基于Linux防火墙连接跟踪机制的应用层协议过滤方法的研究.pdfVIP

维普资讯 基于Linux防火墙连接跟踪机制的应用层 协议过滤方法的研究 练书成 徐敬东 昝世刚 (南开大学计算机科学与技术系，天津 30o071) E-mail：liansc．netlab@eyou．eom 摘 要 论文首先对Linux防火墙的连接跟踪机制进行了简要分析，在此基础上提 出了一种基于连接跟踪机制的高效 的应用层协议过滤方法，并给出了以此方法为核心的过滤系统的简单实现。 关键词 Linux防火墙 连接跟踪 应用层协议过滤 文章编号 1002—8331一(2005)13—0129—o4 文献标识码 A 中图分类号 TP393 Research ofApplication LayerProtocolFilterMethodBased on Connection TrackingMechanism ofLinuxFirewali LianShucheng XuJingdong ZanShigang (DepartmentofComputerScienceandTechnology，NankaiUniversity，Tianjin300071) Abstract： Theconnectiontrackingmechanism in Linuxfirewallisanalyzedbrieflyatfirst、Basedon it，ahighefficient methodto identifyhteapplication layerprotocolisexpnaded on．Finally，asimpleapplication layerprotocolfiltersystem based onthemethodispresented． Keywords：Linuxfirewall，connectiontracking，application layerprotocolfilter 1 引言 火墙连接跟踪机制的解决方案，该方法采用基于连接过滤的策 随着 Internet的飞速发展，新的网络应用不断涌现 ，如即 略，匹配和识别的处理都在 IP层中完成 ，能够较为准确、高效 时通讯 (MSN，YahooMessenger，QQ)、P2P文件共享 (BT，e- 地实现对应用层协议的过滤。 Donkey，Gnutella)、网络游戏等，这些新的应用层协议的使用使 网络管理更加复杂化。公司、团体、大专院校及网吧对网络安全 2 Linux防火墙连接跟踪机制 管理提出了新的需求 ，如禁止内部人员工作时间上网聊天、禁 Linux防火墙由于其开源性，得到全世界范围内开发团队 止可能带来不 良信息及造成硬盘损伤的P2P文件共享应用 和工程师们的不断完善。Hnux2．4内核使用 的netfiher／ipta． 等，这些需求都需要对指定的应用层协议进行过滤。 bles体系结构高效、简洁，并具有极好的扩展性。除传统的包过 传统的防火墙机制只能通过识别数据包中的IP地址及端 滤机制 ，iptables防火墙还能够跟踪当前所有经过该防火墙的 口号等信息来过滤数据包 ，但新的应用中大多采取了多服务器 连接，从而可以根据连接的状态来设置防火墙规则 ，以连接为 (如MSN，P2P)，且服务器端 口可变 (如eDonkey)的策略；并且 单位进行网络流量的过滤及检测，即状态监测 ，使得防火墙更 代理技术都无一例外地被各种新的应用所使用。显然传统防火 加高效、严密和可靠 。 墙已经不能适应新的需求，新的能够识别、过滤并记录应用层 连接跟踪机制是论文所描述的方法的基础，下面对连接跟 协议的防火墙解决