首页 -> 安全研究

安全研究

绿盟月刊
绿盟安全月刊->第16期->安全文摘
期刊号: 类型: 关键词:
基于IPsec的虚拟专用网在Unix上的组建

日期:2000-12-14

来源:Linux技术支持站点  


原理篇

1. 前言

随着Internet的不断发展,由于其方便快捷,很多大公司和政府部门或民间组织都用它来传输数据,这些单位的各个部门往往都是跨地区的,相隔很远,如果全部用自己的专线,其价格非常昂贵。于是利用Internet这样的公共网络来传输私有数据就可以节省大量费用。但是这样的后果就是非常不安全,在Internet上,数据随时可能会被不怀好意的网络入侵者窃取或修改,因此,数据在传输过程中必须被加密,接收方和发送方通过一个虚拟的安全隧道来传输信息,这就是虚拟专用网技术。如果是在TCP或UDP层加密,那么通过截取IP层的数据同样可以获得机密信息,在IP层使用加密和认证就非常安全了,这就是IPsec(IP安全体系结构)技术。目前利用IPsec来实现VPN(虚拟专用网)成为一种发展趋势。

2. IP协议的安全体系结构

IPv4的包本身没有提供任何安全保护,黑客可以通过信息包探测、IP电子欺骗、连接截获、replay攻击(是一种不断发相同序列号的包使系统崩溃的攻击方法)等方法来攻击。因此,我们收到的数据包存在着以下危险:并非来自合法的发送者; 数据在传输过程中被人修改; 数据内容已被人窃取(想想如果是军事机密等重要信息的话,这是致命的)。IPsec的目的就是为了实现数据传输的完整性(源地址验证和保证数据没有被修改)和机密性(没有被人看过)以及提供一定程度的对replay攻击的保护。IPsec可用它为IP及其上层协议(TCP和UDP等)提供安全保护。
RFC2401规定了IPsec的基本结构,它利用认证头标(AH)和封装化安全净荷(ESP)来实现数据的认证和加密。前者用来实现数据的完整性,后者用来实现数据的机密性。同时对数据的传输规定了两种模式:传送模式和通道模式。在传送模式中,IP头与上层协议头之间嵌入一个新的IPsec头(AH或ESP); 在通道模式中,要保护的整个IP包都封装到另一个IP数据包里,同时在外部与内部IP头之间嵌入一个新的IPsec头。两种IPsec头都可以同时以传送模式和通道模式工作。图1 说明了分别在两种模式下的IP包。

原始的数据包

传送模式受保护
的数据包
通道模式受保护
的数据包

图1 处于传送和通道模式下的受IPsec保护的数据包

IPsec是由四大组件组成,它们是因特网密钥交换进程、IPsec进程本身、安全联盟数据库和安全策略数据库。
IPsec中有两个重要的数据库,分别是安全联盟数据库SAD和安全策略数据库SPD。SAD中的每一个元组是一个安全联盟SA,它是构成IPsec的基础,是两个通信实体经协商建立起来的一种协定,它决定了用来保护数据包安全的IPsec协议、转码方式、密钥以及密钥的有效存在时间等。SPD中的每一个元组是一条策略,策略是指应用于数据包的安全服务以及如何对数据包进行处理,是人机之间的安全接口,包括策略定义、表示、管理以及策略与IPsec系统各组件间的交互。两个数据库联合使用。对于发送方,每个SPD的元组都有指针指向相关的SAD的元组。如果一个SPD的元组没有指向适合发送包的SA,那么将会创建新的SA或SA束,并将SPD的元组和新的SA元组链接起来。对于接收方,通过包头信息包含的IP目的地址、IP安全协议类型(AH或ESP)和SPI(安全参数索引)在SAD中查找对应的SA。SA中其他字段为序列号、序列号溢出标志、Anti-replay 窗口、AH认证算法和密钥、ESP加密算法和密钥及初始化矩阵、ESP认证算法及密钥等等。
因特网密钥交换(IKE)是IPsec最为重要的部分,在用IPsec保护一个IP包之前,必须先建立一个SA,IKE用于动态建立SA。IKE代表IPsec对SA进行协商,并对SAD数据库进行填充。RFC2409所描述的IKE是一个混合型的协议,它建立在由Internet安全联盟和密钥管理协议(ISAKMP)定义的一个框架上,见RFC2408。IKE使用了两个阶段的ISAKMP。第一阶段建立IKE安全联盟,第二阶段利用这个既定的安全联盟,为IPsec协商具体的安全联盟。
IPsec进程本身就是用来实现整个IPsec的守护进程,用户可以通过和这个进程打交道来管理自己的安全策略,实现适合自己需要的网络安全。当然,每个开发组织的源代码不一样,用户管理的界面和方式就不一样,但是它们都必须遵守RFC的规范,最终的目的都应该是差不多的。通常,IPsec的源代码是嵌入到内核IP层源代码中的,也有人提出在其层次在IP之上,TCP之下,两种方式都可以。

