CN102484613A - 优化路由缓存的方法 - Google Patents

优化路由缓存的方法 Download PDF

Info

Publication number
CN102484613A
CN102484613A CN2010800383920A CN201080038392A CN102484613A CN 102484613 A CN102484613 A CN 102484613A CN 2010800383920 A CN2010800383920 A CN 2010800383920A CN 201080038392 A CN201080038392 A CN 201080038392A CN 102484613 A CN102484613 A CN 102484613A
Authority
CN
China
Prior art keywords
inlet
bag
address
source
route
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN2010800383920A
Other languages
English (en)
Inventor
S·K·博加维利
G·S·维利
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
FLISAEN Co
Original Assignee
FLISAEN Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by FLISAEN Co filed Critical FLISAEN Co
Publication of CN102484613A publication Critical patent/CN102484613A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/742—Route cache; Operation thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
    • H04L69/162—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields involving adaptations of sockets based mechanisms

Abstract

一种管理路由缓存以减少来自服务攻击拒绝的毁坏风险的系统和方法。能够正常地处理到达来自本地(链接上)节点(例如邻近节点)的前端接口上的所有事务。然而，对于来自寻址到给定目的IP地址的远端(离开链接)源的包来说，可使用单个，共享的路由缓存入口。可将该入口中的源地址字段归零因为其将不用于来自任意一个源的事务。相同地，对于通过该前端接口去往离开链接的目的地的所有包，可创建和使用另一个单个共享路由缓存入口。可将该入口中的目的地址字段归零因为其将不用于去往任意一个目的地的事务。

