高吞吐量協(xié)作防火墻的雙向去冗余方法.pdf

1、隨著網(wǎng)絡(luò)規(guī)模的日益龐大，網(wǎng)絡(luò)結(jié)構(gòu)越來越復(fù)雜，網(wǎng)絡(luò)安全需求也隨之發(fā)生變化，特別是企業(yè)內(nèi)部網(wǎng)Intranet，要求防火墻能夠全面、主動地防御外部和內(nèi)部網(wǎng)絡(luò)攻擊。然而現(xiàn)有防火墻，不論是集中式防火墻還是分布式防火墻，其防御外部或者內(nèi)部網(wǎng)絡(luò)攻擊的方式均為被動防御。因此一種可主動地全面防御網(wǎng)絡(luò)攻擊的協(xié)作防火墻應(yīng)運而生。
　　協(xié)作防火墻由部署在網(wǎng)絡(luò)域內(nèi)或域間的多個防火墻構(gòu)成，它們以協(xié)同方式進行數(shù)據(jù)包過濾。研究表明，協(xié)作防火墻中存在冗余規(guī)則，這些

2、冗余規(guī)則會降低吞吐量。
　　本文從協(xié)作防火墻吞吐量的角度出發(fā)，研究一種新穎的協(xié)作防火墻去冗余方法。主要研究內(nèi)容如下：
　　1.根據(jù)協(xié)作防火墻在網(wǎng)絡(luò)中的部署情況，將協(xié)作防火墻分為域內(nèi)協(xié)作防火墻和跨域協(xié)作防火墻這兩大類，并簡要分析這兩類協(xié)作防火墻的工作原理和結(jié)構(gòu)特點。
　　2.根據(jù)協(xié)作防火墻協(xié)同過濾數(shù)據(jù)包的工作機制，提出一種高吞吐量協(xié)作防火墻的雙向去冗余方法。該方法采用FDD(Firewall Decision Diagr

3、am)數(shù)據(jù)結(jié)構(gòu)來描述防火墻規(guī)則，運用同時刪除入口和出口防火墻中冗余規(guī)則的思想，實現(xiàn)協(xié)作防火墻的優(yōu)化，達到減少協(xié)作防火墻規(guī)則數(shù)量的目的。闡述雙向冗余方法可分為四個步驟。為了完成第一、二個步驟提取有效規(guī)則和提取偽有效規(guī)則，在定義重疊規(guī)則概念的基礎(chǔ)上，設(shè)計有效規(guī)則提取算法和偽有效規(guī)則提取算法。此外，為了完成第四個步驟--雙向去冗余，將該雙向去冗余方法中確定冗余規(guī)則的問題，簡化為數(shù)值比較的簡單數(shù)學(xué)運算，設(shè)計冗余規(guī)則驗證算法。對比實驗結(jié)果表明，本