基于linux包过滤防火墙的设计与实现

文档字数:10443,页数:22

文档题目：基于LINUX包过滤防火墙的设计
摘要
 本文首先介绍了网络安全的基础知识和TCP/IP协议的相关问题。然后深入研究了数据包在linux中的处理过程，掌握linux内核模块的编写和实现机制，以及内核空间和用户空间的通信方法。研究了数据包捕捉和数据包过滤的原理。在此基础上，设计并实现了基于数据包过滤的防火墙。该系统在网络层使用nctfilter的hook捕获并分析数据包，获取数据包的基本信息，用来和过滤规则相比较，决定数据包是否允许通过。减少了系统消耗，提高了工作效率。而且通过检查数据包的tep标记，实现了比较有用的入侵检测功能，能够检测一些常见的网络探测和网络攻击。防火墙过滤规则设置是使用用户空间程序，利用nctlink套接口实现和内核空间的相互通信。另外，在用户空间使用netlink套接口编写了数据包的监视和分析程序，可以随时对网络进行观测，通过从内核获得的数据进行网络状况的分析，用来作为设定防火墙规则的依据。 最后，在真实网络状况下进行数据包封包测试，和网络攻击测试，测试结果表明该包过滤防火墙起到了很好的数据包阻挡效果，并能够检测一些常见的网络攻击。
 本文基本上实现了网络防火墙的功能，并且可以在实际中进行应用。
关键词：网络安全；网络攻击；防火墙；Netfilter；钩子函数
文档类型：软件开发
 Title:       LINUX-based packet filtering firewall design

Abstract
 Along with the advent of 21 century, the internet’s flying development brings us unimaginable advancement on life style and industry. It not only improves on our work efficiency, but also enriches peoples life. It’s becoming more and more important for us. Whereas internet’s development also brings us a progressively problem called the safety of network. In numerous of modes to keep away from network attacks, firewall depends on its logical price, strong applicability and wieldy handle win a lots of people’s favor. This thesis started with network safety, and discussed how to design a packet filtering firewall on Linux system.
 In content, this thesis includes six parts. At the chapter 1 of the thesis, it depicted and analyzed the actuality of network safety in China. At the next chapter it compared and analyzed four models of network attacks nowadays. On chapter 3, it introduced six models of firewall, afterward, it detailed introduced the elements of packet filtering firewall and analyzed its excellences and disadvantages. Chapter 4 is to introduce Linux kernel and Netfilter which is the basic on theoretic to design a packet filtering firewall on Linux system. And the chapter 5 is to introduce the processes of designing a firewall. Finally, it carried the summary of the whole thesis.

KEY WORDS: The network safety; The network attacks; Firewall; Netfilter; Hook
TYPE OF THESIS: Software Development

目录
1 网络安全的现状 1
2 防火墙概述 3
2.1网络防火墙的历史 3
2.2网络防火墙的定义 3
2.3防火墙的类型 4
3 基于Linux个人防火墙总体设计 6
4 基于Linux的数据包捕获模块结构与原理分析 8
4.1 数据包捕获模块结构 8
4.2数据包捕获模块原理分析 8
4.3包过滤系统原理分析 10
4.4 防火墙过滤表规则 11
5 基于Linux的数据包捕获模块设计实现 14
5.1 数据包捕获模块设计流程图 14
5.2 数据包捕获模块实现 14
5.3 程序中用到的一些结构体解析 15
6 小结 17
致    谢 18
参考文献: 19

相关论文