Linux內(nèi)核下基于Netfilter的狀態(tài)檢測防火墻研究與實現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)的飛速發(fā)展，社會的信息化程度不斷提高，計算機網(wǎng)絡(luò)已經(jīng)深入到社會的各個方面，帶來了巨大的經(jīng)濟效益和社會效益，然而也帶來不可忽視的安全風(fēng)險。防火墻是一種安全有效且應(yīng)用廣泛的網(wǎng)絡(luò)安全機制，但是傳統(tǒng)的包過濾防火墻只對數(shù)據(jù)包的IP地址、協(xié)議和端口進行分析，不支持應(yīng)用層協(xié)議，難以履行保護內(nèi)網(wǎng)安全的職責(zé)；而應(yīng)用代理網(wǎng)關(guān)防火墻難于配置，處理延遲很大，很容易成為內(nèi)外部網(wǎng)絡(luò)之間的瓶頸。因此，狀態(tài)檢測技術(shù)成為目前研究最廣泛的防火墻技術(shù)，對每一個包的

2、檢查不僅根據(jù)規(guī)則表，更考慮了利用狀態(tài)表跟蹤每一個網(wǎng)絡(luò)會話的狀態(tài)，動態(tài)地打開和關(guān)閉端口，并加以會話超時的限制，能在很大程度上提高過濾安全性。Linux作為近幾年迅速發(fā)展起來的易于管理、維護并可完全免費使用的操作系統(tǒng)，在系統(tǒng)的穩(wěn)定性、健壯性及價格的低廉性方面都獨具優(yōu)勢，隨著Linux服務(wù)器的應(yīng)用日益廣泛，其安全性也越來越重要。 本文開發(fā)的防火墻以保護Linux服務(wù)器的安全為目標(biāo)，通過對Linux內(nèi)核的深入研究，首先提出了Linux系

3、統(tǒng)中狀態(tài)檢測技術(shù)的內(nèi)核原理及用戶空間實現(xiàn)方法，采用Netfilter的連接跟蹤技術(shù)對傳統(tǒng)包過濾做出了改進。然后從防火墻策略、總體設(shè)計、具體設(shè)計和iptables用戶空間實現(xiàn)等幾個方面來考慮，提出了較全面的防火墻設(shè)計方案，在此基礎(chǔ)上分別實現(xiàn)了適用于Linux服務(wù)器SSH、FTP、DNS、Web等基本網(wǎng)絡(luò)服務(wù)的防火墻模塊，通過對包連接狀態(tài)的檢測而繞開其他繁瑣的過濾規(guī)則，完成迅速數(shù)據(jù)流狀態(tài)的分析，從而大大提高了防火墻的過濾效率，并通過測試證明