嵌入式Liｎux防火墻的設計與實現

摘要： 針對嵌入式Ｌｉｎｕｘ防火墻進行設計并加以實現及測試。首先，提出了基于ＡＲＭ處理器的嵌入式Ｌｉｎｕｘ防火墻的體系架構，給出了Ｌｉｎｕｘ一種內核裁剪定制的方案；接著，針對Ｎｅｔｆｉｌｔｅｒ／Ｉｐｔａｂｌｅｓ在大數量規則集下性能低下的問題，提出了Ｉｐｔａｂｌｅｓ結合ＮＦ－ｈｉｐａｃ、Ｉｐｓｅｔ使用的解決方案，并成功實現了移植；最后，針對實現的系統，給出了完整詳細的功能及性能測試結果。功能測試結果表明了系統設計的合理性和有效性，性能測試結果指出了影響系統性能的關鍵參數，為進一步優化系統提供了參考和依據。

關鍵詞：

中圖分類號： ＴＰ３９１；ＴＮ９１１．７３文獻標識碼：Ａ文章編號：２０９５－２１６３（２０１１）０３－００３５－０５

Ｄｅｓｉｇｎ ａｎｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ ｔｈｅ Ｅｍｂｅｄｄｅｄ Ｌｉｎｕｘ Ｆｉｒｅｗａｌｌ

ＲＡＯ Ｍｉｎｇ， ＤＵ Ｚｈｏｎｇｈｕｉ， ＨＡＮ Ｑｉ， ＬＩ Ｑｉｏｎｇ

Ａｂｓｔｒａｃｔ： In this paper， a project is designed and tested for embedded Linux firewall. Firstly， a system framework of embedded Linux firewall based on ARM processor is proposed and a scheme of Linux kernel reducing is designed. Secondly， considering the poor performance of Netfilter/Iptables in large number rules set， a method of Iptables combining with NF-hipac and Ipset is introduced， and it is transplanted successfully. Finally， with the accomplished system， the integrated and detailed function and performance tests are provided. The function experiments show the rationality and efficiency of the system design and the performance tests indicate the key parameters influencing the system performance， which provides the reference and basis for further optimizing the system.

Ｋｅｙ ｗｏｒｄｓ：

０引言

互聯網已經發展成為當今世界上最大的信息庫，但是Ｉｎｔｅｒｎｅｔ從建立開始就缺乏安全的總體構想和設計，所以互聯網的安全性就存在眾多缺陷和隱患，由此防火墻的概念應運而生。所謂防火墻指的是一個由軟件和硬件設備組合而成、在內部網和外部網之間、專用網與公共網之間的界面上構造的保護屏障，從而保護內部網免受非法用戶的侵入。但是，傳統意義上的防火墻存在網絡應用受到結構性限制、內部安全隱患、效率較低和故障率高等缺點，所以人們又提出了分布式防火墻的概念。分布式防火墻負責對網絡邊界、各子網和網絡內部各節點之間的安全防護。分布式防火墻的具體實現方式可以歸結為基于軟件和基于硬件兩種，一般將基于硬件實現的分布式防火墻稱為嵌入式防火墻[１]。嵌入式防火墻是一種基于嵌入式技術的新型防火墻，同時將安全策略延伸到了網絡末端，安全措施由硬件系統實施，從而有效地克服了傳統邊界防火墻的局限，并結合了硬件解決方案的強健性和集中管理式軟件解決方案的靈活性，從而創建了一種更為完善的安全防護架構。

１９９９年，Ｂｅｌｌｏｖｉｎ[２]提出了一種分布式的解決方案，將策略的執行分布到各端結點，同時保持集中式的策略管理。２０００年，Ｌｏａｎｎｉｄｓ等人[３]按照Ｂｅｌｌｏｖｉｎ １９９９年提出的觀點實現了一個分布式防火墻的原型系統。２００１年，Ｐａｙｎｅ和 Ｍａｒｋｈａｍ[４]實現了一種基于硬件的分布式防火墻，并指出基于硬件的分布式防火墻具有更高的可靠性。國內學者也先后實現了基于嵌入式Ｌｉｎｕｘ以及Ｎｅｔｆｉｌｔｅｒ／Ｉｐｔａｂｌｅｓ架構的防火墻系統[５，６]，并對嵌入式防火墻中Ｌｉｎｕｘ內核裁剪進行了研究[７，８]。在商業產品方面，華為３Ｃｏｍ公司也研發出ＰＣＩ卡和ＰＣ卡形式的嵌入式防火墻，這類防火墻不受網絡拓撲控制，完全獨立于主機操作系統，強化整個網絡臺式機、服務器和筆記本，配合適當的安全策略，控制每個端點的網絡訪問，并能快速響應檢測到的攻擊。但是這些研究和產品大多都基于Ｉｐｔａｂｌｅｓ工具，當規則數量達到一定程度時，Ｉｐｔａｂｌｅｓ進行規則過濾的速度大大下降，從而嚴重影響防火墻的整體性能。

