[发明专利]SDN控制器、路由/交换设备及网络防御方法

权利要求书

1.一种SDN控制器，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，其特征在于，所述SDN控制器包括：

建立模块，用于建立合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表并送至所述路由/交换设备储存；

流表生成模块，用于在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略；

所述过滤策略包括：

在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；

若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；

若在所属合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；

若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；

若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；

判断所述目的IP地址的TCP半连接数是否达到预设阈值；

若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；

若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；

若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；

若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。

2.根据权利要求1所述的SDN控制器，其特征在于，所述SYN加ACK报文包含根据所述SYN请求报文的四元组信息生成的加密信息；所述反馈ACK是通过解密所述加密信息而生成的，以证明所述客户端合法。

3.根据权利要求1所述的SDN控制器，其特征在于，所述非法TCP半连接表中的条目具有老化时间；所述增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文，包括：

在所述非法TCP半连接表中找到最老的条目，产生对应的RST并发送给所述服务器端；

生成对应所述SYN请求报文的条目来替换所述最老条目。

4.根据权利要求1所述的SDN控制器，其特征在于，所述过滤策略包括：

在所述入口路由器收到RST或FIN报文时，根据所述RST或FIN报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；

若在所述合法TCP连接表中匹配，则从所述合法TCP连接表中删除所述RST或FIN报文的相关条目。