[發明專利]一種基于IPV6的TCP流匯聚方法及系統

有效

• 申請號: 201210022590.9
• 申請日: 2012-02-02
• 公開（公告）號: CN103248605A
• 公開（公告）日: 2013-08-14
• 發明（設計）人: 邱勇良
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于IPV6的TCP流匯聚方法，包括：

捕獲網絡數據包；

對捕獲的網絡數據包進行協議解碼并分離出TCP協議數據包；

根據TCP標志位將TCP協議數據包進行TCP連接分類，其中，

所述的TCP連接分類包括：TCP連接建立的三次握手數據包、TCP連接關閉的三次握手數據包、承載應用協議數據的TCP數據包；

根據TCP連接建立的三次握手數據包判斷是否能夠建立合法TCP連接；

如果接收的TCP連接順序與TCP連接建立的三次握手數據包順序不相同，則不能夠建立合法TCP連接終止TCP協議數據包處理，并調用外部的DOS/DDOS分析模塊判斷是否屬于DOS/DDOS攻擊；

如果接收的TCP連接順序與TCP連接建立的三次握手數據包順序相同，則能夠建立合法TCP連接；

根據合法TCP連接建立合法TCP連接列表，并將TCP連接四元組作插入到合法TCP連接列表中建立TCP流信息，其中：??

所述的TCP連接四元組包括：源IP、目的IP、源端口、目的端口；

所述的TCP流信息包括：TCP連接四元組、傳輸字節數、第一個承載數據包指針、數據包指針、連接建立時間、完整流信息結構指針；

所述的合法TCP連接列表包括：TCP連接四元組名單、TCP流信息；

根據承載應用協議數據的TCP數據包中的TCP連接四元組查找對應TCP流信息；

如果查找到對應的TCP流信息，則對承載應用協議數據的TCP數據包進行處理；

如果沒有查找到對應的TCP流信息，則直接拋棄TCP協議數據包；

根據TCP連接關閉的三次握手數據包中的TCP連接四元組查找對應TCP流信息；

如果查找到對應的TCP流信息，則對TCP連接關閉的三次握手數據包進行處理；

如果沒有查找到對應的TCP流信息，則直接拋棄TCP協議數據包。

2.如權利要求1所述的方法，其特征在于，所述的對捕獲的網絡數據包進行協議解碼分離出TCP協議數據包，是根據IPV4和IPV6的IP協議頭信息進行分離。

3.如權利要求1所述的方法，其特征在于，所述的對承載應用協議數據的TCP數據包進行處理包括：

根據TCP流信息中的數據包指針建立順序指針鏈表；

更改已存儲的TCP流信息中的數據包指針為正在處理數據包指針并將正在處理數據包長度累加到TCP流信息中的傳輸字節數中；

判斷TCP流信息中的第一個承載數據包指針是否為空；

如果為空，則將當前承載應用協議數據的TCP數據包指針設置為TCP流信息中的第一個承載數據包的指針；

如果不為空，則計算捕獲網絡數據包時間與合法TCP連接的時間的時間差是否大于預定閥值；

如果大于預定閥值，則申請新的TCP流信息結構，并賦值完整流信息結構指針，將承載應用協議數據的TCP數據包存儲到待處理緩存進行待處理緩存數據包處理；

如果小于或等于預定閥值，則將承載應用協議數據的TCP數據包存儲到待處理緩存進行待處理緩存數據包處理。

4.如權利要求3所述的方法，其特征在于，所述的承載應用協議數據的TCP數據包存儲到待處理緩存進行待處理緩存數據包處理包括：

讀取待處理緩存的待處理緩存數據包；

計算捕獲網絡數據包時間與TCP流信息中的連接建立時間的時間差，并判斷時間差是否超出預設時間值；

如果未超出預設時間值，則停止處理待處理緩存數據包直到超出預設時間值；

如果超出預設時間值，則將申請新的TCP流信息結構中當前的數據包指針改為當前正在處理的數據包指針，并將當前正在處理的數據包的長度累加到申請新的TCP流信息結構的傳輸字節數中。