本文基于ＡＲＭ９嵌入式平臺， 提出并實現了一種Ｉｐｔａｂｌｅｓ結合ＮＦ－ｈｉｐａｃ、Ｉｐｓｅｔ的嵌入式防火墻方案，首先使用交叉編譯技術將運行于ｘ８６體系Ｌｉｎｕｘ上的Ｎｅｔｆｉｌｔｅｒ／Ｉｐｔａｂｌｅｓ防火墻系統移植到基于ＡＲＭ體系處理器的平臺上，同時對Ｌｉｎｕｘ操作系統的內核進行裁剪。通過測試發現Ｉｐｔａｂｌｅｓ在某些條件下的性能局限，所以結合ＮＦ－ｈｉｐａｃ、Ｉｐｓｅｔ實現三者優勢的互補，進一步提高防火墻的性能。

１基于Ｎｅｔｆｉｌｔｅｒ／Ｉｐｔａｂｌｅｓ的防火墻分析

１．１Ｎｅｔｆｉｌｔｅｒ架構與Ｉｐｔａｂｌｅｓ

本小節將對Ｌｉｎｕｘ下的Ｎｅｔｆｉｌｔｅｒ／Ｉｐｔａｂｌｅｓ防火墻體系做整體的分析以及介紹，并指出Ｉｐｔａｂｌｅｓ的不足及其改進方案。

Ｎｅｔｆｉｌｔｅｒ是Ｌｉｎｕｘ內核實現數據包過濾、網絡地址轉換（ＮＡＴ）、數據包處理等的功能框架。之所以說Ｎｅｔｆｉｌｔｅｒ是一種架構，是因為Ｎｅｔｆｉｌｔｅｒ可以被多種協議族所用。利用Ｎｅｔｆｉｌｔｅｒ架構，各種協議都可以在Ｌｉｎｕｘ內核級實現自己的防火墻。Ｎｅｔｆｉｌｔｅｒ的設計為內核中其它模塊動態參與ＩＰ層中的數據包處理提供了途徑。

Ｎｅｔｆｉｌｔｅｒ在內核中建立了一個函數指針鏈表，稱為鉤子函數鏈表，加入到鏈表中的函數指針所指的函數稱為鉤子函數（Ｈｏｏｋ Ｆｕｎｃｔｉｏｎ）。一個數據包按照如圖１所示的過程通過Ｎｅｔｆｉｌｔｅｒ系統，圖中的５個鉤子函數分別為：（１）ＮＦ＿ ＩＰ＿ＰＲＥ＿ＲＯＵＴＩＮＧ；（２）ＮＦ＿ＩＰ＿ＬＯＣＡＬ＿ＩＮ；（３）ＮＦ＿ＩＰ＿ＦＯ－ＷＡＲＤ；（４）ＮＦ＿ＩＰ＿ＰＯＳＴ＿ＲＯＵＴＩＮＧ；（５）ＮＦ＿ＩＰ＿ＬＯＣＡＬ＿ＯＵＴ。

Ｉｐｔａｂｌｅｓ是基于Ｎｅｔｆｉｌｔｅｒ框架的數據報處理子系統[１]，有很強的擴展性。內核模塊可以在原有基礎上注冊一個新的規則表（ｔａｂｌｅ），并要求數據報流經指定的規則表，可以選擇用于實現數據報過濾的ｆｉｌｔｅｒ表、網絡地址轉換的ＮＡＴ表及數據報處理的ｍａｎｇｌｅ表。Ｌｉｎｕｘ２．６內核提供的這三種數據報處理功能都基于Ｎｅｔｆｉｌｔｅｒ的鉤子函數和Ｉｐｔａｂｌｅｓ；而且還是互相之間獨立的模塊，完美集成到由Ｎｅｔｆｉｌｔｅｒ提供的框架中。Ｉｐｔａｂｌｅｓ實現對規則的管理和訪問，ｉｐｔ＿ｅｎｔｒｙ，ｉｐｔ＿ｍａｔｃｈ，ｉｐｔ＿ｔａｒｇｅｔ，ｉｐｔ＿ｔａｂｌｅ等數據結構用于構造規則表， ｉｐｔ＿ｄｏ＿ｔａｂｌｅ函數用于遍歷規則表并處理規則表上的結構。

