CN105491057A - 防止分布式拒绝服务DDoS攻击的数据传输方法和装置 - Google Patents

Abstract

本申请提供了防止分布式拒绝服务DDoS攻击的数据传输方法和装置。本发明中，尽管发送端是采用UDP模拟TCP的方式与接收端建立连接，但实质并非是采用TCP建立连接，因此，本发明并没有必要按照TCP为建立的连接设置一个time-wait以维护连接的状态，基于此，当发送端发送断开指令给接收端，接收端收到断开指令，会立即断开之前建立的与发送端之间的连接，防止了接收端像现有技术那样在等待time-wait到期的一段时间内被占用过多资源、进而防止了DDoS的攻击。

Description

防止分布式拒绝服务DDoS攻击的数据传输方法和装置

技术领域

本申请涉及网络技术，特别涉及防止分布式拒绝服务(DDoS：DistributedDenialofService)攻击的数据传输方法和装置。

背景技术

DDoS攻击指借助于客户端/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高DDoS的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序向大量代理程序发送指令，代理程序收到指令时就发动DDoS攻击。

目前，DDoS攻击常用的模式就是：攻击者发送海量的连接请求给目标对象以与目标对象建立传输控制协议(TCP：TransmissionControlProtocol)连接；之后通过建立的TCP连接再发送断开指令，以断开已建立的TCP连接，但因为TCP连接有一个等待时间(time-wait)，即使目标对象收到断开指令，其也不会立即断开TCP连接，而是等待time-wait到期时再断开TCP连接，而在等待期间目标对象被攻击者攻击，并且无暇处理正常的业务请求。

发明内容

本申请提供了防止分布式拒绝服务DDoS攻击的数据传输方法和装置，以通过用户数据报协议(UDP：UserDatagramProtocol)模拟TCP的通信方式自主防止DDos攻击。

本申请提供的技术方案包括：

一种防止分布式拒绝服务DDoS攻击的数据传输方法，包括：

发送端采用用户数据报协议UDP模拟传输控制协议TCP的方式与接收端建立连接；

发送端确定所述连接的最大传输单元MTU；

发送端按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端；

发送端在断开所述连接时，发送断开指令给接收端，以使接收端收到所述断开指令后立即断开所述连接。

一种防止分布式拒绝服务DDoS攻击的数据传输装置，包括：

连接单元，用于采用用户数据报协议UDP模拟传输控制协议TCP的方式与接收端建立连接；

确定单元，用于确定所述连接的最大传输单元MTU；

传输单元，用于按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端；

断开单元，用于在断开所述连接时，发送断开指令给接收端，以使接收端收到所述断开指令后立即断开所述连接。

一种防止分布式拒绝服务DDoS攻击的数据传输装置，包括：

连接单元，用于与发送端之间建立连接；所述连接是按照用户数据报协议UDP模拟传输控制协议TCP的方式建立的；

接收单元，用于通过所述连接接收发送端发送的数据包；

断开单元，用于在接收到发送端发送的断开指令后，立即断开所述连接。

由以上技术方案可以看出，本发明中，尽管发送端是采用UDP模拟TCP的方式与接收端建立连接，但实质并非是采用TCP建立连接，因此，本发明并没有必要按照TCP为建立的连接设置一个time-wait以维护连接的状态，基于此，当发送端发送断开指令给接收端，接收端收到断开指令，会立即断开之前建立的与发送端之间的连接，防止了接收端像现有技术那样在等待time-wait到期的一段时间内被占用过多资源、进而防止了DDoS的攻击。

附图说明

图1为本发明提供的方法流程图；

图2为本发明提供的步骤101实现实施例流程图；

图3为本发明提供的步骤102实现实施例流程图；

图4为本发明提供的装置结构图；

图5为本发明提供的另一装置结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明提供的方法包括图1所示的流程：

参见图1，图1为本发明提供的方法流程图。如图1所示，该流程可包括以下步骤：

步骤101，发送端采用UDP模拟TCP的方式与接收端建立连接。

这里，发送端采用UDP模拟TCP的方式与接收端建立的连接可称为UDP连接。

本发明中，尽管发送端是采用UDP模拟TCP的方式与接收端建立连接，但实质并非是采用TCP建立连接，因此，本发明并没有必要按照TCP为建立的连接设置一个time-wait，以维护连接的状态。

