毕业设计（论文）Linux下的防火墙程序研发.doc

图书分类号：密 级：毕业设计(论文)Linux下的防火墙网页程序研发LINUX IPTABLES WEB APPLICATIONS UNDER DEVELOPMENT学生学号学生姓名学院名称信电工程学院专业名称计算机科学与技术指导教师2011年6月8日 徐州工程学院学位论文原创性声明本人郑重声明： 所呈交的学位论文，是本人在导师的指导下，独立进行研究工作所取得的成果。除文中已经注明引用或参考的内容外，本论文不含任何其他个人或集体已经发表或撰写过的作品或成果。对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标注。本人完全意识到本声明的法律结果由本人承担。论文作者签名： 日期： 年 月 日徐州工程学院学位论文版权协议书本人完全了解徐州工程学院关于收集、保存、使用学位论文的规定，即：本校学生在学习期间所完成的学位论文的知识产权归徐州工程学院所拥有。徐州工程学院有权保留并向国家有关部门或机构送交学位论文的纸本复印件和电子文档拷贝，允许论文被查阅和借阅。徐州工程学院可以公布学位论文的全部或部分内容，可以将本学位论文的全部或部分内容提交至各类数据库进行发布和检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。论文作者签名： 导师签名： 日期： 年 月 日 日期： 年 月 日摘要随着Internet的迅猛发展，安全问题成为了网络信息传输的头等大事，针对安全问题，我们引入了防火墙的概念。本系统基于Linux系统，核心是Linux下的强大的netfilter/iptables工具，由于Linux下的操作为命令行模式，对普通用户的使用造成了极大的不便，本系统使用B/S模式，将防火墙设置简洁直观的用网页的方式显示出来，以Java+Mysq+Tomcat为平台，使用Eclipse工具编写。本系统将实现数据包过滤、端口映射等防火墙必备功能。关键词 Internet；Linux；Eclipse；Mysql；Java；Tomcat；防火墙；安全；AbstractWith the rapid development of Internet, safety problems became the priority of network information transmission, according to security issues, we introduce the concept of the firewall.This system is based on Linux, the core is the powerful tool of netfilter/iptables under Linux, because the under Linux operation is command-line mode, for the operation of the use of ordinary users, caused a great inconvenience, this system uses B/S model, the firewall Settings concise intuitive way with web pages, in order to show Java+Mysq+Tomcat Mysq , Eclipse tool used to writte platform. This system will achieve the packet filtering, port mapping etc. Function necessary firewall.Keywords Internet Linux Eclipse Mysql Java Tomcat Firewall Safe目 录1系统概述11.1研究背景及意义11.2论文总体结构12系统关键技术及介绍22.1防火墙技术简介22.1.1 Linux下的防火墙22.1.2 IPTABLES简介22.1.3 IPTABLES结构22.2 B/S模式和开发平台42.2.1 B/S模式42.2.2开发工具与开发环境的介绍43系统设计63.1防火墙结构设计63.1.1防火墙设计构图63.1.2防火墙设计思想63.2系统数据库设计73.2.1 ER图73.2.2数据表设计93.3前台代码设计123.4后台代码设计134系统实现144.1防火墙管理154.1.1防火墙规则列表154.1.2防火墙规则添加/编辑174.1.3防火墙规则的删移动184.2端口映射管理194.2.1DNAT管理194.2.2SNAT管理214.3常用参数设置IPIP-MAC服务224.3.1IP管理224.3.2 IP mac绑定234.3.3服务管理24结论29致谢30参考文献31附录32附录132附录2351系统概述1.1研究背景及意义随着Internet的迅猛发展，安全问题成为了网络信息传输的头等大事，针对安全问题，我们引入了防火墙的概念，。防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，防火墙能够有效的限制外部网络对内部网络的访问，并且对内部网络提供的服务进行映射，从而有效的保护内部网络。对于Internet上的系统，不管是什么情况都要明确一点：网络是不安全的。因此，虽然创建一个防火墙并不能保证系统100安全，但却是绝对必要的。1.2论文总体结构论文的总体结构如下：第二章是系统关键技术介绍。主要介绍了防火墙原理、数据包结构、B/S模式和开发平台；第三章是系统设计。本章主要介绍了系统的总体设计，包括防火墙规则设计、数据库设计，前台代码设计以及后台代码设计；第四章是系统实现。本章主要展示系统的实现过程，通过系统截图和关键代码说明；最后，对论文进行总结。