18、轻量级机会主义隧道（LOT）与隐蔽定时信道技术解析

轻量级机会主义隧道（LOT）与隐蔽定时信道技术解析

1. 轻量级机会主义隧道（LOT）

LOT 是一种网络通信技术，它在数据包中添加的内容相对较少，仅 12 字节。下面我们详细了解其工作原理、安全假设、面临的问题及解决方案，还有相关测试情况。

1.1 LOT 网关的工作流程

• 内部网络到外部网络 ：当 LOT 网关从其保护的网络中的主机接收数据包，要转发到外部网络的地址时，会先检查其现有 LOT 隧道数据库中是否有目的地址块包含该数据包目的 IP 的条目。若有，就从数据库中取出相应的 LOT 尾部添加到数据包末尾，并按上述方式修改 IP 长度和头部校验和字段；若没有，LOT 则按原样转发该数据包，并随机发送一个 LOT 握手问候包。
• 外部网络到内部网络 ：当 LOT 网关从外部网络接收数据包，要转发到自己网络中的主机时，会检查数据库中是否有与数据包中指定的源 IP 匹配的条目。若没有，就将数据包转发到目的主机；若有，只有当数据包末尾包含 LOT 标记和有效 cookie 时，网关才会解封装并转发该数据包。为提高效率，LOT 网关会保留一个包含有效 cookie 及其对应网络块的小缓存，仅当 cookie 不在缓存中时，才使用函数 F 重建 cookie。

graph TD;
    A[接收内部到外部数据包] --> B{检查数据库};
    B -- 有匹配 --> C[添加LOT尾部并修改字段];
    B -- 无匹配 --> D[原样转发并