１．２Ｉｐｔａｂｌｅｓ的不足及衍生工具Ｉｐｓｅｔ、ＮＦ－ｈｉｐａｃ

在利用Ｉｐｔａｂｌｅｓ向系統添加防火墻規則時，如果沒有特殊指定，Ｉｐｔａｂｌｅｓ會將新規則添加至規則鏈（線性表）的尾部；而當協議棧中有新數據包達到時，內核會調用ｉｐｔ ＿ｄｏ＿ｔａｂｌｅ（）逐條將規則與數據包的屬性相對比，如果匹配成功則轉入相應的處理行為。也就是說，幾乎所有未命中規則的數據包的匹配復雜度為Ｏ（ｎ）（ｎ為規則的數目），這樣在小規則集的情況下，性能削減不會很大，但是如果在龐大規則集的情況下，性能就會因規則條目的增長而大幅削減。

Ｉｐｓｅｔ工具在這個方面做了很大的改善，最主要的是在結構和規則的查找上面做了很大的改善。Ｉｐｓｅｔ的思想就是將相同處理規則的匹配條件放到一個集合中，一般采用ｈａｓｈ方法。一個報文查詢規則的時候，只需要判斷ＩＰ地址是否在這個集合中就可以了；如果滿足對應的匹配條件，就執行相應的處理操作。由于將查找從線性表遍歷改為了ｈａｓｈ查找，時間復雜度從Ｏ（ｎ）降到了Ｏ（１）。根據提供的測試結果表明，當規則數目在３００－１ ５００之間的時候，其對性能的影響基本是水平線。

ＮＦ－ｈｉｐａｃ是Ｎｅｔｆｉｌｔｅｒ項目中的一個子項目，ＮＦ－ｈｉｐａｃ提供了一個新穎包分類的架構，將規則集呈現樹狀分布以代替原有Ｉｐｔａｂｌｅｓ的線性分布，從而將時間復雜度從Ｏ（ｎ）降到了Ｏ（ｌｏｇｎ）。但是相比于Ｉｐｓｅｔ，ＮＦ－ｈｉｐａｃ具有更大的靈活性。當查找每一個包的時候，使用一個高級算法來減少內存占用。在一個有特別多的規則和高帶寬的網絡中，ＮＦ－ｈｉｐａｃ表現出色。ＮＦ－ｈｉｐａｃ的特點就是其語法完全兼容ｉｐｔａｂｌｅｓ －ｔ ｆｉｌｔｅｒ選項，并且ＮＦ－ｈｉｐａｃ可以調用Ｉｐｔａｂｌｅｓ的匹配行為以及連接跟蹤機制，這些特點使ＮＦ－ｈｉｐａｃ可以完全取代Ｉｐｔａｂｌｅｓ的過濾子功能。

２嵌入式防火墻方案設計及實現

２．１基于Ｉｐｔａｂｌｅｓ－Ｉｐｓｅｔ－ＮＦ－ｈｉｐａｃ的防火墻方案

Ｉｐｔａｂｌｅｓ的優勢在于具有足夠的靈活度，并且功能強大，面面俱到；劣勢是在數量巨大的規則集時性能低下。而Ｉｐｓｅｔ雖具有很好的性能，將Ｉｐｔａｂｌｅｓ的時間復雜度從Ｏ（ｎ）降到了Ｏ（１），但是卻缺乏靈活性，集合里所有的ＩＰ對應到同一個處理操作，在面對并非一次性更新的規則集合時，顯得用處不大。ＮＦ－ｈｉｐａｃ的靈活性和性能處于前二者之間，但是只能代替Ｉｐｔａｂｌｅｓ－ｔ ｆｉｌｔｅｒ選項。因此，綜合三個工具的優勢，設計出一個更加優秀的防火墻方案：

