CN105592050B - 一种防止攻击的方法和防火墙 - Google Patents

Abstract

本申请公开了一种防止攻击的方法，应用于网络地址转换NAT网络中的使能EIM模式的防火墙，所述方法包括：接收报文；在端点独立映射EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项；确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话；若所述内网设备未建立所述报文所属的会话，则确定所述内网设备已建立的会话数量；若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则丢弃所述报文。本申请通过控制内网设备对应的会话数量来避免受到恶意攻击。

Description

一种防止攻击的方法和防火墙

技术领域

本申请涉及网络技术领域，特别是涉及一种防止攻击的方法和防火墙。

背景技术

在防火墙内网侧接口上使能NAT(Network Address Translation，网络地址转换)hairpin功能后，若采用P2P方式进行报文转发，则内网的各内网设备首先向外网服务器注册自己的内网地址信息，以获取其对应的外网地址信息，然后内网设备之间通过使用彼此向外网服务器注册获得的外网地址信息进行互访。该方式下，外网侧的出方向地址转换必须配置为PAT(Port Address Translation，端口地址转换)转换方式，并使能EIM(Endpoint-Independent Mapping，端点独立映射)模式。

在EIM模式下，只要是来自相同源地址和源端口号的报文，不论其目的地址是否相同，通过PAT映射后，其源地址和源端口号都被转换为同一个外部地址和端口号，该映射关系(即内网地址信息和外网地址信息的映射关系)会被记录下来并生成一个EIM表项；并且防火墙允许所有外网设备和内网设备通过该转换后的地址和端口来访问源地址和源端口号对应的内网设备。也就是说，内网或者外网设备可以利用外网地址信息通过防火墙上的EIM表随意访问该外网地址信息转后的内网地址信息对应的内网设备，这样攻击者可以很容易通过EIM表对内网设备进行DDOS(Distributed Denial of service，分布式拒绝服务)攻击，使内网设备的安全得不到有效保障，同时还有可能会威胁到整个内网的安全。

发明内容

本申请提出一种防止攻击的方法，应用于NAT网络中的使能EIM模式的防火墙，所述方法包括：

接收报文；

在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项；

确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话；

若所述内网设备未建立所述报文所属的会话，则确定所述内网设备已建立的会话数量；

若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则丢弃所述报文。

一种防火墙，所述防火墙应用于NAT网络中，并且所述防火墙使能EIM模式，所述防火墙包括：

接收模块，用于接收报文；

查找模块，用于在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项；

判断模块，用于确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话；

确定模块，若所述内网设备未建立所述报文所属的会话，则用于确定所述内网设备已建立的会话数量；

第一丢弃模块，若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则用于丢弃所述报文。

本申请中防火墙通过查找到EIM表中外网地址和外网端口号与接收的报文的目的地址和目的端口号匹配的EIM表项，确定所述EIM表项的内网地址和内网端口对应的内网设备是否已建立所述报文对应的会话，如果没有建立，判断当前所述内网设备已建立的会话数量是否超过所述EIM表项中预设的第一会话数量阈值，如果超过则丢弃，本申请通过控制所述内网设备建立会话的数量从而避免攻击者通过EIM表项对内网设备进行DDOS攻击。

附图说明

为了更清楚地说明本申请或现有技术中的技术方案，下面将对本申请或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中的一种防止攻击的方法流程图；

图2为本申请实施例中的另一种防止攻击的方法流程图；

图3为本申请实施例中一种防火墙结构示意图。

具体实施方式

下面将结合本申请中的附图，对本申请中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员获得的其他实施例，都属于本申请保护的范围。

本发明实施例提供一种防止攻击的方法，如图1所示的一种防止攻击的方法流程图，该方法应用于防火墙，该防火墙内网侧接口上使能NAT hairpin功能，外网侧的出方向地址转换方式配置为PAT转换方式，并使能EIM模式，采用P2P方式进行报文转发。

该方法包括以下步骤：

步骤101，接收报文。

在本例中，外网设备可以访问内网设备，内网设备也可以访问同一内网中的另一个内网设备。具体的，在外网设备访问内网设备，或内网设备访问同一内网中的另一个内网设备时，发送给目的内网设备的报文的目的地址和目的端口号使用目的内网设备的外网地址和外网端口号。

