七種IP擁塞控制算法需改進(jìn)

1、七種IP擁塞控制算法需改進(jìn) DDoS攻擊引起的網(wǎng)絡(luò)擁塞， 是由惡意主機(jī)控制大量傀儡機(jī)所造成的，并非傳統(tǒng)意義上的端到端擁塞，所以只能在路由器上進(jìn)行控制，即基于IP擁塞控制來實(shí)現(xiàn)的。而目前主流的七種IP擁塞控制算法都需要在改進(jìn)后，才能有效地應(yīng)用于防范DDoS攻擊。 分布式拒絕服務(wù)DDoS(DistributedDenialofService)攻擊被認(rèn)為是目前Internet所面臨的最大威脅之一。 目前有一些常用的DDoS攻擊防護(hù)機(jī)制和方法包括：通過修改配置和協(xié)議預(yù)防攻擊、反向查找攻擊源頭、攻擊檢測和過濾、分布式攻擊檢測和過濾(主機(jī)端/路由器端)等。 DDoS攻擊與網(wǎng)絡(luò)擁塞 網(wǎng)絡(luò)產(chǎn)生擁塞的根本原因在

2、于用戶提供給網(wǎng)絡(luò)的負(fù)載超過了網(wǎng)絡(luò)的存儲和處理能力，表現(xiàn)為無效數(shù)據(jù)包增加、報文時延增加與丟失、服務(wù)質(zhì)量降低等。如果此時不能采取有效的檢測和控制手段，就會導(dǎo)致?lián)砣饾u加重，甚至造成系統(tǒng)崩潰，在一般情況下形成網(wǎng)絡(luò)擁塞的三個直接原因是： 路由器存儲空間不足。幾個輸入數(shù)據(jù)流需要同一個輸由端口，如果入口速率之和大于由口速率，就會在這個端口上建立隊列。如果沒有足夠的存儲空間，數(shù)據(jù)包就會被丟棄，對突發(fā)數(shù)據(jù)流更是如此。增加存儲空間在表面上似乎能解決這個矛盾，但根據(jù)Nagel的研究，如果路由器有無限存儲量時，擁塞只會變得更壞。 帶寬容量相對不足。直觀地說，當(dāng)數(shù)據(jù)總的輸入帶寬大于輸由帶寬時，在網(wǎng)絡(luò)低速鏈路處就會形成

3、帶寬瓶頸，網(wǎng)絡(luò)就會發(fā)生擁塞，相關(guān)證明可參考香農(nóng)信息理論。 處理器處理能力較弱。如果路由器的CPU在執(zhí)行排 隊緩存、更新路由表等操作時，處理速度跟不上高速鏈路，會產(chǎn)生擁塞。同理，低速鏈路對高速處理器也會產(chǎn)生擁塞。 以上是早期Internet網(wǎng)絡(luò)發(fā)生擁塞的三個主要原因。對此，TCP擁塞控制給由了較好的解決方案。在實(shí)際應(yīng)用中，如果所有的端用戶均遵守或兼容TCP擁塞控制機(jī)制，網(wǎng)絡(luò)的 擁塞能得到很好的控制。但是，當(dāng)DDoS攻擊造成網(wǎng)絡(luò)擁塞時，TCP基于窗口的擁塞控制機(jī)制對此無法加以解決。原因是攻擊帶來的擁塞是由大量惡意主機(jī)發(fā)送數(shù)據(jù)所造成的，這些主機(jī)不但不會完成TCP擁塞控制機(jī)制所規(guī)定的配合工作，甚至本身

4、就可能包含了偽造源地址、加大數(shù)據(jù)發(fā)送量、增加連接數(shù)等攻擊方式。在此情況下，對DDoS攻擊所造成的網(wǎng)絡(luò)擁塞就必須在路由器上進(jìn)行處理，這只能是基于IP擁塞控 制來實(shí)現(xiàn)的。 需要注意的是，DDoS攻擊所造成的網(wǎng)絡(luò)擁塞不同于上 面所分析的普通情況，它們之間存在著本質(zhì)差異。相比之下，DDoS攻擊所造成的擁塞，其攻擊數(shù)據(jù)常常在分組大小、到達(dá)時間、協(xié)議類型等諸多方面具有一定相關(guān)性，這是由分布式拒絕服務(wù)自身特點(diǎn)所決定的。而普通情況下的網(wǎng)絡(luò)擁塞，其數(shù)據(jù)并非由多個受控攻擊者發(fā)送，因而不具有類似的相關(guān)性。對攻擊所造成的擁塞進(jìn)行防護(hù)，就應(yīng)首先找到這個相關(guān)性，在此基礎(chǔ)上引入傳統(tǒng)擁塞控制機(jī)制并加以完善，才能進(jìn)行高效、準(zhǔn)確

