轻量级Liunx防火墙研究与设计-流量控制、数据包更改

本科毕业设计题目：轻量级Linux防火墙研究与设计 ——流量控制、数据包更改轻量级Linux防火墙研究与设计——流量控制、数据包更改摘要：随着计算机和互联网技术的快速发展以及在各种各样的应用领域中的迅速普及，而人类对计算机和互联网的依赖程度也越来越高，因此增强计算机系统以及互联网络的安全性能也就变得越来越重要。防火墙作为当今互联网络中使用的最多，也是最广泛的安全措施之一，伴随着互联网的快速发展而得到了广泛的应用，同时也被实践证明是至今为数不多的成功的网络安全应用实例。另一方面，Linux作为目前唯一在全球范围内得到广泛接受和应用的开源操作系统，所提供的灵活性和可操作性为开发和配置防火墙以及按照特定网络环境的要求构建防火墙提供了一个价格低廉、性能优良的平台，日益获得了众多企业和个人用户的广泛接受。本防火墙在Linux操作系统中使用Nelfiter和QT编程软件而构建成的软件。旨在实现完善的网络安全功能并对其进行有效管理的方法，如数据包转发、数据包过滤、网络监控等。关键词：网络安全；Linux；防火墙；Nelfilter；QTThelightweightLinuxfirewallresearchanddesign——Flowcontrol、DatapackagechangeAbstract:WiththerapiddevelopmentofcomputerandInternettechnology,andawidevarietyofapplicationsintherapidlygrowingpopularityofthehumanrelianceoncomputersandtheInternetmoreandmore,thusenhancingthesafetyperformanceofthecomputersystemandtheInternetwillbecomeincreasinglyimportant.

Mostfirewallastoday'sInternet,oneofthemostextensivesecuritymeasures,alongwiththerapiddevelopmentoftheInternethasbeenwidelyused,alsobeenprovedtobeoneofthefewsofarsuccessfulnetworksecurityapplicationsinstance.Ontheotherhand,Linuxonaglobalscaleascurrentlytheonlywidelyacceptedopensourceoperatingsystemandapplications,provideflexibilityandmaneuverabilityforthedevelopmentanddeploymentoffirewallsandfirewallconstructedinaccordancewiththerequirementsofthespecificnetworkenvironmentwithanaffordable,theexcellentperformanceoftheplatform,gainingwideacceptanceofmanyenterprisesandindividualusers[1].

ThefirewallintheLinuxoperatingsystemusingtheNelfiterandQTprogrammingsoftwarebuiltintothesoftware.Anditseffectivemanagementmethodsaimedatachievingacomprehensivenetworksecurityfeatures,suchaspacketforwarding,packetfiltering,networkmonitoring,andsoon.

Keywords:networksecurity;Linux;firewall;Nelfilter;QT目录一、系统分析 1（一）、可行性分析 11、技术可行性分析 12、操作可行性分析 13、经济可行性分析 1（二）、系统处理流程 1（三）、系统数据流程 2二、需求分析 8（一）、系统需求规定 81、对功能的规定 82、对性能的规定 113、其他的专门要求 12（二）、系统运行环境的规定 121、硬件及其他设备 122、支持软件 133、语言版本 134、显示参数 13三、概要设计 14（一）、系统数据结构设计 141、数据的逻辑描述 14四、详细设计 18（一）、程序系统的结构 181、系统模块层次结构 18(二)、程序模块设计说明 191、流量控制模块 192、帮助模块 213、系统信息模块 224、流量监测模块 245、用户设置模块 25五、系统测试 28（一）、测试计划 28（二）、测试结果及发现 28总结 32参考文献 33致谢 34=1\*CHINESENUM3一、系统分析（一）、可行性分析1、技术可行性分析 本防火墙[1]是在Linux[5][6]操作系统上进行开发完成的软件，全部分为用户交互程序、后台进程、服务器进程、内核[4][6]模块4大模块。