Description

优化路由缓存的方法
背景技术
一般地，本发明涉及阻止对服务器攻击的方法，该服务器通过使用大量入口充满该服务器路由缓存而操作。
当在互联网协议(IP)网络上发送数据包时，经常将由不同包所采用的路由加到称作为转发信息库(FIB)的数据库。也将FIB称作为路由表。该路由表指出如何正确地转发包使得他们到达他们的正确目的地。一些操作系统，包括Linux，支持多个FIB。一些FIB能够相关于不同网络接口。FIB规则数据库包含指出在处理给定IP包时候应使用哪一个FIB的规则。当处理即将到来的，将离开的，或转发的包时，操作系统不仅必须跟踪应使用哪一个FIB，也应确定应使用什么路由，应处理这些包的什么程序序列，应将该包发送到哪一个邻近节点，以及更多。该操作系统也实施对这些包的源和目的IP地址的数个确认以阻扰服务攻击的拒绝。为了提高包处理性能，常见的是，保留数个跟踪最近见到的包的流和如何处理他们的缓存。这帮助了在属于流的潜在大数量包之上的每包确认和内部包处理路径的高成本的分摊。为了缓存目的，流可能是具有相同IP源地址，IP目的地址，即将到来/即将离开的接口和该服务类型(ToS)标记的包。
该Linux IP堆栈使用三种不同缓存：路由缓存，邻近缓存，和硬件报头缓存。他们是所有专业化的通用目的缓存。该目的缓存保留了以协议无关的形式中的目的地址和程序相关的信息。该邻近缓存保留了在给定模式的所有邻近节点的IP地址和MAC地址之间的映射。给定节点的邻近节点(也称作为“链接上”节点)是从该给定节点处可本地到达的一个节点，例如，在以太网链接上。可将从给定节点处不可本地到达的节点称作为关于该给定节点的“离开链接”节点。也将该邻近缓存称作为用于IPv4协议的地址分辨协议(ARP)表。该硬件报头缓存保留了用来操纵这些报头的MAC层报头和程序。该路由缓存保留了与该IP包的特性相关的信息，使用处理他们的程序，和应接受该匹配包的邻近节点相关的信息。
通常将路由缓存实施为在该机器引导时间时初始化的哈希表。基于在该系统中的存储器数量在引导时间时自动计算哈希桶的数量。该路由缓存能够存储的最大数量入口是由操作系统参数可控的。
经常地，存在为在由该IPv4堆栈所处理的所有包上的IPv4源和目的地址的每一个唯一组合所创建的一个路由缓存。可将其用作攻击向量。攻击者能够将包发送给使用随机源地址的受害者。该攻击者甚至不必接收任意响应。当该受害者处理这些包时，其保持使用其期望重新使用的入口来填充该路由缓存，但是由于在该攻击中使用的源地址是唯一的，其决不重新使用他们。在几十万包内，在该受害者中的路由缓存可填满，且性能可能限制下降。
本发明的实施方案能够通过对使用该路由缓存的方式进行改变来移除该攻击向量。
发明概述
本发明的实施方案能够改变管理该路由缓存的过程。能够将至少一个网络接口识别为“前端接口”。能够正常地处置从本地(链接上)节点(如，邻近节点)到达该前端接口的所有事务。处理这样的链接上的包能够导致具有本地目的地地址的唯一路由缓存入口。然而，对于从寻址到给定目的地IP地址的远程(离开链接)的源处所到达的包来说，能够使用单个，共享的路由缓存入口。能够归零在该入口中的源地址字段，因为其将不用于从任一源处到来的事务。相同地，对于通过该前端接口到达离开链接的目的的所有包，可创建和使用另一个单个共享路由缓存入口。归零在该入口中的目的地址，因为其将不用于到达任一目的地的事务。
从该服务器到离开链接目的地的所有包可通过单个路由器。当一般该路由器地址是在将包发送到离开链接的目的地时从该路由缓存处所需的仅有信息时，单个路由缓存入口可用于所有来到离开链接的目的地的事务。这也是当使用作出显现为到该节点的单个路由器的一组路由器的某些协议来实施路由器冗余时的情况，包括虚拟路由器冗余协议(VRRP)或Cisco热备份路由协议(HSRP)。当使用多个路由器时，用于冗余或其他情况，仍旧可能的是使用该路由缓存优化，但是仍必要的是使用超过两个共享入口或将附加信息嵌入该共享的入口。
相同地，当来自离开链接的源的所有事务一般依赖于来自该路由缓存处的相同信息时，可使用单个缓存入口用于来自离开链接的源的所有即将到来的事务。
当来自新的远程IP地址的请求将不再导致在该路由缓存中新入口的创建时，这阻止了当服务器接收来自大量源IP地址的请求，无论这样的请求是否合法或被电子欺骗时的该路由缓存的充满。
根据结合该附图所提供的本发明的实施方案的下列具体说明将更容易理解这些和其他优点和特征。
附图简要说明
涉及其中将相同元件在这些附图中进行相同标记的示范性附图：
图1描绘了通过路由器进行通信的两个网络节点，显示了在该第一计算机上的路由缓存中的相关入口，实施正常的路由缓存。
图2描绘了通过路由器进行通信的两个网络节点，显示了在该第一计算机上的路由缓存中的相关入口，实施本发明的实施方案以优化该路由缓存。
图3描绘了通过路由器进行通信的两个网络节点，显示了在该路由器上的路由缓存中的相关入口，实施本发明的实施方案以优化该路由缓存。
图4显示了来自实施正常路由缓存的网络节点上的路由缓存的提取物。
图5显示了来自实施本发明的实施方案以优化该路由缓存的网络节点上的路由缓存的提取物。
图6显示了来自实施本发明的实施方案以优化该路由缓存的路由器上的路由缓存的提取物。