（１）Ｉｐｓｅｔ負責一次性大規模更新同一處理操作的ＩＰ集合；

（２）ＮＦ－ｈｉｐａｃ負責獨立零散的過濾規則的更新；

（３）Ｉｐｔａｂｌｅｓ用來進行其他子功能（數據包轉發、數據包地址偽裝等）操作。

這樣既保證了系統運行的高性能，又能覆蓋所需的全部功能。

本文設計的嵌入式Ｌｉｎｕｘ防火墻的整體體系架構如圖２所示。硬件層為ＡＲＭ９的處理器，操作系統內核為經過移植的Ｌｉｎｕｘ（版本２．６．１３）內核，并且支持ＮｅｔＦｉｌｔｅｒ。用戶態則移植了三款防火墻工具，并且都是在Ｎｅｔｆｉｌｔｅｒ架構的基礎上進行開發的，包括Ｉｐｔａｂｌｅｓ、Ｉｐｓｅｔ以及ＮＦ－ｈｉｐａｃ。

２．２開發平臺及編譯環境

本文設計的嵌入式Ｌｉｎｕｘ防火墻方案是在ＨＩＴ－ＥＳＤＫ０１平臺上實現的，ＨＩＴ－ＥＳＤＫ０１是哈工大自主研制的嵌入式實踐教學平臺。該平臺采用ＡＴＭＥＬ公司ＡＴ９１ＲＭ９２００（ＡＲＭ９２０Ｔ）嵌入式處理器，這是一款ＡＲＭ９２０Ｔ內核的工業級產品，主頻１８０ＭＨｚ，帶有ＭＭＵ存儲器管理單元，內嵌１０Ｍ／１００Ｍ自適應以太網。開發板上還包括６４ＭＢ ＳＤＲＡＭ、 ２５６ＭＢ／１ＧＢＮａｎｄ Ｆｌａｓｈ和１６ＭＢ Ｎｏｒ Ｆｌａｓｈ，板上集成４線電阻式觸摸屏接口、ＴＦＴ液晶屏接口，最大支持１６ＢＰＰ模式８００?觹６００分辨率，板載ＲＳ２３２、ＲＳ４８５、ＲＪ４５、ＵＳＢ等接口以及ＣＡＮ總線接口及多種存儲卡接口。實驗平臺的接口布局如圖３所示。

所謂交叉編譯就是在一個平臺上生成可以在另一個平臺上執行的代碼，本文使用基于ｇｃｃ ３．４．１的工具鏈，在ｘ８６架構的Ｌｉｎｕｘ主機上使用ＡＲＭ架構的編譯工具鏈對系統內核和工具進行編譯，生成可以在目標板上運行的內核，燒寫到Ｆｌａｓｈ中，便可在嵌入式平臺上運行經過裁剪的系統和相關工具。交叉編譯內核的詳細步驟本文不再贅述，只是簡要介紹三個防火墻工具編譯與移植的關鍵環節。

Ｉｐｔａｂｌｅｓ是Ｌｉｎｕｘ內核的一部分，因此與交叉編譯內核一起考慮Ｉｐｔａｂｌｅｓ的編譯，需要注意的是，Ｉｐｔａｂｌｅｓ最好編譯為ｂｕｉｌｔ－ｉｎ模式，而不要選擇模塊模式，這主要是考慮到嵌入式系統單內核方便管理、使用及大規模的工業復制。ＮＦ－ｈｉｐａｃ是通過內核補丁的方式編譯的，下載到其源碼后為內核打補丁，然后與內核一起編譯。另外，還需要對源碼進行一定的修改，為編譯移植用戶層ＮＦ－ｈｉｐａｃ工具做準備，修改的文件包括Ｍａｋｅｆｉｌｅ、ｎｆ－ｈｉｐａｃ－ｃｏｒｅ．ｃ等。Ｉｐｓｅｔ也是通過內核補丁的方式編譯的，操作方法類似。

