Linux防火墙的框架与性能分析.pdfVIP

Linux防火墙的框架与性能分析 陈 敏 (广东电网公司云浮供电局，广东 云浮 527300) 摘 要：简要介绍了Linux防火墙体系结构及原理 ，在对它的性能进行理论分析的基础上结合具体实验，与一台百兆商业防火墙 进行 了性能对 比测试 ，最后概述 了Linux防火墙 的适用场合 。 关键词：防火墙；Linux；Netfilter；IPtables The Framework and Performance Analysis ofthe Linux Firewall CHEN Min (YunfoPowerSupplyBoerdofGuengdongPowe／GridCorporato／n,YunfuGuangdong5ZTYO0,Chlna) Abstract：Thispaper introducesithearchitectureandprincipleoftheLinux firewall，andOilthebasisoftheoreticalanalysis comparison testwith aFastcommercialfirewal1．finally summarizesLinux firewallapplicationof theoccasion． Keywords：firewall；Linux；Netfilter；IPtaNes 1引言 kernel2．3系列的开发过程 中发展了Netfilter这个架构， 随着 Internet的普及，全球范围内的计算机网络病毒、 用户空间的防火墙管理工具 ，也相应地发展为 IPtables。 操作系统漏洞、垃圾邮件等网络安全问题层出不穷，网络 Netfilter框架是 Linux内核的一部分 ，它在网络协 安全产品和解决方案越来越成为各类网络用户和厂商关注 议栈 中定义 了一些特殊检查点，这些检查点被称为钩子 的焦点，在众多的安全产品中，防火墙作为一种常用的安 (hook)，其中在我们熟悉的IPv4协议栈中定义了五个这 全产品广泛应用于各领域。但并不是所有企业或组织都能 样的钩子， 由于 目前网络中广泛使用的协议为 IPv4，没 负担得起商业防火墙的费用 。如 网吧、小区为了给广大客 有特殊说明时，本文所指的 IP包均指 IPv4数据包。IP 户提供更好的网络服务需要使用防火墙去限制 P2P、设置 包在协议栈中的处理流程如图 l所示。 安全策略等，如果购买商业防火墙，光设备就需要几万元 ， 还不算后期的维护费用，对他们来说确实是一笔不小的支 出，而且一般商业防火墙也不一定能满足他们的实际需求。 Linux 因其健壮性、可靠性、灵活性以及可定制性 使其在 rr界变得非常受欢迎，目前国内90％以上的硬件 防火墙产品都是基于 X86架构 ，运行在 防火墙上的操作 系统是经厂商修改和优化过的Linux内核，为便于描述， 将此类防火墙称为商业防火墙。如果将 Linux系统安装 rc3一弋～c一一一一丌rc一 一一1f 一 在普通PC上，对它稍作配置就可成为一台基于Linux的 防火墙，本文所指的Linux防火墙均属此类。Linux防火 墙由内核空间的Netfilter框架和用户空间IPtables工具 构成，接下来将介绍Netfilter与IPtables的基本概念。 2Netfilter框架 Linux 的防火墙技术经历 了若干代的沿革 ，一步步 发展而来。最开始的 ipfwadm 是 AlanCox在 Linux kernel发展的初期，从 FreeBSD的内核代码中移植过来的， 后来经历了ipchains，再经由Rusty Russell在Linux 结束后进行的，主要是为了处理DNAT (目的网络地址转 首先需要明白两个重要数据结构：(1)nLh0olDps： 换)，因为数据包的目的地址改变后路由也会随之改变。