图7显示了通过一些不同链接而连接的一些网络节点。节点1，2和3和该路由器的网络接口1都连接到该相同链接，且相应地都是来自相互视角的链接上的节点。
图8显示了正通过路由器从节点1发送到节点2的包，该路由缓存入口相关于在节点1处的包。没有任何节点正实施本发明。该路由缓存入口如他们被创建时候所示的一样。
图9显示了正通过路由器从节点2发送到节点1的包，该路由缓存入口相关于在节点1处的包。没有任何节点正实施本发明。该路由缓存入口如他们被创建时候所示的一样。
图10显示了正通过路由器从节点1发送到节点2的包，该路由缓存入口相关于在节点1处的包。节点1正实施本发明的实施方案。当没有作为该包传输的结果来创建任何路由缓存入口时，仅仅该共享的入口是相关的并被示出。
图11显示了正通过路由器从节点2发送到节点1的包，该路由缓存入口相关于在节点1处的包。节点1正实施本发明的实施方案。当没有作为该包传输的结果来创建任何路由缓存入口时，仅仅该共享的入口是相关的并被示出。
发明详述
本发明的实施方案涉及在服务器(711)或路由器(771)上的路由缓存的管理方法，其当使用不同IP地址从大量离开链接的网络节点将大量网络包发送到该服务器时阻止使用入口充满该路由缓存(110)。
在本发明的一实施方案中，使用至少一个物理网络接口(712)将服务器(711)连接到以太网链接(701)。该以太网链接可连接到一些节点，包括其他计算机和路由器(771)，使得该服务器能够在没有路由器帮助下在以太网上直接与他们通信。已知这些节点是在该服务器的邻近节点或链接上的节点。将其他节点称作为离开链接的节点。从图7中的节点1(711)的视角来看，通过网络接口1(773)所访问的节点2(721)，节点3(731)和路由器(771)是链接上的节点，因为可在该以太网链接(701)上直接访问他们。节点4(741)，5(751)和6(761)是离开链接的节点，当仅仅通过该路由器(771)可访问他们时。
该服务器包含互联网协议(IP)堆栈，其允许他与链接上(721，731)和离开链接的节点(741，751，761)都进行通信。为至少一个物理网络接口(712)指定了IP地址(713)。当与链接上的节点包(120，130)的通信在该以太网上直接发送到该目的节点时。当将与离开链接的节点包的通信发送到轮流将该包转发到该最后的目的地的链接上的路由器(771)时。
该服务器保留了包含由该服务器所使用以确定如何处理匹配该特定入口(1110)的IP包(120)的入口(1110，1120，1130，1140)的路由缓存(1100)。
在该路由缓存中的入口(1110)包含与匹配包识别相关的数据和与如何处理他们相关的指令。通常由源IP地址(121)，目的IP地址(122)，指向物理网络接口(712)的指针来识别包。相应地，路由缓存入口将包含源地址(1111)和目的地址(1112)。对于即将来自或发送到离开链接的节点的包来说，该入口一般将包含用来识别该转发目的地(1114)的路由器IP地址。然而，缓存入口能够包含用于识别目的和用于处理目的的更具体信息。
在一些情况中，应不同地处理不同协议的包，以及相应地每一个协议可能存在一个入口。同样可能的是根据区分服务代码点(DSCP)进行区分。在一实施方案中，可将具有较高优先权DSCP的包转发到一个路由器，将具有较低优先权DSCP的包转发到第二路由器。
路由缓存入口经常包含与插座(socket)状态相关的信息。如此处所使用的一样，“插座”可能是在该网络中将信息传送到或传送自的位置的唯一标识。例如参见RFC 147。如果该入口相关于在该传输控制协议(TCP)上的通信，其可能包含与该插座连接状态相关的信息。
该源和目的IP地址通常指示该IP包的源和目的节点的IP地址。指向该网络接口的指针识别该入口相关的那个网络接口。该路由器IP地址通常指示负责处置匹配该入口的事务的路由器。
在本发明的一实施方案中，与在该服务器和邻近节点之间的事务相关的入口将包含源和目的IP地址。用于与从该服务器到该节点的事务相关的入口将具有作为该源IP地址的服务器的IP地址和作为该目的IP地址的该节点的IP地址。为与从该节点到该服务器的事务相关的入口而交换这些地址。
当该服务器需要处理包时，其可能查找在该路由缓存中匹配该包相关特性的入口。
在一实施方案中，通过至少基于该包源地址和该包目的地址计算哈希值来实施该查找。该哈希值也可能基于其他特性包括该协议类型，服务类型，区分服务代码点或任意其他包特性。随后为具有匹配哈希值的入口搜索该路由缓存。
依照本发明的实施方案，使用源IP地址或目的IP地址，但不是使用二者，能够创建与在该服务器和离开链接节点之间的事务相关的入口。特别地，用于与从该离开链接节点到该服务器的事务相关的入口(1140)可能包含等于该物理网络接口的IP地址的目的地址，但是不包含有效源IP地址。另一方面，用于与进行在其他方向(从该服务器到离开链接的目的地)中的事务相关的入口(1130)可能包含等于该物理网络接口的IP地址的源地址，但是包包含有效目的IP地址。可为从一些不同离开链接节点到该服务器的事务流程而使用单个入口(1140)，而可为从该服务器到一些不同离开链接节点的事务流程而使用另一个单个入口(1130)。
