基于DDOS防范负载均衡群集设计与实现.docVIP

基于DDOS防范负载均衡群集设计与实现 　　摘要：分析了DDOS攻击的特点，介绍了负载均衡群集的优缺点以及在基于DDOS防范的负载均衡群集设计中的应用方式。设计实现了一套典型应用系统，并针对实际攻击作了性能分析。 　　关键词：群集；DDOS攻击；负载均衡群集 　　中图法分类号：TP311文献标识码：A 文章编号：1009-3044(2007)18-31522-02 　　Load balanced Cluster Based on DDOS Guard Against Design and Realization 　　LI Yun-he１, WU Shan-yu１,YAN Zhen-ming２ 　　(1.Department of Computer Science Technology,Maoming College,Maoming 525000,China;2.The Hubei branch of China Unicom, maintenance department,Wuhan 437000,China) 　　Abstract:Analyzed the characteristics of DDOS attack,introduced to the merit and shortcoming of load balanced cluster and in according to the DDOS attack of the loadbalanced cluster design of apply a way.Designed to carry out a set of typical model application system, and to actual attack made function analysis. 　　Key words:cluster;DDOS attack;Load balanced Cluster 　　 　　群集是一组服务器，这些服务器称做群集节，它们尽管物理上是不同的，但可以作为一个或更多虚拟实体来进行查看，访问和管理。这是通过使用专门的软件，硬件，或者软硬件结合来完成的。在正常情况下，群集的每个节点都能够独立于其他节点运行，所有节点又都紧密地结合在一起工作。在一个或更多的节点出现硬件故障的情况下，只要还剩下至少一个可以运行的节点，群集就仍然能够继续工作。群集还支持以一种对连接到它的客户端透明的方式来增加或减少组件。 　　群集对资源的标识虚拟化。也就是说，它隐藏了资源对单个服务器硬件的依存关系。这种标识通常基于一个惟一的名字（比如主机名）或地址（IP地址或者MAC地址），这样的名字或地址成为群集资源的一部分，而不是被指定给某一个群集节点。因此以这个名字或地址为目标的来自客户端的请求由群集软件来处理，如果有多个相同的资源是可用的，那么群集将请求重定向到一个首选节点，这个首选项节点是依据预置的设定值（比如节点优先选择算法或散列算法）和当前状态（比如节点可用性和在某些情况下的应用）来确定的。 　　 　　1 负载均衡群集的设计 　　 ??　这种群集方式将客户请求均衡地分配给多台计算机理，每台计算机读取相同的数据，以达到均衡负载的效果。这也是本文重点介绍的防范ddos攻击所采用的群集。负载均衡群集又有多种实现方式，比如基于win2003系统的负载均衡，linux系统中的lvs(linuxvirtualserver)群集技术，基于dns轮循的负载均衡，基于NAT的负载均衡，还有基于反向代理的负载均衡等。 　　本设计的目的是构建一个可以抵抗DDOS攻击的群集。负载均衡的群集要求在受到大流量（指可以导致机房负荷不足甚至整个机房瘫痪）的攻击时，服务器仍然能够对客户给予响应，提供正常的服务。即使在最恶劣（攻击者的带宽远远大于我们的机房所拥有的带宽）的情况下，群集的结构仍然能够为大部分用户提供正常的服务。 　　为实现此群集，本设计同时使用了基于dns的负载均衡和基于nat的负载均衡（也可以使用基于lvs的负载均衡） 　　DNS轮循是指通过配置DNS使相同的域名解释不同的IP，随机使用其中某台主机的技术。通过DNS轮循系统可以使用N台主机作为WEB服务器，完全看您的网站的需求。目前已有越来越多大型的WEB服务使用DNS轮循来实现负载均衡，使用多个同样角色的服务器做前台的WEB服务，这大大方便了服务的分布规划和扩展性，提高了网站的访问效率，为那些焦急等待大量数据文件请求响应的客户提供更快的响应时间。 　　natd与ipfw相互配合，能够实现网络地址翻译的能力。内核通过一个特定的divert类型的端口，将需要转换的数据包交给natd，而natd转换之后，再发送回内核，由内