Iptables包過濾防火墻在代理服務(wù)器中的應(yīng)用

防火墻是實(shí)現(xiàn)網(wǎng)絡(luò)安全的一種重要防護(hù)手段。從網(wǎng)絡(luò)安全問題的提出入手,介紹了防火墻的概念、功能,兩種主要的防火墻技術(shù)的優(yōu)缺點(diǎn)以及其新的發(fā)展。

本文討論在linux環(huán)境下用iptables建立包過濾類型防火墻,通過一個(gè)實(shí)例說明建立的過程及其配置情況。

本文通過制定防火墻在信息包過濾時(shí)所遵循的規(guī)則,分析網(wǎng)絡(luò)層ip包頭中的源地址、目的地址及包類型等信息,完成丟棄或接受數(shù)據(jù)包的目的,最終決定數(shù)據(jù)包的流向,從而實(shí)現(xiàn)對(duì)內(nèi)部局域網(wǎng)絡(luò)用戶的安全保護(hù)。

網(wǎng)絡(luò)安全仿真是進(jìn)行網(wǎng)絡(luò)安全研究的重要手段,而防火墻的仿真是該手段的必要組成部分。本文重點(diǎn)研究防火墻仿真技術(shù),對(duì)防火墻規(guī)則進(jìn)行了形式化描述,并給出包過濾過程的自動(dòng)機(jī)設(shè)計(jì),基于此,在gtnets仿真平臺(tái)中實(shí)現(xiàn)了一個(gè)包過濾防火墻,并使用適當(dāng)?shù)臏y(cè)試用例驗(yàn)證了其正確性。

在對(duì)傳統(tǒng)的深度包過濾算法研究的基礎(chǔ)上,提出了一種新的基于標(biāo)示預(yù)處理的模式匹配算法,并予以實(shí)現(xiàn)。算法的時(shí)間復(fù)雜度小于o(n)(其中n為進(jìn)行匹配的文本串長度)。

freebsd系統(tǒng)是一個(gè)免費(fèi)開源的網(wǎng)絡(luò)操作系統(tǒng),有較高數(shù)據(jù)處理性能和高可靠性。全球的許多企業(yè)用戶在使用它作為企業(yè)的網(wǎng)絡(luò)服務(wù)器,對(duì)外提供www、email等網(wǎng)絡(luò)服務(wù)。文章介紹了一種以freebsd為內(nèi)核的包過濾防火墻設(shè)計(jì)和構(gòu)建過程,共包括3個(gè)部分:精簡優(yōu)化freebsd內(nèi)核、利用ipfirewall來構(gòu)建防火墻以及防火墻規(guī)則的建立。

目前在全球連入internet的計(jì)算機(jī)中約有三分之一是處于防火墻保護(hù)之下。防火墻技術(shù)可根據(jù)防范的方式和側(cè)重點(diǎn)的不同而分為很多種類型，但總體來講可分為二大類：包過濾（分組過濾）、應(yīng)用代理。我們今天就來介紹一下包過濾技術(shù)。

本文主要通過對(duì)防火墻的定義、主要功能、體系結(jié)構(gòu)的介紹,引出防火墻技術(shù)中的包過濾技術(shù),并對(duì)其進(jìn)行具體研究。

略論防火墻數(shù)據(jù)包過濾規(guī)則問題

數(shù)據(jù)包過濾是防火墻的一項(xiàng)基本技術(shù),通過對(duì)包過濾規(guī)則的合理制訂,可以有效地保護(hù)內(nèi)部網(wǎng)絡(luò)。文中結(jié)合一些典型的網(wǎng)絡(luò)攻擊,討論了有關(guān)合理制訂包過濾規(guī)則的問題。

作為一種主動(dòng)防病毒技術(shù),以包過濾技術(shù)為核心的病毒防火墻在目前受到了更多的關(guān)注。病毒防火墻的包過濾技術(shù)對(duì)病毒攔截效率至關(guān)重要。對(duì)目前軟件病毒防火墻的幾種主要包過濾技術(shù)的特點(diǎn)和優(yōu)劣進(jìn)行了分析,最后提出了目前情況下的軟件病毒防火墻包過濾技術(shù)的選用原則和方案。