2系统关键技术及介绍2.1防火墙技术简介2.1.1 Linux下的防火墙Linux提供了一个非常优秀的防火墙工具netfilter/iptabels。它完全免费、功能强大、使用灵活、可以对流入和流出的信息进行细化控制，且可以在一台低配置机器上很好地运行。2.1.2 IPTABLES简介netfilter/iptabels应用程序，被认为是Linux中实现包过滤功能的第四代应用程序。netfilter/iptables包含在2.4以后的内核中，它可以实现防火墙、NAT（地址转换）和数据包的分割等功能。由两个组件netfilter 和 iptables 组成:Ø netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。Ø iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。由两个组件netfilter 和 iptables 组成。 netfilter/iptables从ipchains和ipwadfm（IP防火墙管理）演化而来，功能更加强大。习惯上把netfilter/iptabels简称为iptables。2.1.3 IPTABLES结构iptables包含三个表：filter表、nat表、mangle表。filter表包含以下三个链：Ø INPUT：主要与封包想要进入我们 Linux 本机有关Ø OUTPUT：主要与我们 Linux 本机所要送出的封包有关Ø FORWARD：封包转递到后端的计算机中nat表包含以下三个链：Ø PREROUTING：在进行路由判断之前所要进行的规则Ø POSTROUTING：在进行路由判断之后所要进行的规则Ø OUTPUT：与发送出去的封包有关以下为IPTABLES示意图:图2-1 IPTABLES示意图图2-2为数据包的结构图：图2-2 数据包结构图2.2 B/S模式和开发平台2.2.1 B/S模式Ø B/S模式的概念B/S（Browser/Server，浏览器/服务器）模式又称B/S结构。它是随着Internet技术的兴起，对C/S模式应用的扩展。在这种结构下，用户工作界面是通过IE浏览器来实现的。B/S模式最大的好处是运行维护比较简便，能实现不同的人员，从不同的地点，以不同的接入方式（比如LAN, WAN, Internet/Intranet等）访问和操作共同的数据。Ø B/S与C/S的对比及优势1投入成本比较。B/S结构软件一般只有初期一次性投入成本。对于集团来讲，有利于软件项目控制和避免IT黑洞，而C/S结构的软件则不同，随着应用范围的扩大，投资会连绵不绝。 2硬件投资保护比较。在对已有硬件投资的保护方面，两种结构也是完全不同的。当应用范围扩大，系统负载上升时，C/S结构软件的一般解决方案是购买更高级的中央服务器，原服务器放弃不用，这是由于C/S软件的两层结构造成的，这类软件的服务器程序必须部署在一台计算机上；而B/S结构则不同，随着服务器负载的增加，可以平滑地增加服务器的个数并建立集群服务器系统，然后在各个服务器之间做负载均衡。有效地保护了原有硬件投资。 3企业快速扩张支持上的比较。对于成长中的企业，快速扩张是它的显著特点。对于C/S结构的软件来讲，由于必须同时安装服务器和客户端、建设机房、招聘专业管理人员等，所以无法适应企业快速扩张的特点。而B/S结构软件，只需一次安装，以后只需设立账号、培训即可。2.2.2开发工具与开发环境的介绍Ø Java语言的特点及优势Java是一种简单的，面向对象的，分布式的，解释型的，健壮安全的，结构中立的，可移植的，性能优异、多线程的动态语言。Java语言的优良特性使得Java应用具有无比的健壮性和可靠性，这也减少了应用系统的维护费用。Java对对象技术的全面支持和Java平台内嵌的API能缩短应用系统的开发时间并降低成本。Java的编译一次，到处可运行的特性使得它能够提供一个随处可用的开放结构和在多平台之间传递信息的低成本方式。Ø MySQL的介绍MySQL是一个小型关系型数据库管理系统，目前MySQL被广泛地应用在Internet上的中小型网站中。由于其体积小、速度快、总体拥有成本低，尤其是开放源码这一特点，许多中小型网站为了降低网站总体拥有成本而选择了MySQL作为网站数据库。Ø Eclipse和Tomcat的介绍Eclipse 是一个开放源代码的、基于 Java 的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括 Java 开发工具（Java Development Tools，JDT）。Tomcat 是一个轻量级应用服务器，由于运行时占用的系统资源小，扩展性好，支持负载平衡与邮件服务等优点，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。3系统设计3.1防火墙结构设计3.1.1防火墙设计构图防火墙设置主要包括防火墙管理和端口映射管理，IP管理、IP MAC管理、服务管理为防火墙管理和端口映射管理提供参数图3-1 系统结构防火墙设置防火墙管理新建规则编辑规则删除规则规则位置移动服务管理新建编辑删除IP管理新建编辑删除IP MAC管理新建编辑删除端口映射管理DNAT SNAT新建规则编辑规则删除规则规则位置移动3.1.2防火墙设计思想作为一个防火墙，对于数据包的过滤是必须的。由图1-1可以看出,数据包的经过防火墙的流程为:1.从Nat表的PREROUTING链进入防火墙；2.进行路由判断，路由分析数据包判断目的地址为防火墙本机还是防火墙后面的主机；3.目的地址为防火墙本机，数据包会依次经过Filter表的INPUT链，本地进程处理，FILTER表的OUTPUT链,NAT表的POSTROUTING链，然后送出防火墙。