基于L7-filter的流量过滤防火墙的实现.docVIP

基于L7-filter的流量控制防火墙的实现 The stream control firewall based L7-filter （湖南师范大学 网络中心 湖南长沙 410081） 【摘要】 传统的网络墙无法实现流量过滤的功能，P2P的应用挤占了有限的带宽使因而无法保障企业关键业务流的及时传输。基于L7-filter的Netfilter配对模块可以很好的实现高层协议的数据保匹配，和传统的防火墙结合可以实现高级的流量过滤功能，保证关键和正常数据包的传输。 【关键词】 流量控制 P2P 防火墙 Netfilter Iptables 0 引言 防火墙（firewall）是一种比较传统的信息安全产品，一般位于内网（private net）和公网（public net）之间，对内网和公网之间的数据传输起着过滤的作用，对企业的信息安全具有重要意义。防火墙维护着一个ACL（access control list 访问控制列表），它根据手动设置的规则集（rules）对流量或者连接进行过滤和屏蔽，防范来自公网的攻击。随着网络技术的不断发展网络应用日趋多样化，特别P2P技术的产生，使企业有限的公网带宽更加拥挤，而且已经严重影响到企业关键业务数据的正常传输。传统防火墙仅是一般意义的访问控制，对于流量往往也只能根据传输层协议的类型和端口进行控制，不能做到依据高层的应用层网络协议进行有效过滤，因此不能保证企业关键数据的快速传输。 Private Network Firewall Public Network 图1 简化的网络拓扑模式图 Netfilter是linux基于内核的包过滤框架模块，可以在用户空间（user space）使用iptables程序添加，设置，修改，删除来维护规则集。Netfilter可以根据数据包的结构（packet structure），很好的实现访问控制的目的。世界上众多的linux爱好者（hacker）为Netfilter开发了很多高级的配对（match）模块，从而实现很有现实价值的功能。其中由Justin Levandoski, Ethan Sommer, 和 Matthew Strait开发，Sebastian Celis, Andy Exley 和 Lillie Kittredge支持的L7-filter功能模块可以根据数据包应用层协议（application layer）内容进行匹配，从而使防火墙能够进行准确协议控制成为可能，保证企业关键业务数据的实时传送。 L7-filter 的工作原理 对于数据包的过滤，就需要进行数据包的匹配。依据数据包具有固定的结构，源IP地址（source IP address），目标IP地址(destination IP address)，MAC(mac address Physical Address)地址,传输层协议类型（TCP/UDP）及其端口（Port）进行匹配。因为常见的高层协议具有固定的端口，可以很好的完成一些普通的流量控制功能，而且还具有很好的效率，比如：HTTP,FTP,DNS,POP.SMTP,TELNET等。但是对于一些其他的高层协议，随机选择通信端口，例如bittorrent emule等一些P2P程序，那么只是通过传输层的端口进行匹配是不能达到很好的效果的。如果HTTP ，FTP等一些常规应用使用了代理服务器，或者更换了标准的协议端口，那么仅仅端口匹配也是不能检测出这些数据包。 version IHL Differentiated Services Total Longth Identifier Fragmentation Eragment Offset Time to Live(TTL) Protocol Header Checksum Source IP Address Destination IP address Options Blank Data zone 表1 IP数据报的格式 Source Port Destination Port Sequence Number Ack Number TCP Offset Reserved Flag Window TCP Checksum Urgent Pointer Options Blank Data Zone 表2 TCP报文的格式 Source Port Destination Port Longth Checksum Data Zone 表3 UDP的报文格式 L7-filter 的安装和使用 L7-filter可以运行在各种L