本發(fā)明涉及網(wǎng)絡(luò)通信技術(shù)領(lǐng)域，尤其涉及一種通信設(shè)備控制平面保護(hù)裝置及方法。

背景技術(shù)：
隨著網(wǎng)絡(luò)通信技術(shù)的發(fā)展，網(wǎng)絡(luò)作為基礎(chǔ)設(shè)施也越來越受到重視，網(wǎng)絡(luò)的安全問題越來越突出。網(wǎng)絡(luò)的安全問題包括多個層次，網(wǎng)絡(luò)設(shè)備的安全為其一個重要組成部分。目前主流網(wǎng)絡(luò)通信設(shè)備的系統(tǒng)架構(gòu)一般都包括數(shù)據(jù)平面和控制平面。其中，控制平面是通信設(shè)備的控制中心，管理整個系統(tǒng)的路由計算、路由更新和故障切換等工作，因此網(wǎng)絡(luò)通信設(shè)備要正常運(yùn)行，則其控制平面就必須安全穩(wěn)定?？刂破矫娴谋Ｗo(hù)，包括多個方面：如設(shè)備的安全控制，用戶的分級管理，用戶認(rèn)證等設(shè)備管理方面的保護(hù)；設(shè)備的穩(wěn)定運(yùn)行，能夠針對出現(xiàn)的攻擊、風(fēng)暴采取對應(yīng)的策略等防攻擊方面的保護(hù)。對于如何進(jìn)行控制平面防攻擊方面的保護(hù)，在現(xiàn)有技術(shù)中沒有對應(yīng)策略及手段。如果在網(wǎng)絡(luò)設(shè)備的控制平面受到大量報文的沖擊，消耗設(shè)備的CPU資源，導(dǎo)致設(shè)備的控制平面出現(xiàn)混亂，從而導(dǎo)致轉(zhuǎn)發(fā)平面出現(xiàn)問題，進(jìn)而影響整個網(wǎng)絡(luò)的正常工作。

技術(shù)實現(xiàn)要素：
本發(fā)明提供了一種通信設(shè)備控制平面保護(hù)裝置及方法，可以有效進(jìn)行控制平面防攻擊方面的保護(hù)，保證網(wǎng)絡(luò)的正常工作。本發(fā)明實施例提供的一種通信設(shè)備控制平面保護(hù)裝置，包括配置模塊、決策模塊、檢測模塊和執(zhí)行模塊，配置模塊，用于提供用戶配置接口，實現(xiàn)檢測策略和處理策略的配置，將配置的檢測策略和處理策略發(fā)送至決策模塊；決策模塊，用于根據(jù)來自配置模塊的檢測策略生成檢測命令并發(fā)送至檢測模塊；根據(jù)來自檢測模塊的異常檢測結(jié)果完成決策，并根據(jù)來自配置模塊的處理策略，生成處理命令并發(fā)送至執(zhí)行模塊；檢測模塊，根據(jù)檢測命令對需要上交到控制平面處理的報文進(jìn)行檢測，并將異常檢測結(jié)果通知到?jīng)Q策模塊；執(zhí)行模塊，根據(jù)決策模塊的處理命令執(zhí)行相應(yīng)的處理，并將執(zhí)行結(jié)果發(fā)送至決策模塊。較佳地，所述配置模塊配置的檢測策略包括：對來自同一接收接口的需上交到控制平面處理的同一源IP地址和/或同一源MAC地址的報文個數(shù)進(jìn)行檢測的檢測策略；和/或?qū)碜酝唤邮战涌诘男枭辖坏娇刂破矫嫣幚淼膱笪牡牟煌脑碔P地址和/或源MAC地址的個數(shù)進(jìn)行檢測的檢測策略；和/或?qū)碜酝唤邮战涌诘男枭辖坏娇刂破矫嫣幚淼幕谔囟ㄔ碔P地址和/或目的IP地址和/或源MAC地址的報文免檢測的檢測策略。較佳地，所述配置模塊配置的處理策略包括：檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的同一源IP地址和/或源MAC地址的報文數(shù)超過設(shè)定的閾值時，針對所述源IP地址和/或源MAC配置訪問控制列表進(jìn)行過濾或者限速；和/或，檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的不同的源IP地址和/或源MAC地址的個數(shù)超過限制時，設(shè)置關(guān)閉該接收接口。