基于规则的防火墙匹配算法研究.pdfVIP

基于规则的防火墙匹配算法研究 梁京章1赵启斌2陈学广1 1(华中科技大学系统工程研究所，武汉430074) 2(上海交通大学，上海200030) E-mail：lian92062@gxu．edu．an 摘 要 传统防火墙包过滤过程是通过数据包与过滤规则顺序匹配，直到有一条规则匹配后即可停止。当过滤规则日益 增多时，防火墙的吞吐量也不断下降，严重影响了网络的性能。该文提出并设计了快速的规则匹配算法，改变了以往的顺 序匹配，极大地提高了防火墙的吞吐量和性能。 关键词 防火墙哈希算法 索引 过滤规则 文章编号1002—8331一(2005)19—0166—03文献标识码A 中图分类号TP393．08 ResearchofFirewall ArithmeticBasedonRules Matching Zhao Chen LiangJingzhan91Qibin2 Xueguan91 of 1(Institute 430074) SystemEngineering，HUST，Wuhan 200030) 2(ShanghaiJiaotongUniversity，Shanghai of firewalls filtrationis thedata filtration Abstract：Thetraditional process packet performedthrough packetmatching rules doesntceaseuntiloneruleismatched．Whilefiltrationrulescomein numbers，thethroughput orderly．It increasing offirewMlsandnetwork willdecline and rules paper designs performance accordingly．Thispresents quick matching and offirewallswillbe intheextreme． arithmeticthat former enhanced replaces sequentmatchinsThethroughputperformance rules arithmetic，index，filtration Keywords：firewall，Hash 1 引言 集或者相等，那么Rx与Ry是包含相关的。即： 数据包过滤系统是防火墙最基本、最重要、最核心部分，传 Vi：Rx[i]C_Ry[i]and3j：Rx[i]#Ry[i] 统的防火墙过滤过程采用顺序匹配，直到第一条匹配的规则【l】。 其中i,j∈{protocol，5rc 一个防火墙的过滤规则可能是几百条或更多，由于过滤规则的