[發明專利]一種基于IPV6的TCP流匯聚方法及系統

有效

• 申請號: 201210022590.9
• 申請日: 2012-02-02
• 公開（公告）號: CN103248605A
• 公開（公告）日: 2013-08-14
• 發明（設計）人: 邱勇良
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及計算機網絡數據處理，尤其涉及一種基于IPV6的TCP流匯聚方法及系統。

背景技術

隨著互聯網的普及和快速發展，現有的網絡帶寬往往達到千兆，甚至萬兆，網絡帶寬的擴大，改善了用戶使用網絡的體驗，同時也減少了網絡連接的時間長度。實際應用中，傳輸的數據量并不大，所以有著大量的傳輸時間長度很短的連接。在IPv6中，地址域空間的擴大，帶來流的四元組地址范圍的急劇增大。

由于網絡威脅和網絡攻擊的成熟，僅靠單個數據包所承載的數據，網絡安全設備往往無法判別是否存在威脅或者是否屬于攻擊。現行的網絡安全設備往往采用流匯聚作為其檢測的前置環節，實現基于流的檢測技術，這種方式對比單數據包的檢測方式有著更高的檢出率和準確率。網絡中的并發TCP連接數量與網絡流量成正比，大流量的網絡環境同時也存在高并發的TCP連接數，尤其是萬兆網絡環境中。如果現有的安全設備使用單一流匯聚機制應對當前的網絡情況顯得有些力不從心，所以，如何能夠高效解決網絡攻擊與網絡威脅等事件成為當前急需要解決的問題。

發明內容

針對上述所需要解決的問題，本發明提出一種基于IPV6的TCP流匯聚方法及系統，具體發明如下：

一種基于IPV6的TCP流匯聚方法，包括：

捕獲網絡數據包；

對捕獲的網絡數據包進行協議解碼并分離出TCP協議數據包；

根據TCP標志位將TCP協議數據包進行TCP連接分類，其中，

所述的TCP連接分類包括：TCP連接建立的三次握手數據包、TCP連接關閉的三次握手數據包、承載應用協議數據的TCP數據包；

根據TCP連接建立的三次握手數據包判斷是否能夠建立合法TCP連接；

如果接收的TCP連接順序與TCP連接建立的三次握手數據包順序不相同，則不能夠建立合法TCP連接終止TCP協議數據包處理，并調用外部的DOS/DDOS分析模塊判斷是否屬于DOS/DDOS攻擊；

如果接收的TCP連接順序與TCP連接建立的三次握手數據包順序相同，則能夠建立合法TCP連接；

根據合法TCP連接建立合法TCP連接列表，并將TCP連接四元組作插入到合法TCP連接列表中建立TCP流信息，其中：??

所述的TCP連接四元組包括：源IP、目的IP、源端口、目的端口；

所述的TCP流信息包括：TCP連接四元組、傳輸字節數、第一個承載數據包指針、數據包指針、連接建立時間、完整流信息結構指針；

所述的合法TCP連接列表包括：TCP連接四元組名單、TCP流信息；

根據承載應用協議數據的TCP數據包中的TCP連接四元組查找對應TCP流信息；

如果查找到對應的TCP流信息，則對承載應用協議數據的TCP數據包進行處理；

如果沒有查找到對應的TCP流信息，則直接拋棄TCP協議數據包；

根據TCP連接關閉的三次握手數據包中的TCP連接四元組查找對應TCP流信息；

如果查找到對應的TCP流信息，則對TCP連接關閉的三次握手數據包進行處理；

如果沒有查找到對應的TCP流信息，則直接拋棄TCP協議數據包。

所述的對捕獲的網絡數據包進行協議解碼分離出TCP協議數據包，是根據IPV4和IPV6的IP協議頭信息進行分離。

所述的對承載應用協議數據的TCP數據包進行處理包括：

根據TCP流信息中的數據包指針建立順序指針鏈表；

更改已存儲的TCP流信息中的數據包指針為正在處理數據包指針并將正在處理數據包長度累加到TCP流信息中的傳輸字節數中；

判斷TCP流信息中的第一個承載數據包指針是否為空；

如果為空，則將當前承載應用協議數據的TCP數據包指針設置為TCP流信息中的第一個承載數據包的指針；

如果不為空，則計算捕獲網絡數據包時間與建立合法TCP連接的時間的時間差并判斷時間差是否大于預定閥值；

如果大于預定閥值，則申請新的TCP流信息結構，并賦值完整流信息結構指針，將承載應用協議數據的TCP數據包存儲到待處理緩存進行待處理緩存數據包處理；

如果小于或等于預定閥值，則將承載應用協議數據的TCP數據包存儲到待處理緩存進行待處理緩存數據包處理。

所述的承載應用協議數據的TCP數據包存儲到待處理緩存進行待處理緩存數據包處理包括：

讀取待處理緩存的待處理緩存數據包；