較佳地，所述檢測模塊包括：收發(fā)單元，用于接收決策模塊下發(fā)的檢測命令；以及將檢測器上報的異常檢測結(jié)果發(fā)送至決策模塊；檢測器管理單元，用于檢測器管理，在收發(fā)單元接收到開啟檢測的檢測命令 時，查找是否存在該檢測命令對應(yīng)的檢測器，如果存在，則利用該檢測命令攜帶的配置參數(shù)更新該檢測器，如果沒有，則根據(jù)該檢測命令攜帶的配置參數(shù)新建一檢測器；在收發(fā)單元接收到取消檢測的檢測命令時，查找對應(yīng)的檢測器，并刪除該檢測器；檢測器，用于來自同一接收接口的需上交到控制平面處理的報文按免檢和/或源MAC地址和/或源IP地址進(jìn)行檢測，將檢測結(jié)果上報給收發(fā)單元。較佳地，所述檢測器包括檢測實體鏈表，所述檢測實體鏈表包括如下檢測實體之一或其任意組合：免檢檢測實體，用于通過訪問控制列表ACL對報文進(jìn)行源IP地址和/或目的IP地址和/或源MAC地址匹配，如果匹配，則不再檢測，直接上交控制平面處理該報文；源MAC地址檢測實體，用于在存儲源MAC地址的鏈表中，查找是否存在報文源MAC地址對應(yīng)的節(jié)點，若是，進(jìn)行同一源MAC地址的報文個數(shù)檢查；如果通過該檢查，更新該報文源MAC地址對應(yīng)節(jié)點的老化定時器；否則直接進(jìn)行MAC地址個數(shù)檢查；如果通過MAC地址個數(shù)檢查，則在所述鏈表中新增加該源MAC地址對應(yīng)的節(jié)點，并啟動該源MAC地址節(jié)點對應(yīng)的老化定時器；源IP地址檢測實體，用于在存儲源IP地址的鏈表中，查找是否存在報文源IP地址對應(yīng)的節(jié)點，若是，進(jìn)行同一源IP地址的報文個數(shù)檢查；如果通過該檢查，更新該報文源IP地址對應(yīng)節(jié)點的老化定時器；否則直接進(jìn)行IP地址個數(shù)檢查；如果通過IP地址個數(shù)檢查，則在所述鏈表中新增加源IP地址節(jié)點，并啟動該源IP地址節(jié)點對應(yīng)的老化定時器。較佳地，所述決策模塊包括：命令生成單元，用于根據(jù)來自配置模塊的檢測策略生成啟動檢測的檢測命令或者取消檢測的檢測命令；用于根據(jù)來自檢測模塊的所述異常檢測結(jié)果攜帶的檢測異常原因，從來自配置模塊的處理策略中查找得到對應(yīng)的處理策略，生成對應(yīng)的處理命令；命令發(fā)送單元，用于將命令生成單元生成的啟動檢測的檢測命令或取消 檢測的檢測命令下發(fā)至檢測模塊；將命令生成單元生成的處理命令發(fā)送至執(zhí)行模塊。較佳地，所述配置模塊進(jìn)一步用于配置恢復(fù)策略；將配置的恢復(fù)策略通知到?jīng)Q策模塊；所述決策模塊的命令生成單元進(jìn)一步用于根據(jù)來自配置模塊的配置回復(fù)策略生成對應(yīng)的恢復(fù)命令；命令發(fā)送單元進(jìn)一步用于將所述恢復(fù)命令發(fā)送至處理模塊。本發(fā)明實施例還提供了一種通信設(shè)備控制平面保護(hù)方法，其特征在于，該方法包括：A、完成檢測策略和處理策略的配置；B、根據(jù)檢測策略生成檢測命令；C、根據(jù)檢測命令對需上交到控制平面處理的報文進(jìn)行檢測，如檢測通過，則控制平面對該報文進(jìn)行處理，結(jié)束本流程；否則得到異常檢測結(jié)果；D、根據(jù)用戶配置的處理策略對異常檢測結(jié)果進(jìn)行處理，并生成相應(yīng)的處理命令；E、執(zhí)行所述處理命令，并上報處理結(jié)果。較佳地，所述步驟A包括：配置對來自同一接收接口的需上交到控制平面處理的同一源IP地址和/或同一源MAC地址的報文個數(shù)進(jìn)行檢測的檢測策略；和/或配置對來自同一接收接口的需上交到控制平面處理的報文的源IP地址和/或源MAC地址的個數(shù)進(jìn)行檢測的檢測策略；和/或配置對來自同一接收接口的需上交到控制平面處理的基于特定源IP地址和/或目的IP地址和/或源MAC地址的報文免檢測的檢測策略。