查看: 2573|回复: 0

[原创]遐迩网络Dosnipe防火墙

字体大小: 正常放大

teacheng

1 主题	0 听众	17 积分

升级 12.63%

该用户从未签到

电梯直达

1^#

发表于 2005-10-9 10:31 |只看该作者 |倒序浏览

|招呼Ta 关注Ta

<

>【上海遐迩网络】
<

>我们的选择每一步都是深思熟虑的: 硬件架构部分: 我们采取了工业计算机(工控机),可以承受恶劣的运行环境,稳定性非常好. 操作系统核心部分: 我们研究了FreeBSD,OpenBSD,Linux,NetBSD等诸多OpenSouce的OS的核心代码以及其防火墙机制. 如:IPFW,IPFW2,Ipfilter,Netfilter,PF.. 权衡了各个因素(如:bridge性能,中断机制,POLLing等等),再三研究,最后决定采用FreeBSD的核心, 然后取众家之所长.事实上,测试结果表明: FreeBSD官方的申明绝非吹嘘之言: FreeBSD offers advanced networking, performance, security and compatibility features today which are still missing in other operating systems, even some of the best commercial ones. 有兴趣的朋友可以自行测试看看.或者跟我公司联系,索取测试方法,和一系列针对性优化的文档 心算法部分: 我们不是采用单一的SYNPROXY,SYNCOOKIES,或者所谓的等待重传机制.他们各自都有自己的优缺点. 我们研究了所有的传统防火墙的算法,也是取众家之所长,并且研发出了属于自己的专利算法: 单向一次性非法数据包识别方法 我们所有的Filter机制都是在挂在驱动级的. 至于说详细的原理,我大概提及一下: 我们采用了一系列的验证机制而形成的一套有机的体制,任何一项单一的机制都有其弊端 譬如说指纹验证等等. 业:我们的防火墙只做抗DDOS, 效率和通用是一对双刃剑,也是一对矛盾,在通用和效率面前,我们选择了后者
<

>智能化防御系统，无需任何烦琐操作：自动识别所有主机，按协议类型给出流量报表 自动防护所有攻击，按攻击类型给出流量报表 自动调整核心参数，按优先级别给出用户接口 自动升级核心模块，按升级时间给出日志报表 测试目标：真实的得出本防火墙的各种性能数据
<

>测试型号：DOSNIPE110
<

>测试环境：LAN内、100M交换环境，测试所用报文皆为64字节大小的SYN报文
<

>发包器配置
<

>名称IP地址操作系统配置
<

>发包器1192.168.1.111LINUX 2.6.12双X2.4/1G/36scsi 发包器2192.168.1.112LINUX 2.6.12双X2.8/2G/36scsi 发包器3192.168.1.113FreeBSD 4.10单P4 3.0/512M/80 发包器4192.168.1.114FreeBSD 4.10单P4 2.4/512M/80 网管控制台192.168.1.254Winodws 2kIbm r50e Notebook 受保护机器192.168.1.193FreeBSD 4.10P3 1.0G/128M/40G 交换机无DCS3926S(百M)
<

>测试结果
<

>SYN发送量连接丢失率新连接成功率Ping值 5288.89KB/s0%100%Minimum = 0ms, Maximum = 0ms, Average = 0ms 6599.29 KB/s0%100%Minimum = 0ms, Maximum = 0ms, Average = 0ms 8019.22 KB/s0%100%Minimum = 0ms, Maximum = 0ms, Average = 0ms 9500.22 KB/s1%99%Minimum = 1ms, Maximum = 6ms, Average = 4ms(此时发包交换机已经丢包,到达其物理极限)
<

>注：4台发包器向192.168.1.193同时发起攻击，监控机器ping 192.168.1.193以确立其连通情况。 根据严格的算法，百M线速＝148100pps左右, 换算成KB的话,也就是等于:148100*64/1024=9256.25左右.所以,上海遐迩网络作为直接的防火墙研发的专业机构,在此提醒广大用户,不要被一些纯粹的销售商慌称的”可以防护30万个包”而欺骗,一切结论必须要建立在科学的依据上
<

>附：
<

>发包器部分代码：
<

>tcp=(struct tcphdr *)(buffer +sizeof(struct ip)); tcp->dest=addr->sin_port; tcp->ack_seq=0; tcp->doff=5; tcp->syn=1; tcp->check=0;
<

>while(1) {
<

>ip->ip_src.s_addr=random(); tcp->source=htons(random()); tcp->check=check_sum((unsigned short *)tcp,sizeof(struct tcphdr)); sendto(sockfd,buffer,head_len,0,addr,sizeof(struct sockaddr_in)); }
<

>事实上,目前的很多案例来看,在我们的防火墙没有到极限的时候,上层的router已经开始丢包了. 99.99%的客户面临的不是流量的问题,流量不是真正的杀手.ddos攻击种类中,要以synflood最为典型,它之所以能够如此嚣张,就是因为他的半开式的"以小搏大"的优势以及socket raw的编程方式导致"socket的各个位可以任意填充"而使得追踪攻击源很麻烦的原因. 我们可以做出承诺: 假如说你有100M的带宽,这个时候有90M的攻击流量进来,那么,你的机柜我可以说基本不受影响,事实上,进来的往往都是syn等握手过程中的包.同时由于我们的防火墙的机制是单向不反追的算法,那么尽管有90M的攻击流量,你仍然可以正常使用下载服务.对流出的流量没有任何限制.
<

> 相关文档下载地址：<a href="http://www.sharesec.com/down.html" target="_blank" >http://www.sharesec.com/down.html</A>
<

>咨询电话： 021-58211660 / 021-58513931 　　技术支持 QQ:56000204 / 453270817 　　24小时技术咨询电话:13122444520 / 13122877082 　　MSN: <a href="mailto:xiyang@sharesec.com" target="_blank" >xiyang@sharesec.com</A> / <a href="mailto:tonypys@sharesec.com" target="_blank" >tonypys@sharesec.com</A>

zan