CN100481771C - 用于拦截网络访问的系统及其方法 - Google Patents

Abstract

本发明公开了一种网络访问的拦截系统和方法。为了通过网络控制多个第一和第二主机之间的访问拦截，第一主机发射分组的产生在网络中被监控，并且所产生的发射分组被接收。然后确定包括在发射分组中的目的地是否为访问拦截目标，当根据确定结果发现发射分组的目的地是访问拦截目标时，产生访问拦截分组并且将其发送到第一主机，以使第一主机停止网络访问尝试。

Description

用于拦截网络访问的系统及其方法

技术领域

本发明涉及一种网络访问拦截系统和方法。更明确地，本发明涉及一种用于有选择地拦截访问包括互联网在内的网络中预定站点的系统和方法。

背景技术

随着近来网络技术的发展，在全球范围内激增的各类信息正在通过互联网——这一巨大的网络被分享，因此通过互联网提供各种服务的站点也在增加。

在这一过程中，提供不良信息的有害站点也很活跃。对此，一部分人提出了他们关于保护青少年的意见，并且由此，防止青少年访问有害站点的解决方案正在发展。

拦截访问诸如有害站点之类的预定站点的方法可划分为以客户端为中心和以服务器为中心的两类。

以客户端为中心的方法是在每台个人电脑(PC)中都安装用于拦截色情内容的软件，并且当提出针对预先登记到数据库中的预定站点的访问请求时，该访问请求将被拦截，这种方法在很早的时候就已经被使用。

然而，上述这种方法没有通畅地分配程序(distribute program)，并且每次安装操作系统(O/S)，都需要重新安装相应的软件，也令人感到麻烦。

以服务器为中心的方法也被称为代理服务器方法，当提出针对预先登记的预定站点的访问请求时，代理服务器将拦截对该预定站点的访问。在该方法中，不需要在每个客户计算机中安装任何程序，但是需要重新配置网络以使网络上的所有用户必须使用相应的代理服务器，并且还需要为每个用户群配置不同的网络，来为不同的用户群提供不同的等级。

发明内容

本发明的好处在于能够给有访问拦截需求的用户提供对预定站点的访问拦截服务。

特别地，本发明的好处是不用为了站点访问拦截而安装额外的程序，而且也不需要网络重新配置。

在本发明的一方面，用于在多个第一主机和第二主机之间通过网络控制访问拦截的系统包括：拦截信息数据库，用于存储有关访问拦截目标，即第二主机的信息，及拦截设置信息；网络监控器，用于在网络上监控来自第一主机的发射分组的产生状态，并接收第一主机所产生的发射分组；访问处理器，用于基于拦截信息数据库中存储信息，确定包含在所接收的发射分组中的目的地是否为访问拦截目标；以及分组产生器，用于根据确定结果得知发射分组的目的地是访问拦截目标时，产生访问拦截分组，并且将访问拦截分组发射到第一主机，以使第一主机停止网络访问尝试，其中，该系统连接到一伪集线器，第一主机和第二主机之间的数据经过该伪集线器所在的位置，且该伪集线器被连接到第一主机，并且该网络监控器监控由第一主机产生的分组并通过该伪集线器发送/接收分组。

所述访问拦截分组包括具有“网络不可达”代码的互联网控制消息协议(ICMP)消息形式，当接收到访问拦截分组时，第一主机将确定网络不可达，并停止对第二主机的访问尝试。

所述访问拦截系统接收已向互联网服务供应商(ISP)请求访问拦截的第一主机的IP地址，并且当已产生发射分组的第一主机的IP地址对应于ISP所提供的IP地址时，访问处理器确定发射分组的目的地是否为访问拦截目标，然后在该发射分组的目的地为访问拦截目标时执行访问拦截处理。

存储在所述拦截信息数据库中的拦截设置信息包括对作为访问拦截目标的第二主机进行拦截的日期和时间，在当前发射分组的目的地是访问拦截目标的情况下，当设定访问拦截目标将于当前日期或时间被拦截时，访问处理器将控制分组产生器来执行访问拦截处理。

