[发明专利]一种可扩展的DDoS防御方法及系统

说明书

本发明公开了一种用于实现可扩展的DDoS防御方法，该方法应用于DDoS防御系统，DDoS防御系统包括通过路由控制的接入交换机、核心交换机和清洗服务器，方法包括：为接入交换机和核心交换机部署SRv6；设置SRv6的压缩路由网段，为接入交换机和所述核心交换机的多个端口配置sid号和SRv6表项。根据本发明的另一个方面，还公开了可扩展的DDoS防御方法及系统，能够通过核心交换机和接入交换机使用的SRv6技术，给相应的接口编上sid号，从而实现集中控制所有路由，在新增其他防御设备时，减少重复工作量。

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种可扩展的DDoS防御方法及系统。

背景技术

DDoS（Distributed Denial of Service，分布式拒绝服务攻击）是指攻击者通过控制网络中大量的设备向目标发送大流量数据，耗尽目标的资源，导致其无法正常的响应服务请求。由于网络协议缺乏安全考虑和它的开放性，使得DDOS攻击形式多样，在网络层、传输层、应用层都出现了各种各样的DDOS攻击手段，特别是近年来，DDOS攻击的趋势是攻击手段越来越多样，流量越来越大。

为了应对DDOS的攻击，通常采用目的地址、下一跳的路由方式、网络集群部署等方式进行应对。但是通过这种方式所部署的防御功能系统工作量大、变更复杂，且只适用于二层网络，集群规模有限，扩展性差。

发明内容

本发明所要解决的技术问题在于，提供一种可扩展的DDoS防御方法，能够通过核心交换机和接入交换机使用的SRv6技术，给相应的接口编上sid号，从而实现集中控制所有路由，而且SRv6实际上是一种隧道技术，支持三层部署，解决了扩展性问题，在新增其他防御设备时，减少重复工作量。

为了解决上述技术问题，本发明第一方面公开了一种用于实现可扩展的DDoS防御方法，所述方法应用于DDoS防御系统，所述DDoS防御系统包括通过路由控制的接入交换机、核心交换机和清洗服务器，所述方法包括：为接入交换机和核心交换机部署SRv6；设置所述SRv6的压缩路由网段，为所述接入交换机和所述核心交换机的多个端口配置sid号和SRv6表项。

在一些实施方式中，DDoS防御系统还包括硬件清洗机，所述方法包括：为硬件清洗机部署SRv6；为所述硬件清洗机的端口配置sid号和SRv6表项。

本发明第二方面公开了一种可扩展的DDoS防御方法，所述方法应用于DDoS防御系统，所述DDoS防御系统包括通过路由控制的接入交换机、核心交换机和清洗服务器，所述方法包括：检测当前是否存在攻击流量；当存在攻击流量时，基于负载均衡算法计算路由与清洗服务器对应的接入交换机端口的sid号；获取所述攻击流量所对应的被攻击IP，下发所述被攻击IP的SRv6路由至所述核心交换机；所述核心交换机在报文的二层头后封装IPv6头并设置目的地址，并根据设置的压缩路由网段将报文发送至接入交换机；所述接入交换机根据设置的压缩路由网段将报文发送至所述接入交换机对应的端口，并剥掉封装的IPv6头；所述清洗服务器通过对应的接入交换机端口接收报文进行攻击流量的数据清洗。

在一些实施方式中，防御系统还包括硬件清洗机，其中，所述硬件清洗机部署了SRv6，所述核心交换机在报文的二层头后封装IPv6头并设置目的地址，并根据设置的压缩路由网段将报文发送至接入交换机，之后还包括：所述接入交换机根据设置的压缩路由网段将报文发送至所述接入交换机对应的端口并对目的IP进行更改；硬件清洗机根据设置的压缩路由网段将报文发送至所述硬件清洗机对应的端口并对目的IP进行更改；所述接入交换机根据设置的压缩路由网段将报文发送至所述接入交换机对应的端口，并剥掉封装的IPv6头；所述清洗服务器通过对应的接入交换机端口接收报文进行攻击流量的数据清洗。