CN107426230A - 服务器调度方法、装置、系统、存储介质及设备 - Google Patents

Abstract

本发明公开一种服务器调度方法、装置、系统、存储介质及设备。其中服务器调度方法包括：监控步骤，监控业务服务器的网络指标数据，以获得所述网络指标数据；调度步骤，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。本发明实现了在有限成本下为业务服务器提供有效地网络攻击防御能力的同时，又使业务服务器在未受到网络攻击时具有最佳网络服务质量，不受防御设备的影响。

Description

服务器调度方法、装置、系统、存储介质及设备

技术领域

本发明涉及一种服务器调度方法、装置、系统、存储介质及设备。

背景技术

当今，网络攻击日益猖獗，针对网络服务领域的业务服务器的攻击主要有以下几种形式：

DOS(Denial of Service，拒绝服务)，凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确，就是要阻止合法用户对正常网络资源的访问，从而达成攻击者不可告人的目的。

DDOS(Distributed Denial of Service，分布式拒绝服务)攻击，DDOS的攻击策略侧重于通过很多“僵尸主机”(被攻击者入侵过或可间接利用的主机)向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源。

CC(Challenge Collapsar，挑战黑洞)攻击，利用不断对网站发送连接请求致使形成拒绝服务的目的。CC攻击是DDOS攻击的一种，但攻击时一般不会产生特别大的异常流量，同样造成服务器无法进行正常连接。

由于这些网络攻击具有在一般情况下发生频率较低、发生时间无法确定，但是发生时攻击强度较高并对业务服务器造成严重后果的特点，因此，考虑到网络攻击带来的严重后果，在现有技术中，业务服务器都配置有针对网络攻击防御设备。但是，这些网络防御设备会对业务服务器的网络服务质量产生一定的负面影响，例如，提高对服务器网络访问的失败率，降低对服务器访问的响应速度，增加服务器延迟等。

图1A-1B是现有技术中的业务服务器针对网络攻击的防御方案。如图1A所示，这种方案依靠业务服务器自身的防御设备，诸如内置防火墙来防御网络攻击，这种方案对业务服务器的网络服务质量影响最小，而且部署成本最低，但是对网络攻击的防御能力最差，面对网络攻击时，防御设备形同虚设。如图1B所示，这种方案为业务服务器配置了高级防御设备，这种高级防御设备可以对网络攻击流量进行“清洗”，然后将“干净”的流量发送到业务服务器，高级防御设备对网络攻击具有较好的防御能力，但是由于高级防御设备要对网络流量进行“清洗”处理，会出现合法用户的流量被“清洗”的情况，而且高级防御设备的本身特性也会对业务服务器的网络服务质量带来较大负面影响。为了弥补高级防御设备的缺陷，现有技术中通常会采用以下两种方式，一是增加高级防御设备的的线路类型，例如从单一电信线路增加联通和移动等多个线路，甚至将高级防御设备部署成为BGP(BorderGateway Protocol，边界网管协议)设备，这就可以极大的提升网络服务质量，但是这种方案使用成本较高，对于网络攻击的防御能力没有明显提高；二是增加高级防御设备部署数量，并在多个不同物理位置部署，每个高级防御设备负责对应区域的网络攻击的防御，这个方案通过缩短了网络访问距离，提高了网络服务质量，也间接提高了网络攻击的防御能力，但是使用成本非常高昂。

现有技术具有明显的缺陷。具体来说，因为针对一般业务服务器的高强度的网络攻击发生的频率相对较低，虽然使用业务服务器自身的防御设备和手段能够保证网络服务质量但是无法有效抵御网络攻击，而为业务服务器部署高级防御设备又会在未发生网络攻击的大部分时间中对网络服务质量带来负面影响，因此部署高级防御设备会有弊大于利的可能性，同理，采用BGP部署，和/或多地部署的方案虽然可以同时满足网络质量和防御能力的需求，但是成本太高，可行性和经济性较差。

