高吞吐量协作防火墙的双向去冗余方法

针对协作防火墙中冗余规则会降低其吞吐量的问题,提出一种基于双向去冗余的高吞吐量协作防火墙优化方法.该方法通过比对协作防火墙中双方的防火墙规则,双向去除域内防火墙之间的冗余规则,提高整个协作防火墙的数据包过滤能力.仿真实验结果表明,该方法的冗余率达到了22.7％,提高了8.2％吞吐量,明显优于已有协作防火墙优化方法.     

基于Visual prolog语言的专家系统

目前专家系统的应用领域非常的广泛,解析防火墙配置的问题很自然的由一个专家系统来解决.防火墙通过控制和检测网络之间的信息交换和访问行为来实现对网络安全的有效管理.其中防火墙的包过滤规则是根据网络安全的实际需要来制定的,而管理防火墙规则变得越来越复杂,并且容易出错.本文提出了解析防火墙规则的专家系统方案及其实现,实现了防火墙过滤规则正确性检查以及对于规则的处理等功能.对于提高防火墙的智能性产生了积极的作用.     

防火墙规则的分析及优化

本文用准确的数学模型定义防火墙规则之间的关系，提出了一系列优化算法。如果规则存在冗余、不一致，立即反馈给管理员。通过优化规则可以加快包过滤的速度，对规则配置自动分析。     

多线程防火墙过滤模块的设计与实现

根据包过滤的工作原理,利用网络处理器的优势,设计一种基于Intel IXP2400网络处理器的防火墙安全解决方案,包括过滤模块过滤规则的程序描述、数据结构、设计流程和功能实现.最后,以LINUX的IPCHAIN防火墙为例进行测试,测试结果表明:与传统的防火墙相比,该设计方案性能优越,具备较高的吞吐量.     

基于默认规则及冲突检测的防火墙规则优化算法

防火墙过滤规则集的日益增大以及规则间存在的相互冲突严重影响了网络的性能。对防火墙匹配优化算法进行研究和改进,在使用统计分析方法提高了规则调整动态性的基础上,结合规则间的冲突检测进行预优化,同时提出将默认规则分离出一部分进行合并操作,将生成的新规则参与原规则集的次序调整。仿真结果证明该方法有效的降低了防火墙规则匹配时间,提高了防火墙性能。     

一种面向区块链的优化PBFT共识算法

区块链技术具有去中心化,数据不可篡改和数据透明等特点,使得该技术的应用领域不断扩展,但目前应用于区块链系统的共识算法存在着资源浪费和共识效率较低等问题,限制了区块链技术的发展.针对此问题,基于实用拜占庭容错算法(Practical Byzantine Fault Tolerance,PBFT),算法的基本思想,提出了一种优化的共识算法.该算法引入积分机制,根据节点积分挑选参与共识的节点,以降低网络中的通信开销;在不存在拜占庭节点的情况下,优化PBFT算法的一致性协议;引入升降级机制,动态更新参与共识的节点集合,以保证算法在大部分时间内都执行优化一致性协议.实验结果表明:与PBFT算法相比,本文提出的共识算法将共识过程的时间复杂度从O(N~2)下降到O(N),有效降低了网络中的通信开销,平均时延从55ms降到37ms,平均吞吐量从342TPS提升到677TPS.     

防火墙中动态过滤技术的研究与实现

分析了现在防火墙产品中数据包过滤技术存在的缺陷，针对静态规则的包过滤技术，提出了动态过滤机制。从理论上给出了实现这种动态过滤机制的过滤规则，并在ＵＤＰ过滤中实现。     

一种基于SFDD的状态防火墙规则集比对方法

状态防火墙是一种新型防火墙,而传统防火墙决策图(FDD)构造算法并不适用于状态防火墙的规则集比对.本文在FDD基础上,提出一种状态防火墙决策图(SFDD)构造算法,将规则集转化成图形化的等价的SFDD,用于状态防火墙规则集比对.理论分析和仿真实验结果表明,利用SFDD构造算法进行比对,能有效检测出规则集之间的全部不同点;当状态防火墙的状态部分规则和无状态部分规则条目数量均达到3 000时,比对过程所耗费的平均时间不超过2s.     

