[发明专利]网络攻击防御系统、方法、SDN控制器、路由器、设备及介质

权利要求书

1.一种网络攻击防御系统，其特征在于，包括：

SDN控制器，与路由器连接，用于：

接收并根据被攻击目标的流量数据，生成BGP flowspec策略路由，将BGP flowspec策略路由发送至路由器，所述BGP flowspec策略路由用于对被攻击目标的流量数据进行汇聚；

在被攻击目标的流量数据汇聚完后，生成BGP flowspec VPN路由，将BGP flowspecVPN路由发送至路由器，所述BGP flowspec VPN路由用于对汇聚后的被攻击目标的流量数据进行限速；

路由器用于：

在接收到BGP flowspec策略路由后，将被攻击目标的流量数据汇聚到自环线内；其中，所述自环线包括自环线入口和自环线出口，自环线入口为全局地址，自环线出口在VPN中；

在接收到BGP flowspec VPN路由后，根据BGP flowspec VPN路由，对汇聚后的被攻击目标的流量数据进行限速；

将限速后的被攻击目标的流量数据发送至被攻击目标。

2.如权利要求1所述的网络攻击防御系统，其特征在于，还包括流量监控设备，用于：

在监测到网络攻击时，采集被攻击目标的流量数据；

将被攻击目标的流量数据发送至SDN控制器。

3.如权利要求1所述的网络攻击防御系统，其特征在于，SDN控制器还用于：

在生成BGP flowspec策略路由之前，根据预设配置信息，建立与路由器之间的BGP邻居关系。

4.如权利要求3所述的网络攻击防御系统，其特征在于，SDN控制器具体用于：

根据预设配置信息，向路由器发送BGP flowspec路由，建立与路由器之间的BGP邻居关系。

5.如权利要求1所述的网络攻击防御系统，其特征在于，SDN控制器具体用于：

根据与SDN控制器对接的BSS，获得预先配置的流量速率；

根据预先配置的流量速率，生成BGP flowspec VPN路由。

6.如权利要求5所述的网络攻击防御系统，其特征在于，SDN控制器具体用于：

在VPN获取到路由器所在区域的域内路由后，根据路由器所在区域的域内路由和预先配置的流量速率，生成BGP flowspec VPN路由。

7.如权利要求1所述的网络攻击防御系统，其特征在于，路由器具体用于：

将限速后的被攻击目标的流量数据发送至所述路由器的下一级设备，所述路由器的下一级设备将限速后的被攻击目标的流量数据发送至被攻击目标。

8.如权利要求1所述的网络攻击防御系统，其特征在于，被攻击目标的流量数据包括所有流入被攻击目标的DDOS流量和/或非DDOS流量。

9.一种SDN控制器，其特征在于，包括：

BGP flowspec策略路由生成模块，用于接收并根据被攻击目标的流量数据，生成BGPflowspec策略路由，将BGP flowspec策略路由发送至路由器，所述路由器在接收到BGPflowspec策略路由后，将被攻击目标的流量数据汇聚到自环线内；其中，所述自环线包括自环线入口和自环线出口，自环线入口为全局地址，自环线出口在VPN中；

BGP flowspec VPN路由生成模块，用于在被攻击目标的流量数据汇聚完后，生成BGPflowspec VPN路由，将BGP flowspec VPN路由发送至路由器，所述路由器在接收到BGPflowspec VPN路由后，根据BGP flowspec VPN路由，对汇聚后的被攻击目标的流量数据进行限速并将限速后的被攻击目标的流量数据发送至被攻击目标。