較佳地，所述處理策略包括：檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的同一源IP地址和/或源MAC地址的報文數(shù)超過設(shè)定的閾值時，針對所述源IP地址和/或源MAC配置訪問控制列表進(jìn)行過濾或者限速；和/或，檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的不同的源IP地址和/或源MAC地址的個數(shù)超過限制時，設(shè)置關(guān)閉該接收接口。較佳地，所述步驟C包括：根據(jù)檢測命令查找是否存在該檢測命令對應(yīng)的檢測器，如果存在，則更新該檢測器，如果沒有，則根據(jù)該檢測命令新建一檢測器；檢測器對來自同一接收接口的需上交到控制平面處理的報文按免檢和/或源MAC地址和/或源IP地址進(jìn)行檢測，得到檢測結(jié)果。較佳地，所述檢測器按免檢對需上交到控制平面處理的報文進(jìn)行檢測的方法包括：通過訪問控制列表ACL對報文進(jìn)行源IP地址和/或目的IP地址和/或源MAC地址匹配，如果匹配，則不再檢測，直接上交控制平面處理該報文；所述檢測器按源MAC地址對對需上交到控制平面處理的報文進(jìn)行檢測的方法包括：用于在存儲源MAC地址的鏈表中，查找是否存在報文源MAC地址對應(yīng)的節(jié)點，若是，進(jìn)行同一源MAC地址的報文個數(shù)檢查；如果通過該檢查，更新該報文源MAC地址對應(yīng)節(jié)點的老化定時器；否則直接進(jìn)行MAC地址個數(shù)檢查；如果通過MAC地址個數(shù)檢查，則在所述鏈表中新增加該源MAC地址對應(yīng)的節(jié)點，并啟動該源MAC地址節(jié)點對應(yīng)的老化定時器；所述檢測器按源IP地址對對需上交到控制平面處理的報文進(jìn)行檢測的方法包括：在存儲源IP地址的鏈表中，查找是否存在報文源IP地址對應(yīng)的節(jié)點，若是，進(jìn)行同一源IP地址的報文個數(shù)檢查；如果通過該檢查，更新該報文源IP地址對應(yīng)節(jié)點的老化定時器；否則直接進(jìn)行IP地址個數(shù)檢查；如果通過IP地址個數(shù)檢查，則在所述鏈表中新增加源IP地址節(jié)點，并啟動該源IP地址節(jié)點對應(yīng)的老化定時器。從以上技術(shù)方案可以看出，該保護(hù)裝置的配置模塊可以方便地實現(xiàn)用戶對檢測策略和處理策略的配置，檢測模塊根據(jù)檢測策略生成的檢測命令進(jìn)行相應(yīng)檢測，執(zhí)行模塊則根據(jù)處理命令進(jìn)行處理。本發(fā)明方案可以有效地保護(hù)控制平面，讓系統(tǒng)能夠穩(wěn)定運(yùn)行；本發(fā)明方案實現(xiàn)模塊化處理，便于以后擴(kuò) 展各種檢測策略，處理策略，恢復(fù)策略。附圖說明圖1為本發(fā)明實施例提供的一種通信設(shè)備控制平面保護(hù)裝置示意圖；圖2為由圖1所示的裝置100實現(xiàn)通信設(shè)備控制平面保護(hù)流程圖；圖3為本發(fā)明實施例中配置模塊101的配置順序示意圖；圖4為本發(fā)明實施例中決策模塊102生成檢測策略的過程示意圖；圖5為本發(fā)明實施例中檢測模塊接收檢測命令的詳細(xì)過程示意圖；圖6為本發(fā)明實施例中檢測模塊對報文進(jìn)行檢測的流程圖；圖7為本發(fā)明實施例的決策模塊處理檢測模塊通告的異常檢測流程圖；圖8為本發(fā)明實施例提供的執(zhí)行模塊對決策模塊下發(fā)的命令進(jìn)行執(zhí)行的流程圖。