集群式防火墙系统的研究

论文摘要

进入21世纪以来，Internet得到了前所未有的高速发展，但它也面临着严峻的安全挑战。网络威胁呈现着多样化发展趋势，除传统的病毒、垃圾邮件外，危害更大的间谍软件、广告软件、网络钓鱼等也严重地威胁计算机网络的安全。而随着各种应用网络化程度的不断提高，更多的关键应用进入网络，企业和用户对网络的安全性要求有了更大的提高。网络资源的安全问题变得越来越重要。防火墙是目前使用最广泛的网络安全设备，在网络安全保护中起着重要的作用。但传统防火墙以单点方式将内网接入外网，因而很容易成为网络的瓶颈，极大地制约了网络中的实际应用同时降低了网络性能和可扩展性。当防火墙出现故障时还会导致防火墙的单点失效，从而降低了网络的可用性。为此，本文通过对防火墙和集群技术的分析与研究，提出了集群式防火墙系统CFS(Cluster Firewall System)的概念。CFS系统由多台普通防火墙组成，以并行方式连接，相互协作共同完成防火墙功能。CFS能有效地防止防火墙的单点失效，提高了网络的可用性。CFS系统是提高防火墙的处理能力、吞吐量的一种全新的解决方案。与传统防火墙相比具有高可用性、高可伸缩性、高性价比以及高性能等特点。在实现过程中按照对数据包的处理方式将CFS系统分为基于流量分发机制的CFS和基于协商处理机制的CFS。本文设计了一种全新的CFS系统模型，将该系统分为三个子系统：负载均衡子系统、容错防火墙子系统以及在线监控子系统。对各个子系统进行了分析与设计，负载均衡子系统实现负载的均衡分配，容错防火墙子系统实现包过滤与容错，在线监控子系统实现对CFS的高效管理。本文重点研究了基于协商处理机制的CFS，并利用Linux内核防火墙对基于协商处理机制的CFS加以实验与测试，取得了较好的结果。

论文目录

• 摘要
• ABSTRACT
• 目录
• 第一章 绪论
• 1.1 课题研究背景
• 1.2 国内外研究现状
• 1.3 研究内容与意义
• 1.4 论文的内容结构
• 第二章 防火墙与集群相关技术的研究
• 2.1 防火墙技术
• 2.1.1 防火墙技术
• 2.1.2 防火墙的体系结构
• 2.2 Linux内核防火墙
• 2.2.1 Linux Netfilter框架
• 2.2.2 Iptables系统
• 2.3 集群技术
• 2.3.1 集群技术的发展
• 2.3.2 集群系统的分类
• 2.4 负载均衡机制
• 2.4.1 负载均衡原理
• 2.4.2 基本的负载均衡算法
• 2.5 本章小结
• 第三章 CFS系统设计
• 3.1 CFS系统架构
• 3.1.1 系统设计原则
• 3.1.2 系统架构
• 3.2 负载均衡子系统 LBS
• 3.2.1 系统结构
• 3.2.2 权值计算模块
• 3.2.3 负载分配模块
• 3.2.4 其他模块
• 3.3 容错防火墙子系统 FOFS
• 3.3.1 系统结构
• 3.3.2 状态检测包过滤模块
• 3.3.3 容错模块
• 3.3.4 其他模块
• 3.4 在线监控子系统 OLMS
• 3.5 本章小结
• 第四章 系统实验与测试
• 4.1 基于协商处理机制的CFS系统原理
• 4.2 网卡驱动程序的改进
• 4.2.1 网卡工作在混杂模式的修改
• 4.2.2 Linux下网卡驱动程序的分析
• 4.2.3 网卡驱动程序的修改
• 4.3 心跳协议研究
• 4.3.1 心跳协议原理
• 4.3.2 心跳协议的实现
• 4.4 基于协商处理机制的 CFS的实验
• 4.4.1 内核的编译与linux防火墙的升级
• 4.4.2 带权值的最小连接算法
• 4.4.3 数据包的处理
• 4.4.4 Linux下状态检测包过滤技术的实现
• 4.5 系统测试与分析
• 4.6 本章小结
• 第五章 总结与展望
• 5.1 总结
• 5.2 下一步的工作
• 参考文献
• 致谢
• 攻读学位期间主要的研究成果目录