其中，外网设备获取内网设备的外网地址和外网端号的过程及内网设备获取同一内网其它内网设备的外网地址和外网端口的过程与现有技术相同，在此不再赘述。

步骤102，在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项。

防火墙维护EIM表，所述EIM表包括至少一个EIM表项，每个EIM表项用于记录内网地址、内网端口号，及该内网地址和内网端口号对应的外网地址、外网端口。

在本例中，外网设备向内网设备发送报文和内网设备向另一内网设备发送报文时，均需要使用目的内网设备的外网地址作为目的地址，外网端口号作为目的端口号，因此，防火墙接收到报文后查找EIM表中外网地址和外网端口号与报文的目的地址和目的端口号相同的EIM表项。

如果EIM表中不存在外网地址和外网端口号与报文的目的地址和目的端口号相同的EIM表项，则按照现有技术执行。

步骤103，确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话。

在一个例子中，若防火墙的快转表中存在与所述报文匹配的快转表项，则确定内网设备已建立所述报文所属的会话；若防火墙的快转表中不存在与所述报文匹配的快转表项，则确定内网设备未建立所述报文所属的会话。

若所述内网设备未建立所述报文所属的会话，则进行步骤104，若已建立所述报文所属的会话，则执行步骤106。

步骤104，确定所述内网设备已建立的会话数量。

在一个例子中，防火墙可以根据维护的会话表确定出该内网设备已建立的会话数量。

在本例中，防火墙在建立EIM表项时，可在所述EIM表项中设置第一会话数量阈值，所述第一会话数量阈值用于控制与所述内网设备建立会话的数量，使所述内网设备建立的会话数量保持在一定范围内，从而使所述内网设备避免建立过多的会话，进而避免针对所述内网设备的恶意攻击。

如果所述会话数量大于所述EIM表项中预设的第一会话数量阈值，表明该内网设备可能会受到恶意攻击。如果所述会话数量不大于所述EIM表项中预设的第一会话数量阈值时，表明即使转发所述报文触发内网设备建立新的会话，该内网设备也不会受到恶意攻击。

因此，若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则执行步骤105；若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值，则执行步骤106。

步骤105，丢弃所述报文。

步骤106，对所述报文进行地址转换，并发送至所述内网设备。

所述防火墙按照PAT转换方式将所述报文中的目的地址和目的端口转化为所述EIM表项中的内网地址和内网端口号后对所述报文进行转发，以将报文转发至所述EIM表项中的内网地址和内网端口号对应的内网设备。

本发明实施例提供另一种防止攻击的方法，如图2所示的另一种防止攻击的方法流程图，该方法应用于防火墙，该防火墙内网侧接口上使能NAT hairpin功能，外网侧的出方向地址转换方式配置为PAT转换方式，并使能EIM模式，采用P2P方式进行报文转发。

该方法包括以下步骤：

步骤201，接收报文。

在本例中，外网设备可以访问内网设备，内网设备也可以访问同一内网中的另一个内网设备。具体的，在外网设备访问内网设备，或内网设备访问同一内网中的另一个内网设备时，发送给目的内网设备的报文的目的地址和目的端口号使用目的内网设备的外网地址和外网端口号。

其中，外网设备获取内网设备的外网地址和外网端号的过程及内网设备获取同一内网其它内网设备的外网地址和外网端口的过程与现有技术相同，在此不再赘述。

步骤202，在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项。

防火墙维护EIM表，所述EIM表包括至少一个EIM表项，每个EIM表项用于记录内网地址、内网端口号，及该内网地址和内网端口号对应的外网地址、外网端口。

在本例中，外网设备向内网设备发送报文和内网设备向另一内网设备发送报文时，均需要使用目的内网设备的外网地址作为目的地址，外网端口号作为目的端口号，因此，防火墙接收到报文后查找EIM表中外网地址和外网端口号与报文的目的地址和目的端口号相同的EIM表项。

