輕量級Liunx防火墻研究與設計-流量控制、數據包更改

本科畢業(yè)設計題目：輕量級Linux防火墻研究與設計 ——流量控制、數據包更改輕量級Linux防火墻研究與設計——流量控制、數據包更改摘要：隨著計算機和互聯網技術的快速發(fā)展以及在各種各樣的應用領域中的迅速普及，而人類對計算機和互聯網的依賴程度也越來越高，因此增強計算機系統以及互聯網絡的安全性能也就變得越來越重要。防火墻作為當今互聯網絡中使用的最多，也是最廣泛的安全措施之一，伴隨著互聯網的快速發(fā)展而得到了廣泛的應用，同時也被實踐證明是至今為數不多的成功的網絡安全應用實例。另一方面，Linux作為目前唯一在全球范圍內得到廣泛接受和應用的開源操作系統，所提供的靈活性和可操作性為開發(fā)和配置防火墻以及按照特定網絡環(huán)境的要求構建防火墻提供了一個價格低廉、性能優(yōu)良的平臺，日益獲得了眾多企業(yè)和個人用戶的廣泛接受。本防火墻在Linux操作系統中使用Nelfiter和QT編程軟件而構建成的軟件。旨在實現完善的網絡安全功能并對其進行有效管理的方法，如數據包轉發(fā)、數據包過濾、網絡監(jiān)控等。關鍵詞：網絡安全；Linux；防火墻；Nelfilter；QTThelightweightLinuxfirewallresearchanddesign——Flowcontrol、DatapackagechangeAbstract:WiththerapiddevelopmentofcomputerandInternettechnology,andawidevarietyofapplicationsintherapidlygrowingpopularityofthehumanrelianceoncomputersandtheInternetmoreandmore,thusenhancingthesafetyperformanceofthecomputersystemandtheInternetwillbecomeincreasinglyimportant.

Mostfirewallastoday'sInternet,oneofthemostextensivesecuritymeasures,alongwiththerapiddevelopmentoftheInternethasbeenwidelyused,alsobeenprovedtobeoneofthefewsofarsuccessfulnetworksecurityapplicationsinstance.Ontheotherhand,Linuxonaglobalscaleascurrentlytheonlywidelyacceptedopensourceoperatingsystemandapplications,provideflexibilityandmaneuverabilityforthedevelopmentanddeploymentoffirewallsandfirewallconstructedinaccordancewiththerequirementsofthespecificnetworkenvironmentwithanaffordable,theexcellentperformanceoftheplatform,gainingwideacceptanceofmanyenterprisesandindividualusers[1].

ThefirewallintheLinuxoperatingsystemusingtheNelfiterandQTprogrammingsoftwarebuiltintothesoftware.Anditseffectivemanagementmethodsaimedatachievingacomprehensivenetworksecurityfeatures,suchaspacketforwarding,packetfiltering,networkmonitoring,andsoon.

