2774alinux防火墻設計與實現畢業設計論文(編輯修改稿)

　

【文章內容簡介】 全和審計檢查。與計算機系統正受到某些人利用調制解調器撥入攻擊的情況不同，防火墻可以發揮一種有效的“電話監聽”（Phone tap）和跟蹤工具的作用。防火墻提供了一種重要的記錄和審計功能，它們經常可以向管理員提供一些情況概要，提供有關通過防火墻的傳流輸的類型和數量以及有多少次試圖闖入防火墻的企圖等等信息。 選擇本課題的目的防火墻技術是一種綜合性的網絡安全技術，要了解防火墻先要了解 TCP/IP 網絡協議，IP 包結構等許多網絡知識，對自己以后在網絡方向的發展有著深遠的意義。也可以把開發過程作為以后開發有商業價值的網絡軟件的初步探索，為以后的工作積累寶貴的經驗。本防火墻是基于 Linux（ 內核）操作系統的。這是一種開源的，免費的操作系統，非常便于學習。通過在這個平臺開發本軟件，可以深入了解操作系統的內核，對內核級編程做一個初步嘗試。也可以將對 TCP/IP 協議棧的認識得到升華。 本人工作，現狀，發展做了研究； Vmware 搭建模擬網絡實驗環境； Linux 內核模塊機制，了解了 Linux 下的 C 編程和 Perl 編程及 Vim的使用； Netfilter 的原理，并深入研究了鉤子函數的使用方法和作用機制； Netfilter 原理開發并實現了簡單包過濾模塊、實現 IP 地址過濾、端口過濾和日志記錄等功能；；。西南交通大學本科畢業設計(論文) 第 2 頁第 2 章 防火墻知識與相關技術介紹 防火墻原理古時候，人們常在寓所之間砌起一道磚墻，一旦火災發生，它能夠防止火勢蔓延到別的寓所。自然，這種墻因此而得名“防火墻”。現在，如果一個網絡鏈接到了 Inter 上面，它的用戶就可以訪問外部網絡并與之通信。但同時，外部世界也同樣可以訪問該網絡并與之交互。為安全起見，可以在該網絡和 Inter 之間插入一個中介系統，豎起一道安全屏障。這道屏障的作用是阻斷來自外部通過網絡對本網絡的威脅和入侵， 提供扼守本網絡的安全和審計的唯一關卡。這種中介系統也叫做“防火墻”，或“防火墻系統” [12]。如圖 21：圖 21 防火墻示意圖作為近年來新興的保護計算機網絡安全技術性措施，防火墻（Firewall）是一種隔離控制技術，在某個機構的網絡和不安全的網絡（如 Inter）之間設置屏障，阻止不安全網絡對信息資源的非法訪問，也可以使用防火墻阻止專利信息從企業的網絡上被非法輸出。防火墻是一種被動防衛技術，由于它假設了網絡的邊界和服務，因此對內部的非法訪問難以有效地控制。因此，防火墻最適合于相對獨立的與外部網絡互連途徑有限、網絡服務種類相對集中的單一網絡。作為 Inter 網的安全性保護軟件，防火墻已經得到廣泛的應用。通常企業為了維護內部的信息系統安全，在企業網和 Inter 間設立防火墻軟件。企業信息系統對于來自 Inter 的訪問，采取有選擇的接收方式。它可以允許或禁止一類具體的 IP地址訪問，也可以接收或拒絕 TCP/IP 上的某一類具體的應用。如果在某一臺 IP 主機上有需要禁止的信息或危險的用戶，則可以通過設置使用防火墻過濾掉從該主機發出的數據包。如果一個企業只是使用 Inter 的電子郵件和 WWW 服務器向外部提供信息，那么就可以在防火墻上設置，使得只有這兩類應用的數據包可以通過。這對于路由器來說，就要不僅分析 IP 層的信息，而且還要進一步了解 TCP 傳輸層西南交通大學本科畢業設計(論文) 第 3 頁甚至應用層的信息以進行取舍。防火墻一般安裝在路由器上以保護一個子網，也可以安裝在一臺主機上，保護這臺主機不受侵犯 [12]。 防火墻功能鑒于以上的原理，建立防火墻可以達到以下目的： 防火墻允許網絡管理員定義一個“阻塞點”來防止非法用戶進入內部網絡，禁止存在安全脆弱性的服務進出網絡，來抗擊網絡攻擊。 防火墻通過過濾存在安全缺陷的網絡服務來降低內部網絡遭受攻擊的威脅，因為只有經過選擇的網絡服務才可以通過防火墻。 在防火墻上可以很方便的監視網絡的安全性，并產生報警。網絡管理員通過防火墻日志可以審查常規記錄并及時響應報警，以便知道防火墻或內部網絡是否遭受攻擊。 如果一個內部網絡的所有或者大部分需要改動的安全程序都集中到防火墻系統中，而不是分散到每一臺主機上，這樣防火墻的保護范圍就相對集中，安全成本也就相對便宜，安全的管理也可以得到簡化。 