支持ipv6网络访问控制技术的研究 study on controlling technology supporting ipv6 network access.pdfVIP

东北电力技术 2010年第1 1期 支持IPv6网络访问控制技术的研究 IPv6 on NetworkAccess StudyControllingTechnologySupporting 陈得丰 (东北电力科学研究院有限公司，辽宁 沈阳 110006) 摘要：随着互联网的发展，一些新的IPv6资源已经出现，有效地监督和控制访问IPv6资源成为一个亟待解决的问题。重 传输及协议转换。 关键词：IPv6；Netfiher框架；网络；访『UJ控制 [中图分类号]TP393[文献标志码]B[文章编号]1004—7913(2010)11—0040—03 为了解决互联网发展过程中遇到的问题，早在 和去向可分为流入、流经和流出3类。其中流人和 20世纪90年代初期，互联网工程任务组IETF就流经报文需要经过路由才能区分，而流经和流出报 next 文则需要经过投递。此外，流经报文还有一个FOR— 开始着手下一代互联网协议IPng(IP—the rrfl提出了IPng的设计 generation)的制定工作。IE ter根据网络报文的流向在以下几个点插入处理过 原则后，出现许多针对IPng的提案，新的IP协议 ProtocolVersion 称为IPv6(Internet 6)，其版本是 程： 在1994年由IETF批准的RFCl752¨o。 行； 企业通过共享上网将公司的局域网联入Inter- net时，不愿意公司人员将公司内部的机密资料发 送出去及通过聊天工具与外界进行私人会谈，希望 前执行； 能有效地监控其上网行为，避免无为上网带来的工 作效率降低和网络资源的浪费。 行； 基于上述现实需求，提出了支持IPv6网络}方 问控制技术的研究。 由后执行； 1 Netfilter防火墙框架 由前执行。 Hnux从1．1内核开始就有了包过滤功能， Netfilter框架为多种协议所提供的一套类似的 钩子(HOOK)，用一个structlist—headnf—hooks Linux2．2内核防火墙ipchains提供了防火墙的基本 功能，但其在开放性和可扩展性方面存在问题。为 2．4内核中的包过滤防火墙Netfiher采用存储，一维为协议族，二维为前面提到的各个调用 此，Linux 了全新的框架结构蘑新构造，并实现了很多功能【2J。 人口。每个希望嵌入Netfiher中的模块都可以为多 1．1 Netfilter工作原理 个协议族的多个调用点注册多个钩子函数(Hook Netfiher的设计为内核中其它模块动态参与IPfunction)。这些钩子函数将形成1条函数指针链， 每次协议栈代码执行到NF—HOOK()函数时(有 层中的数据包处理提供了途径。Netfiher通过以下 方法来达到其设计目的：在内核中建立了一个函数 多个时机)会依次启动这些函数，处理参数所指 指针链表，称为钩子函数链表，加入到链表中的函 定的协议栈内容∞J。 数指针所指的函数称为钩子函数(HookFunction)。1．2用户空