如果EIM表中不存在外网地址和外网端口号与报文的目的地址和目的端口号相同的EIM表项，则按照现有技术执行。

步骤203，确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话。

在一个例子中，若防火墙的快转表中存在与所述报文匹配的快转表项，则确定内网设备已建立所述报文所属的会话；若防火墙的快转表中不存在与所述报文匹配的快转表项，则确定内网设备未建立所述报文所属的会话。

若所述内网设备未建立所述报文所属的会话，则进行步骤204，若已建立所述报文所属的会话，则执行步骤206。

步骤204，确定所述内网设备已建立的会话数量。

在一个例子中，防火墙可以根据维护的会话表确定出该内网设备已建立的会话数量。

在本例中，防火墙在建立EIM表项时，可以在所述EIM表项中设置状态项，所述状态有两种，一种状态用攻击Attacked进行标记，一种状态用正常Normal进行标记，同时，还可以为所述EIM表项设置第一会话数量阈值和第二会话数量阈值，该第二会话数量阈值小于第一会话数量阈值。

如果所述会话数量大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为正常Normal时，表明如果转发所述报文触发所述内网设备再建立一个新的会话，那么内网设备建立的会话数量过多，可能会使所述内网设备受到恶意攻击。

如果所述会话数量不大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为Normal，表明如果转发所述报文触发所述内网设备再建立一个新的会话，那么内网设备建立的会话数量不会过多，不会使所述内网设备受到恶意攻击。

如果所述内网设备的会话数量大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked时，表明所述内网设备仍可能会受到恶意攻击因此，所述防火墙也不会对所述报文进行转发。

如果所述会话数量不大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked时，表明为所述内网设备建立的会话数量脱离了危险值，可以正常转发报文。

因此，若所述会话数量大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为正常Normal，则执行步骤205；若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为Normal，则执行步骤206；若所述会话数量大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则执行步骤207；若所述会话数量不大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则执行步骤208。

步骤205，丢弃所述报文，并将所述EIM表项的状态更新为攻击Attacked。

步骤206，对所述报文进行地址转换，并发送至所述内网设备。

所述防火墙按照PAT转换方式将所述报文中的目的地址和目的端口转化为所述EIM表项中的内网地址和内网端口号后对所述报文进行转发，以将报文转发至所述EIM表项中的内网地址和内网端口号对应的内网设备。

步骤207，丢弃所述报文。

步骤208，对所述报文进行地址转换，并发送至所述内网设备，并将所述EIM表项的状态更新为Normal。

所述防火墙按照PAT转换方式将所述报文中的目的地址和目的端口转化为所述EIM表项中的内网地址和内网端口号后对所述报文进行转发，以将报文转发至所述EIM表项中的内网地址和内网端口号对应的内网设备。并且将所述EIM表项的状态更新为Normal，在所述EIM表项的状态更新为Normal后，所述防火墙只需要根据第一会话数量阈值和所述内网设备建立的会话数量就可以判断出是否对所述报文进行转发。

本申请中防火墙通过查找到EIM表中外网地址和外网端口号与接收的报文的目的地址和目的端口号匹配的EIM表项，确定所述EIM表项的内网地址和内网端口对应的内网设备是否已建立所述报文对应的会话，如果没有建立，判断当前所述内网设备已建立的会话数量是否超过所述EIM表项中预设的第一会话数量阈值，如果超过则丢弃，从而避免攻击者通过EIM表项对内网设备进行DDOS攻击。

基于与上述方法同样的申请构思，本申请还提出了一种防火墙，该防火墙内网侧接口上使能NAT hairpin功能，外网侧的出方向地址转换方式配置为PAT转换方式，并使能EIM模式，采用P2P方式进行报文转发。如图3所示，所述防火墙包括：

接收模块31，用于接收报文；

查找模块32，用于在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项；

判断模块33，用于确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话；

确定模块34，若所述内网设备未建立所述报文所属的会话，则用于确定所述内网设备已建立的会话数量；

第一丢弃模块35，若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则用于丢弃所述报文。

所述防火墙还包括：

第一转发模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值，则用于对所述报文进行地址转换，并发送至所述内网设备。

