简单的基于PLD硬件防火墙毕业设计

- - -..目录第一章绪论1引言1课题设计介绍2第二章防火墙介绍32.1 什么是防火墙及防火墙的作用32.2 防火墙的架构42.3防火墙的技术实现42.4 防火墙的特点5第三章硬件防火墙63.1硬件防火墙的基本功能63.2防火墙实现基础原理83.2.1 包过滤防火墙93.2.2 应用网关防火墙103.2.3 状态检测防火墙113.2.4 复合型防火墙12第四章网络防火墙的硬件实现134.1网络防火墙的硬件结构134.1.2 USB2.0接口芯片CY7C68013144.2 TCP/IP协议栈在UCOSII下的实现15第五章利用PLD做一个硬件防火墙165.1MAX+PLUSⅡ软件安装和使用165.1.1概述165.2 MAX+PLUSⅡ设计硬件防火墙程序实例195.2.1 设计程序部分195.2.2波形仿真部分21结束语22致谢24参考文献25第一章绪论引言随着现代科学技术的迅猛发展，能源问题、环境问题的日益成为人民所关注的问题。

在电子科学领域也在以前所未有的革新速度，向着功能多样化，体积最小化、功耗最低化的方向迅速发展。

现代电子产品在设计上有了新的突破：大量使用大规模的可编程逻辑器件，以提高产品的性能，缩小产品的体积，降低产品的消耗；广泛使用现代计算机技术，以提高电子设计的自动化程度，缩短开发周期，提高产品的竞争力。

CPLD就是这样一个例子，PLD技术的发展，将大量复杂电路缩小到一块小芯片上实现原来电路的功能。

课题设计介绍本设计就以硬件防火墙的实现为主要内容，简单介绍各类防火墙的实现，应用、及功能。

然后就PLD为设计实例来具体说明硬件防火墙的原理实现。

1、就硬件防火墙而言，一般具备一下的基本功能要求：(1) 当设置的特真码与输入的代码相同时输出就按照防火墙的功能对其处理。

(2) 当设置的特真码与输入的代码不同时输出原代码。

2、对PLD设计硬件防火墙的要求：(1) 能在MAX+ PLUS II平台上设计硬件代码，并编译通过。

(2) 用仿真能实现防火墙的基本功能。

第二章防火墙介绍2.1 什么是防火墙及防火墙的作用防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。

它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。

它是提供信息安全服务，实现网络和信息安全的基础设施。

随着网络规模的扩大和开放性的增强，网络上的很多敏感信息和XX数据将受到很多主动和被动的人为攻击。

一种解决办法是为需要保护的网络上的每个工作站和服务器装备上强大的安全特征(例如入侵检测)，但这几乎是一种不切合实际的方法，因为对具有几百个甚至上千个节点的网络，它们可能运行着不同的操作系统，当发现了安全缺陷时，每个可能被影响的节点都必须加以改进以修复这个缺陷。

另一种选择就是防火墙(Firewall)，防火墙是用来在安全私有网络(可信任网络)和外部不可信任网络之间安全连接的一个设备或一组设备，作为私有网络和外部网络之间连接的单点存在。

防火墙是设置在可信任的内部网络和不可信任的外部网络之间的一道屏障，它可以实施比较广泛的安全策略来控制信息流，防止不可预料的潜在的入侵破坏. DMZ外网和内部局域网的防火墙系统。

2.2 防火墙的架构防火墙产品的三代体系架构主要为：第一代架构：主要是以单一cpu作为整个系统业务和管理的核心，cpu有x86、powerpc、mips等多类型，产品主要表现形式是pc机、工控机、pc-box或risc-box等；第二代架构：以np或asic作为业务处理的主要核心，对一般安全业务进行加速，嵌入式cpu为管理核心，产品主要表现形式为box等；第三代架构：iss（integrated security system）集成安全体系架构，以高速安全处理芯片作为业务处理的主要核心，采用高性能cpu发挥多种安全业务的高层应用，产品主要表现形式为基于电信级的高可靠、背板交换式的机架式设备，容量大性能高，各单元及系统更为灵活。

2.3防火墙的技术实现从Windows软件防火墙的诞生开始，这种安全防护产品就在跟随着不断深入的黑客病毒与反黑反毒之争，不断的进化与升级。

从最早期的只能分析来源地址，端口号以及未经处理的报文原文的封包过滤防火墙，后来出现了能对不同的应用程序设置不同的访问网络权限的技术；近年来由ZoneAlarm等国外知名品牌牵头，还开始流行了具有未知攻击拦截能力的智能行为监控防火墙；最后，由于近来垃圾插件和流氓软件的盛行，很多防火墙都在考虑给自己加上拦截流氓软件的功能。

综上，Windows软件防火墙从开始的时候单纯的一个截包丢包，堵截IP和端口的工具，发展到了今天功能强大的整体性的安全套件。

2.4 防火墙的特点一般防火墙具备以下特点：1、控制对特殊站点的访问，广泛的服务支持：通过将动态的、应用层的过滤能力和认证相结合，可实现浏览器、HTTP服务器、FTP等。

