本申請涉及計算機(jī)技術(shù)領(lǐng)域，特別涉及一種流量的分流方法和設(shè)備。

背景技術(shù)：

如何提升網(wǎng)絡(luò)互聯(lián)網(wǎng)數(shù)據(jù)中心IDC(Internet Data Center)機(jī)房整體防御DDOS(Distributed Denial of service)攻擊能力以及節(jié)省機(jī)房帶寬資源已成為計算機(jī)技術(shù)領(lǐng)域的研究重點(diǎn)之一；在傳統(tǒng)的分布式拒絕服務(wù)攻擊DDOS防御方案中，是以IDC機(jī)房為單位進(jìn)行的，其基本模型如圖1所示，該IDC機(jī)房包括如下設(shè)備：機(jī)房網(wǎng)絡(luò)設(shè)備、機(jī)房攻擊防護(hù)(清洗)設(shè)備、機(jī)房攻擊檢測設(shè)備以及互聯(lián)網(wǎng)服務(wù)提供商ISP(Internet Service Provider)路由器；

具體的，當(dāng)有流量進(jìn)入對應(yīng)的IDC機(jī)房之后，IDC機(jī)房內(nèi)的網(wǎng)絡(luò)設(shè)備對其進(jìn)行復(fù)制并將復(fù)制出的一份流量交給IDC機(jī)房內(nèi)的攻擊檢測設(shè)備，以使該攻擊檢測設(shè)備能夠?qū)崟r監(jiān)測進(jìn)入IDC機(jī)房內(nèi)的流量；

具體的，如果該攻擊檢測設(shè)備發(fā)現(xiàn)該流量中包含有異常流量，則將該異常流量通過ISP先牽引至IDC機(jī)房內(nèi)的攻擊防護(hù)(清洗)設(shè)備，由該攻擊防護(hù)(清洗)設(shè)備將該異常流量進(jìn)行清洗和過濾后，再回注回IDC機(jī)房內(nèi)的網(wǎng)絡(luò)設(shè)備，最后由IDC機(jī)房內(nèi)的網(wǎng)絡(luò)設(shè)備將流量轉(zhuǎn)發(fā)給IDC機(jī)房內(nèi)對應(yīng)的服務(wù)器。

但申請人在實(shí)現(xiàn)本申請的過程中發(fā)現(xiàn)，上述傳統(tǒng)的DDOS防御方案至少存在以下問題：

對于上述傳統(tǒng)的DDOS防御方案而言，其防御能力受限于單個IDC機(jī)房的入口帶寬；進(jìn)一步，當(dāng)帶寬不夠時，現(xiàn)有技術(shù)中提供的方案是：向ISP購買帶寬。而眾所周知的是向ISP購買帶寬的費(fèi)用是比較昂貴的。如果為了防御一些針對特定服務(wù)器的大規(guī)模攻擊而提升整體帶寬的話，還是得不償失的。

因此，本領(lǐng)域技術(shù)人員亟待找到新的解決方法，來提升IDC機(jī)房整體防 御DDOS攻擊能力。

技術(shù)實(shí)現(xiàn)要素：

本申請實(shí)施例提供一種流量的分流方法和設(shè)備，應(yīng)用于包括多個IDC系統(tǒng)的網(wǎng)絡(luò)中，在所述多個IDC系統(tǒng)中包括一個指定的目標(biāo)IDC系統(tǒng)、以及至少一個可用于分流的IDC系統(tǒng)，以實(shí)現(xiàn)提升IDC系統(tǒng)整體防御DDOS攻擊能力。

為了達(dá)到上述目的，本申請實(shí)施例提供一種流量的分流方法，其特征在于，具體包括以下步驟：

在發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)入所述目標(biāo)IDC系統(tǒng)之前，由所述目標(biāo)IDC系統(tǒng)對該流量進(jìn)行鏡像處理，確定該鏡像流量的數(shù)值；

當(dāng)所述數(shù)值大于目標(biāo)IDC系統(tǒng)的入口帶寬的數(shù)值時，根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中，以使所述至少一個可用于分流的IDC系統(tǒng)對所述流量進(jìn)行清洗；其中，所述可用于分流的IDC系統(tǒng)為根據(jù)各IDC系統(tǒng)預(yù)設(shè)的流量饑餓門限值、流量飽和門限值以及流量極限門限值確定出的。

本申請實(shí)施例還提供一種IDC設(shè)備流量的分流設(shè)備，其特征在于，具體包括：

確定模塊，用于在發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)入所述目標(biāo)IDC系統(tǒng)之前，由所述目標(biāo)IDC系統(tǒng)對該流量進(jìn)行鏡像處理，確定該鏡像流量的數(shù)值；

分流模塊，用于當(dāng)所述數(shù)值大于所述入口帶寬的數(shù)值時，根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中，以使所述至少一個可用于分流的IDC系統(tǒng)對所述流量進(jìn)行清洗；其中，所述可用于分流的IDC系統(tǒng)為根據(jù)各IDC系統(tǒng)預(yù)設(shè)的饑餓門限值、飽和門限值以及流極限門限值確定出的。

