- 基于S3C2440 处理器的支持IPv6协议防火墙设计实现

3 嵌入式IPv6防火墙的软件设计

嵌入式IPv6 防火墙系统的软件编写采用了模块化程序设计的方法。模块化编程有利于程序设计任务的划分，使程序易于编写和调试，便于检验和维护。

本系统将启动代码（Bootloader），Linux 操作系统（网卡驱动、协议栈），防火墙模块（智能包过滤，状态跟踪等）和WEB管理模块（Boa服务器）都编写成独立模块。

系统软件层次结构如图2所示。

图2 嵌入式IPv6防火墙软件层次结构图。

第一层：启动代码（Bootloader）。它是芯片复位后进入操作系统之前执行的一段代码，主要是为操作系统的启动提供基本的运行环境，如初始化CPU、初始化存储器系统等。本系统选用U-Boot 作为系统的Bootloader.

第二层：Linux 操作系统，屏蔽了对底层硬件的具体操作，为上层应用提供了丰富的支持，包括底层设备驱动，网卡驱动和网络协议栈等。在Linux操作系统下，开发者只需关注于应用软件编程，大大节省了系统的开发时间。

第三层：防火墙模块（智能包过滤，状态跟踪等），该模块是嵌入式防火墙系统的核心，其包括动态NAT 模块：负责对进出防火墙的数据包进行地址翻译；状态跟踪模块：维护网络的会话连接信息，协助智能包过滤模块进行连接状态的跟踪，是实现状态检测包过滤（动态包过滤）的关键模块；智能包过滤模块：根据访问控制表（ACL）对进出网络的数据包进行过滤，并对过滤规则进行统计，记忆和决策，动态优化过滤规则优先级列表，实现高速高效的包过滤处理功能。

第四层：WEB管理模块，以CGI语言为基础，构建Boa服务器平台。通过该模块用户可以方便地查看防火墙日志，添加或修改过滤规则，调整过滤规则的优先级，监控防火墙网络状态等。