CN102664890B

CN102664890B - 网络安全控制服务器识别终端计算机合法性的方法

Info

Publication number: CN102664890B
Application number: CN201210119838.3A
Authority: CN
Inventors: 张博; 金魁; 潘琳琳
Original assignee: SHENYANG GENERALSOFT CO Ltd
Current assignee: 360 Digital Security Technology Group Co Ltd
Priority date: 2012-04-23
Filing date: 2012-04-23
Publication date: 2014-06-25
Anticipated expiration: 2032-04-23
Also published as: CN102664890A

Abstract

本发明公开了网络安全控制服务器识别终端计算机合法性的方法，该方法以TCP数据包的连接为单位对终端计算机的每个TCP连接进行合法性判断，解决了在终端计算机与网络安全控制服务器之间放置NAT地址转换设备，使终端计算机所发送的TCP数据包的源IP地址发生了转换，网络安全控制服务器从而无法判断终端计算机合法性的问题。本发明可以广泛应用于各种网络结构。

Description

网络安全控制服务器识别终端计算机合法性的方法

技术领域

本发明涉及网络管理技术领域，特别涉及网络安全控制服务器的控制管理技术领域，具体是网络安全控制服务器识别终端计算机合法性的方法。

背景技术

随着社会信息化程度不断提高，企业规模越来越大，企业中所拥有的计算机数量也越来越多。对终端计算机进行管理的要求也越来越高，为了有效的管理终端计算机，需要在局域网中安装网络安全控制服务器，通过网络安全控制服务器来判断入网终端计算机是否合法。

现有技术中，网络安全控制服务器通过识别终端计算机的IP地址判断终端计算机是否合法，对非法终端计算机发送的TCP数据包进行阻断。但这种技术有明显的缺点，就是当终端计算机与网络安全控制服务器之间设置NAT地址转换设备（网络地址转换设备），终端计算机向互联网或数据服务器所发送的TCP数据包在经过NAT地址转换设备后，TCP数据包的源IP地址（即终端计算机的IP地址）转换为NATIP地址（NAT地址转换设备指定的IP地址），TCP数据包的源端口（即终端计算机的端口）转换成NAT端口，网络安全控制服务器接收到TCP数据包后，无法通过识别终端计算机的IP地址的方法区分出是哪台终端计算机发送的，因此无法识别终端计算机是否合法。

发明内容

为了克服上述现有技术的不足，本发明提供一种网络安全控制服务器识别终端计算机合法性的方法，网络安全控制服务器以TCP数据包的连接为单位，对终端计算机向互联网或数据服务器建立的每个TCP连接进行合法性判断，解决了由于在终端计算机与网络安全控制服务器之间设置NAT地址转换设备，网络安全控制服务器无法通过识别终端计算机的IP地址的方法区分出是哪台终端计算机发送的，因此无法识别终端计算机是否合法的问题。

为了实现上述目的，本发明采用如下技术方案：

网络安全控制服务器识别终端计算机合法性的方法，包括如下步骤：

a.网络安全控制服务器默认阻断所有终端计算机通过TCP连接发送的数据包：

网络安全控制服务器默认阻断所有终端计算机向互联网或数据服务器通过TCP连接发送的数据包，允许所有终端计算机向互联网或数据服务器通过TCP连接发送的握手包，目的用于阻断非法终端计算机向互联网或数据服务器通过TCP连接发送的数据包；

b.终端计算机与互联网或数据服务器建立TCP连接，发送握手包：

终端计算机访问互联网或数据服务器，新建立一个TCP连接，向互联网或数据服务器发送握手包，该握手包信息包括：终端计算机的IP地址、目的IP地址、终端计算机的端口、目的端口、握手包中IP协议层的标识；

c.网络安全控制服务器接收经过NAT地址转换设备后TCP连接的握手包：

网络安全控制服务器接收经过NAT地址转换设备后TCP连接的握手包，因为TCP连接的握手包经过NAT地址转换设备，所以TCP连接的握手包中的终端计算机的IP地址转换为NATIP地址，TCP连接的握手包中的源端口转换成NAT端口，网络安全控制服务器记录该经过NAT地址转换设备转换的TCP连接的握手包信息作为该TCP连接信息，包括：NATIP地址、目的IP地址、NAT端口、目的端口、握手包中IP协议层的标识，并将该TCP连接信息默认标记为非法，并以链表形式保存到网络安全控制服务器内存中；

