基于Netfilter框架的校驗(yàn)字過濾防火墻的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、本系統(tǒng)是在Linux2.4內(nèi)核版本的Netfilter防火墻框架體系結(jié)構(gòu)的基礎(chǔ)上設(shè)計(jì)與實(shí)現(xiàn)的。在Netfilter框架中注冊校驗(yàn)字過濾防火墻的模塊，對傳輸?shù)奖镜刂鳈C(jī)的包進(jìn)行深度包過濾。先對包的ip源地址和目的地址進(jìn)行過濾，通過過濾的包如果含有非法信息(即本文所指的校驗(yàn)字)，會觸發(fā)防火墻安全策略單元的相關(guān)函數(shù)，然后由這些函數(shù)按照客戶預(yù)先定制的處理規(guī)則對包執(zhí)行動作(丟棄或排隊(duì)到用戶空間進(jìn)一步處理)，同時(shí)這個(gè)包的其它一些信息也會被日志系統(tǒng)記錄

2、在案，供網(wǎng)絡(luò)管理員在以后查看。 在基礎(chǔ)理論部分，首先介紹了經(jīng)典的ISO七層參考模型和實(shí)用的TCP/IP協(xié)議，以及TCP/IP在Linux中的實(shí)現(xiàn)，并對當(dāng)今流行的幾種類型的防火墻進(jìn)行了分析和比較。之后介紹了Linux內(nèi)核編程的一些基本知識和設(shè)備驅(qū)動的基礎(chǔ)理論。接著，介紹了在LInux網(wǎng)絡(luò)協(xié)議棧中接收包和發(fā)送包的原理。最后介紹了Netfilter防火墻的實(shí)現(xiàn)機(jī)制和技術(shù)。在設(shè)計(jì)實(shí)現(xiàn)部分，分四個(gè)模塊分別討論校驗(yàn)字過濾防火墻是如何實(shí)現(xiàn)的。

3、第一，注冊單元模塊完成整個(gè)防火墻的初始化工作，它負(fù)責(zé)將安全策略單元中的處理函數(shù)注冊到Netfilter防火墻框架上，并對整個(gè)防火墻的關(guān)鍵數(shù)據(jù)結(jié)構(gòu)進(jìn)行初始化。第二，字符驅(qū)動程序模塊是內(nèi)核空間和用戶空間進(jìn)行數(shù)據(jù)交流的接口，所有的數(shù)據(jù)傳輸工作都要通過它才能順利的完成。第三，安全策略單元模塊則是實(shí)現(xiàn)校驗(yàn)字過濾的核心，流經(jīng)網(wǎng)絡(luò)接口的包通過它的檢驗(yàn)之后才能順利的流向目的地，否則就會觸發(fā)對“非法包”處理的事件。第四，日志信息模塊則保證網(wǎng)絡(luò)管理員能夠獲

4、得足夠的包信息，它會按照既定的策略對非法包中，感興趣的字段進(jìn)行記錄。除此之外，位于用戶空間的守護(hù)進(jìn)程模塊將負(fù)責(zé)從日志信息模塊讀取日志，并存入到磁盤上指定的位置；它也將和搜索引擎的后臺數(shù)據(jù)庫聯(lián)動，向安全策略單元提供禁止lP地址列表。其中防火墻的總體設(shè)計(jì)思想以及測試局域網(wǎng)的設(shè)計(jì)和測試程序的編寫是由我和同學(xué)共同完成，而主體部分的編寫工作是由我獨(dú)立來完成的。 通過對本系統(tǒng)的初步測試，表明了系統(tǒng)實(shí)現(xiàn)了既定的設(shè)計(jì)目標(biāo)，能夠正常的工作，并且具