【毕业设计】兰州商学院毕业论文-基于Linux的防火墙设计 ㊣ 精品文档 值得下载

所看到的。

是个内核。

然而个完整的操作系统不仅仅是内核而已，所以许多个人组织和企业开发了基于的发行版。

今天有不计其数的发行版可供人们选择使用，虽然不够统的标准给不同版本的使用者在技术上的相互沟通带来了定的麻烦，但归根结底自由开源团结互助的理念是爱好者们共同的向往。

的特点有很多人现在都在学习和研究，作为当今种新兴和流行的操作系统它的前身来源于强大的。

虽然林纳斯托瓦兹开始就没把它定位成种操作系统，但是的作用在今天已越来越重要，想接触和学习它，就要先了解它的特点。

自由开源软件首先，可以说是作为开放源码的自由软件的代表，作为自由软件，它有如下两个特点是它开放源码并对外免费提供，二是爱好者可以按照自己的需要自由修改复制和发布程序的源码，并公布在上，因此操作系统可以从互联网上很方便地免费下载得到，使需求者可以省下购买操作系统的笔不小的资金。

且由于可以得到的源码，所以操作系统的内部逻辑可见，这样就可以准确地查明故障原因，及时采取相应对策。

在必要的情况下，用户可以及时地为打补丁，这是其它操作系统所没有的优势。

同时，这也使得用户容易根据操作系统的特点构建安全保障系统，不用担心来自不公开源码的系统所带来的不必要的麻烦。

而且，上运行的绝大多数应用程序也是免费可得的，因此可以避免诸如系统盗版的问题。

真正的多任务多用户只有很少的操作系统能提供真正的多任务能力，尽管许多操作系统声明支持多任务，但并不完全准确，如。

而则充分利用了的任务切换机制，实现了真正多任务多用户环境，允许多个用户同时执行不同的程序，并且可以给紧急任务以较高的优先级。

价格优势价格其实是影响产品的重要因素，作为开放源代码软件，它可以免费从网上下载源代码。

因此，相比需要购买软件的系统，它在价格上占有很大优势。

多平台支持各种，包括，等。

强大的网络功能实际上，就是依靠互联网才迅速发展了起来，具有强大的网络功能也是自然而然的事情。

它可以轻松地与或网络集成在起，还可以通过以太网或调制解调器连接到上。

不仅能够作为网络工作站使用，更可以胜任各类服务器，如应用服务器文件服务器打印服务器邮件服务器新闻服务器等等。

兼容性高对系统兼容性要求较高，对硬件要求不是很高，因此支持很多软硬件平台。

开发功能强支持系列的开发，它是个完整的开发平台，几乎所有的主流程序设计语言都已移植到上并可免费得到，如和等。

具有丰富的图形用户界面的图形用户界面是系统。

如。

还有。

可以做下的所有事情，而且更有趣更丰富，用户甚至可以在几种不同风格的窗口之间来回切换。

另外它还支持很多的应用软件，这也是它的大特性。

系统造型适合大众系统的图标和大众所熟识的软件图标样，很容易被接受。

安全性和稳定性作为操作系统的较高安全性和良好的稳定性能是它的大特色。

二防火墙简介传统防火墙防火墙是指设置在不同网络或网络安全域之间，根据定的安全策略对网络间的通信实施访问控制的系列部件的组合。

传统意义上的防火墙就是指边界防火墙，它将网络分为内网和外网两部分。

它是网络间信息传输的唯出入口，能够根据安全策略控制允许拒绝监测出入网络的信息流，且本身具有较强的抗攻击能力。

它是提供信息安全服务实现网络和信息安全的重要的基本的安全装置。

在逻辑上，防火墙是个分离器，个限制器，也是个分析器，有效地监控了内部网和之间的任何活动，保证了内部网络的安全。

传统防火墙依赖于网络的拓扑限制，它假定内网上的所有主机都是可信任的，而外网上的所有主机都是不可信的。

当网络遵照拓扑限制时，这种模型工作得很好但是，随着网络连接的扩充和新的网络应用的发展，这种模型暴露出了越来越多的缺陷，面临着极大的挑战。

主要表现在对绕过防火墙的攻击无能为力如果防火墙的规则设置不当，内网上的所有主机将暴露在外部攻击的直接威胁之下由于信任内网上的所有主机，而对来自网络内部的恶意攻击未授权访问或无意的误操作忽视是潜在的通信瓶颈和单故障点与端到端加密如有冲突由于依赖于网络拓扑，无法支持移动计算。

为了克服上述缺陷，产生了分布式防火墙的概念。

分布式防火墙多台基于主机但受集中管理和配置的防火墙组成了分布式防火墙。

在分布式防火墙中，安全策略仍然被集中定义，但是在每个单独的网络端点例如主机路由器上实施。

分布式防火墙中含有三个必需的组件络字节顺序转换成位的主机字节顺序。

将位的值由主机字节顺序转换为网络字节顺序。

将位的值由主机字节顺序转换为网络字节顺序。

本文设计的数据捕获程序需要使用设备，只在基于的操作系统中有效定义。

为此，美国洛仑兹伯克利国家实验室编写了专用于数据包截获的函数库。

该函数的设计目标是统不同系统上所提供的用于数据包截获的不同类型接口，并使得类似的高层应用程序的编写和移植变得简单有效，不再需要对每个应用都使用不同的依赖于具体系统的数据包截获模块。