d.网络安全控制服务器识别终端计算机是否合法：

如果终端计算机已安装合法的应用软件，该终端计算机能够拦截通过TCP连接发送的数据包，也能够向网络安全控制服务器发送TCP连接认证信息，识别已安装合法的应用软件的终端计算机是否合法步骤如下；

d1A.终端计算机将所述握手包信息以链表形式保存到终端计算机的内存中；

d2A.终端计算机拦截通过TCP连接发送的数据包：

终端计算机通过驱动拦截通过该TCP连接发送的数据包；

d3A.终端计算机向网络安全控制服务器发送TCP连接认证信息：

终端计算机从内存中找到该TCP连接信息中的目的IP地址、目的端口、握手数据包中IP协议层的标识作为TCP连接认证信息，发送给网络安全控制服务器进行认证；

d4A.网络安全控制服务器接收终端计算机发送的TCP连接认证信息：

网络安全控制服务器接收终端计算机发送的TCP连接认证信息，并根据该TCP连接认证信息，在网络安全控制服务器内存中,找到该TCP连接认证信息对应的TCP连接信息，并将该TCP连接信息标记为合法；

d5A.终端计算机取消拦截通过TCP连接发送的数据包：

终端计算机通过驱动取消对通过该TCP连接发送的数据包的拦截；

d6A.终端计算机通过TCP连接发送数据包：

终端计算机通过该TCP连接向互联网或数据服务器发送数据包；

d7A.网络安全控制服务器接收终端计算机通过TCP连接发送的数据包：

d8A.网络安全控制服务器识别终端计算机合法：

网络安全控制服务器根据接收到的通过TCP连接发送的数据包中的NATIP地址、目的IP地址、NAT端口、目的端口，在网络安全控制服务器内存中找到对应的TCP连接信息，由于该TCP连接信息已经标记为合法，则该终端计算机合法，并允许该终端计算机通过TCP连接发送的数据包。

如果终端计算机未安装合法的应用软件，该终端计算机不能够拦截通过TCP连接发送的数据包，也不能够向网络安全控制服务器发送TCP连接认证信息，识别未安装合法的应用软件的终端计算机是否合法步骤如下；

d1B.终端计算机通过TCP连接发送数据包：

d2B.网络安全控制服务器接收终端计算机通过TCP连接发送的数据包：

d3B.网络安全控制服务器识别终端计算机非法：

网络安全控制服务器根据接收到的通过TCP连接发送的数据包中的NATIP地址、目的IP地址、NAT端口、目的端口，网络安全控制服务器内存中找到对应的TCP连接信息，由于终端计算机无法向网络安全控制服务器发送TCP连接认证信息，并且TCP连接信息已经默认标记为非法，则该终端计算机非法，阻断该终端计算机通过TCP连接发送的数据包。

本发明通过终端计算机与网络安全控制服务器之间对终端计算机发送的TCP连接信息进行交互认证的识别方法，解决了终端计算机与网络安全控制服务器之间设置NAT地址转换设备，终端计算机向互联网或数据服务器所发送的TCP数据包在经过NAT地址转换设备后，TCP数据包的源IP地址转换为NATIP地址，TCP数据包的源端口转换成NAT端口，网络安全控制服务器接收到TCP数据包后，无法通过识别终端计算机的IP地址的方法区分出是哪台终端计算机发送的，因此无法识别终端计算机是否合法的问题。

附图说明

图1为本发明的识别终端计算机合法性的方法的流程图；

图2为本发明的实施例的应用环境示意图。

具体实施方式

下面将结合附图及实施例，对本发明做进一步详细描述。

本发明的网络安全控制服务器识别终端计算机合法性的方法，本实施例的应用环境如图2所示，包括互联网、路由器、交换机、网络安全控制服务器、NAT路由器、终端计算机1、终端计算机2；

所述路由器的一端连接互联网，另一端连接交换机的以太网端口J1，该交换机的以太网端口J2连接网络安全控制服务器W1，该交换机的以太网端口J3连接NAT路由器的以太网端口N1，所述NAT路由器的以太网端口N2连接终端计算机1，所述NAT路由器的以太网端口N3连接终端计算机2；交换机的以太网端口J2是对以太网端口J1的镜像，因此，当终端计算机1或终端计算机2访问互联网时，终端计算机发送的TCP数据包通过交换机的以太网端口J1时，会被镜像到交换机的以太网端口J2上，此时网络安全控制服务器通过交换机的以太网端口J2可以接收到终端计算机1或终端计算机2访问互联网时发送的TCP数据包，并对接收到的TCP数据包进行分析、处理。