5、的檢測和控制工作。 七種主流IP擁塞控制算法及評價 根據(jù)DDoS攻擊的原理和機(jī)制，對各種機(jī)制的防護(hù)能力做評價時應(yīng)參照以下標(biāo)準(zhǔn)：條件一，是否能按一定規(guī)則進(jìn)行特征設(shè)定；條件二，是否能根據(jù)一定規(guī)則對流經(jīng)的數(shù)據(jù)加以區(qū)分；條件三，針對不同類型的數(shù)據(jù)包，是否能提供不同優(yōu)先級的服務(wù)。如果一個擁塞控制機(jī)制滿足了以上三個條件，就基本上具備了防護(hù)DDoS攻擊的能力。 下面將簡略地分析當(dāng)前一些主流IP擁塞控制算法，并對 其防護(hù)DDoS攻擊的可行性進(jìn)行評價： 先進(jìn)先生FIFO(FirstInFirstOut) 傳統(tǒng)的先進(jìn)先生策略是目前Internet上使用最廣泛的一 上是一種“去尾”(Drop-tail)的算法， 所

6、以當(dāng)突發(fā)性數(shù)據(jù)到達(dá)時容易由現(xiàn)包丟失現(xiàn)象，其公平性較差，對上層的TCP快 速恢復(fù)的效率也較低。 對照評價標(biāo)準(zhǔn)可知，該算法沒有滿足任何一個條件，過 于簡單且缺乏智能性，完全不能用于DDoS攻擊防護(hù)。 隨機(jī)早期檢測算法RED(RandomEarlyDetection) RED算法是按一定概率丟棄進(jìn)入路由器的數(shù)據(jù)包。RED 的早期設(shè)計思路是避免丟棄屬于同一連接的連續(xù)數(shù)據(jù)包，從而提高連接的吞吐量。通過分?jǐn)偘鼇G失率，RED可以在各連接之間獲得較好的公平性，對突發(fā)業(yè)務(wù)的適應(yīng)性較強(qiáng)。RED 也存在一些不足，例如可能會引起網(wǎng)絡(luò)的不穩(wěn)定，而且選擇合適的配置參數(shù)也不是一件容易的事。近年來，研究者提由了許多RED的改

7、進(jìn)算法，這些算法都在一定程度上，從不同方面改善了RED的性能。 對照評價標(biāo)準(zhǔn)可知，該方法對DDoS攻擊的防護(hù)作用不 大，由于其思路是分?jǐn)偘鼇G失率，對正常業(yè)務(wù)和攻擊數(shù)據(jù)“過 分公平”，不能做到有所區(qū)分，從而使得大量正常業(yè)務(wù)在攻擊發(fā)生時無法得到服務(wù)。 顯示擁塞指示算法ECN(ExplicitCongestionNotification) 種服務(wù)模型。它的最大優(yōu)點(diǎn)是便于實(shí)施，但由于 FIFO本質(zhì) 前面兩種擁塞控制算法都是通過包丟失來告訴端系統(tǒng)， 網(wǎng)絡(luò)已經(jīng)發(fā)生擁塞。 而顯示擁塞指示算法通過明確的擁塞提示(RFC2481)來實(shí)現(xiàn)擁塞控制，對一次性大批量數(shù)據(jù)傳輸?shù)男Ч容^理想，但對時延有一定要求。 該算法

8、在源端數(shù)據(jù)包中嵌入ECN,由路由器根據(jù)網(wǎng)絡(luò)情 況設(shè)置CE(CongestionExperienced)比特位。源端接收到從網(wǎng)絡(luò)中反饋回來的這種CE置位數(shù)據(jù)包后， 將隨后發(fā)生的數(shù)據(jù)包標(biāo)記為可丟棄的數(shù)據(jù)包。ECN的優(yōu)勢在于不需要超時重傳，也不依賴于粗粒度的TCP定時，所以在對時延有一定要求的應(yīng)用場合性能較好。在此基礎(chǔ)上還提由了另一種改進(jìn)算法， 它通過調(diào)整擁塞窗口CWND的大小， 糾正有長時間RTT的TCP連接的偏差，來改進(jìn)共享瓶頸處帶寬的公平性。 對照評價標(biāo)準(zhǔn)可知，該方法對防護(hù)DDoS攻擊效果不大，原因在于無攻擊特征識別和區(qū)分功能，在攻擊發(fā)生時智能性較差。 公平排隊算法FQ(FairQueuing

