CN104780178B - 一种用于防止tcp攻击的连接管理方法 - Google Patents

Abstract

本发明公开了一种用于防止TCP攻击的连接管理方法。该方法包括：获取TCP连接中原始数据包的连接状态和五元组信息，基于原始数据包的五元组信息生成第一层流表的链表；基于第一层流表选择TCP连接中连接状态为第三次握手的原始数据包之后的数据包作为安全数据包；根据安全数据包的五元组信息和负载数据生成第二层流表的链表。该方法通过第一层流表来过滤TCP攻击报文，在第二层流表中缓存安全数据流的负载数据，不仅能防止TCP攻击，还能实时更新服务器的缓存，及时释放僵死连接，高效管理服务器端的缓存资源。

Description

一种用于防止TCP攻击的连接管理方法

技术领域

本发明涉及网络技术领域，具体地说，涉及一种用于防止TCP攻击的连接管理方法。

背景技术

现有技术中，高性能的报文处理设备需要随时处理海量网络报文，并且需要对每一个到达的TCP连接分配相关的存储资源，用于维持TCP连接、完成TCP统计及应用层报文分析。因此，TCP数据及连接状态的高效存储是决定设备性能的重要方面。

在实际的网络环境中，除了正常流量报文外，还存在着大量的网络攻击报文。特别是诸如TCP同步洪泛(TCP SYN Flood)攻击的TCP报文攻击，其利用TCP协议的缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽。即采用伪造的海量地址在短时间向同一网络地址和端口请求建立TCP连接。目标是快速耗尽服务端的物理资源，使得正常的TCP连接因服务端缺少资源而无法建立。

正常的TCP连接过程如图1a所示。首先进行第一次握手，客户端发送一个包含SYN标志的TCP报文，SYN即同步(Synchronize)，同步报文指明客户端使用的端口以及TCP连接的原始序号J。然后进行第二次握手，服务器在收到客户端的SYN报文后，将返回一个SYN+ACK的报文，表示客户端的请求被接受，同时TCP序号J被加一，ACK即确认(Acknowledgement)。最后完成第三次握手，客户端返回一个确认报文ACK给服务器端，同样TCP序列号K被加一，到此一个TCP连接完成。以上的连接过程在TCP协议中被称为三次握手(Three-way Handshake)。

TCP SYN Flood攻击的过程如图1b所示。客户端伪造大量网络地址向服务器发送包含SYN标志的TCP报文(第一次握手报文)。服务器在发出SYN+ACK应答报文后，做为攻击方的客户端并不做出任何应答，客户端并不发送ACK报文，因此第三次握手无法完成。这种情况下服务器端一般会重试(再次发送SYN+ACK给客户端)并等待一段时间后丢弃这个未完成的连接。

在这种情况下，服务器端为了维护一个非常大的半连接列表而消耗非常多的资源，服务器端将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求，此时从正常客户的角度看来，服务器失去响应。

因此，亟需一种能够防止TCP攻击的连接管理方法。

发明内容

本发明所要解决的技术问题在于防止现有技术中在进行TCP连接时出现的TCP报文攻击。

本发明提供一种用于防止TCP攻击的连接管理方法，包括：

获取TCP连接中原始数据包的连接状态和五元组信息，基于原始数据包的五元组信息生成第一层流表的链表，所述第一层流表的链表包括第一HASH索引节点和第一用户节点，将原始数据包的五元组信息和连接状态记录在第一用户节点中；

基于第一层流表选择TCP连接中连接状态为第三次握手的原始数据包之后的数据包作为安全数据包；

根据安全数据包的五元组信息和负载数据生成第二层流表的链表，所述第二层流表的链表包括第二HASH索引节点、第二用户节点和数据节点，将安全数据包的五元组信息存储在第二用户节点中，将安全数据包的负载数据存储在数据节点中。

在一个实施例中，当接收到安全数据包的FIN报文时，根据FIN报文中携带的五元组信息删除第一层流表的第一用户节点，并且删除第二层流表的第二用户节点和数据节点。

在一个实施例中，当TCP连接中原始数据包的连接状态发生改变时，更新第一层流表的第一用户节点中记录的连接状态，其中，所述连接状态为第一次握手、第二次握手或者第三次握手。

