CN115883479A - 负载均衡设备的报文处理方法及装置 - Google Patents

Abstract

本申请涉及一种负载均衡设备的报文处理方法、装置、电子设备及计算机可读介质。该方法包括：负载均衡设备获取来自客户端的请求报文；在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；将所述五元组数据和虚拟服务配置进行匹配；在未匹配上虚拟服务配置时，为所述请求报文设置标识；基于所述标识将所述请求报文进行丢弃处理。本申请涉及的负载均衡设备的报文处理方法、装置、电子设备及计算机可读介质，能够在收到攻击报文时，报文负载均衡设备及时执行丢包操作，保障负载均衡设备正常运作。

Description

负载均衡设备的报文处理方法及装置

技术领域

本公开涉及计算机信息处理领域，具体而言，涉及一种负载均衡设备的报文处理方法、装置、电子设备及计算机可读介质。

背景技术

随着互联网的高速发展，用户对网络安全的重视也随之提高。近年来，网络攻击事件频发，互联网上的木马、勒索软件层出不穷，这对网络安全甚至是国家安全形成了严重的威胁。对于负载设备来说，如果负载设备的业务处理受到攻击，将会影响到服务器的正常业务，导致其业务中断。

为了预防负载均衡业务处理受到攻击，负载均衡设备本身自带了安全防护的功能。例如防止受到DDoS攻击，自带了DDoS的防护功能；防止某个ip地址同时大量发包访问负载均衡设备，设置了会话数限制功能，限制其访问负载均衡的会话数，保障设备正常工作；还有包过滤，安全域等保护措施，防止设备业务受到攻击而瘫痪。

一般情况下，服务器比负载均衡设备更容易遭受到攻击，一旦服务器瘫痪了，整个业务就全断了。负载均衡设备设计的宗旨是不影响其正常业务操作，只是负责接收业务请求并将业务请求转发到服务器上进行处理。如果负载均衡转发业务受到攻击而瘫痪，服务器无法接收到客户端的业务请求，会导致业务中断。任何的设备安防不可能是完美的，虽然负载均衡设备自身配置了多种安全措施来阻止攻击，但是还是存在一些安全漏洞，导致设备业务受到攻击而处于瘫痪状态。

因此，需要一种新的负载均衡设备的报文处理方法、装置、电子设备及计算机可读介质。

在所述背景技术部分公开的上述信息仅用于加强对本申请的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

有鉴于此，本申请提供一种负载均衡设备的报文处理方法、装置、电子设备及计算机可读介质，能够在收到攻击报文时，报文负载均衡设备及时执行丢包操作，保障负载均衡设备正常运作。

本申请的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本申请的实践而习得。

根据本申请的一方面，提出一种负载均衡设备的报文处理方法，该方法包括：负载均衡设备获取来自客户端的请求报文；在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；将所述五元组数据和虚拟服务配置进行匹配；在未匹配上虚拟服务配置时，为所述请求报文设置标识；基于所述标识将所述请求报文进行丢弃处理。

在本申请的一种示例性实施例中，还包括：在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务进行处理。

在本申请的一种示例性实施例中，在虚拟服务和请求报文满足策略，包括：判断所述负载均衡设备的虚拟服务功能是否开启；在虚拟服务功能开启时，进行虚拟IP防护流程；确定所述请求报文是否满足预设条件；在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。

在本申请的一种示例性实施例中，还包括：在所述请求报文不满足预设条件时，将所述请求报文转发至四层或者七层负载业务进行处理。

在本申请的一种示例性实施例中，确定所述请求报文是否满足预设条件，包括：当不存在对应于所述请求报文的会话时，确定所述报文满足预设条件；和/或当不存在对应于所述请求报文的预设业务时，确定所述报文满足预设条件。

在本申请的一种示例性实施例中，获取所述请求报文的五元组数据，还包括：为所述请求报文的五元组数据设置匹配标记。

在本申请的一种示例性实施例中，为所述请求报文设置标识，包括：为所述请求报文设置虚拟IP防护开启标识；和/或为所述请求报文设置未匹配标识。

在本申请的一种示例性实施例中，基于所述标识将所述请求报文进行丢弃处理，包括：在丢包阶段，获取待丢弃的请求报文；在所述请求报文中包含有所述标识时，将所述请求报文进行丢弃处理。

