CN102299850A - 保护cpu的方法和装置 - Google Patents

Abstract

本发明揭示了一种CPU保护的方法，包括：(1)统计预设的时间段T1内端口发送至CPU的报文数量；(2)比较所述报文数量和所述端口允许发送至CPU的最大报文数量packetnum；(3)当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于Packetnum的端口发送至CPU的报文，并返回步骤(1)。本发明还提出对应的装置。本发明提出的保护CPU的方法和装置，实现防止CPU利用率过高的同时，又不会影响到其他端口的正常业务。

Description

保护CPU的方法和装置

技术领域

本发明涉及到通信领域，特别涉及到一种保护CPU的方法和装置。

背景技术

随着CPU研发和科学技术的发展，CPU的处理能力得到了很大提高，但是随着技术的进步和业务的多样化，对CPU的处理能力的要求也日益提高。在交换机和路由器设备中，协议报文的处理都要经过CPU，越来越多的协议数据使得CPU的处理性能大大降低，大数据量的协议报文攻击也常常使CPU限于瘫痪状态，进而引发了各种协议处理的中断。

目前虽然已经有不少CPU保护的方法，比较典型的是根据CPU利用率阈值判决来保护CPU免受大量攻击报文的方法。这种理论是先计算CPU利用率，然后再设置一个CPU利用率阈值，当CPU利用率超过阈值的时候，降低CPU收包速率。该方法虽然能使CPU利用率降下来，但因为没有办法区分端口，可能会导致有些端口正常的重要业务报文被丢弃，而对某些端口的攻击报文却不能很好的抑制。

发明内容

本发明的主要目的为提供一种保护CPU的方法和装置，实现防止CPU利用率过高的同时，又不会影响到其他端口的正常业务。

本发明提出一种CPU保护的方法，包括：

(1)统计预设的时间段T1内端口发送至CPU的报文数量；

(2)比较所述报文数量和所述端口允许发送至CPU的最大报文数量packetnum；

(3)当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于Packetnum的端口发送至CPU的报文。

优选地，在执行步骤(1)之前，还包括：

设置时间段T1、T2和packetnum。

优选地，在执行所述步骤(2)之后，还包括：

(4)当所述报文数量小于或等于packetnum时，统计在时间段T1内CPU接收的报文总数；

(5)当所述报文总数大于CPU允许的最大报文数量时，按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文。

优选地，在执行步骤(4)之前，还包括：

设置所述端口的优先级和CPU允许的最大报文数量。

优选地，在执行所述步骤(4)之后，还包括：

(6)当所述报文总数小于或等于CPU允许的最大报文数量时，从当前不允许向CPU发送报文的端口中，允许优先级高的端口发送报文至CPU。

本发明还提出一种CPU保护的装置，包括：

统计端口报文模块，用于统计预设的时间段T1内端口发送至CPU的报文数量；

比较模块，用于比较所述报文数量和所述端口允许发送至CPU的最大报文数量packetnum；

第一丢弃模块，用于当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于packetnum的端口发送至CPU的报文。

优选地，所述装置还包括：

第一设置模块，用于设置时间段T1、T2和packetnum。

优选地，所述装置还包括：

统计CPU报文模块，用于当所述报文数量小于或等于packetnum时，统计在时间段T1内CPU接收的报文总数；

第二丢弃模块，用于当所述报文总数大于CPU允许的最大报文数量时，按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文。

优选地，所述装置还包括：

第二设置模块，用于设置所述端口的优先级和CPU允许的最大报文数量。

优选地，所述装置还包括：

恢复端口模块，用于当所述报文总数小于或等于CPU允许的最大报文数量时，从当前不允许向CPU发送报文的端口中，允许优先级高的端口发送报文至CPU。

本发明提供的一种保护CPU的方法和装置，针对具体端口，对该端口在单位时间内发送到CPU的报文数目进行限制，如果超过了规定的数目，则对该端口发往CPU的报文进行丢弃，这样既可以防止该端口的攻击报文过多地发到CPU引起CPU利用率过高，又不会影响到其他端口的正常业务。进一步地，如果CPU收到的所有报文超过配置则丢弃优先级较低的端口发向CPU的报文，保证了CPU整体的处理能力。由于在交换机或者路由器设备中，检测受到大量攻击报文的端口是比较容易的，为该发明提供了依据和可能。

附图说明

图1为本发明保护CPU的方法一实施例的流程示意图；

图2为本发明保护CPU的方法又一实施例的流程示意图；

图3为本发明保护CPU的装置一实施例的结构示意图；

图4为本发明保护CPU的装置又一实施例的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，提出本发明一种保护CPU的方法一实施例，包括：

