禹定臣 夏跃伟 刘金广

(1.黄淮学院信息工程学院,河南驻马店 463000；2.漯河职业技术学院计算机工程系，漯河 462000 3.黄淮学院信息工程学院，河南驻马店 463000）

1 前言

随着网络技术的不断发展，给人们带来便利的同时，也给人们的网络安全带来了巨大的隐患，如何做到有效的控制网络的安全性成为当今研究的主要课题。防火墙技术就此产生，它是防止网络攻击的重要手段，目前的防火墙技术已经发展到一定的水平，商业产品也有很多，防火墙的主要作用就是防止外部网络对内部网络进行攻击，一个标准的网络防火墙的模型可以如图1。

图1 防火墙模型

2 设计原则及方案

防火墙的设计的一个重要规则就是要使内部网络能够轻松的访问到外部网络，外部网络不能够随意的访问到内部网络。因此，防火墙的设计可以采用两种默认规则：一个是完全的默认所有数据包能够通过，只要预定的一些数据包不能通过。另外一种默认规则就是完全阻止所有的数据包，只有预定的数据包能够通过。本课题采用的默认禁止的策略。根据数据包的来源，禁止或者允许该数据包的通过与否。防火墙设计的规则需要知道数据包的源IP地址、目的IP地址，数据包的源端口和目的端口等信息。

3 防火墙设计实现

1.在网络攻击中，一种常见的攻击方式就是ICMP攻击，这个攻击是采用的向主机发送大量的ICMP数据包，致使主机耗费大量的时间去处理该数据包。在本课题中，为了应对这种攻击，减少主机处理ICMP数据包的处理时间和数量，在单位时间内，限制ICMP数据包的个数，而且为了防止异常的ICMP数据包，限定该包的大小，如果大于规定的数值则认为是异常包，直接丢弃。……