CN105939288A - 会话控制方法及装置 - Google Patents

Abstract

本公开是关于会话控制方法及装置，可以应用于网络设备中，其方法包括：接收报文；从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；若不存在匹配的会化特征，判断当前会话数是否达到会话上限数；若当前会话数达到会话上限数，则根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发；若当前会话数没有达到会话上限数，则创建新会话。本方案实现在当前会话数达到会话上限数时，不会因为频繁创建连接导致大量消耗被攻击设备的***资源，保证被攻击设备正常工作。

Description

会话控制方法及装置

技术领域

本公开涉及数据通信领域，尤其涉及会话控制方法及装置。

背景技术

当前的网络安全形势严峻，各种攻击手段层出不穷，大部分攻击会造成网络流量异常，消耗掉大量的网络资源。为了解决上述问题，相关技术中，逐渐提高信息安全设备中的最大并发会话数，并采用会话老化的方式进行会话控制。其中，会话老化是指长时间没有报文交互的会话需要立即老化掉。

虽然最大会话数越来越大、会话老化可以减少会话，能够满足正常情况下的各种应用，但是对于特殊的环境下，比如频繁创建连接，会大量消耗被攻击设备的***资源，从而造成被攻击设备无法正常工作。

发明内容

本公开提供了会话控制方法及装置，以解决相关技术中资源消耗过大导致无法正常工作的问题。

根据本发明实施例的第一方面，提供一种会话控制方法，所述方法应用于网络设备中，所述方法包括：

接收报文；

从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；

若不存在匹配的会化特征，判断当前会话数是否达到会话上限数；

若当前会话数达到会话上限数，则根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发；

若当前会话数没有达到会话上限数，则创建新会话。

根据本发明实施例的第二方面，提供一种会话控制装置，所述装置应用于网络设备中，所述装置包括：

接收单元，用于接收报文；

第一判断单元，用于从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；

第二判断单元，用于若不存在匹配的会化特征，判断当前会话数是否达到会话上限数；

转发单元，用于若当前会话数达到会话上限数，则根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发；

会话创建单元，用于若当前会话数没有达到会话上限数，则创建新会话。

本发明提供一种会话控制方法及装置，在接收到报文时，从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征，如果不存在匹配的会话特征，则对当前会话数进行判断，在当前会话数没有达到会话上限数时创建会话，在当前会话数达到会话数时，根据报文的特征查找转发信息，并根据转发信息将报文进行转发，不再创建会话，从而实现在当前会话数达到会话上限数时，不会因为频繁创建连接导致大量消耗被攻击设备的***资源，保证被攻击设备正常工作，旧流的业务功能正常，新流能正常转发。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是应用本发明实施例会话控制方法的应用场景示意图。

图2是根据一示例性实施例示出的一种会话控制方法的流程图。

图3是根据一示例性实施例示出的另一种会话控制方法的流程图。

图4是本发明会话控制装置所在设备的一种硬件结构图。

图5根据一示例性实施例示出的一种会话控制装置的框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

如图1所示，为应用本发明实施例会话控制方法的应用场景示意图。图1中示出了一种会话控制的组网架构。该架构中可以包括第一设备、第二设备和网络设备。其中，第一设备和第二设备可以是客户端的终端设备，终端设备可以包括各种智能手机、平板电脑、PC(Personal Computer，个人计算机)等；第一设备和第二设备也可以其他的设备，例如服务器设备。网络设备可以为路由器、交换机、防火墙等设备。

如图2所示，图2是根据一示例性实施例示出的一种会话控制方法的流程图，该方法应用于网络设备中，包括以下步骤：

步骤201：接收报文。

在网络领域，会话(session)是一种持久网络协议，可以在一台设备和另一台设备之间创建关联，从而起到交换数据包的作用机制，会话在网络协议(例如telnet或FTP)中是非常重要的部分。报文(message)是网络中一台设备与另一台设备交互的一种数据包。会话的定义标准有很多，其中常采用五元组的方式来定义，所谓五元组通常包括源IP地址、目的IP地址、源端口号、目的端口号以及协议类型。网络中，五元组相同的报文为一条会话，例如，一台电脑从ftp服务器下载东西，整个下载过程都是一条会话。

步骤202：从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征，若存在匹配的会化特征，进入步骤203，若不存在匹配的会化特征，进入步骤204。

网络设备中，可以将已创建的会话的相关信息缓存在会话表中，例如会话表可以包括会话特征。其中，会话特征是会话的特征信息，例如可以是该会话中报文的特征，比如常见的五元组信息：源IP地址、目的IP地址、源端口号、目的端口号以及协议类型。当缓存的会话表中不存在匹配的会话特征时，可能有两种情况，一种情况是，报文是一条流的首报文，则该条流没有创建报文，则不存在匹配的会话特征；另一种情况是，由于本方案在会话数达到会话上限数时不会创建会话，则在会话达到会话上限数时，后续所有的新建流都不会查找到匹配的会话特征。