Keywords:networksecurity;Linux;firewall;Nelfilter;QT目錄一、系統分析 1（一）、可行性分析 11、技術可行性分析 12、操作可行性分析 13、經濟可行性分析 1（二）、系統處理流程 1（三）、系統數據流程 2二、需求分析 8（一）、系統需求規(guī)定 81、對功能的規(guī)定 82、對性能的規(guī)定 113、其他的專門要求 12（二）、系統運行環(huán)境的規(guī)定 121、硬件及其他設備 122、支持軟件 133、語言版本 134、顯示參數 13三、概要設計 14（一）、系統數據結構設計 141、數據的邏輯描述 14四、詳細設計 18（一）、程序系統的結構 181、系統模塊層次結構 18(二)、程序模塊設計說明 191、流量控制模塊 192、幫助模塊 213、系統信息模塊 224、流量監(jiān)測模塊 245、用戶設置模塊 25五、系統測試 28（一）、測試計劃 28（二）、測試結果及發(fā)現 28總結 32參考文獻 33致謝 34=1\*CHINESENUM3一、系統分析（一）、可行性分析1、技術可行性分析 本防火墻[1]是在Linux[5][6]操作系統上進行開發(fā)完成的軟件，全部分為用戶交互程序、后臺進程、服務器進程、內核[4][6]模塊4大模塊。對于用戶交互程序的開發(fā)主要是使用QT[4]程序編程軟件，QT程序編程軟件中的界面設計已經可以很好的完成用戶交互程序的大部分功能；服務器進程實現了網頁跳轉功能；而其他的三個模塊使用Nelfilter以及Linux操作系統自帶的iptables兩者進行就可以進行編寫和實現了。因此，本防火墻在技術方面是可行的。2、操作可行性分析 本防火墻對于用戶而言，最重要的一個部分就是用戶交互程序了，其他的幾個模塊都是對用戶透明的。而本防火墻的用戶交互界面非常的簡潔明了，而且還有用戶幫助功能，里面有幫助文檔，根據幫助文檔用戶就可以很快的熟悉本軟件了。3、經濟可行性分析 成本：本防火墻是使用QT程序編程軟件結合Nelfilter在Linux操作系統上進行開發(fā)的，Linux操作系統是開源的操作系統，而QT程序編程軟件是免費的軟件，使用的服務器是自己的電腦，所以本防火墻的開發(fā)成本較低。 效益：本防火墻是屬于輕量級的，技術和功能還只是初級的，而且還不夠完善，因此目前還未考慮效益問題。（二）、系統處理流程 本Linux防火墻軟件可以分為：用戶交互程序、后臺進程、服務器進程、內核模塊等4大模塊，而網卡是主機設備中的已有接口，是內核進程自主調用以及運行的設備。其他工具分為了防護、斷網、日志、更新等4種，具體的系統基本流程如下圖：圖1.1防火墻系統基本流程圖Fig1.1FigureofFirewallSystemflowchar（三）、系統數據流程 頂層的數據流圖主要是描述了所經過防火墻的主要數據流，展示了主機硬件設備對防火墻的操作和與其他的外部硬件設備進行交流時的數據流動，如下圖1.2所示。圖1.2防火墻的頂層DFD圖Fig1.2FigureofFirewalltoplayerDFD 接下來的就是第二層數據流圖了，它展示了用戶在防火墻中所做的相關操作，具體如下圖1.3所示。圖1.3防火墻第二層DFD圖Fig1.3FigureoffirewallsecondlayerDFD 第二層的數據流圖描述了用戶通過防火墻的用戶交互界面來進行對防火墻的操作。用戶通過用戶交互界面可以進行防護和網絡連接操作，前者可以決定是開啟防護還是關閉防護，后者可以決定是斷開還是不斷開網絡；在用戶交互界面可以直接看到當前設備的安全狀態(tài)、活動進程、系統信息，也可以查看日志和關于防火墻操作方法的用戶幫助文檔；另外在操作功能中的規(guī)則策略之中，用戶可以自主的添加或刪除自己想要或不想要的規(guī)則；最后在安全咨詢那里可以鏈接到服務器主頁。 第三層的數據流圖是防火墻的子數據流圖，有多個。下面的是用戶主機設備跟外部設備進行通信時的數據流圖，如下圖1.4所示。圖1.4第三層DFD圖——流量控制Fig1.4FigureofthirdlayerDFD-flowcontrol 幫助文檔信息數據流圖描述了用戶通過用戶交互界面查看以往日志記錄和防火墻使用幫助文檔，具體數據流圖如下圖1.5所示。圖1.5第三層DFD圖——幫助文檔信息Fig1.5FigureofthirdlayerDFD-helpdocumentation 系統基本信息顯示數據流圖描述了防火墻在運行后，主動獲取當前系統的一些基本信息然后顯示在用戶交互界面當中，以方便用戶進行查看，如當前系統所有運行的進程信息和進程數、通過網絡接口的總流量以及當前系統的安全狀態(tài)設置等，具體的數據流圖如下圖1.6所示。