CN101127744B - 对非法客户端进行隔离提示的方法和系统以及网关设备 - Google Patents

Abstract

本发明公开了一种对非法客户端进行隔离提示的方法，包括：网关设备接收到非法客户端在新建会话上发送的握手报文，并发送给服务器；服务器与非法客户端进行所述会话的握手过程；网关设备将所述会话记录为隔离会话；握手过程结束后，网关设备在所述会话上监听报文，当非法客户端与服务器采用客户端先发送请求报文的机制时，监听非法客户端发送的第一个业务请求报文；当二者采用服务器端先发送回应报文的机制时，监听服务器发送的应答报文，当监听到后，根据记录确定所述会话为隔离会话，则向非法客户端发送隔离提示。本发明还公开了一种网关设备以及一种对非法客户端进行隔离提示的系统。本发明降低了网关设备的实现难度，有易于业务的开展和实现。

Description

对非法客户端进行隔离提示的方法和系统以及网关设备

技术领域

本发明涉及网络通信技术，特别是涉及对非法客户端进行隔离提示的方法和系统以及网关设备。

背景技术

随着网络技术的蓬勃发展以及全球信息化进程的加速，人类生活模式已发生改变。然而伴随着信息便利而来的，则是出现了各种形形色色的网络攻击和破坏，产生了日益令人担忧的网络安全问题。

图1是使用网关设备保证网络安全的网络结构示意图。参见图1，目前，为了避免非法客户端对网络中的服务器进行攻击，保证网络的安全，在客户端和服务器之间设置了网关设备，由网关设备对非法客户端进行识别并隔离，从而阻断非法客户端与服务器之间的信息交互，保证服务器不会受到攻击。下面描述对非法客户端进行识别和隔离的具体过程。

图2是利用网关设备识别非法客户端的流程图。参见图1和图2，目前，利用网关设备识别非法客户端的过程具体包括以下步骤：

步骤201：客户端1发送建立连接的请求报文，称为同步序列编号(synchronize sequence Numbers，SYN)报文。

步骤202：网关设备接收到客户端1发送的SYN报文，根据预设策略判断该客户端1是否为非法客户端，如果是，则执行步骤210，否则，执行步骤203。

步骤203：网关设备将SYN报文发送至服务器，服务器将同步应答(synchronize sequence Numbers Acknowledgment，SYN ACK)报文发送至客户端1。

步骤204：客户端1发送应答(ACK)报文。

步骤205：网关设备接收到客户端1发送的ACK报文，根据预设策略判断该客户端1是否为非法客户端，如果是，则执行步骤210，否则，执行步骤206。

步骤206：网关设备将ACK报文发送至服务器。

上述步骤201至步骤206的过程完成了客户端1与服务器之间TCP连接的三次握手过程，从而建立了客户端1与服务器之间的连接。

步骤207：客户端1发送业务请求报文。

步骤208：网关设备接收到客户端1发送的业务请求报文，根据预设策略判断该客户端1是否为非法客户端，如果是，则执行步骤210，否则，执行步骤209。

步骤209：网关设备将业务请求报文发送至服务器，服务器向客户端1提供相应的业务服务，结束当前流程。

步骤210：网关设备将该客户端1标识为非法客户端，并中断客户端1与服务器之间的连接。

本步骤中，将客户端1标识为非法客户端的具体实现可以是：网关设备将该客户端1的标识加入预设的隔离表中。

在利用上述图2所示过程识别出客户端1为非法客户端后，如果该客户端1再次向服务器请求业务，那么，网关设备则会对该客户端1进行隔离提示，参见图1和图3，在现有技术中，对非法客户端进行隔离提示的过程具体包括以下步骤：

步骤301：客户端1在一个新建会话上发送SYN报文。

步骤302：网关设备接收到SYN报文，确定是非法的客户端1发来的，则直接将SYN ACK报文发送至客户端1。

步骤303：客户端1返回ACK报文。

上述步骤301至步骤303的过程完成了客户端与网关设备之间新建会话的三次握手过程，从而建立了客户端1与网关设备之间的会话连接。

步骤304：客户端1发送业务请求报文。

步骤305：网关设备接收到客户端1发来的业务请求报文后，直接中断本次连接，并向客户端1发送隔离提示。

由上述图3所示流程可以看出，在网关设备识别出一个客户端为非法客户端之后，如果该非法客户端再次发起请求，那么，为了向非法客户端发送隔离提示，使得非法客户端能够获知自身已被隔离，避免该非法客户端重复无谓地发送请求，目前，必须首先由网关设备与非法客户端进行三次握手过程，建立连接，然后，网关设备才能利用该建立的连接向非法客户端发送隔离提示。