在本申请的一种示例性实施例中，还包括：统计带有所述标识的请求报文的第一数量；统计丢弃的请求报文的第二数量；将所述第一数量和所述第二数量进行对比以确定丢包准确率。

根据本申请的一方面，提出一种负载均衡设备的报文处理装置，该装置包括：报文模块，用于负载均衡设备获取来自客户端的请求报文；策略模块，用于在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；匹配模块，用于将所述五元组数据和虚拟服务配置进行匹配；标识模块，用于在未匹配上虚拟服务配置时，为所述请求报文设置标识；丢弃模块，用于基于所述标识将所述请求报文进行丢弃处理。

所述匹配模块还在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务进行处理。

所述策略模块确定虚拟服务和请求报文满足策略包括：判断所述负载均衡设备的虚拟服务功能是否开启；在虚拟服务功能开启时，进行虚拟IP防护流程；确定所述请求报文是否满足预设条件；在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。

所述策略模块在确定所述请求报文不满足预设条件时，将所述请求报文转发至四层或者七层负载业务进行处理。

所述策略模块确定所述请求报文是否满足预设条件包括：当不存在对应于所述请求报文的会话时，确定所述报文满足预设条件；和/或当不存在对应于所述请求报文的预设业务时，确定所述报文满足预设条件。

所述策略模块获取所述请求报文的五元组数据包括：为所述请求报文的五元组数据设置匹配标记。

所述策略模块为所述请求报文设置标识包括：为所述请求报文设置虚拟IP防护开启标识；和/或为所述请求报文设置未匹配标识。

所述丢弃模块基于所述标识将所述请求报文进行丢弃处理包括：在丢包阶段，获取待丢弃的请求报文；在所述请求报文中包含有所述标识时，将所述请求报文进行丢弃处理。

还包括统计模块(未示出)，用于统计带有所述标识的请求报文的第一数量；统计丢弃的请求报文的第二数量；将所述第一数量和所述第二数量进行对比以确定丢包准确率。

根据本申请的一方面，提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上文的方法。

根据本申请的一方面，提出一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如上文中的方法。

根据本申请的负载均衡设备的报文处理方法、装置、电子设备及计算机可读介质，通过负载均衡设备获取来自客户端的请求报文；在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；将所述五元组数据和虚拟服务配置进行匹配；在未匹配上虚拟服务配置时，为所述请求报文设置标识；基于所述标识将所述请求报文进行丢弃处理的方式，能够在收到攻击报文时，报文负载均衡设备及时执行丢包操作，保障负载均衡设备正常运作。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。

附图说明

通过参照附图详细描述其示例实施例，本申请的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本申请的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据一示例性实施例示出的一种负载均衡设备的报文处理方法及装置的系统框图。

图2是根据一示例性实施例示出的一种负载均衡设备的报文处理方法的流程图。

图3是根据另一示例性实施例示出的一种负载均衡设备的报文处理方法的流程图。

图4是根据另一示例性实施例示出的一种负载均衡设备的报文处理方法的流程图。

图5是根据一示例性实施例示出的一种负载均衡设备的报文处理装置的框图。

图6是根据一示例性实施例示出的一种电子设备的框图。

图7是根据一示例性实施例示出的一种计算机可读介质的框图。

具体实施方式

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本申请将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本申请的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本申请的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本申请的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本申请概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。

本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本申请所必须的，因此不能用于限制本申请的保护范围。

本申请涉及的技术缩略语解释如下：

负载均衡:负载均衡(Load Balance)，含义就是将负载进行平衡、分摊到多个操作单元上进行操作。建立在原有的网络结构上，提供了一种透明又廉价的有效方法来扩展服务器和网络设备的带宽、加强网络数据处理的能力、增加吞吐量、提高网络的可用性和灵活性。

虚拟ip防护：应用交付设备对外提供的应用服务称为虚拟服务，虚拟ip就是虚拟服务配置的ip地址，客户端访问请求的目的地址是虚拟服务的ip地址，应用交付设备收到客户端的请求之后通过一系列的处理再把请求转发给服务器。虚拟ip防护就是应用交付设备对虚拟服务的ip地址进行保护，防止受到攻击使得设备瘫痪。

本案申请人发现，目前技术中的负载均衡设备，在对虚拟服务进行保护的时候，采取的措施是：

1、4层负载业务在接收到客户端发过来的业务请求，会对请求报文进行匹配分析。如果请求报文的源ip地址、目的ip地址、源端口、目的端口以及报文协议能够与负载均衡设备的虚拟服务配置匹配(即命中虚拟服务)，才会进行下一步的业务转发处理；如果不匹配虚拟服务，则返回错误码，执行丢包程序操作。

