[发明专利]SDN控制器、路由/交换设备及网络防御方法

摘要

本发明提供一种SDN控制器、路由/交换设备及网络防御方法，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，本发明在所述SDN控制器建立并储存合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表；在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略；本发明采用了SDN架构，能够感知攻击者的位置，并可准确归类攻击报文。

主权项

一种SDN控制器，应用于包括客户端、服务器端、及连接所述客户端及服务器端间的路由/交换设备的网络中，其特征在于，所述SDN控制器包括：建立模块，用于建立合法TCP连接表、非法TCP半连接表和非法TCP半连接数目表并送至所述路由/交换设备储存；流表生成模块，用于在所述网络受到攻击时，生成含有过滤动作类型的流表并下发至所述攻击者所在入口路由/交换设备，以控制所述路由/交换设备据以执行对应的过滤策略；所述过滤策略包括：在所述入口路由/交换设备接收到来自客户端的SYN请求报文时，根据所述SYN请求报文的四元组信息在所述合法TCP连接表中进行匹配，其中，所述四元组信息包括：源IP地址、源TCP端口、目的IP地址和目的TCP端口；若在所述合法TCP连接表中匹配，则转发所述SYN请求报文；若在所属合法TCP连接表中不能匹配，则将所述四元组信息在所述非法TCP半连接表中匹配；若在所述非法TCP半连接表中匹配，则丢弃该SYN请求报文并更新所述非法TCP半连接表；若在所述非法TCP半连接表中不能匹配，则根据四元组信息中的目的IP地址在所述非法TCP半连接数目表中查找对应的TCP半连接数；判断所述目的IP地址的TCP半连接数是否达到预设阈值；若达到所述预设阈值，则增加所述SYN请求报文对应条目至所述非法TCP半连接表，并将此目的IP地址的TCP半连接数加1，并向所述服务器转发所述SYN请求报文；在入口路由/交换设备收到所述SYN请求报文的ACK报文时，转发所述ACK报文，并将所述增加条目从所述非法TCP半连接表移至合法TCP连接表，并将此目的IP地址的TCP半连接数减1；若未达到所述预设阈值，则丢弃所述SYN请求报文，向所述客户端发送SYN加ACK报文，并检查客户端是否反馈ACK报文；若所述客户端有反馈ACK报文，则增加对应所述SYN请求报文的条目至所述合法TCP连接表，并向所述客户端发送RST报文；若所述客户端未反馈ACK报文，则增加对应所述SYN请求报文的条目至所述非法TCP半连接表，并向所述服务器端发送相关的RST报文。