步骤S101、设置时间段T1、T2和端口允许的最大报文数量packetnum。选择通讯设备中需要限制的端口，如果多个端口都要实现报文限制，则多个端口之间的参数为互相独立的，每个端口的参数可独立设置为不同的值。对于某一特定端口而言，所述packetnum表示在该时间段T1内，允许从本端口发送到CPU的最大报文数量为packetnum。

步骤S102、统计时间段T1内端口发送至CPU的报文数量；

步骤S103、比较所述报文数量和所述端口允许发送至CPU的最大报文数量Packetnum；

步骤S103 1、判断所述报文数量是否大于端口允许发送至CPU的最大报文数量Packetnum；

步骤S104、当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于packetnum的端口发送至CPU的报文，并返回步骤S102。

为说明方便，本实施例以某一特定端口为例进行说明，其它端口的处理方法类似。

统计在时间段T1内该指定端口发送至CPU的报文数量，如果在时间段T1内发送到CPU的报文数目超过了所允许的该端口最大报文数量packetnum，则在接下来的时间段T2内，CPU丢弃从该端口再发送来的报文。

当时间段T2结束后，CPU再继续接收该端口发来的报文，并统计下一个时间段T1内该端口发送到CPU的报文是否超过了packetnum，如果没有超出，则返回步骤S102，继续统计下一个时间段T1该端口发送到CPU的报文数目是否超过了packetnum。

举个例子：设置某端口的3个参数分别为：

T1＝5，packetnum＝100，T2＝3；

开启这个端口的CPU保护，开始统计从该端口发送到CPU的报文数量，如果第一个5秒(0～5秒)内统计的报文数目为50，小于该端口的packetnum(100)，则继续统计第二个5秒(1～6秒)内从该端口发送到CPU的报文数目，如果第二个5秒内发送到CPU的报文数目为120，超过了100，则进入保护状态，在接下来的3秒内，丢弃从该端口发送到CPU的所有报文，3秒钟过后，重新开始统计下一个5秒内从该端口发送到CPU的报文数目，过程如此循环往复。本功能针对每个端口设置有开关进行控制，只有端口受限功能打开时才起作用。

本实施例针对具体端口，对该端口在单位时间内发送到CPU的报文数目进行限制，如果超过了规定的数目，则对该端口发往CPU的报文进行丢弃，这样既可以防止该端口的攻击报文过多地发到CPU引起CPU利用率过高，又不会影响到其他端口的正常业务。由于在交换机或者路由器设备中，检测受到大量攻击报文的端口是比较容易的，为该发明提供了依据和可能。

参照图2，提出本发明一种CPU保护的方法另一实施例，在一实施例中，还包括：

步骤S104、设置所述端口的优先级和CPU允许的最大报文数量；

步骤S105、当所述报文数量小于或等于packetnum时，统计在时间段T1内CPU接收的报文总数；

步骤S106、当所述报文总数大于CPU允许的最大报文数量时，则按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文，并返回步骤S102；

步骤S107、当所述报文总数小于或等于CPU允许的最大报文数量时，从当前不允许向CPU发送报文的端口中，允许优先级高的端口发送报文至CPU，并返回步骤S102。

本实施例适于多个端口同时受限制的应用场景。如果每个端口收到的报文都没有超过其最大限制packetnum，而CPU收到的所有报文却超过了CPU本身允许的最大报文数量，则按照预先设定的端口优先级丢弃端口发向CPU的报文。需要注意的是，步骤S104可和步骤S101同时进行。

步骤S106具体包括：

步骤S1061、比较CPU接收到的报文总数与CPU最大报文数量；

步骤S1062、判断CPU接收的报文总数是否大于CPU最大报文数量，是则执行步骤S1063，否则执行步骤S107；

步骤S1063、按照优先级的配置，找出现在允许向CPU发送报文的端口中优先级最低的端口，找不到端口执行步骤S102；

步骤S1064、丢弃该端口发向CPU的报文。

步骤S107具体包括：

步骤S1071、按照优先级的配置，找出现在不允许向CPU发送报文的端口中优先级最高的端口；找不到端口执行步骤S102；

步骤S1072、允许该端口发向CPU的报文，执行步骤S102。

举例说明：如果有端口1、端口2和端口3向CPU发送报文(假定上述三个端口的受限制功能同时打开)，其优先级分别对应3、2和1，时间段T1内最大限制packetnum分别为100、200、100，而CPU在时间段T1内的最大限制为300。在时间段T1内端口1、端口2、端口3分别发向CPU的报文为80、150、90，每个端口都没有超过自身的最大限制但总数却超过了CPU允许的最大报文数量，所以按照优先级设置，在接下来的时间段T2内，丢弃端口3发向CPU的报文。当时间段T2结束后，再接着的时间段T1内如果端口1和端口2发向CPU的报文依然没有超过自身限制但总数超过CPU允许的最大报文数量，则丢弃端口2发向CPU的报文，否则打开端口3使其可以向CPU发送报文。

