一、防火墻概述

　　網絡防火墻技術是一種用來加強網絡之間訪問控制，防止外部網絡用戶以非法手段通過外部網絡進入內部網絡，訪問內部網絡資源，保護內部網絡操作環境的特殊網絡互聯設備。它對兩個或多個網絡之間傳輸的數據包按照一定的安全策略來實施檢查，以決定網絡之間的通信是否被允許，并監視網絡運行狀態。

　　根據防火墻所采用的技術不同，可以將它分為四種基本類型：包過濾型、網絡地址轉換—NAT、代理型和監測型。包過濾型產品是防火墻的初級產品，其技術依據是網絡中的分包傳輸技術。包過濾技術的優點是簡單實用，實現成本較低，在應用環境比較簡單的情況下，能夠以較小的代價在一定程度上保證系統的安全。網絡地址轉換是一種用于把IP地址轉換成臨時的、外部的、注冊的IP地址標準。它允許具有私有IP地址的內部網絡訪問因特網。

　　代理型防火墻也可以被稱為代理服務器，它的安全性要高于包過濾型產品，并已經開始向應用層發展。代理型防火墻的優點是安全性較高，可以針對應用層進行偵測和掃描，對付基于應用層的侵入和病毒都十分有效。其缺點是對系統的整體性能有較大的影響，而且代理服務器必須針對客戶機可能產生的所有應用類型逐一進行設置，大大增加了系統管理的復雜性。

　　監測型防火墻是新一代的產品，能夠對各層的數據進行主動的、實時的監測，在對這些數據加以分析的基礎上，監測型防火墻能夠有效地判斷出各層中的非法侵入。同時，這種檢測型防火墻產品一般還帶有分布式探測器，這些探測器安置在各種應用服務器和其他網絡的節點之中，不僅能夠檢測來自網絡外部的攻擊，同時對來自內部的惡意破壞也有極強的防范作用。監測型防火墻在安全性上已超越了包過濾型和代理服務器型防火墻，但其實現成本較高?；趯ο到y成本與安全技術成本的綜合考慮，用戶可以選擇性地使用某些監測型技術。

　　二、基于Linux個人防火墻總體設計

　　本文研究的是防火墻系統的軟硬件環境以及該防火墻的開發步驟和所要實現的功能，最后重點對該防火墻系統所需要的硬件和軟件平臺原理進行說明。盡管所有Linux系統都自帶防火墻內核程序，但需要用戶進行配置才能起到保護網絡安全的目的。

　　1、防火墻系統總體設計

　　Linux系統下實現軟件防火墻的設計與應用，實質上就是基于主機的網絡安全解決方案。因此，我們完全可以選擇合適的軟硬件平臺和相應的防火墻設計原理，自己開發出一套能夠滿足要求的防火墻系統。

　　歸納起來這里要實現的防火墻需要滿足兩大要求：第一，必須能夠對主機提供安全保護，即對主機與局域網以外的主機進行數據傳輸時實施安全保護;第二，必須能夠提供良好的人機接口界面，具有容易操作、容易管理的優點。

　　考慮到現有硬件設備的限制，在保證滿足實驗要求的環境下盡可能地簡化了實驗環境。因為該防火墻系統是基于主機設計的，故只需要一個聯網的主機即可進行實驗。該系統是在Linux環境下用C語言實現包過濾型軟件防火墻的設計與應用，采用Kylix開發工具進行界面設計和數據庫連接。

　　基于Linux的個人防火墻系統主要具有以下功能：

　　(1)全程動態包過濾 本防火墻要在Linux下實現全程動態包過濾功能，通過分析數據包的地址、協議、端口對任何網絡連接當前狀態進行訪問控制，從而提高系統的性能和安全性。

　　(2)提供日志審計 本防火墻配備了日志記錄系統和查詢工具，用于記錄系統管理、系統訪問及針對安全策略的網絡訪問情況。

　　(3)防火墻數據庫的備份 本防火墻制作防火墻過濾數據庫，并且管理員可以能動地對該數據庫進行設置。

　　三、基于Linux的數據包捕獲模塊結構與原理分析

　　本節就監控層數據包捕獲模塊的結構特性進行探討，并詳細論述其原理，且對實現數據包捕獲功能的程序的一些重要函數進行說明。

　　1、數據包捕獲模塊結構

　　數據包捕獲模塊用于監視和驗證網絡流量情況，它可以截取或者閱讀網絡上OSI協議模型中各個協議層次上的數據包。

　　本文所設計的數據包捕獲程序可以捕獲通過原始套接口(Socket)的原始數據包(Raw Packet)，當一個數據包到達網絡接口時，數據包捕獲程序就直接從緩存區讀取捕獲的數據包，以供數據分析和處理時調用。數據捕獲模塊的結構如圖1所示：

