① 收 稿时 问： １．卜１ ； ２ ０１ ７收到修 改稿 时问 ： １—２２ ０ ２ ０１．５ ０

　　为实现 Ｎｅ ｌｒ ｔ ｔ 结构，在这 五个参考点对应的函 ｉ ｆｅ 数 中各 引入 了一行对 Ｎ ＿ Ｏ Ｏ 函数的一个相应 Ｆ Ｈ ＯＫ 宏 的调用 。这个宏检测相应的钩 子函数链表是否为空，

　　的市场培育 ，虚拟 化已经在 很多企业得 到成功应用 ， 其应用范 围也从测试平 台、边缘业 务逐渐渗透 到企业 关键 的核心业 务。

　　务器硬件上 ，并且将一个物理服务器分区为多个虚拟 机 。它的工作 原理是 ：将每个虚拟机与主机及其他虚 拟机相 隔离 ，确保在某个虚拟机崩溃时不会影响其他 虚拟机 。虚拟机之 间不会泄露数据 ，而且应用程序只

　　址改成虚拟机 的 ｉ ｐ地址 ，这样互联 网网络的用户通过 转发也可以访 问虚拟服务。 由于虚拟化的 ｄ ｍｚ区域和 防火墙本身集成在一台

　　／ ｂ ｎｉ ｔｂ ｅ Ｐ Ｉ Ｐ ｓ ｉ ／ｐ ａ ｌｓ— Ｎ ＵＴ ＤＲＯＰ ／ｂ ｎｉ ｔｂ ｅ Ｐ ＯＵ Ｐ ｓ ｉ／ｐ ａ ｌｓ— Ｔ Ｔ ＤＲＯＰ Ｕ ／ｂｎ ｉ ｔｂ ｅ Ｐ Ｆ ｓ ｉ／ｐ ａ ｌｓ— ＯＲＷ ＡＲＤ ＡＣＣＥＰ Ｔ

　　能通过配置 的网络连接进行通信 。在物理服务器 上安 装 ｆ ｕ 操作系统 ， ｉ ｘ ｎ 共享 内网连接互联 网，并且对外转 发各种 服务 ，该服 务器 就成 为代理 服务器 。在 基于

　　如图 １ ，本文 的网络拓 扑结构 ，方形 区域为接入 外 网 的一 台曙 光服 务器 ， 不 是硬 件 路 由器 ，安 装 ｃｎ ｓ． ｅｔ ５ ｏ ４版本的 ｌ ｕ ｉ ｘ操作系统 ，具有三块千兆网卡 ， ｎ 接 口 ＩＡ Ｅｅ Ｏ 网卡连接外 网 Ｉｔ ｅ，ｉ 地址为 Ｆ Ｃ ：ｈ ｔ ｎｒｔ ｐ ｅ ｎ ６ ． ９ ．， 口ＩＡ Ｅｅｈ 连接企业 内网， １ ３．４ 接 １ ０ ＦＣ： ｌ ｔ 左上方椭 圆区域是内网用户 ，网络地址为 １２１ ８ ． ２ ，单位 ９ ． ．０ ４ ６ ０／ 用户通过防火墙的代理共享上 网。虚线方形 区域 内， 在 ｃｎｏ５４ ｅ ｔｓ．下安装 ｖ ｌ ａ ｒｅ ２ ｒｗ ｒ ｓ ｖ ｒ ． ｌ ｅ ｅ ０虚拟软件，可 以

　　Ｋｅ ｒ ： ｍｗａ ｅｓ ｒ ｅ ； ｉｔ ｌ ｃ ｉ ｅ ｆｒ ｗａｌ ｐ ｏ ｙ ｓ ｒ ｅ ； ｅｆｌｅ ｙｗｏ ｄｓ ｖ ｒ ｅ ｖ ｒ ｖｒｕａ ｍａ ｈ ｎ ； ｅ ｌ； ｒ ｘ ｅ ｒ ｎ ｔ ｔｒ ｉ ｖ ｉ

