CN101459583A - 报文处理方法和装置、以及报文发送方法和装置 - Google Patents

Abstract

本发明实施例涉及一种报文处理方法，包括：收到报文后检查会话表，查询会话表中是否有与所述报文对应的会话表项；如果会话表中没有与所述报文对应的会话表项则丢弃所述收到的报文，如果会话表中有与所述报文对应的会话表项则接收所述报文。本发明实施例涉及一种报文发送方法，包括：搜索会话表，查找与待发送报文相对应的会话表项；检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则发送待发送的报文；否则丢弃该待发送报文。本发明实施例涉及一种报文处理装置和报文发送装置。因此，本发明实施例对于在本地接收的所有报文，检查session表，并基于session表预防攻击，所以能够细粒度的防御攻击。

Description

报文处理方法和装置、以及报文发送方法和装置

技术领域

本发明实施例涉及移动通信领域，尤其是一种报文处理方法和装置、以及报文发送方法和装置。

背景技术

由于拒绝服务(Denial of Service，DOS)和分布式拒绝服务(DistributedDenial of Service，DDOS)攻击的频率和次数在互联网上迅速地增加，因此服务提供商不得不承受巨大的压力，来防御和减轻对基础设施的DoS/DDoS攻击。在互联网上，每天都会发生攻击，一般包括直接攻击和远程受控攻击。特定的攻击有可能造成服务提供商的基础设施遭到严重破坏，或者带宽被消耗殆尽。因此在系统(路由器)上需要有一套完备的方案来防御DOS/DDOS攻击。

在分布式路由器中，需要在线卡(Line Card，LC)上维护一张会话(Session)表，便于将报文直接透传到主控板(Main Board，MB)组中某一个合适的MB上。

如图1所示，为现有的会话表项创建/删除的示意图，当任何MB上的接口(socket)层创建/删除一个会话表项(session项)时，都将发送一条创建/删除session项消息给主要的主控板(Primary Main Board，PMB)的转发信息表(Forwarding Information Base，FIB)模块，PMB的FIB模块确保session项在PMB上被添加/删除，并将这些session项下载到所有的线卡(Line Card，LC)上，LC上的IP协议栈(IP Stack)下载session项到转发引擎(Forwarding Engine，FE；硬件级集成电路(ASIC)/网络处理器(NetworkProcessor，NP)中。PMB的FIB模块将根据预定义的策略来决定是否创建相应的session项。PMB维护session表，以便于在合适的MB上重组报文。

Session表的主要内容包括IP五元组(本地地址，远端地址，本地端口，远端端口，协议号)和动作(Action)，动作表示报文将被重定向到哪一块特定的MB或LC上，由Socket层静态或动态的创建。

在下列阶段，socket层将通知PMB上的FIB添加/修改session项：

1、在用户数据报协议(RAW Internet Protocol，RAWIP)中创建socket；

2、在传输控制协议(Transmission Control Protocol，TCP)/用户数据报协议(User Datagram Protocol，UDP)中绑定本地端口、本地地址；

3、在TCP中连接远端端口、远端地址；

4、在TCP中与远端端口、远端地址断开连接。

当Socket关闭时，socket层将通知PMB上的FIB删除session项。

而对于分片报文，如果session表中没有相对应的session项，那么FE将添加一条临时session项，当一段时间没有使用后，将删除该临时的session项。如果一条临时session项对应的永久session项被添加，永久的session项将替换临时的session项。

现有的防止DOS/DDOS攻击的方法，例如使用访问控制表(Access ControlList，ACL)，配置策略，速率限制等。但是都无法实现细粒度的防御攻击。

发明内容

本发明实施例提供一种报文处理方法和装置、以及报文发送方法和装置，可以细粒度的防止攻击。

本发明实施例提供了一种报文处理方法，包括：

收到报文后检查会话表，查询会话表中是否有与所述报文对应的会话表项；

如果会话表中没有与所述报文对应的会话表项则丢弃所述收到的报文，如果会话表中有与所述报文对应得会话表项则接收所述报文。

本发明实施例提供了一种报文发送方法，所述方法包括：

搜索会话表，查找与待发送报文相对应的会话表项；

检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则发送待发送的报文；否则丢弃该待发送报文。

本发明实施例提供了一种报文处理装置，所述装置包括：

查询模块，用于查询所收到的报文所对应的会话表项；

接收模块，用于在所述查询模块查找到与收到的报文所对应的会话表项后接收所述接收到的报文。

本发明实施例提供了一种报文发送装置，所述装置包括：

搜索模块，用于搜索会话表，查找与待发送报文相对应的会话表项；

发送模块，用于检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则发送待发送的报文；否则丢弃该待发送报文。

因此，本发明实施例报文处理方法和装置、以及报文发送方法和装置，对于在本地接收的所有报文，检查session表，并基于session表预防攻击，所以能够细粒度的防御攻击。

附图说明

图1为现有的会话表项创建/删除的示意图；

图2为本发明实施例报文处理方法的流程图；

图3为本发明实施例报文处理方法对每一条表项进行速率检查的流程图；

图4为本发明实施例报文处理方法对所有会话表的总流量速率检查的流程图；

图5为本发明实施例报文处理方法的另一流程图；

图6为本发明实施例报文发送方法的流程图；

图7为本发明实施例报文发送方法对总流量进行控制的流程图。

具体实施方式

下面通过附图和实施例，对本发明实施例的技术方案做进一步的详细描述。

本发明实施例报文处理方法具体包括：对本地接收的报文，检查会话表，如果没有对应的会话表项则丢弃该报文，如果有对应的会话表项则接收该报文。

首先，在主控板上创建session表，session由socket模块创建。Session可以分成永久和临时session两类。临时创建的临时session主要用于处理分片。

如图2所示，为本发明实施例报文处理方法的流程图，具体包括如下步骤：

步骤201，对本地收到的报文，检查会话表，查询会话表中是否有与所述报文对应的会话表项，如果会话表中没有与所述报文对应的会话表项则执行步骤202；如果会话表有与所述报文对应的会话表项则执行步骤203；

因为会话表的主要内容包括IP五元组(本地地址，远端地址，本地端口，远端端口，协议号)和动作(Action)，会话表中包括合法的用户发送的报文对应的表项；

步骤202，丢弃该报文；

步骤203，接收该报文。

因此，通过默认的session表可以对接收到的报文进行区分，控制平面可以接收到所能识别的报文，在接收到的报文如果没有相对应的session项，那么丢弃该报文，由此能够丢弃由恶意站点发出的所有的伪造报文。

为了阻止非法用户，可以使用过滤机制来便捷和有效的减轻大量的攻击，可以对每一个session项都采用一定的过滤机制，从而便于丢弃非法报文。例如，对每一个session项都配置一个存活周期(Time to Live，TTL)过滤器，这样只能接收有限TTL范围之内的报文。因此在上述实施例步骤101中在检查会话表后对报文进行过滤，丢弃滤掉的报文，而且可以在丢弃改报文后，将报文的发送方列入黑名单，如果之后收到的报文查询是该发送方发送的，则直接丢弃，不会进一步处理，这样使得收到所有列入黑名单的报文发送方发出的报文直接丢弃。

再有，可以对会话表配置控制策略，如果会话表中有与所述报文对应的会话表项，则检查所述报文是否满足所述控制策略；如果满足所述控制策略则接收所述报文，否则丢弃所述报文。例如对每一个session项都采用一定的报文流量速率限制，配置对会话配置一报文流量速率阈值，来方便丢弃非法报文，收到报文后，如果会话表中有与所述报文对应得会话表项，将接收所述报文的速率限制在所述阈值内。如图3所示，为本发明实施例报文处理方法对每一条表项进行速率检查的流程图，具体步骤包括：

步骤301，收到报文后检查会话表，查询会话表中是否有与所述报文对应的会话表项；如果会话表中有与所述报文对应的会话表项，则执行步骤302；否则执行步骤304；

步骤302，进行该会话表项的流量速率检查，如果通过该会话表项的流速速率检查则执行步骤303；如果没有通过则执行步骤304；

步骤303，接收该报文；

步骤304，丢弃该报文。

丢弃的方法有很多，可以直接丢弃，或者间隔丢弃，或者按照预定义算法丢弃。当然本发明实施例不限于此。

间隔丢弃，就是在一个会话表项报文流量速率过大的情况下，可以间隔丢弃报文，即发送一个报文然后丢弃一个报文，这样可以使得该会话表报文流量速率下降。按照预定义算法丢弃就是想对复杂一点，为了减少会话表项报文流量速率，可以定义一种丢弃算法，满足算法的报文即丢弃，其他报文发送，这样也可以使得该会话表报文流量速率下降。

其中的流量速率配置是对每一个session项的流量速率限制进行配置，从而使每一个session项的流量是可控的，以此来限制控制平面的报文流量速率；如果某个特定的时间，一个session项的流量超过特定的阈值，那么限制速率到一个较低的值，在这种方式下，服务可能有所限制，但不会完全被切断，由此可以保护其他客户所使用的服务，当所有的流量都集中到一点，又不能被阻塞，那么流量速率限制是非常重要的。

控制平面能够对每个永久session项的流量限制进行配置，也能够对每个临时session项的流量限制进行配置。

对于分片报文，如果会话表中没有对应的session项，则会添加一条临时session项，持续一段时间以后如果没有继续使用该session项，则删除该临时session项，而本实施例的方法对于永久和临时的session项都会进行流量限制，而流量限制的方法是完全一样的。

另外可以对所有会话表的总流量速率检查，如图4所示，为本发明实施例报文处理方法对所有会话表的总流量速率检查的流程图，具体步骤包括：

步骤401，当所述报文通过该会话表项的每一个流速速率检查后，检查该会话表所有会话表项上的总流速速率，如果通过则执行步骤402；如果没有通过则执行步骤403；

步骤402，接收该报文；

步骤403，丢弃改报文。

同样丢弃的方法有很多，可以直接丢弃，或者间隔丢弃，或者按照预定义算法丢弃。当然本发明实施例不限于此。

这就要求每一个永久session项的总速率限制是可控的，每一个临时session项的总速率限制是可控的，所有临时session项的总数是有限的。

如图5所示，为本发明实施例报文处理方法的另一流程图，该实施例是对session项上配置的每一个速率限制都应用速率限制，而且总速率也进行限制，该方法具体包括如下步骤：

步骤501，对于本地收的报文，检查session表，然后为这些报文找出相应的session项；

步骤502，在该session项上配置的每一个速率限制都应用速率限制，如果该报文通过了每一个流速限制检查，则执行步骤503；否则执行步骤505；

步骤503，检查配置在所有session上的总速率限制，如果通过检测则执行步骤504；否则执行步骤505；

步骤504，接收该报文；

步骤505，丢弃该报文。

同理丢弃的方法有很多，可以直接丢弃，或者间隔丢弃，或者按照预定义算法丢弃。当然本发明实施例不限于此。

本发明实施例报文处理方法装置，包括：查询模块，用于查询所收到的报文所对应的会话表项；接收模块，用于在所述查询模块查找到与收到的报文所对应的会话表项后接收所述接收到的报文。

进一步的，该防止攻击的装置还包括：控制策略配置模块，其用于对会话表配置报文接收控制策略。参数匹配模块，用于对接收到的报文参数与控制策略的设置参数进行匹配，通知接收模块接收符合控制策略的报文。报文存活周期过滤器，其用于对所述装置接收到的报文进行过滤，选取预定存活周期范围内的报文。报文流量速率配置模块，其用于对会话表配置报文流量的控制参数。黑名单记录模块，用于记录不符合控制策略的报文发送方信息。

本发明实施例报文处理方法和装置将LC上维护的会话(Session)表，除了用作将报文直接透传到MB组中某一个合适的MB上以外，还用来扩展到防御攻击(例如Dos和DDoS)上，因为一个session代表一个报文流，所以对于每一个session项都采用相同的策略，来有效的更加细粒度的防御DOS/DDOS攻击。由于Session表中维护的所有信息都会被下载到FE中，同时在FE中应用一定的配置策略、防火墙技术和速率限制，所以FE本身就能够达到防御DDoS攻击的目的。

如图6所示，为本发明实施例报文发送方法的流程图，具体包括如下步骤：

步骤601，搜索会话表，查找与待发送报文相对应的会话表项；

步骤602，检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则执行步骤603；否则执行步骤604；因此需要对会话表配置报文流量控制参数；

步骤603，发送待发送的报文；

步骤604，丢弃该待发送报文。

也可以对会话表配置报文总流量控制参数，如图7所示，为本发明实施例报文发送方法对总流量进行控制的流程图，具体包括如下步骤：

步骤701，通过流量速率检查后检查会话表总流量速率，如果通过会话表总流量速率检查则执行步骤702；否则执行步骤703；

步骤702，发送报文；

步骤703，丢弃待发送报文。

根据权利要求10所述的报文发送方法，其特征在于，所述方法还包括：对会话表配置报文总流量控制参数。

本发明实施例报文发送装置，具体包括：搜索模块，用于搜索会话表，查找与待发送报文相对应的会话表项；发送模块，用于检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则发送待发送的报文；否则丢弃该待发送报文。

因此，本发明实施例报文发送方法和装置，在发送报文时候，可以设置控制策略，例如流量控制和总流量控制，因此发送的报文经过策略控制，而不是任意发送。

最后所应说明的是，以上实施例仅用以说明本发明实施例的技术方案而非限制，尽管参照较佳实施例对本发明实施例进行了详细说明，本领域的普通技术人员应当理解，可以对本发明实施例的技术方案进行修改或者等同替换，而不脱离本发明实施例技术方案的精神和范围。

Claims (17)

1、一种报文处理方法，其特征在于，所述方法包括：

收到报文后检查会话表，查询会话表中是否有与所述报文对应的会话表项；

如果会话表中没有与所述报文对应的会话表项则丢弃所述收到的报文，如果会话表中有与所述报文对应得会话表项则接收所述报文。

2、根据权利要求1所述的报文处理方法，其特征在于，所述方法还包括：

对会话表配置控制策略；

如果会话表中有与所述报文对应的会话表项，则检查所述报文是否满足所述控制策略；

如果满足所述控制策略则接收所述报文，否则丢弃所述报文。

3、根据权利要求2所述的报文处理方法，其特征在于，所述控制策略具体为：对会话表项设置一存活周期过滤器。

4、根据权利要求2所述的报文处理方法，其特征在于，所述控制策略具体为报文流量速率限制，配置对会话配置一报文流量速率阈值；

所述方法具体为：收到报文后，如果会话表中有与所述报文对应得会话表项，将接收所述报文的速率限制在所述阈值内。

5、根据权利要求4所述的报文处理方法，其特征在于：当所述报文通过该会话表项的流量速率检查后，检查该会话表所有会话表项上的总流量速率，如果通过则接收该报文，如果没有通过则丢弃该报文。

6、根据权利要求1或2所述的报文处理方法，其特征在于：在丢弃所述报文后，将报文的发送方列入黑名单。

7、根据权利要求6所述的报文处理方法，其特征在于：列入黑名单的报文发送方发出的报文将直接丢弃。

8、一种报文发送方法，其特征在于，所述方法包括：

搜索会话表，查找与待发送报文相对应的会话表项；

检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则发送待发送的报文；否则丢弃该待发送报文。

9、根据权利要求8所述的报文发送方法，其特征在于，所述方法还包括：对会话表配置报文流量控制参数。

10、根据权利要求8或9所述的报文发送方法，其特征在于，所述方法还包括：通过流量速率检查后检查会话表总流量速率，如果通过会话表总流量速率检查则发送报文，否则丢弃待发送报文。

11、根据权利要求10所述的报文发送方法，其特征在于，所述方法还包括：对会话表配置报文总流量控制参数。

12、一种报文处理装置，其特征在于，所述装置包括：

查询模块，用于查询所收到的报文所对应的会话表项；

接收模块，用于在所述查询模块查找到与收到的报文所对应的会话表项后接收所述接收到的报文。

13、根据权利要求12所述的报文处理装置，其特征在于，所述装置还包括：

控制策略配置模块，其用于对会话表配置报文接收控制策略

参数匹配模块，用于对接收到的报文参数与控制策略的设置参数进行匹配，通知接收模块接收符合控制策略的报文。

14、根据权利要求13所述的报文处理装置，其特征在于，所述控制策略配置模块还包括：

报文存活周期过滤器，其用于对所述装置接收到的报文进行过滤，选取预定存活周期范围内的报文。

15、根据权利要求13所述的报文处理装置，其特征在于，所述控制策略配置模块还包括：

报文流量速率配置模块，其用于对会话表配置报文流量的控制参数。

16、根据权利要求13所述的报文处理装置，其特征在于，所述装置还包括：

黑名单记录模块，用于记录不符合控制策略的报文发送方信息。

17、一种报文发送装置，其特征在于，所述装置包括：

搜索模块，用于搜索会话表，查找与待发送报文相对应的会话表项；

发送模块，用于检查该报文流量与其对应的会话表项对应的预设速率，如果通过流量速率检查则发送待发送的报文；否则丢弃该待发送报文。

Images