日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

設置路由器門限值 預防DDoS攻擊( 二 )

云知道


圖中的方塊節(jié)點表示主機，圓形節(jié)點代表路由器 。最左側(cè)的主機為目標服務器S，R(3)中的路由器為圖中綠色的部分，請注重R(3)中最下層的路由器與S只相隔兩層，之所以將其包括在內(nèi)是因為它與主機直接相連 。
三、門限值算法
在圖1的例子中，令每臺主機上的數(shù)字（S除外）減去當前主機向S發(fā)送數(shù)據(jù)的速率 。設Ls＝18且Us＝22，發(fā)往S的負載超出了Us，因此將在S處啟動門限值 。算法運行結(jié)束之后，S確定門限值為6.25并將此速率定制到R(3)的各個路由器中 。在圖1中路由器上方的數(shù)字表示到達S的數(shù)據(jù)速率，下方括號中的數(shù)字表示數(shù)據(jù)傳遞的速率（經(jīng)過調(diào)節(jié)后的） 。經(jīng)過調(diào)節(jié)后S處的負載限制到了20.53，R(3)中經(jīng)過調(diào)節(jié)的速率是服務器負載的公平值 。
目前為止僅討論了如何使用基本的門限值算法，R(k)將隨k的增加而快速增加 。因此假如某些路徑?jīng)]有受到攻擊，則這些路徑上的路由器資源就會造成浪費 。假如位于S和R(k)之間的路由器可以監(jiān)視通向S的分組數(shù)據(jù)速率，則可以在不影響性能的前提下使情況得到改善 。
圖2為圖1中在S和R(3)之間引入了監(jiān)視路由器后的方式 。請注重，圖中R(3)所屬的三個路由器的門限值被取消，因為在這些路徑上并沒有任何攻擊 。
四、考核測量標準
性能測量的一個基本指標是門限值能在多大程度上防DDoS攻擊 。除了基本指標，還必須考慮安裝這一機制的成本 。因此，可采用下述評估標準：
1．服務器中普通用戶的數(shù)量;
2．保護S時需要介入的路由器數(shù)量;
3．針對用戶需求變化的應變能力 。
一般來講，我們認為攻擊者比普通用戶的攻擊性更強 。但是某個惡意的攻擊能使其他大量的主機參與到惡意攻擊中來，雖然每個主機看上去像是一般的普通用戶，但它們加在一起仍然會造成DDoS攻擊 。從本質(zhì)上說，防御此類攻擊比較困難 。
在實際布置此類防護機制時必須遵守幾點要求 。首先，必須保證門限值的可靠性，否則，機制本身就可能成為攻擊點 。為了保證可靠性，門限值消息在被邊緣路由器接納到網(wǎng)絡中時，必須先進行驗證 。第二，必須保證這些消息能夠安全地從發(fā)起點到達目的點 。由于門限值消息的發(fā)送量很小，其鑒權和傳輸優(yōu)先性應該可以接受，而且，由于控制方法必須收到反饋，服務器可能會在瞬時超載，為了確保該調(diào)節(jié)機制仍能運行，可以使用協(xié)處理器或幫助設備 。第三，門限值保護機制可能不會在整個網(wǎng)絡中得到支持，但只要受攻擊的路由上有一臺路由器支持此機制就行 。
原作者:薛華 李祥和

推薦閱讀