作为本发明的一个优选实施例，步骤101具体可通过图2所示的步骤201至步骤204实现，这里暂不赘述。

步骤102，发送端确定所述连接的最大传输单元(MTU)。

本发明中，尽管发送端是采用UDP模拟TCP的方式与接收端建立连接，但实质并非是采用TCP建立连接，所以，尽管TCP没有MTU确定的功能，但本发明却因为需要额外增加了MTU确定的功能，以保证后续发送端与接收端之间按照不大于该MTU的大小传输数据包，具体见步骤103，提升数据包的传输效率。

作为本发明的一个优选实施例，步骤102具体可通过图3所示的步骤301至步骤303实现，这里暂不赘述。

步骤103，发送端按照数据包的大小不超过MTU的原则通过所述连接发送数据包给接收端。

步骤104，发送端在断开连接时，发送断开指令给接收端，以使接收端收到所述断开指令后立即断开所述连接。

如上步骤101所述，本发明没有必要按照TCP为建立的连接设置一个time-wait以维护连接的状态，基于此，当发送端发送断开指令给接收端，接收端收到断开指令，会立即断开之前建立的与发送端之间的连接，防止了接收端像现有技术那样在等待time-wait到期的一段时间内被占用过多资源、进而防止了DDoS的攻击。

至此，完成图1所示的流程。

参见图2，图2为本发明提供的步骤101实现实施例流程图。如图2所示，该流程可包括以下步骤：

步骤201，发送端向接收端发送第一UDP消息，并设置自身的状态为消息发送状态。

在UDP中，是不允许发送同步序列编号(SYN：SynchronizeSequenceNumbers)包的，而由于本发明是采用UDP模拟TCP的方式与接收端建立连接，基于此，按照TCP，作为一个优选实施例，这里的第一UDP消息可为SYN包，其携带了序列号(比如SYN＝j)。相应地，消息发送状态可为序列号发送(SYN-SEND)状态。

本步骤201相当于发送端和接收端之间在建立连接时的第一次握手。

步骤202，接收端接收到第一UDP消息后，向发送端发送第二UDP消息和针对第一UDP消息的第一响应消息，并设置自身的状态为消息接收状态。

借用TCP，则在第一UDP消息为SYN包时，针对第一UDP消息的第一响应消息相应为确认(ACK:Acknowledgement)消息，以确认收到SYN包。相应地，消息接收状态可为序列号接收(SYN-RECEIVED)状态。

在本发明中，第二UDP消息也为SYN包，只不过其携带的序列号(比如SYN＝k)不同于发送端发送的SYN包所携带的序列号(比如SYN＝j)。

步骤202相当于发送端和接收端之间在建立连接时的第二次握手。

步骤203，发送端接收第二UDP消息和第一响应消息后，向接收端发送第二响应消息，并将自身的状态从消息发送状态更新为连接建立完成状态(ESTABLISHED)。

在本发明中，第二响应消息是针对第二UDP消息发送的，在第二UDP消息为SYN包的前提下，第二响应消息相应为ACK消息，以确认收到接收端发送的SYN包。

步骤204，接收端接收到第二响应消息后，将自身的状态从消息发送状态更新为连接建立完成状态，发送端与接收端之间的连接完成建立。

步骤203至步骤204相当于发送端和接收端之间在建立连接时的第三次握手。

可以看出，本发明中，通过上述发送端和接收端之间的三次握手，即实现了发送端采用UDP模拟TCP的方式与接收端建立连接的操作，该建立的连接可称为UDP连接。

参见图3，图3为本发明提供的步骤102实现实施例流程图。如图3所示，该流程可包括以下步骤：

步骤301，发送端将本端与接收端之间的各个路径所允许的数据包传输最大值发送给接收端。

这里，各个路径所允许的数据包传输最大值可按照现有的数据探测获取，这里不再赘述。

步骤302，接收端接收到发送端发送的各个路径所允许的数据包传输最大值后，从接收的各个路径所允许的数据包传输最大值中选择一个取值最小的数据包传输最大值，将选择的数据包传输最大值发送给发送端。

步骤303，发送端接收接收端发送的数据包传输最大值，将接收的数据包传输最大值作为所述MTU。

至此，完成图3所示的流程。通过图3所示的流程能够确定发送端与接收端之间传输的MTU。

需要说明的是，在本发明中，为保证发送端和接收端之间的数据传输，可为发送端分配缓冲区。基于此，上述步骤103中，发送端按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端可包括：