流过滤防火墙分析与设计

防火墙作为维护网络安全的关键设备,在目前采用的网络安全的防范体系中,占据着举足轻重的位置。防火墙流过滤技术是一种新型的防火墙体系结构,真正融合了包过滤和应用代理安全性及优点。本文提出了一种流过滤防火墙模型,克服了应用代理型防火墙的缺点和普通包过滤防火墙安全性差、控制不了应用层等的缺陷,解决了由于数据包过大,影响系统性能的问题,提高了系统抗攻击性,动态地保护了网络的安全。     

基于动态路由的SPIN路由协议改进

基于信息协商的传感器网络路由协议(SPIN)数据转发过于复杂、重复转发相同数据包的问题影响了SPIN协议转发时的网络吞吐量,增加了丢包率,缩短了网络的生命周期。针对以上问题,提出了一种动态路由信息协商传感器协议D-SPIN协议,其在SPIN协议基础上加入了动态路由表建立算法和验证下一跳id选择性转发策略,该方法可有效提高网络吞吐量,减少了丢包率,延长了网络时延。利用NS2仿真软件进行仿真,仿真结果表明,D-SPIN协议比SPIN协议在网络吞吐量、丢包率和网络时延等性能参数上有较大的提高。     

FPC: A New Approach to Firewall Policies Compression

Firewalls are crucial elements that enhance network security by examining the field values of every packet and deciding whether to accept or discard a packet according to the firewall policies. With the development of networks, the number of rules in firewalls has rapidly increased, consequently degrading network performance.In addition, because most real-life firewalls have been plagued with policy conflicts, malicious traffics can be allowed or legitimate traffics can be blocked. Moreover, because of the complexity of the firewall policies, it is very important to reduce the number of rules in a firewall while keeping the rule semantics unchanged and the target firewall rules conflict-free. In this study, we make three major contributions. First, we present a new approach in which a geometric model, multidimensional rectilinear polygon, is constructed for the firewall rules compression problem.Second, we propose a new scheme, Firewall Policies Compression(FPC), to compress the multidimensional firewall rules based on this geometric model. Third, we conducted extensive experiments to evaluate the performance of the proposed method. The experimental results demonstrate that the FPC method outperforms the existing approaches, in terms of compression ratio and efficiency while maintaining conflict-free firewall rules.     

一种网络内容快速动态检测方法

高速网络内容检测与过滤依赖于快速多模式匹配算法按预先定义的模式集对分组的任意位置内容进行匹配。模式集往往有成千上万条,长短不一且十分复杂。多模式匹配算法对存贮器的访问速度很敏感,算法的好坏往往成为系统的性能瓶颈。另外,新的攻击层出不穷导致模式内容不断变化,如何在检测的同时有效地更新模式集合对网络安全设备在不停机检测条件下实现规则的升级与更新尤其重要。针对上述问题,提出了一种松散耦合的双通道线速动态内容检测方法,快速通道利用可动态查询的并行Counting Bloom filter引擎过滤网络分组。过滤出的嫌疑分组送慢速通道利用高效动态模式匹配算法一步准确鉴别和分析,从而避免对正常分组的阻碍达到线速检测。基于程序局部性原理,采用了额定长度前缀的方法实现了对长模式的可扩展性。分析与模拟试验表明,检测方法具有较高的吞吐性能,可以实现线速动态深度分组检测,同时减少了硬件资源开销,提高了可扩展性。     

一种公交网络客流分配方法及其实用性研究

在现有公交客流分配方法的基础上,提出了完整的公交网络设计概念,并给出了公交网络的表示方法。根据公交线路特性,分析了换乘、发车频率、票价对客流分配的影响,将其考虑到公交网络的属性中,给出了网络中各种阻抗的计算方法。然后根据Log it模型提出公交网络客流分配方法和指标计算方法,并对此设计了实例进行计算和分析,其过程显示公交线网的特征,结果符合实际情况,计算速度也较快。提出的分配方法适用于公交客流分配,同时可以用于大型网络计算,扩展了公交规划算法的理论。     

