资源描述：
《基于freebsd的包过滤防火墙研究与开发》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、CN431258/TP计算机工程与科学2006年第28卷第11期ISSN1007130XCOMPUTERENGINEERING&SCIENCEVol28,No11,2006文章编号:1007130X(2006)11000103*基于FreeBSD的包过滤防火墙研究与开发ResearchonaFreeBSDBasedFirewallSystem陈传波,刘清慧,黄刚CHENChuanbo,LIUQinghui,HUANGGang(华中科技大学计算机科学与技术学院,
2、湖北武汉430074)(SchoolofComputerScienceandTechnology,HuazhongUniversityofScienceandTechnology,Wuhan430074,China)摘要:通过对包过滤技术的基本原理进行简要分析,从实现包过滤功能的基本流程出发,本文提出了包过滤型防火墙的形式化模型,结合FreeBSD处理数据包,利用状态监测缓存,使用哈希表提高包过滤规则匹配效率,并根据小型网络系统的安全需求、安全策略介绍了基于FreeBSD操作系统的防火墙设计、系统
3、配置与初步的实现。Abstract:Thebasicprincipleofpacketfilteringisanalyzed,andthebasicprocessofimplementingpacketfilteringfunctionsisalsodiscussedinthispaper.Aformalizedpacketfilteringfirewallmodelispresented.ByusingtheHashtableandthestatefulinspectioncacheto
4、acceleratematchingconditionalrulers,theauthorimplementsapacketfilteringfirewallbasedontheFreeBSDoperatingsystem,whichcanservemostsmallbusinesssystemsbasedonsecurityneedsandstrategy.关键词:防火墙;包过滤;状态检测;FreeBSDKeywords:firewall;packetfiltering;statefuli
5、nspection;freeBSD中图分类号:TP393.08文献标识码:A样能比较全面地对网络数据包进行安全控制。在实际应用1引言中,通常需要将这两类防火墙有机地结合起来实现混合型防火墙,以达到较高的安全性和灵活性。当然,混合型防火[1]网络防火墙是最成熟、最早产品化的保护计算机网络墙的设计、实现和配置较之前两种类型难度大。安全的技术措施之一。它是设置在可信任的内部网络和不一般的家庭和小型网络系统没有大型系统所面临的所可信任的外界之间的一道屏障,可以从通信协议的各个层有安全问题,其重点是阻挡因特
6、网的非授权访问,保护系统次及应用中获取、存储并管理相关的信息,通过实施系统的避免受到外部有意或无意的破坏。采用包过滤防火墙是一访问安全策略来控制信息流,防止不可预料的、潜在的入侵个经济实用的选择。破坏。从实际防火墙使用的机制分类,防火墙可以简单地分为三种类型,即包过滤防火墙、代理型防火墙和混合型防2包过滤防火墙形式化模型火墙。包过滤防火墙工作在IP层,将所有通过的信息包中源2.1包过滤策略模型定义IP地址、目的IP地址、TCP端口、TCP链路状态等信息读包过滤基本流程如图1所示。出,并按照设定的
7、过滤原则过滤信息包。那些不符合规定的信息包会被防火墙过滤掉,以保证网络系统的安全。由于直接工作在IP层,可以适合所有的应用服务,灵活性和效率都较高,但也存在缺点,比如不能了解应用协议的具体形式、难以防范应用层的黑客行为。代理型防火墙工作在图1包过滤流程示意图应用层,它可理解高层协议,能针对某类应用制定严格的安包过滤技术就是根据信息包中源/目的IP地址、TCP/UDP端口或ICMP类型和代码、TCP链路状态等信息,按全策略,但这种防火墙速度较慢,而且不像包过滤防火墙那*收稿日期:20050520
8、;修订日期:20050828作者简介:陈传波(1957),男,湖北武汉人,教授,博士生导师,研究方向为图像处理、计算机网络和网络安全;刘清慧,硕士生,研究方向为计算机网络与安全;黄刚,工程师。通讯地址:430074湖北省武汉市华中科技大学计算机科学与技术学院;Tel:13908628661;Email:liuqh@email.com.cnAddress:SchoolofComputerScienceandTechnology,HuazhongUniversity
