Linux防火墻的研究與優(yōu)化.pdf

1、隨著Internet的飛速發(fā)展，網(wǎng)絡(luò)信息安全日益受到業(yè)界的關(guān)注和重視，防火墻作為普遍使用的網(wǎng)絡(luò)信息安全技術(shù)成為研究的熱點。Linux下基于Netfilter/iptables架構(gòu)的防火墻具有很多優(yōu)點：如在內(nèi)核空間執(zhí)行防火墻代碼，性能相對較高；鉤子函數(shù)、模塊化等使得其具有極強(qiáng)的擴(kuò)展性等。 Linux防火墻雖然優(yōu)點明顯，但目前仍然面臨著很多問題，一是由于網(wǎng)絡(luò)帶寬的增加及應(yīng)用程序的日漸廣泛，使得防火墻越來越成為制約網(wǎng)絡(luò)的瓶頸。同時，隨

2、著網(wǎng)絡(luò)安全需要與各種細(xì)粒度的網(wǎng)絡(luò)控制的需求增加，防火墻的規(guī)則集規(guī)模在不斷增大，這也會導(dǎo)致防火墻的性能下降。 本文針對上述主要問題，進(jìn)行了以下幾方面的研究工作： 1．分析了防火墻體系架構(gòu)、發(fā)展方向等方面的內(nèi)容。對Linux防火墻源代碼和內(nèi)核重要參數(shù)做了深入剖析；定制、配置了linux防火墻系統(tǒng)和內(nèi)核；利用busybox軟件對應(yīng)用文件進(jìn)行精簡；同時修改了防火墻的并發(fā)連接數(shù)和和部分內(nèi)核參數(shù)。得到一個體積更小、占用系統(tǒng)資源更少的

3、快速、穩(wěn)定、高效運行的內(nèi)核。 2．給出了防火墻規(guī)則優(yōu)化的方法。規(guī)則集中的規(guī)則根據(jù)關(guān)聯(lián)特性一般可分為兩種類型：一類是規(guī)則之間有相互依賴關(guān)系的，稱為相關(guān)規(guī)則；一類則是無依賴關(guān)系的，稱為無關(guān)規(guī)則，對這兩類規(guī)則采取分而治之的方法。對于無關(guān)規(guī)則集，根據(jù)對每個規(guī)則匹配成功的統(tǒng)計數(shù)據(jù)，設(shè)計算法為每一條規(guī)則添加權(quán)重值，確定其優(yōu)先級，讓己經(jīng)匹配成功次數(shù)較多或最后匹配成功時間較近的規(guī)則優(yōu)先級更高，從而使每個通過網(wǎng)絡(luò)的數(shù)據(jù)包需要經(jīng)過匹配處理的規(guī)則數(shù)量