圖1.6第三層DFD圖——系統基本信息顯示Fig1.6FigureofthirdlayerDFD-Basicinformationdisplaysystem 流量監(jiān)測是將通過網卡的數據包進行檢測分類，全部分為兩類：流入的數據包和傳出的數據包，根據流入的數據包的數量可以體現為接收速度；而傳送出去的數據包的數量可以體現為發(fā)送速度。這兩者合起來就是總流量了。具體的請看下圖1.7所示。圖1.7第三層DFD圖——流量監(jiān)測Fig1.7FigureofthirdlayerDFD-flowmonitor數據包更改就是將應用層發(fā)送出去的數據包修改其里面的信息。如下圖1.8圖。圖1.8第三層DFD圖——數據包更改Fig1.8FigureofthirdlayerDFD-Datapackagechange=2\*CHINESENUM3二、需求分析（一）、系統需求規(guī)定1、對功能的規(guī)定 通過對本防火墻的分析，本防火墻主要的功能分為4大模塊：用戶交互程序、后臺進程、服務器進程和內核模塊。用戶交互程序用戶交互程序主要是為了讓用戶有一個清晰、簡潔的界面來操作防火墻，本模塊只要有防護設置、斷網設置、規(guī)則操作、用戶幫助、安全咨詢、系統信息顯示、安全狀態(tài)設置、日志、設置等功能；后臺進程后臺進程主要的功能是將防火墻檢測到的一些非法的IP信息保存到系統緩存中，防火墻會讀取該緩存中信息來攔截所有包含有這些非法信息的IP數據包，會直接將這些數據丟棄掉；服務器進程服務器進程的功能顯示服務器主頁，用戶可以通過用戶交互界面中的安全咨詢進行鏈接，服務器會將主頁發(fā)送并顯示在用戶交互界面；內核模塊內核模塊對用戶來說透明的，它的功能有流量控制、數據包過濾、數據包攔截、通信、產生PROC文件。本系統的最頂層的矩形框代表防火墻的主控模塊，調用下層模塊以完成全部的基本功能；第二層的每個模塊控制完成防火墻的一個主要功能，如此實現自頂向下逐步求精，本防火墻的功能總圖如圖2.1所示：圖2.1防火墻功能總圖Fig2.1figureoffirewallfeaturesGeneralPlan 防火墻的功能總圖說明了防火墻的模塊組成及其功能層次結構，下面使用IPO表來說明模塊間的信息傳遞及模塊內部的處理。表2.1用戶幫助的IPO表Tab2.1IPOofuserhelp系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：用戶幫助日期：2013-5-1模塊編號：3.4上層調用模塊：用戶交互程序下層被調用的模塊：無輸入數據：無輸出數據：用戶幫助文檔處理：將用戶幫助文檔顯示到用戶交互界面表2.2數據包更改的IOP表Tab2.2IPOofSafetyAdvisory系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：數據包更改日期：2013-5-1模塊編號：2.3上層調用模塊：內核模塊下層被調用的模塊：無輸入數據：應用層發(fā)出的數據包輸出數據：數據包處理：將應用層發(fā)出的數據包進行更改后再發(fā)送出去表2.3用戶設置的IPO表Tab2.3IPOofusersetting系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：設置日期：2013-5-1模塊編號：3.9上層調用模塊：用戶交互程序下層被調用的模塊：無輸入數據：無輸出數據：寫進規(guī)則鏈處理：將用戶設置的信息保存到內核規(guī)則鏈中表2.4流量監(jiān)測的IPO表Tab2.4IPOofaddrule系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：流量監(jiān)測日期：2013-5-1模塊編號：3.7上層調用模塊：用戶交互程序下層被調用的模塊：無輸入數據：通過網卡的數據包輸出數據：接收速度、發(fā)送速度、總流量處理：將通過網卡的數據包整合成輸出信息需要的數據表2.5修改規(guī)則的IPO表Tab2.5IPOofmodifytherule系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：修改規(guī)則日期：2113-5-1模塊編號：3.8.2上層調用模塊：規(guī)則操作下層被調用的模塊：無輸入數據：無輸出數據：用戶幫助文檔處理：將用戶幫助文檔顯示到用戶交互界面表2.6刪除規(guī)則的IPO表Tab2.6IPOofdeleterule系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