CN101325588A

CN101325588A - 一种网络设备防攻击的方法以及网络设备

Info

Publication number: CN101325588A
Application number: CNA2007101111054A
Authority: CN
Inventors: 武绍芸
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2007-06-11
Filing date: 2007-06-11
Publication date: 2008-12-17

Abstract

本发明公开了一种网络设备防攻击的方法，包括以下步骤：获得当前需要被限制上送至网络设备内控制面的报文类型；针对获得的报文类型设置动作为限制的上送控制表项；根据上送控制表项，限制报文类型对应的报文上送至控制面。另外，本发明又公开了一种网络设备。通过应用本发明所提供的方法以及网络设备，实现了网络设备防攻击的目的，保证了网络设备的正常运行。

Description

一种网络设备防攻击的方法以及网络设备

技术领域

本发明涉及网络安全技术，尤指一种网络设备防攻击的方法以及网络设备。

背景技术

随着网络技术的不断发展，网络的攻击技术也随之越来越多。对于网络中的路由器、交换机等设备来说，由于需要处理大量的业务流量，因此防止其受到攻击，保证设备的正常运行显得尤其重要。

在网络中，如路由器、交换机这类网络设备由于需要计算路径或维护转发表项，以及处理一些设备本地的服务，因此这类网络设备的控制面会从网络设备的转发面收到这些协议或服务的报文并对其进行处理。在本文中，将这类报文称为上送报文。

从网络设备的转发面发送所述上送报文给控制面处理，需要经过上送通道。从具体实现来说，这些上送通道的带宽是有限的，当上送报文过多时，就会造成上送通道堵塞，丢弃部分报文。同时，被上送至控制面的攻击报文也会占用系统的资源，因此，这些实现上的特点容易被攻击者利用。攻击者可以构造大量上送报文，如协议报文、设备本地报文等发送给网络设备，如果转发面将这些报文上送至控制面，上送通道的带宽则会被这些攻击报文所耗尽，其他正常的上送报文就会被丢弃，严重的影响了网络设备的正常运行。

目前，现有技术中通常使用访问控制列表(ACL)和承诺访问速率(CAR)这两种技术实现对上送报文的控制，防止网络设备遭受攻击。ACL技术和CAR技术分别通过如下的技术实现网络设备的防攻击。在ACL技术中通过设置关键字，根据关键字对需要上送的报文进行匹配，根据匹配的结果确定对当前报文是执行上送还是丢弃；而CAR技术则是得到当前所需上送的报文的组号，根据得到的组号将当前报文发送至对应的漏洞或令牌桶，对该组号所对应的报文进行流量控制。在现有技术中，当CAR表从属于ACL表时，则CAR技术中所使用到的组号是根据当前报文匹配ACL表得到的；当CAR表独立使用不从属于ACL表时，则根据当前报文的上送标识(ID)确定对应的组号。由于ACL表项是关键字与其对应动作的对应关系，进而此时所指的CAR表从属与ACL表是指，CAR表项的组号被设置在ACL表项中动作参数。报文首先匹配ACL表项，得到对应的动作参数；再根据动作参数中包含的组号，将当前报文发送至该组号对应的漏洞或令牌桶中进行流量控制。

这两种控制手段，就其技术本身虽然可以对上送的报文进行控制、防止网络设备遭受攻击。但由于ACL表和CAR表在现有技术中均是采用手工、静态配置的方式存在于网络设备上，因此攻击者可以通过学习网络设备配置的ACL表和CAR表，从而避开ACL技术以及CAR技术对报文的限制，使攻击报文能够以正常报文的身份通过转发面发送至控制面，使网络设备遭受攻击。因而，现有技术中静态配置的ACL表以及CAR表已经达不到预期的对报文进行限制、避免网络设备遭受攻击的目的。

