|
|
|
|
|
|
一种基于高速网络数据处理平台的防火墙方法和系统<%=id%> |
|
|
|
构:.. 南京天翼专利代理有限责任公司. 代.. 理.. 人:. 汤志武;王鹏翔 . . 摘要 . .基于高速数据处理平台的防火墙方法,由系统数据交换支持系统、数据接入及预处理板卡、防火墙数据处理板卡组成;数据接入板实现千兆线速转发,以及数据预处理,通过对需要进一步分析的数据包计算HASH,将它们动态负载均衡的发到多块防火墙处理板卡上进行处理;防火墙数据处理板并行运行,对数据包进行更深入的检查;采用梯度过滤机制:利用策略树和协议栈策略传递机制,将攻击检测、报文分拣、IP过滤、连接状态监控、用户认证、应用协议报文分析、应用协议通信状态检查、内容安全检查等动作,依次组织成一个力度递增的过滤体系:对传统防火墙软件体系的结构进行了调整和优化,达到了较高的网络处理性能。 . 主权项 . .1.一种基于高速数据处理平台的防火墙方法,基于高速数据处理系统的硬件平台,由系统数据交换支持系统、数据接入及预处理板卡、防火墙数据处理板卡组成;其中,数据接入板实现千兆线速转发,以及数据预处理,通过对需要进一步分析的数据包计算HASH,将它们动态负载均衡的发到多块防火墙处理板卡上进行处理;防火墙数据处理板并行运行,对数据包进行更深入的检查;其特征是采用梯度过滤机制:利用策略树和协议栈策略传递机制,将攻击检测、报文分拣、IP过滤、连接状态监控、用户认证、应用协议报文分析、应用协议通信状态检查、内容安全检查等动作,依次组织成一个力度递增的过滤体系: 系统具体工作流如下: 101:系统启动时,多块处理板协商选举出主处理板,负责与系统管理用户交互,并对其他板卡进行配置与管理,启动整个系统; 102:当数据包从WAN/LAN/DMZ进入接入板时,主要进行经过策略查找、简单过滤、流量控制、地址转换和基于网络协议攻击行为的检测。通过检查由防火墙策略编译成的规则表,进行系统内的路由交换,结果有 Transfer/Drop/Redirect三种动作,其相应处理结果如下: Transfer:不受限制的数据包,直接在接入板进行路由转发; Drop:明确拒绝的数据包,直接丢弃; Redirect:需要防火墙进一步检查或者需要进行NAT的数据包,根据其源IP地址、目的IP地址、源端口和目的端口等特征计算HASH,根据此HASH值负载均衡的重定向到x86Node板对应的逻辑接口; 103:当数据包到达x86Node板后,对数据包进行应用层安全检查和状态检查、内容安全检查、路由选择,经处理之后的数据包,仍发回接入板进行路由转发。.
中国科技资讯网
.
|
|
|
|
设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明
Copyriht 2007 - 2008 © 科普之友 All right reserved |