发明内容

为了解决上述问题和现有技术的缺陷，本发明实施例提供了一种实现服务器调度的方法、装置、系统、存储介质及设备，以便当业务服务器处于未受攻击的状态时，合法用户可以直接访问业务服务器，当业务服务器遭受网络攻击时，业务服务器可通过防御设备有效地抵御网络攻击。

第一方面，本发明实施例提供了一种实现服务器调度的方法，该方法包括：监控步骤，监控业务服务器的网络指标数据，以获得所述网络指标数据；调度步骤，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

可选地，所述网络指标数据可用于确定针对所述业务服务器的网络攻击的发生。

可选地，所述网络指标数据包括：访问流量、连接数量、丢包率和业务端口访问失败率。

可选地，所述调度步骤通过防御域名，将目的解析地址从所述业务服务器的IP地址更改为所述防御设备的IP地址；其中，所述防御域名与所述业务服务器的域名互相关联。

第二方面，本发明实施例提供了一种实现服务器调度的装置，该装置包括：监控模块，用于监控业务服务器的网络指标数据，以获得所述网络指标数据；调度模块，用于当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

可选地，所述网络指标数据可用于确定针对所述业务服务器的网络攻击的发生。

可选地，所述网络指标数据包括：访问流量、连接数量、丢包率和业务端口访问失败率。

可选地，所述调度步骤通过防御域名，将目的解析地址从所述业务服务器的IP地址更改为所述防御设备的IP地址；其中，所述防御域名与所述业务服务器的域名互相关联。

第三方面，本发明实施例提供了一种实现服务器调度的系统，该系统包括第二方面的服务器调度装置以及业务服务器、防御设备和DNS设备。

第四方面，本发明实施例提供了一种非易失性存储介质，该非易失性存储介质具有存储在其中的指令，当该指令被执行时，使得处理器执行服务器调度方法，具体的，该指令包括：监控指令，监控业务服务器的网络指标数据，以获得所述网络指标数据；调度指令，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

第五方面，本发明实施例提供了一种设备，包括存储器，存储有计算机可执行指令，处理器，处理器被配置为执行指令以实施服务器调度的过程，该过程包括：监控步骤，监控业务服务器的网络指标数据，以获得所述网络指标数据；调度步骤，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

基于上述方案，本发明的技术方案可以解决业务服务器为了满足提供最佳的网络服务质量的要求而无法使用有效的防御设备或只能使用网络服务质量好但成本高昂的防御设备的困境。进而，本发明技术方案实现了在有限成本下为业务服务器提供有效地网络攻击防御能力的同时，又使业务服务器在未受到网络攻击时具有最佳网络服务质量，不受防御设备的影响。

附图说明

图1A-1B是根据现有技术的技术方案的示意图。

图2是根据本发明实施例的服务器调度方法200的流程图。

图3是根据本发明实施例的服务器调度装置300的示意性框图。

图4是根据本发明实施例的服务器调度的系统400的示意性框图。

具体实施方式

为使本发明实施例的目的和技术方案更加清楚，下面将结合本发明实施例的附图，对本发明实施例的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于所描述的本发明的实施例，本领域普通技术人员在无需创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了方便理解本发明的实施例，首先在此介绍实施例描述中引入的几个要素：

防御设备：具有防御一种及以上网络攻击能力的设备，其防御策略和配置主要用于对抗和防御网络攻击，通常具有丰富的网络攻击防御硬件，根据设备性能和防御能力，一般可分为初级、中级和高级防御设备；

网络服务质量：即，Quality of Service，简称QoS，是网络上互相通信的用户之间关于信息传输与共享的质量的约定，主要包括可靠性、传输延迟、可变延迟和丢包率等；和

CName(Canonical Name，规范名字)记录：也称为别名记录，在DNS(Domain NameSystem，域名系统)中通过别名记录可将多个域名指向同一IP地址。

