[发明专利]用于网络的防御方法及系统

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种用于网络的防御方法及系统。

背景技术

随着通信技术和网络技术的快速发展，网络信息安全问题显得越来越突出。在通常情况下，网络服务器是使用通用路由封装（Generic Routing Encapsulation，GRE）等虚拟专用网络（Virtual Private NETwork，VPN）隧道对报文进行封装传送，而GRE不对报文进行加密，只对报文的IP头进行封装，因此利用GRE隧道对报文进行传送，带宽大能耗小，但安全性能低，传送的数据容易被黑客窃听。

互联网协议安全性（IPSec，Internet Protocol Security）技术是一种解决信息安全问题的有效途径。其通过在网络路由设备上配置IPSec业务而加密信息，并建立安全的传输通道，使得信息在网络传输过程中安全可靠，但IPSec隧道需要对报文进行整体加密，因此带宽会降低，能耗大。

发明内容

（一）解决的技术问题

本发明解决了只用GRE隧道安全性能低，而只用IPSec隧道能耗高的技术问题。

（二）技术方案

本发明提供一种用于网络的防御方法，所述方法包括：

A、网络服务器接收网络报警系统的报警信号，所述报警信号中携带需要受保护的流量数据；

B、网络服务器向各个网关设备发送IPSec隧道激活消息和所述流量数据，所述隧道激活消息用于使网关设备激活IPSec隧道；

C、网关设备接收到网络服务器发送的IPSec隧道激活消息和所述流量数据，对所述流量数据所匹配隧道进行检测；

D、若检测到所述匹配隧道存在异常，则为所述流量数据建立相应的IPSec隧道，使存在异常的隧道切换到IPSec隧道，并将所述流量数据在相应的IPSec隧道上进行传送。

优选地，在步骤A之前包括：

A0、入侵预防系统对网络进行实时检测，当检测到网络异常时，向网络报警系统发送网络异常信号；

或，

A0’、人工主动触发报警，入侵预防系统向网络报警系统发送网络异常信号；

A1、网络报警系统接收到入侵预防系统发送的网络异常信号后，向网络服务器发送报警信号。

优选地，在步骤B之前包括：

网关设备向网络服务器进行注册，使得网络服务器获得网关设备的IP地址。

优选地，在步骤C之前包括：

网关设备使用GRE隧道对报文进行传送，所述报文包括所述流量数据。

优选地，在步骤C之后包括：

当网关设备接收到网络服务器发送的隧道安全信息后，网关设备将所述IPSec隧道切换为GRE隧道。

本发明提供一种网络防御系统，所述系统包括：

入侵预防系统，用于提供入侵防御与监测，检测网络是否被攻击；

网络报警系统，用于当入侵预防系统检测到网络异常时，向网络服务器发送报警信号；

网络服务器，用于当接收到报警信号后向网关设备发送IPSec隧道激活消息和需要受保护的流量数据；

网关设备，用于当接收到网络服务器发送的所述IPSec隧道激活消息和所述流量数据后，对所述流量数据所匹配隧道进行检测，若检测到所述匹配隧道存在异常，则所述流量数据建立相应的IPSec隧道，使存在异常的隧道切换到IPSec隧道，并将所述流量数据在相应的IPSec隧道上进行传送。

（三）有益效果

本发明通过对GRE隧道和IPSec隧道的切换，使得在网络安全时使用GRE隧道对报文进行传送，在网络异常时使用IPSec隧道对报文进行传送，使得报文在传送给网关设备的过程中安全性能高，能耗小。

附图说明

图1为本发明提出的一种用于网络的防御方法流程图；

图2为本发明提出的一种网络防御系统结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

当前有许多自动监测网络攻击的设备，如入侵预防系统（Intrusion Prevention System，Ips）设备等，此类设备可提供入侵防御与监测功能，主动发现网络被攻击等情况。本发明与此入侵预防系统结合，当发现网络受到攻击时，可通知网关等设备启用IPSec功能，来保护重要的数据。具体地，本发明提出了一种用于网络的防御方法，参见图1，所述方法包括：