[发明专利]认证通信流量的方法、通信系统和防护装置

权利要求书

1.一种认证通信流量的方法，适用于包括至少一客户端和服务器的场景中，其特征在于，包括：

接收某一客户端发送的第一TCP分组；

判断该第一传输控制协议TCP分组的源地址是否已经验证通过，如果该第一TCP分组的源地址已经验证通过，则转发该第一TCP分组给所述服务器；如果该第一TCP分组的源地址还没有验证通过，则发送第二TCP分组给所述第一TCP分组的发送方，该第二TCP分组的部分字段封装有Cookie，所述第二TCP分组不包括TCP ACK分组；

接收所述第一TCP分组的发送方发送的第三TCP分组，判断所述第三TCP分组的相应字段值是否匹配所述Cookie，如果所述第三TCP分组的相应字段值不匹配所述Cookie，则确定第一TCP分组的发送方的源地址是伪造的；如果所述第三TCP分组的相应字段值匹配所述Cookie，则确定第一TCP分组的发送方的源地址是真实的；

当所述第一TCP分组的发送方重新向服务器发起TCP连接请求时，允许所述第一TCP分组的发送方与服务器建立TCP连接。

2.如权利要求1所述的方法，其特征在于，如果所述第一TCP分组为第一TCP SYN分组，则所述第二TCP分组为第二TCP SYN分组，所述第二TCP SYN分组的SEQ字段封装有Cookie，所述第三TCP分组为TCPSYN-ACK分组；

所述第三TCP分组的相应字段值匹配所述Cookie，为第三TCP分组的ACK字段值等于Cookie加1。

3.如权利要求1所述的方法，其特征在于，如果所述第一TCP分组为第一TCP SYN分组，则所述第二TCP分组为第二TCP SYN-ACK分组，所述第二TCP SYN-ACK分组的ACK字段封装有Cookie，所述第三TCP分组为TCP RST分组；

所述第三TCP分组的相应字段值匹配所述Cookie，为第三TCP分组的SEQ字段值等于Cookie。

4.如权利要求1所述的方法，其特征在于，如果所述第一TCP分组为第一TCP SYN-ACK分组，则所述第二TCP分组为第二TCP SYN-ACK分组，所述第二TCP SYN-ACK的ACK字段封装有Cookie，所述第三TCP分组为TCP RST分组；

所述第三TCP分组的相应字段值匹配所述Cookie，为第三TCP分组的SEQ字段值等于Cookie。

5.如权利要求4所述的方法，其特征在于，在收到所述第一TCPSYN-ACK分组前，还包括：

服务器向所述客户端发送第四TCP SYN分组，要求与客户端建立TCP连接，所述客户端收到所述第四TCP SYN分组后，发出第一TCP SYN-ACK分组。

6.如权利要求1-5中任一所述的方法，其特征在于，所述源地址为互联网协议IP地址。

7.一种防护装置，其特征在于，包括：获取模块、第一判断模块、第二判断模块、发送模块转发模块，其中：

所述获取模块，用于获取某一客户端发给服务器的第一TCP分组；

所述第一判断模块，用于判断所述获取模块获取的第一TCP分组的源地址是否已经验证通过，如果该第一TCP分组的发送方的源地址已经验证通过，则表明该第一TCP分组的发送方的源地址已经确认为真实的源地址，允许该第一TCP分组的发送方与服务器建立TCP连接，则由所述转发模块转发该第一TCP分组给服务器，使该客户端与服务器直接建立TCP连接；如果该第一TCP分组的源地址还没有验证通过，则由发送模块发送第二TCP分组给所述客户端，该第二TCP分组的部分字段封装有Cookie；

所述获取模块，还用于接收所述客户端发来的第三TCP分组，交给第二判断模块；

所述第二判断模块，用于确定所述第三TCP分组的相应字段值是否匹配所述Cookie，如果所述第三TCP分组的相应字段值匹配所述Cookie，则确定所述客户端的源地址是真实的；如果所述第三TCP分组的相应字段值不匹配所述Cookie，则确定所述客户端的源地址是伪造的；

如果所述客户端的源地址是真实的，当所述获取模块接收到所述客户端发送的第四TCP分组时，由转发模块转发该第四TCP分组给所述服务器。