IPv6防火墻狀態(tài)檢測(cè)技術(shù)的研究與實(shí)現(xiàn).pdf

1、以Internet為主要標(biāo)志的網(wǎng)絡(luò)技術(shù)飛速發(fā)展，為人們的日常生活和社會(huì)生產(chǎn)的發(fā)展帶來(lái)了巨大的便利。隨著網(wǎng)絡(luò)深入到社會(huì)生活的方方面面，網(wǎng)絡(luò)信息安全的問(wèn)題已經(jīng)成為人們關(guān)注的焦點(diǎn)。防火墻技術(shù)作為保護(hù)網(wǎng)絡(luò)信息安全的主要技術(shù)之一，目前已經(jīng)成為構(gòu)建安全可靠網(wǎng)絡(luò)的常用方法。隨著新一代互聯(lián)網(wǎng)協(xié)議——IPv6的產(chǎn)生和即將到來(lái)的大規(guī)模應(yīng)用，進(jìn)行IPv6防火墻的研究是必要而且迫切的。 相對(duì)于傳統(tǒng)的包過(guò)濾和應(yīng)用網(wǎng)關(guān)技術(shù)，狀態(tài)檢測(cè)具有速度快，安全性較高的

2、特點(diǎn)，是目前主流的防火墻技術(shù)。Linux作為開(kāi)放源碼的操作系統(tǒng)，有著廣泛的應(yīng)用。其2.4和2.6內(nèi)核版本不僅支持IPv6協(xié)議棧，而且所采用的Netfilter/iptables框架引入了模塊化的構(gòu)建方式，可以方便地實(shí)現(xiàn)IPv6防火墻。 本論文的主要目的就是對(duì)基于Linux操作系統(tǒng)的IPv6防火墻狀態(tài)檢測(cè)技術(shù)進(jìn)行研究和實(shí)現(xiàn)。圍繞這一目標(biāo)，主要做了以下三個(gè)方面的工作： ①在分析IPv4狀態(tài)檢測(cè)技術(shù)和Linux防火墻框架Net

3、filter/iptables的基礎(chǔ)上。通過(guò)在Netfilter的NF_IP6_FORWARD HOOK點(diǎn)掛接自定義狀態(tài)檢測(cè)函數(shù)，以可加載內(nèi)核模塊的方式實(shí)現(xiàn)IPv6防火墻狀態(tài)檢測(cè)模塊。 ②基于Patricia tries構(gòu)造半開(kāi)連接表來(lái)處理TCP連接建立的過(guò)程，利用端口隊(duì)列來(lái)跟蹤每個(gè)半開(kāi)連接，按照先進(jìn)先出的原則對(duì)半開(kāi)連接進(jìn)行數(shù)量統(tǒng)計(jì)和狀態(tài)檢測(cè)。模擬實(shí)驗(yàn)表明，引入這種方法的IPv6防火墻狀態(tài)檢測(cè)模塊能夠比較有效的抵御SynFloo