與現(xiàn)有技術(shù)相比，本申請實(shí)施例公開的方法和設(shè)備至少具有以下優(yōu)點(diǎn)：

本申請實(shí)施例公開了一種流量的分流方法和設(shè)備，應(yīng)用于包括多個IDC系統(tǒng)的網(wǎng)絡(luò)中，在多個IDC系統(tǒng)中包括一個指定的目標(biāo)IDC系統(tǒng)、以及至少一個可用于分流的IDC系統(tǒng)，該方法包括：當(dāng)發(fā)往目標(biāo)IDC系統(tǒng)中目的IP的流量的數(shù)值大于該目標(biāo)目標(biāo)IDC系統(tǒng)的入口帶寬的數(shù)值時，根據(jù)帶寬優(yōu)先原則、公平分流原則以及質(zhì)量優(yōu)先原則將該發(fā)往目標(biāo)IDC系統(tǒng)中目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)上，以使至少一個可用于分流的IDC系統(tǒng)對分流給自己的發(fā)往目標(biāo)IDC系統(tǒng)中目的IP的流量進(jìn)行清洗，并在清洗完成之后，將清洗后的流量回注回目標(biāo)IDC系統(tǒng)。在本申請部分實(shí)施例公開的方法中，能夠?qū)崿F(xiàn)提升IDC機(jī)房整體防御DDOS攻擊能力的技術(shù)效果。

附圖說明

為了更清楚地說明本申請的技術(shù)方案，下面將對實(shí)施例描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本申請的一些實(shí)施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他的附圖。

圖1是一種傳統(tǒng)DDOS防御方案的模型的示意圖；

圖2是一種環(huán)形組網(wǎng)的示意圖；

圖3是本申請實(shí)施例一提供的一種流量的分流方法的流程示意圖；

圖4是本申請實(shí)施例二提供的一種流量的分流方法的系統(tǒng)結(jié)構(gòu)示意圖；

圖5是本申請實(shí)施例三提供的一種流量的分流設(shè)備的結(jié)構(gòu)示意圖。

具體實(shí)施方式

下面將結(jié)合本申請的實(shí)施例進(jìn)行詳細(xì)的描述。

黑洞處理是指將發(fā)往目標(biāo)IDC系統(tǒng)中的目的IP的流量全部丟棄的一種方法，多見于ISP側(cè)設(shè)備上。

具體的黑洞處理過程，如圖2所示：當(dāng)目標(biāo)IDC系統(tǒng)A中的目的IP 2.1.0.1 遭受了100Gbit的DDOS攻擊流量，且該DDOS攻擊流量的大小超過了目標(biāo)IDC系統(tǒng)A的入口帶寬的大小時，在實(shí)際應(yīng)用場景中，IDC系統(tǒng)的入口帶寬一般為20Gbit；如果按照傳統(tǒng)的DDOS防御方案，為了保護(hù)目標(biāo)IDC系統(tǒng)A中的其他IP(例如IP 2.2.0.1、IP 2.3.0.1等)不受影響，會將目的IP 2.1.0.1通知目標(biāo)IDC系統(tǒng)A的上游ISP側(cè)直接進(jìn)行黑洞處理；這樣雖然損失了發(fā)往目的IP 2.1.0.1的流量，但是可以保護(hù)IDC系統(tǒng)A內(nèi)其他的IP免受影響。但是，在黑洞處理徹底生效之前，目標(biāo)IDC系統(tǒng)A內(nèi)其他正常服務(wù)器對應(yīng)的業(yè)務(wù)會因?yàn)閹挀砣蚧咎幱诎c瘓狀態(tài)。