本发明实施例的技术方案可以应用于如下场景，包括但不限于：当防御设备的网络服务质量与业务服务器的网络服务质量相比，具有一定差距时；当防御设备所部署的物理位置与业务服务器的物理位置较远时；当业务提供者具有有限的防御设备投入和部署能力时；以及当业务提供者对防御网络攻击具有一定需求时。在以上场景中，都可以通过本发明的技术方案，在具有应对网络攻击的防御能力的同时，提升业务服务器的网络服务质量。

下面将结合图2详细描述根据本发明实施例的服务器调度方法200。

图2是根据本发明实施例的服务器调度方法200的流程图。如图1所示，在步骤S201、监控业务服务器的网络指标数据，以获得该网络指标数据。

根据本发明的实施例，业务服务器可以是被部署的物理机。物理机包括但不限于：微型机、小型机、中型机、大型机、巨型机或其他能够运行网络服务相关业务的物理设备。当业务服务器通过网络提供服务时，服务器调度装置对业务服务器的网络指标数据进行监控，通常这里所说的网络包括但不限于：局域网、城域网或广域网，网络指标数据包括但不限于：访问流量、连接数量、丢包率、业务端口访问失败率和其他可以确定网络攻击发生的数据。当针对业务服务器的网络攻击发生时，大部分DDOS攻击通常会造成访问业务服务器的网络流量会出现爆发性地增长，和/或请求连接和连接到业务服务器的用户数量可能会超过业务服务器正常服务时的合理连接数量，还有一部分诸如CC攻击的其他网络攻击，不会造成访问业务服务器的网络流量出现明显地爆发性地增长，但是同样会造成业务服务器无法进行正常的连接。

具体地，针对访问流量的监控，服务器调度装置一般可以采用两种方式，一种方式是对业务服务器的入口流量进行采样，另一种方式是对业务服务器的入口流量建立镜像，将该入口流量复制到其他服务器上进行流量分析，通过这两种方式可以获取通过入口的访问流量的大小和其他诸如syn包大小等的详细访问流量数据。此外，服务器调度装置还会对业务服务器的TCP/IP连接的数量进行实时地监控。

作为另一个实例，服务器调度装置可以周期性地，通过“ping”命令等方式对业务服务器的丢包率进行监控，其中丢包率是指测试中所丢失数据包数量占所发送数据组的比率。通常，当发生网络攻击时，由于业务服务器受到网络攻击的影响，合法用户与业务服务器之间的网络通信的丢包率会明显地增加。此外，当业务服务器被攻击时，不仅丢包率会增加，合法用户访问业务服务器的访问失败率也会增加，因此，服务器调度装置可以定期地模拟合法用户访问业务服务器的动作，统计业务端口的访问失败率。

接下来，在步骤S202、当网络指标数据大于预先设定的阈值时，为业务服务器调度防御设备。

如上所述，当针对业务服务器的网络攻击发生时，一些网络指标数据会偏离正常的范围。因此，服务器调度装置中针对每个网络指标设置有不同的阈值。具体来说，访问流量和连接数量的阈值会根据业务服务器所提供服务的特点、业务服务器的服务带宽和业务服务器的负载能力来设置。例如，当访问流量已占用业务服务器的服务带宽的95％以上时，或者连接数量到达业务服务器的最大允许连接数量的80％时，服务器调度装置将为业务服务器调度防御设备来防御网络攻击。

针对不会造成业务服务器的访问流量或连接数量发生异常变化的网络攻击，服务器调度装置根据业务服务器的网络的平均性能，将高于网络正常水平下丢包率的一定倍数的丢包率设定为阈值，当监控到丢包率高于上述阈值时，服务器调度装置为业务服务器调度防御设备。同理，当监控到业务端口的访问失败率高于网络正常水平下访问失败率的一定倍数时，服务器调度装置调度防御设备。

