隧道机制下图形防火墙实现.docVIP

隧道机制下图形防火墙实现 　　摘要：本文首先分析了隧道机制本身容易引起地址欺骗攻击，而当前防火墙往往无法抵御这样的网络攻击，针对这样的缺陷，笔者通过改进netfilter机制实现了适用于过渡网络的防火墙功能。同时采用GIMP Toolkit+2.0（GTK+2.0）设计了针对该防火墙的图形界面，从而能方便地配置IPv4或IPv6防火墙过滤规则。最后利用隧道机制搭建过渡网络环境进行防火墙功能测试，验证了方案的有效性。 　　关键词：隧道；netfilter；GTK；防火墙 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2007)18-31536-01 　　Implementation of Graphic Firewall under Tunneling Mechanisms 　　DAI Xiao-miao,LIU Ying,ZHANG Si-dong 　　(School of Electronics and Information Engineering,Beijing Jiaotong University,Beijing 100044,China) 　　Abstract:Tunneling mechanisms may introduce spoofing attack which today firewalls can not stand against.In order to solve such a problem,authors implement a firewall suitable for networks during the period of IPv4/IPv6 transition by improving netfilter.Then authors design a graphical interface of firewall during this period with GIMP Toolkit+2.0 (GTK+2.0),thus conveniently setting filtering rules for users. Lastly,the solution is tested whether it is effective in the transitional environment. 　　Key words: tunneling;netfilter;GTK;firewall 　　 　　目前接入IPv6网络的方式主要是隧道机制和双协议栈机制，其中隧道机制是将IPv6的分组封装到IPv4的分组中，封装后的IPv4分组源地址和目的地址分别是隧道入口和出口的IPv4地址，并将报头的“协议”字段设置为41，表明该分组的负载是一个IPv6分组。在隧道的出口处，再将IPv6分组解封并转发到目的地。由于IPv6分组隐藏在IPv4报头之后，而当前防火墙又无法识别隐藏着的IPv6分组是否非法，因此往往无法抵御类似的地址欺骗攻击，严重地影响了网络性能。基于这样的安全需求，本文设计的防火墙不仅能够识别“协议”字段为41的数据包，而且能根据封装在IPv4分组的IPv6分组信息对数据包进行过滤，此外本文还开发了相应的图形界面，方便了用户操作。 　　 　　1 防火墙功能分析与实现 　　 　　Linux提供了一个防火墙工具――Netfilter/iptables，其中Netfilter是一个结构化的防火墙底层架构，而Iptables是Netfilter的用户态接口管理工具，此外，ip6tables是应用在IPv6环境下的相应工具。在基于双栈机制的过渡网络中，这样的防火墙已经起到不错的保护作用。 　　但是，由于隧道机制是在隧道出口把隧道包解封成IPv6数据包的，而我们的防火墙是应用在隧道两端之间、以透明网桥的方式工作的，所以当数据包经过防火墙的时候，防火墙不能看到IPv4报头后的IPv6分组，因此基于IPv6的防火墙功能也起不了作用。在应用隧道机制接入的过渡网络中，这样的防火墙是无法保证网络安全的。 　　本文的设计思想就是当接收到IPv4数据包时，设置在NF_IP_FORWARD这个点的钩子函数首先根据数据包的协议字段来判断该包是否为隧道包，如果不是则正常处理；否则，提取IPv6分组，并根据设置好的IPv6防火墙规则信息来判断IPv6分组是否非法，从而采取相应的措施。具体处理流程如图1所示。 　　 　　2 图形界面实现 　　 　　防火墙的图形界面实现主要是用GTK+2.0来完成的。它使用一些称为“构件”的对象来创建GUI应用程序。它提供了窗口、按钮、框架、列表框、组合框、树、状态条等很多构件，可以构造丰富的用户界面。本文就是通过创建这些构件来布局图