钥，以建立IPSec安全连接，因此，它为使用基于身份的方法和IPSec协议保护信令和数据通信提供了准备条件。

　　本文在网络层使用HoA来标识主机的网络位置，其好处是：

　　1)上层可见的只有移动节点的HoA，而实质上是通过改变移动节点的CoA进行通信，实现了移动对网络中其他通信实体的透明性；

　　2)使用移动节点的HoA，避免了DNS的动态更新，节约了DNS查询所需要的网络带宽，减少了网络延时；

　　3)使用移动节点的CoA，使得家乡代理和通信节点都能访问到移动节点，为随时随地不间断通信提供了基本条件；

　　4)增强了系统的健壮性，可处理通信双方的同时移动问题。

　　在MIP和HIP中，使用SPI(Security Parameter In-dex)标识安全关联，本文也采用这种标识方法，所以不必在每个受SA保护的数据包中传输身份载荷，从而节约了网络带宽。对于外出的数据包，HI层首先根据HI查找SA，然后完成HI到HoA的映射，IP层根据SA对数据包进行IPSec协议处理；对于进入的数据包，IP层使用SPI查找SA，并对数据包进行IPSec协议处理。HI层在完成HoA到HI的映射后，根据HI查找SA，如果查到的SA与先前使用的SA不同，则丢弃该数据包；否则接收该数据包，并交与传输层处理。

2.4 与MIP和HIP比较

　　下面将提出的新方案与MIP和HIP进行性能比较，其结果列于表1中。

　　可见，本方案在灵活性、安全性及数据传输的连续性方面都比MIP和HlP好，只是它的实现难度仍然有点大，这也是下一步的主要工作。

3 小结

　　MIP是目前网络层解决移动管理的主要方法，HIP是下一代因特网的主机身份标识手段。本文对以上两种技术进行了综合分析和利用，提出一种基于MIP和HIP的移动管理方案。该移动管理方案通过MIP的HA机制，增强了系统的健壮性；通过分离传输层标识符和网络层IP地址，简化了移动环境下会话连接的管理。因此，本方法对基于电信网、因特网和广播电视网融合的下一代一体化网络体系架构的研究与设计具有一定的参考价值。