LINUX防火墻的改進(jìn)與提高.pdf

1、隨著信息化進(jìn)程的深入和互聯(lián)網(wǎng)的迅速發(fā)展，人們的工作、學(xué)習(xí)和生活方式正在發(fā)生巨大變化，效率大為提高，信息資源得到最大程度的共享。
　　 但必須看到，緊隨信息化發(fā)展而來的網(wǎng)絡(luò)安全問題日漸凸出，越來越成為研究熱點(diǎn)之一。防火墻這一強(qiáng)有力的網(wǎng)絡(luò)安全工具在新的網(wǎng)絡(luò)環(huán)境中性能有待于提高。
　　 由于Linux操作系統(tǒng)優(yōu)良的網(wǎng)絡(luò)性能和開放源代碼的特點(diǎn)，并且支持多用戶、多任務(wù)、多進(jìn)程、實(shí)時(shí)性較好、功能強(qiáng)大而穩(wěn)定，使其成為目前運(yùn)行硬件平臺(tái)最

2、廣泛的操作系統(tǒng)。而Linux提供的基于內(nèi)核Netfilter 框架的防火墻，具有通用性和可擴(kuò)展性的特點(diǎn)，實(shí)現(xiàn)了一種性價(jià)比較高的安全方案，可以有效地阻止惡意攻擊，成為很多網(wǎng)絡(luò)安全管理員的選擇。事實(shí)上，有些防火墻廠商就是通過對(duì)Linux 內(nèi)核防火墻的修改和擴(kuò)充，來構(gòu)件自己的防火墻產(chǎn)品。所以本文選擇Linux Netfilter/iptables 防火墻作為研究對(duì)象具有重要的現(xiàn)實(shí)意義和市場(chǎng)價(jià)值。
　　 Linux 內(nèi)核版本2.4和2.

3、6中都采用了Netfilter的防火墻框架。Linux防火墻是一種包過濾防火墻，采用順序查找的方法，雖然穩(wěn)定可靠，但是隨著網(wǎng)絡(luò)帶寬的增大和網(wǎng)絡(luò)流量的迅猛增長(zhǎng)，尤其是在IPv6 地址空間的擴(kuò)大以及大規(guī)則集下，使得包過濾的效率下降得很快。
　　 在深入研究Linux的IP協(xié)議棧，以及在大規(guī)則集時(shí)對(duì)防火墻的性能測(cè)試后，可以判斷，防火墻的順序查找算法是Linux 防火墻的性能瓶頸，也是系統(tǒng)對(duì)IP包處理的性能瓶頸。
　　 基于以上

4、分析，本文對(duì)經(jīng)典包分類算法的主要思想和優(yōu)缺點(diǎn)進(jìn)行了對(duì)比分析，其中遞歸流多維分類(Recursive Flow Classification)算法簡(jiǎn)稱RFC，是具有代表性的包分類算法，分類速度快，但該算法在大規(guī)則集、多維、IPv6 應(yīng)用環(huán)境下會(huì)出現(xiàn)內(nèi)存消耗過大的現(xiàn)象。針對(duì)此問題，本文在RFC的基礎(chǔ)上提出了一種新的包分類算法，以下稱為New-RFC(NRFC)。
　　 該算法綜合考慮了空間和時(shí)間性能，采取將源、目的地址字段與其他字段

5、分開處理的策略，對(duì)地址字段使用幾何學(xué)點(diǎn)定位分類模式進(jìn)行處理，對(duì)其他字段在思想上仍采用原來的RFC，但考慮到預(yù)處理表和各階段的交叉乘積表占用內(nèi)存空間大，本文采用新的數(shù)據(jù)結(jié)構(gòu)---位圖壓縮表。NRFC算法不僅減少了存儲(chǔ)開銷而且保持相對(duì)快速。本文還將NRFC 應(yīng)用于LinuxNetfilter/iptables 防火墻，有效地克服了它在上述應(yīng)用環(huán)境中的不足，而且防火墻的性能也得到了很大的提高。
　　 本文不光在理論上對(duì)防火墻的算法和性