[论文解读] On the Design and Implementation of Structured P2P VPNs

David Isaac Wolinsky, Linton Abraham+5 more|arXiv (Cornell University)|Jan 14, 2010

Peer-to-Peer Network Technologies参考文献 28被引用 8

一句话总结

本文提出了一种结合去中心化对等节点发现、NAT穿透以及基于DHT的自适应中继选择的结构化P2P VPN架构，同时通过Web界面实现部分自动化的PKI，以支持安全、用户友好的群组管理。该系统实现了端到端的全隧道加密，相较于现有P2P VPN具有更高的安全性，定量评估结果表明其在延迟、带宽和内存使用方面具有竞争力。

ABSTRACT

Centralized Virtual Private Networks (VPNs) when used in distributed systems have performance constraints as all traffic must traverse through a central server. In recent years, there has been a paradigm shift towards the use of P2P in VPNs to alleviate pressure placed upon the central server by allowing participants to communicate directly with each other, relegating the server to handling session management and supporting NAT traversal using relays when necessary. Another, less common, approach uses unstructured P2P systems to remove all centralization from the VPN. These approaches currently lack the depth in security options provided by other VPN solutions, and their scalability constraints have not been well studied. In this paper, we propose and implement a novel VPN architecture, which uses a structured P2P system for peer discovery, session management, NAT traversal, and autonomic relay selection and a central server as a partially-automated public key infrastructure (PKI) via a user-friendly web interface. Our model also provides the first design and implementation of a P2P VPN with full tunneling support, whereby all non-P2P based Internet traffic routes through a trusted third party and does so in a way that is more secure than existing full tunnel techniques. To verify our model, we evaluate our reference implementation by comparing it quantitatively to other VPN technologies focusing on latency, bandwidth, and memory usage. We also discuss some of our experiences with developing, maintaining, and deploying a P2P VPN.

研究动机与目标

• 解决集中式和非结构化P2P VPN的局限性，包括可扩展性问题、安全性薄弱以及缺乏全隧道支持。
• 设计一种P2P VPN，消除对中心服务器进行链路管理的依赖，同时保持强安全性和可用性。
• 在去中心化的P2P网络中实现安全的全隧道互联网流量传输，通过基于稳定性和接近度的自动中继选择机制。
• 提供基于群组的、用户友好的Web界面，以半自动化方式管理成员资格和公钥基础设施（PKI）。
• 评估系统在延迟、带宽和内存使用方面相对于现有VPN技术的性能表现。

提出的方法

• 系统使用结构化P2P DHT（如Pastry或Chord）将虚拟IP地址映射到节点ID，实现去中心化的对等节点发现与路由。
• 通过公共P2P系统进行引导机制，仅对群组成员建立私有、可信的覆盖网络。
• 在NAT穿透和直接通信失败时，使用中继节点，中继选择基于运行时间和延迟。
• 通过将所有非P2P流量路由至指定网关的加密隧道实现全隧道，确保端到端安全性。
• 通过基于群组的、部分自动化的PKI实现安全控制，管理员可通过Web界面批准或撤销成员资格。
• 系统支持点对点（PtP）和端到端（EtE）通信，通过相互认证和加密通道保障安全。

实验结果

研究问题

• RQ1 如何设计一种P2P VPN，使其在保持强安全性和去中心化的同时支持全隧道传输？
• RQ2 哪些机制能够在无中心控制的前提下，实现P2P VPN中安全的自动中继选择？
• RQ3 通过Web界面集成半自动化的PKI在不损害安全性的前提下，如何提升可用性？
• RQ4 与传统的集中式VPN相比，去中心化的P2P架构在延迟、带宽和内存方面存在哪些性能权衡？
• RQ5 像Pastry和Chord这样的结构化P2P系统在多大程度上可被适配以支持安全、可扩展的P2P VPN功能？

主要发现

• 所提出的P2P VPN在延迟、带宽使用和内存消耗方面与现有集中式和基于P2P的VPN解决方案相比表现出具有竞争力的性能。
• 该系统成功在P2P环境中实现全隧道传输，确保所有互联网流量均被加密并经由可信网关路由。
• 基于节点稳定性和接近度的中继选择机制，在直接连接失败时可建立高效且鲁棒的通信路径。
• 通过Web界面实现的、由群组管理的PKI，实现了安全、用户友好的成员管理，支持通过CRL、DHT事件和广播消息实现的撤销机制。
• 该架构可移植于FreePastry和NChord等结构化P2P系统，证明其与现有DHT基础设施的兼容性。
• 评估结果证实，该系统为中小企业和协作性学术环境中的集中式及非结构化P2P VPN提供了一种可行、安全且可扩展的替代方案。