所述拦截设置信息包括已请求访问拦截的用户的认证信息，访问处理器根据认证用户的请求执行日期或时间的修改，及拦截的取消。

在本发明的另一方面，用于在系统中通过网络控制多个第一主机和第二主机之间的访问拦截的方法包括：(a)由该系统在网络中监控来自第一主机的发射分组的产生状态；(b)由该系统在网络中接收由第一主机产生的发射分组；(c)由该系统确定作为包含在所接收的发射分组中的目的地的第二主机是否为访问拦截目标；以及(d)由该系统根据确定结果，在作为发射分组目的地的第二主机是访问拦截目标时，产生访问拦截分组，并发送该访问拦截分组到第一主机以使第一主机停止网络访问尝试，其中，该系统连接到一伪集线器，第一主机和第二主机之间的数据经过该伪集线器所在的位置，且该伪集线器被连接到第一主机，该系统监控由第一主机产生的分组并通过该伪集线器发送/传输分组。

所述(a)包括：接收向ISP请求访问拦截的第一主机的IP地址；确定已产生发射分组的第一主机的IP地址是否与ISP提供的IP地址符合；当根据确定结果，已产生发射分组的第一主机的IP地址与ISP提供的IP地址符合时，确定作为该发射分组目的地的第二主机是否为访问拦截目标。

本方法还包括：从第一主机用户接收对作为访问拦截目标的第二主机所希望的取消拦截的日期或时间，并且设置该日期或时间；为认证用户修改该日期或时间，及执行访问取消，所述(d)还包括：当作为发射分组目的地的第二主机是访问拦截目标并且该第二主机被设置为在当前日期或时间被访问拦截时，产生访问拦截分组，并将该访问拦截分组发送到第一主机。

附图说明

被结合构成本说明书一部分的附图说明了本发明的一个实施例，并且与描述文字一起用于解释本发明的原理：

图1示出了总体的TCP/IP结构层；

图2示出了根据本发明优选实施例的网络访问拦截系统的配置；

图3示出了根据本发明优选实施例的访问拦截分组的配置框图；以及

图4示出了根据本发明优选实施例的网络访问拦截过程的流程图。

具体实施方式

在以下详细说明中，仅仅以完成本发明的发明者所预期的最佳模式，示出和描述本发明的优选实施例。应该认识到，本发明在各个显而易见的方面所做出的修改，都应认为没有背离本发明。因此，附图和说明文字应被认为实际上是说明性的，而非限制性的。

一些用户早些时候提供了独立的网络，并且因此，这些用户不得不根据他们的网络规范来设置通信硬件环境。但是由于不存在可支持各种网络规范的单一网络，因此不可能建立使用单一硬件规范的广域网络。

为了解决这个问题，用于在不同的设备之间通信的传输控制协议/网际协议(TCP/IP)已被发展起来，并且已成为分组交换网络的基础，高级研究规划署网络(ARPANET)。TCP/IP技术已经成为建立全球范围互联网的基础，在这种互联网络中，家庭、大学校园、学校、商业企业、及政府研究中心都被连接在一起。

图1示出总体的TCP/IP结构层。

如图所示，TCP/IP包括：应用层、主机到主机的传输层、网间网层和网络接口层。

网间网层被用来设置从发射主机到目的接收主机的数据路径，并包括：网际协议(IP)、互联网控制报文协议(ICMP)、互联网组管理协议(IGMP)和地址解析协议(ARP)。

IP是用于控制数据分组(数据报)在网络中和网络间发射和接收的协议，并且它与开发系统互联(OSI)模型中的网络层匹配。ICMP是用于控制主机服务器和互联网网关之间的消息，以及通告错误的协议。ICMP的控制消息被载入IP数据报的数据单元中，然后被发射，并且它们具有以下功能：控制传输误差，测试是否达到最终目的地，向原始主机报告，在传输率不能由主机或网关处理时，控制传输率，以及向网关请求修改传输路径。

在本发明优选实施例中，具有上述功能的ICMP被用来检测网络连接状态是否有物理错误，并且被用来拒绝接收来自预定主机的分组。

图2示出根据本发明优选实施例的访问拦截系统。

访问拦截系统10通过互联网20被连接到第一主机31到3n和第二主机41到4n。具体是，访问拦截系统10被连接到伪集线器(dummy hub)60，伪集线器60连接到用于连接第一主机31到3n的交换式集线器50；同时伪集线器60通过路由器70连接到互联网20，并且第二主机41到4n也被连接到互联网20。因此，访问拦截系统10通过伪集线器60和交换式集线器50从/向第一主机31到3n接收和发射分组，并且同样，它还通过伪集线器60、路由器70和互联网20从/向第二主机41到4n接收和发射分组。