发明内容

有鉴于此，本发明实施例的主要目的在于提供一种网络设备防攻击的方法，应用该方法能够动态更新需要限制上送的报文类型，从而防止网络设备遭受攻击。

为达到上述目的，本发明实施例的技术方案是这样实现的：

一种网络设备防攻击的方法，包括以下步骤：

获得当前需要被限制上送至网络设备内控制面的报文类型；

针对所述获得的报文类型设置动作为限制的上送控制表项；

根据所述上送控制表项，限制所述报文类型对应的报文上送至所述控制面。

另外，本发明实施例的又一主要目的在于提供一种网络设备，该网络设备能够防止自身遭受攻击。

为达到上述目的，本发明实施例的技术方案是这样实现的：

一种网络设备，该网络设备至少包括控制单元、处理单元和上送单元；

所述控制单元获得当前需要被限制上送至网络设备内控制面的报文类型，并将所述获得的报文类型发送给所述处理单元；

所述处理单元接收所述报文类型，并针对所述接收的报文类型设置动作为限制的上送控制表项；并将所述上送控制表项下发至上送单元；

所述上送单元接收所述上送控制表项，根据所述上送控制表项限制所述报文类型对应的报文上送至所述控制面。

本发明实施例所提供的一种网络设备防攻击的方法，获得当前需要被限制上送至网络设备内控制面的报文类型；针对获得的报文类型设置动作为限制的上送控制表项；根据上送控制表项，限制报文类型对应的报文上送至控制面，实现了网络设备防攻击的目的。另外，本发明实施例还提供了一种网络设备。本发明实施例所提供的方法以及网络设备，通过动态配置上送控制表项，实现了网络设备能够根据当前上送报文的情况，调整上送控制表项，限制可能的攻击报文，因此实现了网络设备防攻击的目的，保证了网络设备的正常运行。

附图说明

下面将通过参照附图详细描述本发明的示例性实施例，使本领域的普通技术人员更清楚本发明的上述及其它特征和优点，附图中：

图1为本发明实施例方法的示例性流程图；

图2为本发明第一较佳实施例方法的流程图；

图3为本发明第二较佳实施例方法的流程图；

图4为本发明实施例网络设备的结构图。

具体实施方式

为使本发明实施例的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明实施例做进一步的详细说明。

在本发明实施例中，根据当前网络设备处理报文的情况，确定需要限制上送的报文类型；在确定需要限制上送的报文类型之后，针对该报文类型设置动作为限制的上送控制表项；然后，根据设置的上送控制表项限制需要限制上送的报文类型。在本发明实施例的技术方案中，由于是根据当前网络设备处理报文的情况确定需要限制上送的报文，因此能够有效的根据网络设备处理报文的情况设置需要限制上送的报文，从而有效的保护了网络设备免遭攻击。

参见图1，图1为本发明方法的示例性流程图。该流程的具体步骤如下：在步骤101中，获得当前需要被限制上送至网络设备内控制面的报文类型；在步骤102中，针对获得的报文类型设置动作为限制的上送控制表项；在步骤103中，根据上送控制表项，限制报文类型对应的报文上送至控制面。

在本发明实施例中，所提到的上送控制表项可以是ACL表项，也可以是CAR表项。以下针对上送控制表项为ACL表项、以及为CAR表项时，分别列举较佳实施例，对本发明的技术方案进行详细说明。

参见图2，图2为本发明第一较佳实施例方法的流程图。该较佳实施例针对的是上送控制表项为ACL表项的情况。具体流程如下：

在步骤201中，控制面获得需要限制上送的报文类型。

这里，控制面获得需要限制上送的报文类型可以根据网络设备当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型。具体的实现方法可以是：扫描网络设备中当前的保存配置文件，获得网络设备当前需要处理的报文类型；进而根据当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型。这里的配置文件主要用于记录网络设备中的一些配置信息，如配置的路由协议、配置的IP地址等信息。网络设备依据配置文件中的内容实现网络设备的正常运行。因此在本实施例中可以利用设置的配置文件，获得网络设备当前需要处理的报文类型，从而获得需要限制从转发面限制上送至控制面的报文类型。例如，扫描配置文件得到网络设备当前需要使用OSPF协议进行路由的维护，则控制面当前确定需要限制上送的报文类型为除OSPF协议之外的路由协议，例如RIP协议报文。

在网络设备中，设置配置文件的具体操作主要由管理员来完成。由于管理员设置配置文件的时机不确定，因此本较佳实施例中触发控制面获得需要限制上送的报文类型的操作可以有两种实现方法。其中一种是：当增加、或删除、或更新配置文件时，控制面执行获得需要限制上送的报文类型的操作。而另一种是：预先设置限制定时器，当定时器到时控制面执行获得需要限制上送的报文类型的操作。

在步骤202中，控制面在确定了需要限制上送的报文类型之后，将该报文类型对应的ACL表项的动作设置为丢弃(deny)，并将该ACL表项下发至转发面。

这里，由于ACL表项是在网络设备中用来对上送报文进行处理的依据，因此根据配置文件确定的需要限制上送的报文类型，均能对应到ACL表项中的一个关键字、或多个关键字的组合。ACL表项中的关键字通常包括源目的IP地址、源目的端口、以及协议号，一般情况下还能根据实际的情况进行扩展。

在本发明实施例的技术方案中，还可以将CAR表项中使用的上送ID应用到ACL表项中来。其中，上送ID是转发面在上送报文时，为即将上送的报文分配的标识。在本发明实施例中，可以将上送ID作为扩展关键字设置对应的ACL表项。这里，由于上送ID是转发面分配的，因此为了使控制面能够设置关键字为上送ID的ACL表项，需要在控制面设置转发面分配上送ID的规则。控制面根据上送ID的分配规则，确定当前需要限制上送的报文类型所对应的上送ID，然后再将该上送ID对应的ACL表项的动作设置为丢弃。