為了解決這個問題，根據(jù)本申請一個實(shí)施例，當(dāng)目標(biāo)IDC系統(tǒng)A中的目的IP 2.1.0.1遭受了100Gbit的DDOS攻擊流量，且該DDOS攻擊流量的大小超過了目標(biāo)IDC系統(tǒng)A的入口帶寬20Gbit的大小時，是將需要防御的目的IP 2.1.0.1發(fā)布給IDC系統(tǒng)B、C和D，此時IDC系統(tǒng)B、C和D也具有了IP 2.1.0.1；需要說明的是，在將需要防御的目的IP 2.1.0.1發(fā)布給IDC系統(tǒng)B、C和D之前，IDC系統(tǒng)B、C和D內(nèi)的IP并不包括IP 2.1.0.1，其中只分別包括如圖2所示的IP 2.1.0.2、IP 2.1.0.3以及IP 2.1.0.4等，該IDC系統(tǒng)B、C和D是在將需要防御的目的IP 2.1.0.1發(fā)布給自身之后才具有了IP 2.1.0.1；進(jìn)一步，IDC系統(tǒng)B、C和D在具有了IP 2.1.0.1之后，將根據(jù)它們自己帶寬的承載能力針對所述需要防御的目的IP 2.1.0.1發(fā)布不同優(yōu)先級的路由給ISP側(cè)，具體的，帶寬的承載能力較強(qiáng)的也即有更多的空余帶寬的IDC系統(tǒng)，其所發(fā)布的路由的優(yōu)先級要高于帶寬的承載能力相對較弱的也即沒有更多的空余帶寬的IDC系統(tǒng)發(fā)布的路由的優(yōu)先級，這樣做能夠保證流量優(yōu)先進(jìn)入該帶寬的承載能力較強(qiáng)的也即有更多的空余帶寬的IDC系統(tǒng)，當(dāng)進(jìn)入的流量達(dá)到該帶寬的承載能力較強(qiáng)的也即有更多的空余帶寬的IDC系統(tǒng)的分流極限之后，流量才進(jìn)入帶寬的承載能力相對較弱的也即沒有更多的空余帶寬的IDC系統(tǒng)；需要說明的是，發(fā)布不同優(yōu)先級的路由只是確定了分流流量時的次序，并不能決定分給各個IDC系統(tǒng)流量的數(shù)量，真正實(shí)現(xiàn)對分流流量的數(shù)量進(jìn)行劃分的是分流原則包括：帶寬優(yōu)先原則、公平分流原則和質(zhì)量優(yōu)先原則；這樣不同來源的訪問者所對應(yīng)的流量會根據(jù)所述不同優(yōu)先級的路由進(jìn)入IDC系統(tǒng)B、C和D； 然后IDC系統(tǒng)B、C和D將進(jìn)入自己的與目的IP 2.1.0.1相關(guān)的流量進(jìn)行清洗和過濾，最后再通過私有鏈路回送給目標(biāo)IDC系統(tǒng)A；這樣就完成了多系統(tǒng)聯(lián)動防御。從理論上來說，此時每個IDC系統(tǒng)最大的防攻擊能力為所有IDC系統(tǒng)的入口帶寬的總和。

采用本申請上述實(shí)施例提供的多IDC系統(tǒng)的路由調(diào)度策略，可以將單個目標(biāo)IDC系統(tǒng)的流量分散到其他IDC系統(tǒng)進(jìn)行功能分擔(dān)，進(jìn)一步，當(dāng)不同的IDC系統(tǒng)對流量清洗和過濾之后，再通過私有鏈路從內(nèi)部回注給目標(biāo)IDC系統(tǒng)；這樣做將大大降低單個目標(biāo)IDC系統(tǒng)的流量負(fù)載，實(shí)現(xiàn)了提升單個IDC系統(tǒng)防DDOS攻擊的能力的技術(shù)效果。

如圖3所示，為本申請實(shí)施例一提供的流量的分流方法的流程示意圖，應(yīng)用于包括多個網(wǎng)絡(luò)互聯(lián)網(wǎng)數(shù)據(jù)中心IDC系統(tǒng)的網(wǎng)絡(luò)中，在所述多個IDC系統(tǒng)中包括一個指定的目標(biāo)IDC系統(tǒng)、以及至少一個可用于分流的IDC系統(tǒng)，其特征在于，具體包括以下步驟：

步驟S101、在發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)入所述目標(biāo)IDC系統(tǒng)之前，由所述目標(biāo)IDC系統(tǒng)對該流量進(jìn)行鏡像處理，確定該鏡像流量的數(shù)值。

在本實(shí)施例中，確定的是在發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)入所述目標(biāo)IDC系統(tǒng)之前，由所述目標(biāo)IDC系統(tǒng)對該流量進(jìn)行鏡像處理，確定該鏡像流量的數(shù)值，也即確定的并非是真實(shí)的發(fā)送給目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量的數(shù)值，而是通過鏡像方式復(fù)制出的一份流量的數(shù)值，該復(fù)制出的流量僅用于確定該發(fā)送給目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量的數(shù)值大小。

具體的，在本實(shí)施例中，可通過以下步驟實(shí)現(xiàn)確定該真實(shí)的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量的數(shù)值大小，具體包括：

首先，分別確定該鏡像流量中由各個IDC系統(tǒng)負(fù)責(zé)進(jìn)行匯總的鏡像流量的數(shù)值；由于該真實(shí)的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量的數(shù)值往往很大，采用現(xiàn)有的單匯總設(shè)備的匯總方法已經(jīng)無法準(zhǔn)確獲得該 真實(shí)的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量的數(shù)值；因此在本實(shí)施例中是采用多個IDC系統(tǒng)所對應(yīng)的分匯總設(shè)備各自匯總由自身負(fù)責(zé)的部分鏡像流量的數(shù)值，然后上報給總匯總設(shè)備，由總匯總設(shè)備確定出該真實(shí)的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量的數(shù)值。

然后，對所述由各個IDC系統(tǒng)負(fù)責(zé)進(jìn)行匯總的流量的數(shù)值進(jìn)行匯總；

最后，將匯總結(jié)果作為所述鏡像流量的數(shù)值。

此外，需要說明的是，為保證所匯總的是各個IDC系統(tǒng)所對應(yīng)的分匯總設(shè)備同一時刻上報的發(fā)送給目標(biāo)IDC系統(tǒng)中一個指定的目的IP的部分鏡像流量，在本實(shí)施例中，各個IDC系統(tǒng)所對應(yīng)的分匯總設(shè)備均是根據(jù)網(wǎng)絡(luò)時間同步協(xié)議NTP服務(wù)進(jìn)行發(fā)送或者接收信息的。