2、7层负载业务是在客户端与负载设备成功建立三次握手之后，对请求报文进行监听链表匹配，类似于4层的匹配虚拟服务流程，如果无法匹配就执行丢包流程，能够匹配监听链表的情况下，走7层的业务处理流程。

本案申请人认为，虽然4层负载在客户端请求未匹配上设备虚拟服务的配置情况下，会执行丢包程序，7层负载未匹配监听链表的情况下去释放报文。但是如果短时间内有大量的攻击报文(目的ip地址是虚拟服务，但是协议与虚拟服务不同)进入设备，设备未能及时丢包处理，导致大量的报文等待设备执行丢包操作，使得CPU使用率大大提高，设备性能降低，最终会处于瘫痪的状态，从而影响了正常的业务处理。

负载均衡设备在处理业务时，短时间内接收到大量的攻击报文，这些攻击报文的特点是目的地址是虚拟服务的ip，但是协议与虚拟服务不同。设备未能在处理业务之前及时丢包处理，大量的攻击报文因为不匹配虚拟服务的配置而进入丢包流程，设备的CPU因为长时间被丢包程序占用，导致使用率提高，甚至达到100％，严重影响了设备的正常运作，使得业务处于瘫痪状态。本申请的负载均衡设备的报文处理方法及装置，能够让设备及时执行丢包操作，保障设备能够正常运作。

下面借助于具体的实施例，对本申请的内容进行详细说明。

图1是根据一示例性实施例示出的一种负载均衡设备的报文处理方法及装置的系统框图。

如图1所示，系统架构10可以包括终端设备101、102、103，网络104和负载均衡设备105、服务器106、107、108。网络104用以在终端设备101、102、103和负载均衡设备105之间、负载均衡设备105和服务器106、107、108之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过负载均衡设备105与服务器106、107、108交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器106、107、108可以是提供各种服务的设备，例如对用户利用终端设备101、102、103所浏览的购物类网站提供支持的后台管理服务器。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果反馈给终端设备。

负载均衡设备105可以是提供负载均衡的设备，用于将来自终端设备101、102、103的服务请求转发给服务器106、107、108进行处理。

负载均衡设备105可例如获取来自终端设备101、102、103的请求报文；负载均衡设备105可例如在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；负载均衡设备105可例如将所述五元组数据和虚拟服务配置进行匹配；负载均衡设备105可例如在未匹配上虚拟服务配置时，为所述请求报文设置标识；负载均衡设备105可例如基于所述标识将所述请求报文进行丢弃处理；负载均衡设备105可例如在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务以转发至服务器106、107、108进行处理。

负载均衡设备105可以是一个实体的服务器，还可例如为多个服务器组成，需要说明的是，本申请实施例所提供的负载均衡设备的报文处理方法可以由负载均衡设备105执行，相应地，负载均衡设备的报文处理装置可以设置于负载均衡设备105中。

图2是根据一示例性实施例示出的一种负载均衡设备的报文处理方法的流程图。负载均衡设备的报文处理方法20至少包括步骤S202至S210。

如图2所示，在S202中，负载均衡设备获取来自客户端的请求报文。

在S204中，在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据。可例如，判断所述负载均衡设备的虚拟服务功能是否开启；在虚拟服务功能开启时，进行虚拟IP防护流程；确定所述请求报文是否满足预设条件；在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。

在一个实施例中，还包括为所述请求报文的五元组数据设置匹配标记。更具体的，还可为所述请求报文设置虚拟IP防护开启标识；和/或为所述请求报文设置未匹配标识。

在S206中，将所述五元组数据和虚拟服务配置进行匹配。虚拟ip防护功能正常执行时，设备收到客户端发来的请求报文，在进入设备4层或者7层负载业务之前，先进行防护功能检测。设备先安全获取客户端请求报文的源ip地址，目的ip地址，源端口，目的端口以及报文协议；在成功获取到客户端报文的五元组的情况下，给该五元组打上need_match_flag标记，表示该五元组需要进入虚拟ip标记配置流程；然后进入虚拟服务配置匹配流程(五元组的匹配流程)，攻击报文不会匹配中虚拟服务的配置(虚拟服务的协议类型为TCP协议，而攻击报文的协议为UDP)，未匹配到虚拟服务配置时，会打上虚拟ip防护配置标记以及匹配虚拟服务ip的标记，进入虚拟ip防护的丢包阶段。