三数据包捕获模块设计数据包捕获模块设计流程我们先说明对外来连接进行过滤的工作流程。

第步首先，操作系统启动策略守候进程，并调用打开策略驱动。

策略守候进程读取本地的包含策略和凭证的文件当然，也可以定制进程启动时即从远程的服务器上下载更新策略和凭证，将初始化有关数据结构。

策略守候进程调用，试图从策略驱动中读取连接请求信息。

如果驱动中没有请求信息，则守候进程阻塞。

第二步服务器进程收到了连接请求，首先调用。

这个被修改过的系统调用形成策略上下文并提交到策略驱动中。

服务器进程阻塞。

第三步此时，返回请求消息，策略守候进程被唤醒。

它读取该消息，调用的致性检查器根据本地策略和凭证进行分析。

如果未找到与此连接相关的策略，策略守候进程就联系远程的服务器查找下载相应的凭证。

若策略许可即找到策略或安全凭证，根据签名算法验证无误，并且符合凭证断言，则允许该连接，若在本地及远程服务器上均没有找到相应的策略或凭证，或者与策略凭证的断言不符，则拒绝之。

策略守候进程调用将自己的决策写入策略驱动中。

第四步从策略驱动中读取策略守候进程的决策，服务器进程被唤醒。

若决策允许，返回非负的套接字描述符否则返回拒绝该连接请求。

对系统向外发起连接的进行过滤的系统流程与此类似。

其它两个系统调用的功能是，关闭伪设备驱动，会释放已分配资源并禁用分布式防火墙用于内核与守候进程。

数据包捕获模块实现该数据包捕获程序用语言来编写，程序中用到很多网络编程中的函数。

设置网络接口为混杂模式网络接口的混杂模式使得个网络接口设备从只能读取目标地址为字节地址的数据包，变为可读取网络广播媒体中的所有数据包。

该部分通过两次函数调用实现第次的函数调用，用来截获结构中所含接口名称所指接口的标记。

第个参数是打开的原始套接字描述符，第二个参数是所要执行的请求操作。

第三个参数是接口请求数据结构的地址指针，该结构中包含了所以进行请求操作的接口名称值。

我们通过将混合标记应用到接口请求结构的标记位变量中来改变接口标记位。

操作符将混合标记符与原有的接口标记进行或操作来设置新的接口标记。

获得新的接口标记后，将其设置到实际接口中。

第二次的调用，将接口设备设置为混合模式。

正如第个调用是获得网络接口的标记，这次调用是设置结构中修改过的新标记写到物理接口上。

打开设备用函数来打开设备。

域用，能够既接收链路层也接收网络层的数据包。

接收数据使用函数来实现接收数据包。

这是从打开的网络插座读取数据包的地方，但要注意，结构有个强制类型转换，以适应函数的语法要求，函数在成功读取的情况下返回读取的字节数，否则返回。

判断包头指针该数据包捕获模块可以接收到的数据包都是原始数据包，它们的格式般先是以太网数据帧的头部，接着是或者数据包的头部。

数据包后紧跟着或的头部，最后才是真正要传输的数据。

于是，在拆分数据包时，先提取以太网数据帧的头部，再提取数据包的头部，然后分析或数据包的头部。

最后，从数据包提取出需要的数据。

四程序中用到的些结构体解析结构体在网络中第个被创造的结构类型是。

这个数据结构是为许多类型的套接口储存地址信息。

它的定义如下这个是地址族，通常是的形式字节的地址信息结构体以下是相应数据结构位的目标地址的网卡物理地址位的源地址的物理网卡地址位的以太网协议结构体这是的协议报头，针对版本的不同它可以有不同的定义，我们国内般用的定义，其中是的版本，是的协议分类，是位的源地址，是位的目标地址。

结构体这是下协议的部分，与协议相同取，其中是源端口，是目的端口，是序，是序号，其余的是的连接标志其中包括个标志表示连接请求，表示紧急信息，表示连接结束，表示连接应答，表示推栈标志，表示中断连接。

是表示接受数据窗口大小，是校验码，是紧急指针。

结构体这是下协议中协议的部分，以下是相应数据结构源端口目的端口长度校验码六结论本文设计的是个基于主机的包过滤型个人防火墙，它实现的功能和现今市场上流行的防火墙有巨大差距。

随着技术的不断发展，防火墙也处于不断的变化之中。

防火墙技术经历了包过滤应用代理网关再到状态检测三个阶段。

其中状态检测是比较先进的防火墙技术，它摒弃了包过滤防火墙仅考查数据包的地址等几个参数，而不关心数据包连接状态变化的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成个个的会话，利用状态表跟踪每个会话状态。

状态检测技术在大力提高安全防范能力的同时也改进了流量处理速度。

状态监测技术采用了系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在些规则复杂的大型网络上。

深度包检测技术将为防火墙的发展提升到个新的阶段。

该技术对数据包头或有效载荷所封装的内容进行分析，从而引导过滤和记录基于的应用程序和服务通信流量，其工作并不受协议种类和应用程序类型的限制。

采用深度包检测技术，企业网络可以获得性能上的大幅度提升无需购买昂贵的服务器或是其他安全产品。

参考文献孙建华等编著网络系统管理实训篇人民邮电出版社美著余青霓译防火墙人民邮电出版社美著技术参考大全清华大学出版社美著宝典电子工业出版社美著防火墙原理与实施电子工业出版社林宇郭凌云编著网络编程人民邮电出版社环境下的网络编程深入学习网络监听技术张晓玲基于主机防火墙的设计与实现天津工业大学蒋雄伟下的分布式防火墙设计与实现南京理工大学刘金基于的入侵防御系统电子科技大学刘正海基于嵌入式防火墙的研究与实现重庆大学伍锦群防火墙技术的探讨长春理工大学学报高教版张建中