Internt 防火墻是部署 NAT(Network Address Translation，網絡地址轉化) 的合適位置。因此防火墻可以用來緩解 IP 地址短缺的問題，更可以隱藏內部網絡的細節。、強化私有權 對一些內部網絡的節點而言，保密性是很重要的，finger 和 DNS 服務經常會暴露內部網絡節點的信息。使用防火墻系統可以阻塞此類服務，從而減少內部信息的泄漏。 Inter 防火墻是審計和記錄 Inter 使用量的一個最佳地點。防火墻可以對正常網絡使用情況做出統計，通過對統計節點分析，可以使網絡資源得到最好的利用 [12]。 防火墻的體系結構實際構筑防火墻時，一般是將多個不同的部件放在一起，每個部件有各自解決問題的重點。實現防火墻的技術有很多種，如數據包過濾、應用網關和代理服務等。針對這些不同技術的防火墻又有不同的結構，如雙重宿主主機體系結構、被屏蔽主機體系結構和被屏蔽子網體系結構。下面就依次介紹這三種結構：西南交通大學本科畢業設計(論文) 第 4 頁 雙重宿主主機體系結構雙重宿主主機體系結構是圍繞具有雙重宿主的主機計算機而構筑的，該計算機至少有兩個網絡接口。這樣的主機可以充當與這些接口相連的網絡之間的路由器：它能夠從一個網絡向另一個網絡轉發 IP 數據包。然而，實現雙重宿主主機的防火墻體系結構禁止這種發送功能。因而，IP 數據包從一個網絡（例如外部網）并不是直接發送到其它網絡（例如內部的被保護的網絡）。防火墻內部的系統能與雙重宿主主機通信，同時防火墻外部的系統能與雙重宿主主機通信，但是這些系統不能直接互相通信。它們之間的 IP 通信被完全阻止。雙重宿主主機的防火墻體系結構是相當簡單的：雙重宿主主機位于兩者之間，并且被連接到外部網和內部網 [10]。網絡結構如圖 22。圖 22 雙重宿主主機體系結構 屏蔽主機體系結構屏蔽主機體系結構中提供安全保護的主機僅僅與內部網絡相連，另外有一臺單獨的過濾路由器連接內外網，這臺路由器的意義就在于強迫所有到達路由器的數據包都被發送到壁壘主機。這種體系結構中過濾路由器是否正確配置是防火墻安全與否的關鍵，過濾路由器的路由表應當受到嚴格的保護，如果遭到破壞，數據包就不會被發送到壁壘主機上。在屏蔽路由器中，數據包過濾配置可以按下列之一執行：西南交通大學本科畢業設計(論文) 第 5 頁，為了某些服務而開放到因特網上的主機連接(允許那些經由數據包過濾的服務)。(強迫這些主機經由堡壘主機使用代理服務)。這種體系結構通過數據包過濾來提供安全，而保衛路由器比保衛主機較易實現，因為它提供了非常有限的服務組，因此這種體系結構提供了比雙重宿主主機體系結構更好的安全性和可用性。弊端是，若是侵襲者設法入侵堡壘主機，則在堡壘主機與其他內部主機之間無任何保護網絡安全的東西存在；路由器同樣可能出現單點失效，若被損害，則整個網絡對侵襲者開放 [10]。網絡結構如圖 23。圖 23 屏蔽主機體網體系結構 屏蔽子網體系結構屏蔽子網體系結構增加了一個把內部網與周邊網絡隔離的周邊網絡（也成為非軍事區），從而進一步實現屏蔽主機的安全性(如圖 24)。通過使用周邊網絡隔離壁壘主機能夠削弱外部網絡對壁壘主機的攻擊 [10]。西南交通大學本科畢業設計(論文) 第 6 頁 包過濾技術的介紹 什么是包過濾防火墻 一般是基于源地址和目的地址、應用、協議以及每個 IP 包的端口來作出通過與否的判斷。一個路由器便是一個“傳統”的包過濾防火墻，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個 IP 包來自何方，去向何處。防火墻檢查每一條規則直至發現包中的信息與某規則相符。如果沒有一條規則能符合，防火墻就會使用默認規則，一般情況下，默認規則就是要求防火墻丟棄該包。其次，通過定義基于 TCP 或 UDP 數據包的端口號，防火墻能夠判斷是否允許建立特定的連接，如 Tel、FTP 連接 [11]。圖 24 屏蔽子網體系結構西南交通大學本科畢業設計(論文) 第 7 頁 包過濾防火墻的工作層次 包過濾是一種內置于 Linux 內核路由功能之上的防火墻類型，其防火墻工作在網絡層。 包過濾器操作的基本過程 下面做個簡單的敘述：。，對包報頭進行語法分析。大多數包過濾設備只檢查IP、TCP 、或 UDP 報頭中的字段。應用于包的規則的順序與包過濾器規則存儲順序必須相同。，則此包便不被允許。，則此包便可以被繼續處理。，則此包便被阻塞。 包過濾技術的優缺點 對于一個小型的、不太復雜的站點，包過濾比較容易實現。