具體實施方式本發(fā)明實施例提供的一種通信設(shè)備控制平面保護(hù)裝置100如圖1所示，包括如下幾個模塊：配置模塊101、決策模塊102、檢測模塊103和執(zhí)行模塊104。各個模塊的功能描述如下：配置模塊101，提供用戶配置接口，實現(xiàn)檢測策略，處理策略，恢復(fù)策略等的配置。其中，恢復(fù)策略為可選。決策模塊102，為核心功能模塊，根據(jù)來自配置模塊101的檢測策略生成檢測命令并發(fā)送至檢測模塊103；根據(jù)來自檢測模塊103的異常檢測結(jié)果完成決策；并根據(jù)來自配置模塊101的處理策略，生成處理命令并發(fā)送至執(zhí)行模塊104；根據(jù)恢復(fù)策略，生成恢復(fù)指令下發(fā)至執(zhí)行模塊104，以及其他各種命令下發(fā)和通知接收。檢測模塊103，根據(jù)來自決策模塊102的檢測命令，對需要上交到控制平面處理的報文進(jìn)行檢測，并將異常檢測結(jié)果通知到?jīng)Q策模塊102。所述異常檢測結(jié)果中攜帶有檢測異常原因到?jīng)Q策模塊102。執(zhí)行模塊104，根據(jù)決策模塊102的處理命令，執(zhí)行相應(yīng)的處理，并將執(zhí)行結(jié)果通知到?jīng)Q策模塊102。所述配置模塊101配置的檢測策略包括：對來自同一接收接口的需上交到控制平面處理的同一源IP地址和/或同一源MAC地址的報文個數(shù)進(jìn)行檢測的檢測策略；和/或?qū)碜酝唤邮战涌诘男枭辖坏娇刂破矫嫣幚淼膱笪牡牟煌脑碔P地址和/或源MAC地址的個數(shù)進(jìn)行檢測的檢測策略；和/或?qū)碜酝唤邮战涌诘男枭辖坏娇刂破矫嫣幚淼幕谔囟ㄔ碔P地址和/或目的IP地址和/或源MAC地址的報文免檢測的檢測策略。所述配置模塊101配置的處理策略包括：檢測模塊101上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的同一源IP地址和/或源MAC地址的報文數(shù)超過設(shè)定的閾值時，針對所述源IP地址和/或源MAC配置訪問控制列表進(jìn)行過濾或者限速；和/或檢測模塊101上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的不同的源IP地址和/或源MAC地址的個數(shù)超過限制時，設(shè)置關(guān)閉該接收接口。所述檢測模塊103包括：收發(fā)單元，用于接收決策模塊下發(fā)的檢測命令；以及將檢測器上報的異常檢測結(jié)果發(fā)送至決策模塊；檢測器管理單元，用于檢測器管理，在收發(fā)單元接收到開啟檢測的檢測命令時，查找是否存在該檢測命令對應(yīng)的檢測器，如果存在，則利用該檢測命令攜帶的配置參數(shù)更新該檢測器，如果沒有，則根據(jù)該檢測命令攜帶的配置參數(shù)新建一檢測器；在收發(fā)單元接收到取消檢測的檢測命令時，查找對應(yīng)的檢測器，并刪除該檢測器；檢測器，用于來自同一接收接口的需上交到控制平面處理的報文按免檢和/或源MAC地址和/或源IP地址進(jìn)行檢測，將檢測結(jié)果上報給收發(fā)單元。其中，所述檢測器包括檢測實體鏈表，所述檢測實體鏈表包括如下檢測實體 之一或其任意組合：免檢檢測實體，用于通過訪問控制列表ACL對報文進(jìn)行源IP地址和/或目的IP地址和/或源MAC地址匹配，如果匹配，則不再檢測，直接上交控制平面處理該報文；源MAC地址檢測實體，用于在存儲源MAC地址的鏈表中，查找是否存在報文源MAC地址對應(yīng)的節(jié)點，若是，進(jìn)行同一源MAC地址的報文個數(shù)檢查；如果通過該檢查，更新該報文源MAC地址對應(yīng)節(jié)點的老化定時器；否則直接進(jìn)行MAC地址個數(shù)檢查；如果通過MAC地址個數(shù)檢查，則在所述鏈表中新增加該源MAC地址對應(yīng)