[發明專利]一種流量清洗方法、裝置及第一邊界路由設備

有效

• 申請號: 202011148214.5
• 申請日: 2020-10-23
• 公開（公告）號: CN112165428B
• 公開（公告）日: 2022-07-22
• 發明（設計）人: 王陽;廖以順
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L45/00
• 分類號: H04L45/00;H04L45/18;H04L45/74
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙) 11413
• 代理人: 孟維娜;丁蕓

本發明實施例提供了一種流量清洗方法、裝置及第一邊界路由設備。其中，所述方法包括：建立以第一接口為源節點、所述第二接口為尾節點的隧道，所述第一接口為通過BGP學習到用于向第二邊界路由設備發送報文的接口；將未建立BGP鄰居的接口接收的流量通過所述隧道轉發至所述清洗服務器進行流量清洗。可以通過在第一邊界路由設備與第二邊界路由設備之間建立隧道，使得第一邊界路由設備和第二邊界路由設備之間具備通過BGP學習到的路由以及建立的隧道這兩個不同的路由，并通過對不同類別的接口接收到的流量以不同的路由進行傳輸，從而使得邊界路由設備能夠以不同的路由傳輸經過清洗的流量和未經過清洗的流量，避免在BGP網絡中形成環路。

技術領域

本發明涉及信息技術領域，特別是涉及一種流量清洗方法、裝置及第一邊界路由設備。

背景技術

流規格(Flow Specification，Flowspec)技術可以用于對BGP(Border GatewayProtocol，邊界網關協議)網絡中非法流量進行過濾與巡查，從而減輕DOS(Denial ofService，拒絕服務)攻擊、DDOS(Distributed Denial of Service)攻擊等非法攻擊對BGP網絡的影響。

示例性的，可以如圖1所示，BGP網絡中可以包括流規格控制器(下文簡稱控制器)101以及多個流規格邊界路由設備(下文簡稱邊界路由設備)。為描述方便，圖1中將四個邊界路由設備分別記為邊界路由設備1、邊界路由設備2、邊界路由設備3以及邊界路由設備4，其中邊界路由設備3與清洗服務器103連接，邊界路由設備2、邊界路由設備4與預設網絡連接，并且邊界路由設備4與用戶終端104連接。

為使得清洗服務器103能夠對預設網絡發往用戶終端104的流量進行流量清洗。相關技術中，控制器101可以向每個邊界路由設備下發流規格規則，流規格規則可以包括接收到的流量為外部網絡的流量，每個邊界路由設備使能各接口的流規格功能，以對各接口接收到的流量進行流規格規則匹配，如果流量命中流規格規則，則將該流量轉發至清洗服務器。

但是清洗服務器103發送的經過清洗的流量命中該流規格規則，因此邊界路由設備會將清洗服務器103發送的經過清洗的流量再次發送至清洗服務器103，導致流量形成環路，用戶終端104無法正確接收到經過清洗的流量。

發明內容

本發明實施例的目的在于提供一種流量清洗方法、裝置及第一邊界路由設備，以實現避免流量清洗過程中BGP網絡內形成流量環路。

在本發明實施例的第一方面，提供了一種流量清洗方法，應用于邊界網關協議BGP網絡中的第一邊界路由設備，所述BGP網絡還包括第二邊界路由設備，所述第二邊界路由設備的第二接口接入有清洗服務器，所述第二路由設備將除所述第二接口以外的其他未建立BGP鄰居的接口接收的流量轉發至所述清洗服務器，所述方法包括：

建立以第一接口為源節點、所述第二接口為尾節點的隧道，所述第一接口為通過BGP學習到用于向第二邊界路由設備發送報文的接口；

將未建立BGP鄰居的接口接收的流量通過所述隧道轉發至所述清洗服務器進行流量清洗。

在一種可能的實施例中，在所述建立以第一接口為源節點、所述第二接口為尾節點的隧道之后，所述方法還包括：

生成以所述清洗服務器的地址為目的地址、所述隧道為出接口的第一路由，所述第一路由的優先級高于所述第一邊界路由設備通過BGP學習到的用于向所述清洗服務器發送流量的第二路由；

所述將未建立BGP鄰居的接口接收的流量通過所述隧道發往所述清洗服務器進行流量清洗，包括：

將未建立BGP鄰居的接口接收的流量的目的地址更改為所述清洗服務器的地址；

查找所述第一邊界路由設備中的路由表，確定向所述清洗服務器的地址發送流量的出接口；