基于linux包过滤防火墙的设计与实现

论文题目：基于LINUX包过滤防火墙的设计

摘要

本文首先介绍了网络安全的基础知识和TCP/IP协议的相关问题。然后深入研究了数据包在linux中的处理过程，掌握linux内核模块的编写和实现机制，以及内核空间和用户空间的通信方法。研究了数据包捕捉和数据包过滤的原理。在此基础上，设计并实现了基于数据包过滤的防火墙。该系统在网络层使用nctfilter的hook捕获并分析数据包，获取数据包的基本信息，用来和过滤规则相比较，决定数据包是否允许通过。减少了系统消耗，提高了工作效率。而且通过检查数据包的tep标记，实现了比较有用的入侵检测功能，能够检测一些常见的网络探测和网络攻击。防火墙过滤规则设置是使用用户空间程序，利用nctlink套接口实现和内核空间的相互通信。另外，在用户空间使用netlink套接口编写了数据包的监视和分析程序，可以随时对网络进行观测，通过从内核获得的数据进行网络状况的分析，用来作为设定防火墙规则的依据。 最后，在真实网络状况下进行数据包封包测试，和网络攻击测试，测试结果表明该包过滤防火墙起到了很好的数据包阻挡效果，并能够检测一些常见的网络攻击。

本文基本上实现了网络防火墙的功能，并且可以在实际中进行应用。

关键词：网络安全；网络攻击；防火墙；Netfilter；钩子函数

目录

1 网络安全的现状 1

2 防火墙概述 3

2.1网络防火墙的历史 3

2.2网络防火墙的定义 3

2.3防火墙的类型 4

3 基于Linux个人防火墙总体设计 6

4 基于Linux的数据包捕获模块结构与原理分析 8

4.1 数据包捕获模块结构 8

4.2数据包捕获模块原理分析 8

4.3包过滤系统原理分析 10

4.4 防火墙过滤表规则 11

5 基于Linux的数据包捕获模块设计实现 14

5.1 数据包捕获模块设计流程图 14

5.2 数据包捕获模块实现 14

5.3 程序中用到的一些结构体解析 15

6 小结 17

致    谢 18

参考文献: 19