3. 虚拟专用网

虚拟专用网(VPN)是专用网的扩展,它的通信两端之间通过的是公用传输介质如Internet。VPN允许你在两台计算机之间通过公共传输介质通信,就好像是自己的端到端的专用网一样。为了模拟端到端的专用网,数据必须被加上一个路由信息头,以便能够在Internet上找到正确的路径; 同时为了数据的安全,数据包在传输过程中必须被加密。图2说明了VPN的逻辑概念,VPN连接使用户可以在家工作或者在出差的旅途中利用公用介质如Internet来和公司总部的机器连接。从用户的角度来看,VPN是一个VPN的客户端与服务器端的端到端的的连接,Internet等公共介质的网络结构是无关紧要的,因为从逻辑上看,数据是在专用网上传输。VPN也可以使公司在地域上分割的各个分部之间通过Internet传输信息,信息必须在一个安全的通道中传播,从逻辑上看就像一个WAN上的专用网。
VPN的一个重要的特征就是安全性,通过VPN通信的两台主机必须通过一个安全的通道(tunnel)。这个tunnel是逻辑上的,并不真正存在,因此通过数据的加密和认证使得数据包即使被截获也不容易破译。如何实现这一点,以前的VPN很多的采用SSL等方法对数据进行加密,但是缺点是配置安全策略不够灵活,另外,需要在高层协议上开发大量的代码,唯一的优点就是能够对DOS(服务拒绝)攻击由较好的防御。



图2 VPN的逻辑概念图
4.基于IPsec的虚拟专用网
当IPsec用于路由器时,就可以建立虚拟专用网。在路由器的连内部网的一端,如图2 所示,是一个受保护的网络,另一端则是不安全的公共网络。两个这样的路由器建立 起一个安全通道,通信就可以通过这个通道从一个本地的保护子网发送到一个远程的保护子网,这就形成了一个VPN。
在这个VPN中,每一个具有IPsec的路由器都是一个网络聚合点,试图对VPN进行通信分析将会失败。目的地是VPN的所有通信都经过路由器上的SA来定义加密或认证的算法和密钥等参数,即从VPN的一个路由器出来的数据包只要符合安全策略,就会用相应的SA来加密或认证(加上AH或ESP报头)。整个安全传输过程由IKE控制,密钥自动生成,保护子网内的用户根本不需要考虑安全,所有的加密和解密由两端的路由器全权代理。
我们来看看数据包的处理过程,先看看数据包的外出处理:
(1) 源主机TCP层通过调用ip_output()函数,调用IP层, 令其发送一个数据包给路由器;
(2) 路由器针对目的主机的数据包,查询策略引擎,根据安全策略强制加上AH或ESP头;
(3) IKE处理,对没有SA的安全策略建立新的SA;
(4) SA处理, 增加序列号字段;
(5) 通道模式处理,通常VPN用的是通道模式,因此加上一个额外的IP头;
(6) 路由器发送这个安全的数据包。
接收方的处理过程:
(1) 另一端的路由器收到这个包,剥去额外的IP头,并利用数据包的AH或ESP头调用 IPsec层;
(2) IPsec层从AH或ESP头摘录出SPI,从IP头中选出源和目的地址及协议;
(3) IPsec层用以上的参数从SAD中取出所需的SA,如果没找到,就丢弃这个包;
(4) SAD返回SA,IPsec将会根据AH和ESP定义的规则对这个包进行处理;
(5) 验证和这个包对应的策略,进而决定IPsec处理的应用是否正确,策略是通过SA中的指针获得或利用选择符查询SPD得来;
(6) 如果验证正确,那么解密并把这个包转发到真正的目的主机。

