CN102752304A - 防止半连接攻击的方法及系统 - Google Patents

Abstract

本发明公开了一种防止半连接攻击的方法及系统，涉及网络通信技术领域，所述方法包括：获取网络设备所支持的最大连接数M，所述M为大于0的正整数；将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。本发明通过将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，使得在某个物理接口连接的内网节点遭受半连接攻击时，不会导致网络设备的内存资源被耗尽。

Description

防止半连接攻击的方法及系统

技术领域

本发明涉及网络通信技术领域，特别涉及一种防止半连接攻击的方法及系统。

背景技术

目前，网络设备大多以连接的方式对报文进行快速处理。例如防火墙通过ip（网络之间互连的协议，internet protocol）五元组将报文分成不同的连接（也可称为不同的流），对所有相同五元组的报文匹配到相同的连接上，做相同的处理流程。对于网络上的半连接攻击（例如，用户数据报协议udp或传输控制协议tcp等，只发送了请求报文而无回应报文的情况就叫做半连接攻击），此连接在网络设备上是有一定资源数限制的，大量的半连接会占用全局的半连接上限值，导致网络设备的内存耗尽，从而使得网络设备的系统崩溃。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是：如何防止网络设备在遭受半连接攻击时，网络设备的内存资源被耗尽。

（二）技术方案

为解决上述技术问题，本发明提供了一种防止半连接攻击的方法，所述方法包括：

获取网络设备所支持的最大连接数M，所述M为大于0的正整数；

将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。

其中，所述最大连接上限值的取值范围满足下式，

$\frac{M}{C}\&le;X<M$

其中，X为最大连接上限值，C为所述网络设备上的物理接口总数。

其中，所述最大连接上限值X的取值为

其中，将所述网络设备的内网节点根据所连接的物理接口进行划分之前，

判断所述网络设备上的物理接口是否遭受了半连接攻击，若是，则执行后续步骤。

其中，判断所述网络设备上的物理接口是否遭受了半连接攻击时，通过如下逻辑关系式（1）进行判断，若满足逻辑关系式（1），则判定所述网络设备上的物理接口遭受了半连接攻击，

$\frac{T}{L}\&le;V---\left(1\right)$

其中，T为所述网络设备上的物理接口的数据流量，L为所述网络设备上的连接数，V为预设阈值。

本发明还公开了一种防止半连接攻击的系统，所述系统包括：

连接获取模块，用于获取网络设备所支持的最大连接数M，所述M为大于0的正整数；

上限划分模块，用于将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。

（三）有益效果

本发明通过将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，使得在某个物理接口连接的内网节点遭受半连接攻击时，不会导致网络设备的内存资源被耗尽。

附图说明

图1是按照本发明一种实施方式的防止半连接攻击的方法的流程图；

图2是按照本发明一种实施方式的防止半连接攻击的系统的结构框图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

图1是按照本发明一种实施方式的防止半连接攻击的方法的流程图；参照图1，所述方法包括：

S101：获取网络设备（所述网络设备可为防火墙、路由器、交换机等设备）所支持的最大连接数M，所述M为大于0的正整数；

S102：将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。

优选地，所述最大连接上限值的取值范围满足下式，

$\frac{M}{C}\&le;X<M$

其中，X为最大连接上限值，C为所述网络设备上的物理接口总数；假设网络设备上支持最大连接数M为60万条，所述网络设备上的物理接口总数为8个，则可将每个物理接口的最大连接上限值设为75000~600000条，为了更好的利用所述网络设备，一般是将所述最大连接上限值X的取值为

即最大连接上限值设为75000条。

优选地，步骤S102中将所述网络设备的内网节点根据所连接的物理接口进行划分之前，所述方法还包括以下步骤：

判断所述网络设备上的物理接口是否遭受了半连接攻击，若是，则执行后续步骤，否则按照现有的方式进行处理，即不进行最大连接上限值的设置。

优选地，判断所述网络设备上的物理接口是否遭受了半连接攻击时，通过如下逻辑关系式（1）进行判断，若满足逻辑关系式（1），则判定所述网络设备上的物理接口遭受了半连接攻击，

$\frac{T}{L}\&le;V---\left(1\right)$

其中，T为所述网络设备上的物理接口的数据流量，L为所述网络设备上的连接数，V为预设阈值。

本发明还公开了一种防止半连接攻击的系统，参照图2，所述系统包括：

连接获取模块201，用于获取网络设备所支持的最大连接数M，所述M为大于0的正整数；

上限划分模块202，用于将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (6)

1.一种防止半连接攻击的方法，其特征在于，所述方法包括：

获取网络设备所支持的最大连接数M，所述M为大于0的正整数；

将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。

2.如权利要求1所述的方法，其特征在于，所述最大连接上限值的取值范围满足下式，

$\frac{M}{C}\&le;X<M$

其中，X为最大连接上限值，C为所述网络设备上的物理接口总数。

3.如权利要求2所述的方法，其特征在于，所述最大连接上限值X的取值为

4.如权利要求1所述的方法，其特征在于，将所述网络设备的内网节点根据所连接的物理接口进行划分之前，

判断所述网络设备上的物理接口是否遭受了半连接攻击，若是，则执行后续步骤。

5.如权利要求4所述的方法，其特征在于，判断所述网络设备上的物理接口是否遭受了半连接攻击时，通过如下逻辑关系式（1）进行判断，若满足逻辑关系式（1），则判定所述网络设备上的物理接口遭受了半连接攻击，

$\frac{T}{L}\&le;V---\left(1\right)$

其中，T为所述网络设备上的物理接口的数据流量，L为所述网络设备上的连接数，V为预设阈值。

6.一种防止半连接攻击的系统，其特征在于，所述系统包括：

连接获取模块，用于获取网络设备所支持的最大连接数M，所述M为大于0的正整数；

上限划分模块，用于将所述网络设备的内网节点根据所连接的物理接口进行划分，并对划分结果分别设置最大连接上限值，所述物理接口为所述网络设备上的物理接口。

Images