公开(公告)号：US07257840B2

公开(公告)日：2007-08-14

申请号：US10815218

申请日：2004-03-30

申请人： Anantha Ramaiah ,  Randall Stewart ,  Peter Lei ,  Patrick Mahan

发明人： Anantha Ramaiah ,  Randall Stewart ,  Peter Lei ,  Patrick Mahan

IPC分类号： G06F11/30 ,  G01R31/08 ,  G06F11/00 ,  G06F15/16 ,  G08C15/00 ,  H04J3/14 ,  H04J1/16 ,  H04L12/26

CPC分类号： H04L63/1466 ,  G06F21/552 ,  H04L47/27 ,  H04L47/29 ,  H04L47/323 ,  H04L47/34 ,  H04L63/1416 ,  H04L63/1458 ,  H04L69/16 ,  H04L69/163

摘要： Approaches for preventing TCP data injection attacks in packet-switched networks are disclosed. An ACK message or dummy segment is sent to verify the authenticity of the data in the re-assembly buffer, and to help discard spurious data faster. These approaches involve the sender in detection of spurious data, and make improved use of mechanisms for processing ACK messages that are native to typical TCP implementations. The latter approach may be implemented without modification of the sender's TCP implementation. Further, the receiver's TCP implementation maintains compatibility with RFC 793.

摘要翻译： 公开了在分组交换网络中防止TCP数据注入攻击的方法。 发送ACK消息或虚拟段以验证重新组装缓冲区中的数据的真实性，并帮助更快地丢弃伪数据。 这些方法涉及发送方检测虚假数据，并且改进了用于处理典型TCP实现本身的ACK消息的机制。 可以在不修改发送者的TCP实现的情况下实现后一种方法。 此外，接收机的TCP实现保持与RFC 793的兼容性。

公开(公告)号：US20050160478A1

公开(公告)日：2005-07-21

申请号：US10792146

申请日：2004-03-02

申请人： Anantha Ramaiah ,  Randall Stewart ,  Peter Lei ,  Patrick Mahan

发明人： Anantha Ramaiah ,  Randall Stewart ,  Peter Lei ,  Patrick Mahan

IPC分类号： G06F11/30 ,  G06F15/173 ,  H04L9/00 ,  H04L9/32 ,  H04L12/56 ,  H04L29/06

CPC分类号： H04L63/1416 ,  H04L47/27 ,  H04L47/29 ,  H04L47/323 ,  H04L47/34 ,  H04L63/1458 ,  H04L69/16 ,  H04L69/163

摘要： Approaches for preventing TCP data injection attacks in packet-switched networks are disclosed. A first approach provides for dropping received segments that carry ACK values smaller than the next unacknowledged sequence number expected minus the maximum window size. This approach helps keep spurious injected segments out of the TCP re-assembly buffer. In a second approach, heuristics are used to examine the sequence number of a newly arrived segment, and when the sequence number is the next expected, then the newly arrived segment is used and the contents of the re-assembly buffer are not considered. Further, if the data payload of the newly arrived segment overlaps in sequential order with segments already in the re-assembly buffer, the overlapped segments in the re-assembly buffer are considered spurious and are discarded. Thus, this approach helps remove spurious data from the re-assembly buffer if the first approach somehow fails to prevent the data from entering the re-assembly buffer.

摘要翻译： 公开了在分组交换网络中防止TCP数据注入攻击的方法。 第一种方法提供丢弃接收的段，其携带ACK值小于预期的下一个未确认序列号减去最大窗口大小。 这种方法有助于将伪注入的段保留在TCP重新组装缓冲区之外。 在第二种方法中，启发式用于检查新到达的段的序列号，当序列号是下一个预期序列号时，则使用新到达的段，并且不考虑重新组装缓冲区的内容。 此外，如果新到达的段的数据有效载荷与已经在重新组装缓冲区中的段按顺序重叠，则重组缓冲区中的重叠段被认为是虚假的并被丢弃。 因此，如果第一种方法无法防止数据进入重新组装缓冲区，则此方法有助于从重新组装缓冲区中清除虚假数据。

公开(公告)号：US20080250153A1

公开(公告)日：2008-10-09

申请号：US11697609

申请日：2007-04-06

申请人： Benoit Claise ,  Andrew Johnson ,  Paul Aitken ,  Randall Stewart ,  Peter Lei

发明人： Benoit Claise ,  Andrew Johnson ,  Paul Aitken ,  Randall Stewart ,  Peter Lei

IPC分类号： G06F15/16

CPC分类号： H04L65/607 ,  H04L12/14 ,  H04L43/026 ,  H04L69/14 ,  H04L69/40

摘要： In one embodiment, a method includes determining a first template defining a data format for one or more first data records and a second template defining a data format for one or more second data records. The template may be needed to decode the information included in an associated data record. The first template is sent on a first stream of a multi-stream protocol in an ordered fashion, such as SCTP. The one or more first data records are also sent on the first stream in an ordered fashion and include first flow information for data sent through a network device. A second template is sent on a second stream using the multi-stream protocol in an ordered fashion. One or more second data records are sent on the second stream including second flow information for data sent through the network device.

