严 宏

（中国民航飞行学院，广汉 618307）

状态检测防火墙连接限制的研究和实现

严 宏

（中国民航飞行学院，广汉 618307）

论述Linux构建的状态检测防火墙中基于CONNTRACK模块实现网络连接数的限制。其实现机制不同于现有的connlimit模块，在统计连接数方面的算法效率更加高效，连接限制的有效性也通过实际测试得以验证。

连接限制；CONNTRACK；netlink；connlimit

在防火墙等网络安全设备中，限制特定网段内主机网络连接数的思路具有很高的实用价值。在管控P2P这类占用大量带宽的网络中，使用端口鉴别和特征码识别技术已不能很好地识别其应用层协议类型。这些P2P应用基本上都采用了随机端口和协议加密等应对策略，而对主机的网络连接数进行限制，P2P应用无法产生大量的网络连接。从而防止了由于管控网络内某些用户使用P2P软件对网络资源的过度消耗，保证了其他用户电子邮件、网页浏览等网络应用的正常使用。

实现对网络连接数的限制，其前提是要对网络连接进行监测并记录，即根据源IPv4地址（以下论述都针对IPv4网络）、目的IPv4地址、源端口、目的端口、传输层协议类型等信息将数据包归属于不同的网络连接并更新相关连接记录数据。这正是状态检测防火墙需要实现的基础功能。由于Linux平台具备开源、扩展性好等优势，被目前不少防火墙软件所采用。在该平台下要实现网络连接的监测记录，可以使用Linux内核中的CONNTRACK模块[2，3]。 本文重点描述基于CONNTRACK模块已记录的网络连接信息实现对连接数进行限制的思路，其中限制的连接数是一个主机作为发起方或回应方在两个方向上的总连接数。……