5.在Linux上的例子
我们实现的基于IPsec的VPN选用的Linux操作系统作为两端的路由器,其结构如图2所示,是一个典型的VPN结构。两边的路由器定义了相同的安全策略,也就是说,两端的通信都遵守相同的安全规则,例如都使用HMAC-MD5算法对WWW服务进行验证,都使用TRI-DES算法对telnet进行加密等等。IPsec的四大部分都在作为路由器的Linux机器上。
两端的路由器的IP地址分别是202.38.64.185和202.38.75.75,我们的测试方案是从64.185内的主机host1和75.75内的主机host2的ftp通信,host1和host2的有相应的域名解析,分别对应各自内部的IP地址。公共网络是校园上的Internet网,如图3所示

图3 基于IPsec的VPN在Linux上的实现环境

经过测试表明,从host1到host2的IP包全部被封装了一个额外的IP头,所有的上层协议都是经过加密的乱码,无法分析其内容,黑客获得的唯一信息就是这个包是64.185和75.75之间的通信(ESP应用TRI-DES算法)。另外,应用TRI-DES的结果使得网络吞吐量下降了25%左右,这是由于在路由器上所做的加密和解密过程都需要耗费一定的时间。
基于IPsec的VPN实现有以下优点:
(1) 在IP层增加AH或ESP头实现网络安全使得通信安全可靠;
(2) IKE协议可以自动产生需要的SA,并且SA的生存期非常短,使得破译更加困难;
(3) 定义安全策略方便灵活,只需要在配置文件里进行编辑,就可以实现安全策略,例如如果一种算法被破解,立刻换另一种算法。 (目前AH支持HAMC-MD5、HAMC-SHA1; ESP支持DES-CBC、TRI-DES-CBC、BLOWFISH-CBC、CAST128-CBC)
6.小结
IPsec的提出使得VPN有了更好的解决方案,这是因为在网络层就进行安全服务,使得密钥协商的开销被大大削减了,这是由于多种传送协议和应用程序可共享由网络层提供的密钥管理结构(IKE)。其次,假如网络安全服务在较低层实现,那么需要改动的应用程序就要少得多。IPsec是目前唯一一种能为任何形式的Internet通信提供安全保护的协议,因此,可以预见,未来的VPN实现方案将会更多的利用IPsec。

安装配置篇
上面我们介绍了基于IPsec的VPN的基本原理, 现在我们来看看具体怎么配置自己的虚拟专用网.

1. VPN的类型
关于如何组建VPN, 有的公司付费购买专门的软件, 而有的公司用自己的路由器来实现, 因为很多路由器内嵌VPN功能. 这些VPN可以像SSH隧道一样简单, 也可以做的很复杂. 所有的方案都有一个共同点, 那就是必须在不安全的互连网创建一个虚拟的安全的隧道. VPN主要有以下类型:
l IPsec
l VPND
l SSH
l 诸如一些CISCO路由器(内嵌VPN功能)
2. 我推荐的选择 FreeS/WAN
上面如此多的选择, 为什么我要选择Linux上的FreeS/WAN(基于IPsec)来实现VPN呢?
因为从目前的应用情况看, FreeS/WAN是目前最安全的在Linux上的实现方案. 它基于 3DES等加密算法. 另外, 试验表明SSH和VPND方案缺少FreeS/WAN的某些功能, 而且IPsec被越来越多的其他软件所支持, 以后的兼容性更好. 例如, NAI的PGPnet就和FreeS/WAN一起工作得很好. 但是, 我认为真正重要的一点是, 它是免费的(Linux也是免费的), 这对于我们国内用户来说, 不用花大价钱去买专门的软件, 您只需要向ISP支付一点上网费, 就可以组建自己的廉价的VPN.
3. 它的用途
l 通过Internet连接2个甚至更多的办公室(当然是两地分居的那种);
l 允许公司的某个职员在千里之外远程登录到公司内部网络;
l 在Internet上, 数据是在一个虚拟的安全通道内传播;
4. 安装和配置IPsec和FreeS/WAN1.5
(1) 安装;
如果你的内核版本低于2.2.14, 那么我强烈建议你升级到2.2.14; 可以从http://www.kernel.org/下载. 按照你自己的要求编译内核, 开始最好不要IPsec支持(以后再做).
然后到http://www.freeswan.org/ 上下载freeswan-1.5.tar.gz(七月二号出的最新版), 把这个文件放到/usr/src/目录下, 运行tar zxvf freeswan-1.5.tar.gz解开, 这时候会出现一个新的目录/usr/src/freeswan-1.5/, 所有的freeswan的源代码和各种文件都在这个目录下.
这时候切记当前目录是/usr/src/freeswan-1.5/, 运行make menugo; 在网络部分, 确定所有IPsec的部分都被选上. 退出菜单, 保存新内核的设置, 注意!!!即使你什么也没改, 也必须save, 否则IPsec不会启动.
现在你需要用新的内核启动, 运行
cp /usr/src/linux-2.2.14/arch/i386/boot/bzImage /boot/vmlinuz-2.2.14 将bzImage移到
/boot目录下. 然后运行cp /usr/src/linux-2.2.14/System.map /boot/System.map-2.2.14来创
建新的System.map文件. 最后在/usr/src/linux-2.2.14/下运行make modules; make
modules_install. 编辑/etc/lilo.conf, 将新的内核放到最前面, 运行lilo使之生效.
重新启动, 你将会看到
IPSec running under FreeS/WAN 1.5 will start up
ipsec0 start up
等字样, 如果没有的话, 说明安装不正确, 需要重新安装.
(2). VPN的配置
l ipsec.conf 文件 (/etc/ipsec.conf)
现在IPsec已经装好了, 我们需要用它来配置VPN. 典型的, 我们需要两个网关, 不必关心那个是左边的, 那个是右边的, 只要记住它们是一对, 就好像两个克隆人. 让我们看看下面的例子:

Left Net ===== Left Gate --------------------------- Right Gate ===== Right Net
Internet
有关信息如下:
Left Net: 192.168.1.0/24
Left Gate (internal): 192.168.1.1
Left Gate (external): 100.100.100.100
Left Name: North

Right Net: 192.168.2.0/24
Right Gate (internal): 192.168.2.254
Right Gate (external): 200.200.200.200
Right Name: South

现在需要在ipsec.conf文件里创建连接. 注意通信有很多种情况: Net to Net, Left
Gate to Right Net, Left Net to Right Gate, and Gate to Gate. 每一个情况都必须有一个连
接来处理. 我推荐你在对这些连接命名的时候最好能够反映通信情况. 本例中需要5个
连接, 分别是%default, NorthNet-SouthNet, NorthGate-SouthNet, NorthNet-SouthGate和
NorthGate-SouthGate. 注意名字中不能有空格.配置文件中加入下面内容:
注意%default在文件中已经存在, 它说明了以后的连接所用的加密或认证算法以及密钥和spi等, 一般密钥需要改动. 如下
# defaults for subsequent connection descriptions
conn %default
# How persistent to be in (re)keying negotiations (0 means very).
keyingtries=0
# Parameters for manual-keying testing (DONT USE OPERATIONALLY).
spi=0x200
esp=3des-md5-96
espenckey=0x01234567_89abcdef_02468ace_13579bdf_12345678_9abcdef0
espauthkey=0x12345678_9abcdef0_2468ace0_13579bdf
然后加入下面的新连接
conn NorthNet-SouthNet
left=100.100.100.100
leftsubnet=192.168.1.0/24
leftfirewall=yes
right=200.200.200.200
rightsubnet=192.168.2.0/24
rightfirewall=yes

conn NorthGate-SouthNet
left=100.100.100.100
right=200.200.200.200
rightsubnet=192.168.2.0/24
rightfirewall=yes

conn NorthNet-SouthGate
left=100.100.100.100
leftsubnet=192.168.1.0/24
leftfirewall=yes
right=200.200.200.200