进一步的，会话表中还可以记录有快转表项。快转是利用同一个会话的报文转发策略相同来实现的，当一个会话的首报文到达设备时，正常上送协议栈做转发处理及业务处理，同时将相关处理结果信息收集好下刷到驱动的快转表项中，后续当同一五元组的后续报文再次到达设备时，只需在驱动进行一次快转表查找操作即可完成对报文的业务处理和转发处理。因此，快转表项中可以存储有报文的业务处理信息以及转发信息。其中，业务处理信息可以是报文审计、NAT转发、带宽保证、流量分析等。会话表中存在与报文的特征相匹配的会话特征时，可以直接根据会话特征对应的快转表项执行业务处理和转发处理。

应当理解的是，在另一个实施例中，会话表可以包括会话特征、快转表项和转发表项。其中，快转表项用于记录报文的业务处理信息，转发表项用于记录报文的转发信息。

步骤203：可以根据会化特征对应的相关表项进行相应的处理。

由于会话表中可以记录会话的会化特征和相关表项，则可以根据会化特征查找对应的表项。例如，可以根据会化特征对应的快转表项进行业务处理和转发处理。

步骤204：判断当前会话数是否达到会话上限数，若当前会话数达到会话上限数，则进入步骤205，若当前会话数没有达到会话上限数，则进入步骤206。

在没有匹配到会话特征时，即表明该报文没有创建会话，则需要判断当前会话数是否达到会话上限数，若达到会话上限数，则表明会话已满，可以执行步骤205的操作，直接根据报文的特征查找转发信息，将报文转走。例如，根据报文的目的IP和目的端口将报文信息转走，不再创建新会话；若当前会话数没有达到会话上限数，则表明当前会话数未满，则可以根据报文创建新会话。例如，上送协议栈做业务处理和转发处理，在会话表中创建快转表项，将相关处理结果信息存储在快转表项中。

在一个可选的实现方式中，设备启动后即开启会话过载保护功能。在其他实施例中，可以控制会话过载保护功能的开启与关闭。例如，步骤203之前，可以判断会话过载保护功能是否开启，若开启，则进入步骤203，若未开启，则直接根据报文创建新会话。判断会话过载保护功能是否开启的方式有很多种，例如，可以检测指示会话过载保护功能开启的按钮或按键是否触发，若触发，则表示会话过载保护功能开启。

步骤205：根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发。

步骤206：创建新会话。

由上述实施例可见，在接收到报文时，从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征，如果不存在匹配的会话特征，则对当前会话数进行判断，在当前会话数没有达到会话上限数时，创建会话；在当前会话数达到会话数时，根据报文的特征查找转发信息，并根据转发信息将报文进行转发，不再创建会话，从而实现在当前会话数达到会话上限数时，不会因为频繁创建连接导致大量消耗被攻击设备的***资源，保证被攻击设备正常工作，旧流的业务功能正常，新流能正常转发。

如图3所示，图3是根据一示例性实施例示出的另一种会话控制方法的流程图，该方法可以用于网络设备中，包括以下步骤：

步骤301：接收报文。

步骤302：从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；若存在匹配的会化特征，则进入步骤303；若不存在匹配的会化特征，则进入步骤304。

步骤303：可以根据会化特征对应的相关表项进行相应的处理。

由于会话表中可以记录会话的会化特征和相关表项，则可以根据会化特征查找对应的表项。例如，可以根据会化特征对应的快转表项进行业务处理和转发处理。

步骤304：获取会话过载保护标记，并进入步骤305。

上述会话过载保护标记是预先设置的用来指示会话是否过载的标记，例如，可以用会话过载标记指示会话数达到设定会话数，可以用会话未过载标记指示会话数没有达到会话上限数。其中，会话过载标记可以是数字、字符串、符号等的任意组合，只要能唯一标识会话已满即可。同理，会话未过载标记也可以是数字、字符串、符号等的任意组合，只要能唯一标识会话未满即可。例如，会话过载标记可以为1，会话未过载标记可以为0；又如，会话过载标记可以为“真”，会话未过载标记可以为“假”。

步骤305：对所述会话过载保护标记进行识别；当所述会话过载保护标记为会话过载标记时，则进入步骤306，当所述会话过载保护标记为会话未过载标记时，则进入步骤307。

本步骤中，当所述会话过载保护标记为会话过载标记时，则判定当前会话数达到所述会话上限数；当所述会话过载保护标记为会话未过载标记时，则判定当前会话数没有达到所述会话上限数。