　　服 务器虚拟化是将服务器物理资源抽 象成逻辑 资 源，让一台服务器变成几 台甚至上百台相互 隔离 的虚

　　可 以通 过 代 理 服 务器 浏 览 互 联 网 网 络 ， 同 时实 现 数 据 通信。

　　拟服务器 ，或者让几 台服务器变成一台服 务器来用 ， 不再受 限于物理上的界限， 而是让 Ｃ Ｕ、内存 、 Ｐ 磁盘 、 Ｉ ／ Ｏ等硬件变成 可以动态管理的 “ 资源池 ” ，从而提 高 资源的利用率 ，简化 系统管理 ，实现服务器整合 ，让

　　ｒ 对业务的变化更具适应力 。ＶＶ ａｅＳｒｅ ｒ ／ｗ ｒｅｖｒ是托管 １ 虚拟化平台，可像应用程序一样安装在任何现有 的服

　　ＨａＡＳ ｔ 进行改进后发布的，完全免 费，在物理服务器 上安装 ｃｎｏ５４ ｅｔｓ．操作系统 ，对在物理主机 上的操作系 统成为宿主机 ，内核升级到 ２ ． 。 ．２ ６８ 作为一种网络 或系统 之间强制实行访 问控 制的机 制 ，Ｌｎ ｘ操作系统上的防火墙软件特 点显著， ｉ ｕ 在系统 的稳定性、健壮性及价格 的低廉 性方面 都独具优势 。 更 为 重 要 的 是 ，Ｌｎ ｘ 不 但 本 身 的源 代 码 完 全 开 ｉｕ

　　ｅ ｈ Ｉ ｒ ｃｓ ｓｎ ｔｉ ｖ ／ｐ ｆ ｒ ｒ ｃ ｏ １＞ ｐ ｏ ｌｙ ／ ｅｌｐ ４ｉ ｏ ｗａ ｄ

　　ｉ ｔｂ ｅ —ｔ ａ —Ａ ＲＥＲ０ＵＴ Ｇ — ．３ ０．＼ ｐ ａ ｌｓ ｔ ｎ Ｐ ｄ６１１ ９． ４

　　Ｐｔ — ｐ ｒ８ 一 Ｎ ｐ ｄ ｏｔ ０ Ｊ ＡＴ 一 ｔ １２１．３８ ｃ Ｄ － ７ ． ０ ： ｏ ６． ０

　　以上命令在 ｎ 表 的 Ｐ Ｅ Ｏ ＴＮ 链 中添加规 ｔ ａ Ｒ Ｒ Ｕ ＩＧ 则服务器代理访问外网ip， 凡是从 ｅ ０ 口进来 的， 问公网 Ｉ 地址的 ｗ ｂ ｔ 接 ｈ 访 Ｉ ） ｅ

　　把 ｎｔｌ ｒ ｅ ｔ 架构的防火墙和 ｖ ａ ｅｖｒ ｉ ｆｅ ｍｗ ｒ ｓ ｅ 的虚拟化技术集成在一起 ，既起企业 防火墙作用 ，又建立 了多个虚拟 ｅ ｒ 服务器 ，提供各种服务 。利用虚拟化技术和免 费开源软件 ，应用于 中小型网络，降低成本 ，便于管理，易于维

　　关键词 ：ｖ ａｅ ｅ ｅ；虚拟机 ；防火墙；代理服务器 ；ｎｔｌ ｒ ｍｗ ｒ ｒ ｒ ｓｖ ｅ ｉｅ ｆｔ

　　Ａｂ ｔ ａ ｔ ｈｅ ｔｃ ｎ ｌｇ “ ｅ ｖ ｒｖ ｒｕ ｌｚ ｔ ｎ ｈ ｓｂ ｅ ｎ ｇ ａ ｕ ｌｍ ａｕ ｅ ａ ｄ ｂ ｅ ｕｎ ｗｉｅ ｓ ． １ｅ ｋ ｒ ｅ ｓｒ ｃ ：Ｔ ｅ ｈ ｏ ｏ ｙ ｓ ｒ ｅ ｉｔ ａｉａｉ ” ａ ｅ ｎ ｉ ｒ ｄ ａ ｔｒ ｎ ｅ ｎ ｐ ｔｉ ｄ ｒｕ ｅ １ １ ｅｎ ｌ ｏ