在S208中，在未匹配上虚拟服务配置时，为所述请求报文设置标识，基于所述标识将所述请求报文进行丢弃处理。在丢包阶段，获取待丢弃的请求报文；在所述请求报文中包含有所述标识时，将所述请求报文进行丢弃处理。

在虚拟ip防护的丢包阶段，会检测该报文是否匹配到设备的虚拟服务配置，是否已打上虚拟ip防护配置标记，是否已打上匹配虚拟服务ip的标记。如果条件都满足的情况下就直接进入丢包流程，并增加统计计数来统计丢包的个数。如果不满足条件，则该报文不是攻击报文，放通该报文进入4层或者7层负载业务。这样在4层或7层负载业务之前进行报文检测，可以将攻击报文快速进行丢包操作，这样可以保障设备在进行4，7层负载业务处理时不会长时间地来处理这些攻击报文，cpu的利用率不会大大提高，业务能够正常。

在本申请的负载均衡设备的报文处理方法中，通过多标记位的保护措施，防止正常业务报文进入虚拟ip防护流程而被丢包。

在一个实施例中，可统计带有所述标识的请求报文的第一数量；统计丢弃的请求报文的第二数量；将所述第一数量和所述第二数量进行对比以确定丢包准确率。在本申请的负载均衡设备的报文处理方法中，通过丢包统计计数，还可以了解负载业务是否受到攻击报文的攻击。通过查看计数，可以进一步采取措施保障设备正常运行。

在S210中，在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务进行处理。

在本申请的负载均衡设备的报文处理方法中，无论是4层负载业务，还是7层负载业务，都是通过同一个报文检测接口进行检测处理，减少报文检测处理流程。由于本申请中采用了统一的报文检测流程，避免因4层和7层负载业务处理流程不同，报文检测处理流程不同的问题。

在本申请的负载均衡设备的报文处理方法中，业务处理之前提前检测报文，避免影响到正常的业务处理。

根据本申请的负载均衡设备的报文处理方法，通过负载均衡设备获取来自客户端的请求报文；在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；将所述五元组数据和虚拟服务配置进行匹配；在未匹配上虚拟服务配置时，为所述请求报文设置标识；基于所述标识将所述请求报文进行丢弃处理的方式，能够在收到攻击报文时，报文负载均衡设备及时执行丢包操作，保障负载均衡设备正常运作。

应清楚地理解，本申请描述了如何形成和使用特定示例，但本申请的原理不限于这些示例的任何细节。相反，基于本申请公开的内容的教导，这些原理能够应用于许多其它实施例。

图3是根据另一示例性实施例示出的一种负载均衡设备的报文处理方法的流程图。图3所示的流程30是对图2所示的流程中S204“在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据”的详细描述。

如图3所示，在S302中，判断所述负载均衡设备的虚拟服务功能是否开启。

在一个实施例中，可例如，在负载均衡设备的用户设置页面提供虚拟ip防护的配置开关，由于防护功能开启的时候会影响设备的性能，设计一个开关，设备需要防护的时候可以开启虚拟ip防护的开关进入防护流程。同时还新增了配置检测计数，统计设备虚拟服务是启用状态并且开启了虚拟ip防护功能的个数，如果该计数为0，即使所有的禁用状态虚拟服务开启虚拟ip防护功能，设备也不会进入虚拟ip防护的流程，保障设备的性能。

在S304中，在虚拟服务功能开启时，进行虚拟IP防护流程。

在S306中，确定所述请求报文是否满足预设条件。

在一个实施例中，可例如，当不存在对应于所述请求报文的会话时，确定所述报文满足预设条件；和/或当不存在对应于所述请求报文的预设业务时，确定所述报文满足预设条件。

在一个实施例中，可例如，当存在对应于所述请求报文的会话时，确定所述报文不满足预设条件；和/或当存在对应于所述请求报文的预设业务时，确定所述报文不满足预设条件。

虚拟ip防护功能开发的前提是不能影响到正常的业务流程，在进入防护流程之前会对报文进行校验，如果该报文已有正常的会话，不会进入防护流程。有些特殊的业务报文无法匹配虚拟服务的配置，但不是攻击报文，也需要对这样的报文进行放通操作。例如虚拟服务ip地址是0.0.0.0，这样的特殊配置情况下，不会执行防护操作；另外还有一种应用层网关业务(ALG)，这样的业务报文也会存在不匹配虚拟服务的情况，但是ALG业务会在应用层会对报文的信息进行解析和地址转换，这样的特殊业务直接进行放通操作。