　　TCP/IP網絡↓

　　數據捕獲

　　網卡設置

　　獲取數據包

　　得到數據包頭信息

　　圖1 數據捕獲程序結構圖

　　2、數據包捕獲模塊原理分析

　　(1)網卡設置原理

　　在一個實際的系統中，數據的收發是由網卡來完成的，網卡接收到傳輸來的數據，網卡內的程序接收數據幀的目的MAC地址，根據計算機上的網卡驅動程序設置的接收模式判斷該不該接收，認為不該接收就丟掉不管。而對于網卡來說一般有四種接收模式：廣播模式組播模式、直接方式、混雜模式。數據包捕獲程序首先使網絡接口(網卡)處于混雜狀態，從而可截獲網絡上的內容，并且通過相應的軟件處理，可以實時分析這些數據的內容，為數據包過濾作準備。

　　(2)基本函數說明

　　本文中在Linux主機上用C語言編寫數據包捕獲程序，所編寫的程序中用到很多Linux中的預定義函數，在此節將對這些基本函數的功能和使用特點進行說明。

　　1)ioctl函數定義

　　ioctl()函數非常龐雜，它可以控制各種文件的屬性。它用于控制特殊文件的底層設備參數，這些特殊文件通常是指終端、套接字和接口。ioctl函數原型為：

　　int ioctl(int handle，int cmd[，int *argdx，int argcx]);

　　2)socket函數定義

　　常用的Socket類型有兩種：流式Socket(SOCK_STREAM)和數據包式Socket (SOCK_DGRAM)。流式是一種面向連接的Socket，針對面向連接的TCP服務應用;數據報式Socket是一種無連接的Socket，針對無連接的UDP服務應用。Socket函數原型為：

　　int socket(int domain， int type，int protocol);

　　3)recvfrom()函數定義

　　用recvfrom()函數來實現接收數據包，recvfrom()是具備“阻塞式I/O”特性的函數，能夠在沒有數據包到達的情況下暫時掛起等待，直至接收到數據包后，再激活轉入下一步處理。recvfrom()函數的原型為：

　　int recvfrom(SOCKET s，char FAR *buf，int len，int flags，struct sockaddr FAR *from，int *fromlen);

　　本函數從已連接套接口上接收數據，并捕獲數據發送源的地址。對于SOCK_STREAM類型的套接口，最多可以接收緩沖區大小個數據。如果套接口被設置為線內接收帶外數據(選項為 SO_OOBINLINE)，且有帶外數據未讀入，則返回帶外數據。應用程序可通過調用ioctlsocket()的SOCATMARK命令來確定是否有帶外數據待讀入。對于SOCK_STREAM類型套接口，忽略from和fromlen參數。

　　4)一些“字節順序”轉換函數

　　因為網絡和主機采用的存儲字節時內存順序安排方式的差異，就存在“字節順序”的問題。在網絡環境下存儲時，高位字節存放在內存的起始位置，而低字節則存放在較高的位置。主機形式的存放順序恰好相反，低位字節存放在內存的起始位置。這就需要以下相應的字節順序轉換函數：

　　inet_ntoa()：將32位的網絡二進制數值轉換為可讀十進制形式的帶點分割符的IP地址。

　　inet_addr()：將帶有分割符的IP地址轉換為32位的unsigned long的格式。

　　ntohs()：將網絡字節順序轉換為32位的主機字節順序。

　　ntohl()：將網絡字節順序轉換成16位的主機字節順序。

　　htonl()：將32位u_long的值由主機字節順序轉換為網絡字節順序。

　　htons()：將16位u_long的值由主機字節順序轉換為網絡字節順序。

　　本文設計的數據捕獲程序需要使用SOCK_PACKET設備，SOCK_PACKET只在基于Linux的操作系統中有效定義。為此，美國洛侖茲伯克利國家實驗室編寫了專用于數據包截獲的API函數庫“Libpcap”。該函數的設計目標是統一不同系統上所提供的用于數據包截獲的不同類型接口，并使得類似的高層應用程序的編寫和移植變得簡單有效，不再需要對每一個應用都使用不同的依賴于具體系統的數據包截獲模塊。

　　四、基于Linux的數據包捕獲模塊設計實現

　　1、 數據包捕獲模塊設計流程圖

　　在數據包捕獲程序中，通過設置網卡工作于混雜狀態，對網絡鏈路進行監聽并收集數據包，從而獲得數據包頭信息。其流程圖如圖2所示：

　　啟動SOCKET函數

　　設置網卡為混雜模式

　　從緩沖區接收數據

　　數據包格式檢查并顯示

　　數據處理模塊

　　圖2 數據包捕獲模塊流程圖

　　2、數據包捕獲模塊實現

　　該數據包捕獲程序用C語言來編寫，程序中用到很多Linux網絡編程中的函數。

　　(1)設置網絡接口為混雜模式

　　網絡接口的混雜模式使得一個網絡接口設備從只能讀取目標地址為6字節MAC地址的數據包，變為可讀取網絡廣播媒體中的所有數據包。該部分通過兩次ioctl函數調用實現：

　　ioctl(sock， SIOCGIFFLAGS， &ifr)

　　ifr.ifr_flags |= IFF_PROMISC

　　ioctl(sock， SIOCGIFFLAGS， &ifr)

