[发明专利]出口网关内缓存队列饱和攻击防御方法、装置及系统

摘要

本发明公开了一种出口网关内缓存队列饱和攻击防御方法、设备及系统，属于网络安全领域。所述方法包括：接收终端发送的数据包；当数据包静态流表与动态流表中的流表项均不匹配时，则将该数据包发送至中心控制器；根据中心控制器反馈的流表项转发该数据包。本发明解决了当恶意用户发送大量目的地不同且携带较大载荷的数据包时，很容易造成缓存队列溢出，使得整个SDN网络过饱和的问题；达到了使常用数据包的匹配直接在出口网关中进行，而无须加入发送至中心控制器的缓存队列中，避免移动网络遭到非法终端的网络攻击时，由于出口网关突然接收到大量目的地不同的数据包，而造成缓存队列溢出的效果。

主权项

1.一种出口网关内缓存队列饱和攻击防御方法，其特征在于，应用于出口网关中，所述出口网关用于连接移动网络与软件定义网络，所述方法包括：接收终端发送的数据包，将所述数据包与所述出口网关中存储的静态流表进行匹配，所述静态流表中每条流表项是中心控制器根据确定出的常用服务器的地址生成的；当所述数据包与所述静态流表中的流表项均不匹配时，将所述数据包与所述出口网关中存储的动态流表进行匹配，所述动态流表中每条流表项均是所述出口网关在判定接收到的所述数据包与存储的流表项均不匹配时上报给所述中心控制器，由所述中心控制器获取并反馈的与所述数据包中的目标地址对应的流表项；当所述数据包与所述动态流表中的流表项均不匹配时，则将所述数据包发送至所述中心控制器，所述数据包用于触发所述中心控制器根据所述数据包获取并反馈与所述数据包内目标地址对应的流表项；接收所述中心控制器反馈的所述流表项，根据所述流表项转发所述数据包；当所述出口网关的缓存队列中数据包的容量与所述缓存队列的总容量的比值达到预定比值阈值时，则将所述缓存队列中所有数据包的包头和载荷进行拆分，丢弃拆分后得到的载荷，所述缓存队列中用于存储所述出口网关接收到的且与所述静态流表和所述动态流表均不匹配的数据包；向所述中心控制器发送预警信息，所述预警信息中携带有拆分后得到的包头，所述预警信息用于触发所述中心控制器根据所述包头，分析所述终端是否为非法终端。