基于Linux的IPv6复合防火墙的设计.docVIP

基于Linux的IPv6复合防火墙的设计 ?引言IPv6运用AH和ESP对所传输的数据进行认证和加密，保证了数据的机密性、完整性和可靠性，实现了信息在传输过程的安全性。但IPv6并不能保障网络系统本身的安全及其提供的服务的可用性，也不能防止黑客的非法入侵和窃取私有数据。面对IPv6将要广泛的应用，有必要将其和防火墙相结合来保障整个网络系统的安全。目前Linux操作系统自2.2内核以来已提供对IPv6的支持，其性能稳定且安全性较高，因此本文以Linux为平台来研究设计针对IPv6的防火墙系统。Linux内核对数据包的过滤处理netfilter框架机制netfilter是linux2.4内核以后实现数据包过滤处理的一个抽象的、通用化的功能框架，它提供了不同于BSD Socket接口的操作网络数据包的机制。在netfilter中，协议栈每种协议都定义了若干个钩子（HOOK），而对应协议的数据包将按照一定的规则通过一些钩子，每一个钩子都是处理函数挂载点。内核模块可以在各个钩子上注册处理函数以操作经过对应钩子的数据包。数据包经过所注册的函数处理后，根据一定的策略返回给内核进行下一步的处理。IPv6协议定义了五个钩子：（1）NF_IPv6_PRE_ROUTING：数据包在抵达路由之前经过这个钩子。一般应用于防止拒绝服务攻击和NAT。（2）NF_IPv6_LOCAL