為了實(shí)現(xiàn)保護(hù)信息不被竊取或破壞,設(shè)計(jì)了一款個(gè)人防火墻。該防火墻集成了個(gè)人防火墻中普遍采用的兩種包過濾方法,即通過內(nèi)核態(tài)下的網(wǎng)絡(luò)封包攔截獲得網(wǎng)絡(luò)數(shù)據(jù)包的進(jìn)程、端口、協(xié)議等詳細(xì)信息,根據(jù)協(xié)議和端口規(guī)則對(duì)網(wǎng)絡(luò)數(shù)據(jù)封包進(jìn)行處理;同時(shí),通過用戶態(tài)下對(duì)應(yīng)用程序數(shù)據(jù)包的攔截來設(shè)置自己的應(yīng)用程序規(guī)則來進(jìn)行過濾。采用推理機(jī)實(shí)現(xiàn)過濾規(guī)則的動(dòng)態(tài)生成;提高了包過濾防火墻的性能,能更好地保證網(wǎng)絡(luò)信息的安全。

隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展,應(yīng)用網(wǎng)絡(luò)技術(shù)和共享網(wǎng)絡(luò)資源已經(jīng)成為日常學(xué)習(xí)、工作中必不可少的部分.只要網(wǎng)絡(luò)存在,安全問題就會(huì)作為一個(gè)極其重要和極具威脅性的問題存在.目前市場(chǎng)上有各種各樣的安全工具,技術(shù)最成熟、最早產(chǎn)品化的就是防火墻,防火墻是安全策略的技術(shù)實(shí)現(xiàn),包括濾系統(tǒng)是防火墻最基本、最重要、最核心部分.防火墻的包過濾規(guī)則是根據(jù)實(shí)際需要的安全策略來制定的,對(duì)規(guī)則集應(yīng)該考慮整體是否有效、規(guī)范,而不應(yīng)該是規(guī)則集中的每條規(guī)則是否有效、規(guī)范.研究了包過濾規(guī)則在應(yīng)用之前能夠進(jìn)行規(guī)則的沖突檢測(cè),避免規(guī)則之間出現(xiàn)矛盾、冗余,便于規(guī)則的管理和維護(hù),也便于制定較為完備的安全策略.

隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展,應(yīng)用網(wǎng)絡(luò)技術(shù)和共享網(wǎng)絡(luò)資源已經(jīng)成為我們?nèi)粘W(xué)習(xí)、工作中必不可少的部分。只要網(wǎng)絡(luò)存在,安全問題就會(huì)作為一個(gè)極其重要和極具威脅性的問題存在。目前市場(chǎng)上有各種各樣的安全工具,技術(shù)最成熟、最早產(chǎn)品化的就是防火墻,防火墻是安全策略的技術(shù)實(shí)現(xiàn),包過濾系統(tǒng)是防火墻最基本、最重要、最核心部分。防火墻的包過濾規(guī)則是根據(jù)實(shí)際需要的安全策略來制定的,對(duì)規(guī)則集應(yīng)該考慮整體是否有效、規(guī)范,而不應(yīng)該是規(guī)則集中的每條規(guī)則是否有效、規(guī)范。本文實(shí)現(xiàn)了包過濾規(guī)則在應(yīng)用之前能夠進(jìn)行規(guī)則的沖突檢測(cè),避免規(guī)則之間出現(xiàn)矛盾、冗余,便于規(guī)則的管理和維護(hù),也便于制定較為完備的安全策略。

包過濾是防火墻的一項(xiàng)基本技術(shù),通過對(duì)包過濾規(guī)則的合理制訂可以有效地保護(hù)內(nèi)部網(wǎng)絡(luò)。文中結(jié)合一些典型的網(wǎng)絡(luò)攻擊,討論了有關(guān)合理制訂包過濾規(guī)則的問題。最后詳細(xì)分析了一種新的過濾機(jī)制———流過濾