这是可能的，因为在许多服务器上，可相同地处理从特定物理网络接口到达离开链接节点的所有包，并相应地，使用在该路由缓存中单个，公用的入口来存储与如何处置这些包相关的信息是足够的。相同地，可能的是，可相同地处理从离开链接节点达到特定物理网络接口的那些包。在本发明的一实施方案中，通过两个共享入口替换与离开链接的包相关的所有入口，一个用于即将离开的事务，一个用于即将到来的事务。
基于该路由缓存的结构，可不同地指出源或目的IP地址的缺失。在一实施方案中，通过使用用于该缺失的IP地址(0.0.0.0)的值0可指出这些。在另一实施方案中，可能存在指示这样地址缺失的标记。换句话说，该入口不需要系于特定离开链接的节点，本领域技术人员应当清楚，可以由本发明所包含的一些方式来实现这些。上面列出的实施例意为说明性的而不是详尽的。
相同地处理所有离开链接的事务经常是不合适的。其可能是一些具有较高优先权的事务，因此其应指向单独的路由器。在另一实施方案中，应不同地路由与不同协议相关的事务。通常域名系统(DNS)接收并响应于在该用户数据报协议(UDP)之上的请求，并且可能合适的是，使用一个路由器处理在该协议上的所有事务和使用不同路由器处理在其他协议上的所有事务。
在本发明的实施方案中，因此可能存在与即将离开的离开链接事务相关的一些共享路由缓存入口和与即将到来的离开链接事务相关的一些共享路由缓存入口。该即将离开的入口的每一个可用于不同协议并且相应地包含用于匹配包的不同参数，和用于处理包的不同参数。与在特定接口上即将离开事务相关的所有入口将使用作为该源地址的物理接口的IP地址来匹配包，但是将不包含目的地址。每一个入口将匹配与不同协议相关的包。
存在指出哪一个包匹配特定共享入口的许多方式。本领域技术人员将清楚，本发明不限于以上讨论的这些参数。其也不限于使用必须精确匹配每一个包的固定参数集。可能的是使用包括单个逻辑程序的更复杂的规则。
当正处理从链接上的节点处接收到的包，正处理来自离开链接的节点的包时，该服务器将在该路由缓存中查找匹配该各个包的相关特性的入口。
在一实施方案中，通过至少基于该包源地址和该包目的地址计算哈希值来实施该查找。当在该路由缓存中将不存在匹配该包的源地址的入口时，当计算该哈希值时，可使用该地址0.0.0.0来替换该源地址，随后为具有匹配哈希值的入口搜索该路由缓存。当该相关入口不包含该地址0.0.0.0时，该哈希可能基于不同的或动态的参数集或必须使用另外方式来实施该搜索。
在一实施方案中，该服务器将检测从离开链接的节点进行的包的接收，并当为匹配入口搜索该路由缓存时，其将调用特别的搜索过程。例如，如果在低网络拥塞时期中处理具有给定参数集的包，将该包匹配给第一路由缓存入口。另一方面，如果在高网络拥塞时期中处理该包，则可将该包匹配给第二个，不同的路由缓存入口。任意适合的外部或其他数据(例如，地理位置，当日时间，其他包的处理历史，等)可用来选择匹配的路由缓存入口。
本发明将针对发送来自大量IP地址的请求的黑客或使用大量伪造离开链接的IP地址发送请求的黑客保护该服务器。由于该服务器将仍旧使用用于链接上的地址的正常缓存方法，当接收来自大量链接上的地址的大量请求时对于缓存充满来说仍旧脆弱。将由该节点属于其一部分的子网大小来限定该链接上IP地址的数量。当在终端节点处实施该发明时，将可创建以加到该路由缓存的被攻击入口的数量限制于该子网的大小的倍数。通常是该子网大小的两倍。黑客可通过伪造大量链接上地址来利用该脆弱性。为了保护不受到这样的攻击，依照本发明的实施方案，在他们导致入口被创建在该路由缓存中之前，可实施测量以丢弃具有伪造的链接上地址的包。
在本发明的实施方案中，由该共享入口所处理的路由器处置事务可检查每一个包以验证其不包含伪造的链接上的IP地址，在将其转发到该服务器之前。在另一实施方案中，用来实施这样验证的功能可被实施在该服务器上。
在本发明的一实施方案中，在该物理接口上所接收的一些包未指向该服务器本身，但应被转发到另一节点。这例如是当将该本发明实施在路由器上的情况。
处置在离开链接节点和链接上节点之间事务的路由器可接收具有一些不同目的IP地址和一些不同源IP地址的包。相同地处理所有这些包或这些包的子集可能是清楚的。随后可将共享入口用来匹配这些包的所有或一些。
在本发明的一实施方案中，这些所有将被相同处理的包不共享源地址或目的地址。相应地，该共享入口的匹配标准不能包括对包的源或目的IP地址是否匹配特定地址的检查。
在本发明的另一实施方案中，在该路由器处的路由缓存中的这些入口包含了用于该包的下一跳跃的源或目的地址而不是最后的目的地。这使得基于其源或目的地址而不是其他参数来匹配路由缓存入口成为可能。
在本发明的一实施方案中，路由器使用至少一个物理网络接口连接到第一网络链接。该以太网链接可连接到包括其他路由器和计算机的一些节点使得该路由器能够在以太网上直接与这些进行通信。该路由器也连接第二网络链接。该第二网络链接也可连接一些节点，包括其他路由器和计算机。也可能存在超过两个网络链接。该网络链接可能是以太网链接，帧中继链接，令牌环链接或其他类型网络链接。这些链接不需要是同一类型。该路由器可能能够在这些链接上寻址在该OSI层2处的主机。
该路由器能够在第一网络链接上接收来自第一节点的IP包并在第二网络链接上将该接收到的包转发到第二节点。该第一和第二网络链接可能是相同链接。
在本发明的一实施方案中，该路由器连接到为以太网链接(已知为本地链接)和帧中继链接(已知为互联网链接)的第一网络链接。
