实验报告 (3000字.doc

实验报告 (3000字) 一、嵌入式防火墙设计 1. 基于Iptables-Ipset-NF-hipac的防火墙设计 Iptables的优势在于具有足够的灵活度，并且功能强大，面面俱到；劣势是在数量巨大的规则集时性能低下。然而Ipset虽然具有很好的性能，将Iptables的时间复杂度从O(n)降到了O(1)，但集合里所有的IP对应到同一个处理操作，在面对并非一次性更新的规则集合时，显得用处不大。NF-hipac的灵活性和性能处于前二者之间，但是只能代替Iptables-t filter选项。因此，综合三个工具的优势，设计出一个更加优秀的防火墙方案： (1)Ipset负责一次性大规模更新同一处理操作的IP集； (2)NF-hipac负责独立零散的过滤规则的更新； (3)Iptables用来进行其他子功能（数据包转发、数据包地址伪装等）操作。 这样既保证了系统运行的高性能，又能覆盖所需的全部功能。本文设计的嵌入式Linux防火墙的整体体系架构如图1所示。硬件层为ARM9的处理器，操作系统内核为经过移植的Linux (版本2.6.13) 内核，并且支持NetFilter。用户态则移植了三款防火墙工具，并且都是在Netfilter架构的基础上进行开发的，包括Iptables、Ipset以及NF-hipac。 2. 开发平台及编译环境 本文设计的嵌入式Linux防火墙方案是在HIT-ES-DK01平台上实现的。该平台采用ATMEL公司AT91RM9200(ARM920T) 嵌入式处理器，主频180MHz，带有MMU存储器管理单元，内嵌10M / 100M自适应以太网。开发板上还包括64MBSDRAM、256MB / 1GBNand Flash和16MB Nor Flash，板上集成4线电阻式触摸屏接口、TFT液晶屏接口，最大支持16BPP模式800觹600分辨率，板载RS232、RS485、RJ45、USB等接口以及CAN总线接口及多种存储卡接口。实验平台的接口布局如图2所示。 图1 嵌入式Linux防火墙系统架构示意 硬件层 内核态 图2 接口布局图 所谓交叉编译就是在一个平台上生成可以在另一个平台上执行的代码，本文使用基于 gcc 3.4.1的工具链，在x86架构的Linux主机上使用ARM架构的编译工具链对系统内核和工具进行编译，生成可以在目标板上运行的内核，烧写到Flash中，便可在嵌入式平台上运行经过裁剪的系统和相关工具。交叉编译内核的详细步骤本文不再赘述，只是简要介绍三个防火墙工具编译与移植的关键环节。Iptables是Linux内核的一部分，因此与交叉编译内核一起考虑Iptables的编译，需要注意的是，Iptables最好编译为built-in模式，而不要选择模块模式，这主要是考虑到嵌入式系统单内核方便管理、使用及大规模的工业复制。NF-hipac是通过内核补丁的方式编译的，下载到其源码后为内核打补丁，然后与内核一起编译。另外，还需要对源码进行一定的修改，为编译移植用户层NF-hipac工具做准备，修改的文件包括Makefile、nf-hipac-core.c等。Ipset也是通过内核补丁的方式编译的，操作方法类似。 二、功能及性能测试 本文测试部分包括防火墙的功能测试和性能测试，使用到的测试工具Netperf.。Netperf是一款网络性能的测量工具，主要针对基于TCP或UDP的传输。Netperf根据应用的不同，可以进行不同模式的网络性能测试，即批量数据传输（bulk data transfer）模式和请求/应答（request/reponse）模式。Netperf测试结果所反映的是一个系统能够以多快的速度向另外一个系统发送数据，以及另外一个系统能够以多快的速度接收数据。本文测试用例包括两种网络拓扑，如图3、图4所示。测试网络拓扑1主要模拟了从外网的客户端访问被防火墙保护的 内网服务器（Web服务器、测试软件netserver服务器等），外网IP用 / 24模拟，内网IP用 /24模拟。由于嵌入式Linux防火墙本身也为一台计算机，所以将其内部假设服务器，测试网络拓扑2（下文简称拓扑2）如图5所示，完成拓扑1所不能完成的一些性能上的测试，将测试结果进行进一步分析对比。 图3 测试网络拓扑1 5 01 图4测试网络拓扑2 1.功能验证与测试 功能验证与测试包括Iptables功能测试、NF-hipac功能测试