目的地址如果不是本机，则经过Filter表的FORWARD链,NAT表的POSTROUTING链送入后面的主机；经过以上分析，不难看出，Filter的INPUT FORWARD两个链和NAT表的PREROUTING是数据包的必经之路，由于PREROUTING不便于数据包分别控制，那么防火墙的过滤功能由INPUT FORWARD实现，这两个链默认为DROP，即不接受所有的数据包，除了防火墙程序本身必须的端口以外所有的端口都将由界面添加，INPUT链用于保护防火墙，FORWARD用于保护防火墙后面的主机。防火墙的另外一个重要功能就是端口映射，端口映射可以将防火墙后面的主机的地址、端口映射到防火墙主机的任意未使用的端口上面，以此来实现保护后面主机的功能。实现端口映射功能主要是通过NAT表的PREROUTING链和POSTROUTING链来实现，PREROUTING链实现目的地址转换，即DNAT；POSTROUTING链实现源地址转换，即SNAT。通过DNAT、SNAT的合理设置就可以实现端口映射功能和代理上网功能。3.2系统数据库设计本系统采用MySQL数据库。在Mysql数据库中创建enlink数据库，建立6张数据表：firewall、fwdnat、fwsnat、fwip、fwipmac、fwservice本数据库设计时本着相互关联的设计思想设计的，各个表之间通过ID进行关联。3.2.1 ER图(1)firewall防火墙规则表ER图如图3-2所示图3-2 防火墙规则表ER图FirewallIdNameSourceipSourceip2DestipDestipmaskServiceApplicationwebFilterEnableEthinEthoutnumSourcemask2destmask2selectsourceipselectdestipDestip2timeflagtimestarttimestopdays(2)fwdnat DNAT表ER图如图3-3所示action图3-3 防火墙规则表ER图fwdnatIdNameSourceipSourceip2DestipDestipmasksourceservicesourceinterfacewebFilterEnableEthinEthoutnumSourcemask2destmask2selectsourceipselectdestipDestip2timeflagtimestarttimestopdays(3)fwsnat SNAT表ER图如图3-4所示action图3-4 防火墙规则表ER图fwsnatIdNameSourceipSourceip2DestipDestipmasksourceservicesourceinterfacewebFilterEnableEthinEthoutnumSourcemask2destmask2selectsourceipselectdestipDestip2timeflagtimestarttimestopdays(4)fwip IP表ER图如图3-5所示Id图3-5 防火墙规则表ER图fwipnamemaskvirtualipethnum(5)fwipmac IPMAC绑定表ER图如图3-6所示fwipmacidipmac图3-6 防火墙规则表ER图(6)fwservice 服务表ER图如图3-7所示fwserviceicmptypes图3-7 防火墙规则表ER图Idnameprotocolports3.2.2数据表设计(1)Firewall表设计:表3-1 Firewall字段名中文类型&长度&是否为空&主键id序号bigint(20) NOT NULL 主键name名称char(20) NULLsourceip源地址1char(20) NULLsourceip2源地址2char(20) NULLdestip目的地址1char(20) NULLdestmask目的地址2char(20) NULLservice服务char(40) NULLapplication应用char(20) NULLwebFilter过滤表char(1) NULLaction动作char(10) NULLenable是否启用char(1) NULLethin数据进口char(5) NULLnum编号int(10) NULLethout数据出口char(5) NULLsourcemask2源地址子网掩码2char(20) NULLdestmask2目的地址子网掩码2char(20) NULLselectsourceip选择的源地址char(1) NULLselectdestip选择的目的地址char(1) NULLdestip2目的地址2char(20) NULLtimeflag是否启用时间char(1) NULLtimestart开始时间char(1) NULLtimestop结束时间char(1) NULLdays星期xchar(1) NULL(2)fwdnat表设计:表3-2 Fwdnat字段中文类型&长度&是否为空&主键id序号bigint(20) NULL 主键name名称char(20) NULLsourceinterface源接口char(20) NULLwire接口char(20) NULLsourceip源地址char(20) NULLinnerinterface数据进口char(20) NULLdestip目的地址char(20) NULLsourceservice源服务char(20) NULLdestservice目的服务char(20) NULLstate状态char(1) NULLnum编号int(10) NULLsourceip2源地址2char(20) NULLsourcemask2源地址子网掩码2char(20) NULLdestip2目的地址2char(20) NULLdestmask2目的地址子网掩码2char(20) NULLselectsourceip选择的源地址char(1) NULLselectdestip选择的目的地址char(1) NULLipmac是否启用Ipmac绑定char(1) NULLipmacidsIpmac绑定char(10) NULLtimeflag是否启用时间char(10) NULLtimestart开始时间char(10) NULLtimestop结束时间char(10) NULLdays星期xchar(10) NULLaction动作char(10) NULLethin数据进口char(10) NULLethout数据出口char(10) NULL(3)fwsnat表设计:表3-3 