Linux防火墻的研究與優(yōu)化.pdf

1、隨著Internet的飛速發(fā)展，網(wǎng)絡(luò)信息安全日益受到業(yè)界的關(guān)注和重視，防火墻作為普遍使用的網(wǎng)絡(luò)信息安全技術(shù)成為研究的熱點(diǎn)。Linux下基于Netfilter/iptables架構(gòu)的防火墻具有很多優(yōu)點(diǎn)：如在內(nèi)核空間執(zhí)行防火墻代碼，性能相對(duì)較高；鉤子函數(shù)、模塊化等使得其具有極強(qiáng)的擴(kuò)展性等。 Linux防火墻雖然優(yōu)點(diǎn)明顯，但目前仍然面臨著很多問(wèn)題，一是由于網(wǎng)絡(luò)帶寬的增加及應(yīng)用程序的日漸廣泛，使得防火墻越來(lái)越成為制約網(wǎng)絡(luò)的瓶頸。同時(shí)，隨

2、著網(wǎng)絡(luò)安全需要與各種細(xì)粒度的網(wǎng)絡(luò)控制的需求增加，防火墻的規(guī)則集規(guī)模在不斷增大，這也會(huì)導(dǎo)致防火墻的性能下降。 本文針對(duì)上述主要問(wèn)題，進(jìn)行了以下幾方面的研究工作： 1．分析了防火墻體系架構(gòu)、發(fā)展方向等方面的內(nèi)容。對(duì)Linux防火墻源代碼和內(nèi)核重要參數(shù)做了深入剖析；定制、配置了linux防火墻系統(tǒng)和內(nèi)核；利用busybox軟件對(duì)應(yīng)用文件進(jìn)行精簡(jiǎn)；同時(shí)修改了防火墻的并發(fā)連接數(shù)和和部分內(nèi)核參數(shù)。得到一個(gè)體積更小、占用系統(tǒng)資源更少的

3、快速、穩(wěn)定、高效運(yùn)行的內(nèi)核。 2．給出了防火墻規(guī)則優(yōu)化的方法。規(guī)則集中的規(guī)則根據(jù)關(guān)聯(lián)特性一般可分為兩種類型：一類是規(guī)則之間有相互依賴關(guān)系的，稱為相關(guān)規(guī)則；一類則是無(wú)依賴關(guān)系的，稱為無(wú)關(guān)規(guī)則，對(duì)這兩類規(guī)則采取分而治之的方法。對(duì)于無(wú)關(guān)規(guī)則集，根據(jù)對(duì)每個(gè)規(guī)則匹配成功的統(tǒng)計(jì)數(shù)據(jù)，設(shè)計(jì)算法為每一條規(guī)則添加權(quán)重值，確定其優(yōu)先級(jí)，讓己經(jīng)匹配成功次數(shù)較多或最后匹配成功時(shí)間較近的規(guī)則優(yōu)先級(jí)更高，從而使每個(gè)通過(guò)網(wǎng)絡(luò)的數(shù)據(jù)包需要經(jīng)過(guò)匹配處理的規(guī)則數(shù)量