在S308中，在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。

在S310中，在所述请求报文不满足预设条件时，将所述请求报文转发至四层或者七层负载业务进行处理。

在本申请的负载均衡设备的报文处理方法中，设计了一个虚拟ip防护的开关，在安全的环境下可以关闭虚拟ip防护功能，减少设备性能的消耗。

在本申请的负载均衡设备的报文处理方法中，设计了多个虚拟ip防护处理标记位，防止正常的业务报文被误成攻击报文而被丢包处理。

在本申请的负载均衡设备的报文处理方法中，提前在4，7层负载业务处理之前进行报文检测，识别到攻击报文就直接丢包处理，不进入业务处理流程。

图4是根据另一示例性实施例示出的一种负载均衡设备的报文处理方法的流程图。图4所示的流程40是对图2所示的流程的详细描述。

如图4所示，在S402中，开始。

在S404中，负载均衡设备接收到客户端发送的请求报文。

在S406中，判断虚拟服务是否启用，是否开启虚拟IP防护开关。

在S408中，进入虚拟IP防护流程。

在S410中，检测报文是否已有正常的会话，是否有特殊业务。

在S412中，获取报文的五元组。

在S414中，为五元组设置待匹配标识。

在S416中，是否和虚拟服务配置匹配。

在S418中，为五元组谁知虚拟IP防护开启标识、未匹配虚拟服务IP标识。

在S420中，标识是否满足丢包条件。

在S422中，该报文丢弃。

在S424中，正常进行四层或七层负载业务。

本申请的负载均衡设备的报文处理方法，提出的虚拟ip防护功能，在报文进入4层或者7层负载之前进行检测，如果检测出是攻击报文，立即进入丢包流程，保障设备业务的正常运行，防止设备因长时间处理攻击报文的丢包而使cpu的使用率提高，影响到设备的性能以及正常的业务。设计了多种检测机制，防止影响到正常的业务报文，还提供了一种检测设备是否收到攻击的方法：如果查看到虚拟ip防护的丢包计数增多的情况，可以认定设备受到了攻击，可以进一步采取措施，阻断该攻击源访问设备，保障设备正常平稳地运行。

本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本申请提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。

此外，需要注意的是，上述附图仅是根据本申请示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

下述为本申请装置实施例，可以用于执行本申请方法实施例。对于本申请装置实施例中未披露的细节，请参照本申请方法实施例。

图5是根据一示例性实施例示出的一种负载均衡设备的报文处理装置的框图。如图5所示，负载均衡设备的报文处理装置50包括：报文模块502，策略模块504，匹配模块506，标识模块508，丢弃模块510，处理模块512。

报文模块502用于负载均衡设备获取来自客户端的请求报文；

策略模块504用于在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；策略模块504还用于判断所述负载均衡设备的虚拟服务功能是否开启；在虚拟服务功能开启时，进行虚拟IP防护流程；确定所述请求报文是否满足预设条件；在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。

匹配模块506用于将所述五元组数据和虚拟服务配置进行匹配；

标识模块508用于在未匹配上虚拟服务配置时，为所述请求报文设置标识；

丢弃模块510用于基于所述标识将所述请求报文进行丢弃处理。丢弃模块510还用于在丢包阶段，获取待丢弃的请求报文；在所述请求报文中包含有所述标识时，将所述请求报文进行丢弃处理。

处理模块512用于在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务进行处理。

根据本申请的负载均衡设备的报文处理装置，通过负载均衡设备获取来自客户端的请求报文；在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；将所述五元组数据和虚拟服务配置进行匹配；在未匹配上虚拟服务配置时，为所述请求报文设置标识；基于所述标识将所述请求报文进行丢弃处理的方式，能够在收到攻击报文时，报文负载均衡设备及时执行丢包操作，保障负载均衡设备正常运作。

