基于Netfilter的包分類研究與設計.pdf

1、未來網絡的發(fā)展趨勢需要為用戶提供更好的服務質量，而諸如防火墻、虛擬專網VPN、基于策略的路由、高層交換等提高服務質量的機制都是建立在高效包分類技術基礎之上的。此外，出于對安全性的考量或源碼開放等特點，眾多應用都選擇Linux作為其載體。Netfilter/iptables框架在這一背景下應運而生，成為第一個集成到Linux內核的包過濾解決方案。但其并不完善，一是iptables的核心包分類算法在面對大規(guī)模規(guī)則集時，性能急劇下降；二是在其

2、實現細節(jié)上也存在一定的問題，特別是它所采用的Netlink交互方式，會造成包分類中斷。在網絡應用越來越豐富的情形之下，Netfilter/iptables越來越不能滿足當前需求，亟待出現一種基于Linux內核的高效包分類系統(tǒng)。 本文在研究現有的通用包分類算法和基于iptables的改進基礎上，透過對Netfilter/iptables框架的深入探索和源碼分析，構造出一個新的基于Netfilter的包分類系統(tǒng)。包括如下工作點：

3、 1．在Linux內核空間中實現了一個高效的基于多維包分類問題到范圍定位問題的包分類算法。同時，本文還對該算法進行了擴展，使其能進一步解決iptables中引入的非終態(tài)包分類問題。 2．構建高效的用戶內核交互機制。使用Netlink做為內核空間與用戶空間的接口，每次更新時僅向內核提交一條規(guī)則而非整個規(guī)則集，達到不中斷包分類的目的。通過proc I/O，用戶還可獲取算法統(tǒng)計數據，并可設置最大內存使用率。 3．保障系統(tǒng)的