基于SMP的防火墙的研究与实现-计算机系统结构专业论文.docxVIP

华中科技大学硕士学位论文 一===#======；==；==；=≈。====；======== 摘要 在简要分析英特尔奔腾处理器和Linux 2．4．18核心对对称多处理器结构支持的 基础上，结合常用的防火墙设计方法，设计了一个对称多处理器防火墙模型。该模 型具备包过滤、状态检测和应用代理功能。分析了规则表和连接状态表的读写锁使 用状况，同时设计了一些动态规则，它们是防火墙与入侵检测系统的互动接口。 采用连接预分配的机制，将连接状态表的内存管理从系统内存管理中分离出来， 单独进行分配和释放。同时还增强了防火墙模型的状态检测功能，采用了LRU算法 对未完成连接链表进行管理，来提高系统的抗攻击能力。采用内核级代理来实现防 火墙的应用代理功能，减少了进程的上下文切换，提高了该模型的性能。 结合Linux系统的缓冲区管理和任务队列机制，设计了一种新型的保存内核出 错信息的方法。直接使用系统的写缓冲功能，将错误信息保存到文件中，并增加了 自动记录报警日志的功能，提高了模型的可维护性。 从整体的网络环境和防火墙结构的观点出发，提出了相应的改进措旖。对单处 理器的防火墙和双处理器的防火墙进行了流量测试，表明了在高负荷的情况下，使 用多处理器可以加速防火墙的数据包处理能力。建立了防火墙模型的随机Petri网模 型，分析读写锁对对称多处理器防火墙的吞吐率及响应时间的影响，并提出了在实 现中应该注意读写锁的设计等问题。 关键词：防火墙， 对称多处理器， 状态检测  华中科技大学硕士学位论文 Abstract With the brief analysis of the support for symmetrical multiprocessor of Intel Pentium processor and Linux 2．4．1 8 kernel，a prototype of firewall based on symmetrical multiprocessor is proposed by some popular methods．This prototype has functions of packet filtering，state inspection and proxy for application layer．Read／write locks of access rules and connection state tables are analyzed．Dynamic rules are devised as the interface between firewall and IDS． Pre‘allocating separates the management of connection state tables’memory from system memory management，allocating and freeing individually．Not only enhancing prototype’S state inspection but also operating unfinished link by LRU algorithm could improve the anti-attack of system．Proxy for application layer is implemented in the kernel to raise the performance of prototype by decreasing time of processing context switching． A new method to store kernel error messages is brought forward．combined with buffer management and task queue of Linux．it writes error messages to file by the function of system writing buffer．And it Can record the alarm log automatically．Thus maintainability ofprototype is increased． In view of the whole network environment and the architecture of fimwall，some corresponding measures ale proposed．Experiment shows that multiprocessor firewall Can get mor