在一个实施例中，还包括：

为原始数据包创建第一时间戳，在第一层流表的第一HASH索引节点和第一用户节点中记录第一时间戳；

当原始数据包的连接状态或者负载数据发生改变时，更新第一时间戳。

在一个实施例中，在第一层流表的链表全部占用的情况下，根据第一时间戳删除第一层流表中创建时间超过淘汰时间阈值的链表。

在一个实施例中，还包括：

为安全数据包创建第二时间戳，在第二层流表的第二HASH索引节点、第二用户节点和数据节点中记录第二时间戳；

当安全数据包的负载数据发生改变时，更新第二时间戳。

在一个实施例中，遍历第一层流表和第二层流表，根据第一时间戳删除第一层流表中创建时间超过超时时间阈值的链表的第一用户节点，以及根据第二时间戳删除第二层流表中创建时间超过超时时间阈值的链表的第二用户节点和数据节点。

在一个实施例中，第一层流表的链表的首节点为第一HASH索引节点，第一HASH索引节点具有指向首个第一用户节点的地址指针，且第一用户节点具有指向下一第一用户节点的地址指针，从而构成第一用户节点链。

在一个实施例中，第二层流表的链表的首节点为第二HASH索引节点，第二HASH索引节点具有指向首个第二用户节点的地址指针，第二用户节点具有指向下一第二用户节点的地址指针，从而构成第二用户节点链；

第二用户节点具有指向数据节点的地址指针，属于同一第二用户节点的数据节点构成数据节点链。

在一个实施例中，所述将安全数据包的五元组信息存储在第二用户节点中的步骤包括：

判断安全数据包的五元组信息是否已保存在第二层流表的第二用户节点中；

若未保存，则分配第二用户节点用于存储所述五元组信息，使新分配的第二用户节点作为尾节点加入第二用户节点链中；

若已保存，则修改第二用户节点的第二时间戳。

在一个实施例中，其特征在于，所述将安全数据包的负载数据存储在数据节点的步骤包括：

为安全数据包的负载数据分配至少一个数据节点，用于存储负载数据；

在数据节点为一个的情况下，使数据节点链接至与安全数据包的五元组信息对应的第二用户节点；

在数据节点为多个的情况下，使数据节点构成数据节点链，并链接至与安全数据包的五元组信息对应的第二用户节点。

在一个实施例中，第一层流表的第一HASH索引节点用于存储由原始数据包的五元组信息按照第一哈希算法计算的哈希值；

第二层流表的第二HASH索引节点用于存储由安全数据包的五元组信息按照第二哈希算法计算的哈希值。

本发明实施例通过第一层流表来过滤TCP攻击报文，在第二层流表中缓存安全数据流的负载数据，不仅能防止TCP攻击，还能实时更新服务器的缓存，及时释放僵死连接，高效管理服务器端的缓存资源。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例共同用于解释本发明，并不构成对本发明的限制。在附图中：

图1a是现有技术中正常的TCP连接过程的原理性示意图；

图1b是现有技术中TCP同步洪泛攻击的原理性示意图；

图2是根据本发明实施例的两层流表结构的示意图；

图3是根据本发明实施例的第一层流表的结构示意图；

图4是根据本发明实施例的第二层流表的结构示意图；

图5是根据本发明实施例的用于防止TCP攻击的连接管理方法的步骤流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，以下结合附图对本发明作进一步地详细说明。本发明实施例提供的用于防止TCP攻击的连接管理方法可以是在服务器中安装的软件模块、硬件或者固件，或者三者的任意组合。

本发明的实施例采用两层流表结构，如图2所示，第一层流表用于记录TCP连接中原始数据包的连接状态，选择已经正常完成第三次握手之后的数据包作为可以信任的安全数据包，第二层流表用于保存安全数据包的报文数据。这样通过第一层流表对不完整的TCP连接完成过滤，只有正常完成第三次握手的TCP连接才能获取物理存储资源。此外，还提供超时管理和淘汰管理机制，对第一层流表和第二层流表进行更新，及时销毁僵死的TCP连接。采用这种方案不但能够降低TCP攻击的风险，还能高效管理服务器端的缓存资源。

