17、轻量级机会性隧道（LOT）技术解析

轻量级机会性隧道（LOT）技术解析

1. 引言

在互联网安全领域，防止IP欺骗和DDoS攻击是至关重要的任务。轻量级机会性隧道（LOT）作为一种新兴的技术，旨在解决这些安全问题，同时保持高效性和易用性。本文将详细介绍LOT的设计目标、部署场景、握手协议、网络块验证以及隧道通信等方面的内容。

2. LOT概述

LOT接收发往特定地址的数据包，同时限制接收方的工作量。与IKE和TCP cookie以及φ - 过滤机制类似，LOT在处理每个传入（欺骗）数据包时，最大开销为发送一个响应数据包并计算一个高效的共享密钥加密伪随机函数。当计算资源充足且需要防范中间人攻击时，可以使用IPsec或类似的隧道机制替代LOT的隧道，但仍可使用LOT的机会性隧道设置机制，这样能减少设置IPsec隧道的管理工作。

3. LOT设计目标

LOT具有以下几个重要的设计目标：
- 防止IP欺骗 ：LOT的基本目标是防止互联网上的盲目（欺骗）攻击者向LOT网关发送来自其他LOT网关后面网络的数据包。前提是两个网关已经建立了LOT隧道。
- 不造成损害 ：LOT隧道旨在提高安全性，特别是防御IP欺骗和DDoS攻击。但这些改进不能导致效率或可靠性的显著损失。LOT隧道的建立和操作应具有最小的开销，对路由的影响也应最小。同时，LOT机制本身不能被滥用来进行DoS、欺骗或其他攻击。
- 增量式、仅边缘部署 ：部署新的互联网安全机制具有挑战性，尤其是涉及隧道的机制。因此，LOT应具有增量式的特点，即使在采用率非常有限的情况下也能提供价