[发明专利]一种SDN网络访问方法及系统

说明书

本发明提供一种SDN网络访问方法及系统。所述SDN网络访问方法包括：控制器接收到SYN报文；控制器保存所述SYN报文，并将所述SYN报文发送给所述服务器；控制器接收到所述服务器发送的所述SYN报文的响应报文，保存所述响应报文，发送所述响应报文给所述客户端，并开始在预设的时间内计时；如果在计时结束前，控制器收到所述响应报文的ACK回应报文，则结束所述计时，将所述ACK回应报文发送给所述服务器；如果直到计时结束，控制器也没有收到所述响应报文的ACK回应报文，则控制器利用保存的报文，构造RST报文，将所述RST报文发送给所述服务器。本发明的方案能够防御SYN Flood攻击。

技术领域

本发明涉及一种计算机网络技术，特别是涉及一种SDN网络访问方法及系统。

背景技术

SYN Flood(也可称为SYN洪泛，或同步泛滥)是一种DoS(Denial of Services，拒绝服务攻击)与DDoS(Distributed Denial of Services，分布式拒绝攻击)的方式之一，它利用了TCP/IP协议实现上的一个缺陷，通过伪造大量的SYN报文向服务器发起连接，由于这些SYN报文的源地址是不存在的地址，服务器无法收到其相应的应答报文，只有等待SYN超时才能释放相应的资源，从而使得服务器系统资源耗尽，导致正常用户无法访问。

目前，计算机网络中针对SYN Flood的防御方法有以下几种：一是服务器主机防御的方法，通过增加连接缓冲队列长度和缩短SYN超时时间来提高对攻击报文的处理能力。SYN超时时间是从接收到SYN报文到确定该报文无效并丢弃该连接的时间，缩短SYN超时时间，可以成倍的降低服务器的负荷。但如果攻击者发送足够多的SYN-Flood攻击报文，很容易使服务器达到服役极限，影响合法用户访问。二是规则过滤的方法，使用规则过滤掉被认为地址伪装的包，这会有效的遏制攻击流量。但该方式完全依赖于规则的定义，如果攻击者所伪造的地址是本子网的合法地址，它就不适用了；此外使用访问控制列表会带来额外的负荷。三是防火墙的TCP proxy方法，在SYN请求连接到真正的服务器之前,使用防火墙TCPproxy来测试其合法性。防火墙TCP proxy会先跟客户端建立TCP三次握手，如果成功，证明是合法用户，防火墙TCP proxy再跟服务器建立TCP三次握手。由于防火墙TCP proxy会跟客户端和服务器分别建立TCP连接，它们的TCP sequence是不一致的，需要防火墙TCP proxy在传输数据的时候，进行TCP sequence转换，当系统访问量较大时，防火墙自身的负荷会较高。

SDN(Software Defined Networking，软件定义网络)是一种新兴的基于软件的网络架构及技术，其核心技术为OpenFlow技术。SDN的核心技术通过控制器(Controller)和OpenFlow交换机(Switcher)将网络设备控制面与数据面分离开来，从而实现了网络流量的灵活控制。随着SDN的发展，如何在SDN网络中，更好的防御或抵御SYN Flood攻击也成为本领域技术人员亟待解决的问题。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种SDN网络访问方法及系统，用于解决现有技术中不能很好的防御或抵御SYN Flood攻击的问题。

为实现上述目的及其他相关目的，本发明提供一种SDN网络访问方法，所述SDN网络访问方法包括：控制器接收到SYN报文，所述SYN报文的源地址为客户端地址，所述SYN报文的目的地址端为服务器地址；所述控制器保存所述SYN报文，并将所述SYN报文发送给所述服务器；所述控制器接收到所述服务器发送的所述SYN报文的响应报文，保存所述响应报文，发送所述响应报文给所述客户端，并开始在预设的时间内计时；如果在计时结束前，所述控制器收到所述客户端发送的所述响应报文的ACK回应报文，则结束所述计时，将所述ACK回应报文发送给所述服务器；如果在计时结束时，所述控制器没有收到所述客户端发送的所述响应报文的ACK回应报文，则所述控制器利用保存的所述SYN报文以及响应报文构造RST报文，并将所述RST报文发送给所述服务器。