第一层流表

以下参考图3对第一层流表的结构进行说明。第一层流表中包括若干项链表，其中，第一层流表的链表包括第一HASH索引节点和第一用户节点。链表的首个节点为第一HASH索引节点，在图3中表示为HASH节点1、HASH节点2、HASH节点3……HASH节点N，用于记录由原始数据包的五元组信息(源IP地址/目的IP地址/源端口/目的端口/协议号)按照第一哈希算法计算的哈希值。

第一HASH索引节点具有指向首个第一用户节点的地址指针，且第一用户节点具有指向下一第一用户节点的地址指针，从而构成第一用户节点链。第一用户节点链中各个用户节点用于记录原始数据包的五元组信息和连接状态。若原始数据包的五元组信息发生哈希冲突，则将原始数据包的五元组信息和连接状态保存在对应于同一个第一HASH索引节点的第一用户节点链中。其中，所述连接状态为第一次握手、第二次握手或者第三次握手。

在图3的示例中，用户节点A、用户节点B和用户节点C为第一用户节点，构成对应于HASH节点1的第一用户节点链。HASH节点1具有指向用户节点A的地址指针，用户节点A具有指向用户节点B的地址指针，类似地，用户节点B具有指向用户节点C的地址指针。用户节点A、用户节点B和用户节点C分别代表三种不同的TCP数据流，分别记为数据流A、数据流B和数据流C。用户节点A、用户节点B和用户节点C分别记录数据流A、数据流B和数据流C的五元组信息。

当TCP连接中原始数据包的连接状态发生改变时，更新第一层流表的第一用户节点中记录的连接状态。下文以数据流A为例说明如何更新连接状态。

当数据流A的第一次握手报文到达服务器时，通过哈希匹配将数据流A索引到第一层流表的链表中，根据第一次握手报文中的五元组信息为其分配用户节点A，并将用户节点A的连接状态设置为“首次握手”。

当数据流A的第二次握手的报文到达服务器时，修改用户节点A的连接状态，设置为“第二次握手”。

当数据流A的第三次握手报文到达服务器时，修改用户节点A的连接状态，设置为“第三次握手”。在后续的处理中，选择连接状态为已完成“第三次握手”之后的数据包作为可以信任的安全数据包，只有连接状态为“第三次握手”用户节点对应的数据流才会进入第二层流表，同时为该安全数据包分配存储资源。

由于绝大部分TCP攻击是通过大量构造第一次握手报文来进行攻击，因此，通过本实施例中的第一层流表，可以对攻击流量进行准确过滤。攻击报文不会完成三次握手，因此，攻击TCP流不会进入第二层流表，也保证了服务器不会为攻击TCP流分配内存资源。这样以来，一方面防止了TCP攻击，另一方面还提升了系统的服务能力。

为了进行淘汰处理和超时处理，在原始数据包到达时为其创建第一时间戳，并在第一层流表的第一HASH索引节点和第一用户节点中记录第一时间戳。在原始数据包的连接状态或者负载数据发生改变时，更新第一时间戳。

在图3中，HASH节点1、用户节点A、用户节点B和用户节点C分别记录各自的第一时间戳t₁、t_A、t_B和t_C。其中，第一时间戳t_A表示数据流A中数据包的连接状态发生改变或者负载数据发生改变的时间，类似的，第一时间戳t_B和t_C分别表示数据流B和C中数据包的连接状态发生改变或者负载数据发生改变的时间。在t_A、t_B和t_C中任一项发生更新的情况下，第一时间戳t₁都要发生改变。

在下文中将对根据第一时间戳进行淘汰处理和超时处理的详细过程进行说明。

第二层流表

以下参照图4对第二层流表的结构进行说明。与第一层流表的结构类似，第二层流表也包括有若干项链表。其中，第二层流表的链表包括第二HASH索引节点、第二用户节点和数据节点。

链表的首个节点为第二HASH索引节点，在图4中表示为HASH节点1、HASH节点2、HASH节点3……HASH节点N，用于记录由安全数据包的五元组信息按照第二哈希算法计算的哈希值。

