1、在典型的分布式防火墻模型中，由策略控制中心統(tǒng)一管理安全策略的制定和分發(fā)工作。隨著網(wǎng)絡規(guī)模的不斷擴大，策略控制中心的負載越來越重，同時分布式防火墻規(guī)則的制定也越來越復雜，如果在策略規(guī)則的定義和分發(fā)過程中稍有不慎，就會造成策略異常，導致網(wǎng)絡脆弱從而給全網(wǎng)帶來安全隱患。因此，分布式防火墻策略分發(fā)和分類研究對分布式防火墻技術的發(fā)展有著重要意義。 本文首先分析研究了具有代表性的分布式防火墻系統(tǒng)模型的設計及實現(xiàn)方案，總結了分布式防火墻實現(xiàn)的

2、關鍵技術，歸納了當前該研究領域中各種策略分發(fā)技術，同時指出了目前這些策略分發(fā)技術的缺陷以及不完善之處。然后本文提出了一個三層分布式防火墻的模型，引入?yún)R聚防火墻的概念，通過匯聚防火墻代理主機防火墻的策略申請和證書申請以及轉發(fā)策略和證書的工作，有效分擔了策略控制中心的負載，解決策略分發(fā)中的鏈路擁塞問題，消除了系統(tǒng)安全性能瓶頸。同時還對匯聚防火墻的功能進行了有效擴展。在三層分布式防火墻模型的基礎之上，本文制定了“推送”、“索取”和“查詢”結合

3、的策略分發(fā)機制來確保策略分發(fā)的及時性和有效性，并詳細闡述了該策略分發(fā)機制的實現(xiàn)過程。為了在分布式異構環(huán)境下實現(xiàn)策略分發(fā)，本文選擇XML語言來描述分布式防火墻的安全策略，并深入研究了基于SOAP協(xié)議的分布式防火墻策略分發(fā)的原理及其技術可行性。 其次，針對當前提出的基于域的策略分類思想，本文通過在KevNote模型上進行的實例分析，證明了該思想的可行性，也說明了該思想的不足之處在于用戶遷移時策略管理復雜以及策略更新的困難性。文中提出

4、了基于成員角色權限的策略分類思想，并將成員角色權限封裝在屬性證書中，使管理員貼近機構和人員的組織形式和資源的分布來實施策略的分類制定和管理維護，更有利于策略分發(fā)的安全性和有效性。文中詳細表述了防火墻策略規(guī)則的定義、基于成員角色權限策略分類方案及添加規(guī)則算法，并給出了屬性證書封裝成員角色權限的實現(xiàn)過程。 最后，本文設計了一個基于SOAP的分布式防火墻安全策略分發(fā)系統(tǒng)，詳細描述了策略控制中心及節(jié)點防火墻各個子功能模塊，給出了該系統(tǒng)關