基于内容过滤的分布式防火墙的研究

论文摘要

随着Internet在全球的飞速发展,网络安全变得尤其重要。防火墙成为目前最重要的信息安全产品,关系着整个网络的安全。然而,传统的防火墙由于在拓扑结构、过滤方式和过滤效率上都存在一些弊端,已经不再适应当今多变而且复杂的网络环境。因此我们需要一种新型的防火墙来解决这些问题,满足当今的网络情况。本文从实际出发,重点分析了传统防火墙体系中的不足和弊端,尝试设计出一种新型的混合式防火墙结构体系模型——基于内容过滤的分布式防火墙体系,改进了传统防火墙的一些不足之处,并结合高效的模式匹配算法对此防火墙模型进行了优化,最后使用Linux系统下的防火墙工具Netfilter/IPtables对几个主要功能模块进行了具体实现。总体来说,本文主要从以下三个方面对传统的防火墙系统加以改进和优化:第一:在拓扑结构上,摒弃了传统的防火墙的拓扑模式,采用基于IPSec的分布式防火墙模型,此防火墙模型结构主要包括策略中心服务器、主机防火墙和边界防火墙等,解决了“防外不防内”和“单点瓶颈”的弊端。第二:在过滤方式上,采用了基于网络层的内容过滤方式,把包过滤和内容过滤结合起来,并且使用了会话还原模块,改变了传统防火墙无法进行内容过滤或者内容过滤不全面的局限。第三:在过滤算法上,通过对各种模式匹配上算法的分析研究,最后采用了高效的多模式匹配算法并根据实际情况加以改进,把改进后的算法作为每个主机防火墙的内容过滤的算法,进一步优化了整个混合式防火墙体系的效率。本文最后对所设计的这种新型的混合式防火墙体系的部分模块进行了测试和结果分析,从实验的角度证明了设计方案的合理性和可行性。

论文目录

• 摘要
• Abstract
• 插图和附表清单
• 引言
• 1 绪论
• 1.1 研究的背景
• 1.2 防火墙发展现状及其发展趋势
• 1.3 研究的目的和意义
• 1.4 论文的主要工作
• 1.5 论文组织结构
• 2 防火墙技术综述
• 2.1 防火墙的定义
• 2.2 防火墙的分类
• 2.3 防火墙的关键技术
• 2.4 传统防火墙的优点
• 2.5 传统防火墙的弱点
• 2.6 分布式防火墙
• 2.6.1 分布式防火墙的提出
• 2.6.2 分布式防火墙的体系结构
• 2.6.3 分布式防火墙的运作过程
• 2.6.4 分布式防火墙的优点
• 2.7 TCP/IP相关知识
• 2.7.1 TCP/IP整体构架概述
• 2.7.2 TCP/IP中的主要协议
• 2.8 本章小结
• 3 Netfilter/IPtables防火墙框架
• 3.1 Netfilter/IPtables框架简介
• 3.2 Linux安全性和Netfilter/IPtables的关系
• 3.3 使用IPtables和Netfilter进行数据包过滤
• 3.4 利用IPtables和Netfilter进行NAT
• 3.5 利用IPtables和Netfilter进行数据报处理
• 3.6 IPtables关键数据结构
• 3.7 Netfilter/IPtables系统的优点
• 3.8 本章小结
• 4 模式匹配算法及其研究
• 4.1 单模式匹配算法
• 4.1.1 KMP算法
• 4.1.2 BF算法（BruteForce）
• 4.1.3 BM算法（Boyer-Moore）
• 4.1.4 BMH算法（Boyer-Moore-Horspool）
• 4.2 多模式匹配算法
• 4.2.1 AC算法（Aho-Corasick）
• 4.2.2 Wu-Manber算法
• 4.3 各类模式匹配算法的分析
• 4.4 高效的多关键字匹配算法—AC-BM算法
• 4.5 本章小结
• 5 分布式防火墙模型及其研究
• 5.1 分布式防火墙的优势
• 5.2 分布式防火墙相关理论技术
• 5.2.1 网络边界
• 5.2.2 IPSec简介
• 5.2.3 Keynote信任管理系统
• 5.2.4 Kerberos认证
• 5.2.5 Agent技术
• 5.3 分布式防火墙的关键机制
• 5.4 分布式防火墙结构模型及研究
• 5.4.1 基于Keynote的分布式防火墙模型
• 5.4.2 基于Agent的分布式防火墙模型
• 5.4.3 基于Kerberos认证的分布式防火墙模型
• 5.4.4 基于IPSec的分布式防火墙模型
• 5.5 本章小结
• 6 基于内容过滤的分布式防火墙系统的设计与优化
• 6.1 传统防火墙技术在内容安全方面的局限
• 6.1.1 包过滤技术在内容安全方面的局限
• 6.1.2 应用代理技术的局限
• 6.2 会话还原的实现
• 6.2.1 如何实现会话还原
• 6.2.2 实现不完全会话还原的过程
• 6.3 新型内容过滤模型
• 6.3.1 Linux下内容过滤模块
• 6.3.2 内容过滤模块的设计原则
• 6.3.3 新型内容过滤模块框架结构
• 6.4 基于内容过滤的分布式防火墙体系的实现
• 6.5 基于内容过滤的分布式防火墙系统的优化
• 6.5.1 多关键字匹配AC-BM算法的优化
• 6.5.2 优化后的算法在分布式内容过滤模块中的实现
• 6.6 本章小结
• 7 实验结果及其分析
• 7.1 新型防火墙性能测试
• 7.2 过滤算法的效率测试与分析
• 7.3 本章小结
• 结论
• 参考文献
• 致谢
• 读研期间主要科研成果