嵌入式防火墙规则冲突检测算法的实现.pdf

第 7卷 第6期 实 验 科 学 与技 术 ·153 · 嵌入式防火墙规则冲突检测算法的实现 赵 波，秦 涛，张新有 (西南交通大学信息科学与技术学院，成都 610031) 摘要：在嵌入式状态检测防火墙应用中，规则冲突检测是影响系统安全及服务质量的关键。由于嵌入式系统受系统资源制 约，基于文本的防火墙规则检测较基于数据库完整性检查的规则冲突检测更灵活、实用。文章首先对 iptables防火墙管理 程序及其脚本的语法规则进行介绍；然后完成基于文本的防火墙规则检测算法的实现，最后对算法性能进行 了分析。 关 键 词：iptables防火墙；嵌入式系统；规则冲突检测 中图分类号：TP309；TP301．6 文献标识码：A 文章编号：1672—4550(2009)06—0153—03 Implementation ofRulesCollisionDetection Algorithm forEmbeddedFirewall ZHA0Bo，QINGTao，ZHANGXin—you (SchoolofInformationScienceandTechnolo~，SouthwestJiaotongUnive~ity，Chengdu 610031，China) Abstract：FirewallrulescollisiondetectioniSimportantintheapplic~ionoftheembeddedstatusfilteringfirewal1．Itearlaffcetthese． eurityandhteQoSofhtesystem．Insomeembeddedsystems，htestorageofwhichissmallscale，htetext-basedfirewallruleseoUi— siondetectionmechanism ismorefiexibleandpracticalthna thedatabase．basde onebecauseofhtelimitof theresourceofthesystems． Inthispaper，wefirstlyintr~ ueetheiptablesfirewallmna agementprogram naditssedptgrammar． ．Thenweimplementthetext- basde firewallrolescollisiondetectionin8／1embeddde system．Finally，wenaalyzehteperformna ceof thecollisiondetcetionalgorihtm． Keywords：iptbalesfirewall；embeddedsystem ；rulescollisiondetection 机制合理，效率较高。 1 引 言 2．1 iptables的基本语法 目前大部分防火墙都是基于Linux内核版本 内 用Netfilter建立防火墙就是运用 iptables防火 建的Neffiher／iptables防火墙机制…，而 iptables防 墙管理命令的过程。iptables命令执行用户所建立 火墙管理程序不具备防火墙规则一致性检查功能。 的防火墙策略并管理防火墙的行为。Netfiher防火 在嵌入式系统中，受小容量存储器限制，基于数据 墙有3个表：filer、nat、mangle。有 了这些表，防 库完整性检验的防火墙规则冲突检测不易实现，而 火墙就可以由规则链来建立，规则链中的每一项都 基于文本的规则冲突检测则可以对中小规模的防火 是一个 iptables命令。iptables命令使用详细而精确 墙规则脚本进行一致性检查，为用户提供防火墙配 的语