的節(jié)點，并啟動該源MAC地址節(jié)點對應(yīng)的老化定時器；源IP地址檢測實體，用于在存儲源IP地址的鏈表中，查找是否存在報文源IP地址對應(yīng)的節(jié)點，若是，進(jìn)行同一源IP地址的報文個數(shù)檢查；如果通過該檢查，更新該報文源IP地址對應(yīng)節(jié)點的老化定時器；否則直接進(jìn)行IP地址個數(shù)檢查；如果通過IP地址個數(shù)檢查，則在所述鏈表中新增加源IP地址節(jié)點，并啟動該源IP地址節(jié)點對應(yīng)的老化定時器。所述決策模塊102包括：命令生成單元，用于根據(jù)來自配置模塊的檢測策略生成啟動檢測的檢測命令或者取消檢測的檢測命令；用于根據(jù)來自檢測模塊的所述異常檢測結(jié)果攜帶的檢測異常原因，從來自配置模塊的處理策略中查找得到對應(yīng)的處理策略，生成對應(yīng)的處理命令；命令發(fā)送單元，用于將命令生成單元生成的啟動檢測的檢測命令或取消檢測的檢測命令下發(fā)至檢測模塊；將命令生成單元生成的處理命令發(fā)送至執(zhí)行模塊。具體的，所述決策模塊102的命令生成單元包括：判斷子單元，用于根據(jù)來自配置模塊的檢測策略判斷是生成配置命令還是刪除命令，若是配置命令，使能開啟檢測命令子單元，否則使能取消檢測子單元；所述配置命令即與檢測相關(guān)的配置，如果用戶設(shè)置了該配置命令即意味著開啟檢測，所以配置命令即開啟檢測的命令；所述刪除命令即用戶刪除檢測相關(guān)的 配置，所有刪除命令即取消檢測的命令；開啟檢測命令生成子單元，用于在使能狀態(tài)下，根據(jù)配置命令及其攜帶的參數(shù)來檢測配置是否發(fā)生變化，如果查找到變化的配置，生成對應(yīng)的檢測命令，并將所述檢測命令傳輸至命令發(fā)送單元；取消檢測子單元，用于在使能狀態(tài)下，查找刪除命令是否有對應(yīng)的配置，如果有，則生成刪除命令；查找是否有對應(yīng)的處理命令以及恢復(fù)命令，如果有，則生成對應(yīng)的撤銷執(zhí)行命令；將所述刪除命令以及撤銷執(zhí)行命令傳輸至命令發(fā)送單元；具體地，所述決策模塊102進(jìn)一步包括：接收單元，用于接收來自檢測模塊的異常檢測結(jié)果；告警單元，用于根據(jù)所述異常檢測結(jié)果打印告警信息，和/或發(fā)送告警信息到指定的服務(wù)器。較佳地，所述配置模塊101進(jìn)一步用于配置恢復(fù)策略；將配置的恢復(fù)策略通知到?jīng)Q策模塊；決策模塊進(jìn)一步用于獲取配置模塊中配置的恢復(fù)策略，根據(jù)所述恢復(fù)策略生成恢復(fù)指令下發(fā)至執(zhí)行模塊；所述恢復(fù)指令為執(zhí)行指令的反向指令。所述執(zhí)行模塊104包括：接收單元，用于接收決策模塊下發(fā)的命令；判斷單元，用于判斷接收單元所接收的命令的類型，若是撤銷命令，使能撤銷單元，若是執(zhí)行命令，使能執(zhí)行單元；所述執(zhí)行單元用于保存執(zhí)行命令，并在對應(yīng)的接口上執(zhí)行該執(zhí)行命令；撤銷單元，用于在使能狀態(tài)下，查找執(zhí)行命令體，反向執(zhí)行其命令；查找到對應(yīng)的恢復(fù)節(jié)點，停止并刪除相應(yīng)的定時器。較佳地，所述執(zhí)行模塊進(jìn)一步包括：恢復(fù)單元；所述判斷單元判斷接收單元所接收的命令的類型為恢復(fù)命令時，使能恢復(fù)單元；所述恢復(fù)單元用于在使能狀態(tài)下，生成恢復(fù)節(jié)點，保存恢復(fù)命令，并且啟動恢復(fù)定時器恢復(fù)過程：在恢復(fù)定時器到期后，在對應(yīng)的接口上執(zhí)行恢復(fù)命令，并向決策模塊通知恢復(fù)結(jié)果。