3 嵌入式IPv6防火墻的軟件設計

　　嵌入式IPv6 防火墻系統的軟件編寫采用了模塊化程序設計的方法。模塊化編程有利于程序設計任務的劃分，使程序易于編寫和調試，便于檢驗和維護。

　　本系統將啟動代碼（Bootloader），Linux 操作系統（網卡驅動、協議棧），防火墻模塊（智能包過濾，狀態跟蹤等）和WEB管理模塊（Boa服務器）都編寫成獨立模塊。

　　系統軟件層次結構如圖2所示。

　　圖2 嵌入式IPv6防火墻軟件層次結構圖

　　第一層：啟動代碼（Bootloader）。它是芯片復位后進入操作系統之前執行的一段代碼，主要是為操作系統的啟動提供基本的運行環境，如初始化CPU、初始化存儲器系統等。本系統選用U-Boot 作為系統的Bootloader.

　　第二層：Linux 操作系統，屏蔽了對底層硬件的具體操作，為上層應用提供了豐富的支持，包括底層設備驅動，網卡驅動和網絡協議棧等。在Linux操作系統下，開發者只需關注于應用軟件編程，大大節省了系統的開發時間。

　　第三層：防火墻模塊（智能包過濾，狀態跟蹤等），該模塊是嵌入式防火墻系統的核心，其包括動態NAT 模塊：負責對進出防火墻的數據包進行地址翻譯；狀態跟蹤模塊：維護網絡的會話連接信息，協助智能包過濾模塊進行連接狀態的跟蹤，是實現狀態檢測包過濾（動態包過濾）的關鍵模塊；智能包過濾模塊：根據訪問控制表（ACL）對進出網絡的數據包進行過濾，并對過濾規則進行統計，記憶和決策，動態優化過濾規則優先級列表，實現高速高效的包過濾處理功能。

　　第四層：WEB管理模塊，以CGI語言為基礎，構建Boa服務器平臺。通過該模塊用戶可以方便地查看防火墻日志，添加或修改過濾規則，調整過濾規則的優先級，監控防火墻網絡狀態等。

　　4 防火墻核心模塊設計

　　一個防火墻能否起到較好的過濾效果關鍵在于防火墻的核心過濾模塊設計。本防火墻的核心過濾模塊整體工作流程如圖3所示。

　　圖3 嵌入式IPv6防火墻工作流程圖

　　嵌入式IPv6防火墻的工作流程：

　　（1） 當IPv6 數據包通過網絡接口進入防火墻之后，首先將經過動態NAT模塊進行網絡地址翻譯，其目的是將外部公網IP與內部私網IP相互映射。

　　（2） 在完成動態NAT 之后，防火墻會遍歷連接狀態跟蹤信息表判斷該數據包是否屬于一個已經存在連接。此連接狀態跟蹤信息表記錄著已存在連接的源IP 地址、目的IP 地址、傳輸層的源端口號、目的端口和TCP 序列號等，通過這些信息防火墻可以高效快速的識別出該數據包是否屬于一個已經存在的連接。

　　（3） 如果該數據包不屬于一個已經存在的連接，系統會調用智能數據包過濾規則集，并逐條遍歷整個規則集。與此同時防火墻會動態地建立并更新過濾規則匹配信息表，根據該信息表，系統采用統計、記憶、概率和決策的智能方法對數據進行識別，動態地優化過濾規則優先級。智能的數據識別方法，消除了匹配檢查所需要的海量計算，高效發現網絡行為的特征值，直接進行訪問控制，由于這些方法多是人工智能學科采用的方法，因此又稱為智能訪問控制技術。

　　（4） 如果該數據包通過了過濾規則集的審查，或者該數據包屬于一個已經存在的連接，防火墻會對數據包是否含有特定內容進行檢測，此時防火墻僅僅對數據包的關鍵信息進行檢測，因此大大加快了檢測的效率和速度。

　　（5） 如果該數據包未能通過狀態跟蹤安全策略，或者未能通過智能包過濾規則集，防火墻會拒絕或者丟棄該數據包，并進行日志記錄。

　　（6） 在數據包通過了上述的過濾和審查后，防火墻就會將該數據包轉發到最終的目的地址，并且防火墻會在其連接狀態跟蹤信息表中為此次會話創建或者更新一個連接信息。防火墻將會使用這個連接項對返回的數據包進行過濾。

　　5 結束語

　　本文對防火墻技術做了深入研究，設計了基于S3C2440 處理器的嵌入式IPv6 防火墻。該防火墻實現了支持IPv6 協議的狀態跟蹤與智能包過濾相結合的動態包過濾。并成功搭建了遠程WEB 管理平臺，方便地管理過濾規則、防火墻日志和網絡狀態等。隨著IPv6 網絡的逐漸推廣，包括防火墻在內的網絡設備對IPv6網絡的支持將成為必然趨勢。因此基于ARM的嵌入式IPv6防火墻的應用前景也會越來越廣闊。


?