UDP状态检测防火墙及实现算法.docx

第 37 卷 第 2 期2004 年 4 月武汉大学学报 (工学版) Engineering Journal of Wuhan UniversityVol. 37 No. 2Apr. 2004文章编号 :167128844 (2004) 022069205UDP 状态检测防火墙及实现算法李俊娥 , 王婷 , 雷公武(武汉大学计算中心 ,湖北 武汉 430072)摘要 :分析了状态检测防火墙的工作原理 ,提出了一种能有效防御目前针对状态检测防火墙进行 DoS 攻击的UDP(User Datagram Protocol) 状态检测防火墙模型及其实现算法. 模型使用了动态设定虚连接生命期的方法 ,以 避免防火墙的状态表被填满而导致防火墙拒绝服务 ;在算法中利用哈希函数对 UDP 虚连接进行管理 ,将算法平 均时间复杂度控制在 Ο(λ) ,空间复杂度控制在 Ο( n) , 在冲突较少的情况下 , 算法时间复杂度为 Ο(1) , 使防火 墙具有较好的执行效率.关键词 :状态检测防火墙 ; UDP ; DoS ; 虚连接 ; Hash中图分类号 : TP 393. 08文献标识码 :AImplementation algorithm of UDP f iltering on statef ul2inspection fire wallLI Jun2e , WANG Ting , LEI Gong2wu(Computer Centre , Wuhan University , Wuhan 430072 , China)Abstract : The principle of UDP (User Datagram Protocol) packets inspection on stateful2inspection firewall is ana2 lyzed ; and a model , which could effectively prevent the DoS attacks , and its implementation algorithm are presented. With the method of dynamic configuring the life cycle for UDP virtual connections , the firewall can avoid exhausting its state2table resource. A hash table has been employed in the algorithm to manage UDP virtual connections , of which theaverage time complexity is controlled at Ο(λ) ; the space complexity is controlled at Ο( n) ; and in situation of lesscollisions , the time complexity is Ο(1) , which does not varied with the number of connections.Key words : stateful2inspection firewall ; UDP ; DoS ; virtual connection ; Hash自 CheckPoint 公司提出状态检测 ( stateful2in2 spection) 的概念后[ 1 ] ,状态检测成为防火墙发展的 一种新技术. 传统的包过滤防火墙通过检测 IP 报 头的相关信息来决定单个数据包的放行与拒绝 ,而 状态检测技术采用一种基于连接的状态检测机 制[ 2 ] ,将属于同一连接的所有数据包组成的数据流 作为一个整体看待 ,并建立连接状态表 ,通过规则 表与状态表的共同配合 ,对表中的各个连接及其状 态加以识别 ,从而达到对数据流进行控制的目的. 因此 ,与传统包过滤防火墙的静态过滤规则表相比 ,它具有更好的灵活性和安全性.然而 ,最近出现了一些专门针对状态防火墙的 拒绝服务 (DoS) 攻击和分布式拒绝服务 (DDoS) 攻 击 ,如 C22Flood 、SYN2Flood 和 UDP2Flood 等[ 3 ] . 针对 这些新的攻击 ,各防火墙厂商都在更新自己的产 品 ,设计新的算法努力使这些攻击造成的影响降到 最低 ,如 CheckPoint 在 2002 年 4 月发布并于日前供 货的 SmartDefense 开创了 Active Defense 产品的一 个新范畴 ———智能安全技术 ,这种技术的应用能