第二HASH索引节点具有指向首个第二用户节点的地址指针，且第二用户节点具有指向下一第二用户节点的地址指针，从而构成第二用户节点链。第二用户节点具有指向数据节点的地址指针，属于同一第二用户节点的数据节点构成数据节点链。

第二用户节点链中各个用户节点用于存储安全数据包的五元组信息。若安全数据包的五元组信息发生哈希冲突，则将安全数据包的五元组信息保存在对应于同一个第二HASH索引节点的第二用户节点链中。此外，数据节点链中的数据节点用于存储安全数据包的负载数据。

在图3中数据流A、数据流B和数据流C中的数据包均为安全数据包的情况下，为这三种数据流分配第二层流表中的链表来存储数据。在图4中，用户节点A、用户节点B和用户节点C为第二用户节点，构成对应于HASH节点1的第二用户节点链。数据节点A1和数据节点A2构成属于用户节点A的数据节点链。

HASH节点1具有指向用户节点A的地址指针，用户节点A具有指向用户节点B的地址指针，类似地，用户节点B具有指向用户节点C的地址指针。用户节点A、用户节点B和用户节点C用于记录数据流、数据流B和数据流C中的五元组信息，来区分这三种数据流。

此外，用户节点A还具有指向数据节点A1的指针，数据节点A1具有指向数据节点A2的指针，使得数据节点A1和数据节点A2构成数据节点链，并连接至用户节点A。若在后续过程中需对数据流A负载数据进行处理，则第二层流表的从用户节点A开始，按顺序读取数据节点A1和数据节点A2中存储的数据，完成重新排序和解析等操作。

为了进行淘汰处理和超时处理，在安全数据包到达时为其创建第二时间戳，并在第二层流表的第二HASH索引节点和第二用户节点中记录第二时间戳。在安全数据包的负载数据发生改变时，更新第二时间戳。

在图4中，HASH节点1、用户节点A、用户节点B和用户节点C分别记录各自的第二时间戳T₁、T_A、T_B和T_C，且数据节点A1和数据节点A2分别记录各自的第二时间戳T_A1和T_A2。

其中，第二时间戳T_A表示数据流A的负载数据发生改变的时间，类似的，第二时间戳T_B和T_C分别表示数据流B和C的负载数据发生改变的时间。在数据流A的负载数据到达服务器时，分配数据节点A1来存储负载数据，并创建第二时间戳T_A1。在数据流A后续的负载数据到达时，更新第二时间戳T_A，分配数据节点A2来存储负载数据，并创建第二时间戳T_A2。在T_A、T_B、T_C、T_A1或T_A2中任一项发生更新的情况下，第二时间戳T₁都要发生改变。

在下文中将对根据第一时间戳进行淘汰处理和超时处理的详细过程进行说明。

上文中第一层流表的第一HASH索引节点用于存储由原始数据包的五元组信息按照第一哈希算法计算的哈希值，第二层流表的第二HASH索引节点用于存储由安全数据包的五元组信息按照第二哈希算法计算的哈希值。哈希算法和哈希值的宽度可以根据服务器设备的资源情况确定，第一哈希算法与第二哈希算法可以相同，也可以不同。

实施例

以下参照图5对本发明实施例的用于防止TCP攻击的连接管理方法的步骤流程进行详细说明。

首先，在原始数据包到达服务器时，获取TCP连接中原始数据包的连接状态和五元组信息(步骤S501)，基于原始数据包的五元组信息生成第一层流表的链表(步骤S502)。具体而言，由五元组信息按照第一哈希算法计算哈希值，在图1所示的HASH节点1至HASH节点N中查找哈希值匹配的节点，通过匹配到的哈希值确定该原始数据包所属的链表。分配第一用户节点来记录该原始数据包五元组信息，并将第一用户节点作为尾节点添加至该原始数据包所属的链表中。

