25、网络智能卡中的多级数据包过滤技术

网络智能卡中的多级数据包过滤技术

1 多级数据包过滤概述

在网络安全领域，多级数据包过滤是一种极为重要的技术，它的核心思想是基于安全考量，默认阻止所有数据包，仅允许符合过滤规则的数据包通过。过滤规则通常依据协议头中的信息来确定数据包的通过或丢弃条件。数据包过滤器会检查数据包的协议头，并与过滤规则进行比对，以此决定是否放行数据包。一般情况下，网络栈不会对数据包的有效负载（即用户数据）进行检查。

过滤规则具有多种类型，主要可分为以下几类：
- 静态规则与动态规则 ：网络设备的 MAC 地址通常是固定的，与之相关的过滤规则即为静态规则；而允许的目标 IP 地址列表是动态变化的，其对应的过滤规则则为动态规则。
- 无状态规则与有状态规则 ：检查地址或协议类型的规则属于无状态规则，因为它们无需任何状态信息；依赖连接状态的规则则是有状态规则。有状态规则还可进一步细分为静态和动态规则，但在多级过滤中，这种细分并非必要。

过滤规则的分类如下表所示：
| 规则类型 | 特点 | 示例 |
| ---- | ---- | ---- |
| 静态规则 | 规则固定不变 | 网络设备的 MAC 地址相关规则 |
| 动态规则 | 规则会动态变化 | 允许的目标 IP 地址列表相关规则 |
| 无状态规则 | 无需状态信息 | 检查地址或协议类型的规则 |
| 有状态规则 | 依赖连接状态 | TCP 层连接状态相关规则 |

数据包过滤的建模方式有多种，常见的包括布尔表达式树和有向无环控制流图（CFG），这两种模型在计算上是等价的。