摘要翻译： 在一个实施例中，一种方法包括确定定义一个或多个第一数据记录的数据格式的第一模板和定义一个或多个第二数据记录的数据格式的第二模板。 可能需要模板来解码包括在相关联的数据记录中的信息。 第一模板以有序的方式在多流协议的第一流上发送，例如SCTP。 一个或多个第一数据记录也以有序的方式在第一流上发送，并且包括通过网络设备发送的数据的第一流信息。 使用多流协议以有序的方式在第二流上发送第二模板。 在第二流上发送一个或多个第二数据记录，包括通过网络设备发送的数据的第二流信息。

公开(公告)号：US20070091902A1

公开(公告)日：2007-04-26

申请号：US11257820

申请日：2005-10-24

申请人： Randall Stewart ,  Peter Lei

发明人： Randall Stewart ,  Peter Lei

IPC分类号： H04L12/56

CPC分类号： H04L29/12462 ,  H04L61/255 ,  H04L63/0263 ,  H04L67/02

摘要： Rules in NAT and firewall devices are updated only when a packet flow is verified as genuine through transport-layer message acknowledgment sequences. When a device receives a packet indicating initiation of a new association, the device stores an internal source tag, an internal destination tag, an external source tag, and an external destination tag. Only after receiving a completion acknowledgment message from the destination node, the device sets the internal source tag equal to the external source tag, and sets the internal destination tag equal to the external destination tag. The rules are then updated based on the internal tags. As a result, the approach thwarts denial of service (DOS) attacks that seek to modify rules of NAT and firewall devices to permit harmful traffic.

摘要翻译： NAT和防火墙设备中的规则仅在通过传输层消息确认序列将数据包流验证为真时才更新。 当设备接收到指示新关联的启动的分组时，设备存储内部源标签，内部目的地标签，外部源标签和外部目的地标签。 只有从目的地节点收到完成确认消息后，设备将内部源标签设置为等于外部源标签，并将内部目的地标签设置为等于外部目的地标签。 然后根据内部标签更新规则。 因此，这种方法阻碍了拒绝服务（DOS）攻击，这些攻击旨在修改NAT和防火墙设备的规则，以允许有害的流量。

公开(公告)号：US07680051B2

公开(公告)日：2010-03-16

申请号：US11711959

申请日：2007-02-28

申请人： Nipa Kumar ,  Randall Stewart ,  Peter Lei ,  Ming Chen ,  Kenneth Durazzo

发明人： Nipa Kumar ,  Randall Stewart ,  Peter Lei ,  Ming Chen ,  Kenneth Durazzo

IPC分类号： H04L12/28 ,  H04J3/24

CPC分类号： H04L69/16 ,  H04L69/163

摘要： In one embodiment, a method can include: (i) pre-configuring a stream control transmission protocol (SCTP) association; (ii) receiving a transmission control protocol (TCP) packet in a network device, where the TCP packet is intended for a destination node; (iii) encapsulating the TCP packet into an SCTP payload; and (iv) transmitting the SCTP payload across a wide area network (WAN).

摘要翻译： 在一个实施例中，一种方法可以包括：（i）预配置流控制传输协议（SCTP）关联; （ii）在网络设备中接收传输控制协议（TCP）分组，其中TCP分组旨在用于目的地节点; （iii）将TCP分组封装到SCTP有效载荷中; 和（iv）通过广域网（WAN）发送SCTP有效载荷。

公开(公告)号：US20080205445A1

公开(公告)日：2008-08-28

申请号：US11711959

申请日：2007-02-28

申请人： Nipa Kumar ,  Randall Stewart ,  Peter Lei ,  Ming Chen ,  Kenneth Durazzo

发明人： Nipa Kumar ,  Randall Stewart ,  Peter Lei ,  Ming Chen ,  Kenneth Durazzo

IPC分类号： H04L12/28

CPC分类号： H04L69/16 ,  H04L69/163

摘要： In one embodiment, a method can include: (i) pre-configuring a stream control transmission protocol (SCTP) association; (ii) receiving a transmission control protocol (TCP) packet in a network device, where the TCP packet is intended for a destination node; (iii) encapsulating the TCP packet into an SCTP payload; and (iv) transmitting the SCTP payload across a wide area network (WAN).

摘要翻译： 在一个实施例中，一种方法可以包括：（i）预配置流控制传输协议（SCTP）关联; （ii）在网络设备中接收传输控制协议（TCP）分组，其中TCP分组旨在用于目的地节点; （iii）将TCP分组封装到SCTP有效载荷中; 和（iv）通过广域网（WAN）发送SCTP有效载荷。

公开(公告)号：US20060259602A1

公开(公告)日：2006-11-16

申请号：US11128776

申请日：2005-05-12

申请人： Randall Stewart ,  Dana Blair ,  Peter Lei

发明人： Randall Stewart ,  Dana Blair ,  Peter Lei

IPC分类号： G06F15/173

CPC分类号： H04L67/16 ,  H04L69/10

摘要： A method and apparatus is disclosed for transport level server advertisement and discovery. First information is received at a transport protocol stack. The transport protocol stack recognizes that the first information represents one or more services provided by a server. Based on the first information, the transport protocol stack determines whether to use any of the one or more services.