所述第一丢弃模块，还具体用于：

若所述会话数量大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为正常Normal，则丢弃所述报文，并将所述EIM表项的状态更新为攻击Attacked。

所述防火墙还包括：

第二转发模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为Normal，则用于对所述报文进行地址转换，并发送至所述内网设备。

所述防火墙还包括：

第二丢弃模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则用于丢弃所述报文；

第三转发模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量不大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则用于对所述报文进行地址转换，并发送至所述内网设备，并将所述EIM表项的状态更新为Normal；

其中，所述第二会话数量阈值小于所述第一会话数量阈值。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台终端设备(可以是手机，个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。

以上所述仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本申请的保护范围。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以集成于一体，也可以分离部署；可以合并为一个模块，也可以进一步拆分成多个子模块。上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本申请的几个具体实施例，但是，本申请并非局限于此，任何本领域的技术人员能思之的变化都应落入本申请的保护范围。

Claims (10)

1.一种防止攻击的方法，应用于网络地址转换NAT网络中的使能端点独立映射EIM模式的防火墙，其特征在于，所述方法包括：

接收报文；

在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项；

确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话；

若所述内网设备未建立所述报文所属的会话，则确定所述内网设备已建立的会话数量；

若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则丢弃所述报文。

2.根据权利要求1所述的方法，其特征在于，在确定所述内网设备已建立的会话数量之后，所述方法还包括：

若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值，则对所述报文进行地址转换，并发送至所述内网设备。

3.根据权利要求1所述的方法，其特征在于，若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则丢弃所述报文具体包括：

若所述会话数量大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为正常Normal，则丢弃所述报文，并将所述EIM表项的状态更新为攻击Attacked。

4.根据权利要求3所述的方法，其特征在于，在确定所述内网设备已建立的会话数量之后，所述方法还包括：

若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为Normal，则对所述报文进行地址转换，并发送至所述内网设备。

5.根据权利要求3所述的方法，其特征在于，在确定所述内网设备已建立的会话数量之后，所述方法还包括：

若所述会话数量大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则丢弃所述报文；

若所述会话数量不大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则对所述报文进行地址转换，并发送至所述内网设备，并将所述EIM表项的状态更新为Normal；

其中，所述第二会话数量阈值小于所述第一会话数量阈值。

6.一种防火墙设备，所述防火墙应用于NAT网络中，并且所述防火墙使能端点独立映射EIM模式，其特征在于，所述防火墙包括：

接收模块，用于接收报文；

查找模块，用于在EIM表中查找外网地址和外网端口号与所述报文的目的地址和目的端口号匹配的EIM表项；

判断模块，用于确定所述EIM表项中的内网地址和内网端口对应的内网设备是否已建立所述报文所属的会话；

确定模块，若所述内网设备未建立所述报文所属的会话，则用于确定所述内网设备已建立的会话数量；

第一丢弃模块，若所述会话数量大于所述EIM表项中预设的第一会话数量阈值，则用于丢弃所述报文。

7.根据权利要求6所述防火墙，其特征在于，所述防火墙还包括：

第一转发模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值，则用于对所述报文进行地址转换，并发送至所述内网设备。

8.根据权利要求6所述防火墙，其特征在于，所述第一丢弃模块，具体用于：

若所述会话数量大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为正常Normal，则丢弃所述报文，并将所述EIM表项的状态更新为攻击Attacked。

9.根据权利要求8所述防火墙，其特征在于，所述防火墙还包括：

第二转发模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量不大于所述EIM表项中预设的第一会话数量阈值且所述EIM表项的状态为Normal，则用于对所述报文进行地址转换，并发送至所述内网设备。

10.根据权利要求8所述防火墙，其特征在于，所述防火墙还包括：

第二丢弃模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则用于丢弃所述报文；

第三转发模块，在确定所述内网设备已建立的会话数量之后，若所述会话数量不大于所述EIM表项中预设的第二会话数量阈值且所述EIM表项的状态为Attacked，则用于对所述报文进行地址转换，并发送至所述内网设备，并将所述EIM表项的状态更新为Normal；

其中，所述第二会话数量阈值小于所述第一会话数量阈值。