CN102025746A

CN102025746A - 一种tcp连接的建立方法、装置及网络设备

Info

Publication number: CN102025746A
Application number: CN2010105992077A
Authority: CN
Inventors: 黄凯明
Original assignee: Beijing Star Net Ruijie Networks Co Ltd
Current assignee: Beijing Star Net Ruijie Networks Co Ltd; Ruijie Networks Co Ltd
Priority date: 2010-12-21
Filing date: 2010-12-21
Publication date: 2011-04-20
Anticipated expiration: 2030-12-21
Also published as: CN102025746B

Abstract

本发明公开了一种TCP连接的建立方法、装置及网络设备，该方法包括：在完成与客户端的三次握手过程且向作为VPN网关的服务器发送SYN报文后，接收服务器返回的SYNACK报文；判断缓存有客户端发送的VPN连接请求报文的片段时，则向客户端返回ACK报文，其中WINDOW域值等于服务器返回的SYNACK报文中WINDOW域值；接收客户端返回的携带有VPN连接请求的剩余片段的TCP报文；根据缓存的VPN连接请求的片段和VPN连接请求的剩余片段，生成携带完整VPN连接请求的ACK报文返回至服务器。本发明避免了服务器将携带有客户端VPN请求报文片段的ACK报文作为非法报文导致客户端无法建立VPN连接的问题。

Description

一种TCP连接的建立方法、装置及网络设备

技术领域

本发明涉及数据通信技术领域，尤其涉及一种传输控制协议TCP连接的建立方法、装置及网络设备。

背景技术

传输控制协议(Transmission Control Protocol，TCP)协议规定的TCP连接建立过程的三次握手(Three-way Handshake)过程，如图1所示，包括：

首先，请求端(客户端)发送一个包含同步(Synchronize，SYN)标志的TCP报文，同步报文会指明客户端使用的端口以及TCP连接的初始序号；

第二步，服务器在收到客户端的SYN报文后，将响应一个同步确认(SYNACK)的报文，表示客户端的请求被接受，同时TCP序号被加1。

第三步，客户端收到服务端返回的SYNACK报文后，也返回一个确认报文(ACK)给服务器端，同样TCP序列号被加1，到此一个TCP连接完成。

在TCP连接的三次握手中，假设一个客户端向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYNACK应答报文后是无法收到客户端返回的ACK报文的(第三次握手无法完成)，这种情况下服务器端一般会重试(再次发送SYNACK给客户端)并等待一段时间后丢弃这个未完成的连接(半连接)，如果有一个恶意的攻击者大量模拟客户端的这种情况，服务器端为了维护一个非常大的半连接列表消耗非常多的资源----数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃---即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求，此时从正常客户的角度看来，服务器失去响应，这种情况被称为服务器端受到了同步洪水(SYN Flood)攻击。

现有技术中通常采用SYN代理来避免上述SYN Flood攻击，如图2所示，SYN代理安装在保护服务器的防火墙上。SYN代理收到客户端的SYN报文后，自己构造一个SYNACK报文回复给客户端，创建并维护TCP连接记录，当客户端返回ACK报文，也就意味着客户端的连接请求不是SYN FLOOD攻击，SYN代理把该ACK改造成SYN报文发给服务器，代替客户端与服务器之间建立TCP连接，并缓存后续来自客户端的ACK报文所携带的用户数据。

SYN代理收到服务器的SYN ACK报文后，把缓存的客户端用户数据封装到用来确认服务器SYNACK报文的ACK报文中，发给服务器。

为了进一步避免在遭受SYN Flood攻击时，采用SYN代理的防火墙不会因为需要缓存大量的SYN报文而被迅速耗尽，现有技术还提出了轻量SYN代理的方案，轻量SYN代理并不缓存客户端的SYN报文，而仅缓存客户端SYN报文的TCP选项，如窗口扩展(Window-Scale)，选择性应答允许(Sack-Permit)，最大报文段长度(Maximum Segment Size，MSS)选项等，与客户机三次握手建立连接后，把客户机完成三次握手的ACK报文添加上缓存的TCP选项，改造成SYN报文，发给服务器。

在轻量SYN代理把响应给客户端的SYNACK报文的窗口(WINDOW)域(该WINDOW选项域表示该报文的发送方的接收缓存区的大小)的值置为1，也就是通知客户端，轻量SYN的接收缓冲区只能容纳一个字节，这就保证了在防火墙与客户端三次握手完成建立连接TCP后，到与服务器建立TCP连接之前的这段时间，客户端最多只会发来数据总量只有1个字节的报文。这样，轻量SYN代理可以只需要缓存一个字节而不是整条报文，进一步节省了宝贵的防火墙系统内存。

在服务器端作为虚拟专用网(Virtual Private Network，VPN)网关的情况下，在客户端与轻量SYN之间完成三次握手后，会接着发送携带VPN连接请求的ACK报文，由于之前收到轻量SYN代理返回的SYN ACK报文中的WINDOW域的大小为1个字节，因此VPN连接请求必须分片，因此携带VPN连接请求的ACK报文并不是不完整的VPN连接请求，总体大小只有1个字节，轻量SYN在与服务器之间三次握手过程中响应服务器发送的SYN ACK报文时，基于该SYNACK报文改造生成ACK报文，并且在生成的ACK报文中附带上缓存的客户端之前发送的1个字节的数据内容(即VPN连接请求的片段)发送给服务器。在某些安全增强型VPN网关的服务器接收缓冲区空间足够大的情况下，这种VPN网关要求请求建立VPN连接的首报文必须是信息完整的，必须是满足协议规定的格式的完整的VPN连接请求，那么，对于有这种要求的VPN网关来说，上述轻量SYN代理发送给它的附带有客户端发送的1个字节的VPN连接请求片段的ACK报文，由于该首报文不是完整的VPN连接请求，将不被认为是合法的报文，导致合法客户端无法建立VPN连接。

发明内容

本发明实施例提供了一种TCP连接的建立方法、装置即网络设备，用以解决现有服务器作为VPN网关的情况下，在轻量SYN代理与服务器三次握手过程中，服务器将轻量SYN代理的发送的携带有客户端VPN请求报文片段的ACK报文作为非法报文导致客户端无法建立VPN连接的问题。

本发明实施例提供的一种传输控制协议TCP连接的建立方法，包括：

在完成与客户端的三次握手过程且向作为虚拟专用网VPN网关的服务器发送同步SYN报文后，接收服务器返回的同步确认SYNACK报文；

在判断缓存有客户端发送的VPN连接请求报文的片段时，向客户端返回ACK报文，所述ACK报文中的窗口WINDOW域值等于所述服务器返回的SYNACK报文中WINDOW域值；

接收客户端返回的携带有所述VPN连接请求的剩余片段的TCP报文；

根据缓存的VPN连接请求的片段和客户端返回的该VPN连接请求的剩余片段，生成携带完整VPN连接请求的ACK报文返回至所述服务器。

本发明实施例提供的一种传输控制协议TCP连接的建立装置，包括：

接收单元，用于在完成与客户端的三次握手过程且向作为虚拟专用网VPN网关的服务器发送同步SYN报文后，接收服务器返回的同步确认SYNACK报文；以及接收客户端返回的携带有VPN连接请求的剩余片段的TCP报文；

判断单元，用于在接收单元接收服务器返回的SYNACK报文之后，判断是否缓存有客户端发送的VPN连接请求报文的片段；

报文生成单元，用于在判断单元判断结果为是时，生成返回给客户端的ACK报文，所述ACK报文中的窗口WINDOW域值等于所述服务器返回的SYNACK报文中WINDOW域值；以及根据缓存的VPN连接请求的片段和客户端返回的该VPN连接请求的剩余片段，生成携带完整VPN连接请求的ACK报文；

发送单元，用于在判断单元判断结果为是时，将报文生成单元生成的ACK报文返回给客户端；以及将携带完整VPN连接请求的ACK报文返回至所述服务器。

本发明实施例提供一种网络设备，该网络设备包括本发明实施例提供的TCP连接的建立装置。

本发明实施例的有益效果包括：

本发明实施例提供的上述TCP连接的建立方法及装置，轻量SYN代理在完成与客户端之间的三次握手过程以及接收到作为VPN网关的服务器发送的SYNACK报文之后，在本地缓存有VPN连接请求片段的情况下，将服务器发送的SYNACK报文改造成返回给客户端的ACK报文，由于该ACK报文的WINDOW域值等于服务器接收缓冲空间的大小，远大于缓存VPN连接请求所需容量大小，使得客户端能够根据服务器接收缓冲空间的大小，将VPN连接请求的剩余片段通过TCP报文发送回轻量SYN代理，轻量SYN代理将缓存的VPN连接请求的片段以及客户端通过TCP报文发送的VPN连接请求的剩余部分合并成完整的VPN连接请求，这样可以保证发给服务器的VPN连接请求的首报文携带有完整的VPN连接请求的所有信息，避免现有技术在轻量SYN代理与服务器三次握手过程中，服务器将轻量SYN代理的发送的携带有客户端VPN请求报文片段的ACK报文作为非法报文导致客户端无法建立VPN连接的问题。

附图说明

图1为现有技术中TCP协议中客户端和服务器之间的三次握手过程流程图；

图2为现有技术中有SYN代理参与的客户端和服务器的三次握手过程的流程图；

图3为本发明实施例提供的TCP连接的建立方法的流程图；

图4为本发明实施例提供的TCP连接的建立装置的结构示意图。

具体实施方式

下面结合附图，对本发明实施例提供的一种TCP连接的建立方法、装置和网络设备的具体实施方式进行详细地说明。

本发明实施例提供的TCP连接的建立方法，对现有技术中轻量SYN代理与客户端和服务器之间的交互流程进行了改进，具体流程图如图3所示，包括：

S301、客户端向轻量SYN代理发送SYN报文；

S302、轻量SYN代理向客户端返回SYNACK报文；

在本步骤S302中，为了节约防火墙的有限的缓存，轻量SYN代理将发送给SYNACK报文中设定WINDOW域的值为一个很小的值例如为1个字节。

S303、客户端向轻量SYN代理返回SYNACK报文对应的ACK报文。

上述步骤S301～S303的实施方法与现有技术相同，轻量SYN代理和客户端之间完成了三次握手过程。

在步骤S303后，客户端如果需要向作为VPN网关的服务器发起VPN请求，则执行下述步骤S304；

S304、客户端根据轻量SYN代理返回的SYNACK报文中的WINDOW域值的大小，对VPN连接请求进行分片，向轻量SYN代理发送ACK报文，该报文总长度等于步骤S302中SYNACK报文的WINDOW域值的大小。

S305、轻量SYN代理在完成与客户端的三次握手过程之后，向作为VPN网关的服务器发送SYN报文；

S306、服务器接收到轻量SYN代理发送的SYN报文后，向其返回SYNACK报文；

需要说明的是，上述步骤S304与上述步骤S305以及S306之间相互独立，并没有严格的时间顺序，步骤S304有可能在步骤S306之前执行，也有可能在S306之后执行。

S307、轻量SYN代理判断是否本地缓存有VPN连接请求的片段；若缓存有，执行步骤S308，若没有缓存VPN连接请求的片段，执行步骤S311；

如果步骤S304在步骤S306之前执行，那么轻量SYN代理在本步骤中将缓存VPN连接请求片段，反之则不会缓存VPN连接请求的片段。

S308、轻量SYN代理将服务器发送的SYNACK报文改造成ACK报文，该ACK报文的WINDOW域值等于服务器发送的SYNACK报文中WINDOW域值；

S309、客户端向轻量SYN代理发送TCP报文，该TCP报文中携带有VPN连接请求的剩余片段；

在上述步骤S308中，轻量SYN代理发送的ACK报文中的WINDOW域值等于服务器发送的SYNACK报文的WINDOW域值，由于服务器WINDOW域值意味着服务器的接收缓冲区的大小，一般都会远大于VPN连接请求(包含完整的VPN连接请求的相关信息)的大小，也就是说服务器的接收缓冲区的大小足够容纳完整的VPN连接请求的大小，不至于对客户端发送的VPN连接请求造成限制；

因此，在本步骤S309中，客户端根据轻量SYN代理在步骤S308中发送的ACK报文中的WINDOW域值的大小，接着将之前因接收方接收缓冲限制而延迟待发的VPN连接请求的剩余片段发送至轻量SYN代理。

对于客户端来说，轻量SYN代理是透明的，它根据接收的报文中的WINDOW域值的大小决定是否将VPN连接请求分片发送。

S310、轻量SYN代理根据缓存的VPN连接请求的片段和客户端返回的该VPN连接请求的剩余片段，生成携带完整VPN连接请求的ACK报文返回至服务器；

在本步骤S310中，轻量SYN代理将客户端返回的TCP报文中插入缓存的VPN连接请求的片段，将缓存的VPN连接请求的片段和VPN连接请求的剩余片段合并为完整的VPN连接请求；

然后轻量SYN代理重新计算该TCP报文的IP和校验和，将其改造成返回给服务器的ACK报文。

S311、轻量SYN代理直接将服务器发送的SYNACK报文改造成ACK报文返回给服务器。

本步骤S311中，轻量SYN代理发送给服务器的ACK报文的过程与现有技术中SYN与服务器之间三次握手过程中发送的ACK报文的过程相同，在此不再详述。

经过上述过程，轻量SYN代理在完成与作为VPN网关的服务器之间的三次握手过程中，将完整的VPN连接请求发送至服务器，避免了现有技术中在轻量SYN代理与服务器三次握手过程中，服务器将轻量SYN代理的发送的携带有客户端VPN请求报文片段的ACK报文作为非法报文导致客户端无法建立VPN连接的问题。

基于同一发明构思，本发明实施例还提供了一种TCP连接的建立装置及网络设备，由于该装置及设备解决问题的原理与前述一种TCP连接的建立方法相似，因此该装置和网络设备的实施可以参见方法的实施，重复之处不再赘还。

本发明实施例提供的上述TCP连接的建立装置及网络设备，如图4所示，包括：

接收单元401，用于在完成与客户端的三次握手过程且向作为VPN网关的服务器发送同步SYN报文后，接收服务器返回的同步确认SYNACK报文；以及接收客户端返回的携带有VPN连接请求的剩余片段的TCP报文；

判断单元402，用于在接收单元接收服务器返回的SYNACK报文之后，判断是否缓存有客户端发送的VPN连接请求报文的片段；

报文生成单元403，用于在判断单元402的判断结果为是时，生成返回给客户端的ACK报文，所述ACK报文中的窗口WINDOW域值等于所述服务器返回的SYNACK报文中WINDOW域值；以及根据缓存的VPN连接请求的片段和客户端返回的该VPN连接请求的剩余片段，生成携带完整VPN连接请求的ACK报文；

发送单元404，用于在判断单元402的判断结果为是时，将报文生成单元生成的ACK报文返回给客户端；以及将携带完整VPN连接请求的ACK报文返回至所述服务器。

进一步地，上述报文生成单元403，具体用于通过改造服务器返回的SYNACK报文，生成返回给客户端的ACK报文，所述生成的ACK报文中的WINDOW域值等于所述SYNACK报文报头中的WINDOW域值。

进一步地，上述报文生成单元403，具体用于将客户端返回的TCP报文中插入缓存的VPN连接请求的片段，将所述缓存的VPN连接请求的片段和所述VPN连接请求的剩余片段合并为完整的VPN连接请求；重新计算所述TCP报文的IP和校验和，改造成返回给服务器的ACK报文。

进一步地，所述报文生成单元403，还用于在判断单元402判断未缓存有客户端发送的VPN连接请求报文的片段之后，将服务器返回的SYNACK报文改造成发送给服务器的ACK报文；

所述发送单元404，还用于在判断单元402判断未缓存有客户端发送的VPN连接请求报文的片段之后，将所述报文生成单元改造后的ACK报文发送至服务器。

本发明实施例还提供了一种网络设备，该网络设备包含本发明实施例提供的上述TCP连接的建立装置。

较佳地，上述TCP连接的建立装置设置于该网络设备的防火墙中。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims

1.一种传输控制协议TCP连接的建立方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于，所述向客户端返回的ACK报文，具体通过下述方式生成：

通过改造服务器返回的SYNACK报文，生成ACK报文。

3.如权利要求1所述的方法，其特征在于，生成携带完整VPN连接请求的ACK报文，具体包括：

将客户端返回的TCP报文中插入缓存的VPN连接请求的片段，将所述缓存的VPN连接请求的片段和所述VPN连接请求的剩余片段合并为完整的VPN连接请求；

重新计算所述TCP报文的IP和校验和，改造成返回给服务器的ACK报文。

4.如权利要求1-3任一项所述的方法，其特征在于，在判断未缓存有客户端发送的VPN连接请求报文的片段之后，还包括：

将服务器返回的SYNACK报文改造成发送给服务器的ACK报文并发送至所述服务器。

5.一种传输控制协议TCP连接的建立装置，其特征在于，包括：

6.如权利要求5所述的装置，其特征在于，所述报文生成单元，具体用于通过改造服务器返回的SYNACK报文，生成返回给客户端的ACK报文。

7.如权利要求5所述的装置，其特征在于，所述报文生成单元，具体用于将客户端返回的TCP报文中插入缓存的VPN连接请求的片段，将所述缓存的VPN连接请求的片段和所述VPN连接请求的剩余片段合并为完整的VPN连接请求；重新计算所述TCP报文的IP和校验和，改造成返回给服务器的ACK报文。

8.如权利要求5所述的装置，其特征在于，所述报文生成单元，还用于在判断单元判断未缓存有客户端发送的VPN连接请求报文的片段之后，将服务器返回的SYNACK报文改造成发送给服务器的ACK报文；

所述发送单元，还用于在判断单元判断未缓存有客户端发送的VPN连接请求报文的片段之后，将所述报文生成单元改造后的ACK报文发送至服务器。

9.一种网络设备，其特征在于，该网络设备包括如权利要求5-8任一项所述的传输控制协议TCP连接的建立装置。

10.如权利要求9所述的网络设备，其特征在于，所述传输控制协议TCP连接的建立装置设置于所述网络设备的防火墙中。