摘要翻译： 公开了用于传输级服务器广告和发现的方法和装置。 在传输协议栈中接收到第一个信息。 传输协议栈识别出第一信息表示服务器提供的一个或多个服务。 基于第一信息，传输协议栈确定是否使用任何一个或多个服务。

公开(公告)号：US20060174039A1

公开(公告)日：2006-08-03

申请号：US11394528

申请日：2006-03-30

申请人： Randall Stewart ,  Peter Lei

发明人： Randall Stewart ,  Peter Lei

IPC分类号： G06F15/177 ,  G06F15/16

CPC分类号： H04L12/2854

摘要： Methods and apparatus for supporting mobility using SCTP are disclosed. In accordance with one aspect of the invention, an SCTP association between a first network device and a second network device may be modified. The SCTP association includes a first set of IP addresses associated with the first network device and a second set of IP addresses associated with the second network device. The first network device establishes the SCTP association between the first network device and the second network device. An SCTP configuration message is then sent from the first network device to the second network device, the configuration message indicating a modification to be made to the SCTP association, thereby enabling the SCTP association to be modified without disconnecting an existing session.

摘要翻译： 公开了使用SCTP支持移动性的方法和装置。 根据本发明的一个方面，可以修改第一网络设备和第二网络设备之间的SCTP关联。 SCTP关联包括与第一网络设备相关联的第一组IP地址和与第二网络设备相关联的第二组IP地址。 第一网络设备在第一网络设备和第二网络设备之间建立SCTP关联。 然后，从第一网络设备向第二网络设备发送SCTP配置消息，该配置消息指示要对SCTP关联进行修改，从而使得能够修改SCTP关联而不断开现有会话。

公开(公告)号：US07535916B2

公开(公告)日：2009-05-19

申请号：US11053093

申请日：2005-02-07

申请人： Randall Stewart ,  Stewart Frederick Bryant ,  Peter Lei

发明人： Randall Stewart ,  Stewart Frederick Bryant ,  Peter Lei

IPC分类号： H04L12/28 ,  H04J3/16 ,  G06F15/16

CPC分类号： H04L69/26 ,  H04L45/00

摘要： A method is disclosed for sharing a transport connection in a host having two or more processors that exchange limited inter-processor communications. Ranges of transport sequence numbers are assigned to the processors of the host, and a range assigned to a particular processor does not overlap with any other range assigned to any other processor. An outbound message is sent over the transport connection from a processor of the host, where the message includes a transport sequence number selected from the range assigned to that processor. An inbound message is received at a designated processor of the host that is configured to receive all inbound messages sent to the host over the transport connection.

摘要翻译： 公开了一种用于在具有交换有限的处理器间通信的两个或多个处理器的主机中共享传输连接的方法。 传输序列号的范围被分配给主机的处理器，并且分配给特定处理器的范围与分配给任何其他处理器的任何其它范围不重叠。 通过传输连接从主机的处理器发送出站消息，其中消息包括从分配给该处理器的范围中选择的传输序列号。 在主机的指定处理器处接收入站消息，其被配置为接收通过传输连接发送到主机的所有入站消息。

公开(公告)号：US20060164974A1

公开(公告)日：2006-07-27

申请号：US11031354

申请日：2005-01-06

申请人： Michael Ramalho ,  Peter Lei ,  Randall Stewart

发明人： Michael Ramalho ,  Peter Lei ,  Randall Stewart

IPC分类号： H04L12/26 ,  H04J3/14

CPC分类号： H04L65/1043 ,  H04L29/06027 ,  H04L65/608 ,  H04L67/02 ,  H04L67/14 ,  H04L69/326 ,  H04L69/40

摘要： A method is disclosed for providing fault tolerance of an application over a Stream Control Transmission Protocol (SCTP) connection. A method for moving a transport connection from a first host to a second host on a network is also described. After establishing a transport connection between the first host and a peer host, first information about the transport connection is transferred to the second host. Upon the first host becoming unavailable, the second host sends to the peer host a request to update the state of the transport connection. The peer host then updates the transport connection. Without resetting the transport connection, the second host then establishes the same transport connection with the peer host.

摘要翻译： 公开了一种通过流控制传输协议（SCTP）连接提供应用的容错的方法。 还描述了用于将传输连接从网络上的第一主机移动到第二主机的方法。 在建立第一主机和对等主机之间的传输连接之后，关于传输连接的第一信息被传送到第二主机。 当第一主机变得不可用时，第二主机向对等主机发送更新传输连接状态的请求。 然后对等主机更新传输连接。 然而，在不重新设置传输连接的情况下，第二主机与对等主机建立相同的传输连接。