步驟S102、當(dāng)所述數(shù)值大于目標(biāo)IDC系統(tǒng)的入口帶寬的數(shù)值時，根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中，以使所述至少一個可用于分流的IDC系統(tǒng)對所述流量進(jìn)行清洗；其中，所述可用于分流的IDC系統(tǒng)為根據(jù)各IDC系統(tǒng)預(yù)設(shè)的流量饑餓門限值、流量飽和門限值以及流量極限門限值確定出的。

在本實(shí)施例中，在根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中之前，要將總匯總設(shè)備匯總之后所獲得的鏡像流量的數(shù)值與目標(biāo)IDC系統(tǒng)的入口帶寬的數(shù)值進(jìn)行比較，且只有當(dāng)所述數(shù)值大于目標(biāo)IDC系統(tǒng)的入口帶寬的數(shù)值時，才根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中。

需要說明的是，如果沒有超過，則轉(zhuǎn)至本實(shí)施例中優(yōu)選的步驟S204，結(jié)束本次匯總。

進(jìn)一步，當(dāng)確定了要根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中之后，具體的，可根據(jù)如下三種預(yù)設(shè)的分流規(guī)則包括：帶寬優(yōu)選原則、公平分流原則和質(zhì)量優(yōu)選原則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的 IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中；

需要說明的是，針對帶寬優(yōu)選原則和公平分流原則，由于只考慮一個IDC系統(tǒng)是否有可用帶寬(有可用帶寬也就意味著其可以用于分流)，不必考慮分流過來的流量對于這個IDC系統(tǒng)自身產(chǎn)生的影響，因此在帶寬優(yōu)選原則和公平分流原則下，所有有可用帶寬的可用于分流的IDC系統(tǒng)都要用于分流；而針對質(zhì)量優(yōu)選原則，除了要考慮一個IDC系統(tǒng)是否有可用帶寬之外，還要考慮分流過來的流量是否會對這個IDC系統(tǒng)自身產(chǎn)生影響，因此在質(zhì)量優(yōu)選原則下，即便是帶寬條件滿足了也即有可用帶寬，但各個可用于分流的IDC系統(tǒng)還要考慮：當(dāng)自己進(jìn)行分流之后，這些分過來的流量會不會對自己造成不利的影響，比如說，由于分流了其他IDC系統(tǒng)的流量，而導(dǎo)致無法處理自身的流量，從而一部分可用于分流的IDC系統(tǒng)將拒絕分流，其中，那些進(jìn)入的流量已達(dá)到流量飽和門限值的可用于分流的IDC系統(tǒng)將拒絕分流。也即，針對不同的分流規(guī)則：帶寬優(yōu)選原則、公平分流原則和質(zhì)量優(yōu)選原則，可用于分流的IDC系統(tǒng)又分為可用于帶寬優(yōu)先原則下的可用于分流的IDC系統(tǒng)、可用于公平分流原則下的可用于分流的IDC系統(tǒng)、以及可用于質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)。

在確定了分流規(guī)則以及對應(yīng)分流規(guī)則下的可用于分流的IDC系統(tǒng)之后，在本實(shí)施例中，根據(jù)預(yù)設(shè)的分流規(guī)則對發(fā)送給目標(biāo)IDC系統(tǒng)中一個指定的目的IP的的流量進(jìn)行分流包括以下幾種方式：

若所述預(yù)設(shè)的分流規(guī)則為帶寬優(yōu)選原則時，獲取所述可用于帶寬優(yōu)先原則下的各可用于進(jìn)行分流的IDC系統(tǒng)所對應(yīng)的預(yù)設(shè)的流量極限門限值與當(dāng)前帶寬的差值，對所述差值進(jìn)行排序，并根據(jù)排序結(jié)果將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量逐次分流至所述差值最大的可用于進(jìn)行分流的IDC系統(tǒng)上；其中，所述當(dāng)前帶寬為在對所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)行分流之前進(jìn)入各IDC系統(tǒng)的流量所占用的帶寬；或，

若所述預(yù)設(shè)的分流規(guī)則為公平分流原則，獲取所述可用于公平分流原則下的各可用于進(jìn)行分流的IDC系統(tǒng)所對應(yīng)的預(yù)設(shè)的流量極限門限值與預(yù)設(shè)的 當(dāng)前帶寬的差值，將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至所述預(yù)設(shè)的流量極限門限值與當(dāng)前帶寬存在差值的可用于進(jìn)行分流的IDC系統(tǒng)上；或，

若所述預(yù)設(shè)的分流規(guī)則為質(zhì)量優(yōu)選原則時，獲取所述可用于質(zhì)量優(yōu)先原則下的各可用于進(jìn)行分流的IDC系統(tǒng)所對應(yīng)的預(yù)設(shè)的流量飽和門限值與當(dāng)前帶寬的差值，對所述差值進(jìn)行排序，并根據(jù)排序結(jié)果將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量逐次分流至所述差值最大的可用于進(jìn)行分流的IDC系統(tǒng)上。