因為過濾路由器工作在 IP 層和 TCP 層，所以處理包的速度比代理服務器快。過濾路由器為用戶提供了一種透明的服務，用戶不需要改變客戶端的任何應用程序，也不需要用戶學習任何新的東西。因為過濾路由器工作在 IP 層和 TCP 層，而 IP 層和 TCP 層與應用層的問題毫不相關。所以，過濾路由器有時也被稱為“包過濾網關”或“透明網關”，之所被稱為網關，是因為包過濾路由器和傳統路由器不同，它涉及到了傳輸層。過濾路由器在價格上一般比代理服務器便宜。 一些包過濾網關不支持有效的用戶認證。規則表很快會變得很大而且復雜，規則很難測試。隨著表的增大和復雜性的增加，規則結構出現漏洞的可能性也會增加。這種防火墻最大的缺陷是它依賴一個單一的部件來保護系統。如果這個部件出現了問題，會使得網絡大門敞開，而用戶其至可能還不知道。在一般情況下，如果外部用戶被允許訪問內部主機，則它就可以訪問內部網上的任何主機。包過濾防火墻只能阻止一種類型的 IP 欺騙，即外部主機偽裝內部主機的 IP，對于外部主機偽裝外部主機的 IP 欺騙卻不可能阻止，而且它不能防止 DNS 欺騙。雖然，包過濾防火墻有如上所述的缺點，但是在管理良好的小規模網絡上，它能夠正常的發揮其作用。一般情況下，人們不單獨使用包過濾網關，而是將它和其他設備（如堡壘主機等）聯合使用 [11]。西南交通大學本科畢業設計(論文) 第 8 頁 其他相關技術介紹 代理 應用代理網關防火墻徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火墻對外網的訪問，然后再由防火墻轉發給內網用戶。所有通信都必須經應用層代理軟件轉發，訪問者任何時候都不能與服務器建立直接的 TCP 連接，應用層的協議會話過程必須符合代理的安全策略要求。應用代理網關的優點是可以檢查應用層、傳輸層和網絡層的協議特征，對數據包的檢測能力比較強。代理服務器的主要功能有： 可按用戶進行記帳，沒有登記的用戶無權通過代理服務器訪問 Inter 網。并對用戶的訪問時間、訪問地點、信息流量進行統計。 設置不同用戶的訪問權限，對外界或內部的 Inter 地址進行過濾，設置不同的訪問權限。(Cache)，提高訪問速度 對經常訪問的地址創建緩沖區，大大提高熱門站點的訪問效率。通常代理服務器都設置一個較大的硬盤緩沖區(可能高達幾個 GB 或更大) ，當有外界的信息通過時，同時也將其保存到緩沖區中，當其他用戶再訪問相同的信息時，則直接由緩沖區中取出信息，傳給用戶，以提高訪問速度。 Inter 與 Inter，充當防火墻(Firewall) 因為所有內部網的用戶通過代理服務器訪問外界時，只映射為一個 IP 地址，所以外界不能直接訪問到內部網；同時可以設置 IP 地址過濾，限制內部網對外部的訪問權限。 IP 開銷 代理服務器允許使用大量的偽 IP 地址，節約網上資源，即用代理服務器可以減少對 IP 地址的需求，對于使用局域網方式接入 Inter ，如果為局域網(LAN)內的每一個用戶都申請一個 IP 地址，其費用可想而知。但使用代理服務器后，只需代理服務器上有一個合法的 IP 地址， LAN 內其他用戶可以使用 10.*.*.*這樣的私有 IP 地址，這樣可以節約大量的 IP，降低網絡的維護成本 [12]。 狀態檢測 狀態檢測(stateful inspection)技術是防火墻近幾年才應用的新技術。傳統的包過濾防火墻只是通過檢測 IP 包頭的相關信息來決定數據流的通過還是拒絕，而狀態檢測技術采用的是一種基于連接的狀態檢測機制，將屬于同一連接的所有包作為一個整體的數據流看待，構成連接狀態表，通過規則表與狀態表的共同配合，對表中的各個連接狀態因素加以識別。這里動態連接狀態表中的記錄可以是以前的通信信息，也可以是其他相關應用程序的信息，因此，與傳統包過濾防火墻的靜態過濾規則表相比，它具有更好的靈活性和安全性。西南交通大學本科畢業設計(論文) 第 9 頁狀態檢測是由 CheckPoint 公司最先提出的，可算是防火墻技術的一項突破性變革，把包過濾的快速性和代理的安全性很好地結合在一起，目前已經是防火墻最流行的檢測方式。狀態檢測的根本思想是對所有網絡數據建立“連接”的概念，此“連接”是面向“連接”的協議之“連接”的擴展，對非連接協議數據也可以建立虛擬連接。既然是連接，必然是有一定的順序的，通信兩邊的連接狀態也是有一定順序進行變化的，就象打電