Modeling,Design and Analysis of Firewall Switch for High Speed Networks.pdf

1、防火墻是一種最常用的安全防護(hù)系統(tǒng),用于保護(hù)網(wǎng)絡(luò)和主機(jī).由于防火墻需要能夠提供多樣的特性和服務(wù),所以顯然該系統(tǒng)的實(shí)現(xiàn)取決于基本的網(wǎng)絡(luò)技術(shù).在不同的防火墻結(jié)構(gòu)中,一種基于路由器的數(shù)據(jù)包濾選防火墻是最為普遍的,且是保護(hù)企業(yè)級網(wǎng)絡(luò)免受不合法訪問的最有效的方法.但是,這種防火墻結(jié)構(gòu)在ATM網(wǎng)絡(luò)中卻不能有效地工作,因?yàn)樗笾袛嘣跀?shù)據(jù)包濾選路由器中的端對端的ATM連接,這將會產(chǎn)生一個(gè)巨大的SAR(分割和重新裝配)開銷.在過去幾年中對于這個(gè)問題所提出

2、的解決方法的數(shù)量很少;與過去的這些解決方法不同的是,論文著重于研究現(xiàn)存防火墻交換機(jī)的限制并提出了一些缺陷的解決辦法.最近,ATLAS和其它的ATM防火墻交換機(jī)被用于保護(hù)高速的ATM網(wǎng)絡(luò)免受入侵,但是有如下的限制:它們只在OC-3c上運(yùn)行數(shù)據(jù)包級濾選來避免SAR,對于每一個(gè)數(shù)據(jù)包他們只檢驗(yàn)第一個(gè)數(shù)據(jù)單元.要么通過,要么濾除!它們使用一種超高速緩沖存儲器結(jié)構(gòu)來加速濾選運(yùn)算.核心結(jié)構(gòu)是超高速緩沖存儲器(CAM).一旦數(shù)據(jù)包進(jìn)入超高速緩沖存儲器

3、,數(shù)據(jù)包內(nèi)的數(shù)據(jù)單元將被轉(zhuǎn)發(fā).另外,第一個(gè)數(shù)據(jù)單元將經(jīng)過一個(gè)軟件篩選過程,其它的數(shù)據(jù)單元在一個(gè)隊(duì)列中進(jìn)行緩沖存儲.這種方法將導(dǎo)致不想要的濾選延遲,交換機(jī)無法接受包含IP選擇幀的IP數(shù)據(jù)包,通常這些IP數(shù)據(jù)包對于使用和管理都不是有利的.在此篇論文中我們提出了一種新的ATM防火墻結(jié)構(gòu),能夠解決某些限制問題和其它的安全補(bǔ)丁,并使吞吐量達(dá)到2.88Gbites/sec及更高.論文目的在于尋找能為高速網(wǎng)絡(luò)技術(shù)提供防火墻安全服務(wù)的機(jī)制.我們分析了一

4、種為ATM及ATM之上的IP提供高速訪問控制的防火墻結(jié)構(gòu).我們提出的方案所做的大多數(shù)更改是根據(jù)我們所描述的防火墻模型而集中于訪問控制過程的效率作的.此外我們提出的方案為安全部門提供了通過訪問控制參數(shù)(例如QoS(服務(wù)質(zhì)量)),濾選ATM通信的能力.總之,此篇論文清晰地描述了我們所提出的防火墻交換機(jī)的模型、設(shè)計(jì)以及分析,這種防火墻用于解決現(xiàn)有數(shù)據(jù)包級濾選以及ATLAS ATM防火墻交換機(jī)的限制問題.我們的工作同時(shí)提供了一個(gè)瀑布模型的結(jié)構(gòu),