具體的，可采用如下方式確定可用于帶寬優(yōu)先原則下的可用于分流的IDC系統(tǒng)、可用于公平分流原則下的可用于分流的IDC系統(tǒng)、以及可用于質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)：

將在對所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)行分流之前進(jìn)入各IDC系統(tǒng)的流量所占用的帶寬也即當(dāng)前帶寬分別與各個IDC系統(tǒng)各自預(yù)設(shè)的流量饑餓門限值、流量飽和門限值、以及流量極限門限值進(jìn)行比較；其中，流量饑餓門限值指：IDC系統(tǒng)所能夠承載流量的最小值，一般而言，當(dāng)該IDC系統(tǒng)承載的流量低于這個值之后，則可能是運(yùn)營商發(fā)生故障，此時需要其他IDC系統(tǒng)對其所屬的流量進(jìn)行引流；流量飽和門限值指：IDC系統(tǒng)正常工作情況下，IDC系統(tǒng)所能夠承載流量的最大值，如果低于這個值可以讓其他IDC系統(tǒng)將流量遷入這個IDC系統(tǒng)，而當(dāng)超過這個值之后，即便是該IDC系統(tǒng)可以為其他IDC系統(tǒng)分流，但分流過來的流量也將可能影響到該IDC系統(tǒng)內(nèi)的流量的正常工作；流量極限門限值指：當(dāng)IDC系統(tǒng)承載的流量超過這個值之后，IDC系統(tǒng)將無法提供正常的服務(wù)，此時需要其他IDC系統(tǒng)對其所屬的流量進(jìn)行引流(需要說明的是，0<＝流量饑餓門限值<＝流量飽和門限值<＝流量極限門限值<＝IDC系統(tǒng)的入口帶寬)；例如，某一個IDC系統(tǒng)的流量饑餓門限值為10Gbit、流量飽和門限值為15Gbit、以及流量極限門限值為20Gbit、以及IDC系統(tǒng)的入口帶寬為20Gbit時，此時，如果進(jìn)入該IDC系統(tǒng)的流量為8Gbit，8Gbit小于10Gbit，則可能是運(yùn)營商發(fā)生故障，需要其他IDC系統(tǒng)對其所屬的流量進(jìn)行引流；當(dāng)然，另外一種情況是，該8Gbit 流量為正常流量并非運(yùn)營商發(fā)生故障，因此也可以讓其他IDC系統(tǒng)將流量遷入這個IDC系統(tǒng)；如果進(jìn)入該IDC系統(tǒng)的流量為14Gbit，14Gbit小于15Gbit，因此也可以讓其他IDC系統(tǒng)將流量遷入這個IDC系統(tǒng)；另外一種情況是，如果進(jìn)入該IDC系統(tǒng)的流量為18Gbit，18Gbit大于15Gbit，此時雖然可以讓其他IDC系統(tǒng)將流量遷入這個IDC系統(tǒng)，但流過來的流量將可能影響該IDC系統(tǒng)內(nèi)的流量的正常工作；如果進(jìn)入該IDC系統(tǒng)的流量為25Gbit，25Gbit大于20Gbit，該IDC系統(tǒng)將無法提供正常的服務(wù)，此時需要其他IDC系統(tǒng)對其所屬的流量進(jìn)行引流。

根據(jù)不同的比較結(jié)果可確定哪些IDC系統(tǒng)為可用于帶寬優(yōu)先原則下的可用于分流的IDC系統(tǒng)、哪些IDC系統(tǒng)為可用于公平分流原則下的可用于分流的IDC系統(tǒng)、以及哪些IDC系統(tǒng)為可用于質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)，具體的：

當(dāng)所述當(dāng)前帶寬小于所述流量饑餓門限值時，則確定對應(yīng)的IDC系統(tǒng)為可用于帶寬優(yōu)先原則、公平分流原則和質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)；

當(dāng)所述當(dāng)前帶寬在所述流量饑餓門限值與所述流量飽和門限值之間時，則確定對應(yīng)的IDC系統(tǒng)為可用于帶寬優(yōu)先原則、公平分流原則和質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)；

當(dāng)所述當(dāng)前帶寬在所述流量飽和門限值與所述流量極限門限值之間時，則確定對應(yīng)的IDC系統(tǒng)為可用于帶寬優(yōu)先原則和公平分流原則下的可用于分流的IDC系統(tǒng)。

此外，在本實(shí)施例中，在多個IDC系統(tǒng)中除包括可用于進(jìn)行分流的IDC系統(tǒng)還包括不可用于分流的IDC系統(tǒng)；具體的，

當(dāng)所述當(dāng)前帶寬大于所述流量極限門限值時，則確定對應(yīng)的IDC系統(tǒng)為不可用于分流的IDC系統(tǒng)。

進(jìn)一步，在本實(shí)施例中，在根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中之后，還要對該可用于分流的IDC系統(tǒng)啟動IDC系統(tǒng)預(yù)警，包括：