　　于 以后宿 主机 的补 丁升级 或者 安装 各种所 需要 的组 件 。不推荐在宿主机系统 中安装 过多的服务 ，影响宿 主机和虚拟服务的性能。

　　在宿主机上安装 ｌ ｕ ｉ ｘ版本 的 ｖ ａ ｅｖｒ．， ｎ ｍｗ ｒ ｓ ｅ２ ｅ ｒ ０ 安装 后运行 ｖ ａｅ ｏ ｇ ｇ ｌ进行对 Ｖ ｌａｅｓｒｅ ｍｗ ｒ－ ｎ ｆ ． ｃ ｉｐ １ｗ ｒｅｖｒ Ｔ 配置，期 问注意的是，输入在 ｖ ｗａ ｍ ｒ ｅ官网申请的序 列号，网 的连接 模式选 择 ｈ ｓ ｎ ，网络地址输入 ｏｔ ｌ ｏｙ

　　要： 服务器虚拟化技术 己逐渐成熟， 且应用越来越广泛。 基于 Ｌｎ ｘ操作系统 的内核防火墙具有强大的功能。 ｉｕ

　　架 ，该框架定义的一个子 功能的实现就 是包过滤子系 统 。 ｅｆｔ 比以前任 何一版 Ｌｎ ｘ内核的防火墙子系 Ｎ ｔ ｌｒ ｉｅ ｉｕ 统都要完善强大 。ｐ ｂｅ 是基 于 ｎｔｌ ｒ ｉｔ ｌ ａ ｓ源自文库ｅ ｔ 框架 的工具 ， ｉ ｆｅ 但却有更强的可扩展性，把它称 为 ｉｔ ｌ 防火墙 。 ｐａ ｅ ｂｓ

　　火墙无法 比拟的。 宿主机 的 Ｃ ｎＯ 系统可 以根据个人需要，有选 ｅｔＳ 择 的添加组件 。 建议最小化安装 Ｃ ｎＯ ， ｅ ｔ Ｓ 保留 ｙ ｍ 用 ｕ

　　注册的钩子 函数 ，则继续完成 Ｉ 层 中的后续处理。 Ｉ ） 对宿主机 的 ｉｔ ｌ 进行基本的初始化配置 ， ｐａ ｅ ｂｓ 设置 防火墙策 略的默认配置。首先要开启防火墙 的路 由功 能，从而是数据可 以在 防火墙 的各个接 口之 问转发， 使用以下命令实现： ｌ

　　建立多个虚拟机，在虚拟机上建立各种服 务，图 １里 建立 了 ｗ ｂ服务器作例。 ＡＣ ：ｈ 连 接虚线的椭圆， ｅ Ｉ Ｆ Ｅｅ ２ ｔ 为 日后资金宽余作扩展区域，可以建立真正的 ｄ ｍｚ区 域 。在本模型里 ，把 ｄ ｍｚ区域放 到防火墙里 ，用虚拟 化技术建立虚拟机 ，完成 ｄ ｚ区域的功能。 ｍ