conn SouthGate-NorthGate
left=100.100.100.100
right=200.200.200.200

注意本文件中在两个网关设置了防火墙, 这是应该的, 几乎没有一个VPN不用防火墙的.
现在我们确定一下在config.setup部分中的变量设置是否正确, 它是如下形式
config setup
interfaces=%defaultroute
klipsdebug=none
plutodebug=none
interfaces选项当用IPsec收发数据包是从哪个网络接口走, 如果设为%defaultroute, 将根据机器的路由表中的路由表项来走. 当然, 你也可以指定网络接口, 例如
interfaces="ipsec0=eth1" (设为第二块网卡, 偏不从第一块走).
Klipsdebug和plutodebug是用来打开或关闭调试选项, 即出了问题到/var/log/messages中加入出错信息.
非常重要的一点!!!两个网关的ipsec.conf的内容必须完全一致(除了config setup部分允许有差异, 如网卡的选则, conn * 部分必须克隆), 否则IPsec不能处理.
l ipsec.secrets文件
它是两个网关之间的对称加密算法的密钥. 两个网关的这个文件必须完全一致. 如何在
两个网关之间传输密钥呢, 这有点像鸡和蛋的问题, 但是不用担心, 数学家发明了更高级的加密算法(非对称加密如RSA), 它是双方有自己的私钥和共同的公钥(坏人可以知道公钥), 但是双方都不知道对方的私钥, 坏人当然也不知道了. 传送密钥的时候, 用自己的私钥和公钥加密, 对方用对方的私钥和公钥解密. 不相信, 去看看RSA算法. 就是这么神奇. 当然, 也可以有别的方法, A地网关的管理人员考到小盘上, 送到B地, 不过嘛, 有点可笑.
这个文件应该如下样子的:
100.100.100.100 200.200.200.200 "jxj52SjRmUu3nVW521Wu135R5k44uU5lR2V3kujT24U1lVumWSkT52Tu11W
Vnm1Vu25lV52k4"
不用解释, 你可以看出怎么配置它了.
l 防火墙设置
假设用ipchains, 下面是左边网关的例子:
ipchains -A input -s 100.100.100.100 -d 0/0 -j ACCEPT
ipchains -A input -s 100.100.100.100 -d 192.168.2.0/24 -j ACCEPT
ipchains -A input -s 192.168.1.0/24 -d 192.168.2.0/24 -j ACCEPT
它允许从自己发向Internet和右边子网的包, 同时允许从左边子网发往右边子网的包.

