[发明专利]基于标识分离映射网络的映射缓存DoS攻击防御方法

摘要

基于标识分离映射网络的映射缓存DoS攻击防御方法，在映射缓存中设置两个门限，当映射缓存中映射信息条目数达到门限1时，接入交换路由器触发迷题机制减缓映射缓存中映射信息条目的增加速率；当映射缓存中映射信息条目数达到门限2时，接入交换路由器计算映射信息的可信度判别和过滤恶意的映射信息。本发明可保障合法用户通信的不间断性，能够识别和过滤映射缓存中恶意的映射信息，利用迷题机制和映射信息的可信度算法，抵御了可能存在的映射缓存DoS攻击，提高了标识分离映射网络的安全可靠性。

主权项

基于标识分离映射网络的映射缓存DoS攻击防御方法，其特征在于，包括下列步骤：1)当接入交换路由器收到用户终端发送来的数据包后，若其映射缓存中没有数据包目的地址的映射信息时，接入交换路由器向映射服务器查询相应的映射信息，同时将映射信息存储至映射缓存中，并设定计时器；2)当映射缓存中的映射信息条目数增加至门限1后，接入交换路由器触发迷题机制，针对用户终端发送的映射缓存中不存在其映射信息的每个新数据包，接入交换路由器利用迷题算法构造唯一的迷题，将迷题发送给此用户终端；3)用户终端收到接入交换路由器发送的迷题后，利用适当的CPU时间查找迷题的答案，并将迷题的答案发送给接入交换路由器；4)接入交换路由器收到用户终端发送的答案后，验证答案的正确性，若正确，则接入交换路由器查询之前数据包目的地址的映射信息；若不正确，则接入交换路由器简单丢弃之前的数据包；5)当映射缓存中的映射信息条目增加至大于门限1的门限2之后，接入交换路由器计算属于同一用户终端的映射信息的可信度值，若映射信息的可信度值小于设定的限制值，则接入交换路由器删除掉映射缓存中此用户终端的所有映射信息条目，并过滤掉此用户终端之后所有的数据包。