[发明专利]认证通信流量的方法、通信系统和防护装置

说明书

技术领域

本发明涉及通信和计算机领域，尤其涉及一种防止拒绝服务攻击的方法和装置。

背景技术

在拒绝服务(Denial of service，DoS)攻击中，攻击者用大量消息流量轰击受害网络或服务器。处理此流量消耗受害者的可用带宽、CPU能力或其他关键性系统资源，并且最终使受害者达到无法服务其合法客户的情况。分布式DoS(Distribution DoS，DDoS)攻击的毁坏性可能更大，因其涉及产生同时来自多个源的仿真网络流量。在传统大带宽攻击中，可在对输入分组(Packet)的源因特网协议(Intemet Protocol，IP)地址的统计分析的帮助下追踪攻击的源。然后受害者可过滤掉源自可疑IP地址的任何流量，并且可利用该证据对攻击者采取法律行动。但是，现在许多攻击使用“欺骗性(Spoofed)″IP分组——包含假IP源地址的分组——使得受害者更难以防止自己遭受攻击。

因此需要一种防止DoS攻击，提高通信安全性的方法。

发明内容

本发明实施例提供一种用于认证网络上的通信流量的方法、装置和系统，以防止DoS攻击，提高通信安全性。

本发明实施例解决上述技术问题的一个实施方式是：提供一种认证通信流量的方法，适用于包括至少一客户端和服务器的场景中，包括：

接收某一客户端发送的第一传输控制协议TCP分组；

判断该第一TCP分组的源地址是否已经验证通过，如果该第一TCP分组的源地址已经验证通过，则转发该第一TCP分组给所述服务器；如果该第一TCP分组的源地址还没有验证通过，则发送第二TCP分组给所述第一TCP分组的发送方，该第二TCP分组的部分字段封装有Cookie，所述第二TCP分组不包括TCPACK分组；

接收所述第一TCP分组的发送方发送的第三TCP分组，判断所述第三TCP分组的相应字段值是否匹配所述Cookie，如果所述第三TCP分组的相应字段值不匹配所述Cookie，则确定第一TCP分组的发送方的源地址是伪造的；如果所述第三TCP分组的相应字段值匹配所述Cookie，则确定第一TCP分组的发送方的源地址是真实的；

当所述第一TCP分组的发送方重新向服务器发起TCP连接请求时，允许所述第一TCP分组的发送方与服务器建立TCP连接。

本发明实施例还提供一种防护装置，包括：获取模块、第一判断模块、第二判断模块、发送模块及转发模块，其中：

所述获取模块，用于获取某一客户端发给服务器的第一传输控制协议TCP分组；

所述第一判断模块，用于判断所述获取模块获取的第一TCP分组的源地址是否已经验证通过，如果该第一TCP分组的发送方的源地址已经验证通过，则表明该第一TCP分组的发送方的源地址已经确认为真实的源地址，允许该第一TCP分组的发送方与服务器建立TCP连接，则由所述转发模块转发该第一TCP分组给服务器，使该客户端与服务器直接建立TCP连接；如果该第一TCP分组的源地址还没有验证通过，则由发送模块发送第二TCP分组给所述客户端，该第二TCP分组的部分字段封装有Cookie；

所述获取模块，还用于接收所述客户端发来的第三TCP分组，交给第二判断模块；

所述第二判断模块，用于确定所述第三TCP分组的相应字段值是否匹配所述Cookie，如果所述第三TCP分组的相应字段值匹配所述Cookie，则确定所述客户端的源地址是真实的；如果所述第三TCP分组的相应字段值不匹配所述Cookie，则确定所述客户端的源地址是伪造的；

如果所述客户端的源地址是真实的，当所述获取模块接收到所述客户端发送的第四TCP分组时，由转发模块转发该第四TCP分组给所述服务器。

本发明实施例还提供一种通信系统，包括服务器、至少一个客户端以及位于该服务器和所述至少一个客户端之间的防护装置，其中：

所述客户端，用于向服务器发出第一TCP分组以与服务建立行TCP连接；