对于用户交互程序的开发主要是使用QT[4]程序编程软件，QT程序编程软件中的界面设计已经可以很好的完成用户交互程序的大部分功能；服务器进程实现了网页跳转功能；而其他的三个模块使用Nelfilter以及Linux操作系统自带的iptables两者进行就可以进行编写和实现了。因此，本防火墙在技术方面是可行的。2、操作可行性分析 本防火墙对于用户而言，最重要的一个部分就是用户交互程序了，其他的几个模块都是对用户透明的。而本防火墙的用户交互界面非常的简洁明了，而且还有用户帮助功能，里面有帮助文档，根据帮助文档用户就可以很快的熟悉本软件了。3、经济可行性分析 成本：本防火墙是使用QT程序编程软件结合Nelfilter在Linux操作系统上进行开发的，Linux操作系统是开源的操作系统，而QT程序编程软件是免费的软件，使用的服务器是自己的电脑，所以本防火墙的开发成本较低。 效益：本防火墙是属于轻量级的，技术和功能还只是初级的，而且还不够完善，因此目前还未考虑效益问题。（二）、系统处理流程 本Linux防火墙软件可以分为：用户交互程序、后台进程、服务器进程、内核模块等4大模块，而网卡是主机设备中的已有接口，是内核进程自主调用以及运行的设备。其他工具分为了防护、断网、日志、更新等4种，具体的系统基本流程如下图：图1.1防火墙系统基本流程图Fig1.1FigureofFirewallSystemflowchar（三）、系统数据流程 顶层的数据流图主要是描述了所经过防火墙的主要数据流，展示了主机硬件设备对防火墙的操作和与其他的外部硬件设备进行交流时的数据流动，如下图1.2所示。图1.2防火墙的顶层DFD图Fig1.2FigureofFirewalltoplayerDFD 接下来的就是第二层数据流图了，它展示了用户在防火墙中所做的相关操作，具体如下图1.3所示。图1.3防火墙第二层DFD图Fig1.3FigureoffirewallsecondlayerDFD 第二层的数据流图描述了用户通过防火墙的用户交互界面来进行对防火墙的操作。用户通过用户交互界面可以进行防护和网络连接操作，前者可以决定是开启防护还是关闭防护，后者可以决定是断开还是不断开网络；在用户交互界面可以直接看到当前设备的安全状态、活动进程、系统信息，也可以查看日志和关于防火墙操作方法的用户帮助文档；另外在操作功能中的规则策略之中，用户可以自主的添加或删除自己想要或不想要的规则；最后在安全咨询那里可以链接到服务器主页。 第三层的数据流图是防火墙的子数据流图，有多个。下面的是用户主机设备跟外部设备进行通信时的数据流图，如下图1.4所示。图1.4第三层DFD图——流量控制Fig1.4FigureofthirdlayerDFD-flowcontrol 帮助文档信息数据流图描述了用户通过用户交互界面查看以往日志记录和防火墙使用帮助文档，具体数据流图如下图1.5所示。图1.5第三层DFD图——帮助文档信息Fig1.5FigureofthirdlayerDFD-helpdocumentation 系统基本信息显示数据流图描述了防火墙在运行后，主动获取当前系统的一些基本信息然后显示在用户交互界面当中，以方便用户进行查看，如当前系统所有运行的进程信息和进程数、通过网络接口的总流量以及当前系统的安全状态设置等，具体的数据流图如下图1.6所示。图1.6第三层DFD图——系统基本信息显示Fig1.6FigureofthirdlayerDFD-Basicinformationdisplaysystem 流量监测是将通过网卡的数据包进行检测分类，全部分为两类：流入的数据包和传出的数据包，根据流入的数据包的数量可以体现为接收速度；而传送出去的数据包的数量可以体现为发送速度。这两者合起来就是总流量了。具体的请看下图1.7所示。图1.7第三层DFD图——流量监测Fig1.7FigureofthirdlayerDFD-flowmonitor数据包更改就是将应用层发送出去的数据包修改其里面的信息。如下图1.8图。图1.8第三层DFD图——数据包更改Fig1.8FigureofthirdlayerDFD-Datapackagechange=2\*CHINESENUM3二、需求分析（一）、系统需求规定1、对功能的规定 通过对本防火墙的分析，本防火墙主要的功能分为4大模块：用户交互程序、后台进程、服务器进程和内核模块。用户交互程序用户交互程序主要是为了让用户有一个清晰、简洁的界面来操作防火墙，本模块只要有防护设置、断网设置、规则操作、用户帮助、安全咨询、系统信息显示、安全状态设置、日志、设置等功能；后台进程后台进程主要的功能是将防火墙检测到的一些非法的IP信息保存到系统缓存中，防火墙会读取该缓存中信息来拦截所有包含有这些非法信息的IP数据包，会直接将这些数据丢弃掉；服务器进程服务器进程的功能显示服务器主页，用户可以通过用户交互界面中的安全咨询进行链接，服务器会将主页发送并显示在用户交互界面；内核模块内核模块对用户来说透明的，它的功能有流量控制、数据包过滤、数据包拦截、通信、产生PROC文件。