基于Netfilter框架的校驗(yàn)字過(guò)濾防火墻的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、本系統(tǒng)是在Linux2.4內(nèi)核版本的Netfilter防火墻框架體系結(jié)構(gòu)的基礎(chǔ)上設(shè)計(jì)與實(shí)現(xiàn)的。在Netfilter框架中注冊(cè)校驗(yàn)字過(guò)濾防火墻的模塊，對(duì)傳輸?shù)奖镜刂鳈C(jī)的包進(jìn)行深度包過(guò)濾。先對(duì)包的ip源地址和目的地址進(jìn)行過(guò)濾，通過(guò)過(guò)濾的包如果含有非法信息(即本文所指的校驗(yàn)字)，會(huì)觸發(fā)防火墻安全策略單元的相關(guān)函數(shù)，然后由這些函數(shù)按照客戶(hù)預(yù)先定制的處理規(guī)則對(duì)包執(zhí)行動(dòng)作(丟棄或排隊(duì)到用戶(hù)空間進(jìn)一步處理)，同時(shí)這個(gè)包的其它一些信息也會(huì)被日志系統(tǒng)記錄

2、在案，供網(wǎng)絡(luò)管理員在以后查看。 在基礎(chǔ)理論部分，首先介紹了經(jīng)典的ISO七層參考模型和實(shí)用的TCP/IP協(xié)議，以及TCP/IP在Linux中的實(shí)現(xiàn)，并對(duì)當(dāng)今流行的幾種類(lèi)型的防火墻進(jìn)行了分析和比較。之后介紹了Linux內(nèi)核編程的一些基本知識(shí)和設(shè)備驅(qū)動(dòng)的基礎(chǔ)理論。接著，介紹了在LInux網(wǎng)絡(luò)協(xié)議棧中接收包和發(fā)送包的原理。最后介紹了Netfilter防火墻的實(shí)現(xiàn)機(jī)制和技術(shù)。在設(shè)計(jì)實(shí)現(xiàn)部分，分四個(gè)模塊分別討論校驗(yàn)字過(guò)濾防火墻是如何實(shí)現(xiàn)的。

3、第一，注冊(cè)單元模塊完成整個(gè)防火墻的初始化工作，它負(fù)責(zé)將安全策略單元中的處理函數(shù)注冊(cè)到Netfilter防火墻框架上，并對(duì)整個(gè)防火墻的關(guān)鍵數(shù)據(jù)結(jié)構(gòu)進(jìn)行初始化。第二，字符驅(qū)動(dòng)程序模塊是內(nèi)核空間和用戶(hù)空間進(jìn)行數(shù)據(jù)交流的接口，所有的數(shù)據(jù)傳輸工作都要通過(guò)它才能順利的完成。第三，安全策略單元模塊則是實(shí)現(xiàn)校驗(yàn)字過(guò)濾的核心，流經(jīng)網(wǎng)絡(luò)接口的包通過(guò)它的檢驗(yàn)之后才能順利的流向目的地，否則就會(huì)觸發(fā)對(duì)“非法包”處理的事件。第四，日志信息模塊則保證網(wǎng)絡(luò)管理員能夠獲

4、得足夠的包信息，它會(huì)按照既定的策略對(duì)非法包中，感興趣的字段進(jìn)行記錄。除此之外，位于用戶(hù)空間的守護(hù)進(jìn)程模塊將負(fù)責(zé)從日志信息模塊讀取日志，并存入到磁盤(pán)上指定的位置；它也將和搜索引擎的后臺(tái)數(shù)據(jù)庫(kù)聯(lián)動(dòng)，向安全策略單元提供禁止lP地址列表。其中防火墻的總體設(shè)計(jì)思想以及測(cè)試局域網(wǎng)的設(shè)計(jì)和測(cè)試程序的編寫(xiě)是由我和同學(xué)共同完成，而主體部分的編寫(xiě)工作是由我獨(dú)立來(lái)完成的。 通過(guò)對(duì)本系統(tǒng)的初步測(cè)試，表明了系統(tǒng)實(shí)現(xiàn)了既定的設(shè)計(jì)目標(biāo)，能夠正常的工作，并且具