[发明专利]一种基于动态隧道技术实现DDoS防御的方法及系统

权利要求书

1.一种基于动态隧道技术实现DDoS防御的方法，其特征在于，该方法包括：

访问终端向服务控制器发送隧道候选请求消息，所述隧道候选请求消息包括所述访问终端的属性及预设的优先级规则；

服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；

访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接；

访问终端检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关；

若访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，所述访问终端根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

2.根据权利要求1所述的方法，其特征在于，所述访问终端向服务控制器发送隧道候选请求消息的步骤之前，该方法还包括：

资源控制器根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

3.根据权利要求2所述的方法，其特征在于，所述服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关，包括：

服务控制器接收到访问终端发送的所述隧道候选请求消息后，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则服务控制器向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

服务控制器向访问终端发送所述多个候选隧道网关。

4.根据权利要求1所述的方法，其特征在于，所述访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接，包括：

访问终端根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

所述隧道网关接收到所述连接请求消息后，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述访问终端建立隧道起点，并在所述隧道网关建立隧道终点；

通过所述访问终端和所述隧道网关之间的隧道，所述访问终端与访问对象建立连接。

5.一种基于动态隧道技术实现DDoS防御的系统，其特征在于，该系统包括：访问终端、服务控制器及多个隧道网关；

访问终端，与所述服务控制器及多个隧道网关分别连接，用于向服务控制器发送隧道候选请求消息；根据多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过和所述隧道网关之间的隧道，与访问对象建立连接；

服务控制器，用于当接收到所述隧道候选请求消息时，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；

所述访问终端，还用于检测所述隧道的服务质量，若所述服务质量下降，则自动或提示用户切换至另一个候选隧道网关；

所述访问终端，还用于若访问终端与访问对象的连接中断，或接收到用户的切换隧道指示消息时，所述访问终端根据所述多个候选隧道网关的排序，向另一个隧道网关发送连接请求。

6.根据权利要求5所述的系统，其特征在于，该系统还包括：

资源控制器，与所述服务控制器及多个隧道网关分别连接，用于根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

7.根据权利要求6所述的系统，其特征在于，服务控制器，用于：

接收到访问终端发送的所述隧道候选请求消息时，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

向访问终端发送所述多个候选隧道网关。

8.根据权利要求5所述的系统，其特征在于，

所述访问终端，用于根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；

所述隧道网关，用于当接收到所述连接请求消息时，对所述访问终端进行身份验证，若所述访问终端身份验证通过，则在所述隧道网关建立隧道终点；

所述访问终端，还用于在所述访问终端建立隧道起点，并通过所述访问终端和所述隧道网关之间的隧道，与访问对象建立连接。