[发明专利]处理器的防护方法和设备

说明书

技术领域

本发明实施例涉及网络通信领域，并且更具体地，涉及处理器的防护方法和设备。

背景技术

ICMP(Internet Control Message Protocol，因特网控制消息协议)是TCP（Transmission Control Protocol，传输控制协议）/IP（Internet Protocol，因特网协议）协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

很多常用的工具基于ICMP消息。例如，Traceroute（路由追踪）命令是通过发送包含有特殊TTL（Time To Live，生存时间）的报文、然后接收ICMP超时消息和目标不可达消息来实现的。Ping（Packet Internet Groper，因特网报文探索器）是用ICMP的"Echo request"（回显请求）和"Echo reply"（回显应答）消息来实现的。

ICMP是一种无连接的协议，ICMP报文流量在网络上没有规律，可能某段时间出现大量ICMP报文，而其他时间则ICMP报文很少。ICMP报文常常被利用来攻击网络设备，例如进行DoS（Denial of Service，拒绝服务）攻击，因此ICMP协议对于网络安全具有极其重要的意义。

网络设备需要处理目的地址（destination address）是本机的ICMP报文，将其上送本机CPU（Central Processing Unit，中央处理单元）的软件协议栈。本机CPU的处理能力是有限的，当需要处理的ICMP报文远远超过协议栈处理能力时，会导致CPU的过载，甚至最终导致设备的瘫痪。

因此，需要针对ICMP报文的CPU防护机制。

发明内容

本发明实施例提供一种处理器的防护方法和设备，能够灵活地防护ICMP报文对处理器的冲击。

第一方面，提供了一种处理器的防护方法，包括：确定网络设备中转发单元向处理器发送ICMP报文的传输速率；根据所确定的传输速率，控制所述转发单元向处理器发送ICMP报文的传输速率的上限。

结合第一方面，在一种实现方式中，所述根据所确定的传输速率，控制所述转发单元向处理器发送ICMP报文的传输速率的上限，包括：根据所确定的传输速率，将所述传输速率的上限设置为预定的多个限速值之一。

结合第一方面及其上述实现方式，在另一种实现方式中，该方法还包括：确定所述处理器的占用率。所述根据所确定的传输速率，将所述传输速率的上限设置为预定的多个限速值之一，包括：根据所确定的传输速率和所确定的处理器的占用率，将所述传输速率的上限设置为所述多个限速值之一。

结合第一方面及其上述实现方式，在另一种实现方式中，所述根据所确定的传输速率和所确定的处理器的占用率，将所述传输速率的上限设置为所述多个限速值之一，包括：在所述处理器的占用率低于第一阈值且所述传输速率等于当前限速值时，或者在所述处理器的占用率低于第一阈值且所述传输速率与当前限速值的比值大于或等于R1时，将所述传输速率的上限设置为所述多个限速值中比当前限速值高一级的限速值，其中R1大于0且小于1。

结合第一方面及其上述实现方式，在另一种实现方式中，所述将所述传输速率的上限设置为预定的多个限速值之一，还包括：在所述处理器的占用率高于第二阈值时，将所述传输速率的上限设置为所述多个限速值中的最小限速值。

结合第一方面及其上述实现方式，在另一种实现方式中，所述根据所确定的传输速率，将所述传输速率的上限设置为预定的多个限速值之一，包括：在所述传输速率等于所述多个限速值中比当前限速值低一级的限速值时，或者在所述传输速率与所述多个限速值中比当前限速值低一级的限速值的比值小于或等于R2时，将所述传输速率的上限调整为所述多个限速值中比当前限速值低一级的限速值，其中R2大于0且小于1。

结合第一方面及其上述实现方式，在另一种实现方式中，在所述确定网络设备中转发单元向处理器发送ICMP报文的传输速率之前，还包括：将所述传输速率的上限设置为默认限速值，其中所述默认限速值为所述多个限速值中的最小限速值。

第二方面，提供了一种处理器的防护设备，包括：确定单元，用于确定网络设备中转发单元向处理器发送因特网控制消息协议ICMP报文的传输速率；控制单元，用于根据所述确定单元所确定的传输速率，控制所述转发单元向处理器发送ICMP报文的传输速率的上限。