[发明专利]一种发送引流路由信息的方法及清洗设备

说明书

本申请公开了一种发送引流路由信息的方法，应用于MPLS VPN中的清洗设备中，用以解决现有流量清洗方案在MPLS VPN场景中无法有效对攻击流量进行防御的问题。该方法包括：清洗设备生成引流路由信息，引流路由信息中携带自治系统AS号和被保护节点的IP地址，该AS号是被保护节点所属网段连接的第一CE路由器的AS号；清洗设备将引流路由信息发送给第一CE路由器和第二CE路由器，使得第一CE路由器根据该AS号和EBGP防环机制丢弃引流路由信息，并使得第二CE路由器根据该AS号和EBGP防环机制保存引流路由信息。同时，本申请还公开了一种清洗设备。

技术领域

本发明涉及通信技术领域，尤其涉及一种发送引流路由信息的方法及清洗设备。

背景技术

现有技术中，当网络中存在被保护节点时，通常在该网络的CE（Custom Edge，客户边缘）路由器所在位置上以旁路方式部署清洗设备，通过将目的IP地址为被保护节点的IP地址的流量（后面将简称为“被保护流量”）引流至清洗设备中进行清洗，再将清洗后的流量回注到被保护节点，从而实现对被保护节点的保护。其中，“引流过程”和“回注过程”是整个流量清洗过程中至关重要的环节。

例如：在图1所示的网络中，包括：路由器1和路由器2，路由器1作为CE路由器与Internet（Internetwork，互联网）连接，攻击流量能够通过路由器1进入到该网络中。在没有部署清洗设备时，攻击流量将通过路由器1和路由器2的转发，直接到达被保护节点，这大大增加了被保护节点受到攻击的几率。在部署有清洗设备后，清洗设备通过与路由器1建立EBGP（External Border Gateway Protocol，外部边界网关协议）邻居关系，并向路由器1发送引流路由信息，该引流路由信息中包含被保护节点的IP地址。路由器1通过对引流路由信息进行学习，从而将学习到的路由添加到自身的路由表中，并将被保护流量对应的下一跳确定为清洗设备。在路由器1获得被保护流量时，路由器1根据最长匹配原则，从自身路由表中确定出与被保护流量的目的IP地址匹配位数最长的到达清洗设备的路由为下一跳路由，并将被保护流量发送给清洗设备，这便完成了将被保护流量引流到清洗设备的“引流过程”。清洗设备对被保护流量进行检查、清洗后，清洗设备通过与路由器2建立隧道连接，并将清洗后流量发送给路由器2，其中，清洗后流量的目的IP地址与清洗之前流量的目的IP地址相同（同为被保护节点的IP地址）。路由器2根据最长匹配原则，从自身的路由表中确定与清洗后流量的目的IP地址匹配位数最长的到达被保护节点的路由为下一跳路由，并将清洗后流量发送给被保护节点，这便完成了将清洗后流量回注到被保护节点的“回注过程”。

但，现有技术中的清洗设备只能应用于图1所示的被保护节点通过CE路由器连接到互联网的场景中，解决如何防御来自于互联网中的攻击的问题。然而，在包含多个CE路由器的MPLS VPN（Multi-Protocol Label Switching Virtual Private Network，多协议标签交换虚拟专用网络）的场景中，采用上述清洗过程无法实现正常的流量回注过程，因此导致在MPLS VPN场景中无法有效对攻击流量进行防御。

发明内容

本申请实施例通过提供一种发送引流路由信息的方法及清洗设备，解决了采用现有流量清洗方案在MPLS VPN场景中无法有效对攻击流量进行防御的问题。

第一方面，提供一种发送引流路由信息的方法，应用于多协议标签交换MPLS虚拟专用网络VPN中的清洗设备中，所述MPLS VPN还包括至少两个客户边缘CE路由器，所述清洗设备与每个所述CE路由器存在外部边界网关协议EBGP邻居关系；所述方法包括：

所述清洗设备生成引流路由信息，所述引流路由信息中携带自治系统AS号和被保护节点的IP地址，所述AS号是所述被保护节点所属网段连接的第一CE路由器的AS号；