应用层防火墙的设计与实现

论文摘要

防火墙可以实施和执行网络访问策略,但是,传统的防火墙技术集中于如何防范外部网络对内部网络的入侵和攻击上,而对于如何控制内部用户对外部网络的访问问题研究不够深入,相关的控制技术也不多。单纯依靠传统的包过滤等防火墙技术,势必会严重影响网络性能。本文从应用层网关技术入手,深入探讨了利用Winsock 2 SPI进行网络内容访问控制的问题。这是网络安全的一项新内容,或者说,它为网络安全技术研发人员提供了一个新的思路。 本文先深入研究了Windows网络架构模式:Windows中的分层结构,应用层与核心层关系,在应用层中EXE和DLL是两种工作方式不同的应用程序传输对象。分析了应用层运行的机理,给出了解决方案和具体实现的指导原则,然后研究了Winsock 2这一技术,对其中的API和SPI做了重点的研究与分析,分析了利用Winsock 2 SPI来实现访问控制功能的可行性。在用户请求HTTP服务时,需要首先建立与目标站点的连接,连接成功后,在此连接基础上发送HTTP请求数据包。作为接口,它只能发现和利用底层传输协议完成通信。这使得在设计防火墙的过程中可以直接使用已有的成熟的网络层协议和驱动组件,既简化了设计又使得工作在应用层的防火墙能满足新的要求。SPI又分为基础服务提供者和分层服务提供者两部分,本课题所研究的防火墙系统的DLL程序所处的就是基础服务提供者的位置。基础服务提供者执行网络传输协议(比如TCP/IP)的具体细节,其中包括在网络上收发数据之类的核心网络协议功能。 通过对现有的防火墙功能的分析,采用原型化的设计方式,使用替换系统DLL文件这一截获数据的方式进行了研究并实现了应用程序的访问控制,按照现代软件工程的体系实现了一个基于Winsock 2 SPI的个人防火墙,实现了诸如:应用层程序的过滤与控制、封包的监视及日志的查询等功能,最后对该防火墙系统进行了测试和结果分析,验证了设计方案的合理性与可行性。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 本课题设计所要达到的目标
• 1.2 课题研究意义
• 1.3 国内外研究现状
• 2 Windows网络协议架构
• 2.1 WINDOWS网络协议的实现
• 2.2 WINDOWS操作系统的总体架构
• 2.3 网络7层协议在WINDOWS中的实现
• 2.4 TCP／IP协议的架构
• 2.5 TCP／IP协议在WINDOWS中的实现
• 3 Winsock 2 SPI编程技术
• 3.1 WINSOCK 2 SPI基础
• 3.2 传输服务提供者
• 4 软件的设计与实现
• 4.1 X-FIRE的核心功能分析
• 4.2 程序工作流程图
• 4.3 X-FIRE的主体功能
• 4.4 模块划分
• 4.4.1 模块划分原则
• 4.4.2 模块结构图
• 4.4.3 模块接口定义
• 4.4.4 制定测试方法
• 4.5 控管规则文件结构设计
• 4.5.1 控管规则文件需要存储的内容
• 4.5.2 控管规则文件结构
• 4.5.3 日志文件需要存储的内容
• 4.5.4 日志文件结构
• 4.6 网络命令结构
• 4.7 界面设计
• 4.7.1 制订界面风格
• 4.7.2 界面设计工具选择
• 4.7.3 界面设计文档
• 4.8 选择开发工具和制订编码规则
• 4.8.1 选择开发工具
• 4.8.2 编码规则
• 5 打包与测试
• 5.1 安装程序的制作
• 5.2 测试
• 5.3 X-FIRE的部分测试文档
• 6 结论
• 参考文献
• 在学研究成果
• 致谢