在本发明的实施例中，服务器调度装置通过DNS为业务服务器调度防御设备。具体地，首先，根据DNS服务协议，防御设备向DNS设备提供一个防御域名，并通过CName记录等手段在DNS设备中将该防御域名与业务服务器的域名进行关联。使用防御域名的意义在于，因为直接操作业务服务器的域名所需要的权限很高，通常防御设备不具有操作业务服务器域名的权限，而使用防御域名能够避免权限问题带来的不便。

其次，业务服务器的IP地址会与防御域名关联，使得用户能够通过业务服务器的域名解析到业务服务器的IP地址，同时，业务服务器还会向防御设备提供一备用IP地址，该备用IP地址与防御设备的IP地址相关联，这样当防御设备被调度时，合法用户可以经由防御设备通过业务服务器的备用IP地址访问业务服务器。由于业务服务器的备用IP地址与防御设备相关联，通过防御设备的保护，攻击者很难通过DNS解析到业务服务器的备用IP地址，提高了业务服务器的安全性。

作为一个实例，当网络指标数据大于预先设定的阈值时，服务器调度装置向DNS设备发送解除指令，解除防御域名与业务服务器的IP地址的关联，然后将防御设备的IP地址发送到DNS设备并使防御域名与防御设备的IP地址相关联。作为另一个实例，当网络指标数据大于预先设定的阈值时，服务器调度装置直接向DNS设备发送更新指令，更新指令中包含防御设备的IP地址，使DNS设备更新防御域名的关联记录，将防御域名与防御设备的IP地址相关联。如此，合法用户和攻击者将无法通过解析业务服务器的域名直接通过业务服务器的IP地址访问业务服务器，所有的访问经过调度后，都要先通过防御设备，然后再到达业务服务器。

这里所涉及的防御设备，可以是不同种类的防御服务器或其组合，也可以是应对某种攻击的一个服务器或多个服务器的组合。例如，一方面，为了应对诸如DDOS攻击这样的大流量攻击，根据攻击规模，防御设备可以包含一个或多个诸如初级防御服务器、中级防御服务器或高级防御服务器等具有不同流量清洗能力的防御服务器；另一方面，根据业务服务器所受到攻击的种类，防御设备还可以包含针对特定网络攻击的防御服务器。由此，防御设备能够根据业务服务器的实际需求，提供全方位地高效防御。

在本发明的实施例中，通过采用上述服务器调度方法，当业务服务器处于未受攻击的状态时，合法用户可以直接访问业务服务器，当业务服务器遭受网络攻击时，业务服务器可通过防御设备抵御网络攻击并提高合法用户连接到业务服务器的可能性。综上，本发明实施例的服务器调度方法可以解决业务服务器为了保证最佳的网络服务质量而无法使用防御设备或只能使用网络服务质量好但成本较高的防御设备的困境。进而，本发明实施例的服务器调度方法实现了在有限成本下为业务服务器提供网络攻击防御能力的同时，又使业务服务器未受到网络攻击时具有最佳网络服务质量。

上文结合图2详细描述了根据本发明第一实施例的服务器调度方法200，下面将结合图3至图4，描述根据本发明实施例的服务器调度装置和服务器调度系统。

图3是根据本发明实施例的服务器调度装置300的示意性框图。如图3所示，该服务器调度装置300包括：

监控模块301，用于监控业务服务器的网络指标数据，以获得该网络指标数据；和

调度模块302，用于当上述网络指标数据大于预先设定的阈值时，为业务服务器调度防御设备。

可以理解地，本发明实施例的服务器调度装置300可对应于本发明实施例中的服务器调度装置，本发明实施例的服务器调度装置300中的各个模块的上述功能和/或其他操作为了实现图2中方法的相应流程，为了简介，在此省略详细描述。

因此，本发明实施例的服务器调度装置300，可以解决业务服务器为了满足提供最佳的网络服务质量的要求而无法使用有效的防御设备或只能使用网络服务质量好但成本高昂的防御设备的困境。进而，本发明技术方案实现了在有限成本下为业务服务器提供有效地网络攻击防御能力的同时，又使业务服务器在未受到网络攻击时具有最佳网络服务质量，不受防御设备的影响。

