嵌入式IPv6防火墻的工作流程：

(1) 當IPv6 數(shù)據(jù)包通過網(wǎng)絡接口進入防火墻之后，首先將經(jīng)過動態(tài)NAT模塊進行網(wǎng)絡地址翻譯，其目的是將外部公網(wǎng)IP與內部私網(wǎng)IP相互映射。

(2) 在完成動態(tài)NAT 之后，防火墻會遍歷連接狀態(tài)跟蹤信息表判斷該數(shù)據(jù)包是否屬于一個已經(jīng)存在連接。此連接狀態(tài)跟蹤信息表記錄著已存在連接的源IP 地址、目的IP 地址、傳輸層的源端口號、目的端口和TCP 序列號等，通過這些信息防火墻可以高效快速的識別出該數(shù)據(jù)包是否屬于一個已經(jīng)存在的連接。

(3) 如果該數(shù)據(jù)包不屬于一個已經(jīng)存在的連接，系統(tǒng)會調用智能數(shù)據(jù)包過濾規(guī)則集，并逐條遍歷整個規(guī)則集。與此同時防火墻會動態(tài)地建立并更新過濾規(guī)則匹配信息表，根據(jù)該信息表，系統(tǒng)采用統(tǒng)計、記憶、概率和決策的智能方法對數(shù)據(jù)進行識別，動態(tài)地優(yōu)化過濾規(guī)則優(yōu)先級。智能的數(shù)據(jù)識別方法，消除了匹配檢查所需要的海量計算，高效發(fā)現(xiàn)網(wǎng)絡行為的特征值，直接進行訪問控制，由于這些方法多是人工智能學科采用的方法，因此又稱為智能訪問控制技術。

(4) 如果該數(shù)據(jù)包通過了過濾規(guī)則集的審查，或者該數(shù)據(jù)包屬于一個已經(jīng)存在的連接，防火墻會對數(shù)據(jù)包是否含有特定內容進行檢測，此時防火墻僅僅對數(shù)據(jù)包的關鍵信息進行檢測，因此大大加快了檢測的效率和速度。

(5) 如果該數(shù)據(jù)包未能通過狀態(tài)跟蹤安全策略，或者未能通過智能包過濾規(guī)則集，防火墻會拒絕或者丟棄該數(shù)據(jù)包，并進行日志記錄。

(6) 在數(shù)據(jù)包通過了上述的過濾和審查后，防火墻就會將該數(shù)據(jù)包轉發(fā)到最終的目的地址，并且防火墻會在其連接狀態(tài)跟蹤信息表中為此次會話創(chuàng)建或者更新一個連接信息。防火墻將會使用這個連接項對返回的數(shù)據(jù)包進行過濾。

5 結束語

本文對防火墻技術做了深入研究，設計了基于S3C2440 處理器的嵌入式IPv6 防火墻。該防火墻實現(xiàn)了支持IPv6 協(xié)議的狀態(tài)跟蹤與智能包過濾相結合的動態(tài)包過濾。并成功搭建了遠程WEB 管理平臺，方便地管理過濾規(guī)則、防火墻日志和網(wǎng)絡狀態(tài)等。隨著IPv6 網(wǎng)絡的逐漸推廣，包括防火墻在內的網(wǎng)絡設備對IPv6網(wǎng)絡的支持將成為必然趨勢。因此基于ARM的嵌入式IPv6防火墻的應用前景也會越來越廣闊。