基于linux操作系統(tǒng)的關(guān)鍵字過濾防火墻研究與實(shí)現(xiàn).pdf

1、“基于Linux操作系統(tǒng)的關(guān)鍵字過濾防火墻”是生產(chǎn)發(fā)展基金所所贊助的項(xiàng)目。本系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)是基于Linux2.4內(nèi)核版本之后新加入的Netfilter防火墻框架體系結(jié)構(gòu)。用戶通過在Netfilter框架中注冊關(guān)鍵字過濾的函數(shù),對(duì)網(wǎng)絡(luò)上傳輸?shù)陌M(jìn)行內(nèi)容過濾。含有非法信息(即本文所指的關(guān)鍵字)的包,會(huì)觸發(fā)防火墻安全策略單元的相關(guān)函數(shù),然后由這些函數(shù)按照客戶預(yù)先定制的處理規(guī)則對(duì)包執(zhí)行動(dòng)作(丟棄或排隊(duì)到用戶空間做進(jìn)一步處理),同時(shí)這個(gè)包的其它

2、一些信息也會(huì)被日志系統(tǒng)記錄在案,供網(wǎng)絡(luò)管理員查看。在基礎(chǔ)理論部分,本文首先介紹了經(jīng)典的ISO七層協(xié)議模型和實(shí)用的TCP/IP模型,并對(duì)當(dāng)今流行的幾種類型的防火墻進(jìn)行了分析和比較。接著,對(duì)Linux內(nèi)核編程以及設(shè)備驅(qū)動(dòng)的知識(shí)進(jìn)行了簡要的介紹。然后,又介紹了在Linux網(wǎng)絡(luò)協(xié)議棧中接收包和發(fā)送包的原理。最后概述了自Linux內(nèi)核2.4版本之后引入的Netfilter防火墻框架體系結(jié)構(gòu)。隨后,分四個(gè)模塊分別討論了關(guān)鍵字過濾防火墻是如何實(shí)現(xiàn)的。

3、注冊單元模塊完成整個(gè)防火墻的初始化工作,它負(fù)責(zé)將安全策略單元中的處理函數(shù)注冊到Netfilter防火墻框架上,并對(duì)整個(gè)防火墻的關(guān)鍵數(shù)據(jù)結(jié)構(gòu)進(jìn)行初始化。字符驅(qū)動(dòng)程序模塊是內(nèi)核空間和用戶空間進(jìn)行數(shù)據(jù)交流的接口,所有的數(shù)據(jù)傳輸工作都要通過它才能順利的完成。而安全策略單元模塊則是實(shí)現(xiàn)關(guān)鍵字過濾的核心,流經(jīng)網(wǎng)絡(luò)接口的包通過它的檢驗(yàn)之后才能順利的流向目的地,否則就會(huì)觸發(fā)對(duì)“非法包”處理的事件。而日志信息模塊則保證網(wǎng)絡(luò)管理員能夠獲得足夠的數(shù)據(jù)包信息: