IPv6在Linux操作系统中的安全设计.pdfVIP

2009矩6B 济南职业学院学报 Jun．2009 第3期(总第74期) Vocational JournalofJinan College No．3(SerialNo．74) IPv6在Linux操作系统中的安全设计 翟玉梅邢文凯 (武汉大学，湖北武汉430072；商丘职业技术学院，河南商丘476000) 防火墙，建立成具有代理功能的混合型防火墙。 关键词：IPv6；Linux；iP6tables；squid；混合型防火墙 中图分类号：TP393．08文献标识码：A 文章编号：1673—4270(2009)03—0114—03 1．Netfiher组件 IPv6运用IPSec对所传输的数据进行认证和 加密，保证了数据的机密性、完整性和可靠性，实现 Netfiher是新的用来实现防火墙的过滤器，使 了信息在传输过程的安全性…。但IPSec由于密钥得诸如数据包过滤，NAT以及网络连接跟踪技术 管理问题仍然难以广泛部署和实施，许多安全攻 击发生在应用层而不是网络层，因此IPv6网络仍提供的各式各样的HOOK(钩子)即可完成H】。 然面临许多安全问题【2】。面对IPv6将要广泛的应Netfilter的设计为内核中其它模块动态参与IP层 用，有必要将其和防火墙相结合来保障整个网络 中的数据包处理提供了途径。 系统的安全。目前Linux操作系统提供对IPv6的支2．IP6tables数据包过滤系统 持，其性能稳定且安全性较高，因此我们以Linux iptables是一个管理内核包过滤的工具，它 为平台来研究设计针对IPv6的防火墙系统。 可以让用户访问内核过滤规则和命令。这种数 一、Linux内核对数据包的过滤处理 据包选择主要用于实现数据包过滤(filter表)、网 Linux2．4内核中的netfilter／iptables系统使其 络地址转换NAT表)及数据包处理(mangle表)。 用户可以完全控制防火墙配置和信息包过滤【3】。它 Linux2．4内核提供的这三种数据包处理功能都 允许为防火墙建立可定制化的规则来控制信息包 基于Netfilter的钩子函数和IP表【5J。它们相互之 过滤。它还允许配置有状态的防火墙。Netfilter位 间是独立的模块，但完美地集成到由Netfiher提 于Linux网络层和防火墙内核功能模块之间，在内 供的框架中。filter表格不对数据包进行修改，只 核中通过Netfiher结构将防火墙对数据包的处理对数据包进行过滤。它通过钩子函数NF—IP6一 引入IP层中实现。防火墙代码和实现IP层的代码 完全分离，从而构成不同模块。这样有利于添加 新的防火墙功能模块，并且不对其它防火墙功能 和IP层功能造成影响。 收稿日期：2009—04—02 作者简介：翟玉梅(1974一)，女。山东菏泽人，武汉大学软件T程国家重点实验室在职研究生，商丘职业技术学院计算机系讲师； 邢文凯(1973--)，男。河南商丘人，商丘职业技术学院计算机系讲师。 ·114· 万方数据 一般基于2．4以上内核的Linux发行版本都可 OUT，用于源NAT、目的NAT、伪装(是源NAT的一 个特例)及透明代理(是目的NAT的一个特例)。以直接使用IPv6，使用前要看系统IPv6模块是否 被加载，查看命令为： mangle表格在NF—IP6一PRE—ROUTING和NF— #modProb