集群防火墻系統(tǒng)的研究.pdf

1、隨著網(wǎng)絡(luò)技術(shù)的進(jìn)步，分布式網(wǎng)絡(luò)的應(yīng)用日益廣泛，其面對(duì)的安全問題也更為突出。網(wǎng)絡(luò)的邊界安全主要由防火墻技術(shù)實(shí)現(xiàn)，但無論是傳統(tǒng)的、混合型的還是分布式的防火墻系統(tǒng)都不能很好地適應(yīng)分布式的網(wǎng)絡(luò)環(huán)境。 本文所做的主要工作是研究如何將傳統(tǒng)的防火墻技術(shù)融合進(jìn)分布式網(wǎng)絡(luò)的一個(gè)重要應(yīng)用——多接入點(diǎn)網(wǎng)絡(luò)中去，使得這種成熟的安全技術(shù)在新的環(huán)境下能夠發(fā)揮作用。目的是充分利用現(xiàn)有資源，以較少的代價(jià)解決多接入點(diǎn)網(wǎng)絡(luò)的安全防護(hù)問題。同時(shí)，對(duì)防火墻系統(tǒng)的可用性

2、問題進(jìn)行研究，達(dá)到提升其性能、增強(qiáng)其可管理性的目的。 首先，通過分析指出，在此種網(wǎng)絡(luò)中安全檢測(cè)應(yīng)在每個(gè)接入點(diǎn)上進(jìn)行，防火墻模塊間形成對(duì)等網(wǎng)絡(luò)關(guān)系，并據(jù)此提出了集群防火墻系統(tǒng)設(shè)計(jì)方案。每個(gè)防火墻模塊包含若干功能模塊，其核心是實(shí)現(xiàn)傳統(tǒng)狀態(tài)檢測(cè)技術(shù)的策略執(zhí)行模塊，此外信息收集模塊在由接入點(diǎn)構(gòu)成的對(duì)等網(wǎng)絡(luò)中收集狀態(tài)檢測(cè)所需的數(shù)據(jù)，實(shí)現(xiàn)了分布式狀態(tài)檢測(cè)的基礎(chǔ)策略；信息查詢模塊在各接入點(diǎn)間交換信息，提高防火墻系統(tǒng)的可用性、可控性；負(fù)載平衡模

3、塊實(shí)現(xiàn)接入點(diǎn)間任務(wù)負(fù)載的平衡，提高系統(tǒng)的魯棒性。 其次，提出了分布式狀態(tài)檢測(cè)的基礎(chǔ)實(shí)現(xiàn)算法。利用分布式哈希算法，對(duì)相關(guān)信息進(jìn)行計(jì)算，每個(gè)接入點(diǎn)負(fù)責(zé)一個(gè)計(jì)算所得的哈希值域片斷。系統(tǒng)將所有源和目的地相同的IP包定向到同一接入點(diǎn)來實(shí)現(xiàn)傳輸層會(huì)話的裝配。其后即可進(jìn)行傳統(tǒng)的安全過濾工作。利用現(xiàn)有的安全技術(shù)，實(shí)現(xiàn)了分布式狀態(tài)檢測(cè)。此外，利用這種思想實(shí)現(xiàn)了分布式環(huán)境下IP分片的處理，并利用折疊異或法提高了哈希算法的計(jì)算速度，利用前插鏈表法提高

4、了哈希算法解決沖突問題的效能，增強(qiáng)了算法的可用性。 再次，對(duì)各個(gè)防火墻節(jié)點(diǎn)之間的信息交換問題進(jìn)行了研究。根據(jù)對(duì)等網(wǎng)絡(luò)小世界和冪定律特性，提出了基于度的快速搜索算法。將鄰居節(jié)點(diǎn)按照節(jié)點(diǎn)連接度進(jìn)行排序，利用直接相鄰優(yōu)先和聚集度大優(yōu)先的思想，將搜索信息向度數(shù)最大的鄰居節(jié)點(diǎn)轉(zhuǎn)發(fā)，加快了搜索信息的擴(kuò)散速度，提高了搜索的命中率。通過兩級(jí)節(jié)點(diǎn)信息的獲取，避免了三角形和四邊形回路的出現(xiàn)，減少了無效搜索信息包的生成數(shù)量和系統(tǒng)開銷。該算法為多點(diǎn)間過

5、濾信息的查詢，安全審計(jì)和管理數(shù)據(jù)的獲取等等應(yīng)用提供了基礎(chǔ)實(shí)現(xiàn)策略。 第四，將節(jié)點(diǎn)擁有的可管理信息和負(fù)載任務(wù)信息等定義為資源，從節(jié)點(diǎn)擁有的資源規(guī)模的角度看待防火墻節(jié)點(diǎn)對(duì)等網(wǎng)絡(luò)的搜索問題。依據(jù)最大資源規(guī)模優(yōu)先的思想，提出了基于資源規(guī)模的搜索算法。搜索通過遍歷一條由多個(gè)擁有較多資源的節(jié)點(diǎn)構(gòu)成的搜索路徑實(shí)現(xiàn)，同時(shí)將資源索引信息復(fù)制到擁有較多資源的鄰居節(jié)點(diǎn)上，局部實(shí)現(xiàn)了索引信息的聚集。與傳統(tǒng)的自由搜索算法相比，該算法以較短的查詢路徑覆蓋較

6、多的資源，增加了查詢的命中率；同時(shí)減少了搜索信息生成數(shù)量和系統(tǒng)開銷，算法效能較好。 最后，引入“伙伴節(jié)點(diǎn)”的概念，提出了一種負(fù)載平衡算法。將本地過剩的負(fù)載任務(wù)遷移到鄰居節(jié)點(diǎn)中負(fù)載處理能力剩余最多的節(jié)點(diǎn)上進(jìn)行處理。該節(jié)點(diǎn)即為本地節(jié)點(diǎn)的伙伴節(jié)點(diǎn)。當(dāng)本地節(jié)點(diǎn)改出重載狀態(tài)后，終止平衡過程，將所有外遷的任務(wù)遷回。算法通過這種策略保證了系統(tǒng)的穩(wěn)定性，在有效處理負(fù)載的同時(shí)系統(tǒng)不會(huì)出現(xiàn)大的波動(dòng)，從而提高了系統(tǒng)的性能。此外，通過資源消耗因子的定義