Fwsnat字段中文类型&长度&是否为空&主键id序号bigint(20) NULL 主键name名称char(20) NULLsourceinterface源接口char(20) NULLwire接口char(20) NULLsourceip源地址char(20) NULLinnerinterface数据进口char(20) NULLdestip目的地址char(20) NULLsourceservice源服务char(20) NULLdestservice目的服务char(20) NULLstate状态char(1) NULLnum编号int(10) NULLsourceip2源地址2char(20) NULLsourcemask2源地址子网掩码2char(20) NULLdestip2目的地址2char(20) NULLdestmask2目的地址子网掩码2char(20) NULLselectsourceip选择的源地址char(1) NULLselectdestip选择的目的地址char(1) NULLipmac是否启用Ipmac绑定char(1) NULLipmacidsIpmac绑定char(10) NULLtimeflag是否启用时间char(10) NULLtimestart开始时间char(10) NULLtimestop结束时间char(10) NULLdays星期xchar(10) NULLaction动作char(10) NULLethin数据进口char(10) NULLethout数据出口char(10) NULL(4)fwip表设计:表3-4 Fwip字段中文类型&长度&是否为空&主键id序号bigint(20) unsigned NOT NULLname名称char(20) NULLipIp地址char(20) NULLmask子网掩码char(20) NULLvirtualip虚拟ip地址int(2) NULLEthnum网卡编号int(10) NULL(5)fwipmac表设计:表3-5 Fwipmac字段中文类型&长度&是否为空&主键id序号bigint(20) NULL 主键IpIp地址char(20) NULLMacMac地址char(20) NULL(6)fwservice表设计:表3-6 Fwservice字段中文类型&长度&是否为空&主键id序号bigint(20) NULL 主键name名称char(20) NULLProtocol协议char(40) NULLPorts端口char(20) NULLIcmptypeIcmp数据包类型char(1) NULL3.3前台代码设计本系统界面使用jsp文件实现,主要结构如下:服务管理,ip管理,ipmac管理用于设置常用的参数；防火墙管理、端口映射管理用于防火墙设置，其中端口映射管理包含DNAT和SNAT两部分,可以分别设置源地址转换和目的地址转换。可以针对端口、地址、接口分别对数据包进行限制。前台文件如下： FirewareAdd.jsp防火墙规则添加界面FirewareList.jsp 防火墙规则列表界面FWDnatAdd.jsp 目的地址转换添加界面FWDnatList.jsp 目的地址转换列表界面FWSnatAdd.jsp 源地址转换添加界面FWSnatList.jsp 源地址转换列表界面FWIpAdd.jsp 预定义IP地址添加界面FWIpList.jsp 预定义IP地址列表界面FWIPMacAdd.jsp IP-Mac 绑定添加界面FWIPMacList.jspIP-Mac 列表界面FWIPVAdd.jsp 虚拟IP地址添加界面FWIPVList.jsp 虚拟IP地址列表界面FWServiceAdd.jsp服务添加界面FWServiceList.jsp服务列表界面以上文件实现了网页防火墙的设置界面。总体上来说，*Add.jsp文件为规则添加界面，*List.jsp文件为规则列表界面。前台代码设计如图3-8所示:图3-8 前台设计图 防火墙设置端口映射管理防火墙管理SNATDNAT参数Ip管理Ipmac管理服务管理3.4后台代码设计后台java代码基于strtus框架，从前台接收到参数以后通过strtus-config文件执行相关操作，首先将参数保存到数据库当中，然后根据参数生成相应规则写入文件，并保存到linux下的配置目录中并执行。后台代码主要由action和form组成：*Action.java文件中主要包含业务逻辑实现代，*Form.java文件为实体类，主要用于保存前台传来的参数。后台设计文件如下：FireWareAddAction.java 防火墙规则添加功能FireWareListAction.java 防火墙规则列表显示、管理功能FWDnatAddAction.java 目的地址转换规则添加功能FWDnatListAction.java 目的地址转换列表显示、管理功能FWIpAddAction.java 预定义IP地址添加功能FWIpListAction.java 预定义IP地址列表显示、管理功能FWIPMacAddAction.java IPMAC绑定添加功能FWIPMacListAction.java IPMAC绑定列表显示、管理功能FWIPVAddAction.java 虚拟IP地址添加功能FWIPVListAction.java 虚拟IP地址列表显示、管理功能FWServiceAddAction.java 服务添加功能FWServiceListAction.java 服务列表显示、管理功能FWSnatAddAction.java 源地址转换规则添加功能FWSnatListAction.java 源地址转换规则列表显示、管理功能后台代码设计如图3-9所示:前台strtus-config后台数据库脚本文件查询action写入数据库写入并执行文件查询数据库图3-9 后台设计图 4系统实现4.1防火墙管理在防火墙管理中您可以通过设定具体的规则，从而对网络访问进行过滤，可以设置需要过滤的IP地址、接口、服务，以及满足规则是所执行的动作。