然而，在现有技术中，当被识别出的非法客户端再次发起连接时，为了能够向非法客户端发送隔离提示，网关设备需要与非法客户端进行三次握手过程，这样，则要求网关设备具有较高的处理能力。比如，为了能够代替服务器与非法客户端进行三次握手过程中报文的交互，网关设备必须具备各种协议的代理功能，而不同协议的代理机制又有所不同，因此，对网关设备的处理能力提出了较高要求。再如，网关设备在与非法客户端进行每次握手过程时，均需要维护各种复杂的握手状态，因此，也对网关设备的处理能力提出了较高要求。

可见，现有技术对非法客户端进行隔离提示的方法，要求网关设备具有较高的处理能力，增加了网关设备的实现难度，不易于业务的开展和实现。

发明内容

有鉴于此，本发明的一个目的在于提供一种对非法客户端进行隔离提示的方法，本发明的另一个目的在于提供一种对非法客户端进行隔离提示的系统，本发明的再一个目的在于提供一种网关设备，以便于降低网关设备的实现难度。

为了达到上述目的，本发明的技术方案是这样实现的：

一种对非法客户端进行隔离提示的方法，该方法包括：

网关设备接收到已被识别出的非法客户端在新建会话上发送的握手报文，将该握手报文发送给服务器；服务器与非法客户端进行所述会话的握手过程；网关设备将所述会话记录为隔离会话；在所述握手过程结束后，网关设备在所述会话上监听报文，当监听到后，根据记录确定所述会话为隔离会话，则向非法客户端发送隔离提示；

当所述非法客户端与服务器采用客户端先发送请求报文的机制时，所述网关设备在所述会话上监听报文的步骤包括：所述网关设备在所述会话上监听所述非法客户端发送的第一个业务请求报文；

当所述非法客户端与服务器采用服务器端先发送回应报文的机制时，所述网关设备在所述会话上监听报文的步骤包括：所述网关设备在所述会话上监听所述服务器发送的应答报文。

一种网关设备，包括：

握手报文处理单元，用于在接收到已被识别出的非法客户端在新建会话上发送的握手报文后，将该握手报文发送给服务器，并向隔离会话标记单元发送标记通知，将服务器发送的所述会话的握手报文发送给所述非法客户端；

隔离会话标记单元，用于在接收到标记通知后，将所述会话记录为隔离会话；

隔离处理单元，在所述会话上监听报文，当监听到后，根据隔离会话标记单元的记录确定所述会话为隔离会话，向非法客户端发送隔离提示；

当所述非法客户端与服务器采用客户端先发送请求报文的机制时，所述隔离处理单元在所述会话上监听所述非法客户端发送的第一个业务请求报文；

当所述非法客户端与服务器采用服务器端先发送回应报文的机制时，所述隔离处理单元在所述会话上监听所述服务器发送的应答报文。

一种对非法客户端进行隔离提示的系统，包括：非法客户端、服务器和网关设备。

由此可见，在本发明中，在识别出一个客户端为非法客户端之后，当该非法客户端发起后续连接时，为了能够向非法客户端发送隔离提示，由服务器与该非法的客户端进行三次握手过程，网关设备无需再参与握手过程，因此，降低了对网关设备处理能力的要求。比如，由于网关设备无需参与握手过程，因此使得网关设备无需具备各种协议的代理功能。再如，由于网关设备无需参与握手过程，因此，网关设备无需执行现有技术中维护各种复杂的握手状态的处理。可见，本发明降低了网关设备的实现难度，有易于业务的开展和实现。

附图说明

图1是使用网关设备保证网络安全的网络结构示意图。

图2是利用网关设备识别非法客户端的流程图。

图3是在现有技术中对非法客户端进行隔离提示的流程图。

图4是在本发明一个实施例中对非法客户端进行隔离提示的流程图。

图5是在本发明实施例中提出的网关设备的内部结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。

本发明提出了一种对非法客户端进行隔离提示的方法，该方法包括：网关设备接收到已被识别出的非法客户端在新建会话上发送的握手报文，将该握手报文发送给服务器；服务器与非法客户端进行所述会话的握手过程；网关设备将所述会话记录为隔离会话；在所述握手过程结束后，网关设备在所述会话上监听报文，当监听到后，根据记录确定所述会话为隔离会话，则向非法客户端发送隔离提示。

图4是在本发明一个实施例中对非法客户端进行隔离提示的流程图。参见图4，在本发明一个实施例中，在通过图2所示流程识别出一个客户端如客户端1为非法客户端之后，如果该客户端1再次发起连接，那么，对该非法的客户端1进行隔离提示的过程具体包括以下步骤：