圖2示出了由圖1所示的裝置100實現(xiàn)通信設(shè)備控制平面保護(hù)流程，包括如下步驟：配置步驟201：由配置模塊101完成配置信息收集后，通知到?jīng)Q策模塊102；配置決策步驟202：由決策模塊102根據(jù)用戶的配置，進(jìn)行計算需要如何進(jìn)行檢測，并生成對應(yīng)的檢測命令；檢測命令下發(fā)步驟203：由決策模塊102將檢測命令下發(fā)到檢測模塊103；攻擊檢測步驟204：由檢測模塊103根據(jù)決策模塊下發(fā)的檢測命令，在報文上交控制平面處理的最前端進(jìn)行檢測；檢測結(jié)果上報步驟205：當(dāng)檢測模塊103檢測到攻擊時，將相關(guān)檢測結(jié)果通知到?jīng)Q策模塊102；檢測結(jié)果處理步驟206：由決策模塊102根據(jù)用戶配置的處理策略對檢測結(jié)果進(jìn)行處理，并生成相應(yīng)的處理命令，根據(jù)生成的處理命令以及配置的恢復(fù)策略生成恢復(fù)命令；處理及恢復(fù)命令下發(fā)步驟207：由決策模塊102將處理命令及恢復(fù)命令下發(fā)到執(zhí)行模塊104；處理命令執(zhí)行步驟208：執(zhí)行模塊104執(zhí)行所述處理命令及恢復(fù)命令，并將結(jié)果上報到?jīng)Q策模塊102；查詢步驟209：由配置模塊101生成查詢條件向決策模塊進(jìn)行查詢，并對決策模塊102返回的查詢結(jié)果進(jìn)行顯示。為了使本發(fā)明的技術(shù)原理、優(yōu)點以及技術(shù)效果更容易的被本領(lǐng)域的技術(shù)人員理解，以下結(jié)合具體實施例對本發(fā)明方案進(jìn)行詳細(xì)闡述。圖3給出了本發(fā)明實施例中配置模塊101的配置順序，依次配置3種策 略檢測策略301，配置檢測策略，包括但不限于：對來自同一接收接口的需上交到控制平面處理的同一源IP地址和/或同一源MAC地址的報文個數(shù)進(jìn)行檢測的檢測策略；對來自同一接收接口的需上交到控制平面處理的報文的不同的源IP地址和/或源MAC地址的個數(shù)進(jìn)行檢測的檢測策略；對來自同一接收接口的需上交到控制平面處理的基于特定源IP地址和/或目的IP地址和/或源MAC地址的報文免檢測的檢測策略。處理策略302：配置針對檢測結(jié)果的處理策略，包括但不限于：檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的同一源IP地址和/或源MAC地址的報文數(shù)超過設(shè)定的閾值時，針對所述源IP地址和/或源MAC配置訪問控制列表(ACL，AccessControlList)進(jìn)行過濾或者限速；檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的不同的源IP地址和/或源MAC地址的個數(shù)超過限制時，設(shè)置關(guān)閉(shutdown)該接收接口；如果不配置，則采用默認(rèn)不處理?；謴?fù)策略303：可提供定時恢復(fù)或者不恢復(fù)機(jī)制，如果不配置，則采用默認(rèn)的不恢復(fù)。圖4給出了本發(fā)明實施例中決策模塊102生成檢測策略的過程，步驟如下：步驟401：判斷外部下達(dá)的命令是配置命令還是刪除命令，若是配置命令，執(zhí)行步驟402，否則執(zhí)行步驟404。步驟402：如果是配置命令，檢測配置是否發(fā)生變化，如果沒有變化，則直接返回步驟401，否則，執(zhí)行步驟403。步驟403：查找到變化的配置，生成對應(yīng)的檢測命令，然后執(zhí)行步驟405。步驟404：如果是刪除命令，則查找是否有對應(yīng)的配置，如果有，則生成刪除檢測命令；查找是否有對應(yīng)的處理命令以及恢復(fù)命令，如果有，則生成對應(yīng)撤銷執(zhí)行命令。