该路由器包含允许其与链接上和离开链接的节点都进行通信的互联网协议(IP)堆栈。将至少一个物理网络接口指定为IP地址。当发送和接收包到和至关于该本地链接是链接上的节点时，在该以太网链接上直接将包发送到该目的节点。当与离开链接的节点通信时，将包发送到关于该互联网链接是链接上的节点。该节点可能是最后的目的地，或是将该包转送到该最后目的地的另一路由器。
该路由器保留了包含由该路由器使用以确定如何处理匹配该特殊入口的IP包的入口的路由缓存。
通常由源IP地址，目的IP地址，指向源物理网络接口的指针和指向目的物理网络接口的指针来识别包。
在一些情况中，应不同地处理用于不同协议的包，并相应地每一个协议可能存在一个入口。也可能有关于DSCP进行区分。在一实施方案中，可将具有较高优选权DSCP的包转发到一路由器，将具有较低优选权DSCP的包转发到第二路由器。也可由该路由器使用不同优选权处理不同DSCP的包。在一实施方案中，控制具有特定DSCP的所有包直到不再有具有较高优选权DSCP的包正等待被转发。
在一实施方案中，该路由器保留了与两个网络节点之间的插座的状态相关的信息。如果路由缓存入口涉及在该传输控制协议(TCP)上的通信，其可能包含与该插座连接状态相关的信息。
该源和目的IP地址通常指出该IP包的源和目的节点的IP地址。当在该路由器上实施本发明时，这些地址的任意一个将都不匹配指定给该路由器上物理接口的地址。指向该源和目的网络接口的指针识别出该入口涉及哪一个网络接口。
在本发明的一实施方案中，与在该互联网链接上可达到的节点(该互联网节点)和在该本地链接上可达到的节点(该本地节点)之间的事务相关的入口将包含源和目的IP地址。用于从该互联网到该节点的事务相关的入口将具有作为该源IP地址的互联网节点的IP地址和作为该目的IP地址的本地节点的IP地址。为与从该本地节点到该互联网节点的事务相关的入口而交换这些地址。
当该路由器需要处理包时，其可能在该路由缓存中查询与该包的相关特性匹配的入口。
在一实施方案中，通过至少基于该包源地址和该包目的地址计算哈希值来实施该查找。该哈希值也可能基于其他特性包括该协议类型，服务类型，区分服务代码点或任意其他包特性。随后为具有匹配哈希值的入口搜索该路由缓存。
依照本发明的实施方案，可创建在互联网节点和本地节点之间事务相关的入口，既不使用源IP地址也不使用目的IP地址。特别地，用于与从该互联网节点到该本地节点的事务相关的入口可能不包含任意源IP地址和任意目的IP地址，但是可被标识使得该入口仅仅用于来自该互联网节点并具有特定范围内目的地址的事务。另一方面，用于与进行在其他方向(从本地节点到互联网节点)中的事务相关的入口可能被标记使得该入口仅仅用于来自该本地接口并具有特定范围内目的地址的事务。也可能的是，使用用于特定包的转发地址以确定共享入口的使用的对象。可为从一些不同互联网节点到一些不同本地节点的事务流程而使用单个入口，而可为从一些不同本地节点到一些不同互联网节点的事务流程而使用另一个单个入口。
这是可能的，因为在许多服务器上，可相同地处理在指向互联网节点的特定物理网络接口上所接收到的所有包，并相应地，使用在该路由缓存中单个，公用的入口来存储与如何处置这些包相关的信息是足够的。在本发明的一实施方案中，由两个共享的入口替换与互联网包相关的所有入口，一个用于指向本地节点的事务，源自互联网节点；另一个用于指向互联网节点的事务，源自本地节点。
基于该路由缓存的结构，可不同地指出源或目的IP地址二者的缺失。在一实施方案中，通过使用用于该缺失的IP地址(0.0.0.0)的值0可指出这些。在另一实施方案中，可能存在指示这样地址缺失的标记。换句话说，该入口不需要系于特定离开链接的节点，本领域技术人员应当清楚，可以由本发明所包含的一些方式来实现这些。上面列出的实施例意为说明性的而不是详尽的。
当将本发明实施在路由器上时，可能存在使用比包的某些特性匹配某些预定值的识别更复杂的包匹配方法的需要。存在指出哪一个包匹配特定共享入口的许多方式。本领域技术人员应清楚，本发明不限于以上讨论的参数。在一实施方案中，使用外部因素来确定哪些包匹配入口。例如，可基于该网络的状态或IP地址的地理位置来确定匹配。
本发明的实施方案优化了负载均衡器的路由缓存。负载均衡器能够将接收到的包转发至一些处理节点之一。该负载均衡器可能为去往或来自特定处理节点的所有事务使用一个或多个共享入口。
当已经参照示范性实施方案对本发明进行了描述时，本领域技术人员将理解到，可做成各种变化且其元件可被等同物所替换而不背离本发明的范围。另外，可做成许多修改以将特殊情况或材料适应于本发明的教导而不背离其实质范围。因此，计划的是，不将本发明限制于作为执行本发明所预期的最佳或仅有模式所公开的特定实施方案，而是本发明将包括落在附属权利要求范围内的所有实施方案。同样，在该附图和说明书中，已经存在本发明的公开的示范性实施方案，尽管可能已经使用了特定的术语，除非仅仅以一般的和描述性意义的使用而不是限制目的地对他们另作说明，因此不这样对本发明的范围进行限制。而且，第一，第二等术语的使用，不指示任何顺序或重要性，而是该第一，第二等术语用于将一个元件区分于另一个元件。此外，一个等术语的使用不指示数量的限制，而是指示该引用项的至少一个的出现。