步骤401：非法的客户端1在一个新建会话上发送SYN报文。

这里，SYN报文是已被识别为非法客户端的客户端1在新建会话上发送的第一个握手报文。

步骤402：网关设备在新建会话上接收到SYN报文，确定是非法的客户端1发来的，则将该新建会话记录为隔离会话。

这里，将新建会话记录为隔离会话的具体实现过程可以是：网关设备从SYN报文中提取标识该新建会话的信息，将提取的会话的信息记录在预先设置的隔离会话表中。

其中，提取的标识该新建会话的信息可以是包括源IP地址在内的会话五元组中的任意一个或多个，比如，源IP地址和协议类型，再如，源IP地址、源端口号以及目的IP地址。较佳地，可以是报文中携带的源IP地址和源端口号，即握手报文中携带的非法客户端1的IP地址和端口号。

步骤403：网关设备将SYN报文发送至服务器。

步骤404：服务器接收到SYN报文后，返回SYN ACK报文。

这里，SYN ACK报文是新建会话的第二个握手报文。

步骤405：网关设备接收到SYN ACK报文后，将该SYN ACK报文发送至非法的客户端1。

步骤406：非法的客户端1接收到SYN ACK报文后，返回ACK报文。

这里，ACK报文是新建会话的第三个握手报文。

步骤407：网关设备在新建会话上接收到ACK报文，将该ACK报文发送至服务器。

至此，则完成了新建会话的全部握手过程，建立了服务器与非法的客户端1的会话连接。

步骤408：在握手过程结束后，网关设备在所述新建会话上监听报文。

步骤409：当网关设备监听到报文后，根据记录确定该新建会话为隔离会话。

在步骤408和步骤409中，网关设备所监听的报文可以根据非法的客户端1与服务器之间的通信机制来确定。其中，

当非法的客户端1与服务器采用客户端先发送请求报文的机制时，比如超文本传输协议(HTTP)，那么，为了保证网关设备能够在建立与非法的客户端1的连接后，及时对非法的客户端1进行隔离提示处理，网关设备在所述新建会话上监听的报文为非法的客户端1发送的第一个业务请求报文(Request)；

当非法的客户端1与服务器采用服务器端先发送回应报文的机制时，比如FTP或SMTP，那么，为了保证网关设备能够在建立与非法的客户端1的连接后，及时对非法的客户端1进行隔离提示处理，网关设备在所述新建会话上监听的报文可以为服务器发送的应答报文。

另外，在本步骤中，根据记录确定该新建会话为隔离会话的具体实现包括：网关设备从监听到的报文中提取会话的信息，在从隔离会话表中查找到该会话的信息后，确定所述会话为隔离会话。当然，本步骤中提取的会话的信息与步骤402中提取的会话的信息相同，比如，均提取报文中携带的源IP地址和源端口号。

步骤410：网关设备将隔离提示发送至非法的客户端1，并中断本次新建会话的连接。

这里，如果非法的客户端1与服务器采用客户端先发送请求报文的机制，比如超文本传输协议(HTTP)，那么，隔离提示是由网关设备构造的。如果非法的客户端1与服务器采用服务器端先发送回应报文的机制，那么，隔离提示可以是由网关设备对服务器返回的应答报文进行修改后形成的。

另外，网关设备中断本次新建会话的连接的方法为：网关设备将Reset报文分别发送至非法的客户端1和服务器。

需要说明的是，在上述图4所示流程中，网关设备是在接收到非法的客户端1发来的第一个握手报文时，执行将所述的新建会话记录为隔离会话的处理。在本发明的其他实施例中，网关设备也可以在接收到其他握手报文时执行将所述的新建会话记录为隔离会话的处理，只需保证该处理在三次握手过程中进行即可。

另外，本发明还提出了一种网关设备。图5是在本发明实施例中提出的网关设备的内部结构示意图。参见图5，该网关设备包括：

握手报文处理单元，用于在接收到已被识别出的非法客户端在新建会话上发送的握手报文后，将该握手报文发送给服务器，并向隔离会话标记单元发送标记通知，将服务器发送的所述会话的握手报文发送给所述非法客户端；

