IPv6防火墻狀態(tài)檢測技術(shù)的研究與實現(xiàn).pdf

1、以Internet為主要標志的網(wǎng)絡(luò)技術(shù)飛速發(fā)展，為人們的日常生活和社會生產(chǎn)的發(fā)展帶來了巨大的便利。隨著網(wǎng)絡(luò)深入到社會生活的方方面面，網(wǎng)絡(luò)信息安全的問題已經(jīng)成為人們關(guān)注的焦點。防火墻技術(shù)作為保護網(wǎng)絡(luò)信息安全的主要技術(shù)之一，目前已經(jīng)成為構(gòu)建安全可靠網(wǎng)絡(luò)的常用方法。隨著新一代互聯(lián)網(wǎng)協(xié)議——IPv6的產(chǎn)生和即將到來的大規(guī)模應(yīng)用，進行IPv6防火墻的研究是必要而且迫切的。 相對于傳統(tǒng)的包過濾和應(yīng)用網(wǎng)關(guān)技術(shù)，狀態(tài)檢測具有速度快，安全性較高的

2、特點，是目前主流的防火墻技術(shù)。Linux作為開放源碼的操作系統(tǒng)，有著廣泛的應(yīng)用。其2.4和2.6內(nèi)核版本不僅支持IPv6協(xié)議棧，而且所采用的Netfilter/iptables框架引入了模塊化的構(gòu)建方式，可以方便地實現(xiàn)IPv6防火墻。 本論文的主要目的就是對基于Linux操作系統(tǒng)的IPv6防火墻狀態(tài)檢測技術(shù)進行研究和實現(xiàn)。圍繞這一目標，主要做了以下三個方面的工作： ①在分析IPv4狀態(tài)檢測技術(shù)和Linux防火墻框架Net

3、filter/iptables的基礎(chǔ)上。通過在Netfilter的NF_IP6_FORWARD HOOK點掛接自定義狀態(tài)檢測函數(shù)，以可加載內(nèi)核模塊的方式實現(xiàn)IPv6防火墻狀態(tài)檢測模塊。 ②基于Patricia tries構(gòu)造半開連接表來處理TCP連接建立的過程，利用端口隊列來跟蹤每個半開連接，按照先進先出的原則對半開連接進行數(shù)量統(tǒng)計和狀態(tài)檢測。模擬實驗表明，引入這種方法的IPv6防火墻狀態(tài)檢測模塊能夠比較有效的抵御SynFloo