分別確定進(jìn)入所述可用于分流的IDC系統(tǒng)中的流量的數(shù)值；其中，分流之后進(jìn)入所述可用于分流的IDC系統(tǒng)中的流量包括：發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量、以及發(fā)送給該可用于分流的IDC系統(tǒng)中指定IP的流量；

當(dāng)該數(shù)值超過對應(yīng)的預(yù)設(shè)的黑洞閥值時，對該流量中的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)行黑洞處理。

在本實(shí)施例中，還包括優(yōu)選的步驟S203、在所述至少一個可用于分流的IDC系統(tǒng)均完成對分流給自己的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的部分流量的清洗之后，將所述清洗后的部分流量回注回所述目標(biāo)IDC系統(tǒng)，再由所述目標(biāo)系統(tǒng)將所述部分流量發(fā)往目標(biāo)IP。

需要說明的是，在將清洗后的流量回注回所述目標(biāo)IDC系統(tǒng)時，當(dāng)指定的目標(biāo)IDC系統(tǒng)和選出的用于分流的IDC系統(tǒng)之間存在多個私有鏈路時，還需要在IDC系統(tǒng)之間對流量進(jìn)行調(diào)度；具體的，可通過以下方式實(shí)現(xiàn)在IDC系統(tǒng)之間對流量進(jìn)行調(diào)度：

首先，根據(jù)調(diào)度饑餓門限和調(diào)度飽和門限來確定哪條鏈路是可用的，哪條鏈路是不可用的；其中，調(diào)度饑餓門限為IDC系統(tǒng)和IDC系統(tǒng)間流量的最低值，如果低于這個值很可能是IDC系統(tǒng)和IDC系統(tǒng)間的鏈路出現(xiàn)故障，否則可以借用這個鏈路輸出流量；調(diào)度飽和門限為IDC系統(tǒng)和IDC系統(tǒng)間流量的最大值，超過這個值設(shè)備間的流量將無法調(diào)度需要其他設(shè)備協(xié)助或者進(jìn)行限速處理(需要說明的是，0<＝調(diào)度饑餓門限<＝調(diào)度飽和門限<＝IDC系統(tǒng)間私有帶寬)；

其次，根據(jù)預(yù)先設(shè)置的調(diào)度比計算出不同鏈路(其中，該鏈路為可用的鏈路)的限速，并并計算出的不同鏈路的限速下發(fā)到目標(biāo)IDC系統(tǒng)的網(wǎng)絡(luò)設(shè)備上，以使該網(wǎng)絡(luò)設(shè)備據(jù)此進(jìn)行調(diào)度限速，以實(shí)現(xiàn)在IDC系統(tǒng)之間對流量進(jìn)行調(diào)度；其中，該調(diào)度比指：目標(biāo)IDC系統(tǒng)和選出的用于分流的IDC系統(tǒng)之間多條私有鏈路之間流量的調(diào)度比例。

下面結(jié)合具體的應(yīng)用場景，對本申請實(shí)施例一所提出的技術(shù)方案進(jìn)行更 加詳細(xì)的說明，如圖4所示：

首先，各分匯總設(shè)備將由自身負(fù)責(zé)進(jìn)行匯總的發(fā)送給目標(biāo)IDC系統(tǒng)A中的目的IP 2.1.0.1的部分鏡像流量的數(shù)值進(jìn)行上報，上報給總匯總設(shè)備；

當(dāng)該總匯總設(shè)備這些部分鏡像流量的數(shù)值之后，總匯總設(shè)備將這些部分鏡像流量的數(shù)值進(jìn)行匯總，并將匯總結(jié)果作為發(fā)送給目標(biāo)IDC系統(tǒng)A中的目的IP 2.1.0.1的完整鏡像流量的數(shù)值，也即確定出了發(fā)送給目標(biāo)IDC系統(tǒng)A中的目的IP 2.1.0.1的流量的數(shù)值大小。

需要說明的是，在本實(shí)施例中，各分匯總設(shè)備為各個IDC系統(tǒng)的分匯總設(shè)備(例如IDC系統(tǒng)B、C、D)，也即本申請實(shí)現(xiàn)的是多個IDC系統(tǒng)一起匯總發(fā)送給目標(biāo)IDC系統(tǒng)A中的目的IP 2.1.0.1的流量的數(shù)值的方案。

進(jìn)一步，該總匯總設(shè)備將獲得的發(fā)送給目標(biāo)IDC系統(tǒng)A中目的IP 2.1.0.1的流量的數(shù)值與目標(biāo)IDC系統(tǒng)A的入口帶寬的數(shù)值進(jìn)行比較；

當(dāng)獲得的發(fā)送給目標(biāo)IDC系統(tǒng)A中目的IP 2.1.0.1的流量的數(shù)值超過目標(biāo)IDC系統(tǒng)A的入口帶寬的數(shù)值時，根據(jù)預(yù)設(shè)的分流規(guī)則將發(fā)送給目標(biāo)IDC系統(tǒng)A中目的IP 2.1.0.1的流量分流至IDC系統(tǒng)B、C、D中(需要說明的是，可以分給IDC系統(tǒng)B、C、D中一個或多個，原因是，IDC系統(tǒng)B、C、D不一定同時為可用于分流IDC系統(tǒng))，以使所述IDC系統(tǒng)B、C、D對所述流量進(jìn)行清洗。