注意, ipsec.secrets 和 ipsec.conf 的文件必须设为只有root可读, 普通用户不能访问, 以
保证安全.
(3)测试
以上说的手工密钥的加密方式, 自动密钥加密方式以后再说.
首先启动我们加的连接, 如下
[root@Tiger /etc]# ipsec manual --up NorthGate-SouthGate
[root@Tiger /etc]# ipsec manual --up NorthGate-SouthNet
[root@Tiger /etc]# ipsec manual --up NorthNet-SouthGate
[root@Tiger /etc]# ipsec manual --up NorthNet-SouthNet
做完上面的, 然后运行下面的命令:
[root@Tiger /etc]# ipsec look 看看其输出, 如果跟下面的类似就正确了, 否则有问题.
. cs.mynet.net Wed July 8 22:51:45 GAT 2000 -------------------------
192.168.1.0/24 -> 192.168.2.0/24 => tun0x200@192.168.2.254 esp0x202@192.168.2.254
-------------------------
tun0x200@192.168.2.254 IPv4_Encapsulation: dir=out 192.168.1.1 -> 192.168.2.254
esp0x203@192.168.1.1 3DES-MD5-96_Encryption: dir=in iv=0xc2cbca5ba42ffbb6 seq=0 bit=0x00000000 win=0 flags=0x0<>
esp0x202@192.168.2.254 3DES-MD5-96_Encryption: dir=out iv=0xc2cbca5ba42ffbb6 seq=0 bit=0x00000000 win=0 flags=0x0<>
Destination Gateway Genmask Flags MSS Window irtt Iface
192.0.0.0 0.0.0.0 255.255.255.0 U 1500 0 0 eth1
192.168.2.0 192.168.2.254 255.255.255.0 UG 1404 0 0 ipsec0
想知道更多的话, 运行ipsec barf 看看.
现在来检测我们的工作:通过ping另一端的内部网的机器, 用tcpdump来看接口ipsec0的情况.
假设我们在192.168.2.15上, 执行ping 192.168.1.25, 显示
64 bytes from 192.168.1.25: icmp_seq=0 ttl=127 time=45.7 ms
64 bytes from 192.168.1.25: icmp_seq=1 ttl=127 time=45.2 ms
64 bytes from 192.168.1.25: icmp_seq=2 ttl=127 time=45.5 ms
64 bytes from 192.168.1.25: icmp_seq=3 ttl=127 time=43.0 ms
……
说明网通了.
在200.200.200.200上执行tcpdump -i ipsec0
tcpdump: listening on ipsec0
21:02:52.873587 > 200.200.200.200 > 192.168.1.25: icmp: echo request
21:02:52.921596 < 192.168.1.25 > 200.200.200.200: icmp: echo reply
21:02:53.890317 > 200.200.200.200 > 192.168.1.25: icmp: echo request
21:02:53.935618 < 192.168.1.25 > 200.200.200.200: icmp: echo reply
21:02:54.890277 > 200.200.200.200 > 192.168.1.25: icmp: echo request
21:02:54.936592 < 192.168.1.25 > 200.200.200.200: icmp: echo reply
21:02:55.890284 > 200.200.200.200 > 192.168.1.25: icmp: echo request
21:02:55.934099 < 192.168.1.25 > 200.200.200.200: icmp: echo reply
……
如果这样, 表示你的VPN已经初步搭起来了, 你可以做进一步的测试, 比如在某个网关内部网上起一个Web Server, 在另一端的内部网访问, 同时试着在Internet上截获数据包, 看看
内容有没有加密.
(4)在启动机器时启动连接
因为我们既然设置了VPN, 就希望IPsec连接在网关启动是自动启动. 很简单, 你只需要在
ipsec.conf的config.setup部分加入下面几行:
pluto=yes
plutoload="NorthGate-SouthGate NorthGate-SouthNet NorthNet-SouthGate NorthNet-SouthNet"
plutostart="NorthGate-SouthGate NorthGate-SouthNet NorthNet-SouthGate NorthNet-SouthNet"
plutowait=no
pluto是freeswan的守护进程.
加入这几行之后, 运行ipsec setup restart就生效了, 显示如下:
ipsec_setup: Stopping FreeS/WAN IPSEC... ipsec_setup: Shutting down Pluto:
ipsec_setup: Taking ipsec0 down: ipsec_setup: Misc cleanout:
ipsec_setup: ...FreeS/WAN IPSEC stopped
ipsec_setup: Starting FreeS/WAN IPSEC 1.5... ipsec_setup: KLIPS debug `none
ipsec_setup: KLIPS ipsec0 on eth0 200.200.200.200/255.255.255.0 broadcast 200.200.200.255
ipsec_setup: Disabling core dumps:
ipsec_setup: Starting Pluto (debug `none):
ipsec_setup: Loading Pluto database `NorthGate-SouthGate NorthGate-SouthNet NorthNet-SouthGate NorthNet-SouthNet:
ipsec_setup: Enabling Pluto negotiation:
ipsec_setup: Routing for Pluto conns `NorthGate-SouthGate NorthGate-SouthNet NorthNet-SouthGate NorthNet-SouthNet:
ipsec_setup: Initiating Pluto tunnel `NorthGate-SouthGate (asynchronously):
ipsec_setup: Initiating Pluto tunnel `NorthGate-SouthNet (asynchronously):
ipsec_setup: Initiating Pluto tunnel `NorthNet-SouthGate (asynchronously):
ipsec_setup: Initiating Pluto tunnel `NorthNet-SouthNet (asynchronously):
ipsec_setup: ...FreeS/WAN IPSEC started
如果这样, 那么已经成功了. 在每次启动Pluto守护进程时, 连接自动启动.
(5)产生真正可用的密钥
前面用的是一个不安全的测试用的key, 这是很不安全的. 因此, 这个key必须在测试结束后改变掉. 一个叫ranbits的程序产生随机字符串, 如下运行:
[root@ Tiger /etc]# ipsec ranbits 192 >> ipsec.secrets
它产生一个192个字符的字符串, 然后在ipsec.secrets加上两个网关的地址就可以了.



5. 参考资料
1) FreeS/Wan Documentation
http://www.freeswan.org/freeswan_trees/freeswan-1.5/doc/
2) OREILLY Virtual Private Networks 2nd Edition
Charlie Scott, Paul Wolfe & Mike Erwin
3) Linux-IPSEC Mailing List
http://www.freeswan.org/mail.html
6. 注意
本文原则上允许转发, 但是最好与www.linuxaid.com.cn 的工程师unix_guo联系. 谢谢.

我的电子邮件unix_guo@netease.com
版权所有,未经许可,不得转载