Claims (29)

1.一种发送具有包源地址和包目的地址的网络包的方法，包括：
路由缓存，包括至少包含入口源地址，入口目的地址和到网络接口的入口的入口指针；
将该网络接口指作为前端接口；
将该网络接口与前端接口IP地址相关；
在包含等于该前端接口IP地址，和转发地址的入口源地址的路由缓存中创建离开链接的目的入口，其中该离开链接目的入口不包括该包目的地址；
确定该包目的地址是否是离开链接地址；
如果将该包目的地址确定为离开链接的地址，则在该路由缓存中寻找具有相同于该包源地址的源地址和具有该转发地址的离开链接的目的入口；和
通过该前端接口将该包发送到该转发地址。
2.如权利要求1所述的方法，其中在该路由缓存中寻找该离开链接的源入口包括：
至少基于该包源地址计算搜索哈希值；和
在该路由缓存中搜索包含等于该搜索哈希值的哈希值的入口。
3.如权利要求1所述的方法，其中该离开链接目的入口包含入口服务类型标识符号，该网络包包含包服务类型标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口服务类型标识符等于该包服务类型标识符。
4.如权利要求1所述的方法，其中该离开链接的目的入口包含入口协议标识符，该网络包包含包协议标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口协议标识符等于该包协议标识符。
5.如权利要求1所述的方法，其中该离开链接的目的入口包含入口区分的服务码点，该网络包包含包区分的服务码点，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口区分的服务码点等于该包区分的服务码点。
6.如权利要求1所述的方法，其中该网络包源自于具有相关插座连接状态的插座，其由操作系统控制；
确定该插座连接状态在该路由缓存中不可获得；和
从该操作系统请求该插座的连接状态。
7.如权利要求6所述的方法，其中该插座形成了TCP连接。
8.一种接收具有包源地址和包目的地址的网络包的方法，包括：
包括至少包含入口源地址，入口目的地址和到物理网络接口的入口指针的入口的路由缓存；
将该物理网络接口指定为前端接口；
将该物理网络接口关联于前端接口IP地址；
在该路由缓存中创建包含等于该前端接口IP地址的入口目的地址的离开链接源入口，其中该离开链接源入口不包括该包源地址；
确定该包源地址是否是离开链接的地址；
如果将该包源地址确定为不是离开链接的地址，则在该入口缓存中寻找具有与该包目的地址相同的目的地址的离开链接源入口；和
将该包转发给本地插座。
9.如权利要求8所述的方法，其中在该路由缓存中寻找该离开链接的源入口包括：
至少基于该包目的地址计算搜索哈希值；和
在该路由缓存中搜索包含等于该搜索哈希值的哈希值的入口。
10.如权利要求8所述的方法，其中该离开链接源入口包含入口服务类型标识符号，该网络包包含包服务类型标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口服务类型标识符等于该包服务类型标识符。
11.如权利要求8所述的方法，其中该离开链接的源入口包含入口协议标识符，该网络包包含包协议标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口协议标识符等于该包协议标识符。
12.如权利要求8所述的方法，其中该离开链接的源入口包含入口区分的服务码点，该网络包包含包区分的服务码点，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口区分的服务码点等于该包区分的服务码点。
13.如权利要求8所述的方法，其中该网络包源自于具有相关插座连接状态的插座，其由操作系统控制；
确定该插座连接状态在该路由缓存中不可获得；和
从该操作系统请求该插座的连接状态。
14.如权利要求13所述的方法，其中该插座形成了TCP连接。
15.一种转发具有包源地址和包目的地址的网络包的方法，包括：
包括包含关于如何处理包的信息的入口的路由缓存，其中至少一个入口包含入口源地址，入口目的地址，和到物理网络接口的入口指针；
在该路由缓存中创建离开链接的源入口，其中该离开链接的入口不包括该包源地址，该离开链接的源入口不包含该包目的地址；
确定该包源地址是否是离开链接的地址；
如果将该包源地址确定为不是离开链接的地址，则在该入口缓存中寻找该离开链接源入口；和
将该包转发给该包目的地址。
16.如权利要求15所述的方法，其中在该入口缓存中创建离开链接的源入口进一步包括标记该入口使得其仅仅用于其中该包源地址是链接上地址的包；和
其中在该路由缓存中寻找该离开链接的源入口包括确定该包目的地址是链接上的地址。
17.如权利要求15所述的方法，其中该离开链接源入口包含入口服务类型标识符，该网络包包含包服务类型标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口服务类型标识符等于该包服务类型标识符。
18.如权利要求15所述的方法，其中该离开链接的源入口包含入口协议标识符，该网络包包含包协议标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口协议标识符等于该包协议标识符。
19.如权利要求15所述的方法，其中该离开链接的源入口包含入口区分的服务码点，该网络包包含包区分的服务码点，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口区分的服务码点等于该包区分的服务码点。
20.如权利要求15所述的方法，其中该网络包源自于具有相关插座连接状态的插座，其由操作系统控制；
确定该插座连接状态在该路由缓存中不可获得；和
从该操作系统请求该插座的连接状态。
21.如权利要求20所述的方法，其中该插座形成了TCP连接。
22.一种转发具有包源地址和包目的地址的网络包的方法，包括：
包括包含关于如何处理包的信息的入口的路由缓存，其中至少一个入口包含入口源地址，入口目的地址，和到物理网络接口的入口指针；
在该路由缓存中创建离开链接的目的入口，其中该离开链接的入口不包括该包源地址，该离开链接的目的入口不包含该包目的地址；
确定该包目的地址是否是离开链接的地址；
如果将该包目的地址确定为是离开链接的地址，则在该入口缓存中寻找该离开链接目的入口；和
将该包转发给该包目的地址。
23.如权利要求22所述的方法，其中在该入口缓存中创建离开链接的源入口进一步包括标记该入口使得其仅仅用于其中该包源地址是链接上地址的包；和
其中在该路由缓存中寻找该离开链接的源入口包括验证该包源地址是链接上的地址。
24.如权利要求22所述的方法，其中该离开链接目的入口包含入口服务类型标识符，该网络包包含包服务类型标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口服务类型标识符等于该包服务类型标识符。
25.如权利要求1所述的方法，其中该离开链接的目的入口包含入口协议标识符，该网络包包含包协议标识符，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口协议标识符等于该包协议标识符。
26.如权利要求1所述的方法，其中该离开链接的目的入口包含入口区分的服务码点，该网络包包含包区分的服务码点，在该路由缓存中寻找该离开链接的源入口进一步包括：
确保该入口区分的服务码点等于该包区分的服务码点。
27.如权利要求1所述的方法，其中该网络包源自于具有相关插座连接状态的插座，其由操作系统控制；
确定该插座连接状态在该路由缓存中不可获得；和
从该操作系统请求该插座的连接状态。
28.如权利要求6所述的方法，其中该插座形成了TCP连接。
29.一种使用具有至少包含入口源地址，入口目的地址，到源物理网络接口的入口指针和到目的物理网络接口入口指针的入口的路由缓存来转发具有包源地址和包目的地址的网络包的方法，包括：
在该路由缓存中创建包含到源物理网络接口的入口指针和用来确定目的IP地址是否匹配该入口的数据的第一共享入口，其中该第一共享入口不包括包目的地址且不包括包源地址；
在物理网络接口上接收包含目的IP地址的包；和
在该路由缓存中寻找入口，该入口包含到其上接收该包的源物理网络接口的入口指针且包含指示该包目的IP地址匹配该入口的数据。
CN2010800383920A 2009-08-27 2010-08-26 优化路由缓存的方法 Pending CN102484613A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/548,564 US8175098B2 (en) 2009-08-27 2009-08-27 Method for optimizing a route cache
US12/548564 2009-08-27
PCT/US2010/046741 WO2011025854A1 (en) 2009-08-27 2010-08-26 Method for optimizing a route cache

