[发明专利]一种客户端验证方法及装置

说明书

技术领域

本发明涉及网络安全技术，尤其涉及一种客户端验证方法及装置。

背景技术

随着网络通信技术的进步，各种网络攻击引发的网络安全问题日益受到人们的关注。越来越多的企业以及运营商开始使用诸如防火墙等网络安全设备为网络通信提供保护措施。

伪造IP地址(又可称为伪造客户端)的攻击行为是非常常见的网络攻击，这种攻击的特点是会消耗大量的服务器资源，以致服务器没有足够的资源去响应其他客户端的访问请求。其中Dos(Denial of Service，拒绝服务攻击)以及DDos(Distributed Denial of Service，分布式拒绝服务攻击)是常见的伪造IP地址的网络攻击行为。

现有技术大量着手于研究Dos以及DDos等攻击行为在攻击模式上的特点，比如通过报文速率统计，甚至分布式的报文速率统计来应对这些攻击行为。然而现有技术的处理方式仍然有其局限性，攻击者仍然可以通过巧妙安排攻击模型，比如攻击的速率等来适应这些安全措施。

发明内容

有鉴于此，本发明一种客户端验证装置，其应用于网络安全设备中，用于验证经由所述网络安全设备接入网络的客户端，其中该装置包括：

报文检查单元，用于检查网络安全设备接收到的报文是否为ICMP端口不可达报文，如果是，则转客户端判决单元处理；如果否，则进一步检查发出报文的客户端是否存在于客户端列表中，如果不在，则转验证发起单元处理；

验证发起单元，用于构造UDP报文并向客户端发出，其中该UDP报文目的端口为客户端未开放的UDP端口，该UDP报文的UDP头部携带有预设的验证信息；以及

客户端判决单元，用于检查该ICMP端口不可达报文是否携带有所述预设的验证信息，如果是，则将发出该报文的客户端加入到客户端列表中作为信任客户端。

优选地，所述UDP报文的目的端口为非知名端口或者端口号大于50000。

优选地，还包括老化处理单元，用于在预定的客户端老化时间到达时将客户端列表中的客户端删除。

优选地，所述验证信息是与该客户端相对应的Cookie认证信息。

优选地，所述客户端判决单元进一步用于在检查到所述ICMP端口不可达报文没有携带所述预设的验证信息时，将所述客户端加入客户端列表中作为不信任客户端。

本发明还提供一种客户端验证方法，其应用于网络安全设备中，用于验证经由所述网络安全设备接入网络的客户端，其中该方法包括：

A，检查网络安全设备接收到的报文是否为ICMP端口不可达报文，如果是，则转步骤C；如果否，则进一步检查发出报文的客户端是否在客户端列表中，如果不在，则步骤B；

步骤B，用于构造UDP报文并向客户端发出，其中该UDP报文目的端口为客户端未开放的UDP端口，该UDP报文的UDP头部携带有预设的验证信息；

步骤C，检查该ICMP端口不可达报文是否携带有所述预设的验证信息，如果是，则将发出该报文的客户端加入到客户端列表中作为信任客户端。

优选地，所述UDP报文的目的端口为非知名端口或者端口号大于50000。

优选地，还包括：D，在预定的客户端老化时间到达时将客户端列表中的客户端删除。

优选地，验证信息是与该客户端相对应的Cookie认证信息。

优选地，所述客户端列表包括信任列表以及不信任列表，步骤C进一步包括：在检查到所述ICMP端口不可达报文没有携带所述预设的验证信息时，将所述客户端加入不信任列表；在检查到所述ICMP端口不可达报文携带所述预设的验证信息时，将所述客户端加入不信任列表。

附图说明

图1是本发明一般处理流程图。

图2是本发明客户端验证装置的逻辑结构图。

图3是ICMP报文封装在IP报文中的格式图。

图4是ICMP报文格式图。

图5是本发明UDP报文格式图。

图6是ICMP端口不可达报文格式图。

图7是本发明携带有认证信息的ICMP端口不可达报文格式图。

具体实施方式