本系统的最顶层的矩形框代表防火墙的主控模块，调用下层模块以完成全部的基本功能；第二层的每个模块控制完成防火墙的一个主要功能，如此实现自顶向下逐步求精，本防火墙的功能总图如图2.1所示：图2.1防火墙功能总图Fig2.1figureoffirewallfeaturesGeneralPlan 防火墙的功能总图说明了防火墙的模块组成及其功能层次结构，下面使用IPO表来说明模块间的信息传递及模块内部的处理。表2.1用户帮助的IPO表Tab2.1IPOofuserhelp系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：用户帮助日期：2013-5-1模块编号：3.4上层调用模块：用户交互程序下层被调用的模块：无输入数据：无输出数据：用户帮助文档处理：将用户帮助文档显示到用户交互界面表2.2数据包更改的IOP表Tab2.2IPOofSafetyAdvisory系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：数据包更改日期：2013-5-1模块编号：2.3上层调用模块：内核模块下层被调用的模块：无输入数据：应用层发出的数据包输出数据：数据包处理：将应用层发出的数据包进行更改后再发送出去表2.3用户设置的IPO表Tab2.3IPOofusersetting系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：设置日期：2013-5-1模块编号：3.9上层调用模块：用户交互程序下层被调用的模块：无输入数据：无输出数据：写进规则链处理：将用户设置的信息保存到内核规则链中表2.4流量监测的IPO表Tab2.4IPOofaddrule系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：流量监测日期：2013-5-1模块编号：3.7上层调用模块：用户交互程序下层被调用的模块：无输入数据：通过网卡的数据包输出数据：接收速度、发送速度、总流量处理：将通过网卡的数据包整合成输出信息需要的数据表2.5修改规则的IPO表Tab2.5IPOofmodifytherule系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：修改规则日期：2113-5-1模块编号：3.8.2上层调用模块：规则操作下层被调用的模块：无输入数据：无输出数据：用户帮助文档处理：将用户帮助文档显示到用户交互界面表2.6删除规则的IPO表Tab2.6IPOofdeleterule系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：删除规则日期：2113-5-1模块编号：3.8.2上层调用模块：规则操作下层被调用的模块：无输入数据：无输出数据：无处理：将用户选择删除的规则从内核的规则链中删除表2.7系统信息的IPO表Tab2.7IPOofTotalflow系统名称：轻量级Linux防火墙——流量控制、数据包更改模块名：总流量日期：2113-5-1模块编号：3.7上层调用模块：用户交互程序下层被调用的模块：无输入数据：无输出数据：数据包总数处理：把通过网卡的数据包整合成流量显示到用户交互界面2、对性能的规定（1）灵活性 本防火墙是在Linux操作系统下开发出来的软件，所以本软件能在任何版本的Linux操作系统中运行，不会因为系统的环境发生改变而无法运行。唯一跟防火墙比较密切相关的接口就是网卡了，但是不会因为网卡的改变而使得防火墙崩溃或者是出现错误。【你可以有求必硬吗】隔壁老王都是怎么来的如果你真的雄风依旧她又怎会另谋高就做真正男人就要有求必硬老中医魏亻言:msdf003，让你有求必硬3、其他的专门要求（1）软件并行处理能力 本防火墙软件能够支持多模块同时运行，而且一般情况下就有两个模块或者两个以上处于同时运行中，比如内核模块和后台进程是防火墙开始运行时就已经同时运行了，只有在防火墙停止运行时而停止运行。（2）软件可靠性 防火墙的可靠性体现在了过滤规则上，本防火墙的规则链可以过滤或者拦截通过TCP协议、UDP协议或ICMP协议发送过来的数据包。（3）对使用方便的要求 本防火墙拥有一个清晰、简洁的用户交互界面，可以大大方便用户进行操作，而且还包含了使用帮助文档。（4）软件适应性本软件兼容各种版本的Linux操作系统。（5）软件安全性本软件拥有可靠的安全措施，对系统的防护性高。（二）、系统运行环境的规定1、硬件及其他设备 为了保证防火墙运行的高效性和可靠性，客户端应具有一定的软硬件配置，而服务器只提供主页链接，因此对服务器的要求不是很高。 服务器端配置要求：有上网功能的计算机就行，提供一个连接主页的链接。客户端配置要求：2.0GHz以上双核CPU，1GB以上物理内存，40GBSATA接口硬盘；集成的千兆以太网卡；操作系统：最好是内核在3.5.2以上版本的Linux操作系统就可以了。