可选择地，所述匹配模块还在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务进行处理。所述策略模块确定虚拟服务和请求报文满足策略包括：判断所述负载均衡设备的虚拟服务功能是否开启；在虚拟服务功能开启时，进行虚拟IP防护流程；确定所述请求报文是否满足预设条件；在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。所述策略模块在确定所述请求报文不满足预设条件时，将所述请求报文转发至四层或者七层负载业务进行处理。所述策略模块确定所述请求报文是否满足预设条件包括：当不存在对应于所述请求报文的会话时，确定所述报文满足预设条件；和/或当不存在对应于所述请求报文的预设业务时，确定所述报文满足预设条件。所述策略模块获取所述请求报文的五元组数据包括：为所述请求报文的五元组数据设置匹配标记。所述策略模块为所述请求报文设置标识包括：为所述请求报文设置虚拟IP防护开启标识；和/或为所述请求报文设置未匹配标识。所述丢弃模块基于所述标识将所述请求报文进行丢弃处理包括：在丢包阶段，获取待丢弃的请求报文；在所述请求报文中包含有所述标识时，将所述请求报文进行丢弃处理。还包括统计模块(未示出)，用于统计带有所述标识的请求报文的第一数量；统计丢弃的请求报文的第二数量；将所述第一数量和所述第二数量进行对比以确定丢包准确率。

图6是根据一示例性实施例示出的一种电子设备的框图。

下面参照图6来描述根据本申请的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630、显示单元640等。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元610执行，使得所述处理单元610执行本说明书中描述的根据本申请各种示例性实施方式的步骤。例如，所述处理单元610可以执行如图2，图3，图4中所示的步骤。

所述存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。

所述存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备600’(例如键盘、指向设备、蓝牙设备等)通信，使得用户能与该电子设备600交互的设备通信，和/或该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

总体而言，根据本公开的负载均衡设备的报文处理方法及装置，也是一种预防负载均衡业务受到攻击的方法和装置。在负载均衡设备在处理业务时，短时间内接收到大量的攻击报文，这些攻击报文的特点是目的地址是虚拟服务的ip，但是协议与虚拟服务不同。如果设备未能在处理业务之前及时丢包处理，大量的攻击报文因为不匹配虚拟服务的配置而进入丢包流程，设备的CPU因为长时间被丢包程序占用，导致使用率提高，甚至达到100％，严重影响了设备的正常运作，使得业务处于瘫痪状态。本公开的预防负载均衡业务受到攻击的方法提供一种防护方案，让设备及时执行丢包操作，保障设备能够正常运作。具体而言，在设备页面提供了一个虚拟ip防护的开关，由于防护功能开启的时候会影响设备的性能，设计一个开关，设备需要防护的时候可以开启虚拟ip防护的开关进入防护流程。同时还新配置检测计数，统计设备虚拟服务是启用状态并且开启了虚拟ip防护功能的个数，如果该计数为0，即使所有的禁用状态虚拟服务开启虚拟ip防护功能，设备也不会进入虚拟ip防护的流程，保障设备的性能。虚拟ip防护功能正常执行时，设备收到客户端发来的请求报文，在进入设备4层或者7层负载业务之前，先进行防护功能检测。设备先安全获取客户端请求报文的源ip地址，目的ip地址，源端口，目的端口以及报文协议；在成功获取到客户端报文的五元组的情况下，给该五元组打上need_match_flag标记，表示该五元组需要进入虚拟ip标记配置流程；然后进入虚拟服务配置匹配流程(五元组的匹配流程)，攻击报文不会匹配中虚拟服务的配置(虚拟服务的协议类型为TCP协议，而攻击报文的协议为UDP)，未匹配到虚拟服务配置时，会打上虚拟ip防护配置标记以及匹配虚拟服务ip的标记，进入虚拟ip防护的丢包阶段。在虚拟ip防护的丢包阶段，会检测该报文是否匹配到设备的虚拟服务配置，是否已打上虚拟ip防护配置标记，是否已打上匹配虚拟服务ip的标记。如果条件都满足的情况下就直接进入丢包流程，并增加统计计数来统计丢包的个数。如果不满足条件，则该报文不是攻击报文，放通该报文进入4层或者7层负载业务。这样在4层或7层负载业务之前进行报文检测，可以将攻击报文快速进行丢包操作，这样可以保障设备在进行4，7层负载业务处理时不会长时间地来处理这些攻击报文，cpu的利用率不会大大提高，业务能够正常。虚拟ip防护功能开发的前提是不能影响到正常的业务流程，在进入防护流程之前会对报文进行校验，如果该报文已有正常的会话，不会进入防护流程。有些特殊的业务报文无法匹配虚拟服务的配置，但不是攻击报文，也需要对这样的报文进行放通操作。例如虚拟服务ip地址是0.0.0.0，这样的特殊配置情况下，不会执行防护操作；另外还有一种应用层网关业务(ALG)，这样的业务报文也会存在不匹配虚拟服务的情况，但是ALG业务会在应用层会对报文的信息进行解析和地址转换，这样的特殊业务直接进行放通操作。本公开所提出的虚拟ip防护功能，在报文进入4层或者7层负载之前进行检测，如果检测出是攻击报文，立即进入丢包流程，保障设备业务的正常运行，防止设备因长时间处理攻击报文的丢包而使cpu的使用率提高，影响到设备的性能以及正常的业务。设计了多种检测机制，防止影响到正常的业务报文，还提供了一种检测设备是否收到攻击的方法：如果查看到虚拟ip防护的丢包计数增多的情况，可以认定设备受到了攻击，可以进一步采取措施，阻断该攻击源访问设备，保障设备正常平稳地运行。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，如图7所示，根据本申请实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本申请实施方式的上述方法。

