基于NETFILTER框架的內(nèi)容過濾防火墻的研究與實(shí)現(xiàn).pdf

1、隨著Internet的快速發(fā)展，網(wǎng)絡(luò)內(nèi)容的安全性問題也日益突出。具有高匹配效率的包過濾防火墻，對(duì)于網(wǎng)絡(luò)通信內(nèi)容的監(jiān)測(cè)、過濾、處理無能為力。應(yīng)用級(jí)代理防火墻雖然能夠理解應(yīng)用層信息，但對(duì)用戶不透明，并且對(duì)網(wǎng)絡(luò)性能影響很大。本文以高效、準(zhǔn)確為目標(biāo)，闡述了一種基于Netfilter框架的內(nèi)容過濾防火墻的設(shè)計(jì)與實(shí)現(xiàn)，在網(wǎng)絡(luò)層過濾應(yīng)用層信息。 本論文中涉及的技術(shù)，包括利用Netfilter框架的內(nèi)核態(tài)包過濾，TCP會(huì)話還原，用戶空間與內(nèi)核空

2、間的通信，防火墻的透明模式，以及內(nèi)核態(tài)的數(shù)據(jù)包轉(zhuǎn)發(fā)等。 基于Netfilter框架的內(nèi)容過濾防火墻，以透明的方式工作，它向一個(gè)導(dǎo)線一樣串聯(lián)在網(wǎng)絡(luò)中，加載和卸載防火墻時(shí)，整個(gè)網(wǎng)絡(luò)都不需要任何變動(dòng)。利用Netfilter框架，在數(shù)據(jù)包流經(jīng)操作系統(tǒng)協(xié)議棧中網(wǎng)絡(luò)層時(shí)采集數(shù)據(jù)包，并分析數(shù)據(jù)包應(yīng)用層的信息，以達(dá)到網(wǎng)絡(luò)內(nèi)容過濾的目的。 系統(tǒng)在Netfilter框架的第一個(gè)鉤子點(diǎn)注冊(cè)函數(shù)，捕獲數(shù)據(jù)包，并直接在內(nèi)核態(tài)下對(duì)數(shù)據(jù)包進(jìn)行重組，還

3、原出原始數(shù)據(jù)。再將原始數(shù)據(jù)放入在內(nèi)核態(tài)下開辟的緩沖區(qū)中，通過共享內(nèi)存技術(shù)，將原始數(shù)據(jù)交給用戶空間進(jìn)行分析處理，并將結(jié)果返回給內(nèi)核空間，合法的轉(zhuǎn)發(fā)，非法的丟棄。 TCP會(huì)話還原，需要緩存不同連接的數(shù)據(jù)，當(dāng)一條連接結(jié)束時(shí)，還原出該連接的會(huì)話內(nèi)容。 本文詳細(xì)討論了用戶空間與內(nèi)核空間的區(qū)別以及通信方法，并實(shí)現(xiàn)了用戶空間與內(nèi)核空間的共享內(nèi)存。內(nèi)容過濾防火墻配置為透明模式，并解決了由于緩存數(shù)據(jù)對(duì)原有通信影響的問題。本文代碼是在Red