发送端在按照数据包的大小不超过所述MTU的原则发送数据包时，先将该数据包缓存，之后再发送该数据包。

当接收端接收到发送端发送的数据包后，其会针对该数据包返回一个确认接收响应消息，以告知发送端其已收到发送端发送的数据包。

基于此，为避免缓冲区存放一些已被接收端成功接收的数据包，则发送端可进一步执行以下步骤：

检测在发送数据包的设定时间内是否接收到接收端针对该数据包返回的确认接收响应消息；

如果是，则从缓存中删除该数据包；

如果否，重新发送所述数据包，并返回检测在发送该数据包的设定时间内是否接收到接收端针对该数据包返回的确认接收响应消息的操作。

通过上述检测步骤能够避免缓冲区存放一些已被接收端成功接收的数据包。

需要说明的是，本发明中，当发送端在将数据包缓存时，有可能缓存存储的数据包数量已达到设定要求(比如已经存满了数据包，目前没有空闲的缓冲区)，针对这种情况，发送端就有必要在将数据包缓存之前，进一步执行以下操作：

检测缓存存储的数据包数量是否已达到设定要求，

如果是，丢弃所述数据包；

如果否，继续执行奖数据包缓存的操作。

还需要说明的是，在本发明中，作为一个应用实施例，上述的发送端可为客户端，上述的接收端可为服务器。

至此，完成本发明提供的方法描述。

下面对本发明提供的装置进行描述：

参见图4，图4为本发明提供的装置结构图。如图4所示，该装置包括：

连接单元，用于采用UDP模拟TCP的方式与接收端建立连接；

确定单元，用于确定所述连接的最大传输单元MTU；

传输单元，用于按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端；

断开单元，用于在断开所述连接时，发送断开指令给接收端，以使接收端收到所述断开指令后立即断开所述连接。

优选地，所述连接单元采用UDP模拟TCP的方式与接收端建立连接包括：

向接收端发送第一UDP消息，并设置自身的状态为消息发送状态；

接收接收端在接收到第一UDP消息后，返回的第二UDP消息和针对第一UDP消息的第一响应消息；

向接收端发送第二响应消息，并将自身的状态从消息发送状态更新为连接建立完成状态。

优选地，所述确定单元确定连接的MTU包括：

将本端与接收端之间的各个路径所允许的数据包传输最大值发送给接收端；

接收接收端发送的数据包传输最大值，将接收的数据包传输最大值作为所述MTU，接收端发送的数据包传输最大值是接收端从发送端发送的各个路径所允许的数据包传输最大值中选择的一个取值最小的数据包传输最大值。

优选地，所述传输单元按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端包括：

在按照数据包的大小不超过所述MTU的原则发送数据包时，先将该数据包缓存，之后再发送该数据包；

优选地，所述传输单元进一步执行以下步骤：

检测在发送所述数据包的设定时间内是否接收到接收端针对所述数据包返回的确认接收响应消息；

如果是，则从所述缓存中删除所述数据包，如果否，重新发送所述数据包，并返回发送端检测在发送所述数据包的设定时间内是否接收到接收端针对所述数据包返回的确认接收响应消息的操作。

至此，完成图4所示的装置描述。

参见图5，图5为本发明提供的另一装置结构图。如图5所示，该装置可包括：

连接单元，用于与发送端之间建立连接；所述连接是按照用户数据报协议UDP模拟传输控制协议TCP的方式建立的；

接收单元，用于通过所述连接接收发送端发送的数据包；

断开单元，用于在接收到发送端发送的断开指令后，立即断开所述连接。

优选地，所述连接单元与发送端之间建立连接包括：

接收发送端发送的第一UDP消息；

向发送端返回第二UDP消息和针对第一UDP消息的第一响应消息，并设置自身的状态为消息接收状态；

接收发送端针对第二UDP消息发送的第二响应消息，并将自身的状态从消息接收状态更新为连接建立完成状态。

至此，完成图5所示的装置描述。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种防止分布式拒绝服务DDoS攻击的数据传输方法，其特征在于，该方法包括：