Publications (1)

Publication Number Publication Date
CN102484613A true CN102484613A (zh) 2012-05-30

Family

ID=43624818

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2010800383920A Pending CN102484613A (zh) 2009-08-27 2010-08-26 优化路由缓存的方法

Country Status (12)

Country Link
US (1) US8175098B2 (zh)
EP (1) EP2471225A4 (zh)
JP (1) JP2013503572A (zh)
KR (1) KR20120021313A (zh)
CN (1) CN102484613A (zh)
AR (1) AR078997A1 (zh)
AU (1) AU2010286686B2 (zh)
BR (1) BRPI1011809A2 (zh)
CA (1) CA2765400A1 (zh)
RU (1) RU2011150508A (zh)
TW (1) TW201132058A (zh)
WO (1) WO2011025854A1 (zh)

Families Citing this family (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
NZ532773A (en) 2001-11-01 2005-11-25 Verisign Inc Transactional memory manager
US9292612B2 (en) 2009-04-22 2016-03-22 Verisign, Inc. Internet profile service
US8527945B2 (en) 2009-05-07 2013-09-03 Verisign, Inc. Method and system for integrating multiple scripts
US8510263B2 (en) 2009-06-15 2013-08-13 Verisign, Inc. Method and system for auditing transaction data from database operations
US8977705B2 (en) * 2009-07-27 2015-03-10 Verisign, Inc. Method and system for data logging and analysis
US8327019B2 (en) 2009-08-18 2012-12-04 Verisign, Inc. Method and system for intelligent routing of requests over EPP
US8856344B2 (en) 2009-08-18 2014-10-07 Verisign, Inc. Method and system for intelligent many-to-many service routing over EPP
US8175098B2 (en) 2009-08-27 2012-05-08 Verisign, Inc. Method for optimizing a route cache
US9269080B2 (en) 2009-10-30 2016-02-23 Verisign, Inc. Hierarchical publish/subscribe system
US9235829B2 (en) 2009-10-30 2016-01-12 Verisign, Inc. Hierarchical publish/subscribe system
US9047589B2 (en) 2009-10-30 2015-06-02 Verisign, Inc. Hierarchical publish and subscribe system
US9762405B2 (en) 2009-10-30 2017-09-12 Verisign, Inc. Hierarchical publish/subscribe system
US8982882B2 (en) 2009-11-09 2015-03-17 Verisign, Inc. Method and system for application level load balancing in a publish/subscribe message architecture
US9569753B2 (en) 2009-10-30 2017-02-14 Verisign, Inc. Hierarchical publish/subscribe system performed by multiple central relays
CN105704759A (zh) * 2011-05-27 2016-06-22 上海华为技术有限公司 一种数据流传输方法及网络设备
CN105939263B (zh) * 2015-08-12 2019-07-09 杭州迪普科技股份有限公司 一种报文发送方法和装置
US9942140B2 (en) * 2015-10-08 2018-04-10 Arista Networks, Inc. Dynamic forward information base prefix optimization
WO2017213459A1 (ko) * 2016-06-10 2017-12-14 엘지전자 주식회사 방송 신호 수신 장치 및 방송 신호 처리 방법
US10511530B2 (en) * 2016-12-13 2019-12-17 Viasat, Inc. Return-link routing in a hybrid network
CN110932975B (zh) * 2019-11-29 2022-04-05 迈普通信技术股份有限公司 流表下发方法、数据转发方法、装置及电子设备
US11516131B2 (en) * 2021-02-09 2022-11-29 Ciena Corporation Least common scope address selection systems and methods

Family Cites Families (49)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE381846T1 (de) 1999-03-03 2008-01-15 Ultradns Inc Skalierbare und effiziente domainnamenauflösung
GB2356104B (en) 1999-11-04 2001-10-10 3Com Corp Network switch including bandwidth controller
KR100751622B1 (ko) 1999-11-26 2007-08-22 네테카 인코포레이티드 네트워크 어드레스 서버, 도메인 명칭 분석 방법, 및 컴퓨터 판독 가능 기록 매체
US7734815B2 (en) 2006-09-18 2010-06-08 Akamai Technologies, Inc. Global load balancing across mirrored data centers
US7725602B2 (en) 2000-07-19 2010-05-25 Akamai Technologies, Inc. Domain name resolution using a distributed DNS network
NZ532773A (en) 2001-11-01 2005-11-25 Verisign Inc Transactional memory manager
US20050027882A1 (en) 2003-05-05 2005-02-03 Sullivan Alan T. Systems and methods for direction of communication traffic
US20050105513A1 (en) 2002-10-27 2005-05-19 Alan Sullivan Systems and methods for direction of communication traffic
US7310686B2 (en) 2002-10-27 2007-12-18 Paxfire, Inc. Apparatus and method for transparent selection of an Internet server based on geographic location of a user
KR100514742B1 (ko) * 2003-02-06 2005-09-14 삼성전자주식회사 통합 캐시를 이용하여 다음 홉 주소를 결정하는 장치 및 방법
US7404205B2 (en) 2003-06-03 2008-07-22 Hewlett-Packard Development Company, L.P. System for controlling client-server connection requests
US7761570B1 (en) 2003-06-26 2010-07-20 Nominum, Inc. Extensible domain name service
US7769826B2 (en) 2003-06-26 2010-08-03 Nominum, Inc. Systems and methods of providing DNS services using separate answer and referral caches
US7467228B2 (en) 2003-08-25 2008-12-16 Hewlett-Packard Development Company, L.P. Diversified host based route selection metric
US7761678B1 (en) 2004-09-29 2010-07-20 Verisign, Inc. Method and apparatus for an improved file repository
US7685270B1 (en) 2005-03-31 2010-03-23 Amazon Technologies, Inc. Method and apparatus for measuring latency in web services
CA2609415A1 (en) 2005-05-24 2006-11-30 Paxfire, Inc. Enhanced features for direction of communication traffic
US7546368B2 (en) 2005-06-01 2009-06-09 Neustar, Inc. Systems and methods for isolating local performance variation in website monitoring
US7477575B2 (en) 2005-09-23 2009-01-13 Verisign, Inc. Redundant timer system and method
US8161549B2 (en) * 2005-11-17 2012-04-17 Patrik Lahti Method for defending against denial-of-service attack on the IPV6 neighbor cache
JP2009524355A (ja) 2006-01-20 2009-06-25 パックスファイアー インコーポレイテッド 通信トラフィックを判別し、制御するためのシステムおよび方法
US7624181B2 (en) 2006-02-24 2009-11-24 Cisco Technology, Inc. Techniques for authenticating a subscriber for an access network using DHCP
US8713188B2 (en) 2007-12-13 2014-04-29 Opendns, Inc. Per-request control of DNS behavior
US8606926B2 (en) 2006-06-14 2013-12-10 Opendns, Inc. Recursive DNS nameserver
US20080059152A1 (en) 2006-08-17 2008-03-06 Neustar, Inc. System and method for handling jargon in communication systems
US20080133729A1 (en) 2006-08-17 2008-06-05 Neustar, Inc. System and method for managing domain policy for interconnected communication networks
US8234379B2 (en) 2006-09-14 2012-07-31 Afilias Limited System and method for facilitating distribution of limited resources
US20100030897A1 (en) 2006-12-20 2010-02-04 Rob Stradling Method and System for Installing a Root Certificate on a Computer With a Root Update Mechanism
US7694016B2 (en) 2007-02-07 2010-04-06 Nominum, Inc. Composite DNS zones
US8312541B2 (en) * 2007-07-17 2012-11-13 Cisco Technology, Inc. Detecting neighbor discovery denial of service attacks against a router
CA2701098A1 (en) 2007-10-18 2009-04-23 Neustar, Inc. System and method for sharing web performance monitoring data
US20090235359A1 (en) 2008-03-12 2009-09-17 Comodo Ca Limited Method and system for performing security and vulnerability scans on devices behind a network security device
US7925782B2 (en) 2008-06-30 2011-04-12 Amazon Technologies, Inc. Request routing using network computing components
US20090282027A1 (en) 2008-09-23 2009-11-12 Michael Subotin Distributional Similarity Based Method and System for Determining Topical Relatedness of Domain Names
US9172713B2 (en) 2008-09-24 2015-10-27 Neustar, Inc. Secure domain name system
US7930393B1 (en) 2008-09-29 2011-04-19 Amazon Technologies, Inc. Monitoring domain allocation performance
US9292612B2 (en) 2009-04-22 2016-03-22 Verisign, Inc. Internet profile service
US8527658B2 (en) 2009-04-07 2013-09-03 Verisign, Inc Domain traffic ranking
US8676989B2 (en) 2009-04-23 2014-03-18 Opendns, Inc. Robust domain name resolution
US8527945B2 (en) 2009-05-07 2013-09-03 Verisign, Inc. Method and system for integrating multiple scripts
US8510263B2 (en) 2009-06-15 2013-08-13 Verisign, Inc. Method and system for auditing transaction data from database operations
US8977705B2 (en) 2009-07-27 2015-03-10 Verisign, Inc. Method and system for data logging and analysis
US20110035497A1 (en) 2009-08-05 2011-02-10 Dynamic Network Services, Inc. System and method for providing global server load balancing
US8380870B2 (en) 2009-08-05 2013-02-19 Verisign, Inc. Method and system for filtering of network traffic
US8327019B2 (en) 2009-08-18 2012-12-04 Verisign, Inc. Method and system for intelligent routing of requests over EPP
US8175098B2 (en) 2009-08-27 2012-05-08 Verisign, Inc. Method for optimizing a route cache
US9047589B2 (en) 2009-10-30 2015-06-02 Verisign, Inc. Hierarchical publish and subscribe system
US8982882B2 (en) 2009-11-09 2015-03-17 Verisign, Inc. Method and system for application level load balancing in a publish/subscribe message architecture
US9286369B2 (en) 2009-12-30 2016-03-15 Symantec Corporation Data replication across enterprise boundaries

