《基于iptable和netfilter的防火墙设计实现》由会员分享，可在线阅读，更多相关《基于iptable和netfilter的防火墙设计实现（63页珍藏版）》请在金锄头文库上搜索。
1、北京邮电大学硕士学位论文基于Iptable和Netfilter的防火墙设计实现姓名：杜亚超申请学位级别：硕士专业：软件工程指导教师：罗守山20050610北京邮电大学硕士学位论文基于I p t a b l e 和N e t f i l t e r 的防火墙设计实现摘要信息技术的进步，使得信息共享的需求与实现的矛盾得以有效化解，但开放信息资源的安全日益成为一个不容忽视的技术和社会问题，特别是在涉及国家安全领域时，网络安全问题尤其突出。本文就是再这样的背景下，对网络安全中的关键设备防火墙，采用l i n u x 系统I 拘I p t a b l e s 和N e t f i l t e r 进行设
2、计实现。本文主要进行了如下几个方面的工作：1 研究分析防火墙的概念。防火墙是一种介于局域网署I H n t e m e t 之间的一种网络安全设备，具体来说是指设置在不同网络或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和I n t e r n e t 之间的任何活动，保证了内部网络的安全。以此来实现网络的安全保护。防火墙的产生源于网络中黑客的攻击，黑客的攻击手段和方式不断更新，防火墙也就不停的发展。2 分析介绍了项目中防火墙系统的设计
3、基础：L i n u x 及其防火墙组件I p t a b l e s 和N e t f i l t e r 。网络通信的发展尤其是网络协议的发展是现代网络发展的基础。L i n u x 是一个源代码开放的计算机操作系统，而I p t a b l e s 是一个实现了防火墙功能的L i n u x 组件。3 经过以上分析进行了防火墙系统的软件设计方案。论文介绍防火墙的整体软件结构，包括两部分：W i n d o w s 矛l l L i n u x 两部分软件。其中W i n d o w s 的软件主要用于人机交互和参数制定，L i n u x 的则用于对L i n u x 禾N l p t
4、a b l e s 进行配置。W i n d o w s 和L i n u x 都另外有日志处理软件，这些日志处理软件联合起来对系统日志进行处理。关键字：防火墙，L i n u x ，I p t a b l e ，N e t f i l t e r , T C P I P北京邮电大学硕士学位论文T h eD e s i g na n dA c h i e v eo fF i r e w a l lb a s e do nI p t a b l e sa n dN e t f i l t e ro fL i n u xA b s t r a c tB yt h ea d v a n c e m
5、e n to ft h ei n f o r m a t i o nt e c h n o l o g y , T h ec o n t r a d i c t i o n ，o fr e q u i r e m e n to fi n f o r m a t i o ns h a r ew i t hi m p l e m e n tt e c h n o l o g y , i sc a t a b a t i c ，b u tt h es e c u r i t yo ft h eo p e n n i n gi n f o r m a t i o nr e s o u r c ei s
6、b e c o m i n gi n c r e a s i n g l yt h ep r o b l e mo fs o c i e t ya n dt e c h n o l o g y I np a r t i c u l a r , t h es e c u r i t yo fi n f o r m a t i o nn e t w a r ei si m p o r t a n c ei nt h ef i e l do fn a t i o n a ls a f e t y I nt h i sb a c k g r o u n d ，t h ea r t i c l ed e
7、 s c r i b e st h ef i r e w a l lb a s e do nI p t a b l e sa n dN e t f i l t e ro fL i n u x T h i sa r t i c l ed e s c r i b e sf o l l o w i n gp a r t s ：1 I nt h i sa r t i c l e ，T h ec o n c e p t i o no ff i r e w a l li sf i r s ti n t r o d u c e d F i r ei sae q u i p m e n to fn e t w
8、 a r es e c u r i t yb e t w e e nl o c a l n e ta n di n t e m e t I nt h ec o n c r e t e ，i ti sac o m b i n a t i o no fas e r i e so fe l e m e n t so ft h ed i f f e rn e t w o r ko rn e t w o r ks e c u r i t yz o n e I tc a na ss o o na sp o s s i b l es h i e l di n t e r i n f o r m a t i