4.1.1防火墙规则列表图4-1 防火墙规则列表 如图4-1所示，在本界面上可以实现对防火墙规则的添加，编辑、删除、移动功能，点击名称或者选中要编辑的规则以后点击编辑按钮可以进入规则编辑界面；选中任意一条规则点击向上移或者向下移可以改变规则在系统中的位置以达到不同的目的。在页面上列出数据库中保存的规则需要检索数据库并且放入一个list里面并传到前台，实现代码如下：String sql = "select A.id id,A.name name,A.action action,A.enable enable,A.num num,A.sourceip2 sourceip2,A.sourcemask2 sourcemask2," +"B.name service,C.name destip from fireware A,fwservice B,fwip C " +"where A.service=B.id and A.destip=C.id and num=?"PJPreparedStatement ps = new PJPreparedStatement(myform.getConn(),sql);ps.setString(1, rs1.getString("num");rs = ps.executeQuery();while (rs.next() String sourceip = rs.getString("sourceip2")+"/"+rs.getString("sourcemask2");i = i + 1;if (i > (Integer.parseInt(myform.getCurrentPage() - 1)* pageCount&& i <= Integer.parseInt(myform.getCurrentPage()* pageCount) ArrayList mylist = new ArrayList();mylist.add(rs.getString("id");mylist.add(rs.getString("name");mylist.add(sourceip);mylist.add(rs.getString("destip");mylist.add(rs.getString("service");mylist.add(rs.getString("action");mylist.add(rs.getString("enable");mylist.add(rs.getString("num");list.add(mylist);/上移 private void doDownward(FWDnatListForm myform) throws SQLException, IOException, ExShowOnPageTop, InterruptedException / TODO Auto-generated method stub int num; String sql = "" PJPreparedStatement ps = null; sql = "select num from fwdnat where id = ?" ps = new PJPreparedStatement(myform.getConn(), sql); ps.setString(1, myform.getUserIdList()0); ResultSet rs = ps.executeQuery(); if(rs.next() num = Integer.parseInt(rs.getString("num"); String sql1 = "select max(num) from fwdnat" PJPreparedStatement ps1 = new PJPreparedStatement(myform.getConn(), sql1); ResultSet rs1 = ps1.executeQuery(); if(rs1.next() int num1 = Integer.parseInt(rs1.getString("max(num)"); if(num < num1) String sql2 = "select id from fwdnat where num = ?" PJPreparedStatement ps2 = new PJPreparedStatement(myform.getConn(), sql2); ps2.setString(1, Integer.toString(num+1); ResultSet rs2 = ps2.executeQuery(); if(rs2.next() String userId = rs2.getString("id");String sql3 = "update fwdnat set num = ? where id = ?"PJPreparedStatement ps3 = new PJPreparedStatement(myform.getConn(), sql3); ps3.setString(1, Integer.toString(num); ps3.setString(2, userId); ps3.executeUpdate(); sql = "update fwdnat set