防火墻規(guī)則集關鍵技術研究.pdf

1、隨著互聯(lián)網的迅速發(fā)展，防火墻包含的規(guī)則數(shù)目變得越來越多。這種情況，通常會帶來兩方面的問題。第一，規(guī)則數(shù)目的增多，對規(guī)則匹配的效率提出了挑戰(zhàn)，規(guī)則匹配已經成為防火墻的一個性能瓶頸點。第二，由于規(guī)則集中沖突規(guī)則的存在，規(guī)則數(shù)目的增多，使得有效管理防火墻規(guī)則集變得越來越困難。要解決這兩方面的問題，通常需使用以下幾項關鍵技術：規(guī)則匹配技術、規(guī)則沖突檢測技術、規(guī)則沖突消除技術、規(guī)則正確性配置技術。研究人員針對以上技術，提出了相應的算法。這些算法在

2、提高防火墻吞吐率、降低規(guī)則集管理難度等方面，取得了一定效果，但仍然存在不少缺陷，有待于進一步改進和完善。因此，目前仍有必要對防火墻規(guī)則集關鍵技術進行研究。 本文深入細致地研究了規(guī)則數(shù)目增多所帶來的問題，全面地分析和總結了防火墻規(guī)則集關鍵技術的研究現(xiàn)狀，以及未來的發(fā)展趨勢，取得了若干創(chuàng)新和成果。本文的主要創(chuàng)新點如下： 第一，提出了一種快速的高維報文分類算法。 在規(guī)則匹配技術，即報文分類技術方面，在BSOL(Bina

3、rySearchOnLeaves)算法基礎之上，本文提出了一種快速的高維報文分類算法MCBF(MultiCuttingsandBloomFilters)。與BSOL算法不同，MCBF算法在對規(guī)則空間進行分解時，同時切割所有維，并將葉子規(guī)則空間存儲在相關的哈希表中；MCBF算法為每個哈希表構建一個BloomFilter，而這些BloomFilter被存儲在片內SRAM中。當分類數(shù)據包時，MCBF算法并行地訪問BloomFilter，并根據

4、其結果決定如何訪問哈希表。理論分析和仿真實驗表明：MCBF算法能正確地分類數(shù)據包；當分類一個數(shù)據包時，MCBF算法的哈希表平均查詢次數(shù)為1，遠小于BSOL算法：最壞情況下，MCBF算法的哈希表查詢次數(shù)為O(log(wmax)+1)，其中wmax是最長維的域長。對于常見的規(guī)則集類型和高維環(huán)境而言，該值通常小于等于BSOL算法在最壞情況下的哈希表查詢次數(shù)。 第二，提出了一種基于位向量交集運算的規(guī)則沖突檢測算法。 在規(guī)則沖突檢

5、測技術方面，針對現(xiàn)有沖突檢測算法效率不高這一情況，本文ASBV(AggregatedSBitVectors)算法基礎之上，提出了一種基于位向量交集算的規(guī)則沖突檢測算法DBBV(DoubleBinaryBitVectors)。同ASBV算法類似，DBBV算法也采用了分治思想和位向量技術。但與ASBV算法不同，在每一維規(guī)則分量的處理過程中，DBBV算法只需要進行一次位向量交集運算，而ASBV算法需要進行多次位向量并集運算；DBBV算法支持以

6、范圍形式表示的規(guī)則集，而ASBV算法只支持以前綴形式表示的規(guī)則集。理論分析和仿真實驗表明：DBBV算法的沖突檢測性能優(yōu)于ASBV算法。 第三，提出了一種基于切割映射的沖突消除算法。 在規(guī)則沖突消除技術方面，針對現(xiàn)有規(guī)則沖突消除算法不能徹底消除沖突這一問題，本文提出了一種基于切割映射的沖突消除算法RCBCM(ResolvingConflictsBasedonCuttingMapping)。RCBCM算法對不同的沖突類型，采

7、取不同的處理方法；并以兩條沖突規(guī)則為基本處理對象，在其沖突消除過程中，順序切割優(yōu)先級較低的規(guī)則的每一維分量。理論分析和仿真實驗表明：在增加少量規(guī)則的代價下，RCBCM算法能徹底消除沖突。 第四，提出了一種基于規(guī)則交集運算的規(guī)則集比較算法。 在規(guī)則正確性配置技術方面，針對應用于DiverseFirewallDesign環(huán)境的現(xiàn)有規(guī)則集比較算法，效率不高這一情況，本文提出了一種基于規(guī)則交集運算的規(guī)則集比較算法RSCBRI(R