在原始数据包到达服务器时，为该原始数据包创建第一时间戳。在第一用户节点中还记录第一时间戳和该原始数据包的连接状态。

判断TCP连接中原始数据包的连接状态是否改变(步骤S503)，若未发生改变，则执行步骤S501来获取TCP连接中下一个原始数据包的连接状态。若发生改变，则更新第一层流表的第一用户节点中记录的连接状态并更新第一时间戳(步骤S504)，所述连接状态为第一次握手、第二次握手或者第三次握手。此外，当原始数据包的连接状态为第三次握手，且负载数据发生改变时，表明该TCP连接还处于活动状态，也要更新第一时间戳。

然后基于第一层流表选择TCP连接中连接状态为第三次握手的原始数据包之后的数据包作为安全数据包(步骤S505)，根据安全数据包的五元组信息和负载数据生成第二层流表的链表(步骤S506)，从而过滤掉TCP攻击报文。第二层流表的链表包括第二HASH索引节点、第二用户节点和数据节点，将安全数据包的五元组信息存储在第二用户节点中，将安全数据包的负载数据存储在数据节点中，用于后续处理。

在将安全数据包的五元组信息存储在第二用户节点的步骤中，判断安全数据包的五元组信息是否已保存在第二层流表的第二用户节点中。若未保存，则分配第二用户节点用于存储所述五元组信息，使新分配的第二用户节点作为尾节点加入第二用户节点链中；若已保存，则修改第二用户节点的第二时间戳，相应地还要修改第二HASH索引节点具有的第二时间戳。

在将安全数据包的负载数据存储在数据节点的步骤中，为安全数据包的负载数据分配至少一个数据节点，用于存储负载数据。在数据节点为一个的情况下，使数据节点链接至与安全数据包的五元组信息对应的第二用户节点。在数据节点为多个的情况下，使数据节点构成数据节点链，并链接至与安全数据包的五元组信息对应的第二用户节点。

如此以来，将合法的TCP连接中的负载数据存储在第二层流表的数据节点链中。不同的TCP连接中的负载数据分别存储在第二层流表的中属于不同的第二用户的数据节点链中。

随后，当接收到安全数据包的FIN报文时，根据FIN报文中携带的五元组信息删除第一层流表的第一用户节点，并且删除第二层流表的第二用户节点和数据节点(步骤S507)，系统释放缓存资源用于处理其他的TCP连接。

此外，在淘汰处理的步骤中(图5中未示出)，在第一层流表的链表全部占用的情况下，由于无法为新到达的原始数据包分配第一用户节点，所以根据第一时间戳删除第一层流表中创建时间超过淘汰时间阈值的链表。其中，淘汰时间阈值根据服务器的配置环境提前设定。在一个优选方式中，每一个HASH节点对应的链表均采用LRU(Least RecentlyUsed，最近使用最少)算法来管理节点。也就是说，当服务器资源不足时，选取最老的、不使用的链表进行淘汰，释放缓存资源。

在超时处理的步骤中(图5中未示出)，遍历第一层流表和第二层流表，根据第一时间戳删除第一层流表中创建时间超过超时时间阈值的链表中的第一用户节点，以及根据第二时间戳删除第二层流表中创建时间超过超时时间阈值的链表的第二用户节点和数据节点。若出现僵死的TCP连接，则销毁这条僵死连接占用的第一层流表中的第一用户节点，和占用的第二层流表中的第二用户节点和数据节点，释放系统资源。其中，超时时间阈值可以根据服务器的配置环境提前设置。

虽然本发明所公开的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所公开的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (13)

1.一种用于防止TCP攻击的连接管理方法，其特征在于，包括：

获取TCP连接中原始数据包的连接状态和五元组信息，基于原始数据包的五元组信息生成第一层流表的链表，所述第一层流表的链表包括第一HASH索引节点和第一用户节点，将原始数据包的五元组信息和连接状态记录在第一用户节点中；

基于第一层流表选择TCP连接中连接状态为第三次握手的原始数据包之后的数据包作为安全数据包；

根据安全数据包的五元组信息和负载数据生成第二层流表的链表，所述第二层流表的链表包括第二HASH索引节点、第二用户节点和数据节点，将安全数据包的五元组信息存储在第二用户节点中，将安全数据包的负载数据存储在数据节点中。