2、提供监视Internet安全和预警的方便端点，对私有数据的加密支持，保证通过Internet进行的虚拟私人网络和商务活动不受损坏。

3、客户端认证只允许指定的用户访问内部网络或选择服务，过滤掉不安全服务和非法用户。

4、反欺骗：欺骗是从外部获取网络访问权的常用手段，它令数据包像是来自网络内部。

防火墙能监视这样的数据包并扔掉它们。

5、C/S模式和跨平台支持：能使运行在一平台的管理模块控制另一平台的监视模块。

6、保护：保护网络免受对电子服务的攻击。

第三章硬件防火墙硬件防火墙是指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。

网络级防火墙一般根据源、目的地址做出决策，输入单个的IP 包。

一台简单的路由器是“传统的”网络级防火墙，因为它不能做出复杂的决策，不能判断出一个包的实际含意或包的实际出处。

现代网络级防火墙已变得越来越复杂，可以保持流经它的接入状态、一些数据流的内容等等有关信息。

许多网络级防火墙之间的一个重要差别是防火墙可以使传输流直接通过，因此要使用这样的防火墙通常需要分配有效的IP地址块。

网络级防火墙一般速度都很快，对用户很透明。

3.1硬件防火墙的基本功能防火墙的基本功能防火墙系统可以说是网络的第一道防线，因此一个企业在决定使用防火墙保护内部网络的安全时，它首先需要了解一个防火墙系统应具备的基本功能，这是用户选择防火墙产品的依据和前提。

一个成功的防火墙产品应该具有下述基本功能：防火墙的设计策略应遵循安全防X 的基本原则——“除非明确允许，否则就禁止”；防火墙本身支持安全策略，而不是添加上去的；如果组织机构的安全策略发生改变，可以加入新的服务；有先进的认证手段或有挂钩程序，可以安装先进的认证方法；如果需要，可以运用过滤技术允许和禁止服务；可以使用FTP和Telnet等服务代理，以便先进的认证手段可以被安装和运行在防火墙上；拥有界面友好、易于编程的IP过滤语言，并可以根据数据包的性质进行包过滤，数据包的性质有目标和源IP地址、协议类型、源和目的TCP/UDP端口、TCP包的ACK位、出站和入站网络接口等。

如果用户需要NNTP（网络消息传输协议）、XWindow、HTTP和Gopher等服务，防火墙应该包含相应的代理服务程序。

防火墙也应具有集中的功能，以减少SMTP服务器和外界服务器的直接连接，并可以集中处理整个站点的电子。

防火墙应允许公众对站点的访问，应把信息服务器和其他内部服务器分开。

防火墙应该能够集中和过滤拨入访问，并可以记录网络流量和可疑的活动。

此外，为了使日志具有可读性，防火墙应具有精简日志的能力。

虽然没有必要让防火墙的操作系统和公司内部使用的操作系统一样，但在防火墙上运行一个管理员熟悉的操作系统会使管理变得简单。

防火墙的强度和正确性应该可被验证，设计尽量简单，以便管理员理解和维护。

防火墙和相应的操作系统应该用补丁程序进行升级且升级必须定期进行。

正像前面提到的那样，Internet每时每刻都在发生着变化，新的易攻击点随时可能会产生。

当新的危险出现时，新的服务和升级工作可能会对防火墙的安装产生潜在的阻力，因此防火墙的可适应性是很重要的。

3.2防火墙实现基础原理防火墙通常使用的安全控制手段主要有包过滤、状态检测、代理服务。

下面，我们将介绍这些手段的工作机理及特点。

包过滤技术是一种简单、有效的安全控制技术，它通过在网络间相互连接的设备上加载允许、禁止来自某些特定的源地址、目的地址、TCP端口号等规则，对通过设备的数据包进行检查，限制数据包进出内部网络。

包过滤的最大优点是对用户透明，传输性能高。

但由于安全控制层次在网络层、传输层，安全控制的力度也只限于源地址、目的地址和端口号，因而只能进行较为初步的安全控制，对于恶意的拥塞攻击、内存覆盖攻击或病毒等高层次的攻击手段，则无能为力。

状态检测是比包过滤更为有效的安全控制方法。

对新建的应用连接，状态检测检查预先设置的安全规则，允许符合规则的连接通过，并在内存中记录下该连接的相关信息，生成状态表。

对该连接的后续数据包，只要符合状态表，就可以通过。

这种方式的好处在于：由于不需要对每个数据包进行规则检查，而是一个连接的后续数据包（通常是大量的数据包）通过散列算法，直接进行状态检查，从而使得性能得到了较大提高；而且，由于状态表是动态的，因而可以有选择地、动态地开通1024号以上的端口，使得安全性得到进一步地提高。

代理服务型防火墙，代表某个专用网络同互联网进行通讯的防火墙，类似在股东会上某人以你的名义代理你来投票。

当你将浏览器配置成使用代理功能时，防火墙就将你的浏览器的请求转给互联网；当互联网返回响应时，代理服务器再把它转给你的浏览器。

代理服务器也用于页面的缓存，代理服务器在从互联网上下载特定页面前先从缓存器取出这些页面。

内部网络与外部网络之间不存在直接连接。

代理服务器提供了详细的日志和审计功能，大大提高了网络的安全性，也为改进现有软件的安全性能提供了可能。

但会降低网络性能，所以在一般情况下都不使用。

3.2.1 包过滤防火墙包过滤防火墙一般在路由器上实现，用以过滤用户定义的内容，如IP地址。

包过滤防火墙的工作原理是：系统在网络层检查数据包，与应用层无关。

这样系统就具有很好的传输性能，可扩展能力强。

但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容，所以可能被黑客所攻破。

图4.1 包过滤防火墙工作原理图3.2.2 应用网关防火墙应用网关防火墙检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。

然而，应用网关防火墙是通过打破客户机／服务器模式实现的。

每个客户机／服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。