[发明专利]一种会话表项处理方法、装置、防火墙设备及存储介质

说明书

本申请实施例提供了一种会话表项处理方法及装置，应用于防火墙设备，方法包括：每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；如果存在所述第一会话表项，则判断所述第一会话表项对应的连接是否为非法连接；如果是非法连接，则检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；如果不大于所述第二阈值，则删除所述第一会话表项。应用本申请实施例，能够快速释放非法连接对应的会话表项占用的内存，降低对业务处理效率的影响。

技术领域

本申请涉及通信技术领域，特别是涉及一种会话表项处理方法、装置、防火墙设备及存储介质。

背景技术

Flood攻击是一种利用TCP(Transmission Control Protocol，传输控制协议)缺陷，发送大量伪造的TCP连接请求(如SYN(Synchronize，同步)报文、ACK(Acknowledgment，确认)报文)，使得被攻击方资源耗尽的攻击方式。

如图1所示组网，包括客户端100、防火墙设备200、服务器300；客户端100在与服务器300进行通信前，需要与服务器300建立连接。具体的：1、客户端100基于TCP通过防火墙设备200向服务器300发送SYN报文；2、服务器300接收到SYN报文后，通过防火墙设备200向客户端100发送SYN/ACK报文；3、客户端100在接收到SYN/ACK报文后，通过防火墙设备200向服务器300发送ACK报文；4、服务器300接收到ACK报文后，客户端100与服务器300间连接建立完成。

其中，客户端100向服务器300发送的报文称为正向报文，如上述SYN报文、ACK报文；服务器300向客户端100发送的报文称为反向报文，如上述SYN/ACK报文。

实际应用中，防火墙设备200在接收到SYN报文或ACK报文后，除将接收到的报文转发给服务器建立连接外，还会建立包括接收到的报文的源IP(Internet Protocol，网络协议)地址的会话表项，该会话表项与上述连接对应，当接收到与会话表项匹配的报文时，通过上述连接将报文发送给客户端100或服务器300。基于该原理，当组网受到Flood攻击(如SYN Flood攻击，即同步泛滥攻击)时，防火墙设备200会接收到大量的SYN报文和/或ACK报文，建立大量非法连接对应的会话表项，这些非法连接对应的会话表项将占用防火墙设备200的大量内存，影响防火墙设备200对业务的处理效率。

发明内容

本申请实施例的目的在于提供会话表项处理方法、装置、防火墙设备及存储介质，以快速释放非法连接对应的会话表项占用的内存，降低对业务处理效率的影响。具体技术方案如下：

一方面，本申请实施例公开了一种会话表项处理方法，应用于防火墙设备，所述方法包括：

每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；

如果存在所述第一会话表项，则判断所述第一会话表项对应的连接是否为非法连接；

如果是非法连接，则检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；

如果不大于所述第二阈值，则删除所述第一会话表项。

二方面，本申请实施例公开了一种会话表项处理装置，应用于防火墙设备，所述装置包括：

第一检测单元，用于每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；

判断单元，用于在所述第一检测单元的检测结果为是时，判断所述第一会话表项对应的连接是否为非法连接；