在这种情况下，为了便于说明，尝试访问的主机，即允许通过互联网与其它计算机双向通信的计算机被称为“第一主机”，而诸如网站之类的被访问主机被称为“第二主机”。

因为第一主机31到3n被连接到交换式集线器50的多个端口，所以从连接到各自端口的第一主机31到3n产生的数据被输入到交换式集线器50后再被发射。并且交换式集线器50分析数据，选择目的地，然后将数据发送到目的地，或者当没有设置端口镜像时，交换式集线器50广播这些数据。在此，交换式集线器被用于改进网络速率，另外也可以使用普通集线器。

因为伪集线器60只能在广播方法中操作，所以当交换式集线器50不支持端口镜像时，伪集线器60通过交换式集线器50与访问拦截系统连接。

路由器70是用于连接采用相同传输协议的分离网络的设备，并且其连接网络层来发射数据。也就是说，路由器70根据路径分配表来确定另一个网络的节点或者该路由器70的网络的节点，并且它从众多路径中选择出最有效的路径发射数据。

被连接到伪集线器60的访问拦截系统10用于拦截对预定站点的访问，该系统包括拦截信息数据库11、网络监控器12、访问处理器13和分组产生器14。

拦截信息数据库11存储作为访问拦截目标的第二主机的信息，以及拦截设置信息(即拦截的日期、时段、时间，以及拦截请求者的验证信息)，例如：包括对应色情站点的第二主机IP地址，以及统一资源定位器(URL)。另外，它还可以进一步存储互联网服务供应商(ISP)提供的有关访问拦截请求者的信息(例如IP地址)，以便拦截这些已经请求访问拦截的第一主机的访问。

网络监控器12通过伪集线器60接收广播分组，在网络中监控分组发射状态。

访问处理器13根据拦截信息数据库11中是否存储有网络监控器12所接收的分组将被发往目的地址，来确定是否可以访问相应的目的地。

当发射分组将要被发往的目的地根据访问处理器13得出的结果对应于访问拦截目标时，分组产生器14产生访问拦截分组，并将其发射到已发射相应分组(在下文中被称为发射分组)的第一主机，以使第一主机可以检测到当前的网络不可达。

访问拦截分组以ICMP消息格式被生成。图3示出了ICMP消息的简要结构。

访问拦截分组是具有64bit头(header)的ICMP消息，并且如图3中所示，它可以是众多种类型之中的一种，每种类型都有多种代码。它还包括代表传输单元中比特数的校验和，以使接收者一方可以检查是否已有相同的比特数到达，从而检测接收误差。

在这种情况下，“网络不可达”代码被记录在所述代码上并被发射，以便使第一主机检测到该网络不可达。因此，第一主机根据该网络的不可达状态停止访问尝试，并且当作为目的地的第二主机发出响应分组时，第一主机不会接收该响应分组。

接下来，将说明一种基于上述配置访问拦截系统的用于拦截对预定主机的访问的方法。

图4示出了一个根据本发明优选实施例的访问拦截处理的流程图。

访问拦截系统10运行在用于在网络中监控分组产生状态的模式中，比如：混杂(promiscuous)模式。

在这个状态中，如图4(a)中所示，在步骤S100中，试图访问作为连至互联网20预定站点的第二主机的第一主机31产生包括作为访问的目的地的该第二主机地址的发射分组。

在步骤S110中，所说明的是由相应第一主机产生的发射分组通过相应的端口被发射到交换式集线器50，然后交换式集线器50广播该发射分组。因此，发射分组被发射到被连接到局域网80的另一个第一主机，而且也被发射到与伪集线器60连接的访问拦截系统10。它们还通过路由器70被发射到作为相应的目的地的第二主机41。

在步骤S120中，访问拦截系统10的网络监控器12以混杂模式运行，并且使用端口镜像功能来监控网络；然后在步骤S130中，当发射分组从第一主机被发射时，网络监控器12接收被广播的发射分组，并且把它们提供给访问处理器13。

在步骤S140和步骤S150中，首先，访问处理器13确定已发射所述发射分组的第一主机是否为已请求访问拦截服务的用户。

在本发明优选实施例中，为了拦截已向ISP请求互联网拦截服务的用户而不是拦截所有的ISP签约用户，当ISP签约用户请求访问预定站点(第二主机)时，ISP把该相应的签约用户登记为访问拦截请求者，并且向访问拦截系统提供相应的信息。