３功能與性能測試

本文測試部分包括防火墻的功能測試和性能測試，使用到的測試工具Ｎｅｔｐｅｒｆ。Ｎｅｔｐｅｒｆ是一款網絡性能的測量工具，主要針對基于ＴＣＰ或ＵＤＰ的傳輸。Ｎｅｔｐｅｒｆ根據應用的不同，可以進行不同模式的網絡性能測試，即批量數據傳輸（ｂｕｌｋ ｄａｔａ ｔｒａｎｓｆｅｒ）模式和請求／應答（ｒｅｑｕｅｓｔ／ｒｅｐｏｎｓｅ）模式。Ｎｅｔｐｅｒｆ測試結果所反映的是一個系統能夠以多快的速度向另外一個系統發送數據，以及另外一個系統能夠以多快的速度接收數據。

本文測試用例包括兩種網絡拓撲，如圖４、圖５所示。測試網絡拓撲１主要模擬了從外網的客戶端訪問被防火墻保護的內網服務器（Ｗｅｂ服務器、測試軟件ｎｅｔｓｅｒｖｅｒ服務器等），外網ＩＰ用１９２．１６８．５．０／２４模擬，內網ＩＰ用１０．５０．１０．０／２４模擬。由于嵌入式Ｌｉｎｕｘ防火墻本身也為一臺計算機，所以將其內部假設服務器，測試網絡拓撲２（下文簡稱拓撲２）如圖５所示，完成拓撲１所不能完成的一些性能上的測試，將測試結果進行進一步分析對比。

３．１功能驗證與測試

功能驗證與測試包括Ｉｐｔａｂｌｅｓ功能測試、ＮＦ－ｈｉｐａｃ功能測試和Ｉｐｓｅｔ功能測試，在各種單項測試通過后，進行了ｆｔｐ、ｔｅｌｎｅｔ、ＮＡＴ、針對ＳＹＮＦｌｏｏｄ攻擊的防御等應用場景測試，圖６、圖７是ＮＡＴ測試的數據流示意圖和測試結果，表１給出了針對ＳＹＮＦｌｏｏｄ攻擊的防御的測試結果，測試結果表明了該防火墻功能的有效性。

３．２性能測試

本文對防火墻進行的性能測試包括：內核精簡前后性能對比測試、ＭＴＵ值對性能影響測試、Ｉｐｔａｂｌｅｓ／ＮＦ－ｈｉｐａｃ／Ｉｐｓｅｔ大規則集下的壓力測試以及網絡套接字緩沖區大小對系統性能的影響測試。

內核精簡前后性能對比測試主要是為了驗證本文所做內核裁剪的有效性，本文對精簡前后的內核做眾多性能方面的測試，對比了批量數據傳輸速率、請求／應答模式（即ＴＣＰ＿ＲＲ模式）交易率、連接／請求／應答模式（即ＴＣＰ＿ＣＲＲ模式）交易率三方面給出測試結果，如圖８－圖１０所示。

從測試結果可以得出，ＴＣＰ＿ＣＲＲ模式下的交易率的數值變化較為明顯。由于ＴＣＰ＿ＣＲＲ模式為每次交易建立一個新的ＴＣＰ連接，對系統消耗最為嚴重，從圖１０可以看出，未精簡的內核的交易率變得十分不穩定。但無論是三項測試數據當中的哪一項，內核精簡后對比精簡前均有不同程度的性能上的提升，證明對內核進行精簡可以對系統性能的提升起到作用。

ＭＴＵ值（Ｍａｘｉｍｕｍ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｕｎｉｔ最大傳輸單元）[１]是指一種通信協議的某一層上面所能通過的最大數據包大小（以字節為單位），在大流量的網絡當中，增大ＭＴＵ的值可以很好地改善網絡性能。本文測試拓撲２，從批量數據傳輸速率、請求／應答模式交易率兩方面進行測試，結果如表２、表３所示，其中，嵌入式防火墻ｅｔｈ０接口連接至服務器的網絡接口，ｅｔｈ１接口連接至客戶端的網絡接口。

通過測試結果可以觀察到，在較大ＭＴＵ值的情況下，無論是數據傳輸速率還是交易率均得到了提升，但是也取決于整個網絡中的瓶頸ＭＴＵ值。

接下來進行了Ｉｐｔａｂｌｅｓ、ＮＦ－ｈｉｐａｃ、Ｉｐｓｅｔ三個工具在大規則集下的壓力測試，測試結果如圖１１、圖１２所示。由測試結果可以看出，Ｉｐｔａｂｌｅｓ在３００條規則之內的性能對比ＮＦ－ｈｉｐａｃ與Ｉｐｓｅｔ并沒有明顯的劣勢，但是當規則的數量超過這一數值的時候，其性能表現就會大打折扣。而ＮＦ－ｈｉｐａｃ與Ｉｐｓｅｔ的性能表現則幾乎與規則的數目無關，ＮＦ－ｈｉｐａｃ的表現要稍好于Ｉｐｓｅｔ。

