5. EVALUATIONWe evaluate advantages

5. EVALUATION

We evaluate advantages of the proposed method from the viewpoint of the requirements.


Requirement 1: Protection of VPN gateways from malicious traffic

The proposed method complements IKE, which is an end-to-end protocol, with SIP implemented as a user-to-network protocol to enable session-based border control by the network. Hence, the network provides users with a safe environment where only packets for admitted sessions arrive besides SIP signaling packets. A user is protected from malicious SIP signaling because SIP messages are delivered by way of the network’s CSCF server.

Furthermore, phase 1 admission control effectively reduces attacks on IKE/IPsec functions. However, this depends on the authenticity of caller ID in SIP signaling. Therefore, there is a requirement that NGN assure the authenticity of caller ID.

Some may argue that this session-oriented approach sacrifices the advantages of the IP, a connectionless protocol. We admit that five-tuple-based packet-flow control is a burden on routers and degrades the scalability of a network. However, we consider that the advantage of network safety outweighs the burden because it creates opportunities to increase the number of ordinary users of a VPN. Furthermore, when the network does not perform session-based border control, the proposed method enables home gateways and ESIP servers to perform session-based border control and thus helps users eliminate malicious traffic. Hence, the proposed method is still valid even when we take a design approach to favor connectionless network control.


Requirement 2: Separation of VPN gateways from an edge firewall router

In the proposed method, the introduction of SIP yields the following advantages that allow VPN gateways to be separated from enterprise firewalls.

First, the introduction of SIP enables an enterprise firewall to open and close pinholes dynamically, recognizing the state change of VPN sessions. Second, the indication of destination, i.e., VPN gateway, is first carried out using a SIP-URI in a SIP request, so a VPN gateway does not need a global IP address. This is advantageous in an IPv4 implementation. Third, a two-phase admission control is achieved, enabling VPN gateways to restrict incoming sessions at SIP signaling before receiving IKE messages. By contrast, if we were to separate VPN gateways from an enterprise firewall using the conventional IKE/IPsec method, a global IP address should be assigned to each VPN gateway and mapped to its local IP address at the firewall. Hence, in an IPv4 implementation, placing many VPN gateways is difficult.

Another feature of the proposed method is that it performs an end-to-end authentication and protection using IKE and IPsec. Therefore, even if SIP messages are compromised in an enterprise network, the VPN peers can detect such attacks using the end-to-end authentication.


Requirement 3: Reservation of QoS

The proposed method enables the network to perform session-based QoS management by recognizing the requested QoS from SIP messages.

There may be an alternative approach such as the introduction of RSVP to complement IKE and IPsec for QoS reservation. However, we would like to argue that if the NGN were to implement SIP-based QoS management for VoIP and other real-time communication, naturally, we may want to apply the same mechanism to other session-oriented communication including remote VPN.


Requirement 4: Hand-over of VPN session

The proposed method achieves the hand-over of IPsec security association (SA) by enabling a mobile terminal to notify its peer entity about its address change using SIP messages. The basic hand-over procedure achieves route optimization by avoiding triangular routing. The scheme using a NAPT as a MAP achieves fast hand-over, which is effective for a long-haul VPN session.

One alternative is to adopt the mobile IP. In mobile IPv6, VPN peers continue security associations without being affected by the change of IP address[25]. Hence, both approaches are valid, and they share some similarities. For example, route optimization in mobile IP is equivalent to the address update procedure using SIP reINVITE messages. Binding update to the home agent in mobile IP is similar to the address registration procedure using SIP REGISTER messages. However, the SIP REGISTER procedure does not affect media flows. In addition, both approaches introduce MAPs.

In terms of hand-over delay, mobile IP may be advantageous because binding update to home agent does not need re-authentication of a mobile terminal in mobile IPv6, while the SIP REGISTER procedure involves authentication. In addition, as reported in [26], the mobile IPv6 function can be implemented in the kernel, so mobile IPv6 is likely to outperform SIP mobility when using typical implementations. However, we consider that further investigation including experiments should be conducted to evaluate the significance of this difference. If both approaches could satisfy a tolerance of hand-over delay, the difference is negligible.

Kết quả (Việt) 1:

5. ĐÁNH GIÁChúng tôi đánh giá các lợi thế của phương pháp được đề xuất từ quan điểm của các yêu cầu.Yêu cầu 1: Bảo vệ của VPN cổng từ lưu lượng truy cập độc hạiCác phương pháp được đề nghị bổ sung cho IKE, mà là một giao thức kết thúc để kết thúc, với SIP thực hiện như một người sử dụng mạng lưới giao thức để cho phép điều khiển biên giới phiên dựa trên mạng. Do đó, mạng cung cấp người dùng với một môi trường an toàn nơi mà duy nhất gói cho phiên làm việc thừa nhận đến bên cạnh SIP tín hiệu gói. Người dùng được bảo vệ từ độc hại SIP tín hiệu vì SIP thư được gửi bằng cách mạng của CSCF máy chủ.Hơn nữa, giai đoạn 1 nhập học kiểm soát có hiệu quả làm giảm cuộc tấn công vào chức năng IKE/IPsec. Tuy nhiên, điều này phụ thuộc vào tính xác thực của người gọi ID trong SIP tín hiệu. Vì vậy, có là một yêu cầu rằng NGN đảm bảo tính xác thực của người gọi ID.Một số có thể tranh luận rằng cách tiếp cận theo định hướng phiên này hy sinh những lợi thế của IP, một giao thức connectionless. Chúng tôi thừa nhận rằng kiểm soát dòng chảy gói 5-tuple dựa trên là một gánh nặng trên router và làm giảm khả năng mở rộng của một mạng lưới. Tuy nhiên, chúng ta xem xét rằng lợi thế của mạng an toàn outweighs gánh nặng vì nó tạo ra những cơ hội để tăng số lượng người sử dụng bình thường của một VPN. Hơn nữa, khi mạng không thực hiện điều khiển biên giới phiên dựa trên, các phương pháp được đề xuất cho phép nhà cổng và ESIP máy chủ để thực hiện điều khiển biên giới phiên dựa trên và do đó giúp người dùng loại bỏ lưu lượng truy cập độc hại. Do đó, các phương pháp được đề xuất là vẫn còn hợp lệ ngay cả khi chúng tôi thực hiện một cách tiếp cận thiết kế để ưu tiên điều khiển mạng connectionless.Yêu cầu 2: Tách VPN cổng từ một cạnh tường lửa của routerTrong phương pháp được đề xuất, sự ra đời của SIP mang lại những ưu điểm sau đó cho phép VPN cổng được tách ra từ doanh nghiệp tường lửa.Trước tiên, sự ra đời của SIP cho phép một tường lửa doanh nghiệp để mở và đóng pinholes tự động, công nhận sự thay đổi trạng thái của VPN phiên. Thứ hai, dấu hiệu điểm đến, tức là, VPN cổng, lần đầu tiên thực hiện bằng cách sử dụng SIP URI trong một yêu cầu SIP, do đó, một cửa ngõ VPN không cần một địa chỉ IP toàn cầu. Điều này là thuận lợi trong việc thực hiện IPv4. Thứ ba, một điều khiển two-phase nhập học được thực hiện, cho phép VPN cổng để hạn chế các phiên họp tại SIP tín hiệu trước khi nhận được tin nhắn IKE. Ngược lại, nếu chúng tôi để tách VPN cổng từ một tường lửa doanh nghiệp bằng cách sử dụng phương pháp IKE/IPsec thông thường, một địa chỉ IP toàn cầu nên được gán cho mỗi cổng nối VPN và ánh xạ tới địa chỉ IP địa phương tại các bức tường lửa. Do đó, trong việc thực hiện IPv4, đặt nhiều VPN cổng là khó khăn.Một tính năng của các phương pháp được đề xuất là rằng nó thực hiện một kết thúc để kết thúc xác thực và bảo vệ bằng cách sử dụng IKE và IPsec. Vì vậy, ngay cả khi SIP thư đang bị tổn hại trong một mạng doanh nghiệp, đồng nghiệp VPN có thể phát hiện các cuộc tấn công bằng cách sử dụng xác thực end-to-end.Yêu cầu 3: Đặt phòng của QoSCác phương pháp được đề xuất cho phép mạng để thực hiện quản lý QoS dựa trên phiên làm việc bằng cách công nhận QoS được yêu cầu từ SIP thư.Có thể có một cách tiếp cận khác chẳng hạn như sự ra đời của RSVP để bổ sung cho IKE và IPsec cho QoS tại. Tuy nhiên, chúng tôi muốn tranh luận rằng nếu NGN đã thực hiện quản lý QoS SIP dựa trên VoIP và truyền thông thời gian thực khác, tự nhiên, chúng tôi có thể muốn áp dụng cơ chế tương tự cho phiên làm việc theo định hướng giao tiếp bao gồm cả từ xa VPN.Yêu cầu 4: Bàn tay-trên VPN phiênĐề xuất phương pháp đạt được tay-trên của Hiệp hội bảo mật IPsec (SA) bằng cách cho phép một nhà ga điện thoại di động để thông báo cho thực thể ngang nhau về thay đổi địa chỉ của nó bằng cách sử dụng SIP thông điệp. Các thủ tục bàn tay-về cơ bản đạt được tối ưu hóa tuyến đường bằng cách tránh định tuyến hình tam giác. Chương trình bằng cách sử dụng một NAPT như bản đồ đạt được nhanh chóng trên tay, đó là hiệu quả cho buổi VPN haul dài.Một cách khác là thông qua IP điện thoại di động. Trong điện thoại di động IPv6, VPN đồng nghiệp tiếp tục Hiệp hội an ninh mà không bị ảnh hưởng bởi thay đổi địa chỉ IP [25]. Do đó, cả hai phương pháp tiếp cận là hợp lệ, và họ chia sẻ một số điểm tương đồng. Ví dụ, tuyến đường tối ưu hóa trong điện thoại di động IP là tương đương với thủ tục cập nhật địa chỉ bằng cách sử dụng SIP reINVITE tin nhắn. Ràng buộc Cập Nhật để các đại lý nhà ở điện thoại di động IP là tương tự như thủ tục đăng ký địa chỉ bằng cách sử dụng SIP đăng ký thư. Tuy nhiên, thủ tục SIP đăng ký không ảnh hưởng đến dòng chảy phương tiện truyền thông. Ngoài ra, cả hai phương pháp tiếp cận giới thiệu bản đồ.Trong điều khoản của sự chậm trễ trên tay, điện thoại di động IP có thể thuận lợi do ràng buộc Cập Nhật cho nhà đại lý không cần tái xác thực của một nhà ga điện thoại di động trong điện thoại di động IPv6, trong khi nhâm nhi đăng ký thủ tục liên quan đến việc xác thực. Ngoài ra, theo báo cáo trong [26], chức năng IPv6 điện thoại di động có thể được thực hiện trong hạt nhân, do đó, điện thoại di động IPv6 có khả năng tốt hơn SIP di động khi sử dụng điển hình hiện thực. Tuy nhiên, chúng ta xem xét rằng tiếp tục điều tra bao gồm thí nghiệm nên được thực hiện để đánh giá ý nghĩa của sự khác biệt này. Nếu cả hai phương pháp có thể đáp ứng một khoan dung của sự chậm trễ trên tay, sự khác biệt là không đáng kể.