图4是根据本发明实施例的服务器调度系统的示意性框图。如图4所示，该系统400包括：业务服务器401、防御设备402、DNS设备403和服务器调度装置404，其中该服务器调度装置404可以是图3中描述的服务器调度装置。

服务器调度装置404对业务服务器401进行监控，当业务服务器401的可用于确定网络攻击的发生的网络指标数据大于预先设定的阈值时，服务器调度装置404向DNS设备403发出指令，为业务服务器401调度防御设备402。

进一步地，根据本发明的实施例，还提供一种非易失性存储介质，该非易失性存储介质具有存储在其中的指令，当该指令被执行时，使得处理器执行服务器调度方法，具体的，该指令包括：监控指令，监控业务服务器的网络指标数据，以获得该网络指标数据；和调度指令，当上述网络指标数据大于预先设定的阈值时，为业务服务器调度防御设备。

进一步的，根据本发明的另一实施例，还提供一种设备，包括存储器，存储有计算机可执行指令，处理器，处理器被配置为执行指令以实施服务器调度的过程，该过程包括：监控步骤，监控业务服务器的网络指标数据，以获得网络指标数据；和调度步骤，当数据大于预先设定的阈值时，为业务服务器调度防御设备。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

尽管本文已公开了各种方面和实施例，但其它方面和实施例对于本领域技术人员而言将是明显的。本文公开的各种方面和实施例是为了说明的目的，而不意在进行限制，真实的范围应当由所附权利要求以及这样的权利要求所被授权的等效物的全部范围指示。还要理解，本文中使用的术语仅是为了描述特定实施例的目的，而不意在进行限制。

因为可以对所描述的示例作出细节上的很多修改、变化和改变，但是意图在于前面的描述和附图中所示的所有事项被解释为说明性的，而不是限制的意思。

Claims (11)

1.一种服务器调度方法，其特征在于，包括：

监控步骤，监控业务服务器的网络指标数据，以获得所述网络指标数据；

调度步骤，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

2.根据权利要求1所述的方法，其特征在于，所述网络指标数据用于确定针对所述业务服务器的网络攻击的发生。

3.根据权利要求2所述的方法，其特征在于，所述网络指标数据包括：访问流量、连接数量、丢包率和业务端口访问失败率。

4.根据权利要求3所述的方法，其特征在于，所述调度步骤通过防御域名，将目的解析地址从所述业务服务器的IP地址更改为所述防御设备的IP地址；

其中，所述防御域名与所述业务服务器的域名互相关联。

5.一种服务器调度装置，其特征在于，包括：

监控模块，用于监控业务服务器的网络指标数据，以获得所述网络指标数据；

调度模块，用于当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

6.根据权利要求5述的装置，其特征在于，所述网络指标数据用于确定针对所述业务服务器的网络攻击的发生。

7.根据权利要求6述的装置，其特征在于，所述网络指标数据包括：访问流量、连接数量、丢包率和业务端口访问失败率。

8.根据权利要求7述的装置，其特征在于，所述调度模块通过防御域名，将目的解析地址从所述业务服务器的IP地址更改为所述防御设备的IP地址；

其中，所述防御域名与所述业务服务器的域名互相关联。

9.一种实现服务器调度的系统，包括业务服务器、防御设备、DNS设备以及权利要求5-8任一项所述的服务器调度装置。

10.一种非易失性存储介质，该非易失性存储介质具有存储在其中的指令，当所述指令被执行时，使得处理器执行服务器调度方法，所述指令包括：

监控指令，监控业务服务器的网络指标数据，以获得所述网络指标数据；

调度指令，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。

11.一种设备，包括存储器，存储有计算机可执行指令，处理器，所述处理器被配置为执行所述指令以实施服务器调度的过程，所述过程包括：

监控步骤，监控业务服务器的网络指标数据，以获得所述网络指标数据；

调度步骤，当所述数据大于预先设定的阈值时，为所述业务服务器调度防御设备。