：刪除規(guī)則日期：2113-5-1模塊編號：3.8.2上層調用模塊：規(guī)則操作下層被調用的模塊：無輸入數據：無輸出數據：無處理：將用戶選擇刪除的規(guī)則從內核的規(guī)則鏈中刪除表2.7系統信息的IPO表Tab2.7IPOofTotalflow系統名稱：輕量級Linux防火墻——流量控制、數據包更改模塊名：總流量日期：2113-5-1模塊編號：3.7上層調用模塊：用戶交互程序下層被調用的模塊：無輸入數據：無輸出數據：數據包總數處理：把通過網卡的數據包整合成流量顯示到用戶交互界面2、對性能的規(guī)定（1）靈活性 本防火墻是在Linux操作系統下開發(fā)出來的軟件，所以本軟件能在任何版本的Linux操作系統中運行，不會因為系統的環(huán)境發(fā)生改變而無法運行。唯一跟防火墻比較密切相關的接口就是網卡了，但是不會因為網卡的改變而使得防火墻崩潰或者是出現錯誤。【你可以有求必硬嗎】隔壁老王都是怎么來的如果你真的雄風依舊她又怎會另謀高就做真正男人就要有求必硬老中醫(yī)魏亻言:msdf003，讓你有求必硬3、其他的專門要求（1）軟件并行處理能力 本防火墻軟件能夠支持多模塊同時運行，而且一般情況下就有兩個模塊或者兩個以上處于同時運行中，比如內核模塊和后臺進程是防火墻開始運行時就已經同時運行了，只有在防火墻停止運行時而停止運行。（2）軟件可靠性 防火墻的可靠性體現在了過濾規(guī)則上，本防火墻的規(guī)則鏈可以過濾或者攔截通過TCP協議、UDP協議或ICMP協議發(fā)送過來的數據包。（3）對使用方便的要求 本防火墻擁有一個清晰、簡潔的用戶交互界面，可以大大方便用戶進行操作，而且還包含了使用幫助文檔。（4）軟件適應性本軟件兼容各種版本的Linux操作系統。（5）軟件安全性本軟件擁有可靠的安全措施，對系統的防護性高。（二）、系統運行環(huán)境的規(guī)定1、硬件及其他設備 為了保證防火墻運行的高效性和可靠性，客戶端應具有一定的軟硬件配置，而服務器只提供主頁鏈接，因此對服務器的要求不是很高。 服務器端配置要求：有上網功能的計算機就行，提供一個連接主頁的鏈接?？蛻舳伺渲靡螅?.0GHz以上雙核CPU，1GB以上物理內存，40GBSATA接口硬盤；集成的千兆以太網卡；操作系統：最好是內核在3.5.2以上版本的Linux操作系統就可以了。2、支持軟件 操作系統：Linux（最好是內核在3.5.2以上的版本） 開發(fā)語言：C語言[3][7]和C++ 編程軟件：版本是4.7.2或以上的QT3、語言版本 簡體中文版4、顯示參數 分辨率：1024×768；色彩：256色以上=3\*CHINESENUM3三、概要設計（一）、系統數據結構設計1、數據的邏輯描述 對于本防火墻中編程人員新建的部分數據元素[7]描述如下：函數或結構名數據元素名數據類型數據描述netlink_informationseqint序列號addr_schar[20]源地址port_sint源端口addr_dchar[20]目的地址port_dint目的端口stchar[8]連接狀態(tài)nettypesnettype鏈接協議nettypeUDP0UDP協議TCP1TCP協議NR_LINK2未知的協議sock_inode_pid_pathinode_t__ino_t[]結點數組nr_sockint打開的socket數cmd_tchar[256]命令路徑pidint進程的pid值chain_nodefw_iotypetypeio出站還是進站chain_node_tlist_head規(guī)則鏈鏈表結點destuint16_t目的端口號protocol__u8協議類型levellevels安全級別typeioFW_OUT0出站FW_IN1進站FW_IOTYPE2未知levelsSAFE0安全DANGER1不安全OPTION2安全級別由防火墻決定LEVELNUM3安全級別fw_chain_listchain_listlist_head鏈表頭，組成規(guī)則鏈chain_lockrwlock_t讀寫鎖isallowchangedateint是否允許更改數據包list_lenint規(guī)則鏈條數fw_icmp_matchicmp_mach_type__u8icmp包類型filterbool是否過濾這種icmp類型的數據包itoanumint參數pidchar參數，進程pidMAX_PATH1024路徑的最大長度MAX_SOCKET_NR1024最大的socket數MAX_PID32768最大的pid值MAX_CMD32命令的最大長度IPPROTO_ICMP11ICMP協議IPPROTO_IGMP12IGMP協議IPPROTO_TCP16TCP協議IPPROTO_EGP18EGP協議IPPROTO_PUP112PUP協議IPPROTO_UDP117UDP協議IPPROTO_IDP122IDP協議IPPROTO_DCCP133DCCP協議IPPROTO_RSVP146RSVP協議圖3.1總的數據元素Fig3.1Figureoftotaldataelement(1)、靜態(tài)數據數據元素名數據類型數據描述UDP0UDP協議TCP1TCP協議NR_LINK2未知的協議FW_OUT0出站FW_IN1進站FW_IOTYPE2未知SAFE0安全DANGER1不安全OPTION2安全級別由防火墻決定LEVELNUM3安全級別MAX_PATH1024路徑的最大長度MAX_SOCKET_NR1024最大的socket數MAX_PID32768最大的pid值MAX_CMD32命令的最大長度IPPROTO_IP10IPPROTO_ICMP11ICMP協議IPPROTO_IGMP12IGMP協議IPPROTO_TCP16TCP協議IPPROTO_EGP18EGP協議IPPROTO_PUP112PUP協議IPPROTO_UDP117UDP協議IPPROTO_IDP122IDP協議IPPROTO_DCCP133DCCP協議IPPROTO_RSVP146RSVP協議IPPROTO_GRE147GRE協議圖3.2靜態(tài)數據Fig3.1Figureofstaticdataelement（2）、動態(tài)輸入數據數據元素名數據類型數據描述seqint序列號addr_schar[20]源地址port_sint源端口addr_dchar[20]目的地址port_dint目的端口stchar[8]連接狀態(tài)nettypesnettype鏈接協議fw_iotypetypeio出站還是進站chain_node_tlist_head規(guī)則鏈鏈表結點destuint16_t目的端口號protocol__u8協議類型levellevels安全級別通過網卡流入的數據包sk_buff圖3.3動態(tài)輸入數據Fig3.1Figureoftrendsinputdata（3）、動態(tài)輸出數據 動態(tài)輸出的數據有兩種：一是發(fā)送出去的數據包；二是產生proc文件、規(guī)則鏈文件、用戶設置文件、日志文件和配置文件。（4）、內部生成數據 內部生成的數據就是產生proc文件、規(guī)則鏈文件、用戶設置文件、日志文件和配置文件。（5）、數據約定 必須進行數據約定的數據元素有以下這些：端口號，數據類型為int，值域為0~65535，超過范圍發(fā)出錯誤信息；進程pid，數據類型為int，值域為0~32768，超過范圍發(fā)出錯誤信息；IP地址，數據類型為char*,值域為0.0.0.0~255.255.255.255，超過范圍發(fā)出錯誤信息；連接的socket數，數據類型為int，值域為0~1024，超過范圍連接無效并發(fā)出錯誤信息；四、詳細設計（一）、程序系統的結構1、系統模塊層次結構 根據前面軟件需求的分析，將本防火墻分成4大模塊：內核模塊、用戶交互程序、后臺進程和服務器，每個模塊名稱及其程序層次結構如下表4.1所示。表4.1程序層次結構表Tab4.1tableofprocesshierarchystructure模塊名稱程序層次結構內核模塊圖4.1用戶交互程序模塊圖4.2、圖4.3（1）、內核模塊圖4.1內核模塊層次結構圖Fig4.1FigureofKernelmoduleHierarchicalStructure(2)、用戶交互程序模塊圖4.2用戶交互程序模塊層次結構圖Fig4.2FigureofUserinteractionprogrammodulesHierarchicalStructure(二)、程序模塊設計說明1、流量控制模塊（1）、模塊描述 主機在與外部設置進行通信時，防火墻需要對雙方通信中傳遞的數據進行控制和檢測，只有合法正確的數據才會接收以及發(fā)送，而不合法的數據會直接丟棄掉。