基于线性均方误差的无线自组网TCP定时器改进

对无线自组网TCP数据流重传定时器(RTO)与传输回路时间(RTT)的关系进行仿真和分析:指出在RTT剧烈振荡的无线多跳网络环境下RTO值(TRTO)的变化会滞后于RTT值(TRrT)的变化,导致TRro估计不准确:利用线性均方(LMS)误差估计理论改进TRro的估计算法.实验结果表明:基于LMS的TRTo估计算法能准确的估计TCP数据传输的TRTT,减少TCP数据传输中的伪重传,提升无线环境下TCP协议的数据吞吐量.     

应用控制的Web服务器磁盘缓冲方法

针对大数据负载时磁盘I／O阻塞造成的Web服务器性能下降的问题，提出了应用程序控制缓冲（ACC）方法．其核心是，缓冲跟踪模块根据应用程序的文件访问过程来跟踪内核中的文件缓冲状态，缓冲控制模块进行缓冲替换和预取，保持文件缓冲有足够的空闲空间．这样，服务器可在用户空间控制文件缓冲，从而准确判断文件是否在缓冲之中，并依此来调度请求，以提高处理器和磁盘的I／O并行度．同时，服务器可采用适应自身特点的缓冲和预读策略，以提高缓冲的命中率．作为示例，将ACC在Flash服务器中实现，实现中选用了“金字塔选择”缓冲算法．实验表明，在大数据负载下使用ACC的Flash服务器性能有很大的提高，即便在数据负载稍大于物理内存空间的情况下，服务器的吞吐率仍可提高约24．4％，而当数据负载超出物理内存2～3倍时，吞吐率可提高3～4倍。     

基于用户反馈和增量学习的垃圾邮件识别方法

为了提高垃圾邮件识别的准确度,减少识别中的错判,提出了一种交互式垃圾邮件识别方法。该方法用一组具有特定权重的规则识别垃圾邮件,规则权重分布用改进遗传算法训练得到。增加用户与服务器间的交互,收集用户反馈的错判信息,根据反馈信息用增量学习动态调整规则权重。通过对SpamA ssass in扩展实现了该方法,并应用在邮件服务器上进行了测试。实验中在不影响垃圾邮件识别率的前提下,降低误判率约10%。实验结果表明:该方法不但能有效减少识别中的误判,而且避免了繁琐的重新训练,加快了规则权重的更新速度。     

轨道交通网络的可达性及其网络结构分析

以分析轨道交通网络结构为目的,利用可达性对上海3个不同时期的轨道交通网络的通行效率进行了分析.实证分析结果显示,可达性会随着地铁网络规模的增大呈下降趋势.为了阐释出现这种现象的原因,随后对各时期的网络进行结构分析.分析结果显示,3个网络的平均距离和平均最短路径对网络的可达性影响极小,而作为轨道交通网络特有的度分布现象对其影响较大.同时,分别将3个网络与保持度分布不变的随机网络进行了可达性和网络效率的对比,结果表明,轨道交通网络的便利性与网络效率仍有很大的提高空间.     

基于代理服务器的Intranet防火墙的设计与实现

代理服务器通过在应用层上控制进出网络的权限使网络服务得到监控,因此可以取代或增强网络防火墙的功能。分析了代理服务器的工作原理,提出了两种典型的基于代理服务器的Ｉｎｔｒａｎｅｔ防火墙方案,并以实例讨论了其实现方法。     

Throughput Gain of Random Wireless Networks with Physical-Layer Network Coding

This study analyzes the impact of Physical-layer Network Coding (PNC) on the throughput of a large random wireless network,including one-dimensional and two-dimensional networks.Three different transmission schemes,(1) a traditional flow-based scheme,(2) a network coding scheme,and (3) the PNC scheme are compared to show that the PNC scheme improves wireless network throughput by a constant factor without changing the scaling law compared to the traditional flow-based and network coding schemes.Furthermore,PNC can reduce the effect of interference for the one-dimensional networks,and has a tighter throughput bound for the two-dimensional network.