2.如权利要求1所述的用于防止TCP攻击的连接管理方法，其特征在于，

当接收到安全数据包的FIN报文时，根据FIN报文中携带的五元组信息删除第一层流表的第一用户节点，并且删除第二层流表的第二用户节点和数据节点。

3.如权利要求1所述的用于防止TCP攻击的连接管理方法，其特征在于，

当TCP连接中原始数据包的连接状态发生改变时，更新第一层流表的第一用户节点中记录的连接状态，其中，所述连接状态为第一次握手、第二次握手或者第三次握手。

4.如权利要求1所述的用于防止TCP攻击的连接管理方法，其特征在于，还包括：

为原始数据包创建第一时间戳，在第一层流表的第一HASH索引节点和第一用户节点中记录第一时间戳；

当原始数据包的连接状态或者负载数据发生改变时，更新第一时间戳。

5.如权利要求4所述的用于防止TCP攻击的连接管理方法，其特征在于，

在第一层流表的链表全部占用的情况下，根据第一时间戳删除第一层流表中创建时间超过淘汰时间阈值的链表。

6.如权利要求4或5所述的用于防止TCP攻击的连接管理方法，其特征在于，还包括：

为安全数据包创建第二时间戳，在第二层流表的第二HASH索引节点、第二用户节点和数据节点中记录第二时间戳；

当安全数据包的负载数据发生改变时，更新第二时间戳。

7.如权利要求6所述的用于防止TCP攻击的连接管理方法，其特征在于，

遍历第一层流表和第二层流表，根据第一时间戳删除第一层流表中创建时间超过超时时间阈值的链表的第一用户节点，以及根据第二时间戳删除第二层流表中创建时间超过超时时间阈值的链表的第二用户节点和数据节点。

8.如权利要求7所述的用于防止TCP攻击的连接管理方法，其特征在于，第一层流表的链表的首节点为第一HASH索引节点，第一HASH索引节点具有指向首个第一用户节点的地址指针，且第一用户节点具有指向下一第一用户节点的地址指针，从而构成第一用户节点链。

9.如权利要求7所述的用于防止TCP攻击的连接管理方法，其特征在于，第二层流表的链表的首节点为第二HASH索引节点，第二HASH索引节点具有指向首个第二用户节点的地址指针，第二用户节点具有指向下一第二用户节点的地址指针，从而构成第二用户节点链；

第二用户节点具有指向数据节点的地址指针，属于同一第二用户节点的数据节点构成数据节点链。

10.如权利要求9所述的用于防止TCP攻击的连接管理方法，其特征在于，所述将安全数据包的五元组信息存储在第二用户节点中的步骤包括：

判断安全数据包的五元组信息是否已保存在第二层流表的第二用户节点中；

若未保存，则分配第二用户节点用于存储所述五元组信息，使新分配的第二用户节点作为尾节点加入第二用户节点链中；

若已保存，则修改第二用户节点的第二时间戳。

11.如权利要求9所述的用于防止TCP攻击的连接管理方法，其特征在于，所述将安全数据包的负载数据存储在数据节点的步骤包括：

为安全数据包的负载数据分配至少一个数据节点，用于存储负载数据；

在数据节点为一个的情况下，使数据节点链接至与安全数据包的五元组信息对应的第二用户节点；

在数据节点为多个的情况下，使数据节点构成数据节点链，并链接至与安全数据包的五元组信息对应的第二用户节点。

12.如权利要求1-5、7-11中任一项所述的用于防止TCP攻击的连接管理方法，其特征在于，

第一层流表的第一HASH索引节点用于存储由原始数据包的五元组信息按照第一哈希算法计算的哈希值；

第二层流表的第二HASH索引节点用于存储由安全数据包的五元组信息按照第二哈希算法计算的哈希值。

13.如权利要求6所述的用于防止TCP攻击的连接管理方法，其特征在于，

第一层流表的第一HASH索引节点用于存储由原始数据包的五元组信息按照第一哈希算法计算的哈希值；

第二层流表的第二HASH索引节点用于存储由安全数据包的五元组信息按照第二哈希算法计算的哈希值。