这里，控制面将设置好的ACL表项下发至转发面的操作可以是，控制面将设置完成的ACL表项下发至转发面，由转发面根据收到的ACL表项执行整个网络设备ACL表的更新；也可以是，控制面自身根据设置完成的ACL表项，更新整个网络设备的ACL表，然后，再将更新后的ACL表下发至转发面。

在步骤203中，转发面在上送报文的过程中，将与动作设置为丢弃的ACL表项对应匹配的报文丢弃。

通过以上的介绍可知，在上送控制表项为ACL表项时，转发面主要通过将需要限制上送的报文执行丢弃，对该ACL表项对应的一类报文执行丢弃的限制操作。实现了根据网络设备当前处理报文的情况，动态配置ACL表项的目的，能够有效的防止网络设备遭受攻击。

参见图3，图3为本发明第二较佳实施例方法的流程图。该较佳实施例针对的是上送控制表项为CAR表项的情况。具体流程如下：

在步骤301中，控制面获得需要限制上送的报文类型。

这里，控制面获得需要限制上送的报文类型可以根据网络设备当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型。具体的实现方法可以是：扫描网络设备中当前的保存配置文件，获得网络设备当前需要处理的报文类型；进而根据当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型。这里的配置文件主要用于记录网络设备中的一些配置，如配置的路由协议、配置的IP地址等信息。网络设备依据配置文件中的内容实现网络设备的正常运行。因此在本实施例中可以利用设置的配置文件，获得网络设备当前需要处理的报文类型，从而获得需要限制从转发面限制上送至控制面的报文类型。例如，扫描配置文件得到网络设备当前需要使用OSPF协议进行路由的维护，则控制面当前确定需要限制上送的报文类型为除OSPF协议之外的路由协议，例如RIP协议报文。

在步骤302中，控制面在确定了需要限制上送的报文类型之后，调整该报文类型对应的CAR表项中限制速率，并根据报文类型和所述限制速率设置对应的CAR表项；将该CAR表项下发至转发面。

这里，CAR表项对应的限制速率确定了对应报文从转发面上送至控制面的速率，因此调整CAR表项的限制速率能够实现对报文进行限制的目的。

当该报文对应CAR表项的限制速率仅包括承诺速率(CIR)时，则可以直接调整该承诺速率。这里，CIR＝基本速率×邻居数×S，其中基本速率为每个网络设备需要占用的最小速率，邻居数为在一定域内通过路由协议与本网络设备互联的结点数，S为调整系数。此时，调整该CIR的方法可以是：调整基本速率、S、邻居数中的一个或多个。

当该报文对应CAR表项的限制速率包括CIR和峰值速率(PIR)时，则可以调整CIR和/或PIR。对于CIR＝基本速率×邻居数×S_cPIR＝基本速率×邻居数×S_p时，其中S_c为CIR的调整系数、S_p为PIR的调整系数，调整限制速率的方法可以是调整基本速率、邻居数、S_c和S_p中的任意一个、两个或全部。但不论采用何种方式，由于CAR技术的实现需要CIR小于PIR，因此在调整限制速率的过程中需要保证S_c小于S_p。

同时，无论CAR技术采用何种实现机制，均可以采用将限制速率降至0的方式。在限制速率仅为CIR的时候，将CIR降至0；当限制速率包括CIR和PIR时，将CIR和PIR均降至0。另外，需要注意的是在本实施例中，为了到达网络设备防攻击的目的，对限制速率的调整不限于仅将限制速率降低，在一定的应用场景中将CAR表项的限制速率提高，也能够实现防攻击的目的。具体的实现机制可以参考CAR技术的具体实现技术而定。

另外，在本实施例中控制面根据报文类型和调整后的限制速率设置对应的CAR表项，可根据现有技术中依据报文类型和调整后的限制速率设置CAR表项的方法执行，具体执行过程在此不再详述。其中将上送ID作为组号的、设置CAR表项的方法，可以参考本发明第一较佳实施例中将上送ID作为关键字设置ACL表项的方法，在此不再详述。这里，控制面将设置好的CAR表项下发至转发面的操作可以是，控制面将设置完成的CAR表项下发至转发面，由转发面根据收到的CAR表项执行整个网络设备CAR表的更新；也可以是，控制面自身根据设置完成的CAR表项，更新整个网络设备的CAR表，然后，再将更新后的CAR表下发至转发面。

在步骤303中，转发面在处理上送报文的过程中，通过匹配控制面下发的CAR表项，根据调整后的限制速率对该CAR表项所对应的一类报文进行流量控制，从而实现了网络设备防攻击的目的。

