常规的防火墙使用户定义一组规则控制允许合法的网络流量进出系统。防火墙根据这些规则检查数据包的头信息以确定拒绝哪个数据包以及接受哪个数据包,但是它只能对IP包的五元组进行分析,并不能对隐藏在数据包中的不良内容进行过滤。虽然自Linux 2.6.14内核之后,Linux防火墙增加了一个string模块利用字符串匹配功能实现针对字符串内容过滤,但该string模块只支持使用KMP和BM算法实现精确的字符串匹配功能,对那些经过刻意隐藏和伪装的攻击内容无能为力,而且过滤效率和准确性都有待进一步提高。本文基于Linux系统Netfilter框架的可扩充性,提出了一个对网络信息进行内容过滤的系统,能够解决传统防火墙不能阻止隐蔽在数据包内容里的攻击的问题。该系统以透明网桥模式部署在网络环境中,安放在交换机和路由器之间,对流入流出局域网的数据包进行检测和过滤,从而保障局域网内部的各个主机以及服务器等设备的安全。论文设计并实现了对应用层协议HTTP协议和DNS协议的过滤,其中对HTTP报文的过滤主要进行了URL过滤和Web内容过滤。同时,在具体过滤的过程中,根据过滤的应用层协议特征和具体内容采用相应的规则链表进行正则表达式匹配,提高了过滤的速度和效率。特别是针对URL部分的过滤,在常规过滤基础上,增加了对带参数URL的参数部分进行关键词过滤的功能。所设计系统利用Linux的Netfilter机制对数据包进行捕获和分析,并根据用户定义的一组规则匹配数据包,将包含不良信息的数据包过滤掉,从而构建出一种安全有效的内容过滤系统。本文对所设计的系统进行了测试,结果证明其能够满足系统设计的要求,成功实现了过滤掉不良信息的功能。