LINUX下包过滤防火墙设计与实现

《LINUX下包过滤防火墙设计与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、山东大学硕士学位论文LINUX下包过滤防火墙设计与实现姓名：董立顺申请学位级别：硕士专业：计算机软件及理论指导教师：周大水20081015山东大学硕士学位论文摘要随着网络技术的飞速发展，网络安全问题也越来越突出。顺应这一要求，出现了不同的网络安全技术，如网络防火墙、病毒检测、密码技术、身份认证等。计算机网络安全涉及三个原则：保密性、完整性、有效性。保密性是指保证数据只能够被得到授权的人的访问，而不允许被其他人访问。完整性是指确认数据完好并且没有被破坏。有效性是指当需要访问数据时，就能够正常地访问。这三个原则指导着计算机安全领域，也为本文提供了框架。防火墙是建立在内外网络边界

2、上的过滤封锁机制，内部网络被认为是安全和可信的，而外部网络(通常是Intcrnet)被认为不安全和不可依赖的。防火墙的作用是防止不希望的未经授权的通信进出被保护的内部网络。从实现技术上讲防火墙可以分为包过滤防火墙、应用网关防火墙、代理防火墙和状态检测防火墙等。从形态上可分为软件防火墙和硬件防火墙。软件防火培提供防火墙应用软件，运行在公共的操作系统上，如MSWindows或UNIX等。本文提出的基于Linux的包过滤防火墙，是利用Linux系统提供的Netfiltcr和iptables来实现的软件防火墙，它工作在协议层，主要处理对象为不同的协议、●IP地址及协议端口，根据既定

3、的策略决定数据包的接受、拒绝和丢弃。本文在给出防火墙的基本概念时，讨论了它所依赖的OSI网络参考模型，IP协议、TCP和UDP传输机制及IP地址分类情况。数据包过滤涉及不同数据包(入站数据包和出站数据包)，对于不同主机(远程主机还是本地主机)，不同的端口等不同情形安全策略自然不同，本文就各种情况进行了分析。作为Linux防火墙管理程序的iptables的基本语法、NAT表的特点及iptables语法规则进行了详细的讨论。本部分内容涵盖了iptables的绝大部分特性。防火墙有一个默认策略，要么禁止一切，要么接受一切。在本文核心部分给出了一个独立的防火墙。该防火墙在包过滤层面

4、上创建了默认禁止策略，在脚本开头讨论了一些常用的可能攻击点，如源地址欺骗、保护非特权端口上的服务及DNS；给出了一些常用网络服务规则的例子，如基本的Internct服务和常用的TCP山东大学硕士学位论文服务(E-mail、FTP、Web服务)的具体实施进行了讨论。本文构造了一个简单但又完整的包过滤防火墙系统。本文最后对该防火墙进行了评价，指出其不足之处在于不能防范来自网内的攻击及高层协议上的不安全因素，指出其改进方向，同时也提到了防火墙技术的发展趋势。6关键词：Linux；iptables；包过滤；防火墙山东大学硕士学位论文ABSTRACTWiththefastdevelo

5、pmentofthenetworktechnology,networksecurityproblemsbecomemoreandmoreserious．Respondingtothetrend，allkindsofsecumytechnologieshascc釉eout，suchasfirewall，virusdetection，cryptographytechnology,identityauthentificationetc．Threeprinciplesaboutcomputernetworksecurityarc"secrecy’integrity,efficien

6、cies．Secrecymeansthatthedataareaccessedbywhomunderprivileged,theelseareforbidden．Integritymeansthatdataareincompletestate．EfficienciesmeanthatyouCanaccessdatanormallywhenyouneedtoacCesSit．Thethreeprinciplesguidecomputersecurityfield，italsosupportframeofthispaper．Firewallisthefilterthatison

7、theedgebetw∞nextenalnetworkandintemlone，whichsuppresstheunwanteddatas．Theinteralnetworkisregardass∞ureandtrusted，butextenalnetworkissupposedunSUreandun订ust耐．Itforbiddentheunexpectedcommucationentertheintemlnetworkwhichisprotected．Fromtechnicalempletmentition，t