　　第一次的ioctl函數調用，用來截獲ifr(struct ifreq)結構中所含接口名稱所指接口的標記。第一個參數是打開的原始套接字描述符“sock”，第二個參數是所要執行的請求操作。第三個參數是接口請求數據結構的地址指針，該結構中包含了所以進行請求操作的接口名稱值。

　　我們通過將混合標記(IFF_PROMISC)應用到接口請求結構的標記位變量中來改變接口標記位。操作符“|=”將混合標記符與原有的接口標記進行 “或”操作來設置新的接口標記。獲得新的接口標記后，將其設置到實際接口中。第二次的ioctl調用，將接口設備設置為混合模式。正如第一個ioctl調用是獲得網絡接口的標記，這次調用是設置ifr結構中修改過的新標記寫到物理接口上。

　　(2)打開Socket設備

　　用socket函數來打開Socket設備。

　　sock = socket(AF_PACKET， SOCK_RAW， htons(ETH_P_ALL))

　　domain域使用AF_PACKET，能夠既接收鏈路層也接收網絡層的數據包。

　　(3)接收數據

　　使用recvfrom()函數來實現接收數據包：

　　recvfrom(sock，(char *)buf，sizeof(buf)， 0， (struct sockaddr *)&addr，&len)

　　這是從打開的網絡插座Socket讀取數據包的地方，但要注意，addr結構有一個強制類型轉換，以適應recvfrom()函數的語法要求，recvfrom()函數在成功讀取的情況下返回讀取的字節數，否則返回-1。

　　(4)判斷包頭指針

　　該數據包捕獲模塊可以接收到的數據包都是原始數據包，它們的格式一般先是以太網數據幀的頭部，接著是ARP或者IP數據包的頭部。IP數據包后緊跟著 TCP或UDP、ICMP的頭部，最后才是真正要傳輸的數據。于是，在拆分IP數據包時，先提取以太網數據幀的頭部，再提取IP數據包的頭部，然后分析 TCP或UDP、ICMP數據包的頭部。最后，從數據包提取出需要的數據。

　　3、程序中用到的一些結構體解析

　　(1)sockadd_in結構體

　　在網絡中第一個被創造的結構類型是sockaddr。這個數據結構是為許多類型的套接口儲存地址信息。它的定義如下：

　　struct sockaddr{

　　unsigned shortsa_family; /*這個是地址族，通常是AF-xxxx的形式*/

　　charsa_data[14]; /*14字節的地址信息*/};

　　(2)ethhdr結構體

　　以下是相應數據結構：

　　struct ethhdr　{

　　unsigned char h_dest[ETH_ALEN];/*48位的目標地址的網卡物理地址*/

　　unsigned char h_source[ETH_ALEN];/*48位的源地址的物理網卡地址*/

　　unsigned short h_proto;/*16位的以太網協議*/}

　　(3)iphdr結構體

　　這是Linux 的ip協議報頭，針對版本的不同它可以有不同的定義，我們國內一般用BIG的定義，其中version 是ip的版本，protocol是ip的協議分類，saddr是32位的源ip地址，daddr是32位的目標ip地址。

　　(4)tcphdr結構體

　　這是Linux 下tcp協議的一部分，與ip協議相同取BIG，其中source是源端口，dest 是目的端口，seq是s序，ack_seq是a序號，其余的是tcp的連接標志其中包括6個標志：syn表示連接請求，urg 表示緊急信息，fin表示連接結束，ack表示連接應答，psh表示推棧標志，rst表示中斷連接。window是表示接受數據窗口大小，check是校驗碼，urg ptr是緊急指針。

　　(5)udphdr結構體

　　這是Linux下ip協議中udp協議的一部分，以下是相應數據結構：

　　struct udphdr{

　　u_int16_t source;/* 源端口*/

　　u_int16_t dest;/* 目的端口*/

　　u_int16_t len;/* udp 長度*/

　　u_int16_t check;/*校驗碼*/}

　　本文設計的是一個基于Linux主機的包過濾型個人防火墻，它實現的功能和現今市場上流行的防火墻有巨大差距。隨著技術的不斷發展，防火墻也處于不斷的變化之中。防火墻技術經歷了包過濾、應用代理網關再到狀態檢測三個階段。其中狀態檢測是比較先進的防火墻技術，它摒棄了包過濾防火墻僅考查數據包的 IP 地址等幾個參數，而不關心數據包連接狀態變化的缺點，在防火墻的核心部分建立狀態連接表，并將進出網絡的數據當成一個個的會話，利用狀態表跟蹤每一個會話狀態。狀態檢測技術在大力提高安全防范能力的同時也改進了流量處理速度。狀態監測技術采用了一系列優化技術，使防火墻性能大幅度提升，能應用在各類網絡環境中，尤其是在一些規則復雜的大型網絡上。深度包檢測技術將為防火墻的發展提升到一個新的階段。該技術對數據包頭或有效載荷所封裝的內容進行分析，從而引導、過濾和記錄基于IP的應用程序和Web服務通信流量，其工作并不受協議種類和應用程序類型的限制。采用深度包檢測技術，企業網絡可以獲得性能上的大幅度提升而無需購買昂貴的服務器或是其他安全產品。

文章作者：馬麗麗