2、支持软件 操作系统：Linux（最好是内核在3.5.2以上的版本） 开发语言：C语言[3][7]和C++ 编程软件：版本是4.7.2或以上的QT3、语言版本 简体中文版4、显示参数 分辨率：1024×768；色彩：256色以上=3\*CHINESENUM3三、概要设计（一）、系统数据结构设计1、数据的逻辑描述 对于本防火墙中编程人员新建的部分数据元素[7]描述如下：函数或结构名数据元素名数据类型数据描述netlink_informationseqint序列号addr_schar[20]源地址port_sint源端口addr_dchar[20]目的地址port_dint目的端口stchar[8]连接状态nettypesnettype链接协议nettypeUDP0UDP协议TCP1TCP协议NR_LINK2未知的协议sock_inode_pid_pathinode_t__ino_t[]结点数组nr_sockint打开的socket数cmd_tchar[256]命令路径pidint进程的pid值chain_nodefw_iotypetypeio出站还是进站chain_node_tlist_head规则链链表结点destuint16_t目的端口号protocol__u8协议类型levellevels安全级别typeioFW_OUT0出站FW_IN1进站FW_IOTYPE2未知levelsSAFE0安全DANGER1不安全OPTION2安全级别由防火墙决定LEVELNUM3安全级别fw_chain_listchain_listlist_head链表头，组成规则链chain_lockrwlock_t读写锁isallowchangedateint是否允许更改数据包list_lenint规则链条数fw_icmp_matchicmp_mach_type__u8icmp包类型filterbool是否过滤这种icmp类型的数据包itoanumint参数pidchar参数，进程pidMAX_PATH1024路径的最大长度MAX_SOCKET_NR1024最大的socket数MAX_PID32768最大的pid值MAX_CMD32命令的最大长度IPPROTO_ICMP11ICMP协议IPPROTO_IGMP12IGMP协议IPPROTO_TCP16TCP协议IPPROTO_EGP18EGP协议IPPROTO_PUP112PUP协议IPPROTO_UDP117UDP协议IPPROTO_IDP122IDP协议IPPROTO_DCCP133DCCP协议IPPROTO_RSVP146RSVP协议图3.1总的数据元素Fig3.1Figureoftotaldataelement(1)、静态数据数据元素名数据类型数据描述UDP0UDP协议TCP1TCP协议NR_LINK2未知的协议FW_OUT0出站FW_IN1进站FW_IOTYPE2未知SAFE0安全DANGER1不安全OPTION2安全级别由防火墙决定LEVELNUM3安全级别MAX_PATH1024路径的最大长度MAX_SOCKET_NR1024最大的socket数MAX_PID32768最大的pid值MAX_CMD32命令的最大长度IPPROTO_IP10IPPROTO_ICMP11ICMP协议IPPROTO_IGMP12IGMP协议IPPROTO_TCP16TCP协议IPPROTO_EGP18EGP协议IPPROTO_PUP112PUP协议IPPROTO_UDP117UDP协议IPPROTO_IDP122IDP协议IPPROTO_DCCP133DCCP协议IPPROTO_RSVP146RSVP协议IPPROTO_GRE147GRE协议图3.2静态数据Fig3.1Figureofstaticdataelement（2）、动态输入数据数据元素名数据类型数据描述seqint序列号addr_schar[20]源地址port_sint源端口addr_dchar[20]目的地址port_dint目的端口stchar[8]连接状态nettypesnettype链接协议fw_iotypetypeio出站还是进站chain_node_tlist_head规则链链表结点destuint16_t目的端口号protocol__u8协议类型levellevels安全级别通过网卡流入的数据包sk_buff图3.3动态输入数据Fig3.1Figureoftrendsinputdata（3）、动态输出数据 动态输出的数据有两种：一是发送出去的数据包；二是产生proc文件、规则链文件、用户设置文件、日志文件和配置文件。（4）、内部生成数据 内部生成的数据就是产生proc文件、规则链文件、用户设置文件、日志文件和配置文件。（5）、数据约定 必须进行数据约定的数据元素有以下这些：端口号，数据类型为int，值域为0~65535，超过范围发出错误信息；进程pid，数据类型为int，值域为0~32768，超过范围发出错误信息；IP地址，数据类型为char*,值域为0.0.0.0~255.255.255.255，超过范围发出错误信息；连接的socket数，数据类型为int，值域为0~1024，超过范围连接无效并发出错误信息；四、详细设计（一）、程序系统的结构1、系统模块层次结构 根据前面软件需求的分析，将本防火墙分成4大模块：内核模块、用户交互程序、后台进程和服务器，每个模块名称及其程序层次结构如下表4.1所示。