基于Linux的千兆線速防火墻的設計與實現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)應用的日益普及，網(wǎng)絡已成為主要的數(shù)據(jù)傳輸和信息交換平臺，網(wǎng)絡安全和信息安全是保障網(wǎng)上業(yè)務正常進行的關鍵。在構建安全網(wǎng)絡環(huán)境的過程中，防火墻作為第一道安全防線，正受到越來越多用戶的關注。目前防火墻仍然起著最基本的預防作用，仍然是保護網(wǎng)絡安全所必須的工具。 目前，傳統(tǒng)的軟件防火墻大多數(shù)是在Linux的Netfilter框架之下實現(xiàn)的。更準確地講，Netfilter是Linux內核中一個包過濾框架，它實現(xiàn)了包過濾、狀態(tài)檢測、

2、網(wǎng)絡地址轉換和包標記等多種功能。本文對Linux的Netfilter框架進行了深入的研究和探討，利用Netfiltor設計的開放性，在內核的數(shù)據(jù)鏈路層、網(wǎng)絡層實現(xiàn)了自己的功能模塊。本文在分析Neffiltor框架的基礎上，結合FPGA設計的靈活性，設計了一種具有可擴展性和高性能的硬件防火墻的體系結構。 鑒于防火墻產品功能不斷完善的發(fā)展趨勢，交換功能和路由功能幾乎成了防火墻產品不可或缺的組成部分。本文將在FPGA芯片內部實現(xiàn)交換功

3、能和路由功能，但考慮到交換和路由功能的軟件的復雜性，采取了一種折衷的處理方法：Linux內核完成路由表和交換表的創(chuàng)建，F(xiàn)PGA芯片以規(guī)則的形式把路由表和交換表存儲下來。 本文借鑒Linux內核提供的交換、路由以及Netfilter框架的設計及實現(xiàn)方法，在FPGA芯片內部實現(xiàn)了交換、路由以及防火墻功能。同時，利用Linux系統(tǒng)提供的動態(tài)模塊加載機制，把對FPGA芯片的操作和驅動實現(xiàn)為動態(tài)模塊加入Linux內核，從而成為Linux內

4、核的一部分。通過在Linux內核適當位置掛接鉤子函數(shù)，以及在動態(tài)模塊中實現(xiàn)鉤子函數(shù)的方式，使Linux內核的交換、路由及防火墻規(guī)則與FPGA硬件交換、路由及防火墻規(guī)則保持一致。 最后，對該框架實現(xiàn)的防火墻的功能和性能進行了測試，從測試結果可以看出，該防火墻達到了千兆線速的要求。分析整個防火墻產品的框架設計和測試結果，最終得出結論：Linux內核和動態(tài)模塊實現(xiàn)軟硬件規(guī)則的一致性，F(xiàn)PGA芯片完成對數(shù)據(jù)包的處理，這使得該防火墻同時具