４結束語

本文在ＨＩＴ－ＥＳＤＫ０１嵌入式教學平臺之上設計并實現了嵌入式Ｌｉｎｕｘ防火墻系統。首先，根據嵌入式及防火墻的基本知識，設計了系統的總體結構，針對嵌入式系統的特點，給出了一種Ｌｉｎｕｘ內核的裁剪理由及方案，并針對該方案給出了測試結果，證明對其實施裁剪的必要性；其次，指出了Ｎｅｔｆｉｌｔｅｒ／Ｉｐｔａｂｌｅｓ架構在大數量規則集下性能低下的缺陷，提出了Ｉｐｔａｂｌｅｓ結合ＮＦ－ｈｉｐａｃ、Ｉｐｓｅｔ使用的解決方案，并針對方案給出了詳細的移植方法及步驟；最后，對實現的系統進行了詳細的功能及性能測試。功能測試完成了整個系統各項功能的測試，證明了系統的可用性；性能測試主要給出了影響系統性能的參數，包括內核精簡程度、ＭＴＵ值、套接口緩沖區大小、防火墻規則的數量等等，通過改變參數并加以測試，對得到的測試結果加以分析，給出優化系統的途徑。

參考文獻：

[ １ ] ＰＡＹＮＥ Ｃ，ＭＡＲＫＨＡＭ Ｔ． Ａｒｃｈｉｔｅｃｔｕｒｅ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ ｆｏｒ ａ

Ｄｉｓｔｒｉｂｕｔｅｄ Ｅｍｂｅｄｄｅｄ Ｆｉｒｅｗａｌｌ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｃｏｍｐ－

ｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ，２００１：３２９－３３６．

[ ２ ] ＢＥＬＬＯＶＩＮ Ｓ Ｍ． Ｄｉｓｔｒｉｂｕｔｅｄ Ｆｉｒｅｗａｌｌｓ[Ｊ]． Ｊｏｕｒｎａｌ ｏｆ Ｌｏｇｉｎ，１９－

９９：３９－４７．

[ ３ ] ＬＯＡＮＮＩＤＳ Ｓ，ＳＭＩＴＨ Ｊ，ＫＥＲＯＭＹＴＩＳ Ａ Ｄ，ｅｔ ａｌ． Ｉｍｐｌｅｍｅｎｔｉｎｇ

ａ ｄｉｓｔｒｉｂｕｔｅｄ ｆｉｒｅｗａｌｌ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ７ｔｈ ＡＣＭ Ｃｏｎｆｅｒｅｎ－

ｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ， Ａｔｈｅｎｓ， Ｇｒｅｅｃｅ，

２０００－１１．

[ ４ ] ＰＡＹＮＥ Ｃ，ＭＡＲＫＨＡＭ Ｔ． Ａｒｃｈｉｔｅｃｔｕｒｅｓ ａｎｄ ａｐｐｌｉｃａｔｉｏｎｓ ｆｏｒ ａ

ｄｉｓｔｒｉｂｕｔｅｄ ｅｍｂｅｄｄｅｄ ｆｉｒｅｗａｌｌ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｃｏｍｐｕｔｅｒ

Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ，２００１：３２９－３３６．

[ ５ ] 劉正海． 基于嵌入式Ｌｉｎｕｘ防火墻的研究與實現[Ｄ]． 重慶：重慶

大學碩士學位論文，２００７．

[ ６ ] 鄭培群． 嵌入式防火墻過濾規則的設計與算法優化[Ｄ]． 武漢：

武漢理工大學碩士學位論文，２０１０．

[ ７ ] 羅奕． 嵌入式Ｌｉｎｕｘ裁剪及其系統構建的研究與實現[Ｄ]． 長沙：

中南大學碩士學位論文，２００５．

[ ８ ] 韓魯峰， 姚遠， 張其善． 一種基于Ｌｉｎｕｘ嵌入式系統的防火墻

的開發[Ｊ]． 微計算機應用，２００５，２６（４）：４０７－４１０．