表4.1程序层次结构表Tab4.1tableofprocesshierarchystructure模块名称程序层次结构内核模块图4.1用户交互程序模块图4.2、图4.3（1）、内核模块图4.1内核模块层次结构图Fig4.1FigureofKernelmoduleHierarchicalStructure(2)、用户交互程序模块图4.2用户交互程序模块层次结构图Fig4.2FigureofUserinteractionprogrammodulesHierarchicalStructure(二)、程序模块设计说明1、流量控制模块（1）、模块描述 主机在与外部设置进行通信时，防火墙需要对双方通信中传递的数据进行控制和检测，只有合法正确的数据才会接收以及发送，而不合法的数据会直接丢弃掉。（2）、模块功能图4.3流量控制模块IPO图Fig4.3IPOofFlowcontrolmodule（3）、模块输入项表4.2模块输入项Tab4.2tableofModuleinput输入项名称标识类型格式有效范围输入方式数据来源数据包skbsk_buffIP数据报20-65535被动输入外部设备数据包skbsk_buffIP数据报20-65535被动输入应用层（4）、模块输出项表4.3模块输出项Tab4.3tableofModuleoutput输出项名称标识类型格式有效范围输出方式数据来源数据包skbsk_buffIP数据报20-65535主动输出应用层数据包skbsk_buffIP数据报20-65535主动输出外部设备（5）、模块流程逻辑图4.4流量控制流程图Fig4.4FigureofFlowcontrolflowchart（6）、模块接口表4.4模块接口Tab4.4tableofModuleinterface上层模块内核模块下层模块无2、帮助模块（1）、模块描述 用户在运行防火墙后，如果是对防火墙的操作感到有些不了解的话，就可以查看用户帮助文档了，帮助文档里的内容就是对防火墙操作方法的说明。（2）、模块功能图4.5帮助模块IPO图Fig4.5IPOofhelpmodule（3）、模块输入项表4.5帮助模块输入项Tab4.5tableofhelpmoduleinput输入项名称标识类型格式有效范围输入方式数据来源鼠标点击事件流eventQMouseEvent——鼠标左键手动点击鼠标点击（4）、模块输出项表4.6帮助模块输出项Tab4.6tableofhelpmoduleoutput输出项名称标识类型格式有效范围输出方式数据来源帮助文档——图片————自动输出帮助文档（5）、模块流程逻辑图4.6帮助模块流程图Fig4.6FigureofHelpmoduleflowchart（6）模块接口表4.7帮助模块接口Tab4.7tableofHelpModuleinterface上层模块用户交互程序模块下层模块无3、系统信息模块（1）、模块描述 系统信息显示的是当前系统处于活动状态的进程信息。（2）、模块功能图4.7系统信息模块IPO图Fig4.7IPOofsysteminformationmodule（3）模块输出项表4.8规则操作模块输出项Tab4.8tableofRuleoperationmoduleoutput输出项名称标识类型格式有效范围输出方式数据来源进程名namechar[32]——0-32字节自动输出——本地IPs_ipchar[16]——0-16位自动输出——本地端口号s_portint——0-65535自动输出——远程IPd_ipchar[16]——0-16位自动输出——远程端口号d_portint——0-65535自动输出——协议名protocolchar————自动输出——安全级别levelint————自动输出——（4）、模块流程逻辑图4.8系统信息流程图Fig4.8FigureofSysteminformation（5）、模块接口表4.9系统信息模块接口Tab4.9tableofRuleoperationModuleinterface上层模块用户交互程序模块下层模块无4、流量监测模块（1）、模块描述 在用户交互界面的最下面有一个面板显示通过网卡时的流量速度，以及总量，这可以方便用户知道自己使用的流量是多少。（2）、模块功能图4.9流量监测模块的IPO图Fig4.9IPOofflowmonitormodule（3）、模块输出项表4.10流量监测模块输出项Tab4.10tableofFlowmonitormoduleoutput输出项名称标识类型格式有效范围输出方式数据来源接收速度newtratelong——32位内核输出网卡发送速度newrratelong——32位内核输出网卡总流量totleStreamlong——32位内核输出网卡（4）、模块流程逻辑图4.10流量监测模块流程图Fig4.10FigureofFlowmonitorflowchart（5）模块接口表4.11流量监测模块接口Tab4.11tableofFlowmonitormoduleinterface上层模块用户交互程序模块下层模块无5、用户设置模块（1）、模块描述 本模块是给用户设置防火墙所用，里面有多种设置项，这里就不多说了。（2）、模块功能图4.11用户设置模块IPO图Fig4.11IPOofusersettingmodule（3）模块流程逻辑图4.12用户设置流程图Fi