基于L7-filter的流量过滤防火墙的实现

基于L7-filter的流量控制防火墙的实现

The stream control firewall based L7-filter

（湖南师范大学网络中心湖南长沙410081）

【摘要】传统的网络墙无法实现流量过滤的功能，P2P的应用挤占了有限的带宽使因而无法保障企业关键业务流的及时传输。基于L7-filter的Netfilter配对模块可以很好的实现高层协议的数据保匹配，和传统的防火墙结合可以实现高级的流量过滤功能，保证关键和正常数据包的传输。

【关键词】流量控制P2P防火墙Netfilter Iptables

0 引言

防火墙（firewall）是一种比较传统的信息安全产品，一般位于内网（private net）和公网（public net）之间，对内网和公网之间的数据传输起着过滤的作用，对企业的信息安全具有重要意义。防火墙维护着一个ACL（access control list 访问控制列表），它根据手动设置的规则集（rules）对流量或者连接进行过滤和屏蔽，防范来自公网的攻击。随着网络技术的不断发展网络应用日趋多样化，特别P2P技术的产生，使企业有限的公网带宽更加拥挤，而且已经严重影响到企业关键业务数据的正常传输。传统防火墙仅是一般意义的访问控制，对于流量往往也只能根据传输层协议的类型和端口进行控制，不能做到依据高层的应用层网络协议进行有效过滤，因此不能保证企业关键数据的快速传输。

Private Network Firewall Public Network

图1 简化的网络拓扑模式图

Netfilter是linux基于内核的包过滤框架模块，可以在用户空间（user space）使用iptables 程序添加，设置，修改，删除来维护规则集。Netfilter可以根据数据包的结构（packet structure），很好的实现访问控制的目的。世界上众多的linux爱好者（hacker）为Netfilter开发了很多高级的配对（match）模块，从而实现很有现实价值的功能。其中由Justin Levandoski, Ethan Sommer, 和Matthew Strait开发，Sebastian Celis, Andy Exley 和Lillie Kittredge支持的L7-filter功能模块可以根据数据包应用层协议（application layer）内容进行匹配，从而使防火墙能够进行准确协议控制成为可能，保证企业关键业务数据的实时传送。

1.1L7-filter 的工作原理

对于数据包的过滤，就需要进行数据包的匹配。依据数据包具有固定的结构，源IP 地址（source IP address），目标IP地址(destination IP address)，MAC(mac address & Physical Address)地址,传输层协议类型（TCP/UDP）及其端口（Port）进行匹配。因为常见的高层协议具有固定的端口，可以很好的完成一些普通的流量控制功能，而且还具有很好的效率，比如：HTTP,FTP,DNS,POP.SMTP,TELNET等。但是对于一些其他的高层协议，随机选择通信端口，例如bittorrent emule等一些P2P程序，那么只是通过传输层的端口进行匹配是不能达到很好的效果的。如果HTTP ，FTP等一些常规应用使用了代理服务器，或者更换了标准的协议端口，那么仅仅端口匹配也是不能检测出这些数据包。

表1 IP数据报的格式

1.2L7-filter 的安装和使用

L7-filter可以运行在各种Linux发行版本中，支持2.4和2.6的核心。安装L7-filter基本分为三个部分：所需文件的下载和准备；对kernel和Iptables进行修改；编译内核和安装iptables。

1.2.1 所需文件的下载和准备

L7-filter是在sourceforge注册的一个项目，L7-filter的源程序可以在它的项目的主页上下载：

https://www.360docs.net/doc/f718483520.html,/projects/l7-filter/

安装L7-filte需要重新编译内核，如果系统上存放着内核的原文件可以不用下载内核。如果没有可以在kernel的网站上下载：

https://www.360docs.net/doc/f718483520.html,

安装L7-filte需要修改iptalbes，因此需要下载iptables的源文件：

https://www.360docs.net/doc/f718483520.html,

1.2.2对kernel和Iptables进行修改

解压下载的文件

Path 修改iptables和kernel的源文件

1.2.3 编译内核

配置内核make menuconfig

EXPERIMENTAL (Code maturity level options →Prompt for development and/or incomplete code/drivers)

Netfilter (Device Drivers →Networking support →Networking Options →Network packet filtering)

Connection tracking (Network packet filtering →IP: Netfilter Configuration →Connection tracking)

"Connection tracking flow accounting" and "IP tables support" (on the same screen)

And finally, "Layer 7 match support"

编译内核make

安装内核make install

配置，编译，安装iptables ：./configure ；make ; make install

1.3L7-filter 的性能分析

行业上对防火墙的性能基本上是从并发连接数，延时，吞吐量进行衡量的。理论上防火墙也是基于冯诺伊曼构架的计算机。如果使用专用的网络处理器（net processor）或者基于ASIC(复杂指令集)的CPU的防火墙不会对数据包的传输造成明显延时，具有很高的性能和效率。但是成本很高，而且这些硬件不常见使用起来还需要专业知识。基于CISC(简单指令集)的普通的通用的CPU没有专门针对这样的应用进行优化，性能上会和NP有一定的差距。但是在中下等规模的应用，通过一定的技术上的优化也是可以获得不错的效果的。

并发连接数主要限于内存的大小，通过扩大防火墙的内存在一定程度上可以提高防火墙并发连接数的性能。CPU的主频和总线的频率制约着防火墙吞吐量的大小，使用高性能的CPU（如INTEL Xeon）和有较快外频的主板可以明显提高防火墙的吞吐性能。

由于缺乏精确的工具我们没有对实验用的防火墙的并发连接数和延时指标做很精确的性能试验。我们使用了netperf等工具对吞吐量对了性能测试，结果如下。

在100Mbit/s的连接速度下不会对网络的吞吐量造成很大的影响。但是通过netperf得到的数据并不能真实的反应现实中的网络环境。在实际应用中并发连接数的限制是制约防火墙的性能的最大因素。

1.4L7-filter 在应用的一些思考和探索

防火墙在网络中的拓扑大都是处于内网的边缘，也是内网和外网联接的通道。因此防火墙在网络中可能具有多重角色（胖防火墙）：它可以充当网关通过使用NA T技术对内网地

址进行转换；可以通过目标端口映射提供对外的网络服务(如www、mail)；可以充当VPNServer接受VPN连接请求和维持VPN连接；可以作为IDS充当网络的入侵检测系统。在实际中我们并不赞成这种把很多的关键应用使用一个设备来实现。因为如果该设备意外当机在短时间内是很难恢复的，势必会对关键应用造成影响。其次对于这些网络智能设备上进行多种应用必然会降低其性能，而且也很容易遭到未知病毒的攻击。对于NA T可以使用高性能的路由器来实现。VPNServer和IDS使用专用的服务器担当，就可以实现很好的效果。这样各种网络设备各司其职，发挥出自己各自的优势。

如果把防火墙作为透明网桥（net bridge）的模式，当防火墙因为攻击或者故障当机时可以不改变网络结构的情况下迅速恢复网络。透明网桥需要内核的支持，和相关应用程序。如果使用透明网桥模式还需要kernel 2.6的支持才能对桥的流量进行监控（Kernel 2.4不能对桥的流量监控无效）。

2 结论

基于l7-filter的流量控制防火墙可以很好的实现依据应用层协议类型来控制流量，可以很好的实现过滤P2P等流量的作用。L7-filter还支持丰富的网络协议，和netfilter配合起来可以很好地实现