所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：负载均衡设备获取来自客户端的请求报文；在虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；将所述五元组数据和虚拟服务配置进行匹配；在未匹配上虚拟服务配置时，为所述请求报文设置标识；基于所述标识将所述请求报文进行丢弃处理。

本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本申请实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本申请实施例的方法。

以上具体地示出和描述了本申请的示例性实施例。应可理解的是，本申请不限于这里描述的详细结构、设置方式或实现方法；相反，本申请意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (10)

1.一种负载均衡设备的报文处理方法，其特征在于，包括：

负载均衡设备获取来自客户端的请求报文；

在确定虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；

将所述五元组数据和虚拟服务配置进行匹配；

在未匹配上虚拟服务配置时，为所述请求报文设置标识；

基于所述标识将所述请求报文进行丢弃处理。

2.如权利要求1所述的方法，其特征在于，还包括：

在匹配上虚拟服务配置时，将所述请求报文转发至四层或者七层负载业务进行处理。

3.如权利要求1所述的方法，其特征在于，确定虚拟服务和请求报文满足策略包括：

判断所述负载均衡设备的虚拟服务功能是否开启；

在虚拟服务功能开启时，进行虚拟IP防护流程；

确定所述请求报文是否满足预设条件；

在所述请求报文满足预设条件时，确定虚拟服务和请求报文满足策略。

4.如权利要求3所述的方法，其特征在于，还包括：

在所述请求报文不满足预设条件时，将所述请求报文转发至四层或者七层负载业务进行处理。

5.如权利要求3所述的方法，其特征在于，确定所述请求报文是否满足预设条件，包括：

当不存在对应于所述请求报文的会话时，确定所述报文满足预设条件；和/或

当不存在对应于所述请求报文的预设业务时，确定所述报文满足预设条件。

6.如权利要求1所述的方法，其特征在于，获取所述请求报文的五元组数据，还包括：

为所述请求报文的五元组数据设置匹配标记。

7.如权利要求6所述的方法，其特征在于，为所述请求报文设置标识，包括：

为所述请求报文设置虚拟IP防护开启标识；和/或

为所述请求报文设置未匹配标识。

8.如权利要求1所述的方法，其特征在于，基于所述标识将所述请求报文进行丢弃处理，包括：

在丢包阶段，获取待丢弃的请求报文；

在所述请求报文中包含有所述标识时，将所述请求报文进行丢弃处理。

9.如权利要求8所述的方法，其特征在于，还包括：

统计带有所述标识的请求报文的第一数量；

统计丢弃的请求报文的第二数量；

将所述第一数量和所述第二数量进行对比以确定丢包准确率。

10.一种负载均衡设备的报文处理装置，其特征在于，包括：

报文模块，用于负载均衡设备获取来自客户端的请求报文；

策略模块，用于在确定虚拟服务和请求报文满足策略时，获取所述请求报文的五元组数据；

匹配模块，用于将所述五元组数据和虚拟服务配置进行匹配；

标识模块，用于在未匹配上虚拟服务配置时，为所述请求报文设置标识；

丢弃模块，用于基于所述标识将所述请求报文进行丢弃处理。

Images