[發(fā)明專利]防范泛洪攻擊的方法、裝置、負(fù)載均衡設(shè)備和存儲(chǔ)介質(zhì)

有效

• 申請?zhí)枺?/td>: 201711172194.3
• 申請日: 2017-11-22
• 公開（公告）號(hào): CN109818912B
• 公開（公告）日: 2021-11-26
• 發(fā)明（設(shè)計(jì)）人: 張宇;楊光
• 申請（專利權(quán)）人: 北京金山云網(wǎng)絡(luò)技術(shù)有限公司;北京金山云科技有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京柏杉松知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11413
• 代理人: 馬敬;項(xiàng)京

1.一種防范泛洪攻擊的方法，應(yīng)用于工作在直接路由模式下的負(fù)載均衡設(shè)備，其特征在于，所述方法包括：

當(dāng)所述負(fù)載均衡設(shè)備與客戶端建立傳輸控制協(xié)議TCP連接時(shí)，接收所述客戶端向服務(wù)器發(fā)送的第一同步報(bào)文，并基于所述第一同步報(bào)文生成第一同步認(rèn)證信息值；

向所述客戶端發(fā)送包括所述第一同步認(rèn)證信息值的同步確認(rèn)報(bào)文；

接收所述客戶端發(fā)送的確認(rèn)報(bào)文，從所述確認(rèn)報(bào)文中提取第二同步認(rèn)證信息值；其中，所述第二同步認(rèn)證信息值由所述客戶端基于所述第一同步認(rèn)證信息值生成；

將所述第二同步認(rèn)證信息值與所述第一同步認(rèn)證信息值進(jìn)行匹配；

如果匹配失敗，則停止向所述服務(wù)器發(fā)送第二同步報(bào)文；

如果匹配成功，則向所述服務(wù)器發(fā)送所述第二同步報(bào)文；

所述向所述服務(wù)器發(fā)送所述第二同步報(bào)文的步驟，包括：

根據(jù)輪詢調(diào)度算法、加權(quán)輪詢調(diào)度算法、最少連接數(shù)調(diào)度算法或加權(quán)最少連接數(shù)調(diào)度算法，選擇待接收所述第二同步報(bào)文的服務(wù)器；

向選中的待接收所述第二同步報(bào)文的服務(wù)器，發(fā)送所述第二同步報(bào)文；

所述第二同步報(bào)文包括選項(xiàng)字段；所述負(fù)載均衡設(shè)備包括網(wǎng)卡；

所述向選中的待接收所述第二同步報(bào)文的服務(wù)器，發(fā)送所述第二同步報(bào)文的步驟，包括：

獲取所述網(wǎng)卡的接口地址；

基于所述網(wǎng)卡的接口地址，按照預(yù)定格式，生成目標(biāo)數(shù)值；

將所述目標(biāo)數(shù)值作為所述選項(xiàng)字段的內(nèi)容，向選中的待接收所述第二同步報(bào)文的服務(wù)器，發(fā)送包括所述選項(xiàng)字段的所述第二同步報(bào)文；所述選項(xiàng)字段用于選中的待接收所述第二同步報(bào)文的服務(wù)器解析所述選項(xiàng)字段的內(nèi)容得到往返延時(shí)RTT值，所述RTT值用于校準(zhǔn)從客戶端至服務(wù)器的延遲時(shí)間，所述延遲時(shí)間用于通過修改協(xié)議棧的方式校正第二同步報(bào)文中的序列號(hào)字段里的內(nèi)容。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述向所述客戶端發(fā)送包括所述第一同步認(rèn)證信息值的同步確認(rèn)報(bào)文的步驟之后，所述方法還包括：

如果在預(yù)設(shè)時(shí)間段內(nèi)未接收到來自所述客戶端的確認(rèn)報(bào)文，則停止向所述服務(wù)器發(fā)送第二同步報(bào)文。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述同步確認(rèn)報(bào)文包括序列號(hào)字段，所述確認(rèn)報(bào)文包括確認(rèn)號(hào)字段；

所述向所述客戶端發(fā)送包括第一同步認(rèn)證信息值的同步確認(rèn)報(bào)文的步驟，包括：

將所述第一同步認(rèn)證信息值作為所述序列號(hào)字段的內(nèi)容，向所述客戶端發(fā)送包括所述序列號(hào)字段的所述同步確認(rèn)報(bào)文；

所述接收所述客戶端發(fā)送的確認(rèn)報(bào)文，從所述確認(rèn)報(bào)文中提取第二同步認(rèn)證信息值的步驟，包括：

接收所述客戶端發(fā)送的確認(rèn)報(bào)文，從所述確認(rèn)報(bào)文中提取確認(rèn)號(hào)字段中的內(nèi)容，作為所述第二同步認(rèn)證信息值，所述確認(rèn)號(hào)字段根據(jù)接收到的確認(rèn)報(bào)文中的序列號(hào)字段獲得。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將所述第二同步認(rèn)證信息值與所述第一同步認(rèn)證信息值進(jìn)行匹配的步驟，包括：

將所述第二同步認(rèn)證信息值與所述第一同步認(rèn)證信息值進(jìn)行比較；其中，所述第二同步認(rèn)證信息值在所述客戶端為合法客戶端的情況下，根據(jù)所述TCP連接的建立條件，由所述合法客戶端將接收到的所述第一同步認(rèn)證信息值進(jìn)行加1操作而得到；

如果所述第二同步認(rèn)證信息值與所述第一同步認(rèn)證信息值的差值為1，則確定匹配成功；否則，確定匹配失敗。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述第一同步報(bào)文生成第一同步認(rèn)證信息值的步驟，包括：

記錄接收所述第一同步報(bào)文的時(shí)間；

從所述第一同步報(bào)文中提取出源端口號(hào)字段的內(nèi)容、目的端口號(hào)字段的內(nèi)容、源互聯(lián)網(wǎng)協(xié)議IP地址字段的內(nèi)容和目的IP地址字段的內(nèi)容；

根據(jù)所述負(fù)載均衡設(shè)備當(dāng)前的工作狀態(tài)，生成一個(gè)隨機(jī)數(shù)；

對(duì)所記錄的時(shí)間、所述源端口號(hào)字段的內(nèi)容、所述目的端口號(hào)字段的內(nèi)容、所述源IP地址字段的內(nèi)容、所述目的IP地址字段的內(nèi)容和所述隨機(jī)數(shù)，進(jìn)行哈希計(jì)算，得到哈希值，并將所述哈希值作為所述第一同步認(rèn)證信息值。