基于SSL的分布式防火墙服务器端的研究与实现

论文摘要

传统防火墙部署在网络边界,依赖网络的物理拓扑结构来保护内网的安全。但随着因特网的发展,网络拓扑结构越来越复杂,以及加密通信的出现和远程接入访问的需要,传统边界防火墙的局限性日益明显,分布式防火墙技术应运而生。分布式防火墙更符合网络安全应用发展的需要,代表了防火墙技术的研究和发展方向。本文比较了传统防火墙和分布式防火墙的优缺点,深入研究了分布式防火墙技术和SSL(Secure Socket Layer)技术的原理和研究现状。在此基础上,针对国内小型混合网络的实际需求,提出了将SSL技术用于分布式防火墙的思想,设计了一个基于SSL的分布式防火墙系统,并实现了在Windows操作系统下分布式防火墙系统服务器端的原型。由于还没有一个统一的安全策略描述语言,本文结合分布式防火墙系统的实际情况,采用巴科斯范式自定义了一个安全策略描述语言格式,并对安全策略的异常进行了初步研究。策略用于描述节点之间关键通信信息,除了包过滤规则外,还集成了简单的网络管理命令,保证了有效的策略管理和节点管理。该系统摒弃了传统防火墙使用IP地址鉴别节点身份的做法,采用X.509证书与主机名相结合的方法,在该分布式防火墙系统中建立了一个CA(Certificate Authority)中心进行认证管理,消除了伪造IP地址攻击带来的危险。同时,针对分布式防火墙系统中各节点之间通信安全得不到保障的问题,在底层采用SSL加密通道进行数据传输,并对SSL握手中身份认证的缺陷进行了改进,较好地解决了分布式防火墙系统中通信安全问题。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 研究意义
• 1.2 研究现状
• 1.3 本论文研究内容
• 1.4 章节安排
• 第2章 相关理论基础
• 2.1 防火墙概述
• 2.1.1 防火墙的基本概念
• 2.1.2 防火墙的分类
• 2.1.3 传统防火墙的体系结构
• 2.1.4 传统防火墙的缺点
• 2.1.5 个人防火墙的体系结构
• 2.1.6 个人防火墙的缺点
• 2.2 分布式防火墙概述
• 2.2.1 分布式防火墙的体系结构
• 2.2.2 分布式防火墙的优点
• 2.2.3 分布式防火墙的几种常见模型
• 2.3 SSL概述
• 第3章 分布式防火墙的设计
• 3.1 设计目标
• 3.2 设计思想
• 3.3 体系结构设计
• 3.4 功能模块设计
• 3.4.1 策略执行器
• 3.4.2 证书管理模块
• 3.4.3 策略管理模块
• 3.4.4 通信服务模块
• 3.4.5 日志管理模块
• 第4章 服务器端原型的详细设计与实现
• 4.1 开发环境与工具
• 4.1.1 Visual C++
• 4.1.2 OpenSSL
• 4.2 证书管理模块
• 4.2.1 X.509数字证书的制作
• 4.2.2 CA中心的实现
• 4.3 策略管理模块
• 4.3.1 安全策略的形式化定义
• 4.3.2 安全策略的格式解析
• 4.3.3 安全策略的异常检测
• 4.3.4 策略管理中心的实现
• 4.4 通信服务模块
• 4.4.1 基于证书的系统模型
• 4.4.2 SSL握手协议中证书身份认证的改进
• 4.4.3 安全策略和数字证书的更新和传输
• 第5章 系统运行及效果
• 5.1 运行环境
• 5.2 运行效果
• 结论与展望
• 致谢
• 参考文献
• 攻读硕士学位期间发表的论文