主要研究如何通过基于Windows操作系统内核的包过滤防火墙系统来实现网络安全
防护。基于操作系统内核的包过滤防火墙系统是基于网络层实现的包过滤防火墙系统，该系统要求
能够对所有进出计算机的IP数据包进行灵活控制，实现包过滤的核心问题是如何截获所有的IP数据
包。首先介绍了包过滤防火墙的基本结构和原理，然后在剖析操作系统内核的基础上，研究并设计了
基于Windows操作系统内核的包过滤防火墙系统。
关键词：操作系统内核，包过滤防火墙，NDIS，NIC，TCP／IP
中图分类号：TP393．08
0引言
2l世纪是网络信息安全的世纪，信息获取能力和
信息安全保障能力是当今世界各国奋力抢占的制高
点。目前我国使用的交换机、路由器等网络互联设备
几乎都是国外产品，一些国内的应用系统也是建立在
国外操作系统基础之上的。所以，建立我国自主的网
络信息安全保障体系具有重要意义。
当前使用Windows操作系统的用户占90％以上，
如何保护这些用户的信息安全，特别是解决由TCP／IP
协议的缺陷引起的Intemet安全问题具有重要意义。
本文主要研究如何通过基于Windows操作系统内核的
包过滤防火墙系统来实现网络安全防护。
1包过滤防火墙
典型的防火墙是通过执行访问控制策略来达到网
络安全的一个或一组软、硬件系统，它隔离了内部和外
部网络，是内外网络通信的唯一途径。它能根据制定
的访问控制规则对经过它的信息流进行监控和审查，
过滤掉任何不符合控制规则的信息，以保护内部网络
不受外界的非法访问和攻击。
包过滤防火墙往往可以用一台过滤路由器来实
现，对所接收的每个数据包做允许／拒绝的决定。路由
器审查每个数据包，以便确定其是否与某一条包过滤
规则匹配。过滤规则基于可以提供给IP转发过程的
包头信息。包头信息中包括IP源地址、IP目的地址、
内装协议(ICP、UDP、ICMP或IP Tunnel)、TCP／UDP目
标端口、ICMP(网际控制报文协议)消息类型和TCP
收稿
