基于S3C2440的嵌入式IPv6防火墻設(shè)計(jì)（二）

4 防火墻核心模塊設(shè)計(jì)

　　一個(gè)防火墻能否起到較好的過(guò)濾效果關(guān)鍵在于防火墻的核心過(guò)濾模塊設(shè)計(jì)。本防火墻的核心過(guò)濾模塊整體工作流程如圖3所示。

圖3 嵌入式IPv6防火墻工作流程圖。

　　嵌入式IPv6防火墻的工作流程：

　?。?） 當(dāng)IPv6 數(shù)據(jù)包通過(guò)網(wǎng)絡(luò)接口進(jìn)入防火墻之后，首先將經(jīng)過(guò)動(dòng)態(tài)NAT模塊進(jìn)行網(wǎng)絡(luò)地址翻譯，其目的是將外部公網(wǎng)IP與內(nèi)部私網(wǎng)IP相互映射。

　?。?） 在完成動(dòng)態(tài)NAT 之后，防火墻會(huì)遍歷連接狀態(tài)跟蹤信息表判斷該數(shù)據(jù)包是否屬于一個(gè)已經(jīng)存在連接。此連接狀態(tài)跟蹤信息表記錄著已存在連接的源IP 地址、目的IP 地址、傳輸層的源端口號(hào)、目的端口和TCP 序列號(hào)等，通過(guò)這些信息防火墻可以高效快速的識(shí)別出該數(shù)據(jù)包是否屬于一個(gè)已經(jīng)存在的連接。

　　（3） 如果該數(shù)據(jù)包不屬于一個(gè)已經(jīng)存在的連接，系統(tǒng)會(huì)調(diào)用智能數(shù)據(jù)包過(guò)濾規(guī)則集，并逐條遍歷整個(gè)規(guī)則集。與此同時(shí)防火墻會(huì)動(dòng)態(tài)地建立并更新過(guò)濾規(guī)則匹配信息表，根據(jù)該信息表，系統(tǒng)采用統(tǒng)計(jì)、記憶、概率和決策的智能方法對(duì)數(shù)據(jù)進(jìn)行識(shí)別，動(dòng)態(tài)地優(yōu)化過(guò)濾規(guī)則優(yōu)先級(jí)。智能的數(shù)據(jù)識(shí)別方法，消除了匹配檢查所需要的海量計(jì)算，高效發(fā)現(xiàn)網(wǎng)絡(luò)行為的特征值，直接進(jìn)行訪問(wèn)控制，由于這些方法多是人工智能學(xué)科采用的方法，因此又稱為智能訪問(wèn)控制技術(shù)。

　?。?） 如果該數(shù)據(jù)包通過(guò)了過(guò)濾規(guī)則集的審查，或者該數(shù)據(jù)包屬于一個(gè)已經(jīng)存在的連接，防火墻會(huì)對(duì)數(shù)據(jù)包是否含有特定內(nèi)容進(jìn)行檢測(cè)，此時(shí)防火墻僅僅對(duì)數(shù)據(jù)包的關(guān)鍵信息進(jìn)行檢測(cè)，因此大大加快了檢測(cè)的效率和速度。

　?。?） 如果該數(shù)據(jù)包未能通過(guò)狀態(tài)跟蹤安全策略，或者未能通過(guò)智能包過(guò)濾規(guī)則集，防火墻會(huì)拒絕或者丟棄該數(shù)據(jù)包，并進(jìn)行日志記錄。

　　（6） 在數(shù)據(jù)包通過(guò)了上述的過(guò)濾和審查后，防火墻就會(huì)將該數(shù)據(jù)包轉(zhuǎn)發(fā)到最終的目的地址，并且防火墻會(huì)在其連接狀態(tài)跟蹤信息表中為此次會(huì)話創(chuàng)建或者更新一個(gè)連接信息。防火墻將會(huì)使用這個(gè)連接項(xiàng)對(duì)返回的數(shù)據(jù)包進(jìn)行過(guò)濾。

　　5 結(jié)束語(yǔ)

　　本文對(duì)防火墻技術(shù)做了深入研究，設(shè)計(jì)了基于S3C2440 處理器的嵌入式IPv6 防火墻。該防火墻實(shí)現(xiàn)了支持IPv6 協(xié)議的狀態(tài)跟蹤與智能包過(guò)濾相結(jié)合的動(dòng)態(tài)包過(guò)濾。并成功搭建了遠(yuǎn)程WEB 管理平臺(tái)，方便地管理過(guò)濾規(guī)則、防火墻日志和網(wǎng)絡(luò)狀態(tài)等。隨著IPv6 網(wǎng)絡(luò)的逐漸推廣，包括防火墻在內(nèi)的網(wǎng)絡(luò)設(shè)備對(duì)IPv6網(wǎng)絡(luò)的支持將成為必然趨勢(shì)。因此基于ARM的嵌入式IPv6防火墻的應(yīng)用前景也會(huì)越來(lái)越廣闊。