下一代軟件防火墻研究與設(shè)計(jì).pdf

1、隨著計(jì)算機(jī)硬件及網(wǎng)絡(luò)技術(shù)的快速發(fā)展，信息技術(shù)已經(jīng)逐步成為推動(dòng)經(jīng)濟(jì)和社會(huì)發(fā)展的關(guān)鍵因素。在人們進(jìn)行信息資源共享的同時(shí)，也感受到了信息安全問題日益突出。
　　 在防火墻技術(shù)中，包過濾器則是其中的關(guān)鍵部件。防火墻為用戶信息和網(wǎng)絡(luò)提供有效的保護(hù)，使之遠(yuǎn)離互連網(wǎng)上的種種危險(xiǎn)。例如：黑客攻擊，病毒等。下一代互連網(wǎng)的網(wǎng)絡(luò)協(xié)議IPv6的提出對于上述問題提供了有效的解決方法。Ipsec的使用提高了互聯(lián)網(wǎng)傳輸?shù)陌踩?。但由于網(wǎng)絡(luò)的復(fù)雜性，針對IPv

2、6的包過濾器仍是必須的。對于IPv6過濾器，可分為無狀態(tài)過濾器和有狀態(tài)過濾器。所謂無狀態(tài)過濾器，就是指針對保護(hù)的目標(biāo)網(wǎng)絡(luò)制定一組安全規(guī)則。對于要通過防火墻的數(shù)據(jù)包，逐一進(jìn)行檢查。檢查的項(xiàng)目通常有源地址，目的地址，源端口，目的端口，網(wǎng)絡(luò)接口，協(xié)議類型。無狀態(tài)過濾器對數(shù)據(jù)包的過濾不依賴前面數(shù)據(jù)包的過濾狀態(tài)。與之對應(yīng)，有狀態(tài)防火墻針對每一個(gè)通過防火墻的連接都創(chuàng)建一個(gè)相應(yīng)連接狀態(tài)。根據(jù)創(chuàng)建的狀態(tài)信息，對這個(gè)連接相關(guān)的數(shù)據(jù)包進(jìn)行過濾。有狀態(tài)防火墻

3、不需要為反向數(shù)據(jù)包也制定相關(guān)安全規(guī)則。
　　 IPv6包過濾器與IPv4包過濾器有相似之處，但由于其自身獨(dú)有的特點(diǎn)，必須對其進(jìn)行一定的設(shè)計(jì)改造。本文探討了怎樣設(shè)計(jì)IPv6無狀態(tài)防火墻和有狀態(tài)防火墻。其中，無狀態(tài)防火墻實(shí)現(xiàn)的功能有：能夠處理IPv6的多地址接口的情況；處理IP頭中的擴(kuò)展頭；處理端到端加密的情況；IPv4向IPv6遷移過程中使用映射地址和IPv6隧道的情形；使用TAEP地址，簡化了IPv6防火墻的結(jié)構(gòu)。對于有狀態(tài)防火