9、o n 、s t r u c t u r ea n dr u n - t i m es t a t eo fn e t w o r kb ym o n i t o r i n g 、r e s t r i c t i n ga n dc h a n g i n gd a t a s t r e a mt h r o n g hf i r e w a l l F i r e w a l li sl o g i c a las e p a r a t o r 、aa n a l y z e ra n dar e s t r i c t o r , i tc a nm o n t o re f f
10、e c t u a l l ya c t i o n sb e t w e e nl o c a l n e t w o r ka n di n t e r n e tt op r o t e c tt h el o c a l n e ts a f t y F i r e w a l lc o m ef r o mn e t w o r ka t t a c t i n g ，i tw i l lc e a s e l e s s l yd e v e l o pa l o n gw i t hm e t h o da n dm e a n sa t t a c t i n g 一 2 T
11、h es e c o n d l y , i ti n t r o d u c e st h ef o u n d a t i o no ft h i sf i r e w a l l ：l i n u x ，I p t a b l e sa n dN e t f i l t e ro ft h ef i r e w a l l L i n u xi so n eo ft h em o s tw e l c o m i n gn e t w o r ko p e r a t i o ns y s t e m I p t a b l e sa n dN e t f i l t e ri sag
12、r o u p w a r eo ff i r e w a l lo fl i n u x 3 T h e n ，Ip r e s e n t ，t h ec h a r a c t e r so ft h eL i n u xs y s t e m ，a n df i r e w a l lf r a m ei nt h eL i n u xk e r n e l2 4 T h e n ，Ip r e s e n tt h es t r u c t u r eo ft h eh a r d w a r ea n ds o f t w a r eo fo u rf i r e w a l ls
13、 y s t e m A tl a s tIe x p l a i n e dt h es o f t w a r er e a l i z a t i o no ft h ef i r e w a l ls y s t e mp a r t i c u l a r l y K e y w o r d s ：F i r e w a l l ，L i n u x ，I p t a b l e s ，T C P I PI I独创性( 或创新性) 声明本人声明所呈交的论文是本人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特另, J J N 以标注和致谢中所罗列的内容以外，论文中不包
14、含其他人已经发表或撰写过的研究成果，也不包含为获得北京邮电大学或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。申请学位论文与资料若有不实之处，本人承担一切相关责任。 本人签名：巫至壅日期：丝! 么兰：! z关于论文使用授权的说明学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定，即：研究生在校攻读学位期间论文工作的知识产权单位属北京邮电大学。学校有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许学位论文被查阅和借阅；学校可以公布学位论文的全部或部分内容，可以允许采用影印、缩印或其它复制手段保存、汇编学位
15、论文。( 保密的学位论文在解密后遵守此规定)保密论文注释：本学位论文属于保密在年解密后适用本授权书。非保密论文注释：本学位论文不属于保密范围，适用本授权书。 本人签名：盔噩超日期： 导师签名：j 爹笃卜卜日期：乏k 侈了、2 ，北京邮电大学硕士学位论文第一章绪论1 1 课题来源本课题来源于本单位防火墙研制项目。1 2 课题研究的背景和意义1 2 1 网络安全现状随着现代网络技术在我军军事信息系统中的应用，我军的作战指挥方式也随之发生着深刻的变革。但是，在网络为我们带来各种便利的同时，也带来了日益严重的安全问题。在公共网络上，黑客可以利用系统的漏洞，使用各种工具破坏网络环境、窃取敏感信息。我军使
16、用了和公共网络相同的协议体系，因此，这些问题也严重威胁着我军各级作战指挥系统的安全。对计算机网络进行攻击的手段可以分为以下几个主要种类，它们的危害程度和检测防御办法也各不相同。收集信息攻击收集信息攻击是指通过各种工具收集被攻击系统的重要信息的攻击，它有时是其它攻击的前奏。例如：通过口令嗅探获得系统的口令，利用各种扫描程序来推测系统的漏洞等。口令字攻击既可能来自外部，也可能来自内部，主要是来自内部。( 在管理主机与防火墙通过单独接口通信的情况下，口令字攻击是不存在的)内部的口令字攻击主要是穷举和嗅探，其中以嗅探危害最大。一嗅探指监测网络截获管理主机给防火墙的口令一字，如果口令字己加密，则解密得到口令字。目前一般采用一次性口令和禁止直接登录防火墙的措施来防止对口令字的攻击。经常使用的工具包括：N S S ，S t r o b e ，N e t s c a n ，S A T A N ( S e c u r i t yA d m i n i s t r a t o r t s T o o lf o rA u d i t i
