一种基于双栈的双效防火墙设计.docVIP

一种基于双栈的双效防火墙设计 　　摘要:在IPv6过渡阶段,实现对用户完全透明的过渡将有效带动IPv6的发展进程,由squid代理实现IPv6孤岛与 IPv4海洋之间通信的同时,结合Linux内核的netfilter/ip6tables数据包过滤防火墙,实现了一种基于IPv4/IPv6双协议栈网络环境下的双效防火墙。 　　关键词:代理;双栈;防火墙;Netfilter;ip6tables;squid 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)33-9564-03 　　Dual-stack Based Firewall Designed for Double-effect 　　WANG Yi-wu,REN Yu,SHU Hui 　　(Educational Technology Center, Chengdu Medical College, Chengdu 610083, China) 　　Abstract: In the IPv6 transition period, it will effectively promote the development of IPv6 to achieve the completely transparent transition to the user.As the communication between IPv6 island and IPv4 ocean come true with squid proxy server, combinated with the netfilter/ip6tables packet filtering firewall of the Linux kernel, has designed a double-effect firewall which based on IPv4/IPv6 dual-stack network environment. 　　Key words: proxy; dual-stack; firewall; netfilter; ip6tables; squid 　　IPv6在中国启动以来,通过各高校、研究机构、网络营运商的不懈努力,已经取得了一系列可喜的成果,并且已经在众多高校率先使用,其部分应用如BT、视频点播等凝聚了庞大的忠实用户,让我们对IPv6的发展充满了希望。但是,仔细想想,IPv6仍然只是IPv4海洋中的一个个孤岛,过渡阶段的严峻困难仍然横亘在我们面前:如何解决用户从IPv4到IPv6过渡和衔接的问题? 　　另外,IPv6虽然从地址分配方案, IPSEC服务等对IPv4协议安全问题有所改善,但是IPSEC对应用层的安全威胁仍无能为力。更替代不了传统的网络安全设备,因终端用户或管理员的原因而出现简单的配置错误需要由防火墙进行弥补。 　　通过安装有双协议栈的LINUX主机,加载SQUID程序,配合系统自带的NETFILTER/IP6TABLES防火墙,即可架设实现IPv4与IPv6互通的安全网关。 　　1 应用服务代理 　　Squid是目前最常用的代理软件之一,支持FTP、gopher 和HTTP 协议。从版本2.5开始,squid开始发布IPv6补丁以支持IPv6,3.0版本后自动支持IPv6。 　　Squid实现代理的原理是NAT(Network Address Translation),Squid中的NAT实际上是一个socket替换机制,在配置双栈的主机上,它可替换source socket、destination socket,不论是IPv4还是IPv6,因此,可以利用SNAT和DNAT轻松实现透明代理,重定向和转发功能。 　　Squid默认并未开启IPv6,编译安装时须加入--enable-IPv6命令开启IPv6支持。 　　#./configure--prefix=/var/squid 　　--sysconfdir=/etc 　　--enable-arp-acl 　　--enable-linux-netfilter 　　--enable-pthreads 　　--enable-err-language=Simplify_Chinese 　　--enable-storeio=ufs,null 　　--enable-default-err-language=Simplify_Chinese 　　--enable-IPv6 　　同时在访问控制列表中加入如下语句以控制使IPv4和IPv6的数据包通过squid。 　　acl to_IPv6 dst IPv6 　　tcp_outgoing_address to_IPv6