[論文レビュー] On the Design and Implementation of Structured P2P VPNs

David Isaac Wolinsky, Linton Abraham+5 more|arXiv (Cornell University)|Jan 14, 2010

Peer-to-Peer Network Technologies参考文献 28被引用数 8

ひとこと要約

本論文は、分散型ピア発見、NATトラバーサル、およびDHTを用いた自律的レレイ選定を統合する構造的P2P VPNアーキテクチャを提案する。また、Webインターフェースを通じた部分自動化されたPKIを統合し、安全で使いやすいグループ管理を実現する。このシステムは、既存のP2P VPNよりも強化されたセキュリティを備えたフルトンネルを実現し、定量的評価により、競争力のあるレイテンシ、帯域幅、メモリ使用量を示している。

ABSTRACT

Centralized Virtual Private Networks (VPNs) when used in distributed systems have performance constraints as all traffic must traverse through a central server. In recent years, there has been a paradigm shift towards the use of P2P in VPNs to alleviate pressure placed upon the central server by allowing participants to communicate directly with each other, relegating the server to handling session management and supporting NAT traversal using relays when necessary. Another, less common, approach uses unstructured P2P systems to remove all centralization from the VPN. These approaches currently lack the depth in security options provided by other VPN solutions, and their scalability constraints have not been well studied. In this paper, we propose and implement a novel VPN architecture, which uses a structured P2P system for peer discovery, session management, NAT traversal, and autonomic relay selection and a central server as a partially-automated public key infrastructure (PKI) via a user-friendly web interface. Our model also provides the first design and implementation of a P2P VPN with full tunneling support, whereby all non-P2P based Internet traffic routes through a trusted third party and does so in a way that is more secure than existing full tunnel techniques. To verify our model, we evaluate our reference implementation by comparing it quantitatively to other VPN technologies focusing on latency, bandwidth, and memory usage. We also discuss some of our experiences with developing, maintaining, and deploying a P2P VPN.

研究の動機と目的

• 中央集権的および非構造的P2P VPNの限界、特にスケーラビリティの問題、弱いセキュリティ、フルトンネルサポートの欠如を解消すること。
• リンク管理に中央サーバーに依存しないP2P VPNを設計し、強固なセキュリティと使いやすさを維持すること。
• 安定性と近接性に基づく自動レレイ選定を用いて、分散型P2Pオーバーレイ上で信頼できるゲートウェイを介して、すべてのインターネットトラフィックを安全にトンネル化すること。
• グループベースのWebインターフェースを提供し、メンバー管理および公開鍵基盤（PKI）を半自動的に管理する、使いやすいユーザーインターフェースを実現すること。
• 既存のVPN技術と比較して、レイテンシ、帯域幅、メモリ使用量の観点から、本システムの性能を評価すること。

提案手法

• 仮想IPアドレスをノードIDにマップするため、構造的P2P DHT（例：PastryまたはChord）を用いて、分散型ピア発見とルーティングを実現する。
• 公開P2Pシステムを介したブートストラップメカニズムを用い、グループメンバーに限定されたプライベートで信頼できるオーバーレイを構築する。
• NATトラバーサルおよび直接通信のために、直接接続に失敗した場合にレレイノードを活用し、稼働時間とレイテンシに基づいてレレイ選定を行う。
• すべての非P2Pトラフィックを、指定されたゲートウェイを経由して暗号化されたトンネルにルーティングすることで、フルトンネルを実装し、エンドツーエンドのセキュリティを確保する。
• 管理者がメンバー承認または削除を可能にする、グループベースで部分自動化されたPKIを介してセキュリティを強化する。
• 相互認証と暗号化チャネルを介して保護されるポイントツーポイント（PtP）およびエンドツーエンド（EtE）通信を両方サポートする。

実験結果

リサーチクエスチョン

• RQ1 P2P VPNは、強固なセキュリティと分散性を維持しながら、どのようにフルトンネルを実現できるか？
• RQ2 中央集権的制御なしに、P2P VPNで安全で自動的なレレイ選定を実現するメカニズムは何か？
• RQ3 Webインターフェースを介した半自動化されたPKIの統合は、セキュリティを損なわずに使いやすさをどのように向上させるか？
• RQ4 レイテンシ、帯域幅、メモリの観点から、分散型P2Pアーキテクチャと従来の中央集権的VPNの間にはどのような性能的トレードオフがあるか？
• RQ5 Pastry や Chord のような構造的P2Pシステムは、セキュアでスケーラブルなP2P VPN機能をサポートするために、どの程度適合可能か？

主な発見

• 提案されたP2P VPNは、既存の中央集権的およびP2PベースのVPNソリューションと比較して、レイテンシ、帯域幅使用量、メモリ消費量において競争力のあるパフォーマンスを達成している。
• 本システムは、P2P環境においてもフルトンネルを成功裏に実装し、すべてのインターネット向けトラフィックが暗号化され、信頼できるゲートウェイを経由してルーティングされることを保証している。
• ノードの安定性と近接性に基づくレレイ選定により、直接接続が失敗した場合でも、効率的で耐障害性の高い通信経路が実現されている。
• Webベースでグループ管理されるPKIの統合により、CRL、DHTイベント、ブロードキャストメッセージを介したレバケーション機構を備えた、安全で使いやすいメンバー管理が可能になっている。
• 本アーキテクチャは、FreePastry や NChord のような構造的P2Pシステムに容易に移植可能であり、既存のDHTインfraに互換性があることが示された。
• 評価結果から、本システムは中小企業および共同研究環境における中央集権的および非構造的P2P VPNの代替として、実用的で安全かつスケーラブルな選択肢であることが確認された。