（2）、模塊功能圖4.3流量控制模塊IPO圖Fig4.3IPOofFlowcontrolmodule（3）、模塊輸入項表4.2模塊輸入項Tab4.2tableofModuleinput輸入項名稱標識類型格式有效范圍輸入方式數據來源數據包skbsk_buffIP數據報20-65535被動輸入外部設備數據包skbsk_buffIP數據報20-65535被動輸入應用層（4）、模塊輸出項表4.3模塊輸出項Tab4.3tableofModuleoutput輸出項名稱標識類型格式有效范圍輸出方式數據來源數據包skbsk_buffIP數據報20-65535主動輸出應用層數據包skbsk_buffIP數據報20-65535主動輸出外部設備（5）、模塊流程邏輯圖4.4流量控制流程圖Fig4.4FigureofFlowcontrolflowchart（6）、模塊接口表4.4模塊接口Tab4.4tableofModuleinterface上層模塊內核模塊下層模塊無2、幫助模塊（1）、模塊描述 用戶在運行防火墻后，如果是對防火墻的操作感到有些不了解的話，就可以查看用戶幫助文檔了，幫助文檔里的內容就是對防火墻操作方法的說明。（2）、模塊功能圖4.5幫助模塊IPO圖Fig4.5IPOofhelpmodule（3）、模塊輸入項表4.5幫助模塊輸入項Tab4.5tableofhelpmoduleinput輸入項名稱標識類型格式有效范圍輸入方式數據來源鼠標點擊事件流eventQMouseEvent——鼠標左鍵手動點擊鼠標點擊（4）、模塊輸出項表4.6幫助模塊輸出項Tab4.6tableofhelpmoduleoutput輸出項名稱標識類型格式有效范圍輸出方式數據來源幫助文檔——圖片————自動輸出幫助文檔（5）、模塊流程邏輯圖4.6幫助模塊流程圖Fig4.6FigureofHelpmoduleflowchart（6）模塊接口表4.7幫助模塊接口Tab4.7tableofHelpModuleinterface上層模塊用戶交互程序模塊下層模塊無3、系統信息模塊（1）、模塊描述 系統信息顯示的是當前系統處于活動狀態(tài)的進程信息。（2）、模塊功能圖4.7系統信息模塊IPO圖Fig4.7IPOofsysteminformationmodule（3）模塊輸出項表4.8規(guī)則操作模塊輸出項Tab4.8tableofRuleoperationmoduleoutput輸出項名稱標識類型格式有效范圍輸出方式數據來源進程名namechar[32]——0-32字節(jié)自動輸出——本地IPs_ipchar[16]——0-16位自動輸出——本地端口號s_portint——0-65535自動輸出——遠程IPd_ipchar[16]——0-16位自動輸出——遠程端口號d_portint——0-65535自動輸出——協議名protocolchar————自動輸出——安全級別levelint————自動輸出——（4）、模塊流程邏輯圖4.8系統信息流程圖Fig4.8FigureofSysteminformation（5）、模塊接口表4.9系統信息模塊接口Tab4.9tableofRuleoperationModuleinterface上層模塊用戶交互程序模塊下層模塊無4、流量監(jiān)測模塊（1）、模塊描述 在用戶交互界面的最下面有一個面板顯示通過網卡時的流量速度，以及總量，這可以方便用戶知道自己使用的流量是多少。（2）、模塊功能圖4.9流量監(jiān)測模塊的IPO圖Fig4.9IPOofflowmonitormodule（3）、模塊輸出項表4.10流量監(jiān)測模塊輸出項Tab4.10tableofFlowmonitormoduleoutput輸出項名稱標識類型格式有效范圍輸出方式數據來源接收速度newtratelong——32位內核輸出網卡發(fā)送速度newrratelong——32位內核輸出網卡總流量totleStreamlong——32位內核輸出網卡（4）、模塊流程邏輯圖4.10流量監(jiān)測模塊流程圖Fig4.10FigureofFlowmonitorflowchart（5）模塊接口表4.11流量監(jiān)測模塊接口Tab4.11tableofFlowmonitormoduleinterface上層模塊用戶交互程序模塊下層模塊無5、用戶設置模塊（1）、模塊描述 本模塊是給用戶設置防火墻所用，里面有多種設置項，這里就不多說了。（2）、模塊功能圖4.11用戶設置模塊IPO圖Fig4.11IPOofusersettingmodule（3）模塊流程邏輯圖4.12用戶設置流程圖Fi