基于ARM的硬件防火墙系统的研究

作为在保障网络安全方面扮演着至关重要角色的防火墙技术从出现到发展至今一直是网络安全研究中的关键技术之一，随着互联网的迅猛发展，它在信息化、网络化的过程中也变的越来越重要。为了使防火墙能快速且深入地对网络数据传输过程中的海量信息进行安全检测，并能应对来自各个网络层的威胁，将传统的基于软件的防火墙转向硬件平台实现是不可阻挡的发展趋势。 首先阐述了网络安全的现状、网络安全研究的重大意义、防火墙目前的发展状况及未来的发展趋势，然后介绍了防火墙的概念、功能和分类。重点分析了著名的开源入侵检测系统Snort的功能实现及数据结构，对Linux中自带的网络安全工具Iptables/Netfilter的工作原理做了简要介绍，然后对现在较流行的基于软件的字符串匹配算法和硬件实现方法进行对比分析，通过对已存在的解决方法的深入研究，提出了基于ARM处理器并采用内容可寻址存储器(CAM)的硬件防火墙系统设计方案。将Snort中对数据包载荷检测部分中的顺序检测替换为由CAM结合Wu-Manbcr多模式匹配算法实现，其中CAM完成短模式匹配，Wu-Manber算法完成长模式匹配，并将Snort与Iptables/Netfilter有机结合移植到基于ARM的嵌入式平台中，系统可以通过主机对防火墙的状态进行实时监控和规则更新。 设计了防火墙的整个硬件电路，其中重点分析了CAM模块的设计。通过对Sourcefire的Snort VRT2.4版免费规则库的统计分析和计算模拟得出了对规则集的最佳划分长度；在软件部分研究了Bootloader制作、Linux内核的裁减与移植及根文件系统制作等内容。重点分析了摩托罗拉公司的专用CAM芯片MCM69C432的驱动程序设计和相应的调用方法，并结合主机软件部分的功能分析了双方的通信协议及实现，最后通过程序对系统仿真并选用林肯数据集进行模拟测试，测试结果表明系统比以前效率有了大幅提高，过滤速度已达到最初设计目标，证明了此硬件防火墙方案的可行性。 最后总结了本人的工作并指出此种方案的硬件防火墙的不足、需要改进之处和它的良好应用前景。