9、) 在FQ算法中路由器對每個輸生線路都建有一個排隊隊列。當(dāng)一條線路空閑時，路由器就來回掃描所有隊列，依次將每隊的第一個包發(fā)由oFQ的帶寬分配獨(dú)立于數(shù)據(jù)包大小， 各種服務(wù)在隊列中幾乎同時開始。因此在沒有犧牲統(tǒng)計復(fù)用的情況下提供了另外的公平性，與端到端的擁塞控制機(jī)制可以較好地協(xié)同。它的缺點(diǎn)在于實(shí)現(xiàn)起來很復(fù)雜，需要每個數(shù)據(jù)流的排隊處理、每個流的狀態(tài)統(tǒng)計、數(shù)據(jù)包的分類以及包 調(diào)度的額外開銷等。 對照評價標(biāo)準(zhǔn)可知，該方法對防護(hù)DDoS攻擊效果不大，原因同ECN法。 加權(quán)公平排隊算法WFQ(WeightedFairQueuing)加權(quán)公平排隊算法是FQ的改進(jìn)算法。根據(jù)不同數(shù)據(jù)流 的不同帶寬要求，對每個排隊

10、隊列采用加權(quán)方法分配緩存資源，從而增加FQ對不同應(yīng)用的適應(yīng)性，該算法還有其他一些改進(jìn)算法。 對照評價標(biāo)準(zhǔn)可知，該方法通過改進(jìn)后可用于防護(hù) DDoS攻擊，思路是首先對攻擊進(jìn)行檢測和分類，然后將入口數(shù)據(jù)按攻擊數(shù)據(jù)、正常數(shù)據(jù)、可疑數(shù)據(jù)三種類型分別排隊處理，對攻擊數(shù)據(jù)直接丟棄，而通過對可疑和正常數(shù)據(jù)賦予一定權(quán)值，來提供不同質(zhì)量的服務(wù)。在路由器性能良好、處理能力強(qiáng)的情況下，甚至可以采取更復(fù)雜、智能的處理策略，例如多優(yōu)先級隊列。 加權(quán)隨機(jī)先期檢測WRED(WeightedRandomEarlyDetection) 是將隨機(jī)先期檢測與優(yōu)先級排隊結(jié)合起來，這種結(jié)合為高優(yōu)先級分組提供了優(yōu)先通信服務(wù)能力。當(dāng)莫個接

11、口開始由現(xiàn)擁塞時，它有選擇丟棄優(yōu)先級較低的分組，而不是簡單地隨機(jī)丟棄分組。 對照評價標(biāo)準(zhǔn)可知，該方法通過改進(jìn)后可用于防護(hù)DDoS攻擊，思路與WFQ類似，它們都符合評價標(biāo)準(zhǔn)的條件三，改進(jìn)應(yīng)從增加條件一和條件二著手。 定制排隊 定制排隊是為允許具有不同最低帶寬和延遲要求的應(yīng)用程序共享網(wǎng)絡(luò)而設(shè)計的。定制排隊為不同協(xié)議分配不同的隊列空間，并以循環(huán)方式處理隊列，當(dāng)特定協(xié)議的數(shù)據(jù)流被分配了較大的隊列空間，也就獲得了較優(yōu)先的服務(wù)，定制排隊比優(yōu)先級隊列更為公平。定制排隊可以保證每一個特定的通信類型得到固定的可用帶寬，同時在鏈路緊張的情況下，避免了數(shù)據(jù)流企圖超由預(yù)分配量限制的可能。 對照評價標(biāo)準(zhǔn)可知，該方法通過改進(jìn)后可用于防護(hù)DDoS攻擊，都是在資源分配和使用時為不同業(yè)務(wù)提供優(yōu)先級加權(quán)，改進(jìn)思路與WFQ和WRED類似。 除了以上7種方法以外，還有其他一些方法。如將FQ與RED算法結(jié)合起來的FlowRED算法，它將緩存