[发明专利]一种基于动态隧道技术实现DDoS防御的方法及系统

说明书

本发明提供了一种基于动态隧道技术实现DDoS防御的方法，包括：访问终端向服务控制器发送隧道候选请求消息；服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接。本发明还提供了一种基于动态隧道技术实现DDoS防御的系统，包括：访问终端、服务控制器、资源控制器及多个隧道网关。本发明在实现安全防御攻击的同时，也能够减少链路的冗余，保证核心业务的可靠性。

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种基于动态隧道技术实现DDoS防御的方法及系统。

背景技术

分布式拒绝服务(Distributed Denial of Service，简称DDoS)，是网络中一种常见的攻击行为，具体指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。而由于攻击源不确定，攻击发生时流量过大，会导致业务的服务不可达。

现有技术中，常见的DDoS防御有如下两者方式：(1)设备清洗：通过流量清洗设备进行清洗，一般部署于数据中心或者业务系统的入口点；(2)DNS接管清洗：将需要保护的域名指向统一清洗中心，由统一清洗中心进行统一清洗。

上述的DDoS防御的方式已经被广泛使用，但也存在如下缺陷：(1)设备清洗：需要专业安全设备，并具备充足的带宽资源。对于投入大量资源的数据中心或者业务系统，无法抵御流量较大的攻击；(2)DNS接管清洗：这种方式投入成本较少，但所能清洗的业务一般都是http，而且因为流量经过第三方，对于敏感业务不适合。

发明内容

针对现有技术通过安全设备进行清洗和DNS接管清洗的方式的缺陷，本发明提供了一种基于动态隧道技术实现DDoS防御的方法及系统。

第一方面，本发明提供了一种基于动态隧道技术实现DDoS防御的方法，该方法包括：

访问终端向服务控制器发送隧道候选请求消息，所述隧道候选请求消息包括所述访问终端的属性及预设的优先级规则；

服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关；

访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接。

优选地，所述访问终端向服务控制器发送隧道候选请求消息的步骤之前，该方法还包括：

资源控制器根据多种优先级规则，建立多个按序排列的候选隧道网关列表。

优选地，所述服务控制器接收到所述隧道候选请求消息后，根据所述访问终端的属性向所述访问终端反馈按预设的优先级规则排序多个候选隧道网关，包括：

服务控制器接收到访问终端的到所述隧道候选请求消息后，对所述访问终端进行身份验证；

若所述访问终端的身份验证通过，则服务控制器向资源控制器发送所述隧道候选请求消息，以使所述资源控制器反馈按预设的优先级规则排序多个候选隧道网关；

服务控制器向访问终端发送所述多个候选隧道网关。

优选地，所述访问终端根据所述多个候选隧道网关的排序，从接收的所述多个候选隧道网关中选择一个隧道网关，并通过该隧道网关与访问对象建立连接，包括：

访问终端根据所述多个候选隧道网关的排序，从接收到的多个候选隧道网关中选择一个隧道网关，并向该隧道网关发送连接请求消息；