在这种情况下，拦截信息数据库11存储访问拦截请求者的信息(例如IP地址)；基于存储在拦截信息数据库11中的信息，访问处理器13确定已产生发射分组的第一主机31的IP地址是否对应于ISP提供的访问拦截请求者，并且当该IP地址对应于访问拦截请求者时，拦截信息数据库11中的信息被用来确定相应发射分组的目的地是否为拦截目标。

也就是说，访问处理器13分析网络监控器12提供的发射分组以找出发射分组将要发往的目的地址，并且在步骤S160中确定目的地址是否被存储在拦截信息数据库11中。

在步骤170和步骤S180中，当发射分组的目的地址被存储在拦截信息数据库11中时，访问处理器13确定该发射分组目的地是诸如色情站点之类的访问拦截目标，于是它控制分组产生器14来产生访问拦截分组，该访问拦截分组用具有“网络不可达”代码的ICMP消息格式将请求访问的第一主机作为目的地，以使得在请求访问的第一主机和作为访问目标的第二主机之间没有分组的发射和接收。

在步骤S190中，由分组产生器14产生的访问拦截分组通过伪集线器60被发射到交换式集线器50，并且根据被发射的访问拦截分组的目的地址，交换式集线器50把访问拦截分组发射到相应的第一主机31。

在步骤S200和步骤S210中，当访问拦截分组在访问请求后被发射，而且访问拦截分组的代码是“网络不可达”代码时，第一主机31确定不可能访问第二主机，并且停止访问尝试。这与由于局域网缆线被断开或者由于路由器运转问题而不可以访问相应站点时的情形是一样的。

因此，当通过路由器70接收到发射分组的第二主机产生响应分组(例如色情站点)时，在该响应分组中，所述已将发射分组发射到目的地的第一主机被记录在其中；当第二主机发射响应分组到第一主机时，由于第一主机已经根据网络不可达状态而停止访问尝试，所以该响应分组不会被第一主机接收到。

从而，当访问拦截程序没有在每个第一主机中被安装，并且当网络没有被配置以至于所有的第一主机都必须使用指定的代理服务器时，对预定站点的访问拦截也能够容易地实现。

当发射分组的目的地址没有被存储在拦截信息数据库11中时，则确定发射分组的目的地不是访问拦截目标，并且不执行访问拦截。因此，在这种情况下，当在网络上被广播的发射分组通过路由器70被发射到作为相应的目的地的第二主机41时，第二主机41产生与发射分组匹配的响应分组，并且将其发射到第一主机31。从而，在步骤S220中，分组在第一主机31和第二主机41之间被发射和接收，并且第一主机31从第二主机41中获得所需的信息。

上述的访问拦截可以被应用于ISP规模的网络和诸如局域网之类的小型网络中。

用于确定是否第一主机是请求访问拦截用户的步骤S140和S150可以被省去。也就是说，通过只检查发射分组的目的地是否对应于访问拦截目标，而不检查已产生发射分组的第一主机是否为已请求访问拦截的用户，这样，对预定主机的访问同样可以如前所述地被拦截。

此外，通过为每个第一主机设置需要执行拦截的第二主机，可以为每个第一主机拦截其对预定主机的访问。

进一步，通过分离年、月、日，访问拦截可以只为访问拦截请求者执行。也就是说，访问拦截请求者可以请求在具体日期或者时间中对预定地址的访问拦截，因此，当被发射的发射分组的目的地址是访问拦截目标且该访问拦截被设置在当前的日期和时间时，如前所述的访问拦截则可以被执行。在这种情况下，需要在拦截信息数据库中存储请求者的认证信息，以使只有相应的请求者可以建立或者取消访问拦截，访问拦截系统根据认证信息证实该请求者，然后执行或者取消访问拦截。在这种情况下，存储在拦截信息数据库中的拦截建立信息包括每个第一主机对特定第二主机拦截的日期、时段、时间和拦截请求者的认证信息。