步驟405：下發(fā)命令到相應(yīng)模塊并記錄。如果是檢測命令或刪除檢測命 令，則下發(fā)到檢測模塊；如果是撤銷執(zhí)行命令，則下發(fā)到執(zhí)行模塊。圖5示出了本發(fā)明實施例中檢測模塊接收檢測命令的詳細(xì)過程，包括如下步驟：步驟501：檢測模塊接收決策模塊下發(fā)的檢測命令，并向決策模塊回復(fù)確認(rèn)信息。步驟502：判斷該命令是開啟檢測的檢測命令，還是取消檢測的檢測命令，若是開啟檢測的檢測命令則執(zhí)行步驟503，否則執(zhí)行步驟504。步驟503：查找是否存在該開啟檢測的檢測命令對應(yīng)的檢測器，如果存在，則利用該檢測命令攜帶的參數(shù)更新該檢測器，如果沒有，則根據(jù)該檢測命令新建一檢測器，該檢測器根據(jù)報文接收接口進(jìn)行組織，對來自同一接收接口的需上交到控制平面處理的報文并按免檢和/或源MAC地址和/或源IP地址檢查排序。然后結(jié)束本流程。步驟504：查找對應(yīng)的檢測器，并刪除該檢測器。如果某一接口下不存在任何一個檢測器，則不再對該接口進(jìn)行檢測。圖6是本發(fā)明實施例中檢測模塊對報文進(jìn)行檢測的流程圖，包括了如下步驟：步驟601：需上交到控制平面處理的報文經(jīng)過本模塊時，首先根據(jù)報文接收源接口，查找檢測實體鏈表，如果沒有找到，則直接上交該報文并結(jié)束本流程，如果找到則繼續(xù)執(zhí)行步驟602。步驟602：在檢測實體鏈表中是否有免檢檢測實體，如果沒有則執(zhí)行步驟603，如果有，則進(jìn)行免檢實體檢查，通過ACL對報文進(jìn)行的源IP地址和/或目的IP地址和/或源MAC地址匹配，如果匹配，則直接上交控制平面處理該報文并結(jié)束本流程；如果不匹配則繼續(xù)執(zhí)行步驟603。步驟603：在檢測實體鏈表中是否存在有源MAC地址檢測實體，如果沒有則執(zhí)行步驟604；如果有，則在檢測該實體存儲的源MAC地址鏈表中，查找是否存在報文源MAC地址對應(yīng)的節(jié)點。如果存在，則進(jìn)行同一源MAC地址的報文個數(shù)檢查。如果通過同一源MAC地址報文個數(shù)檢查，更新該報 文源MAC地址對應(yīng)節(jié)點的老化定時器，否則直接進(jìn)行MAC地址個數(shù)檢查。如果通過MAC地址個數(shù)檢查，則在所述鏈表中新增加該源MAC地址節(jié)點，并啟動該源MAC地址節(jié)點對應(yīng)的老化定時器。以下給出同一源MAC地址報文個數(shù)檢查方法的一種可能實施方式：通過令牌桶的方式進(jìn)行。啟動一個令牌定時器，在給定的時間段里面(配置的檢測間隔)，放置一定的令牌(即配置上限數(shù))，來一個報文后就減少1個令牌，如果出現(xiàn)沒有令牌，就表示超過了限制，不通過，否則通過。在定時器到期后，再重新將令牌桶放滿。以下給出源MAC數(shù)量檢查方法的一種可能實施方式：每個MAC地址節(jié)點在創(chuàng)建時都啟動一個老化定時器(即配置檢測要求的周期)，在老化定時器到期后，被老化。在進(jìn)行檢查時，統(tǒng)計當(dāng)期的MAC地址節(jié)點數(shù)，如果大于配置的限制值，表示不通過，否則表示通過。以上例子并不用于限制本發(fā)明，而是為使本領(lǐng)域技術(shù)人員更容易理解本發(fā)明所舉示例。其他可以實現(xiàn)相同效果的算法均認(rèn)為包含在本發(fā)明保護(hù)范圍之內(nèi)。步驟604：在檢測實體鏈表中是否存在有源IP地址檢測實體，如果沒有則結(jié)束本流程；如果有，則在檢測實體存儲的源IP地址鏈表中，查找是否存在報文源IP地址對應(yīng)的節(jié)點。如果存在，則進(jìn)行同一源IP地址報文個數(shù)檢查。如果通過檢查，更新該IP節(jié)點的老化定時器，否則直接進(jìn)行IP地址個數(shù)檢查。