CN102195843A - 一种流量控制系统和方法 - Google Patents

Abstract

本发明提供了一种流量控制系统和方法。该系统包括流量标记设备、分流路由器和清洗设备；所述流量标记设备，从当前流量中识别出异常流量，标识该异常流量；所述分流路由器，将标识的异常流量路由至清洗设备；所述清洗设备，对异常流量进行清洗。应用本发明能够对异常流量进行清洗并减小清洗设备的资源压力。

Description

一种流量控制系统和方法

技术领域

本发明涉及通信技术领域，尤其涉及一种流量控制系统和方法。

背景技术

在通信系统中，除了正常的业务流量外，还可能会有恶意攻击等异常流量，如何进行异常流量控制是各种通信系统普遍面临的问题。

目前，进行异常流量控制的方案主要有两种，具体请参见图1和2。

图1是目前的第一异常流量控制系统结构图。

如图1所示，该第一异常流量控制系统包括检测设备(DFI或DPI)101、路由器102和清洗设备103。

其中的检测设备旁路部署在流量线路外，通过分光或镜像方式发现异常流量，再通过带外方式通知清洗设备牵引受攻击设备的全部流量，由清洗设备对受攻击设备的全部流量进行清洗。

清洗设备牵引受攻击设备的全部流量的方法有三种：方法一，清洗设备建立BGP邻居，并广播主机路由使得路由器重新计算路由表项，更改原路由路径使得受攻击设备的全部流量流入清洗设备；方法二，检测设备或者清洗设备更改清洗设备所接入的路由器策略路由，使得受攻击设备的全部流量依照该策略流入清洗设备；方法三，检测设备或清洗设备更改清洗设备所接入的路由器策略路由，使得受攻击设备的全部流量进入黑洞路由，从而丢弃受攻击设备的全部流量。

图2是目前的第二异常流量控制系统结构图。

如图2所示，该第二异常流量控制系统包括路由器201、清洗设备202和管理服务器203。

其中的清洗设备202串联在路由器201和管理服务器203之间，即清洗设备202串入部署在流量线路上，所有流量都经过清洗设备202，由清洗设备203从当前的所有流量中检测出异常流量，根据管理服务器203中的策略对异常流量进行全包清洗。

由上述方案可见，第一异常流量控制系统需要对受攻击设备的全部流量进行清洗，这一方面会使得受攻击设备中的正常流量占用清洗设备的清洗资源，加大清洗设备的清洗资源压力，另一方面，由于异常流量控制系统根据流量的目的地址识别受攻击设备的全部流量，清洗后流量的目的地址不变，因此异常流量所流经的各个层面的清洗设备都会对异常流量进行清洗，这会引起二次清洗甚至多次清洗的问题。

第二异常流量控制系统中，所有流量都要经过检测设备和清洗设备，这会对正常流量造成延迟，影响服务质量。

发明内容

有鉴于此，本发明实施例的目的在于提供一种流量控制系统和方法，以对异常流量进行清洗并减小清洗设备的资源压力。

为达到上述目的，本发明实施例的技术方案具体是这样实现的：

一种流量控制系统，该系统包括流量标记设备、分流路由器和清洗设备；

所述流量标记设备，从当前流量中识别出异常流量，标识该异常流量；

所述分流路由器，将标识的异常流量路由至清洗设备；

所述清洗设备，对异常流量进行清洗。

一种流量控制方法，该方法包括：

从当前流量中识别出异常流量，标识该异常流量；

将标识的异常流量路由至清洗设备；

清洗设备对异常流量进行清洗。

由上述技术方案可知，本发明通过从当前流量中识别出异常流量，标识该异常流量，仅将标识的异常流量路由至清洗设备，可以在清洗异常流量的同时减小对清洗设备的资源压力。

附图说明

图1是目前的第一异常流量控制系统结构图。

图2是目前的第二异常流量控制系统结构图。

图3是本发明提供的第一流量控制系统结构图。

图4是本发明提供的第二流量控制系统结构图。

图5是本发明提供的异常流量清洗方法流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

图3是本发明提供的第一流量控制系统结构图。

如图3所示，本发明提供的第一流量控制系统包括流量标记设备301、分流路由器302和清洗设备303。

流量标记设备301，从当前流量中识别出异常流量，标识该异常流量。

分流路由器302，将标识的异常流量路由至清洗设备303。

清洗设备303，对异常流量进行清洗。

通常，清洗设备303对异常流量进行清洗后，将清洗后流量所包含的流量标记删除，然后返回给分流路由器302，分流路由器302将该清洗后流量按照正常流量进行路由。

其中的流量标记设备301，可以预先设定基于不同应用和/或IP和/或端口等特征的流量基线，流量标记设备301首先识别当前流量的应用协议或IP地址或端口，然后在当前流量超过相应的流量基线时，判定当前流量为异常流量。

