使用虚拟专用网络抵抗IPQoS拒绝服务攻击的系统、方法和设备

摘要

按照本发明的网络结构(30)包括支持一个或多个基于网络的虚拟专用网络(VPN)(44，46)的通信网络。通信网络包括利用接入链路(35)连接到属于一个或多个VPN(44，46)的CPE边缘路由器(34)的多个边界路由器(40，42)。为了防止来自客户的VPN以外的业务(例如，大部分来自其它VPN或因特网的业务)损害到提供给来自客户的VPN内部的业务的QoS(服务质量)，本发明通过接入链路优先化或接入链路容量分配在每个客户的接入链路上给予VPN内业务比VPN外业务更高的优先权，使得VPN外业务不能干扰VPN内业务。按这种方式给予VPN内业务优于VPN外业务的优先权要求网络元件和协议的专门配置，包括采用层2多路复用在物理接入链路上在VPN内业务和VPN外业务之间的划分以及路由选择协议的配置，以实现逻辑业务分隔。通过以这种方式配置接入网络、VPN边界路由器(40，42)和CPE边缘路由器(34)以及边缘和边界路由器的路由协议，能提供预防DoS(拒绝服务)攻击的高级服务。

主权项

1.一种网络系统，抵抗在对属于一个虚拟专用网络(VPN)的目的地主机的接入链路上的拒绝服务攻击，所述网络系统包括：一个或多个出口边界路由器，具有对包括接入链路的一个接入网络的连接，其中，所述一个或多个出口边界路由器在用于VPN内和VPN外业务的分离的接入网络逻辑连接内发送来自VPN内部的源的VPN内业务和来自VPN外部的源的VPN外业务；以及多个入口边界路由器，耦合到一个或多个出口边界路由器，用于利用一种在逻辑上划分VPN内和VPN外业务的基于网络的VPN协议来通信，使得能够预防从VPN外部的源始发的所述接入链路上的拒绝服务攻击。