发送端采用用户数据报协议UDP模拟传输控制协议TCP的方式与接收端建立连接；

发送端确定所述连接的最大传输单元MTU；

发送端按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端；

发送端在断开所述连接时，发送断开指令给接收端，以使接收端收到所述断开指令后立即断开所述连接。

2.根据权利要求1所述的方法，其特征在于，所述发送端采用用户数据报协议UDP模拟传输控制协议TCP的方式与接收端建立连接包括：

发送端向接收端发送第一UDP消息，并设置自身的状态为消息发送状态；

接收端接收到第一UDP消息后，向发送端发送第二UDP消息和针对第一UDP消息的第一响应消息，并设置自身的状态为消息接收状态；

发送端接收第二UDP消息和第一响应消息后，向接收端发送第二响应消息，并将自身的状态从消息发送状态更新为连接建立完成状态；

接收端接收到第二响应消息后，将自身的状态从消息接收状态更新为连接建立完成状态，发送端与接收端之间的连接完成建立。

3.根据权利要求1所述的方法，其特征在于，所述发送端确定连接的最大传输单元MTU包括：

发送端将本端与接收端之间的各个路径所允许的数据包传输最大值发送给接收端；

接收端接收到发送端发送的各个路径所允许的数据包传输最大值后，从接收的各个路径所允许的数据包传输最大值中选择一个取值最小的数据包传输最大值，将选择的数据包传输最大值发送给发送端；

发送端接收接收端发送的数据包传输最大值，将接收的数据包传输最大值作为所述MTU。

4.根据权利要求1所述的方法，其特征在于，所述发送端按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端包括：

发送端在按照数据包的大小不超过所述MTU的原则发送数据包时，先将该数据包缓存，之后再发送该数据包；

该方法进一步包括：

发送端检测在发送所述数据包的设定时间内是否接收到接收端针对所述数据包返回的确认接收响应消息；

如果是，则从所述缓存中删除所述数据包，如果否，重新发送所述数据包，并返回发送端检测在发送所述数据包的设定时间内是否接收到接收端针对所述数据包返回的确认接收响应消息的操作。

5.根据权利要求4所述的方法，其特征在于，在将数据包缓存之前，进一步包括：

检测所述缓存存储的数据包数量是否已达到设定要求，

如果是，丢弃所述数据包；

如果否，继续执行缓存数据包的操作。

6.一种防止分布式拒绝服务DDoS攻击的数据传输装置，其特征在于，该装置包括：

连接单元，用于采用用户数据报协议UDP模拟传输控制协议TCP的方式与接收端建立连接；

确定单元，用于确定所述连接的最大传输单元MTU；

传输单元，用于按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端；

断开单元，用于在断开所述连接时，发送断开指令给接收端，以使接收端收到所述断开指令后立即断开所述连接。

7.根据权利要求6所述的装置，其特征在于，所述连接单元采用用户数据报协议UDP模拟传输控制协议TCP的方式与接收端建立连接包括：

向接收端发送第一UDP消息，并设置自身的状态为消息发送状态；

接收接收端在接收到第一UDP消息后，返回的第二UDP消息和针对第一UDP消息的第一响应消息；

向接收端发送第二响应消息，并将自身的状态从消息发送状态更新为连接建立完成状态。

8.根据权利要求6所述的装置，其特征在于，所述传输单元按照数据包的大小不超过所述MTU的原则通过所述连接发送数据包给接收端包括：

在按照数据包的大小不超过所述MTU的原则发送数据包时，先将该数据包缓存，之后再发送该数据包；

所述传输单元进一步执行以下步骤：

检测在发送所述数据包的设定时间内是否接收到接收端针对所述数据包返回的确认接收响应消息；

如果是，则从所述缓存中删除所述数据包，如果否，重新发送所述数据包，并返回发送端检测在发送所述数据包的设定时间内是否接收到接收端针对所述数据包返回的确认接收响应消息的操作。

9.一种防止分布式拒绝服务DDoS攻击的数据传输装置，其特征在于，该装置包括：

连接单元，用于与发送端之间建立连接；所述连接是按照用户数据报协议UDP模拟传输控制协议TCP的方式建立的；

接收单元，用于通过所述连接接收发送端发送的数据包；

断开单元，用于在接收到发送端发送的断开指令后，立即断开所述连接。

10.根据权利要求9所述的装置，其特征在于，所述连接单元与发送端之间建立连接包括：

接收发送端发送的第一UDP消息；

向发送端返回第二UDP消息和针对第一UDP消息的第一响应消息，并设置自身的状态为消息接收状态；

接收发送端针对第二UDP消息发送的第二响应消息，并将自身的状态从消息接收状态更新为连接建立完成状态。