如上所述，当访问拦截程序未被安装在所有客户端，并且网络没有被配置以使所有的客户端必须使用特定的代理服务器时，对特定站点的访问拦截也可被容易地实现。

不需要修改传统的网络配置，对预定站点的访问也可以被容易地拦截。

并且，访问拦截还可以针对特定的IP地址执行。

因此，通过在网络中拦截不需要的访问请求，带宽过载也可被减轻。

虽然本发明已经结合目前被认为是最实际和最佳的实施例被描述，但是应当理解，本发明不受限于这些被公开的实施例，相反，包含在附加权利要求的精神和范围内的不同修改和等效方案都应被覆盖。

Claims (8)

1、一种用于在多个第一主机和第二主机之间通过网络控制访问拦截的系统，其特征在于，包括：

拦截信息数据库，用于存储作为访问拦截目标的第二主机的信息和拦截设置信息；

网络监控器，用于在网络中监控来自第一主机的发射分组的产生状态，并接收产生的发射分组；

访问处理器，用于基于存储在拦截信息数据库中的信息确定包含在所接收的发射分组中的目的地是否为访问拦截目标；以及

分组产生器，用于在根据确定结果得知所述发射分组的目的地为访问拦截目标时，产生访问拦截分组并且将该访问拦截分组发射到第一主机以使得第一主机停止网络访问尝试，

其中，该系统连接到一伪集线器，第一主机和第二主机之间的数据经过该伪集线器所在的位置，且该伪集线器被连接到第一主机，并且该网络监控器监控由第一主机产生的分组并通过该伪集线器发送/接收分组。

2、根据权利要求1所述的系统，其特征在于，所述访问拦截分组包括具有“网络不可达”代码的互联网控制消息协议(ICMP)消息格式，且当接收到该访问拦截分组时，第一主机确定网络为不可达的，并停止对第二主机的访问尝试。

3、根据权利要求1所述的系统，其特征在于，所述访问拦截系统接收已向互联网服务供应商(ISP)请求访问拦截的第一主机的IP地址，并且当产生发射分组的第一主机的IP地址对应于ISP提供的IP地址时，访问处理器确定该发射分组的目的地是否为访问拦截目标，并在该发射分组的目的地为访问拦截目标时执行访问拦截处理。

4、根据权利要求1所述的系统，其特征在于，所述存储在拦截信息数据库中的拦截设置信息包括：作为访问拦截目标的第二主机的拦截日期和时间，并且在发射分组的目的地是访问拦截目标的情况下，当确定访问拦截目标将于当前的日期或时间被拦截时，访问处理器控制所述分组产生器来执行访问拦截处理。

5、根据权利要求1所述的系统，其特征在于，所述拦截设置信息包括已请求访问拦截的用户认证信息，并且访问处理器根据已通过认证用户的请求来执行对日期或者时间的修改，及拦截取消。

6、一种用于在系统中在多个第一主机和第二主机之间通过网络控制访问拦截的方法，其特征在于，包括：

(a)由该系统在网络中监控来自第一主机的发射分组的产生状态；

(b)由该系统在网络中接收由第一主机产生的发射分组；

(c)由该系统确定作为包含在所接收的发射分组中的目的地的第二主机是否为访问拦截目标；以及

(d)由该系统根据确定结果，在作为发射分组目的地的第二主机是访问拦截目标时，产生访问拦截分组，并发射访问拦截分组到第一主机以使第一主机停止网络访问尝试，

其中，该系统连接到一伪集线器，第一主机和第二主机之间的数据经过该伪集线器所在的位置，且该伪集线器被连接到第一主机，该系统监控由第一主机产生的分组并通过该伪集线器发送/接收分组。

7、根据权利要求6所述的方法，其特征在于，步骤(a)包括：

接收已经向互联网服务供应商(ISP)请求访问拦截的第一主机的IP地址；

确定已产生发射分组的第一主机的IP地址是否对应于ISP提供的IP地址；以及

当根据确定结果，所述已产生发射分组的第一主机的IP地址对应于ISP提供的IP地址时，确定作为该发射分组目的地的第二主机是否为访问拦截目标。

8、根据权利要求6所述的方法，其特征在于，进一步包括：

从第一主机用户接收对作为访问拦截目标的第二主机的期望的拦截日期或时间，并且设置该日期或时间；以及

为已认证用户修改该日期或时间，及执行访问取消，并且步骤(d)进一步包括：当作为发射分组目的地的第二主机是访问拦截目标，并且该第二主机被设置为在当前日期或时间内被访问拦截时，产生访问拦截分组并发射访问拦截分组到第一主机。

Images