CN104869118B - 一种基于动态隧道技术实现DDoS防御的方法及系统 - Google Patents

Abstract

本发明提供了一种基于动态隧道技术实现DDoS防御的方法，包括：访问终端向服务控制器发送隧道候选请求消息；服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接。本发明还提供了一种基于动态隧道技术实现DDoS防御的系统，包括：访问终端、服务控制器、资源控制器及多个隧道网关。本发明在实现安全防御攻击的同时，也能够减少链路的冗余，保证核心业务的可靠性。

Description

一种基于动态隧道技术实现DDoS防御的方法及系统

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种基于动态隧道技术实现DDoS防御的方法及系统。

背景技术

分布式拒绝服务(Distributed Denial of Service，简称DDoS)，是网络中一种常见的攻击行为，具体指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。而由于攻击源不确定，攻击发生时流量过大，会导致业务的服务不可达。

现有技术中，常见的DDoS防御有如下两者方式：(1)设备清洗：通过流量清洗设备进行清洗，一般部署于数据中心或者业务系统的入口点；(2)DNS接管清洗：将需要保护的域名指向统一清洗中心，由统一清洗中心进行统一清洗。

上述的DDoS防御的方式已经被广泛使用，但也存在如下缺陷：(1)设备清洗：需要专业安全设备，并具备充足的带宽资源。对于投入大量资源的数据中心或者业务系统，无法抵御流量较大的攻击；(2)DNS接管清洗：这种方式投入成本较少，但所能清洗的业务一般都是http，而且因为流量经过第三方，对于敏感业务不适合。

发明内容

针对现有技术通过安全设备进行清洗和DNS接管清洗的方式的缺陷，本发明提供了一种基于动态隧道技术实现DDoS防御的方法及系统。

第一方面，本发明提供了一种基于动态隧道技术实现DDoS防御的方法，该方法包括：

访问终端向服务控制器发送隧道候选请求消息，所述隧道候选请求消息包括所述访问终端的属性及预设的优先级规则；

服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；

访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接。

优选地，所述访问终端向服务控制器发送隧道候选请求消息的步骤之前，该方法还包括：

资源控制器根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

优选地，所述服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关，包括：

服务控制器接收到访问终端的到所述隧道候选请求消息后，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则服务控制器向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

服务控制器向访问终端发送所述多个候选隧道网关。

优选地，所述访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接，包括：

访问终端根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

所述隧道网关接收到所述连接请求消息后，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述访问终端建立隧道起点，并在所述隧道网关建立隧道终点；

通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接。

优选地，该方法还包括：

访问终端检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关。

优选地，该方法还包括：

若访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，所述访问终端根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

第二方面，本发明提供了一种基于动态隧道技术实现DDoS防御的系统，该系统包括：访问终端、服务控制器及多个隧道网关；

访问终端，与所述服务控制器及多个隧道网关分别连接，用于向服务控制器发送隧道候选请求消息；根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接；

服务控制器，用于当接收到所述隧道候选请求消息时，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关。

优选地，该系统还包括：

资源控制器，与所述服务控制器及多个隧道网关分别连接，用于根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

优选地，服务控制器，用于：

接收到访问终端的到所述隧道候选请求消息时，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

向访问终端发送所述多个候选隧道网关。

优选地，所述访问终端，用于根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

所述隧道网关，用于当接收到所述连接请求消息时，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述隧道网关建立隧道终点；

所述访问终端，还用于在所述访问终端建立隧道起点，并通过所述访问终端和所述隧道网关之间的隧道，与访问对象建立连接。

由上述技术方案可知，本发明提供一种基于动态隧道技术实现DDoS防御的方法及系统，通过在访问终端和访问对象间建立安全隧道，当DDoS攻击时进行隧道动态切换，使得攻击的目标变为黑洞，则业务不会发生中断，该发明在实现安全防御攻击的同时，也能够减少链路的冗余，保证核心业务的可靠性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些图获得其他的附图。

图1是本发明一实施例提供的一种基于动态隧道技术实现DDoS防御的方法的流程示意图；

图2是本发明另一实施例提供的一种基于动态隧道技术实现DDoS防御的方法的流程示意图；

图3是本发明一实施例提供的一种基于动态隧道技术实现DDoS防御的系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，为本发明一实施例提供的一种基于动态隧道技术实现DDoS防御的方法的流程示意图，该方法包括如下步骤：

S1：访问终端向服务控制器发送隧道候选请求消息，所述隧道候选请求消息包括所述访问终端的属性及预设的优先级规则。

具体来说，访问终端的属性包括：终端类型(如终端的操作系统类型，终端是固定的还是移动的等)、身份(如终端所属公司等)、服务(如终端所购买的服务等级、类型等)等。当然，还可包括终端的其他属性，本实施方式对此不加以限制。

