[논문 리뷰] On the Design and Implementation of Structured P2P VPNs

David Isaac Wolinsky, Linton Abraham외 5명|arXiv (Cornell University)|2010. 01. 14.

Peer-to-Peer Network Technologies참고 문헌 28인용 수 8

한 줄 요약

이 논문은 분산된 피어 발견, NAT 통과, 그리고 DHT를 이용한 자동 릴레이 선택을 결합한 구조적 P2P VPN 아키텍처를 제안한다. 또한 웹 인터페이스를 통한 부분 자동화된 PKI를 통합하여 보안적이고 사용자 友好的인 그룹 관리를 가능하게 한다. 이 시스템은 기존 P2P VPN보다 향상된 보안성을 확보한 완전 터널링을 지원하며, 정량적 평가를 통해 경쟁력 있는 지연 시간, 대역폭 및 메모리 사용량을 입증하였다.

ABSTRACT

Centralized Virtual Private Networks (VPNs) when used in distributed systems have performance constraints as all traffic must traverse through a central server. In recent years, there has been a paradigm shift towards the use of P2P in VPNs to alleviate pressure placed upon the central server by allowing participants to communicate directly with each other, relegating the server to handling session management and supporting NAT traversal using relays when necessary. Another, less common, approach uses unstructured P2P systems to remove all centralization from the VPN. These approaches currently lack the depth in security options provided by other VPN solutions, and their scalability constraints have not been well studied. In this paper, we propose and implement a novel VPN architecture, which uses a structured P2P system for peer discovery, session management, NAT traversal, and autonomic relay selection and a central server as a partially-automated public key infrastructure (PKI) via a user-friendly web interface. Our model also provides the first design and implementation of a P2P VPN with full tunneling support, whereby all non-P2P based Internet traffic routes through a trusted third party and does so in a way that is more secure than existing full tunnel techniques. To verify our model, we evaluate our reference implementation by comparing it quantitatively to other VPN technologies focusing on latency, bandwidth, and memory usage. We also discuss some of our experiences with developing, maintaining, and deploying a P2P VPN.

연구 동기 및 목표

• 중앙 집중식 및 비정형 P2P VPN의 한계, 즉 확장성 문제, 약한 보안성, 완전 터널링 지원 부족을 해결하기 위해.
• 링크 관리에 중앙 서버에 의존하지 않으면서도 강력한 보안성과 사용성을 유지하는 P2P VPN을 설계하기 위해.
• 안정성과 근접도를 기반으로 자동 릴레이 선택이 가능한 분산된 P2P 오버레이를 통해 인터넷 트래픽을 보안성 있는 터널로 완전 터널링하기 위해.
• 반자동 방식으로 관리되는 웹 인터페이스를 통한 그룹 기반 웹 인터페이스를 제공하여 멤버십 및 공개 키 인프라(PKI)를 사용자 친화적으로 관리하기 위해.
• 기존 VPN 기술과 비교하여 지연 시간, 대역폭, 메모리 사용량 측면에서 시스템 성능을 평가하기 위해.

제안 방법

• 가상 IP 주소를 노드 ID로 매핑하기 위해 구조적 P2P DHT(Pastry 또는 Chord 등)를 사용하여 분산된 피어 발견 및 라우팅을 가능하게 한다.
• 공개 P2P 시스템을 통한 부트스트래핑 메커니즘을 활용하여 그룹 구성원 전용의 비공개이고 신뢰할 수 있는 오버레이를 형성한다.
• NAT 통과 및 직접 통신을 위해 직접 연결에 실패할 경우 릴레이 노드를 사용하며, 릴레이 선택은 가동 시간과 지연 시간을 기반으로 한다.
• 완전 터널링은 비-P2P 트래픽을 모두 보안성 있는 암호화 터널을 통해 지정된 게이트웨이로 라우팅함으로써 구현되며, 종단 간 보안을 보장한다.
• 관리자가 멤버십을 승인하거나 취소할 수 있도록 웹 인터페이스를 통해 부분 자동화된 그룹 기반 PKI를 통해 보안을 강화한다.
• 상호 인증과 암호화된 채널을 통해 보장되는 포인트 투 포인트(PtP) 및 종단 간(EtE) 통신을 모두 지원한다.

실험 결과

연구 질문

• RQ1 P2P VPN이 강력한 보안성과 분산성 유지 조건에서 완전 터널링을 지원할 수 있도록 설계하는 방법은 무엇인가?
• RQ2 중앙 집중적 제어 없이도 P2P VPN에서 안전하고 자동적인 릴레이 선택을 가능하게 하는 메커니즘은 무엇인가?
• RQ3 웹 인터페이스를 통한 반자동 PKI 통합이 보안성을 훼손하지 않으면서도 사용성을 어떻게 향상시키는가?
• RQ4 지연 시간, 대역폭, 메모리 측면에서 분산된 P2P 아키텍처와 기존 중앙 집중식 VPN 간의 성능 상충 관계는 어떻게 나타나는가?
• RQ5 Pastry 및 Chord와 같은 구조적 P2P 시스템이 보안성과 확장성을 갖춘 P2P VPN 功能을 지원하도록 얼마나 잘 적응될 수 있는가?

주요 결과

• 제안된 P2P VPN은 기존 중앙 집중식 및 P2P 기반 VPN 솔루션과 비교해도 경쟁력 있는 지연 시간, 대역폭 사용량 및 메모리 소비를 달성한다.
• 시스템은 P2P 환경에서 완전 터널링을 성공적으로 구현하여 모든 인터넷 방향 트래픽이 암호화되고 신뢰할 수 있는 게이트웨이를 통해 라우팅됨을 보장한다.
• 노드의 안정성과 근접도를 기반으로 한 릴레이 선택은 직접 연결이 실패했을 경우 효율적이고 내구성이 높은 통신 경로를 제공한다.
• 웹 기반의 그룹 관리 PKI 통합은 CRL, DHT 이벤트 및 브로드캐스트 메시지를 통한 취소 메커니즘을 포함하여 보안적이고 사용자 友好的인 멤버십 관리 기능을 제공한다.
• 이 아키텍처는 FreePastry 및 NChord와 같은 구조적 P2P 시스템 간 이식 가능성을 보이며, 기존 DHT 인fra와의 호환성을 입증한다.
• 평가 결과, 이 시스템은 중앙 집중식 및 비정형 P2P VPN에 비해 실용적이고 보안적이며 확장 가능한 대안으로서 중소기업 및 협업 기반 학술 환경에서 유의미한 성능을 제공하는 것으로 확인되었다.