　　ｉ ｅ ｌ ｓｄ ｎ ｔ ｐ ｒ ｔ ｙ ｔｍ ｌｎ ｘ ｓｐ ｗｅｆ １ Ｗ ｔ ｎ ｅ ｒ ｔ ｎ ｏ ｅｆ ｔ ｅ ｌ ｒｌ ｕ ｎ ｅ ｖ ｒ ｆｒｗａ ｌ ａ ｅ ｏ ｅ ｏ ｅ ａｉ ｇ ｓ ｓｅ “ｉ ｕ ”ｉ ｏ ｒｕ ． ｉｈｔ ｅｉ ｔｇ ａ ｏ ｆｎ ｔ ｌ ｒｆｒｗａ ｌ ｏ ｎ ｘ ａ ｄ ｓ ｒ ｅ ｂ ｈ ｎ ｈ ｉ ｉ ｅ ｉ ｆ ｉ ｖｒｕ ｉａｉ ｎｏｆｖ ｉｔａ ｚ ｔｏ ｍｗ ａｅ ｓｒ ｅ ，ｔｃ ｌ ｗｏ ｋ ａ ｈ ｎ ｅｐ ｉｅ ｆ ｅ ａｌ ｓｗｅｌａ ｅ ｓｒ ｅ ｉｔ ａｉａ ｉｎ ｗｈ ｃ ｒ ｖｄ ｓ ｌ ｒｅ ｒ ｉａｌ ｒ ｓｔｅ ｅ ｔｒ ｒｓ ｉ ｗ ｌ ａ ｌ ｔ ｅ ｖ ｒｖｒｕ ｚ ｔ ｉｈ ｐ ｏ ｉｅ ｖ ｒ ｓ ｈ ｌ ｏ ａｌ ｉ ｄ ｆｓ ｒ ｉｅ ． ｅ ｓ ｒ ｅ ｉｔ ａｉａ ｏ ．ｔｇ ｔ ｅ ｔｒ ｅｏ ｅ —ｏ ｒｅ ｓ ｆｗａｅ ｉ ｐ ｌ ｎ ｓ ｌ ａ ｄ ｍ ｅ ｉ ｍ ｌ ｋ ｎ ｓｏ ｅ ｖｃ ｓ Ｔｈ ｅｖ ｒｖｒｕ ｚ ｆ ｎ ｏ ｅ ｒｗｉ ｆｅ ｐ ｎ ｓ ｕ ｃ ｏ ｌ ｉ ｈ ｈ ｔ ｒ ｓａ ｐ ｉ ｉ ｍａｌ ｎ ｄ ｕ ｄ ｅ ｓｚ ｄｎ ｔ ｒ ｒｔ ｅｂ ｎ ｆｔ ｆｌ ｗ ｏ ｔ ｅ ｆｃｉ ｅｍ ａ ａ ｅ ｅ ｔ ｎ ｉｅ ｔ ａｎ ｅ ａ ｃ ． ｉ ｅ ｅｗｏ ｋ ｆ ｅ ｅ ｏ ｈ ｉ ｏ ｏ ｃ ｓ， ｆｅ ｔ ｎ ｇ ｍ ｎ ｄ ｄｒ ｃ ｉ ｔｎ ｎ ｅ ｖ ａ ｍ

　　；虚 机１ 虚 机２ 拟 拟 ；Ｗｂ 务 ｅ服 器 ； ；Ｉ１ ．Ｄ Ｐ７２ ：２ｏ ３ ｉ

　　Ｓ ｒ ｅ ｒｕａ ｉ ａ ｉ ｎ ｅ ｉｈ ｏ ｙ Ｓ ｒ ｅ ｅ ｖ ｒＶｉ ｔ ｌｚ ｔｏ Ｕｓ ｄ Ｏｌｔ ｅＰｒ ｘ ｅ ｖ ｒ

　　（ ｆｒ ｔ ｎＣ ｎｅ， ｕ ｊ ｔｍｏｉ ｎ ｉｅｒ ｇＳ ｈ ｏ， ｕ ｉ １ ０ ０ Ｃ ｉａ Ｉ ｏｍａ ｏ ｅ ｔｒＷ ｘ Ａｕｏ ｔ ｅ ｇｎ ｅｉ ｃ ｏ ｌＷ ｘ ４ ０ ， ｈｎ ） ｎ ｉ ｖＥ ｎ ２