The mobile terminal and the VPN gat

The mobile terminal and the VPN gateway first set up a SIP session with a UDP media path by exchanging SIP messages by way of the CSCF server and the ESIP server. This is performed using an ordinary SIP INVITE message sequence with the following features. The m-line[22] of the INVITE request should include the IP address and UDP port number that the mobile terminal uses for IKE and UDP-encapsulated IPsec ESP communication. The b-line[22] of the request should include QoS parameters. The response to the INVITE request should include the IP address and UDP port number that the VPN gateway uses.

NAPT may optionally be inserted in the middle of the media path. In that case, the SIP proxy that decides to insert NAPT should re-write the c-line and m-line of SIP messages with the bound IP address and port number.

The CSCF server and the RACF server handle the requested session in the same manner as they handle real-time communication sessions. They perform session-based border control [23] and QoS reservation for the requested session. To elaborate, the CSCF server obtains the five-tuple key (the IP address and port number of each of the two end-points and the protocol type) and QoS parameters from the SIP INVITE messages and prompts the RACF server to update the packet forwarding policy of edge routers so that packets with the five-tuple key are forwarded with the declared QoS. In this way, the network performs session-based border control to protect home gateways from malicious traffic and QoS management to improve the stability of applications.

Similarly, enterprise networks perform session-based border control for firewall traversal. To elaborate, the ESIP server obtains the five-tuple key from the SIP INVITE messages and updates the filter spec of the enterprise firewall so that the enterprise firewall forwards packets with the five-tuple key. In this way, a media path traversing an enterprise firewall is established for VPN communication.

It is worth noting that the network and enterprise networks do not have to recognize VPN-specific parameters used for the mechanisms mentioned above. Hence, the CSCF and RACF functions for other SIP-based communications such as VoIP, can also be used for the proposed VPN method.

The VPN gateway performs admission control in two phases. The first admission control is performed on the basis of the caller's SIP-URI, when the VPN gateway receives the SIP INVITE request. The second admission control is IKE authentication, which is executed after session set-up. This two-phase approach enables VPN peers to detect an attack compromising identities in SIP signaling.

Once the session is set up, the mobile terminal and the VPN gateway start exchanging IKE and UDP-encapsulated IPsec ESP (Encapsulating Security Payload) data over the established media path. Although the IKE standard specifies that the UDP port number of the IKE responder is a well-known value, the proposed method requires the mobile terminal to send IKE messages to the UDP port number specified in the SIP INVITE response message.

In IKE authentication, the VPN peers should use identifiers other than the IP address because IP addresses of mobile terminals are not static. Another reason is that an IP address cannot identify a VPN entity when NAPT is used by the network or enterprise firewalls. A method for IKE authentication may be either X.509-based or pre-shared-key-based. In case authentications are based on pre-shared keys, a mobile terminal or a VPN gateway may have a different key for each peer, and the key to be used is determined on the basis of the caller’s SIP-URI.
A method for the distribution of IKE authentication credentials, such as X.509 certificates and pre-shared keys, is outside the scope of this paper but is an issue for further study. That method should be sufficiently easy to accommodate unskillful users. At the same time, that method should not be dependent on SIP signaling to maintain the benefit of the two-phase admission control. Alternatively, if we were to sacrifice two-phase admission control for the sake of usability, a possible approach would be to embed a key-exchange protocol in SIP SDP [24] to generate a pre-shared key for IKE authentication. This approach would provide better usability because users are not required to install IKE credentials.

Kết quả (Việt) 1:

Thiết bị đầu cuối điện thoại di động và là cửa ngõ VPN đầu tiên thiết lập một phiên SIP với một đường dẫn truyền thông UDP bằng cách trao đổi SIP thư bằng cách máy chủ CSCF và máy chủ ESIP. Điều này được thực hiện bằng cách sử dụng SIP mời trình tự bình thường thông báo một với các tính năng sau đây. Dòng m [22] của yêu cầu lời mời nên bao gồm các địa chỉ IP và số hiệu cổng UDP nhà ga điện thoại di động sử dụng cho giao tiếp IKE và đóng gói UDP IPsec ESP. B-dòng [22] của yêu cầu nên bao gồm QoS tham số. Đáp ứng yêu cầu lời mời nên bao gồm các địa chỉ IP và số hiệu cổng UDP cổng nối VPN sử dụng.NAPT tùy chọn có thể được chèn ở giữa đường dẫn phương tiện truyền thông. Trong trường hợp đó, SIP proxy quyết định để chèn NAPT nên tái viết c-line và m-line SIP thư với ràng buộc địa chỉ và cổng số IP.Hệ phục vụ CSCF và máy chủ RACF xử lý các phiên họp được yêu cầu theo cùng một cách như họ xử lý thông tin liên lạc thời gian thực buổi. Họ thực hiện điều khiển biên giới phiên dựa trên [23] và QoS tại cho phiên được yêu cầu. Xây dựng, máy chủ CSCF lấy được chìa khóa 5-tuple (địa chỉ và cổng số IP của mỗi hai hiệu và loại giao thức) và QoS tham số từ SIP mời thư và nhắc nhở các máy chủ RACF để Cập Nhật gói chuyển tiếp các chính sách của edge router để gói dữ liệu với phím 5-tuple được chuyển tiếp với QoS tuyên bố. Bằng cách này, mạng thực hiện kiểm soát phiên dựa trên biên giới để bảo vệ nhà cổng từ lưu lượng truy cập độc hại và QoS quản lý để cải thiện sự ổn định của ứng dụng.Tương tự, mạng doanh nghiệp thực hiện điều khiển biên giới phiên-dựa cho tường lửa traversal. Xây dựng, máy chủ ESIP lấy được chìa khóa 5-tuple từ SIP mời thư và Cập Nhật spec lọc của tường lửa doanh nghiệp để các bức tường lửa doanh nghiệp chuyển tiếp gói dữ liệu với phím 5-tuple. Bằng cách này, một đường dẫn truyền thông vượt qua một tường lửa doanh nghiệp được thành lập để liên lạc VPN.Nó là đáng chú ý rằng các mạng và mạng doanh nghiệp không cần phải nhận ra tham số đặc trưng cho VPN được sử dụng cho các bộ phận đã đề cập ở trên. Do đó, các chức năng CSCF và RACF cho liên lạc dựa trên SIP khác chẳng hạn như VoIP, cũng có thể được sử dụng cho phương pháp VPN được đề xuất.Cổng nối VPN thực hiện kiểm soát nhập học trong hai giai đoạn. Kiểm soát nhập học đầu tiên được thực hiện trên cơ sở của người gọi SIP-URI, khi cổng nối VPN nhận được yêu cầu SIP mời. Kiểm soát nhập học thứ hai là xác thực IKE, được thực hiện sau khi thiết lập phiên. Cách tiếp cận two-phase này cho phép bạn đồng trang lứa VPN để phát hiện một cuộc tấn công ảnh hưởng đến bản sắc trong SIP tín hiệu.Sau khi phiên họp được thiết lập, thiết bị đầu cuối điện thoại di động và là cửa ngõ VPN bắt đầu trao đổi IKE và đóng gói UDP IPsec ESP (đóng gói an ninh hàng) dữ liệu trên đường dẫn phương tiện truyền thông được thành lập. Mặc dù các tiêu chuẩn IKE xác định số hiệu cổng UDP của IKE responder là một giá trị nổi tiếng, các phương pháp được đề xuất đòi hỏi nhà ga điện thoại di động để gửi IKE thư đến số hiệu cổng UDP được chỉ định trong thư phản ứng SIP mời.Trong xác thực IKE, đồng nghiệp VPN nên sử dụng định danh khác hơn so với địa chỉ IP vì địa chỉ IP của thiết bị đầu cuối điện thoại di động không tĩnh. Một lý do là rằng địa chỉ IP không thể xác định một thực thể VPN khi NAPT được sử dụng bởi các mạng hoặc doanh nghiệp tường lửa. Một phương pháp để xác thực IKE có thể là dựa trên X.509 hay trước-shared phím-dựa trên. Trong trường hợp authentications được dựa trên pre-shared, một nhà ga điện thoại di động hoặc cổng nối VPN có thể có một chìa khóa khác nhau cho mỗi ngang, và chìa khóa để được sử dụng được xác định trên cơ sở của người gọi SIP URI.Một phương pháp để phân phối thông tin xác thực IKE, chẳng hạn như giấy chứng nhận X.509 và Pre-Shared, là bên ngoài phạm vi của bài báo này nhưng là một vấn đề để nghiên cứu thêm. Rằng phương pháp nên dễ dàng để phù hợp với người dùng unskillful. Cùng lúc đó, phương pháp đó không phải là phụ thuộc vào SIP tín hiệu để duy trì lợi ích của việc kiểm soát two-phase nhập học. Ngoài ra, nếu chúng tôi đã hy sinh two-phase nhập học kiểm soát vì lợi ích của khả năng sử dụng, một cách tiếp cận có thể sẽ là để nhúng một giao thức trao đổi phím tại SIP SDP [24] để tạo ra một khóa chia sẻ trước cho xác thực IKE. Cách tiếp cận này sẽ cung cấp khả năng sử dụng tốt hơn bởi vì người dùng không cần phải cài đặt thông tin đăng nhập IKE.

Kết quả (Việt) 2:

Các thiết bị đầu cuối di động và các cổng VPN đầu tiên thiết lập một phiên SIP với một phương tiện truyền thông con đường UDP bằng cách trao đổi các thông điệp SIP bằng cách của các máy chủ và máy chủ CSCF ESIP. Điều này được thực hiện bằng cách sử dụng bình thường SIP INVITE tin liên tục với các tính năng sau đây. M-dòng [22] được yêu cầu INVITE nên bao gồm địa chỉ IP và số cổng UDP mà thiết bị đầu cuối di động sử dụng cho IKE và UDP-đóng gói truyền thông IPsec ESP. B-dòng [22] được yêu cầu phải bao gồm các thông số QoS. Các đáp ứng yêu cầu INVITE nên bao gồm địa chỉ IP và số cổng UDP mà gateway VPN sử dụng. NAPT tùy chọn có thể được chèn vào giữa của con đường phương tiện truyền thông. Trong trường hợp đó, các proxy SIP rằng quyết định để chèn NAPT nên viết lại c-line và m-dòng tin nhắn SIP với địa chỉ IP và số cổng ràng buộc. Các máy chủ CSCF và máy chủ RACF xử lý được các yêu cầu trong cùng một như cách họ xử lý các buổi truyền thông thời gian thực. Họ thực hiện kiểm soát dựa trên phiên biên giới [23] và đặt phòng QoS cho phiên họp yêu cầu. Xây dựng, máy chủ CSCF có được chìa khóa năm bộ (địa chỉ IP và số cổng của mỗi hai điểm kết cuối và các loại giao thức) và các thông số QoS từ SIP INVITE thông báo và nhắc nhở các máy chủ RACF để cập nhật các gói chuyển tiếp chính sách của bộ định tuyến biên do đó các gói với phím năm tuple được chuyển tiếp với QoS tuyên bố. Bằng cách này, mạng thực hiện kiểm soát biên giới dựa trên phiên để bảo vệ cổng nhà quản lý giao thông và QoS độc hại để cải thiện sự ổn định của ứng dụng. Tương tự như vậy, các mạng doanh nghiệp thực hiện kiểm soát biên giới dựa trên phiên cho traversal tường lửa. Xây dựng, máy chủ ESIP có được chìa khóa năm tuple từ SIP INVITE tin nhắn và cập nhật các thông số bộ lọc của tường lửa doanh nghiệp từ đó tường lửa doanh nghiệp chuyển các gói tin với chính năm tuple. Bằng cách này, một con đường phương tiện truyền thông đi qua một bức tường lửa doanh nghiệp được thành lập để giao tiếp VPN. Điều đáng chú ý là các mạng mạng và doanh nghiệp không cần phải nhận ra VPN cụ thể các thông số được sử dụng cho các cơ chế nêu trên. Do đó, các chức năng CSCF và RACF cho thông tin liên lạc dựa trên SIP khác như VoIP, cũng có thể được sử dụng cho các phương pháp VPN được đề xuất. Các cổng VPN thực hiện kiểm soát nhập học trong hai giai đoạn. Việc kiểm soát nhập học đầu tiên được thực hiện trên cơ sở của người gọi SIP-URI, khi cổng VPN nhận được SIP INVITE yêu cầu. Việc kiểm soát nhập học thứ hai là IKE xác thực, được thực hiện sau khi phiên thiết lập. Cách tiếp cận hai giai đoạn này cho phép đồng nghiệp VPN để phát hiện một cuộc tấn công ảnh hưởng đến danh tính trong báo hiệu SIP. Sau khi phiên được thiết lập, các thiết bị đầu cuối di động và các cổng VPN bắt đầu trao đổi dữ liệu IKE và UDP-đóng gói IPsec ESP (Encapsulating Security Payload) trong thành lập con đường phương tiện truyền thông. Mặc dù tiêu chuẩn IKE xác định rằng số cổng UDP của IKE trả lời là một giá trị nổi tiếng, các phương pháp đề xuất yêu cầu các thiết bị đầu cuối di động để gửi tin nhắn IKE số cổng UDP quy định trong SIP INVITE tin nhắn phản hồi. Trong IKE xác thực, VPN đồng nghiệp nên sử dụng các định dạng khác so với địa chỉ IP bởi vì địa chỉ IP của thiết bị đầu cuối di động không tĩnh. Một lý do khác là một địa chỉ IP không thể xác định một thực thể VPN khi NAPT được sử dụng bởi mạng, doanh nghiệp bức tường lửa. Một phương pháp để chứng thực IKE có thể được, hoặc X.509 dựa trên hoặc pre-shared-key-based. Trong trường hợp xác thực dựa trên các phím trước khi chia sẻ, một thiết bị đầu cuối di động hoặc cổng VPN có thể có một chìa khóa khác nhau cho mỗi bạn bè, và chìa khóa để sử dụng được xác định trên cơ sở của người gọi SIP-URI. Một phương pháp để phân phối các thông tin xác thực IKE, chẳng hạn như chứng chỉ X.509 và các phím trước khi chia sẻ, nằm ​​ngoài phạm vi của bài viết này nhưng là một vấn đề để nghiên cứu thêm. Đó là phương pháp nên được đầy đủ dễ dàng để phù hợp người sử dụng vụng về. Đồng thời, phương pháp đó không phải là phụ thuộc vào tín hiệu SIP để duy trì lợi ích của việc kiểm soát nhập học hai giai đoạn. Ngoài ra, nếu chúng ta hy sinh kiểm soát nhập học hai giai đoạn, vì lợi ích của khả năng sử dụng, một cách tiếp cận có thể sẽ được nhúng một giao thức chìa khóa trao đổi trong SIP SDP [24] để tạo ra một khóa tiền chia sẻ cho IKE xác thực. Cách tiếp cận này sẽ cung cấp khả năng sử dụng tốt hơn bởi vì người dùng không cần phải cài đặt các thông tin IKE.