本实施例中，如果CPU收到的所有报文超过配置则丢弃优先级较低的端口发向CPU的报文，进一步保证了CPU整体的处理能力。

参照图3，提出本发明CPU保护的装置一实施例，包括：

第一设置模块10，用于设置时间段T1、T2和packetnum；

统计端口报文模块11，用于统计时间段T1内端口发送至CPU的报文数量；

比较模块12，用于比较所述报文数量和所述端口允许发送至CPU的最大报文数量packetnum；

第一丢弃模块13，用于当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于packetnum的端口发送至CPU的报文。

本实施例的装置可以内置或外置于CPU。首先第一设置模块10选择通讯设备中需要限制的端口并设置对应的保护参数时间段T1、T2和packetnum，如果多个端口都要实现报文限制，则多个端口之间的参数为互相独立的，每个端口的参数可独立设置为不同的值。对于某一特定端口而言，所述packetnum表示在该时间段T1内，允许从本端口发送到CPU的最大报文数量为packetnum。

为说明方便，本实施例以某一特定端口为例进行说明，其它端口的处理方法类似。

统计端口报文模块11统计在时间段T1内该指定端口发送至CPU的报文数量，比较模块12比较所述报文数量和端口允许发送至CPU的最大报文数量packetnum的大小。如果在时间段T1内发送到CPU的报文数目超过了所允许的该端口最大报文数量packetnum，则第一丢弃模块13在接下来的时间段T2内，丢弃从该端口再发送至CPU的报文。

当时间段T2结束后，CPU再继续接收该端口发来的报文，统计端口报文模块11统计下一个时间段T1内该端口发送到CPU的报文是否超过了packetnum，如果没有超出，则统计端口报文模块11继续重复统计下一个单位时间T1该端口发送到CPU的报文数目是否超过了packetnum。

举个例子：设置某端口的3个参数分别为：

T1＝5，packetnum＝100，T2＝3；

开启这个端口的CPU保护，统计端口报文模块11开始统计从该端口发送到CPU的报文数量，如果第一个5秒(0～5秒)内统计的报文数目为50，小于该端口的packetnum(100)，则继续统计第二个5秒(1～6秒)内从该端口发送到CPU的报文数目，如果第二个5秒内发送到CPU的报文数目为120，超过了100，则进入保护状态，在接下来的3秒内，第一丢弃模块13丢弃从该端口发送到CPU的所有报文，3秒钟过后，统计端口报文模块11重新开始统计下一个5秒内从该端口发送到CPU的报文数目，过程如此循环往复。本功能针对每个端口设置有开关进行控制，只有端口受限功能打开时才起作用。

本实施例针对具体端口，对该端口在单位时间内发送到CPU的报文数目进行限制，如果超过了规定的数目，则对该端口发往CPU的报文进行丢弃，这样既可以防止该端口的攻击报文过多地发到CPU引起CPU利用率过高，又不会影响到其他端口的正常业务。由于在交换机或者路由器设备中，检测受到大量攻击报文的端口是比较容易的，为该发明提供了依据和可能。

参照图4，提出本发明CPU保护的装置又一实施例，在一实施例中，还包括：

第二设置模块20，用于设置所述端口的优先级和CPU允许的最大报文数量。

统计CPU报文模块21，用于当所述报文数量小于或等于packetnum时，统计在时间段T1内CPU接收的报文总数；

第二丢弃模块22，用于当所述报文总数大于CPU允许的最大报文数量时，则按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文。

恢复端口模块23，用于当所述报文总数小于或等于CPU允许的最大报文数量时，从当前不允许向CPU发送报文的端口中，允许优先级高的端口发送报文至CPU。

第二设置模块20设置所述端口的优先级和CPU允许的最大报文数量。当所述报文数量小于或等于packetnum时，统计CPU报文模块21统计在时间段T1内CPU接收的报文总数，当CPU接收到的报文总数大于CPU允许的最大报文数量时，则第二丢弃模块22按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文，并返回通过统计端口报文11模块统计预设的时间段T1内端口发送至CPU的报文数量。