步骤306：根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发。

在识别出会话过载保护标记为会话过载标记时，不再创建新会话，直接根据报文的特征查找转发信息，并根据转发信息将报文进行转发，避免在会话已满的情况下继续创建会话导致的断网、正常功能失效等问题。

步骤307：创建新会话。

由于在缓存的会话表中不存在与报文的特征相匹配的会话特征，同时会话数没有达到会话上限数，则表示该报文之前没有创建会话，可以将报文上送协议栈做业务处理和转发处理，在会话表中创建快转表项，将相关处理结果信息存储在快转表项中。

由上述实施例可见，可以利用会话过载保护标记的方式指示会话数是否达到会话上限数，提供了一种判断当前会话数是否达到会话上限数的方式，可以根据会话过载保护标记快速识别出当前会话数是否达到会话上限数，并进行相应的处理，提高了判断效率。同时，当会话过载保护标记为会话过载标记时，相当于将当前会话状态设置为会话保护状态，在会话保护状态下，禁止创建新会话，从而避免资源过大消耗，保证功能正常运行。

在一个可选的实现方式中，所述创建新会话之后，还包括：根据新会话对当前会话数进行更新；判断更新后的会话数是否达到所述会话上限数，若达到，则将所述会话过载保护标记设为会话过载标记。

在该实施例中，提供了一种会话过载标记的设置方法，可以在每次创建新会话后，判断更新后的会话数是否达到会话上限数，若达到，则将会话过载保护标记设为会话过载标记。本实施例在会话数更新时才判断是否设置会话过载标记，避免资源浪费。当然，当会话老化删除的时候，会话数可以自动更新。

应当理解，在其他实现方式中，也可以在缓存的会话表中不存在与报文的特征相匹配的会话特征时，直接获取当前会话数，判断当前会话数是否达到会话数上限数，根据判断结果设置会话过载保护标记。

在一个可选的实现方式中，针对会话未过载标记的设置方法，可以采用以下方式进行设置：

方式一

根据当前会话数进行判断，当前会话数没有达到会话上限数时，则将会话过载保护标记设为会话未过载标记。例如，可以预先设置计数器，当创建新会话时，计数器的计数值加一，当会话删除时，计数器的计数值减一，则可以根据计数器的计数值判断会话数是否达到会话上限数，达到，则将会话过载保护标记设为会话过载标记，未达到，则将会话过载保护标记设置为会话未过载标记。针对判断时间，可以在会话数进行更新后进行判断，也可以是在接收到报文、且缓存的会话表中不存在与报文的特征相匹配的会话特征时进行判断。这种方式是通过会话数未达到会话上限数的方式来设置会话未过载标记，可以实现会话过载保护标记更新的实时性。

方式二

以设置会话过载标记的时间为起始时间，间隔设定的过载保护时间后将所述会话过载保护标记设置为会话未过载标记。

本实施例在会话数达到会话上限数时，设置了过载保护时间，在该过载保护时间内，会话处于会话保护状态，该状态下禁止创建新会话，过了过载保护时间后，则会话过载保护标记自动更新为会话未过载标记，取消会话保护状态。本实施例通过过载保护时间的方式设置会话未过载标记，避免实时检测和判断会话数的方式导致的资源浪费。

与前述会话控制方法的实施例相对应，本公开还提供了会话控制装置的实施例。

本发明会话控制装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图4所示，为本发明会话控制装置所在设备的一种硬件结构图，除了图4所示的处理器、网络接口、内存以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件，图4中不再一一示出。

如图5所示，图5是本公开根据一示例性实施例示出的一种会话控制装置框图，所述装置应用于网络设备中，所述装置包括：

接收单元510，用于接收报文；

第一判断单元520，用于从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；

第二判断单元530，用于若不存在匹配的会化特征，判断当前会话数是否达到会话上限数；

转发单元540，用于若当前会话数达到会话上限数，则根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发；

会话创建单元550，用于若当前会话数没有达到会话上限数，则创建新会话。

由上述实施例可见，在接收到报文时，从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征，如果不存在匹配的会话特征，则对当前会话数进行判断，在当前会话数没有达到会话上限数时，创建会话；在当前会话数达到会话数时，根据报文的特征查找转发信息，并根据转发信息将报文进行转发，不再创建会话，从而实现在当前会话数达到会话上限数时，不会因为频繁创建连接导致大量消耗被攻击设备的***资源，保证被攻击设备正常工作，旧流的业务功能正常，新流能正常转发。

在一个可选的实现方式中，所述第二判断单元包括：

标记获取子单元，用于获取会话过载保护标记；

标记识别子单元，用于对所述会话过载保护标记进行识别；当所述会话过载保护标记为会话过载标记时，则判定当前会话数达到所述会话上限数；当所述会话过载保护标记为会话未过载标记时，则判定当前会话数没有达到所述会话上限数。

