Linux防火墻的研究與優(yōu)化.pdf

1、隨著Internet的飛速發(fā)展，網絡信息安全日益受到業(yè)界的關注和重視，防火墻作為普遍使用的網絡信息安全技術成為研究的熱點。Linux下基于Netfilter/iptables架構的防火墻具有很多優(yōu)點：如在內核空間執(zhí)行防火墻代碼，性能相對較高；鉤子函數、模塊化等使得其具有極強的擴展性等。 Linux防火墻雖然優(yōu)點明顯，但目前仍然面臨著很多問題，一是由于網絡帶寬的增加及應用程序的日漸廣泛，使得防火墻越來越成為制約網絡的瓶頸。同時，隨

2、著網絡安全需要與各種細粒度的網絡控制的需求增加，防火墻的規(guī)則集規(guī)模在不斷增大，這也會導致防火墻的性能下降。 本文針對上述主要問題，進行了以下幾方面的研究工作： 1．分析了防火墻體系架構、發(fā)展方向等方面的內容。對Linux防火墻源代碼和內核重要參數做了深入剖析；定制、配置了linux防火墻系統(tǒng)和內核；利用busybox軟件對應用文件進行精簡；同時修改了防火墻的并發(fā)連接數和和部分內核參數。得到一個體積更小、占用系統(tǒng)資源更少的

3、快速、穩(wěn)定、高效運行的內核。 2．給出了防火墻規(guī)則優(yōu)化的方法。規(guī)則集中的規(guī)則根據關聯特性一般可分為兩種類型：一類是規(guī)則之間有相互依賴關系的，稱為相關規(guī)則；一類則是無依賴關系的，稱為無關規(guī)則，對這兩類規(guī)則采取分而治之的方法。對于無關規(guī)則集，根據對每個規(guī)則匹配成功的統(tǒng)計數據，設計算法為每一條規(guī)則添加權重值，確定其優(yōu)先級，讓己經匹配成功次數較多或最后匹配成功時間較近的規(guī)則優(yōu)先級更高，從而使每個通過網絡的數據包需要經過匹配處理的規(guī)則數量