防火墻技術(shù)主要分為包過濾和應(yīng)用代理兩類。從數(shù)據(jù)包結(jié)構(gòu)出發(fā),分析包過濾技術(shù),首先提出包過濾技術(shù)的核心問題;然后在分析傳統(tǒng)包過濾技術(shù)缺陷的基礎(chǔ)上,詳細(xì)論述了包過濾技術(shù)的兩種發(fā)展趨勢(shì);最后以技術(shù)實(shí)例說明了這兩種趨勢(shì)的融合。

在網(wǎng)絡(luò)邊界設(shè)置防火墻是進(jìn)行網(wǎng)絡(luò)防護(hù)的有效手段。本文首先介紹了防火墻及其功能,然后分析了防火墻所使用的最基本的技術(shù)手段--包過濾技術(shù),給出了它對(duì)應(yīng)各個(gè)傳輸協(xié)議的應(yīng)用,并對(duì)其局限性提出了一種解決方法。

隨著信息技術(shù)發(fā)展日異月新,各類應(yīng)用平臺(tái)不斷在網(wǎng)絡(luò)上搭建和使用,為我們的工作和學(xué)習(xí)提供了極大的便利。但是網(wǎng)絡(luò)是把雙刃劍,在給大家?guī)肀憷耐瑫r(shí),隱患也會(huì)悄悄伴隨左右。為保障平臺(tái)的正常使用,必須加強(qiáng)網(wǎng)絡(luò)安全防護(hù),在防火墻的部署和配置過程中,包過濾是基本的也是重要的一個(gè)防護(hù)環(huán)節(jié),如何熟練的使用包過濾防火墻進(jìn)行網(wǎng)絡(luò)安全防護(hù),就要從它的工作原理和規(guī)則上進(jìn)行詳細(xì)的了解。

分析了2.2.x內(nèi)核下包過濾防火墻ipchains和2.4.x內(nèi)核下iptables的工作方式.在ipchains中數(shù)據(jù)要遍歷input、forward、ouput3個(gè)鏈,而在iptables中的filter的3個(gè)鏈則分別處理inputf、orward、output數(shù)據(jù);在ipchains時(shí)代,要完成nat功能,則需要ipmasqadm與ipchains一起使用;最后分析了3種可視化的ipchains設(shè)置工具.

互聯(lián)網(wǎng)技術(shù)的快速發(fā)展,使得網(wǎng)絡(luò)安全問題日益嚴(yán)峻,防火墻技術(shù)作為網(wǎng)絡(luò)安全的重要技術(shù)之一,是防御非法入侵和非法訪問的有效手段之一。本文中簡述了防火墻技術(shù)的安全控制手段,特別是對(duì)包過濾防火墻工作原理,并探討了包過濾技術(shù)在實(shí)際中的具體應(yīng)用。

包分類算法的性能直接影響數(shù)據(jù)包的收發(fā)速度,決定了網(wǎng)絡(luò)的時(shí)延和吞吐量。防火墻中使用分類算法進(jìn)行過濾規(guī)則的匹配查找,能有效降低規(guī)則匹配搜索時(shí)間,極大地提升防火墻的性能。遞歸流分類(rfc,recursiveflowclassification)算法查找速度快,但預(yù)處理時(shí)間長,存儲(chǔ)開銷大?，F(xiàn)在rfc算法的基礎(chǔ)上,結(jié)合哈希樹算法對(duì)數(shù)據(jù)包各字段分開處理。將兩種算法結(jié)合,綜合考慮了空間和時(shí)間性能,不僅減少了存儲(chǔ)開銷,而且能保持相對(duì)快的查找速度。

介紹了深度包檢測(cè)技術(shù)的背景、特點(diǎn)和原理,分析了該技術(shù)與普通防火墻技術(shù)的不同以及在防火墻中的應(yīng)用。