防火墻規(guī)則集關(guān)鍵技術(shù)研究.pdf

1、隨著互聯(lián)網(wǎng)的迅速發(fā)展，防火墻包含的規(guī)則數(shù)目變得越來(lái)越多。這種情況，通常會(huì)帶來(lái)兩方面的問(wèn)題。第一，規(guī)則數(shù)目的增多，對(duì)規(guī)則匹配的效率提出了挑戰(zhàn)，規(guī)則匹配已經(jīng)成為防火墻的一個(gè)性能瓶頸點(diǎn)。第二，由于規(guī)則集中沖突規(guī)則的存在，規(guī)則數(shù)目的增多，使得有效管理防火墻規(guī)則集變得越來(lái)越困難。要解決這兩方面的問(wèn)題，通常需使用以下幾項(xiàng)關(guān)鍵技術(shù)：規(guī)則匹配技術(shù)、規(guī)則沖突檢測(cè)技術(shù)、規(guī)則沖突消除技術(shù)、規(guī)則正確性配置技術(shù)。研究人員針對(duì)以上技術(shù)，提出了相應(yīng)的算法。這些算法在

2、提高防火墻吞吐率、降低規(guī)則集管理難度等方面，取得了一定效果，但仍然存在不少缺陷，有待于進(jìn)一步改進(jìn)和完善。因此，目前仍有必要對(duì)防火墻規(guī)則集關(guān)鍵技術(shù)進(jìn)行研究。 本文深入細(xì)致地研究了規(guī)則數(shù)目增多所帶來(lái)的問(wèn)題，全面地分析和總結(jié)了防火墻規(guī)則集關(guān)鍵技術(shù)的研究現(xiàn)狀，以及未來(lái)的發(fā)展趨勢(shì)，取得了若干創(chuàng)新和成果。本文的主要?jiǎng)?chuàng)新點(diǎn)如下： 第一，提出了一種快速的高維報(bào)文分類(lèi)算法。 在規(guī)則匹配技術(shù)，即報(bào)文分類(lèi)技術(shù)方面，在BSOL(Bina

3、rySearchOnLeaves)算法基礎(chǔ)之上，本文提出了一種快速的高維報(bào)文分類(lèi)算法MCBF(MultiCuttingsandBloomFilters)。與BSOL算法不同，MCBF算法在對(duì)規(guī)則空間進(jìn)行分解時(shí)，同時(shí)切割所有維，并將葉子規(guī)則空間存儲(chǔ)在相關(guān)的哈希表中；MCBF算法為每個(gè)哈希表構(gòu)建一個(gè)BloomFilter，而這些BloomFilter被存儲(chǔ)在片內(nèi)SRAM中。當(dāng)分類(lèi)數(shù)據(jù)包時(shí)，MCBF算法并行地訪(fǎng)問(wèn)BloomFilter，并根據(jù)

4、其結(jié)果決定如何訪(fǎng)問(wèn)哈希表。理論分析和仿真實(shí)驗(yàn)表明：MCBF算法能正確地分類(lèi)數(shù)據(jù)包；當(dāng)分類(lèi)一個(gè)數(shù)據(jù)包時(shí)，MCBF算法的哈希表平均查詢(xún)次數(shù)為1，遠(yuǎn)小于BSOL算法：最壞情況下，MCBF算法的哈希表查詢(xún)次數(shù)為O(log(wmax)+1)，其中wmax是最長(zhǎng)維的域長(zhǎng)。對(duì)于常見(jiàn)的規(guī)則集類(lèi)型和高維環(huán)境而言，該值通常小于等于BSOL算法在最壞情況下的哈希表查詢(xún)次數(shù)。 第二，提出了一種基于位向量交集運(yùn)算的規(guī)則沖突檢測(cè)算法。 在規(guī)則沖突檢

5、測(cè)技術(shù)方面，針對(duì)現(xiàn)有沖突檢測(cè)算法效率不高這一情況，本文ASBV(AggregatedSBitVectors)算法基礎(chǔ)之上，提出了一種基于位向量交集算的規(guī)則沖突檢測(cè)算法DBBV(DoubleBinaryBitVectors)。同ASBV算法類(lèi)似，DBBV算法也采用了分治思想和位向量技術(shù)。但與ASBV算法不同，在每一維規(guī)則分量的處理過(guò)程中，DBBV算法只需要進(jìn)行一次位向量交集運(yùn)算，而ASBV算法需要進(jìn)行多次位向量并集運(yùn)算；DBBV算法支持以

6、范圍形式表示的規(guī)則集，而ASBV算法只支持以前綴形式表示的規(guī)則集。理論分析和仿真實(shí)驗(yàn)表明：DBBV算法的沖突檢測(cè)性能優(yōu)于ASBV算法。 第三，提出了一種基于切割映射的沖突消除算法。 在規(guī)則沖突消除技術(shù)方面，針對(duì)現(xiàn)有規(guī)則沖突消除算法不能徹底消除沖突這一問(wèn)題，本文提出了一種基于切割映射的沖突消除算法RCBCM(ResolvingConflictsBasedonCuttingMapping)。RCBCM算法對(duì)不同的沖突類(lèi)型，采

7、取不同的處理方法；并以?xún)蓷l沖突規(guī)則為基本處理對(duì)象，在其沖突消除過(guò)程中，順序切割優(yōu)先級(jí)較低的規(guī)則的每一維分量。理論分析和仿真實(shí)驗(yàn)表明：在增加少量規(guī)則的代價(jià)下，RCBCM算法能徹底消除沖突。 第四，提出了一種基于規(guī)則交集運(yùn)算的規(guī)則集比較算法。 在規(guī)則正確性配置技術(shù)方面，針對(duì)應(yīng)用于DiverseFirewallDesign環(huán)境的現(xiàn)有規(guī)則集比較算法，效率不高這一情況，本文提出了一種基于規(guī)則交集運(yùn)算的規(guī)則集比較算法RSCBRI(R