本发明提供一种SDN控制器、路由/交换设备及网络防御方法,应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中,本发明在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表;在所述网络受到攻击时,生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备,以控制所述路由/交换设备据以执行对应的过滤策略;本发明采用了SDN架构,能够感知攻击者的位置,并可准确归类攻击报文。
一种SDN控制器,应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中,其特征在于,所述SDN控制器包括:建立模块,用于建立合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表并送至所述路由/交换设备储存;流表生成模块,用于在所述网络受到攻击时,生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备,以控制所述路由/交换设备据以执行对应的过滤策略;所述过滤策略包括:在所述入口路由/交换设备接收到来自客户端的SYN请求报文时,根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配,其中,所述四元组信息包括:源IP地址、源TCP端口、目的IP地址和目的TCP端口;若在所述合法TCP连接表中匹配,则转发所述SYN请求报文;若在所属合法TCP连接表中不能匹配,则将所述四元组信息在所述非法TCP半连接表中匹配;若在所述非法TCP半连接表中匹配,则丢弃该SYN请求报文并更新所述非法TCP半连接表;若在所述非法TCP半连接表中不能匹配,则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数;判断所述目的IP地址的TCP半连接数是否达到预设阈值;若达到所述预设阈值,则增加所述SYN请求报文对应条目至所述非法TCP半连接表,并将此目的IP地址的TCP半连接数加1,并向所述服务器转发所述SYN请求报文;在入口路由/交换设备收到所述SYN请求报文的ACK报文时,转发所述ACK报文,并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表,并将此目的IP地址的TCP半连接数减1;若未达到所述预设阈值,则丢弃所述SYN请求报文,向所述客户端发送SYN加ACK报文,并检查客户端是否反馈ACK报文;若所述客户端有反馈ACK报文,则增加对应所述SYN请求报文的条目至所述合法TCP连接表,并向所述客户端发送RST报文;若所述客户端未反馈ACK报文,则增加对应所述SYN请求报文的条目至所述非法TCP半连接表,并向所述服务器端发送相关的RST报文。
本文链接:http://www.vipzhuanli.com/tech/sell/s_2232602.html,转载请声明来源钻瓜专利网。