Modeling,Design and Analysis of Firewall Switch for High Speed Networks.pdf

1、防火墻是一種最常用的安全防護(hù)系統(tǒng),用于保護(hù)網(wǎng)絡(luò)和主機(jī).由于防火墻需要能夠提供多樣的特性和服務(wù),所以顯然該系統(tǒng)的實(shí)現(xiàn)取決于基本的網(wǎng)絡(luò)技術(shù).在不同的防火墻結(jié)構(gòu)中,一種基于路由器的數(shù)據(jù)包濾選防火墻是最為普遍的,且是保護(hù)企業(yè)級(jí)網(wǎng)絡(luò)免受不合法訪問(wèn)的最有效的方法.但是,這種防火墻結(jié)構(gòu)在ATM網(wǎng)絡(luò)中卻不能有效地工作,因?yàn)樗笾袛嘣跀?shù)據(jù)包濾選路由器中的端對(duì)端的ATM連接,這將會(huì)產(chǎn)生一個(gè)巨大的SAR(分割和重新裝配)開(kāi)銷(xiāo).在過(guò)去幾年中對(duì)于這個(gè)問(wèn)題所提出

2、的解決方法的數(shù)量很少;與過(guò)去的這些解決方法不同的是,論文著重于研究現(xiàn)存防火墻交換機(jī)的限制并提出了一些缺陷的解決辦法.最近,ATLAS和其它的ATM防火墻交換機(jī)被用于保護(hù)高速的ATM網(wǎng)絡(luò)免受入侵,但是有如下的限制:它們只在OC-3c上運(yùn)行數(shù)據(jù)包級(jí)濾選來(lái)避免SAR,對(duì)于每一個(gè)數(shù)據(jù)包他們只檢驗(yàn)第一個(gè)數(shù)據(jù)單元.要么通過(guò),要么濾除!它們使用一種超高速緩沖存儲(chǔ)器結(jié)構(gòu)來(lái)加速濾選運(yùn)算.核心結(jié)構(gòu)是超高速緩沖存儲(chǔ)器(CAM).一旦數(shù)據(jù)包進(jìn)入超高速緩沖存儲(chǔ)器

3、,數(shù)據(jù)包內(nèi)的數(shù)據(jù)單元將被轉(zhuǎn)發(fā).另外,第一個(gè)數(shù)據(jù)單元將經(jīng)過(guò)一個(gè)軟件篩選過(guò)程,其它的數(shù)據(jù)單元在一個(gè)隊(duì)列中進(jìn)行緩沖存儲(chǔ).這種方法將導(dǎo)致不想要的濾選延遲,交換機(jī)無(wú)法接受包含IP選擇幀的IP數(shù)據(jù)包,通常這些IP數(shù)據(jù)包對(duì)于使用和管理都不是有利的.在此篇論文中我們提出了一種新的ATM防火墻結(jié)構(gòu),能夠解決某些限制問(wèn)題和其它的安全補(bǔ)丁,并使吞吐量達(dá)到2.88Gbites/sec及更高.論文目的在于尋找能為高速網(wǎng)絡(luò)技術(shù)提供防火墻安全服務(wù)的機(jī)制.我們分析了一

4、種為ATM及ATM之上的IP提供高速訪問(wèn)控制的防火墻結(jié)構(gòu).我們提出的方案所做的大多數(shù)更改是根據(jù)我們所描述的防火墻模型而集中于訪問(wèn)控制過(guò)程的效率作的.此外我們提出的方案為安全部門(mén)提供了通過(guò)訪問(wèn)控制參數(shù)(例如QoS(服務(wù)質(zhì)量)),濾選ATM通信的能力.總之,此篇論文清晰地描述了我們所提出的防火墻交換機(jī)的模型、設(shè)計(jì)以及分析,這種防火墻用于解決現(xiàn)有數(shù)據(jù)包級(jí)濾選以及ATLAS ATM防火墻交換機(jī)的限制問(wèn)題.我們的工作同時(shí)提供了一個(gè)瀑布模型的結(jié)構(gòu),