TCP/IP协议在设计之初，没有过多的考虑安全这一方面，因此许多协议存在着被***利用的弱点。随着互联网络急剧的膨胀，这些弱点将对我们的企业网络构成日益严峻的威胁。一个很好的例子就是TCP协议，这个协议要求在传输数据之前使用一个“三次握手”过程来建立一个连接。如下图所示.

                                                              

source端最初发送一个syn=x的报文，请求建立一个TCP连接。

destination端以一个在报文头中设置了ack,syn标记的报文作为响应。

ack标记是对source端请求的响应，syn标记指示自身的连接建立请求。

source端通过向destination端发送一个带ack标记的报文确认目的端的连接建立请求。

当完成上述“三次握手”之后，source端可以开始正式发送数据给destination端。

 

TCP协议中的弱点之一是目的端期望源端发送一个最后的ack给目的端，完成连接的建立。***可以利用这个弱点，通过伪造一个虚假的sourceIP地址向一个目标服务器发送大量的tcp syn请求报文，由于source是虚假的，将会导致destination无法收到source返回的ack，这种连接类型被称为半开连接(Half-Open Connection)。这样将导致destination端的资源被大量占用，从而致使目的端为新的服务拒绝连接，这就是有名的拒绝服务***(Denial of Service Attack)。

 

网络***的分类：

1.侦测***

  从严格意义上讲，侦测***不能算是真正的***，它主要指***利用各种手段对网络中的具体的信息（网络拓朴、网络内的主机、主机上开启的服务）进行侦测，但是侦测***往往是真正***的前奏。

2.访问***

  在这种***中，***企图获得对网络和网络资源的未经授权的或非法的访问，尤其是如file、e-mail、web服务器这样的资源。

3.DOS***

  使用DOS***，***企图拒绝到特定资源的合法流量和用户访问，或者至少降低对资源的服务质量。

  DOS***除了TCP的half-open connection以外，还有象基于TCP syn、UDP echo、ICMP echo的flood***。

  缓解DOS***的方法很多，比如说用ACL，URPF等技术都可以实现，但本专题仅专注于用traffic-police（流量策略）技术实现。

 

traffic-police可以执行两个基本功能：

1.速率限制

2.流量分类

 

traffic-police的命令结构如下(在MQC配置模式)：

police conform-action exceed-action [violate-action ]

 

：CIR。（定义了向token buckets中注入token的平均数率）

:BC。(定义了BC token buckets的大小)

:BE。(定义了BE token buckets的大小)

:定义行为，可选的一部分行为如下：

?drop—Drops the packet.

?set-prec-transmit —Sets the IP precedence and sends the packet.

?set-dscp-transmit —Sets the DSCP value and transmits the packet.

?transmit—Sends the packet.

 

当实施流量策略的时候，在CISCO路由器内部将会有一套非常复杂的用来对流量传输的实际速率进行评估的机制，这是利用被称为令牌桶(toke-bucket)的机制来实现，CISCO设备支持多种类型的令牌桶，如单桶和双桶。

单桶的特征如下：

                                    

         

 

桶的大小就是BC，并且在初始的时刻桶内就装满了BC byte的令牌。

在令牌桶的上方，CISCO路由器将以恒定于CIR的速率往桶内注入令牌。

在令牌桶的下方，CISCO路由器将会根据底层实际需要传递的数据包的数量来决定需要从令牌桶中流出多少byte的令牌。

因此，不难发现，可能会出现下列几种情况：

1)      BC桶内当前令牌数量>=路由器底层实际需要传输的数据包的数量

这种情况，将会触发conform-action行为，通常是transmit。表明桶内令牌数量足够。

2)      BC桶内当前令牌数量<路由器底层实际需要传输的数据包的数量

这种情况，将会触发exceed-action行为，通常是drop。表明桶内令牌数量不够。

 

双桶特征如下：

                                    

 

 

第一个桶的大小就是BC，并且在初始的时刻桶内就装满了BC byte的令牌。

第二个桶的大小就是BE，并且也是在初始的时刻桶内就装满了BE byte的令牌。

这两个桶之间的关联是：如果新注入的令牌将BC桶装满，那么富裕的令牌将从BC桶注入进BE桶。

在Bc桶的上方，CISCO路由器将以恒定于CIR的速率往bc桶内注入令牌。

在每个桶的下方，CISCO路由器将会根据底层实际需要传递的数据包的数量来决定需要从令牌桶中流出多少byte的令牌。

因此，不难发现，可能会出现下列几种情况：

1)      BC桶内当前令牌数量>=路由器底层实际需要传输的数据包的数量

这种情况，将会触发conform-action行为，表明BC桶内令牌数量足够。

2)      BC桶内当前令牌数量<路由器底层实际需要传输的数据包的数量