防火墙带宽控制技术的研究与实现

《防火墙带宽控制技术的研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、防火墙带宽控制技术的研究与实现摘　要随着网络应用的不断丰富，人们对网络服务质量提出了更高的要求，带宽控制则日益受到人们的关注。本文深入研究了Linux系统下的带宽控制工具TC，以及HTB队列规定，针对防火墙中不同的应用和服务，实现了带宽控制。关键词QoS；TC；HTB；队列；分类；过滤规则1　引言随着网络多媒体技术的飞速发展，Inter上的多媒体应用层出不穷，如IP电话、视频会议、视频点播(VOD)、远程教育等多媒体实时业务；另外，电子商务作为一种新兴的网络经济模式日益受到人们的青睐。同时，在很多企业的局域网内部，网络应用也极为丰富，如MIS系

2、统、ark值。当一个数据包被匹配后就会对它执行相应的判决，决定这个数据包是丢弃、延迟还是继续流入下一层分类。最后，所有没有被丢弃，需要通过网络接口发送的数据包都会被放入某个子类的分队列中等待发送。TC按照不同的速率到每个队列中取出数据包，交给网络接口进行发送。每个分队列都有它的优先级，优先级高(设置的数值低)的队列先发送，当优先级高的队列中的数据包全部发送完毕后，再发送优先级低的。也可以为分队列设置其它排队方法，防止优先级高的队列长期占用网络接口。3　带宽控制在防火墙中的实现3.1队列的选择对于防火墙来说，选择一个功能强大，适合具体应用环境的队

3、列规定有助于提高系统实现带宽控制的成功率和精确度。相对于其它的队列规定，CBQ和HTB提供了分类、链路共享、限速等丰富的功能，是构建带宽控制模块的首选队列。CBQ作为一个经历长久考验的排队算法，它功能强大，且较早地被Linux所支持，有许多成功的实例。CBQ队列在内核中依靠粗糙的计时信息来固定带宽，虽然在一个较长的时间段内，可以维持很好的精度，但是在以秒为单位进行计量的时间段内，其结果就不准确了。CBQ是通过计算连接的空闲时间来限制带宽的，如果要把某个应用的带宽限制为整个带宽的10%，则这个应用的相关连接的空闲时间应为90%。其空闲时间的计算标

4、准是数据包离队事件发生的频率和下层连接(数据链路层)的带宽。当一个连接长期处于空闲时，就会造成对空闲时间计算的偏差，导致带宽限制失效。虽然CBQ中也可以通过设定某些参数（如maxidle,minburst等）来纠正这个问题，但是由于纠正参数不止一个，且每一个参数的改变都会影响到其它参数，较为复杂。所以在这个问题上，CBQ始终无法很好地解决。HTB是一个更好理解更容易掌握的可以快速替换CBQ队列规定的队列，它是CBQ的一个精简改进版，继承了CBQ的多项功能，去掉了一些复杂且不实用的部分。HTB可以实现带宽分类、带宽共享、设置优先级、设定突发流量等

5、功能。更重要的是，HTB改变了限制带宽的方法。它通过限制每个分队列上数据包的发送速率来限制每个分类的带宽。提高了带宽限制的精确度。对于每一个网络接口来说，同一时刻只能发送一个数据包，所以网络接口处数据包的发送速率是一定的。HTB队列规定通过在一个固定时间段内从每个分类的分队列中取出的数据包个数来决定该分类的带宽。取的数据包数越多，则分配给它的带宽就越大。这就很好地解决了CBQ对带宽限制不精确的问题。所以说，在防火墙的带宽控制模块中，选择HTB作为队列规定是高效而且实用的。3.2TC实现的位置TC在系统中的具体位置如图2所示，数据包流入系统后，进

6、行路由选择：如果接收包的目的IP是本主机，那么将该包送给上层处理；否则需要进行转发，将接收包交到转发模块处理。转发模块同时也接收本主机上层（TCP/UDP等）产生的包。转发模块通过查看路由表，决定包的下一跳。然后，对包进行排列以便将它们传送到输出接口。TC正是在排列数据包时进行处理和实现的。图2　TC在数据包流程中的位置3.3iptables的作用iptables是Linux-2.4核心以后才支持的一个包过滤工具，它与filter相配合，共同组成了防火墙的核心部分。有关iptables工具的相关知识请大家查阅相关资料，此处不再赘述了。iptal

7、es在这里的主要作用是为实现细粒度的带宽控制作好准备工作。它通过强大的匹配功能，对数据包的源/目的地址、源/目的端口、协议类型、传输方向、时间段等特征进行检查，并为匹配到的数据包打上mark值。TC的过滤规则与iptables规则通过mark值进行关联，共同决定数据包归属于哪个分类。3.4具体实例为了在防火墙中实现带宽控制，我们将结合iptbales工具，通过设置iptables规则对基于源IP地址、目的IP地址、协议、服务、方向、时间段的不同数据流进行细粒度的带宽策略管理，通过对每一个粒度元素的设定可以满足对极精细流量的控制要求。假设防火墙架

8、设在公司的出口处。为了保障公司专用服务的带宽，在周一至周五的9：00－17：00时间段内，要把和FTP这两个常用服务的带宽分别控制在20M和10M。带