基于Linux的千兆線速防火墻的設(shè)計與實現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)應(yīng)用的日益普及，網(wǎng)絡(luò)已成為主要的數(shù)據(jù)傳輸和信息交換平臺，網(wǎng)絡(luò)安全和信息安全是保障網(wǎng)上業(yè)務(wù)正常進(jìn)行的關(guān)鍵。在構(gòu)建安全網(wǎng)絡(luò)環(huán)境的過程中，防火墻作為第一道安全防線，正受到越來越多用戶的關(guān)注。目前防火墻仍然起著最基本的預(yù)防作用，仍然是保護(hù)網(wǎng)絡(luò)安全所必須的工具。 目前，傳統(tǒng)的軟件防火墻大多數(shù)是在Linux的Netfilter框架之下實現(xiàn)的。更準(zhǔn)確地講，Netfilter是Linux內(nèi)核中一個包過濾框架，它實現(xiàn)了包過濾、狀態(tài)檢測、

2、網(wǎng)絡(luò)地址轉(zhuǎn)換和包標(biāo)記等多種功能。本文對Linux的Netfilter框架進(jìn)行了深入的研究和探討，利用Netfiltor設(shè)計的開放性，在內(nèi)核的數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層實現(xiàn)了自己的功能模塊。本文在分析Neffiltor框架的基礎(chǔ)上，結(jié)合FPGA設(shè)計的靈活性，設(shè)計了一種具有可擴展性和高性能的硬件防火墻的體系結(jié)構(gòu)。 鑒于防火墻產(chǎn)品功能不斷完善的發(fā)展趨勢，交換功能和路由功能幾乎成了防火墻產(chǎn)品不可或缺的組成部分。本文將在FPGA芯片內(nèi)部實現(xiàn)交換功

3、能和路由功能，但考慮到交換和路由功能的軟件的復(fù)雜性，采取了一種折衷的處理方法：Linux內(nèi)核完成路由表和交換表的創(chuàng)建，F(xiàn)PGA芯片以規(guī)則的形式把路由表和交換表存儲下來。 本文借鑒Linux內(nèi)核提供的交換、路由以及Netfilter框架的設(shè)計及實現(xiàn)方法，在FPGA芯片內(nèi)部實現(xiàn)了交換、路由以及防火墻功能。同時，利用Linux系統(tǒng)提供的動態(tài)模塊加載機制，把對FPGA芯片的操作和驅(qū)動實現(xiàn)為動態(tài)模塊加入Linux內(nèi)核，從而成為Linux內(nèi)

4、核的一部分。通過在Linux內(nèi)核適當(dāng)位置掛接鉤子函數(shù)，以及在動態(tài)模塊中實現(xiàn)鉤子函數(shù)的方式，使Linux內(nèi)核的交換、路由及防火墻規(guī)則與FPGA硬件交換、路由及防火墻規(guī)則保持一致。 最后，對該框架實現(xiàn)的防火墻的功能和性能進(jìn)行了測試，從測試結(jié)果可以看出，該防火墻達(dá)到了千兆線速的要求。分析整個防火墻產(chǎn)品的框架設(shè)計和測試結(jié)果，最終得出結(jié)論：Linux內(nèi)核和動態(tài)模塊實現(xiàn)軟硬件規(guī)則的一致性，F(xiàn)PGA芯片完成對數(shù)據(jù)包的處理，這使得該防火墻同時具