基于linu的ipv6分布式防火墻技術研究

1、基于基于Linu的IPv6分布式防火墻技術研究分布式防火墻技術研究摘要：IPv6的網(wǎng)絡體系架構安全性離不開防火墻的支持。此文首先對分布式防火墻的研究，總體設計了基于Linux的IPv6分布式防火墻網(wǎng)絡體系架構，然后實現(xiàn)了基于Linux環(huán)境下的IPv6分布式防火墻。代寫論文關鍵詞：IPv6；分布式防火墻；Linux引言隨著Inter的快速發(fā)展，網(wǎng)絡安全問題是人們最為關注的問題，基于IPv4協(xié)議邊界式防火墻存在著日益突出的問題，主要體現(xiàn)在I

2、P地址空間缺乏和骨干路由器中路由表“爆炸”的等突出問題。邊界式防火墻在保護企業(yè)內(nèi)部網(wǎng)絡的情況下，確實是一種有效的網(wǎng)絡安全技術，而隨著網(wǎng)絡應用規(guī)模的日益擴大，它的缺陷也不斷呈現(xiàn)出來，很難實現(xiàn)網(wǎng)絡的安全性和網(wǎng)絡性能的均衡性。為了彌補IPv4和傳統(tǒng)邊界式防火墻的缺陷性及網(wǎng)絡安全性等問題，此文提出了基于Linux的IPv6分布式防火墻網(wǎng)絡體系架構的設計與實現(xiàn)。IPv6作為下一代互聯(lián)網(wǎng)的基礎協(xié)議存在很多優(yōu)勢。IPv6解決了IPv4存在的地址空間缺

3、乏和路由表“爆炸”等問題，并且在安全性、移動性以及QoS等方面有著強有力的支持，IPv6協(xié)議由于包頭設計得更加合理，使得路由器在處理數(shù)據(jù)包時更加快捷。此外，IPv6將IPSec集成到了協(xié)議內(nèi)部，使得IPSec不再單獨存在等等。1分布式防火墻網(wǎng)絡體系結構1.1分布式防火墻技術針對邊界式防火墻的缺陷，提出了“分布式防火墻”（DistributedFirewalls）作為新的防火墻體系結構，因為它主要負責網(wǎng)絡邊界、每個子網(wǎng)和網(wǎng)絡內(nèi)部每一個節(jié)點

4、之間的安全防護，所以分布式防火墻為一個完整的體系，而不僅僅是單一的產(chǎn)品。依據(jù)它所需完成的功能，包括三部分：網(wǎng)絡防火墻（wkFirewall）、主機防火墻（HostFirewall）、中心管理（CentralManagerment），如圖1所示。（1）網(wǎng)絡防火墻（wkFirewall）網(wǎng)絡防火墻一般是純軟件方式，有時候需要硬件的支持。它作用于外部網(wǎng)與內(nèi)部網(wǎng)之間，及內(nèi)部網(wǎng)下各個小子網(wǎng)之間的防護，這也是與傳統(tǒng)邊界式防火墻不同之處，這樣以來整個

5、網(wǎng)絡的安全防護體系就會更加全面、可靠。網(wǎng)絡防火墻包括入侵檢測模塊、防火墻模塊和管理模塊。入侵檢測模塊所用的是snt_inLine，防火墻模塊在Linux環(huán)境下所用的是基于filter框架的Iptables，為了使網(wǎng)絡防火墻更好的安全防護整個網(wǎng)絡，防火墻模塊和入侵檢測模塊內(nèi)嵌式互動，防火墻實時截取網(wǎng)絡數(shù)據(jù)包，假如是信賴的網(wǎng)段或主機的數(shù)據(jù)包，就直接通過網(wǎng)絡防火墻，減少入侵檢測系統(tǒng)的匹配次數(shù)；如果不是，數(shù)據(jù)包通過內(nèi)核態(tài)至用戶態(tài)，入侵檢測系統(tǒng)接