本实施例适于多个端口同时受限制的应用场景。如果每个端口收到的报文都没有超过其最大限制packetnum，而CPU收到的所有报文却超过了CPU本身允许的最大报文数量，则按照预先设定的端口优先级丢弃端口发向CPU的报文。需要注意的是，步骤S104可和步骤S101同时进行。

第二丢弃模块22的工作原理具体为：

比较CPU接收到的报文总数与CPU最大报文数量，判断CPU接收的报文总数是否大于CPU最大报文数量，是则按照优先级的配置，找出现在允许向CPU发送报文的端口中优先级最低的端口，找不到返回通过统计端口报文模块11统计预设的时间段T1内端口发送至CPU的报文数量。找出现在允许向CPU发送报文的端口中优先级最低的端口，则丢弃该端口发向CPU的报文。

如CPU接收的报文总数小于或等于CPU最大报文数量，则按照优先级的配置，找出现在不允许向CPU发送报文的端口中优先级最高的端口；找不到则返回通过统计端口报文模块11统计预设的时间段T1内端口发送至CPU的报文数量。找到则允许该端口发向CPU的报文，并返回通过统计端口报文模块11统计预设的时间段T1内端口发送至CPU的报文数量。

举例说明：如果有端口1、端口2和端口3向CPU发送报文(假定上述三个端口的受限制功能同时打开)，其优先级分别对应3、2和1，时间段T1内最大限制packetnum分别为100、200、100，而CPU在时间段T1内的最大限制为300。在时间段T1内端口1、端口2、端口3分别发向CPU的报文为80、150、90，每个端口都没有超过自身的最大限制但总数却超过了CPU允许的最大报文数量，所以按照优先级设置，在接下来的时间段T2内，丢弃端口3发向CPU的报文。当时间段T2结束后，再接着的时间段T1内如果端口1和端口2发向CPU的报文依然没有超过自身限制但总数超过CPU允许的最大报文数量，则丢弃端口2发向CPU的报文，否则打开端口3使其可以向CPU发送报文。

本实施例中，如果CPU收到的所有报文超过配置则丢弃优先级较低的端口发向CPU的报文，进一步保证了CPU整体的处理能力。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种CPU保护的方法，其特征在于，包括：

(1)统计预设的时间段T1内端口发送至CPU的报文数量；

(2)比较所述报文数量和所述端口允许发送至CPU的最大报文数量packetnum；

(3)当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于Packetnum的端口发送至CPU的报文。

2.如权利要求1所述的方法，其特征在于，在执行步骤(1)之前，还包括：

设置时间段T1、T2和packetnum。

3.如权利要求1或2所述的方法，其特征在于，在执行所述步骤(2)之后，还包括：

(4)当所述报文数量小于或等于packetnum时，统计在时间段T1内CPU接收的报文总数；

(5)当所述报文总数大于CPU允许的最大报文数量时，按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文。

4.如权利要求3所述的方法，其特征在于，在执行步骤(4)之前，还包括：

设置所述端口的优先级和CPU允许的最大报文数量。

5.如权利要求3所述的方法，其特征在于，在执行所述步骤(4)之后，还包括：

(6)当所述报文总数小于或等于CPU允许的最大报文数量时，从当前不允许向CPU发送报文的端口中，允许优先级高的端口发送报文至CPU。

6.一种CPU保护的装置，其特征在于，包括：

统计端口报文模块，用于统计预设的时间段T1内端口发送至CPU的报文数量；

比较模块，用于比较所述报文数量和所述端口允许发送至CPU的最大报文数量packetnum；

第一丢弃模块，用于当所述报文数量大于packetnum时，在接下来的时间段T2内，丢弃发送报文数量大于packetnum的端口发送至CPU的报文。

7.如权利要求6所述的装置，其特征在于，还包括：

第一设置模块，用于设置时间段T1、T2和packetnum。

8.如权利要求6或7所述的装置，其特征在于，还包括：

统计CPU报文模块，用于当所述报文数量小于或等于packetnum时，统计在时间段T1内CPU接收的报文总数；

第二丢弃模块，用于当所述报文总数大于CPU允许的最大报文数量时，按照所述端口的优先级，丢弃优先级低的端口发送至CPU的报文。

9.如权利要求8所述的装置，其特征在于，还包括：

第二设置模块，用于设置所述端口的优先级和CPU允许的最大报文数量。

10.如权利要求8所述的装置，其特征在于，还包括：

恢复端口模块，用于当所述报文总数小于或等于CPU允许的最大报文数量时，从当前不允许向CPU发送报文的端口中，允许优先级高的端口发送报文至CPU。

Images