S2：服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关。

S3：访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接。

具体来说，访问终端接收到按预设的优先级规则排序多个候选隧道网关，则访问终端直接选择排在第一的隧道网关，并判断该隧道网关是否能够连接，若能够连接，则向该隧道网关发送连接请求，以使访问终端与该隧道网关之间建立隧道，访问终端通过该隧道与访问对象连接。

本实施例中，步骤S1之前，该方法还包括：

资源控制器根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

具体来说，多种优先级规则包括：隧道网关的资源利用率、各隧道网关负载、内存利用率等。而按序排列具体指按优先级规则排序，如按CPU利用率由低到高排序的多个隧道网关、按内存利用率由低到高排序的多个隧道网关等等。当然，还可为其他的优先级规则，本实施方式对此不加以限制。则资源控制器根据上述多种优先级规则，维护顺序排序的候选隧道网关列表，为服务控制器通过可靠链路以多种优先级规则提供候选隧道网关。

进一步地，步骤S2，具体包括如下子步骤：

S21：服务控制器接收到访问终端的到所述隧道候选请求消息后，对所述访问终端进行身份验证。

S22：若所述访问终端的身份验证通过，则服务控制器向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关。

需要说明的是，若访问终端的身份验证没有通过，则服务器控制器向访问终端发送身份验证失败消息。

S23：服务控制器向访问终端发送所述多个候选隧道网关。

由此可见，服务控制器通过资源控制器进行隧道资源调配，则在通过隧道动态切换达到防御DDoS攻击的同时，合理均衡各隧道网关的负载，减少链路冗余，保证核心业务的可靠性。而且，由此可见，访问终端启动隧道本地服务时，不会获得所有可用的隧道网关，而是与服务控制器通信，获得符合预设的优先级规则的有限个可用的隧道网关候选。

本实施例中，步骤S3具体包括如下子步骤：

S31：访问终端根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

S32：所述隧道网关接收到所述连接请求消息后，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述访问终端建立隧道起点，并在所述隧道网关建立隧道终点；

S33：通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接。

本实施例中，该方法还包括如下步骤：

访问终端检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关。

具体来说，服务质量可通过若干个参数来衡量，例如：参数可选择带宽、延时等。则当带宽减小、延时增加时，服务质量下降，则切换隧道网关。当然，还可为通过其他参数来衡量服务质量，本实施方式对此不加以限制。由此可见，利用多隧道间的切换，可保证隧道的服务质量。

进一步地，该方法还包括如下步骤：

若访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，所述访问终端根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

具体来说，若访问终端与访问对象的连接中断，或用户进行隧道网关切换操作，则根据候选隧道网关的排序，访问终端向另一个隧道网关发送连接请求，进而切换隧道。如此，通过隧道的动态切换，保证了访问终端与访问对象的连接不中断。

本实施例提供了一种基于动态隧道技术实现DDoS防御的方法，通过在访问终端和访问对象间建立安全隧道，当DDoS攻击时进行隧道动态切换，使得攻击的目标变为黑洞，则业务不会发生中断，从而该方法实现安全防御攻击的同时，也能够减少链路的冗余，保证核心业务的可靠性。

为了更清楚地说明本发明的技术方案，下面通过一个更为具体的实施例来说明基于动态隧道技术实现DDoS防御的方法，如图2所示，该方法包括如下步骤：

S1’：访问终端向服务控制器发送隧道候选请求消息；

S2’：服务控制器根据访问终端的属性及预设的优先级规则，向访问终端反馈了若干个候选隧道网关；

S3’：访问终端判断上述若干个候选隧道网关是否均无法连接，若是，则转至步骤S2’，否则转至步骤S4’；

S4’：访问终端根据所述候选隧道网关的排序选择一个隧道网关，并向该隧道网关发送连接请求；

S5’：该隧道网关对访问终端进行身份验证，若身份验证通过，则转至步骤S6’，若身份验证不通过，则转至步骤S1’；

S6’：访问终端的隧道本地服务在本机上建立隧道起点，上述隧道网关的隧道远端服务建立隧道终点，则访问终端通过该隧道与访问对象连接；

具体来说，隧道起点和隧道终端间的隧道，即访问终端与隧道网关间建立起安全隧道，访问终端通过该安全隧道与访问对象连接。

S7’：若访问终端与访问对象的连接中断，或者用户进行隧道切换操作，访问终端的隧道本地服务向隧道网关候选的其他隧道网关发出连接请求；

S8’：判断是否所有的候选隧道网关的连接均中断，或者用户是否进行重新获取候选隧道网关的操作，若是，则转至步骤S1’，否则转至步骤S5’；。

由此可见，访问终端预先获得多条隧道网关备选，并通过隧道与访问对象进行连接。若由于DDoS攻击导致业务服务不可达，访问终端能自动切换到下一隧道网关，重新建立隧道连接，采用隧道重建恢复技术，保持与访问对象连接不中断，达到防御DDoS攻击的目的。

