Linux防火墻設計與實現(xiàn).pdf

1、在計算機網(wǎng)絡技術飛速發(fā)展的今天，網(wǎng)絡安全問題日益突出，防火墻技術也越來越受到人們關注。在一些信息敏感場所，需要自行設計與開發(fā)符合特定需求的防火墻系統(tǒng)。而Linux提供了基于內核的Netfilter框架，具有通用性和可擴展性，使得開發(fā)人員可以結合不同的網(wǎng)絡安全需求，設計并實現(xiàn)所需的防火墻系統(tǒng)。 論文首先闡述了在Linux Netfilter框架上構建防火墻的基本原理，接著介紹了防火墻設計與實現(xiàn)中涉及的技術與理論基礎，最后設計并實現(xiàn)

2、了一個擁有包過濾、防常見DoS攻擊、日志記錄、事件通知、配置管理等功能的高性能防火墻系統(tǒng)HiPF(High Performance Firewall)。HiPF與傳統(tǒng)防火墻相比，具有以下特色： 1、傳統(tǒng)Linux防火墻聯(lián)動性較差，無法將內核態(tài)偵測到的事件通知用戶態(tài)進程。HiPF實現(xiàn)了事件通知功能，防火墻在發(fā)現(xiàn)期望事件后，將消息反饋給用戶態(tài)進程，以達到應急、報警、聯(lián)動的目的。 2、傳統(tǒng)Linux防火墻缺乏對規(guī)則集的一致性診

3、斷。規(guī)則集的非一致性有可能降低防火墻的安全性。HiPF提供對規(guī)則集的一致性診斷功能，提供最優(yōu)的規(guī)則移除步驟，使得規(guī)則集滿足一致性。 3、傳統(tǒng)Linux防火墻使用線性搜索算法實現(xiàn)數(shù)據(jù)包的分類，在龐大的規(guī)則集與大流量的情況下分類速率很低。大多數(shù)狀態(tài)防火墻使用HASH算法實現(xiàn)高效分類，但是針對HASH算法缺陷的攻擊會大大降低分類速率。HiPF使用了基于計算幾何的GEM(Geometric Efficient Matching)算法，實

4、現(xiàn)了在規(guī)則集龐大和高流量情況下，仍然保持極高的吞吐量。論文提出一種GEM數(shù)據(jù)結構的構造算法，實驗證明該構造算法具有時間與空間上的可行性。 論文介紹了測試環(huán)境的配置，開發(fā)了一個基于winpcap測試工具一NetTest，該工具可以根據(jù)配置文件靈活的發(fā)送數(shù)據(jù)包，具有較穩(wěn)定的發(fā)送性能。最后使用NetTest測試GEM與線性搜索算法的性能，測試證明GEM算法具有較高的性能與實用價值。另外測試了事件通知功能，驗證當防火墻受到攻擊時可以正確