基于嵌入式Linux防火墻的研究與實(shí)現(xiàn).pdf

1、防火墻技術(shù)是網(wǎng)絡(luò)安全的基石,本文介紹了防火墻的相關(guān)內(nèi)容,包括防火墻的基本概念、分類、主要技術(shù)和體系結(jié)構(gòu)。在此基礎(chǔ)上,研究了Linux操作系統(tǒng)下TCP/IP協(xié)議的實(shí)現(xiàn),并對(duì)Linux防火墻的Netfilter/Iptables進(jìn)行了研究。最后,本文開發(fā)了一個(gè)適合中小型用戶的具有基本包過濾、動(dòng)態(tài)包過濾、內(nèi)容過濾,規(guī)則設(shè)置等功能的防火墻產(chǎn)品。該防火墻以Linux的Netfilter架構(gòu)為基礎(chǔ),用Netfilter來實(shí)現(xiàn)基本包過濾功能。本文在N

2、etfilter的基礎(chǔ)上添加了三個(gè)功能模塊,分別是:動(dòng)態(tài)包過濾模塊:Netfilter自帶的動(dòng)態(tài)包過濾機(jī)制比較簡(jiǎn)單,只是將源、目的地址和源、目的端口保存在一張連接表中。其檢查的連接信息較少,安全性不高。因此,本文重新開發(fā)了一個(gè)動(dòng)態(tài)包過濾模塊,其在連接狀態(tài)表中增加了連接序號(hào),應(yīng)答號(hào),窗口大小等表項(xiàng),不但檢測(cè)包是否屬于合法連接,判斷其TCP狀態(tài)轉(zhuǎn)換是否正確,而且還對(duì)包進(jìn)行序號(hào)檢查,判斷包在這條連接上的合法性,即保證收到的包不是偽造的包,從而

3、增強(qiáng)了防火墻的安全性。內(nèi)容過濾模塊:采用基于協(xié)議分析的內(nèi)容過濾算法對(duì)數(shù)據(jù)包進(jìn)行內(nèi)容過濾,解決了包過濾和動(dòng)態(tài)包過濾不能防止基于內(nèi)容級(jí)的攻擊問題。該算法在協(xié)議分析的基礎(chǔ)上檢測(cè)數(shù)據(jù)包是否包含危險(xiǎn)字符串,其性能優(yōu)于一般的模式匹配算法,具有檢測(cè)快,時(shí)延較小等特點(diǎn)。Web設(shè)置系統(tǒng):用戶可以使用iptables命令來建立防火墻規(guī)則,但是iptables的配置所需要的參數(shù)很多,使用iptables命令建立防火墻規(guī)則相當(dāng)煩瑣。因此,本文開發(fā)了Linux防