基于Netfilter的包分類研究與設(shè)計(jì).pdf

1、未來網(wǎng)絡(luò)的發(fā)展趨勢需要為用戶提供更好的服務(wù)質(zhì)量，而諸如防火墻、虛擬專網(wǎng)VPN、基于策略的路由、高層交換等提高服務(wù)質(zhì)量的機(jī)制都是建立在高效包分類技術(shù)基礎(chǔ)之上的。此外，出于對安全性的考量或源碼開放等特點(diǎn)，眾多應(yīng)用都選擇Linux作為其載體。Netfilter/iptables框架在這一背景下應(yīng)運(yùn)而生，成為第一個集成到Linux內(nèi)核的包過濾解決方案。但其并不完善，一是iptables的核心包分類算法在面對大規(guī)模規(guī)則集時，性能急劇下降；二是在其

2、實(shí)現(xiàn)細(xì)節(jié)上也存在一定的問題，特別是它所采用的Netlink交互方式，會造成包分類中斷。在網(wǎng)絡(luò)應(yīng)用越來越豐富的情形之下，Netfilter/iptables越來越不能滿足當(dāng)前需求，亟待出現(xiàn)一種基于Linux內(nèi)核的高效包分類系統(tǒng)。 本文在研究現(xiàn)有的通用包分類算法和基于iptables的改進(jìn)基礎(chǔ)上，透過對Netfilter/iptables框架的深入探索和源碼分析，構(gòu)造出一個新的基于Netfilter的包分類系統(tǒng)。包括如下工作點(diǎn)：

3、 1．在Linux內(nèi)核空間中實(shí)現(xiàn)了一個高效的基于多維包分類問題到范圍定位問題的包分類算法。同時，本文還對該算法進(jìn)行了擴(kuò)展，使其能進(jìn)一步解決iptables中引入的非終態(tài)包分類問題。 2．構(gòu)建高效的用戶內(nèi)核交互機(jī)制。使用Netlink做為內(nèi)核空間與用戶空間的接口，每次更新時僅向內(nèi)核提交一條規(guī)則而非整個規(guī)則集，達(dá)到不中斷包分類的目的。通過proc I/O，用戶還可獲取算法統(tǒng)計(jì)數(shù)據(jù)，并可設(shè)置最大內(nèi)存使用率。 3．保障系統(tǒng)的