由上述实施例可见，可以利用会话过载保护标记的方式指示会话数是否达到会话上限数，提供了一种判断当前会话数是否达到会话上限数的方式，可以根据会话过载保护标记快速识别出当前会话数是否达到会话上限数，并进行相应的处理，提高了判断效率。同时，当会话过载保护标记为会话过载标记时，相当于将当前会话状态设置为会话保护状态，在会话保护状态下，禁止创建新会话，从而避免资源过大消耗，保证功能正常运行。

在一个可选的实现方式中，所述装置还包括：

会话数更新单元，用于根据新会话对当前会话数进行更新；

第三判断单元，用于判断更新后的会话数是否达到所述会话上限数；

会话过载标记设置单元，用于若达到会话上限数，则将所述会话过载保护标记设为会话过载标记。

由上述实施例可见，提供了一种会话过载标记的设置方法，可以在每次创建新会话后，判断更新后的会话数是否达到会话上限数，若达到，则将会话过载保护标记设为会话过载标记。本实施例在会话数更新时才判断是否设置会话过载标记，避免资源浪费。

在一个可选的实现方式中，所述装置还包括：

会话未过载标记设置单元，用于以设置会话过载标记的时间为起始时间，间隔设定的过载保护时间后将所述会话过载保护标记设置为会话未过载标记。

由上述实施例可见，通过过载保护时间的方式设置会话未过载标记，避免实时检测和判断会话数的方式导致的资源浪费。

在一个可选的实现方式中，所述会话表包括会话特征和快转表项，所述装置还包括：

处理单元，用于若存在匹配的会话特征，则根据所述会化特征对应的快转表项执行业务处理和转发处理。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (10)

1.一种会话控制方法，其特征在于，所述方法应用于网络设备中，所述方法包括：

接收报文；

从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；

若不存在匹配的会化特征，判断当前会话数是否达到会话上限数；

若当前会话数达到会话上限数，则根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发；

若当前会话数没有达到会话上限数，则创建新会话。

2.根据权利要求1所述的方法，其特征在于，所述判断当前会话数是否达到会话上限数，包括：

获取会话过载保护标记；

对所述会话过载保护标记进行识别；

当所述会话过载保护标记为会话过载标记时，则判定当前会话数达到所述会话上限数；

当所述会话过载保护标记为会话未过载标记时，则判定当前会话数没有达到所述会话上限数。

3.根据权利要求2所述的方法，其特征在于，所述创建新会话之后，还包括：

根据新会话对当前会话数进行更新；

判断更新后的会话数是否达到所述会话上限数，若达到，则将所述会话过载保护标记设为会话过载标记。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

以设置会话过载标记的时间为起始时间，间隔设定的过载保护时间后将所述会话过载保护标记设置为会话未过载标记。

5.根据权利要求1至4任一所述的方法，其特征在于，所述会话表包括会话特征和快转表项，所述方法还包括：

若存在匹配的会话特征，则根据所述会化特征对应的快转表项执行业务处理和转发处理。

6.一种会话控制装置，其特征在于，所述装置应用于网络设备中，所述装置包括：

接收单元，用于接收报文；

第一判断单元，用于从缓存的会话表中判断是否存在与报文的特征相匹配的会话特征；

第二判断单元，用于若不存在匹配的会化特征，判断当前会话数是否达到会话上限数；

转发单元，用于若当前会话数达到会话上限数，则根据报文的特征查找转发信息，并根据转发信息将所述报文进行转发；

会话创建单元，用于若当前会话数没有达到会话上限数，则创建新会话。

7.根据权利要求6所述的装置，其特征在于，所述第二判断单元包括：

标记获取子单元，用于获取会话过载保护标记；

标记识别子单元，用于对所述会话过载保护标记进行识别；当所述会话过载保护标记为会话过载标记时，则判定当前会话数达到所述会话上限数；当所述会话过载保护标记为会话未过载标记时，则判定当前会话数没有达到所述会话上限数。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

会话数更新单元，用于根据新会话对当前会话数进行更新；

第三判断单元，用于判断更新后的会话数是否达到所述会话上限数；

会话过载标记设置单元，用于若达到会话上限数，则将所述会话过载保护标记设为会话过载标记。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

会话未过载标记设置单元，用于以设置会话过载标记的时间为起始时间，间隔设定的过载保护时间后将所述会话过载保护标记设置为会话未过载标记。

10.根据权利要求6至9任一所述的装置，其特征在于，所述会话表包括会话特征和快转表项，所述装置还包括：

处理单元，用于若存在匹配的会话特征，则根据所述会化特征对应的快转表项执行业务处理和转发处理。