如果通過，則在所述鏈表中新增加一源IP地址節(jié)點，并啟動老化定時器。同一源IP報文個數(shù)檢查方法：與同一源MAC報文個數(shù)檢查方法相同，故不在贅述。源IP地址數(shù)量檢查方法：與源MAC地址數(shù)量檢查方法相同，故不在贅述。如果通過了上述報文檢測后，則將報文上交控制平面進(jìn)行處理，否則發(fā)送異常檢測結(jié)果通知決策模塊。圖7示出了本發(fā)明實施例的決策模塊處理檢測模塊通告的異常檢測結(jié)果流程圖，包括如下步驟：步驟701：決策模塊接收檢測模塊通告的異常檢測結(jié)果；步驟702：根據(jù)消息內(nèi)容中攜帶的檢測異常原因，查找配置模塊得到對應(yīng)的處理策略；步驟703：如果沒有查找到對應(yīng)的處理策略，則采用默認(rèn)的處理策略，即可以不生成處理命令，只打印告警信息和/或發(fā)送告警信息到指定的服務(wù)器，直接返回；如果有對應(yīng)的處理策略，生成處理命令，并且打印告警信息和/或發(fā)送告警信息到指定的服務(wù)器。所述處理策略包括但不限于：檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的同一源IP地址和/或源MAC地址的報文數(shù)超過設(shè)定的閾值時，針對所述源IP地址和/或源MAC配置訪問控制列表(ACL，AccessControlList)進(jìn)行過濾或者限速；檢測模塊上報的異常檢測結(jié)果為來自同一接收接口的上交到控制平面處理的不同的源IP地址和/或源MAC地址的個數(shù)超過限制時，設(shè)置關(guān)閉(shutdown)該接收接口；如果不配置，則采用默認(rèn)不處理。步驟704，根據(jù)處理命令，查找配置的恢復(fù)策略。步驟705，如果沒有查找到對應(yīng)的恢復(fù)策略，則采用默認(rèn)的恢復(fù)策略，即模塊不自動恢復(fù)，需要人工干預(yù)恢復(fù)。如果有，則生成恢復(fù)命?；謴?fù)命令：恢復(fù)包括兩種，恢復(fù)和不恢復(fù)。如果恢復(fù)，會生成處理命令的反向命令。步驟706，將生成的處理命令、恢復(fù)命令、恢復(fù)定時器下發(fā)到執(zhí)行模塊。圖8為本發(fā)明實施例提供的執(zhí)行模塊對決策模塊下發(fā)的檢測命令進(jìn)行執(zhí)行的流程圖，包括如下步驟：步驟801：接收決策模塊下發(fā)的檢測命令。步驟802：判斷是否是撤銷命令，若是，執(zhí)行步驟805，否則執(zhí)行步驟803。步驟803：如果不是撤銷命令，即為執(zhí)行命令，則首先保存命令，并在對應(yīng)的接口上執(zhí)行對應(yīng)的命令。步驟804：生成恢復(fù)節(jié)點，保存恢復(fù)命令，并且啟動恢復(fù)定時器恢復(fù)過程：在恢復(fù)定時器到期后，在對應(yīng)的接口上執(zhí)行恢復(fù)命令，并向決策模塊通知恢復(fù)結(jié)果。消息中如果沒有恢復(fù)命令，則跳過本步驟直接結(jié)束流程。步驟805：如果是撤銷命令，查找執(zhí)行命令體，反向執(zhí)行其命令。步驟806：查找到對應(yīng)的恢復(fù)節(jié)點，停止定時器，并刪除。本發(fā)明技術(shù)方案可以實現(xiàn)如下有益效果：1、可以有效地保護(hù)了控制平面，讓系統(tǒng)能夠穩(wěn)定運(yùn)行；2、實現(xiàn)模塊化處理，便于以后擴(kuò)展各種檢測策略，處理策略，恢復(fù)策略。以上所述僅為本發(fā)明的較佳實施例而已，并不用以限制本發(fā)明，凡在本發(fā)明的精神和原則之內(nèi)，所做的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明保護(hù)的范圍之內(nèi)。