Modeling,Design and Analysis of Firewall Switch for High Speed Networks.pdf

1、防火墻是一種最常用的安全防護系統(tǒng),用于保護網(wǎng)絡和主機.由于防火墻需要能夠提供多樣的特性和服務,所以顯然該系統(tǒng)的實現(xiàn)取決于基本的網(wǎng)絡技術(shù).在不同的防火墻結(jié)構(gòu)中,一種基于路由器的數(shù)據(jù)包濾選防火墻是最為普遍的,且是保護企業(yè)級網(wǎng)絡免受不合法訪問的最有效的方法.但是,這種防火墻結(jié)構(gòu)在ATM網(wǎng)絡中卻不能有效地工作,因為它要求中斷在數(shù)據(jù)包濾選路由器中的端對端的ATM連接,這將會產(chǎn)生一個巨大的SAR(分割和重新裝配)開銷.在過去幾年中對于這個問題所提出

2、的解決方法的數(shù)量很少;與過去的這些解決方法不同的是,論文著重于研究現(xiàn)存防火墻交換機的限制并提出了一些缺陷的解決辦法.最近,ATLAS和其它的ATM防火墻交換機被用于保護高速的ATM網(wǎng)絡免受入侵,但是有如下的限制:它們只在OC-3c上運行數(shù)據(jù)包級濾選來避免SAR,對于每一個數(shù)據(jù)包他們只檢驗第一個數(shù)據(jù)單元.要么通過,要么濾除!它們使用一種超高速緩沖存儲器結(jié)構(gòu)來加速濾選運算.核心結(jié)構(gòu)是超高速緩沖存儲器(CAM).一旦數(shù)據(jù)包進入超高速緩沖存儲器

3、,數(shù)據(jù)包內(nèi)的數(shù)據(jù)單元將被轉(zhuǎn)發(fā).另外,第一個數(shù)據(jù)單元將經(jīng)過一個軟件篩選過程,其它的數(shù)據(jù)單元在一個隊列中進行緩沖存儲.這種方法將導致不想要的濾選延遲,交換機無法接受包含IP選擇幀的IP數(shù)據(jù)包,通常這些IP數(shù)據(jù)包對于使用和管理都不是有利的.在此篇論文中我們提出了一種新的ATM防火墻結(jié)構(gòu),能夠解決某些限制問題和其它的安全補丁,并使吞吐量達到2.88Gbites/sec及更高.論文目的在于尋找能為高速網(wǎng)絡技術(shù)提供防火墻安全服務的機制.我們分析了一

4、種為ATM及ATM之上的IP提供高速訪問控制的防火墻結(jié)構(gòu).我們提出的方案所做的大多數(shù)更改是根據(jù)我們所描述的防火墻模型而集中于訪問控制過程的效率作的.此外我們提出的方案為安全部門提供了通過訪問控制參數(shù)(例如QoS(服務質(zhì)量)),濾選ATM通信的能力.總之,此篇論文清晰地描述了我們所提出的防火墻交換機的模型、設(shè)計以及分析,這種防火墻用于解決現(xiàn)有數(shù)據(jù)包級濾選以及ATLAS ATM防火墻交換機的限制問題.我們的工作同時提供了一個瀑布模型的結(jié)構(gòu),