[發明專利]網絡流量的處理方法及裝置、清洗設備、網絡設備

有效

• 申請號: 201610183552.X
• 申請日: 2016-03-28
• 公開（公告）號: CN107241294B
• 公開（公告）日: 2020-09-15
• 發明（設計）人: 胡閩;賈炯
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/46
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 陳蕾

本申請提供一種網絡流量的處理方法及裝置、清洗設備、網絡設備，該方法包括：對被牽引的網絡流量進行流量清洗，得到所述網絡流量中的正常流量；對所述正常流量的第一數據報文進行隧道封裝，得到封裝后的第二數據報文；將所述第二數據報文通過隧道傳輸至目標服務器。在本申請的技術方案可以避免正常流量被目的端的清洗設備重復清洗，繼而避免對目的端的清洗設備的計算資源造成浪費，并且還能避免目的端的清洗設備對正常流量的誤清洗。

技術領域

本申請涉及網絡技術領域，尤其涉及一種網絡流量的處理方法及裝置、清洗設備、網絡設備。

背景技術

隨著網絡的發展，攻擊流量越來越大，通過與運營商合作，在用戶的出口處進行安全防護，將攻擊分散的消滅在源端，從而減少攻擊時服務器機房的帶寬壓力。現有技術中與運營商進行合作部署的近源端分布式拒絕服務(Distributed Denial of Service，簡稱為DDoS)防護系統，有些地區因為各種原因無法部署，這時候一般采用兩級DDoS防護策略，即：一級為部分的和運營商合作的近源端防護系統，一級為云服務提供商(或IDC機房)部署在機房入口的近目的端防護系統。當攻擊目標被攻擊時，近源端防護系統和近目的端防護系統聯動工作，同時對攻擊流量進行流量清洗，丟棄攻擊流量，放行正常流量。

但是上述防護方法存在如下問題：目的端防護系統流量清洗邊界網關協議(Border Gateway Protocol，簡稱為BGP)由于在牽引流量時無法區分攻擊流量和正常流量，會將全部到達攻擊目標的訪問流量牽引到清洗設備上進行流量清洗，會使一些通過近源端防護系統清洗后的正常流量到達云服務提供商的IDC機房時仍然會被近目的端防護系統牽引到清洗設備上進行清洗，從而浪費目的端防護系統的清洗設備的計算資源以及正常流量的誤清洗。

發明內容

有鑒于此，本申請提供一種新的技術方案，可以避免正常流量到達云服務提供商的IDC機房時不會被近目的端防護系統牽引到清洗設備上進行清洗，降低目的端防護系統的清洗設備的計算資源，避免正常流量的誤清洗。

為實現上述目的，本申請提供技術方案如下：

根據本申請的第一方面，提出了一種網絡流量的處理方法，應用在網絡流量的源端，包括：

對被牽引的網絡流量進行流量清洗，得到所述網絡流量中的正常流量；

對所述正常流量的第一數據報文進行隧道封裝，得到封裝后的第二數據報文；

將所述第二數據報文通過隧道傳輸至目標服務器。

根據本申請的第二方面，提出了一種網絡流量的處理方法，應用在網絡流量的目的端，包括：

接收網絡流量的數據報文；

當所述網絡流量的數據報文為封裝后的第二數據報文時，對所述第二數據報文進行解封裝，得到所述網絡流量的第一數據報文以及所述第一數據報文的目的IP地址；

根據所述第一數據報文的目的IP地址將所述第一數據報文轉發至目標服務器。

根據本申請的第三方面，提出了一種網絡流量的處理裝置，應用在網絡流量的源端，包括：

流量清洗模塊，用于對被牽引的網絡流量進行流量清洗，得到所述網絡流量中的正常流量；

封裝模塊，用于對所述流量清洗模塊清洗得到的所述正常流量的第一數據報文進行隧道封裝，得到封裝后的第二數據報文；

發送模塊，用于將所述封裝模塊封裝后的所述第二數據報文通過隧道傳輸至目標服務器。

根據本申請的第四方面，提出了一種網絡流量的處理裝置，應用在網絡流量的目的端，包括：

接收模塊，用于接收網絡流量的數據報文；