如图3所示，为本发明提供了一种基于动态隧道技术实现DDoS防御的系统的结构示意图，该系统包括：访问终端、服务控制器及多个隧道网关。其中：

访问终端，与所述服务控制器及多个隧道网关分别连接，用于向服务控制器发送隧道候选请求消息；根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接；

服务控制器，用于当接收到所述隧道候选请求消息时，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关。

可理解的是，该系统中可包括多个隧道网关，而在本实施例中以2个隧道网关为例(如图3：隧道网关1、隧道网关2)。通过在系统中部署多个隧道网关，为访问终端提供多条连接访问对象的通道。而且。隧道网关上会启动隧道远端服务，以监听访问终端的接入，并创建隧道终点。隧道网关通过路由器与访问对象连接，其中访问对象可为多个终端。

本实施例中，如图3所示，该系统还包括：资源控制器，与所述服务控制器及多个隧道网关分别连接，用于根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

需要说明的是，资源控制器还用于管理多个隧道网关及监控网关状态，以实时更新所述候选隧道网关列表。

本实施例中，如图3所示，该系统中各组件间的连接关系为：访问终端物理网口、隧道网关右侧的物理网口、服务控制器右侧的物理网口连接在不可信网络上。其中，示例访问终端物理网口地址1.1.1.2，示例隧道网关1和2右侧的物理网口地址分别为3.3.3.2和4.4.4.2。所有隧道终点、所有隧道起点和路由器的右侧物理网口属于同一个隧道网络。示例的隧道网络为192.168.128.0/24，上述隧道终点、隧道起点在该网络中获得地址。所有访问对象的物理网口和路由器的左侧物理端口属于同一个可信网路。示例的可信网络为192.168.0.0/24，上述访问对象的物理网口在该网络中获得地址。所有隧道网关、资源控制器的物理网口和服务控制器右侧的物理网口还同时连接在另一个可信的控制网络上。

具体来说，服务控制器，用于：

接收到访问终端的到所述隧道候选请求消息时，对所述访问终端进行身份验证；若所述访问终端的身份验证通过，则向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；向访问终端发送所述多个候选隧道网关。

具体来说，所述访问终端，用于根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；所述隧道网关，用于当接收到所述连接请求消息时，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述隧道网关建立隧道终点；所述访问终端，还用于在所述访问终端建立隧道起点，并通过所述访问终端和所述隧道网关之间的隧道，与访问对象建立连接。

本实施例中，访问终端，还用于：检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关；当访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

以上实施方式仅适于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (8)

1.一种基于动态隧道技术实现DDoS防御的方法，其特征在于，该方法包括：

访问终端向服务控制器发送隧道候选请求消息，所述隧道候选请求消息包括所述访问终端的属性及预设的优先级规则；

服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；

访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接；

访问终端检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关；

若访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，所述访问终端根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

2.根据权利要求1所述的方法，其特征在于，所述访问终端向服务控制器发送隧道候选请求消息的步骤之前，该方法还包括：

资源控制器根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

3.根据权利要求2所述的方法，其特征在于，所述服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关，包括：

服务控制器接收到访问终端发送的所述隧道候选请求消息后，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则服务控制器向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

服务控制器向访问终端发送所述多个候选隧道网关。

4.根据权利要求1所述的方法，其特征在于，所述访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接，包括：

访问终端根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

所述隧道网关接收到所述连接请求消息后，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述访问终端建立隧道起点，并在所述隧道网关建立隧道终点；

通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接。

5.一种基于动态隧道技术实现DDoS防御的系统，其特征在于，该系统包括：访问终端、服务控制器及多个隧道网关；

访问终端，与所述服务控制器及多个隧道网关分别连接，用于向服务控制器发送隧道候选请求消息；根据多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过和所述隧道网关之间的隧道，与访问对象建立连接；

服务控制器，用于当接收到所述隧道候选请求消息时，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；

所述访问终端，还用于检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关；

所述访问终端，还用于若访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，所述访问终端根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

6.根据权利要求5所述的系统，其特征在于，该系统还包括：

资源控制器，与所述服务控制器及多个隧道网关分别连接，用于根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

7.根据权利要求6所述的系统，其特征在于，服务控制器，用于：

接收到访问终端发送的所述隧道候选请求消息时，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

向访问终端发送所述多个候选隧道网关。

8.根据权利要求5所述的系统，其特征在于，

所述访问终端，用于根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

所述隧道网关，用于当接收到所述连接请求消息时，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述隧道网关建立隧道终点；

所述访问终端，还用于在所述访问终端建立隧道起点，并通过所述访问终端和所述隧道网关之间的隧道，与访问对象建立连接。