當(dāng)IDC系統(tǒng)B、C、D對流量完成清洗之后，再將清洗后的流量回注回目標(biāo)IDC系統(tǒng)A。

應(yīng)用本實(shí)施例公開的方法，能夠?qū)崿F(xiàn)IDC系統(tǒng)A、B、C、D一起防御DDOS攻擊能力的技術(shù)效果。

基于與上述方法同樣的發(fā)明構(gòu)思，本發(fā)明實(shí)施例三還提出了一種流量的分流設(shè)備，應(yīng)用于包括多個網(wǎng)絡(luò)互聯(lián)網(wǎng)數(shù)據(jù)中心IDC系統(tǒng)的網(wǎng)絡(luò)中，在所述多個IDC系統(tǒng)中包括一個指定的目標(biāo)IDC系統(tǒng)、以及至少一個可用于分流的IDC系統(tǒng)，其特征在于，如圖5所示，具體包括：

確定模塊51，用于在一份發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的 IP的流量進(jìn)入所述目標(biāo)IDC系統(tǒng)之前，由所述目標(biāo)IDC系統(tǒng)對該流量進(jìn)行鏡像處理，確定該鏡像流量的數(shù)值；

分流模塊52，用于當(dāng)所述數(shù)值大于所述入口帶寬的數(shù)值時，根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中，以使所述至少一個可用于分流的IDC系統(tǒng)對所述流量進(jìn)行清洗；其中，所述可用于分流的IDC系統(tǒng)為根據(jù)各IDC系統(tǒng)預(yù)設(shè)的饑餓門限值、飽和門限值以及流極限門限值確定出的。

所述確定模塊51具體用于：

分別確定該鏡像流量中由各個IDC系統(tǒng)負(fù)責(zé)進(jìn)行匯總的鏡像流量的數(shù)值；

對所述由各個IDC系統(tǒng)負(fù)責(zé)進(jìn)行匯總的流量的數(shù)值進(jìn)行匯總；

將匯總結(jié)果作為所述復(fù)制所獲得的流量的數(shù)值。

所述預(yù)設(shè)的分流規(guī)則包括：帶寬優(yōu)選原則、公平分流原則以及質(zhì)量優(yōu)先原則；對應(yīng)的所述可用于分流的IDC系統(tǒng)包括：可用于帶寬優(yōu)先原則下的可用于分流的IDC系統(tǒng)、可用于公平分流原則下的可用于分流的IDC系統(tǒng)、以及可用于質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)；

所述分流模塊52具體用于：

若所述預(yù)設(shè)的分流規(guī)則為帶寬優(yōu)選原則時，獲取所述可用于帶寬優(yōu)先原則下的各可用于進(jìn)行分流的IDC系統(tǒng)所對應(yīng)的預(yù)設(shè)的流量極限門限值與當(dāng)前帶寬的差值，對所述差值進(jìn)行排序，并根據(jù)排序結(jié)果將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量逐次分流至所述差值最大的可用于進(jìn)行分流的IDC系統(tǒng)上；其中，所述當(dāng)前帶寬為在對所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)行分流之前進(jìn)入各IDC系統(tǒng)的流量所占用的帶寬；或，

若所述預(yù)設(shè)的分流規(guī)則為公平分流原則，獲取所述可用于公平分流原則下的各可用于進(jìn)行分流的IDC系統(tǒng)所對應(yīng)的預(yù)設(shè)的流量極限門限值與當(dāng)前帶寬的差值，將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至所述預(yù)設(shè)的極限門限值與當(dāng)前帶寬存在差值的可用于進(jìn)行分流的IDC系 統(tǒng)上；或，

若所述預(yù)設(shè)的分流規(guī)則為質(zhì)量優(yōu)選原則時，獲取所述可用于質(zhì)量優(yōu)選原則下的各可用于進(jìn)行分流的IDC系統(tǒng)所對應(yīng)的預(yù)設(shè)的流量飽和門限值與當(dāng)前帶寬的差值，對所述差值進(jìn)行排序，并根據(jù)排序結(jié)果將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量逐次分流至所述差值最大的可用于進(jìn)行分流的IDC系統(tǒng)上。

所述確定模塊51還用于：

將在對所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)行分流之前各IDC系統(tǒng)的當(dāng)前帶寬分別與各個IDC設(shè)備各自預(yù)設(shè)的流量饑餓門限值、流量飽和門限值、以及流量極限門限值進(jìn)行比較；

當(dāng)所述當(dāng)前帶寬小于所述流量饑餓門限值時，則確定對應(yīng)的IDC系統(tǒng)為可用于帶寬優(yōu)先原則、公平分流原則和質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)；

當(dāng)所述當(dāng)前帶寬在所述流量饑餓門限值與所述流量飽和門限值之間時，則確定對應(yīng)的IDC系統(tǒng)為可用于帶寬優(yōu)先原則、公平分流原則和質(zhì)量優(yōu)先原則下的可用于分流的IDC系統(tǒng)；

