CN101355567B - 一种对交换路由设备中央处理器进行安全保护的方法 - Google Patents

Abstract

本发明公开了一种对交换路由设备中央处理器进行安全保护的方法，其包括如下步骤：对硬件上送经过限速处理后的报文进行过滤；对过滤处理后的报文进行监控，上送经监控处理后通过的报文给中央处理器。本发明通过对硬件上送的已经经过限速处理的报文再进行过滤和监控处理，降低了可能存在的非法报文对设备的影响，预防了可能存在的网络攻击，从而提高了CPU资源的有效利用率，并在系统受到报文攻击时对CPU起到保护作用。

Description

一种对交换路由设备中央处理器进行安全保护的方法

技术领域

本发明属于计算机网络通信技术领域，具体涉及一种通过对协议报文的处理来对交换路由设备中央处理器进行安全保护的方法。 

背景技术

随着网络技术的高速发展，网络的结构和层次越来越复杂，在网络中传输的报文信息流也越来越密集，这就需要对网络设备进行更加严格的保护，如果网络交换路由设备出现问题可能就会导致整个网络服务的异常。 

现有的中高端网络交换路由设备基本都采用硬件转发底层与CPU(中央处理单元)软件上层相结合的架构。设备的CPU基本上不参与交换和路由过程，主要完成管理控制和维护交换芯片的功能，主要处理各种协议报文、中断、消息，响应命令行命令，对系统的任务调度和维护，对硬件转发芯片和外围设备的维护等等，这样在网络流量大，运行的协议特性较多时CPU就经常处于高负荷的状态，从而出现响应慢，协议报文丢失等一系列问题。报文对网络设备的攻击主要就是对CPU软件层面的攻击，因此如何对CPU进行保护，有效利用CPU资源是网络设备需要解决的重要问题。 

目前对CPU保护，优化CPU资源利用率主要是通过控制CPU接收报文来实现的，现有技术主要有： 

一、采用CPU流控技术，控制硬件向软件平面上交报文的绝对速率，保证CPU不会因为过载而完全瘫痪。但在异常数据流量较大的情况下，异常报文会抢占上交软件平面的通道带宽，消耗有限的CPU资源而使正常报文被大量丢弃，最终导致网络设备的响应速度大大降低，正常用户的服务无法得到保证。 

二、采用流分类的方法来控制报文流量，该方法是设置ACL表(访问控制列表)，通过将数据报文中的一些关键字段和ACL定义的规则进行匹配，根据规则将报文按照ACL对应的动作进行处理。要支持较多的协议特性需要添加较多的ACL表项，这对硬件流分类资源占用太 大，而且这种方法不能有效防止伪造合法数据报文格式进行攻击的情况，如正常的ARP(地址解析协议)报文，这些报文的格式内容虽然正常，但在异常大流量的情况下也会导致设备异常。 

由上分析可知，现有的技术还不能完全有效的充分利用CPU资源，在系统遭受黑客攻击时还不能有效的对CPU进行保护。 

发明内容

本发明的目的在于克服现有技术的不足，提供一种对交换路由设备中央处理器进行安全保护的方法。该方法通过对硬件上送的已经经过限速处理的报文再进行过滤和监控处理，降低可能存在的非法报文对设备的影响，预防可能存在的网络攻击，从而提高CPU资源的有效利用率，并在系统受到报文攻击时对CPU起到保护作用。 

为解决上述技术问题，本发明是通过以下技术方案实现的： 

一种对交换路由设备中央处理器进行安全保护的方法，包括如下步骤： 

对硬件上送经过限速处理后的报文进行过滤； 

对过滤处理后的报文进行监控，上送经监控处理后通过的报文给中央处理器。 

进一步地，所述过滤的步骤如下： 

预先设定不合理报文的条件，对不合理报文进行分类，每一类为一个阶段； 

对每个阶段的报文进行筛选。 

进一步地，所述对每个阶段的报文进行筛选的步骤如下： 

A、根据报文头部的信息对该阶段的报文进行预过滤； 

B、不符合预先设定条件的报文，预过滤通过，执行步骤D；否则，预过滤未通过，执行步骤C； 

C、预先设定过滤规则，按照过滤规则对预过滤未通过的报文进行过滤，不符合过滤规则的报文，过滤通过，执行步骤D；否则，过滤未通过，丢弃过滤未通过的报文； 

D、判断接下来是否还有下一阶段过滤，若有，则执行步骤A进行下一阶段的操作；否则，过滤过程结束。 

所述信息包括地址、类型等信息中至少一种。 

进一步地，所述监控的步骤如下： 

E、对每一类的报文预先设定匹配规则，解析过滤处理后的报文并根据匹配规则进行匹配；

F、若匹配成功，则根据报文是否有用户配置的丢弃标识进行判断，若有，则对报文进行丢弃，否则，对报文上送端口的该类报文数量增加计数，执行步骤G；若匹配不成功，则对报文进行上送； 

G、通过令牌桶方法对报文进行限速，在报文到来时判断令牌桶中是否有剩余令牌，若有，对报文进行上送；否则，对报文进行丢弃。 

在对报文上送端口的该类报文数量增加计数，之后还可以包括步骤： 

设置定时器检测每个端口每一类报文的数量； 

判断报文数量是否超过设定的阈值，若超过，则发出告警信息；否则，更新端口报文数量的计数。 

使用本发明的对交换路由设备中央处理器进行安全保护的方法具有以下有益效果： 

本发明通过对硬件上送的已经经过限速处理的报文再进行过滤和监控处理，降低了可能存在的非法报文对设备的影响，预防了可能存在的网络攻击，从而提高了CPU资源的有效利用率，并在系统受到报文攻击时对CPU起到保护作用。 

附图说明

图1是本发明的报文处理流程图； 

图2是本发明的报文过滤整体结构图； 

图3是本发明的报文某一阶段的过滤流程图； 

图4是本发明的报文监控处理过程流程图。 

具体实施方式

为了更好地理解本发明，下面结合附图和具体实施例对本发明作进一步地描述。 

请参阅图1，为了更好的预防报文攻击和CPU保护，本发明是对硬件上送的经过限速处理后的报文进行过滤和监控，对通过的报文再上送给CPU。 

请参阅图2，本发明把不合理报文分为几大类，每一类为一个阶段，每个阶段进行预过滤和过滤两过程，提高了过滤的效率。本发明通过报文过滤可以把一些不合理的报文筛选出来并丢弃。 

请参阅图3，某一个阶段报文过滤过程如下： 

步骤31，报文进行某一阶段的预过滤，根据报文头部的地址、类型等信息筛选出这一类 

步骤32，判断报文是否通过预过滤，通过执行步骤36，否则执行步骤33；这时满足某一类特定类型条件的报文会被过滤出，而其余报文会通过； 

步骤33，按照预先设定的过滤规则对预过滤出来的报文进行过滤； 

步骤34，判断报文是否通过过滤，通过执行步骤36，否则执行步骤35； 

步骤35，对过滤出的报文丢弃； 

步骤36，判断接下来是否还有下一阶段过滤，有的话执行步骤31进行下一阶段的过滤过程，否则执行步骤37； 

步骤37，过滤过程结束，通过的报文进行下一步处理。 

除了对报文进行过滤外，还要对报文进行监控，以保证CPU资源合理利用。报文监控就是对某个特定端口的特定报文数量进行监控，一旦超过了给定的阈值就发出告警信息，并对此报文进行限速或者丢弃。 

请参阅图4，报文监控处理过程如下： 

步骤41，对每一类的报文预先设定匹配规则，解析过滤处理后的报文并根据匹配规则进行匹配； 

步骤42，判断报文是否匹配上，匹配成功则执行步骤44，不成功则执行步骤43； 

步骤43，对报文进行上送； 

步骤44，根据用户配置的丢弃标识进行判断，配置了丢弃标识执行步骤45，否则执行步骤46； 

步骤45，对报文进行丢弃； 

步骤46，对报文上送端口的该类报文数量增加计数； 

步骤47，通过令牌桶方法对报文限速，在某一个报文到来时判断令牌桶中是否有剩余令牌，有则执行步骤49，没有则执行步骤48； 

步骤48，对报文进行丢弃； 

步骤49，报文上送软件处理； 

步骤410，设置一个定时器每间隔一段时间检测下每个端口每一类报文的数量； 

步骤411，判断报文数量是否超过设定的阈值，超过则执行步骤413，否则执行步骤412； 

步骤412，更新端口报文数量的计数，返回； 

步骤413，发出告警信息提醒用户某端口的某类型报文流量过大。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，应当指出，对于本领域的普通技术人员来说，凡是本发明的精神和原则之内所作的任何修改、等同替换或改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种对交换路由设备中央处理器进行安全保护的方法，其特征在于，包括如下步骤：

对硬件上送经过限速处理后的报文进行过滤；

对过滤处理后的报文进行监控，上送经监控处理后通过的报文给中央处理器，其中：

所述监控的步骤如下：

E、对每一类的报文预先设定匹配规则，解析过滤处理后的报文并根据匹配规则进行匹配；

F、若匹配成功，则根据报文是否有用户配置的丢弃标识进行判断，若有，则对报文进行丢弃，否则，对报文上送端口的该类报文数量增加计数，执行步骤G；若匹配不成功，则对报文进行上送；

G、通过令牌桶方法对报文进行限速，在报文到来时判断令牌桶中是否有剩余令牌，若有，对报文进行上送；否则，对报文进行丢弃。

2.根据权利要求1所述的对交换路由设备中央处理器进行安全保护的方法，其特征在于，所述过滤的步骤如下：

预先设定不合理报文的条件，对不合理报文进行分类，每一类为一个阶段；

对每个阶段的报文进行筛选。

3.根据权利要求2所述的对交换路由设备中央处理器进行安全保护的方法，其特征在于，所述对每个阶段的报文进行筛选的步骤如下：

A、根据报文头部的信息对该阶段的报文进行预过滤；

B、不符合预先设定条件的报文，预过滤通过，执行步骤D；否则，预过滤未通过，执行步骤C；

C、预先设定过滤规则，按照过滤规则对预过滤未通过的报文进行过滤，不符合过滤规则的报文，过滤通过，执行步骤D；否则，过滤未通过，丢弃过滤未通过的报文；

D、判断接下来是否还有下一阶段过滤，若有，则执行步骤A进行下一阶段的操作；否则，过滤过程结束。

4.根据权利要求3所述的对交换路由设备中央处理器进行安全保护的方法，其特征在于，所述信息包括地址、类型信息中至少一种。

5.根据权利要求1所述的对交换路由设备中央处理器进行安全保护的方法，其特征在于，在所述对报文上送端口的该类报文数量增加计数之后，还包括步骤：

设置定时器检测每个端口每一类报文的数量；

判断报文数量是否超过设定的阈值，若超过，则发出告警信息；否则，更新端口报文数量的计数。

Images