通过本发明上述的介绍可知，在第一较佳实施例中对报文的限制主要是根据与对应ACL表项的匹配结果对需要限制上送的报文执行丢弃操作；在第二较佳实施例中对报文的限制主要是利用CAR表项所对应的限制速率，对超过所述限制速率的报文进行限制上送的操作。这里，由于都是阻止网络不需要处理的报文的上送，因此能够有效的防止网络遭受攻击。

以上介绍的是本发明实施例方法的流程，以下介绍本发明实施例网络设备的结构。

参见图4，图4为本发明实施例网络设备一较佳实施例的结构图。该网络设备至少包括：控制单元41、处理单元42和上送单元43。其中，控制单元41获得当前需要被限制上送至网络设备内控制面的报文类型，并将获得的报文类型发送给处理单元42。处理单元42接收报文类型，并针对接收的报文类型设置动作为限制的上送控制表项；并将上送控制表项下发至上送单元43。上送单元43接收上送控制表项，根据上送控制表项限制报文类型对应的报文上送至控制面。这里，控制单元41和处理单元42可以位于网络设备的控制面，上送单元43位于网络设备的转发面。

其中，控制单元41确定需要限制上送的报文类型，以及处理单元42设置上送控制表项、下发上送控制表项的具体操作，均可以按照第一、二较佳实施例所描述的方法执行。

另外，在本发明实施例中如果利用配置文件获得当前需要限制上送的报文类型，在如图4所示的组成结构还可以进一步包括配置单元44。该配置单元44主要用于存储网络设备配置文件，对本实施例来说，配置文件就是记录网络设备配置信息文件。相应的，控制单元41根据配置单元44中存储的配置文件，获得网络设备当前不需要处理的报文类型。这里配置单元44位于网络设备的控制面。

本发明实施例的技术方案，由于根据网络设备当前处理报文的情况确定需要限制上送的报文，而在确定了上送报文之后就向转发面下发限制该报文的上送控制表项，因此打破了原上送控制表项静态配置，一旦匹配就不再更新的格局，实现了根据上送报文情况控制表项的动态下发，有效的阻止了对网络设备的攻击，提到了网络设备防攻击能力。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1、一种网络设备防攻击的方法，其特征在于，包括以下步骤：

获得当前需要被限制上送至网络设备内控制面的报文类型；

针对所述获得的报文类型对应设置动作为限制上送的上送控制表项；

2、根据权利要求1所述的方法，其特征在于，所述获得当前需要被限制上送至网络设备内控制面的报文类型的步骤包括：根据所述网络设备当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型。

3、根据权利要求2所述的方法，其特征在于，所述根据网络设备当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型的步骤包括：

扫描所述网络设备中当前的保存配置文件，获得所述网络设备当前需要处理的报文类型；进而根据当前需要处理的报文类型，获得网络设备当前不需要处理的报文类型。

4、根据权利要求3所述的方法，其特征在于，

当增加、或删除、或更新所述配置文件时，执行所述获得当前需要被限制上送至网络设备内控制面的报文类型的操作；

或，预先设置限制定时器，当定时器到时时执行所述获得当前需要被限制上送至网络设备内控制面的报文类型的操作。

5、根据权利要求1所述的方法，其特征在于，所述针对所述获得的报文类型对应设置动作为限制上送的上送控制表项的步骤包括：

控制面根据预先保存的上送标识的分配规则，确定当前所述报文类型所对应的上送标识，然后再将所述确定的上送标识对应的上送控制表项的动作设置为丢弃。

6、根据权利要求1至4中任一权利要求所述的方法，其特征在于，所述上送控制表项为访问控制列表ACL表项；

所述针对获得的报文类型对应设置动作为限制上送的上送控制表项的步骤包括：设置所述报文类型对应动作为丢弃的ACL表项。

7、根据权利要求1至4中任一权利要求所述的方法，其特征在于，所述上送控制表项为承诺访问速率CAR表项；

所述针对获得的报文类型对应设置动作为限制上送的上送控制表项包括：调整所述报文类型对应的限制速率，以设置限制所述报文类型对应报文的CAR表项。

8、一种网络设备，其特征在于，该网络设备至少包括控制单元、处理单元和上送单元；

所述处理单元接收所述报文类型，并针对所述报文类型设置动作为限制的上送控制表项；并将所述上送控制表项下发至上送单元；

9、根据权利要求8所述的网络设备，其特征在于，该网络设备内进一步包括配置单元；

所述配置单元存储记录所述网络设备配置信息的配置文件；

所述控制单元根据配置单元中存储的配置文件，获得所述当前需要被限制上送至网络设备内控制面的报文类型。

10、根据权利要求8或9所述的网络设备，其特征在于，

所述控制单元和处理单元位于网络设备内的控制面；

所述上送单元，位于网络设备内的转发面。