Also Published As

Publication number Publication date
AR078997A1 (es) 2011-12-21
JP2013503572A (ja) 2013-01-31
BRPI1011809A2 (pt) 2019-09-24
RU2011150508A (ru) 2013-07-10
EP2471225A4 (en) 2017-09-27
US20110051728A1 (en) 2011-03-03
KR20120021313A (ko) 2012-03-08
CA2765400A1 (en) 2011-03-03
AU2010286686B2 (en) 2014-10-23
TW201132058A (en) 2011-09-16
EP2471225A1 (en) 2012-07-04
WO2011025854A1 (en) 2011-03-03
AU2010286686A1 (en) 2012-01-19
US8175098B2 (en) 2012-05-08

Similar Documents

Publication Publication Date Title
CN102484613A (zh) 优化路由缓存的方法
Deering et al. Internet protocol, version 6 (IPv6) specification
Deering et al. RFC 8200: Internet protocol, version 6 (ipv6) specification
US10958623B2 (en) Identity and metadata based firewalls in identity enabled networks
US7738457B2 (en) Method and system for virtual routing using containers
EP2345212B1 (en) Method and apparatus for forwarding data packets using aggregating router keys
US6714985B1 (en) Method and apparatus for efficiently reassembling fragments received at an intermediate station in a computer network
CN1829195B (zh) 分组转发装置
WO2012077603A1 (ja) コンピュータシステム、コントローラ、及びネットワーク監視方法
CN100364306C (zh) 基于签名的自治系统间IPv6真实源地址验证方法
US10298616B2 (en) Apparatus and method of securing network communications
US20080127324A1 (en) DDoS FLOODING ATTACK RESPONSE APPROACH USING DETERMINISTIC PUSH BACK METHOD
US9445384B2 (en) Mobile device to generate multiple maximum transfer units and data transfer method
CN109428884B (zh) 通信保护装置、控制方法以及记录介质
CN105052106B (zh) 用于接收和传输互联网协议(ip)数据包的方法和系统
CN102027726B (zh) 用于控制数据分组的路由的方法和设备
US7796614B1 (en) Systems and methods for message proxying
EP3073701B1 (en) Network protection entity and method for protecting a communication network against fraud messages
CN102594810A (zh) 一种IPv6网络防止PMTU攻击的方法和装置
US20190028436A1 (en) Apparatus and method for forwarding of data packets
Narten et al. RFC1970: Neighbor Discovery for IP version 6 (IPv6)
Bonica et al. RFC 8900: IP Fragmentation Considered Fragile
Byun et al. Reviewing Technological Solutions of Source Address Validation
Partridge et al. FLINT Protocol Specification
EP2940944B1 (en) Method and device for processing packet in trill network

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20120530