[發明專利]一種拒絕服務攻擊防護方法、網絡系統和代理服務器

有效

• 申請號: 200610114310.1
• 申請日: 2006-11-03
• 公開（公告）號: CN101175013A
• 公開（公告）日: 2008-05-07
• 發明（設計）人: 許世強;趙昌林
• 申請（專利權）人: 飛塔信息科技（北京）有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06;H04L9/00;H04L12/24
• 代理公司: 北京律誠同業知識產權代理有限公司
• 代理人: 梁揮;徐金國

1.一種拒絕服務攻擊防護方法，其特征在于，包括下列步驟：

步驟A，對連接請求數據包，代理目的端響應客戶端請求，過濾掉拒絕服務攻擊，再根據合法的連接請求的響應數據包，判斷目的端地址，代理客戶端與目的端建立連接。

2.根據權利要求1所述的拒絕服務攻擊防護方法，其特征在于，所述步驟A之前還包括下列步驟：

截獲連接請求數據包，解析得到該連接請求數據包的源地址，查詢匹配所述連接請求數據包的合法性。

3.根據權利要求2所述的拒絕服務攻擊防護方法，其特征在于，所述截獲連接請求數據包，解析得到該連接請求數據包的源地址，查詢匹配連接請求數據包的合法性之前進一步包括下列步驟：

統計網絡中的連接請求數據包，并在流量達到危險閥值時，確認受到拒絕服務攻擊，啟動防御措施。

4.根據權利要求3所述的拒絕服務攻擊防護方法，其特征在于，所述步驟A之后還包括下列步驟：

在連接請求數據包的流量恢復到正常流量后，不再進行防御拒絕服務攻擊的防護過濾，并將數據初始化，允許客戶端與服務器直接進行連接。

5.根據權利要求2至4任一項所述的拒絕服務攻擊防護方法，其特征在于，所述截獲連接請求數據包，解析得到該連接請求數據包的源地址，查詢匹配連接請求數據包的合法性，包括下列步驟：

根據截獲到的連接請求數據包，解析得到該連接請求數據包的源地址，利用連接記錄表對所述連接請求數據包的源IP地址進行查詢匹配，確認該連接請求數據包的合法性，并對合法的連接請求數據包予以放行。

6.根據權利要求5所述的拒絕服務攻擊防護方法，其特征在于，所述根據截獲到的連接請求數據包，解析得到該連接請求數據包的源地址，利用連接記錄表對所述連接請求數據包的源IP地址進行查詢匹配，并確認該連接請求數據包的合法性，并對合法的連接請求數據包予以放行，具體包括下列步驟：

首先，當截獲到連接請求數據包后，解析出客戶端IP地址，與連接記錄表進行查詢匹配，確認其是否為合法的IP地址；

其次，匹配成功后，如果該IP地址當前的半開連接數量未超過用戶設定的閥值，則允許通過。

7.根據權利要求5所述的拒絕服務攻擊防護方法，其特征在于，所述對連接請求數據包，代理目的端響應客戶端請求，過濾掉拒絕服務攻擊，包括下列步驟：

對不能確定其合法性的連接請求數據包，根據該連接請求數據包的目的端地址，接管所述連接請求數據包，代理目的端向客戶端響應，發送請求響應數據包；并在收到客戶端的響應數據包后，確認為合法連接，完成與客戶端的連接過程；否則不再繼續傳輸，過濾掉拒絕服務攻擊的連接請求數據包。

8.根據權利要求7所述的拒絕服務攻擊防護方法，其特征在于，所述判斷目的端地址，具體包括下列步驟：

確認連接請求為合法的連接請求后，判斷數據包的發送目的端為自身還是遠程服務器。

9.根據權利要求8所述的拒絕服務攻擊防護方法，其特征在于，如果數據包的發送目的端為自身，則所述代理客戶端與目的端建立連接，包括下列步驟：

步驟N1，代理客戶端向本地協議棧發送連接請求數據包，請求建立TCP連接；

步驟N2，截獲到本地協議棧回應的請求響應數據包后，丟棄此數據包，并向本地協議棧發送響應數據包，與本地建立TCP連接；

步驟N3，攔截連接成功后客戶端與目的端通訊的數據包，修正TCP序列號，并重新計算TCP校驗和，建立真正的TCP連接。

10.根據權利要求9所述的拒絕服務攻擊防護方法，其特征在于，所述代理客戶端向本地協議棧發送連接請求，包括下列步驟：

調用netif_rx函數，將該連接請求數據包重新接收一次，這時網絡系統將認為產生一次連接請求數據包，則將這個連接請求數據包送上協議棧發送到用戶層處理。