隔离会话标记单元，用于在接收到标记通知后，将所述会话记录为隔离会话；

隔离处理单元，在所述会话上监听报文，当监听到后，根据隔离会话标记单元的记录确定所述会话为隔离会话，向非法客户端发送隔离提示。

参见图5，所述握手报文处理单元，进一步从非法客户端发来的握手报文中提取所述会话的信息，将提取的所述会话的信息携带在所述标记通知中发送至所述隔离会话标记单元；

所述隔离会话标记单元，用于从标记通知中获取所述会话的信息，将获取的所述会话的信息记录在隔离会话表中；

所述隔离处理单元，用于从监听到的报文中提取会话的信息，在所述隔离会话标记单元保存的隔离会话表中查找到所提取的会话的信息后，确定所述会话为隔离会话。

参见图5，当所述非法客户端与服务器采用客户端先发送请求报文的机制时，所述隔离处理单元用于在所述会话上监听所述非法客户端发送的第一个业务请求报文；

当所述非法客户端与服务器采用服务器端先发送回应报文的机制时，所述隔离处理单元用于在所述会话上监听所述服务器发送的应答报文。

另外，本发明还提出了一种对非法客户端进行隔离提示的系统，包括：非法客户端、服务器和网关设备。其中，网关设备可以采用本发明上述实施例提供的任意一种网关设备来实现。

在本发明的各种实施例中，网关设备可以是任意一种能够对服务器进行安全保护的设备，比如，IPS设备、防病毒墙设备或UTM设备。

总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种对非法客户端进行隔离提示的方法，其特征在于，该方法包括：

网关设备接收到已被识别出的非法客户端在新建会话上发送的握手报文，将该握手报文发送给服务器；服务器与非法客户端进行所述会话的握手过程；网关设备将所述会话记录为隔离会话；在所述握手过程结束后，网关设备在所述会话上监听报文，当监听到后，根据记录确定所述会话为隔离会话，则向非法客户端发送隔离提示；

当所述非法客户端与服务器采用客户端先发送请求报文的机制时，所述网关设备在所述会话上监听报文的步骤包括：所述网关设备在所述会话上监听所述非法客户端发送的第一个业务请求报文；

当所述非法客户端与服务器采用服务器端先发送回应报文的机制时，所述网关设备在所述会话上监听报文的步骤包括：所述网关设备在所述会话上监听所述服务器发送的应答报文。

2.根据权利要求1所述的方法，其特征在于，所述网关设备将所述会话记录为隔离会话的步骤包括：所述网关设备从握手报文中提取标识所述会话的信息，将提取的所述会话的信息记录在隔离会话表中；

所述根据记录确定所述会话为隔离会话的步骤包括：所述网关设备从监听到的报文中提取会话的信息，在从隔离会话表中查找到该会话的信息后，确定所述会话为隔离会话。

3.根据权利要求2所述的方法，其特征在于，所述提取的会话的信息为报文中携带的非法客户端的IP地址和端口号。

4.根据权利要求1所述的方法，其特征在于，所述网关设备在接收到所述非法客户端发来的第一次握手报文时，执行将所述会话记录为隔离会话的处理。

5.根据权利要求1所述的方法，其特征在于，所述客户端先发送请求报文的机制为超文本传输协议HTTP；

所述服务器端先发送回应报文的机制为FTP或SMTP。

6.一种网关设备，其特征在于，包括：

握手报文处理单元，用于在接收到已被识别出的非法客户端在新建会话上发送的握手报文后，将该握手报文发送给服务器，并向隔离会话标记单元发送标记通知，将服务器发送的所述会话的握手报文发送给所述非法客户端；

隔离会话标记单元，用于在接收到标记通知后，将所述会话记录为隔离会话；

隔离处理单元，在所述会话上监听报文，当监听到后，根据隔离会话标记单元的记录确定所述会话为隔离会话，向非法客户端发送隔离提示；

当所述非法客户端与服务器采用客户端先发送请求报文的机制时，所述隔离处理单元在所述会话上监听所述非法客户端发送的第一个业务请求报文；

当所述非法客户端与服务器采用服务器端先发送回应报文的机制时，所述隔离处理单元在所述会话上监听所述服务器发送的应答报文。

7.根据权利要求6所述的网关设备，其特征在于，所述握手报文处理单元，进一步从非法客户端发来的握手报文中提取所述会话的信息，将提取的所述会话的信息携带在所述标记通知中发送至所述隔离会话标记单元；

所述隔离会话标记单元，用于从标记通知中获取所述会话的信息，将获取的所述会话的信息记录在隔离会话表中；

所述隔离处理单元，用于从监听到的报文中提取会话的信息，在所述隔离会话标记单元保存的隔离会话表中查找到所提取的会话的信息后，确定所述会话为隔离会话。

8.一种对非法客户端进行隔离提示的系统，其特征在于，包括：非法客户端、服务器和权利要求6或7所述的网关设备。

Images