流量标记设备301可以通过在异常流量的数据包中设置标识字段来标识该数据包为异常流量数据包，相应地，分流路由器302通过识别所述标识字段从当前流量中识别出异常流量。

所述标识字段可以是数据报文中除应用数据以外的任何位置，一般为TOS字段或DSCP字段。

通过设置标识字段来标识异常流量，以及通过识别标识字段来识别出异常流量，可以避免对异常流量的全文数据包进行分析，节省了分流路由器302的计算资源。

流量标记设备301还可以根据当前流量超过流量基线的程度，即根据异常流量的规模和清洗设备的能力设置不同的标记用于标识由哪一清洗设备清洗该异常流量，相应地，清洗设备303清洗异常流量后，对用于标识该异常流量的标记进行更改。

通过对异常流量进行分级，并在清洗异常流量后更改异常流量标记，可以实现多级清洗。例如，将异常流量分为小规模、一般规模和大规模，小规模的异常流量由能力较小的接入层清洗设备就能完成，则可以在该小规模的异常流量的数据包中设置相应的标记，表示由接入层清洗设备进行清洗；大规模的异常流量需要由骨干网层的清洗设备、城域网层的清洗设备和接入层的清洗设备共同来清洗，则将该大规模的异常流量中的第一部分打入第一标记，表示由骨干网层的清洗设备来清洗，将该大规模的异常流量中的第二部分打入第二标记，表示由城域网层的清洗设备来清洗，将该大规模的异常流量中的剩余部分打入第三标记，表示由接入层的清洗设备来清洗，其中，只要属于同一链接的流量由同一清洗设备清洗即可。

通过这种对异常流量的分级清洗，可以提高异常流量清洗的效率。

对异常流量进行分级清洗时，通常采用3级清洗，即骨干级、省级或城域级和接入级，对于标记位数与清洗级数的对应公式如下：

2ⁱ-1＝j，其中，i表示标记位数，j表示可部署的最大级数。

以TOS预留位举例，如使用TOS预留位i＝2，可以满足最大三级清洗。当预留位为00时表示不清洗或已清洗过，11表示一级清洗，10表示2级清洗，01表示三级清洗。

其中的流量标记设备301，具备识别流量基线的模块，可以分析数据流的流量特征，但不必识别具体流量内容；还具备识别应用协议的模块，可以采用数据报文分析技术，仅分析数据流的首包即可，通过应用协议特征可以判断该数据流采用的应用协议内容；还具备根据对数据包进行标记的模块，该标记可以设置在数据报文除应用数据部分外的任何位置，一般设置在TOS字段或者DSCP字段中。

其中的分流路由器302，其作用是对标记的异常流量进行分流，即从当前的所有流量中根据所述标记区分出正常流量和异常流量，由于异常流量标记通常设置在头部字段中，因此分流路由器302通常具备对数据包头部字段进行识别的模块，通过对头部字段的识别区分出异常流量。

分流路由器302还可以根据异常流量的标记将异常流量路由至相应的清洗设备，例如将被标记的大规模异常流量路由至第一清洗设备，将被标记的一般规模异常流量路由至第二清洗设备，将被标记的小规模异常流量路由至第三清洗设备。

另外，分流路由器302还可以具备对特定端口流入的流量进行指定标记更改的模块，例如，将所述第一清洗设备发来的清洗后的流量标记为正常。优选地，对异常流量的标记进行更改的模块设置在清洗设备中，由清洗设备在清洗完异常流量后进行相应的更改，以简化分流路由器302的结构。

其中的清洗设备303，可以采用多种清洗策略进行异常流量清洗，例如采用下述方式的任意一种或多种组合进行异常流量清洗：

采用黑名单方式、或白名单方式、或进行源地址存在性判定、或进行拒绝服务攻击判定、或进行连接代理、或识别攻击特征、或对数据包内容进行过滤。这些方式均是现有技术，此处不赘述。

图4是本发明提供的第二流量控制系统结构图。

图4所示第二流量控制系统在图3所示第一流量控制系统基础上进一步包括了管理设备404。

管理设备404与流量标记设备301和清洗设备303相连，流量标记设备301根据管理设备404中的管理策略识别异常流量和标记异常流量，清洗设备303根据管理设备404中的清洗策略清洗异常流量。

异常流量标记设备301和清洗设备303还可以分别将异常流量标记情况和清洗情况上报给管理设备404。

可见，通过设置管理设备404，可以统一管理对异常流量的标记和清洗，还可以根据异常流量标记设备301和清洗设备303上报的标记情况和清洗情况生成相应的报表，便于后续同一管理或者改进清洗策略等。

图4中，异常流量标记设备301与管理设备404的通信以及清洗设备303和管理设备404的通信通常采用带外方式，异常流量标记设备301和分流路由器302之间一般采用1跳距离，但如果使用IP头部标记异常流量，则分流路由器302和异常流量标记设备301之间的距离可以大于1跳，但该距离受限于被标记的异常流量下一次经过的IP包封装设备，例如VPN起始点、Qos控制设备等。

