基于ASIC的防火墙系统Xwall的设计与实现

论文摘要

本文所论述的“基于ASIC 的防火墙系统Xwall”是基于四川南山之桥微电子有限公司自主设计的集成路由、交换、防火墙ASIC 芯片“Xwall? TS6210”进行设计开发的。是在以TS6210 为核心的硬件平台上,设计实现基于Linux 内核的专用防火墙系统。首先,在基础理论中,介绍了防火墙的基本概念、分类,对现有防火墙的技术进行了分析比较,对于TCP/IP 协议进行了简要的介绍。随后,对Xwall 系统层次结构和系统功能模块的设计进行了分析。本文围绕路由和状态检测这两个主要的功能模块的设计与实现进行分析论述。在路由模块的设计中,将对硬件路由的操作部分加入到Linux 内核路由处理中,使硬件路由表随着内核路由表进行更新;而且,为硬件路由设计实现了动态自适应功能,使硬件路由表能自动适应网络配置环境的变化。状态检测作为Xwall 的核心功能模块,是基于Linux netfilter 框架设计实现的。状态检测模块将已通过规则检查的连接/会话信息写入SESSION 表,数据包进入系统时,首先查找SESSION 表,如果命中,则直接进行转发,否则再进行规则检查;SESSION 表由硬表和软表组成,硬表作为软表的cache;为了能更好的利用硬表的资源,提高整个系统的处理效率,设计实现LRU/LMU算法对硬表和软表进行调度。通过网络设备专业测试仪器的系统测试,表明该系统实现了设计目标并具有较高的性能和稳定性。

论文目录

• 摘要
• ABSTRACT
• 目录
• 第一章 引言
• 1.1 防火墙技术现况
• 1.2 项目背景
• 1.3 论文组织结构
• 第二章 基础理论和相关技术
• 2.1 防火墙的基本概念
• 2.1.1 防火墙的概念及作用
• 2.1.2 防火墙的分类
• 2.1.3 两种硬件防火墙的比较
• 2.2 TCP/IP 协议
• 2.2.1 IP 数据报
• 2.2.2 TCP 报文格式及选项
• 2.2.3 TCP 传输管理
• 第三章 Xwall 系统的概要设计
• 3.1 设计目标
• 3.2 系统整体框架
• 3.3 系统功能模块分析
• 第四章 路由管理模块
• 4.1 设计目标
• 4.2 层次结构
• 4.3 路由管理接口设计与实现
• 4.3.1 Linux 内核路由接口分析与设计
• 4.3.2 路由命令解析
• 4.4 动态自适应的路由管理设计与实现
• 4.4.1 路由网关定时查询
• 4.4.2 ARP 解析路由自动更新
• 第五章 状态检测模块
• 5.1 模块设计概述
• 5.1.1 状态检测原理
• 5.1.2 NAT 功能设计原理
• 5.2 SESSION 表模型
• 5.2.1 SESSION 表的层次结构
• 5.2.2 镜像表的存储结构
• 5.2.3 软表的存储结构
• 5.3 状态检测流程及实现
• 5.3.1 netfilter 框架
• 5.3.2 Xwall 状态检测流程
• 5.3.3 状态检测的实现
• 5.4 SESSION 调度
• 5.4.1 硬表的调度
• 5.4.1.1 硬表调度原则
• 5.4.1.2 LRU 调度
• 5.4.2 DMA 定时调度
• 5.4.2.1 DMA 定时调度原理
• 5.4.2.2 软表 MRU 调度
• 第六章 测试报告及后续工作
• 6.1 测试报告
• 6.1.1 测试环境
• 6.1.2 功能测试
• 6.1.3 性能测试
• 6.2 后续工作
• 第七章 结论
• 参考文献
• 致谢
• 个人简历