當(dāng)所述當(dāng)前帶寬在所述流量飽和門限值與所述流量極限門限值之間時，則確定對應(yīng)的IDC系統(tǒng)為可用于帶寬優(yōu)先原則和公平分流原則下的可用于分流的IDC系統(tǒng)。

所述確定模塊51還用于：

當(dāng)所述當(dāng)前帶寬大于所述流量極限門限值時，則確定對應(yīng)的IDC系統(tǒng)為不可用于分流的IDC系統(tǒng)。

根據(jù)預(yù)設(shè)的分流規(guī)則將所述發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)中之后，所述確定模塊51還用于：

分別確定進(jìn)入所述可用于分流的IDC系統(tǒng)中的流量的數(shù)值；其中，分流之后進(jìn)入所述可用于分流的IDC系統(tǒng)中的流量包括：發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量、以及發(fā)送給該可用于分流的IDC系統(tǒng)中指 定IP的流量；

當(dāng)該數(shù)值超過對應(yīng)的預(yù)設(shè)的黑洞閥值時，對該流量中的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的流量進(jìn)行黑洞處理。

該設(shè)備還包括回注模塊53，用于在所述至少一個可用于分流的IDC系統(tǒng)均完成對分流給自己的發(fā)送給指定的目標(biāo)IDC系統(tǒng)中一個指定的目的IP的部分流量的清洗之后，將所述清洗后的部分流量回注回所述目標(biāo)IDC系統(tǒng)，再由所述目標(biāo)系統(tǒng)將所述部分流量發(fā)往目標(biāo)IP。

與現(xiàn)有技術(shù)相比，本申請的優(yōu)先實(shí)施例公開的方法和設(shè)備至少具有以下優(yōu)點(diǎn)：

本申請實(shí)施例公開了一種流量的分流方法和設(shè)備，應(yīng)用于包括多個IDC系統(tǒng)的網(wǎng)絡(luò)中，在多個IDC系統(tǒng)中包括一個指定的目標(biāo)IDC系統(tǒng)、以及至少一個可用于分流的IDC系統(tǒng)，該方法包括：當(dāng)發(fā)往目標(biāo)IDC系統(tǒng)中目的IP的流量的數(shù)值大于該目標(biāo)目標(biāo)IDC系統(tǒng)的入口帶寬的數(shù)值時，根據(jù)帶寬優(yōu)先原則、公平分流原則以及質(zhì)量優(yōu)先原則將該發(fā)往目標(biāo)IDC系統(tǒng)中目的IP的流量分流至至少一個可用于分流的IDC系統(tǒng)上，以使至少一個可用于分流的IDC系統(tǒng)對分流給自己的發(fā)往目標(biāo)IDC系統(tǒng)中目的IP的流量進(jìn)行清洗，并在清洗完成之后，將清洗后的流量回注回目標(biāo)IDC系統(tǒng)。在本申請部分實(shí)施例公開的方法中，能夠?qū)崿F(xiàn)提升IDC機(jī)房整體防御DDOS攻擊能力的技術(shù)效果。

通過以上的實(shí)施方式的描述，本領(lǐng)域的技術(shù)人員可以清楚地了解到本申請實(shí)施例可以通過硬件實(shí)現(xiàn)，也可以借助軟件加必要的通用硬件平臺的方式來實(shí)現(xiàn)?；谶@樣的理解，本申請實(shí)施例的技術(shù)方案可以以軟件產(chǎn)品的形式體現(xiàn)出來，該軟件產(chǎn)品可以存儲在一個非易失性存儲介質(zhì)(可以是CD-ROM，U盤，移動硬盤等)中，包括若干指令用以使得一臺計算機(jī)設(shè)備(可以是個人計算機(jī)，服務(wù)器，或網(wǎng)絡(luò)側(cè)設(shè)備等)執(zhí)行本申請實(shí)施例本各個實(shí)施場景所述的方法。

本領(lǐng)域技術(shù)人員可以理解附圖只是一個優(yōu)選實(shí)施場景的示意圖，附圖中的模塊或流程并不一定是實(shí)施本申請實(shí)施例所必須的。

本領(lǐng)域技術(shù)人員可以理解實(shí)施場景中的裝置中的模塊可以按照實(shí)施場景描述進(jìn)行分布于實(shí)施場景的裝置中，也可以進(jìn)行相應(yīng)變化位于不同于本實(shí)施場景的一個或多個裝置中。上述實(shí)施場景的模塊可以合并為一個模塊，也可以進(jìn)一步拆分成多個子模塊。

上述本申請實(shí)施例序號僅僅為了描述，不代表實(shí)施場景的優(yōu)劣。

以上公開的僅為本申請實(shí)施例的幾個具體實(shí)施場景，但是，本申請實(shí)施例并非局限于此，任何本領(lǐng)域的技術(shù)人員能思之的變化都應(yīng)落入本申請實(shí)施例的業(yè)務(wù)限制范圍。