Linux内核下基于Netfilter的状态检测防火墙研究与实现

论文摘要

随着互联网的飞速发展,社会的信息化程度不断提高,计算机网络已经深入到社会的各个方面,带来了巨大的经济效益和社会效益,然而也带来不可忽视的安全风险。防火墙是一种安全有效且应用广泛的网络安全机制,但是传统的包过滤防火墙只对数据包的IP地址、协议和端口进行分析,不支持应用层协议,难以履行保护内网安全的职责;而应用代理网关防火墙难于配置,处理延迟很大,很容易成为内外部网络之间的瓶颈。因此,状态检测技术成为目前研究最广泛的防火墙技术,对每一个包的检查不仅根据规则表,更考虑了利用状态表跟踪每一个网络会话的状态,动态地打开和关闭端口,并加以会话超时的限制,能在很大程度上提高过滤安全性。Linux作为近几年迅速发展起来的易于管理、维护并可完全免费使用的操作系统,在系统的稳定性、健壮性及价格的低廉性方面都独具优势,随着Linux服务器的应用日益广泛,其安全性也越来越重要。本文开发的防火墙以保护Linux服务器的安全为目标,通过对Linux内核的深入研究,首先提出了Linux系统中状态检测技术的内核原理及用户空间实现方法,采用Netfilter的连接跟踪技术对传统包过滤做出了改进。然后从防火墙策略、总体设计、具体设计和iptables用户空间实现等几个方面来考虑,提出了较全面的防火墙设计方案,在此基础上分别实现了适用于Linux服务器SSH、FTP、DNS、Web等基本网络服务的防火墙模块,通过对包连接状态的检测而绕开其他繁琐的过滤规则,完成迅速数据流状态的分析,从而大大提高了防火墙的过滤效率,并通过测试证明其在实际应用中的有效性和可靠性,为Linux防火墙技术的下一步发展提供借鉴作用。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 网络安全概述
• 1.2 防火墙概述
• 1.3 LINUX 防火墙应用
• 1.4 研究背景与课题内容
• 1.4.1 研究背景
• 1.4.2 课题内容
• 第2章 防火墙及LINUX 下的防火墙技术
• 2.1 防火墙技术的发展
• 2.1.1 防火墙技术的发展
• 2.1.2 防火墙架构
• 2.2 LINUX 防火墙的发展
• 2.2.1 Linux 防火墙发展的历史
• 2.2.2 Netfilter/iptables 框架介绍
• 2.3 国内外防火墙及技术展望
• 2.4 本章小结
• 第3章 基于NETFILTER 状态检测防火墙研究与设计
• 3.1 TCP/IP 协议分析
• 3.1.1 TCP/IP 协议分层
• 3.1.2 TCP 协议连接的工作流程
• 3.1.3 Linux 协议栈结构
• 3.2 NETFILTER 体系结构详解
• 3.2.1 Netfilter 钩子函数
• 3.2.2 iptables 管理工具
• 3.3 LINUX 下状态检测的实现方法
• 3.3.1 状态检测流程
• 3.3.2 Linux 内核中的连接跟踪模块
• 3.3.3 状态检测的iptables 用户空间实现方法
• conntrack 结构与内核中state 匹配的实现'>3.3.4 ip_conntrack 结构与内核中state 匹配的实现
• 3.4 LINUX 状态检测防火墙的设计
• 3.4.1 防火墙设计策略
• 3.4.2 防火墙总体设计思想
• 3.4.3 防火墙具体设计思想
• 3.4.4 各模块中的iptables 实现设计
• 3.5 本章小结
• 第4章 基于NETFILTER 的状态检测防火墙的实现
• 4.1 防火墙的内核准备
• 4.1.1 编译Netfilter
• 4.1.2 防火墙的初始化
• 4.1.3 防火墙日志
• 4.2 防火墙模块的实现
• 4.2.1 SSH 状态检测模块实现
• 4.2.2 FTP 状态检测模块实现
• 4.2.3 DNS 状态检测模块实现
• 4.2.4 WEB 服务状态检测模块实现
• 4.3 本章小结
• 第5章 防火墙测试
• 5.1 防火墙的启动和停止
• 5.2 SSH 模块测试
• 5.2.1 防火墙规则列表
• 5.2.2 远程连接测试
• 5.3 FTP 模块测试
• 5.3.1 防火墙规则列表
• 5.3.2 FTP 远程连接
• 5.3.3 到本地的FTP 连接
• 5.4 DNS 和WEB 服务模块测试
• 5.4.1 防火墙规则列表
• 5.4.2 从本机访问外部网页的Web 服务测试
• 5.5 本章小结
• 结论
• 参考文献
• 攻读硕士学位期间发表的学术论文
• 致谢