图5是本发明提供的异常流量清洗方法流程图。

如图5所示，该方法包括：

步骤501，待检测流量流入异常流量标记设备DPI。

步骤502，DPI设备对该待检测流量进行业务识别，如果识别成功，则进入步骤503，否则执行步骤504。

步骤503，DPI设备对待检测流量进行基线判断，如果超过基线，执行步骤505，否则执行步骤507。

步骤504，丢弃或标记该待检测流量。

步骤505，DPI设备判断需要清洗的流量是否超过全网清洗能力，如果是，则丢弃，否则执行步骤506。

步骤506，DPI设备依策略标记后正常转发，进入步骤508。

步骤507，正常转发该流量。

步骤508，分流路由器进行标记判断，如果标记命中，则执行步骤509，否则执行步骤510。

本步骤中的标记命中是指根据标记确定将流量发给相应的清洗设备。

步骤509，清洗设备根据标记进行异常判断，如果判断出异常，则丢弃，否则执行步骤510。

步骤510，清洗设备或分流路由器进行标记置还为正常流量。

步骤511，分流路由器正常转发标记置还后的数据包。

由上述技术方案可见，本发明具有以下优点：

在检测效率上，可以降低一次对数据包的全包检测，在流量较大包数较多的网络中性能提高效果明显。

在流量调度上，本方案可以精确的调度流量，避免二次牵引，降低部署的复杂性，提高检测效率。

在扩容方面，如果需要在系统中添加新的清洗设备，或者更改清洗设备的清洗容量，只需要在检测设备中更改异常流量标记的模块即可，对系统更改较小，能够实现系统的平滑扩容，在性能出现瓶颈境况下，通过加入设备，控制标记达到扩容，避免割接。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (13)

1.一种流量控制系统，其特征在于，该系统包括流量标记设备、分流路由器和清洗设备；

所述流量标记设备，从当前流量中识别出异常流量，标识该异常流量；

所述分流路由器，将标识的异常流量路由至清洗设备；

所述清洗设备，对异常流量进行清洗。

2.根据权利要求1所述的系统，其特征在于，

所述流量标记设备，预先设定流量基线，在当前流量超过该流量基线时，将当前流量识别为异常流量。

3.根据权利要求2所述的系统，其特征在于，所述流量基线预先根据流量的应用协议、IP地址和端口中的一项或者两项以上设定；

所述流量标记设备，识别当前流量的应用协议或IP地址或端口，根据当前设定的流量基线，识别当前流量是否是异常流量。

4.根据权利要求1所述的系统，其特征在于，

所述流量标记设备，在异常流量的数据包中设置标识字段来标识该数据包为异常流量数据包；

所述分流路由器，通过识别所述标识字段从当前流量中识别出异常流量。

5.根据权利要求1所述的系统，其特征在于，

所述流量标记设备，根据异常流量的规模和清洗设备的能力，在该异常流量的数据包中设置不同的标记用于标识清洗该异常流量的清洗设备；

所述清洗设备，清洗异常流量，更改清洗后异常流量的标记。

6.根据权利要求1所述的系统，其特征在于，该系统进一步包括管理设备，所述管理设备与流量标记设备和清洗设备相连，

所述流量标记设备，根据所述管理设备中的管理策略识别异常流量和标记异常流量；

所述清洗设备，根据所述管理设备中的清洗策略清洗异常流量。

7.一种流量控制方法，其特征在于，该方法包括：

从当前流量中识别出异常流量，标识该异常流量；

将标识的异常流量路由至清洗设备；

清洗设备对异常流量进行清洗。

8.根据权利要求7所述的方法，其特征在于，所述从当前流量中识别出异常流量包括：

预先设定流量基线，在当前流量超过该流量基线时，将当前流量识别为异常流量。

9.根据权利要求8所述的方法，其特征在于，

所述流量基线预先根据流量的应用协议、IP地址和端口中的一项或者两项以上设定，识别当前流量的应用协议或IP地址或端口，根据当前设定的流量基线，识别当前流量是否是异常流量。

10.根据权利要求7所述的方法，其特征在于，所述标识该异常流量包括：

在异常流量的数据包中设置标识字段来标识该数据包为异常流量数据包。

11.根据权利要求10所述的方法，其特征在于，所述设置标识字段包括：

设置TOS字段或者设置DSCP字段；

从当前流量中识别出异常流量包括：

通过识别所述标识字段从当前流量中识别出异常流量。

12.根据权利要求8所述的方法，其特征在于，根据异常流量的规模和清洗设备的能力，在该异常流量的数据包中设置不同的标记用于标识清洗该异常流量的清洗设备。

13.根据权利要求12所述的方法，其特征在于，该方法进一步包括：

清洗设备清洗异常流量，更改清洗后异常流量的标记。

Images