实验报告_53完整版.docVIP

一、嵌入式防火墙设计 1. 基于 Iptables-Ipset-NF-hipac 的防火墙设计 Iptables 的优势在于具有足够的灵活度，并且功能强大，面面俱到；劣势是在数量巨大的规则集时性能低下。然而 Ipset 虽然具有很好的性能，将 Iptables 的时间复杂度从O(n) 降到了O(1)，但集合里所有的 IP 对应到同一个处理操作，在面对并非一次性更新的规则集合时，显得用处不大。 NF-hipac 的灵活性和性能处于前二者之间，但是只能代替 Iptables-t filter 选项。因此，综合三个工具的优势，设计出一个更加优秀的防火墙方案： (1) Ipset 负责一次性大规模更新同一处理操作的IP集； (2) NF-hipac 负责独立零散的过滤规则的更新； (3) Iptables 用来进行其他子功能（数据包转发、数据包地址伪装等）操作。 这样既保证了系统运行的高性能，又能覆盖所需的全部功能。本文设计的嵌入式 Linux防火墙的整体体系架构如图1所示。硬件层为ARM9的处理器，操作系统内核为经过移植的Linux (版本2.6.13) 内核，并且支持 NetFilter 。用户态则移植了三款防火墙工具，并且都是在 Netfilter 架构的基础上进行开发的，包括Iptables、Ipset以及NF-hipac。 用户态NF-hipacIpsetIptables 用户态 NF-hipac Ipset Iptables 内核态Linux内核（ 内核态 Linux内核（2.16.13）+NetFilter 硬件层ARM9处理器 硬件层 ARM9处理器 图1 图1 嵌入式Linux防火墙系统架构示意图 2. 开发平台及编译环境 本文设计的嵌入式Linux 防火墙方案是在HIT-ES-DK01平台上实现的。该平台采用ATMEL 公司 AT91RM9200(ARM920T) 嵌入式处理器，主频180MHz，带有 MMU 存储器管理单元，内嵌 10M / 100M自适应以太网。开发板上还包括64MBSDRAM、256MB / 1GBNand Flash 和16MB Nor Flash ，板上集成4线电阻式触摸屏接口、TFT 液晶屏接口，最大支持16BPP模式800觹600分辨率，板载RS232、RS485、RJ45、USB 等接口以及 CAN 总线接口及多种存储卡接口。实验平台的接口布局如图2所示。 JTAT接口USB HOST四线触摸屏接口 JTAT接口 USB HOST 四线触摸屏接口 EEPROMUSB DeviceADS7843 EEPROM USB Device ADS7843 IO/100M网口DM916IE复位电路RS232接口 IO/100M网口DM916IE 复位电路 RS232接口 32MB SDRAMRS485总线接口LED蜂鸣器AT91RM9200 32MB SDRAM RS485总线接口 LED蜂鸣器 AT91RM9200 16MB NorFlashCAN总线接口 16MB NorFlash CAN总线接口 地址数据总线缓冲显示存储器256MB NandFlash 地址数据总线缓冲 显示存储器 256MB NandFlash SID13506显示接口芯片电源电路CF卡（TrueIDE模式） SID13506显示接口芯片 电源电路 CF卡（TrueIDE模式） VAG接口 VAG接口 LCD接口 图 图2 接口布局图 所谓交叉编译就是在一个平台上生成可以在另一个平台上执行的代码，本文使用基于gcc 3.4.1的工具链，在x86架构的 Linux 主机上使用 ARM 架构的编译工具链对系统内核和工具进行编译，生成可以在目标板上运行的内核，烧写到Flash中，便可在嵌入式平台上运行经过裁剪的系统和相关工具。交叉编译内核的详细步骤本文不再赘述，只是简要介绍三个防火墙工具编译与移植的关键环节。Iptables 是Linux 内核的一部分，因此与交叉编译内核一起考虑Iptables 的编译，需要注意的是，Iptables 最好编译为built-in 模式，而不要选择模块模式，这主要是考虑到嵌入式系统单内核方便管理、使用及大规模的工业复制。NF-hipac是通过内核补丁的方式编译的，下载到其源码后为内核打补丁，然后与内核一起编译。另外，还需要对源码进行一定的修改，为编译移植用户层NF-hipac 工具做准备，修改的文件包括Makefile、nf-hipac-core.c 等。Ipset 也是通过内核补丁的方式编译的，操作方法类似。 二、功能及性能测试 本文测试部分包括防火墙的功能测试和性能测试，使用到的测试工具 Netperf.。Netperf 是一款网络性能的测量工具，主要针对基于 TCP或UDP 的传输。 N