本实施例具体采用如下设备：

路由器：TP-LINK TL-R4148；

交换机：Huawei Quidway S3900；

网络安全控制服务器：航天联志 2000R；

NAT路由器：H3C Aolynk WBR204g。

实施例

本实施例，其中终端计算机1已安装合法的应用软件，终端计算机2未安装合法的应用软件

当终端计算机1访问互联网时，具体工作过程如下

1.网络安全控制服务器默认阻断通过TCP连接发送的数据包：

网络安全控制服务器默认阻断终端计算机1向互联网通过TCP连接发送的数据包，允许终端计算机1向互联网通过TCP连接发送的握手包；目的用于阻断非法终端计算机向互联网通过TCP连接发送的数据包；

2.终端计算机1与互联网建立TCP连接，发送握手包：

终端计算机1访问互联网，新建立一个TCP连接，向互联网发送握手包，该握手包信息包括：终端计算机1的IP地址(192.168.0.2)、目的IP地址(220.181.111.85)、终端计算机1的端口(50436)、目的端口(80)、握手包中IP协议层的标识（32124）；

3.网络安全控制服务器接收经过NAT地址转换设备后TCP连接的握手包：

网络安全控制服务器接收经过NAT地址转换设备后TCP连接的握手包，因为TCP连接的握手包经过NAT地址转换设备，所以TCP连接的握手包中的终端计算机1的IP地址转换为NATIP地址，TCP连接的握手包中的源端口转换成NAT端口，网络安全控制服务器记录该经过NAT地址转换设备转换的TCP连接的握手包信息作为该TCP连接信息，包括：NATIP地址(192.168.1.100)、目的IP地址(220.181.111.85)、NAT端口(30463)、目的端口(80)、握手包中IP协议层的标识（32124），并将该TCP连接默认标记为非法，并以链表形式保存到网络安全控制服务器内存中；

4.网络安全控制服务器识别终端计算机1是否合法：

因为终端计算机1已安装合法的应用软件，该终端计算机1能够拦截通过TCP连接发送的数据包，也能够向网络安全控制服务器发送TCP连接认证信息，识别已安装合法的应用软件的终端计算机1是否合法步骤如下；

4.1A.终端计算机1将所述的握手包信息以链表形式保存到终端计算机1的内存中；

4.2A.终端计算机1拦截通过TCP连接发送的数据包：

终端计算机1采用驱动拦截通过该TCP连接发送的数据包；

4.3A.终端计算机1向网络安全控制服务器发送TCP连接认证信息：

终端计算机1从其内存中找到该TCP连接信息中的目的IP地址(220.181.111.85)、目的端口（80）、握手数据包中IP协议层的标识（32124）作为TCP连接认证信息，并发送给网络安全控制服务器进行认证；

4.4A.网络安全控制服务器接收终端计算机1发送的TCP连接认证信息：

网络安全控制服务器接收终端计算机1发送的TCP连接认证信息，并根据接收到该TCP连接认证信息在网络安全控制服务器的内存中,找到该TCP连接认证信息对应的TCP连接信息，并将该TCP连接信息标记为合法；

4.5A.终端计算机1取消拦截通过TCP连接发送的数据包

终端计算机1采用驱动取消拦截通过该TCP连接发送的数据包；

4.6A.终端计算机1通过TCP连接发送数据包：

终端计算机1通过该TCP连接向互联网发送数据包；

4.7A.网络安全控制服务器接收终端计算机1通过TCP连接发送的数据包：

4.A8.网络安全控制服务器识别终端计算机1合法：

网络安全控制服务器根据接收到的通过TCP连接发送的数据包中的NATIP地址(192.168.1.100)、目的IP地址(220.181.111.85)、NAT端口(30463)、目的端口(80)，在网络安全控制服务器内存中找到对应的TCP连接信息，因为该TCP连接已标记为合法，则该终端计算机1合法，允许终端计算机1通过TCP连接发送的数据包。

当终端计算机2访问互联网时，具体工作过程如下

1.网络安全控制服务器默认阻断通过TCP连接发送的数据包：

网络安全控制服务器默认阻断终端计算机2向互联网通过TCP连接发送的数据包，允许终端计算机2向互联网通过TCP连接发送的握手包;目的用于阻断非法终端计算机向互联网通过TCP连接发送的数据包；

2.终端计算机2与互联网建立TCP连接，发送握手包：

终端计算机2访问互联网，新建立一个TCP连接，向互联网发送握手包，该握手包包括：终端计算机2的IP地址（192.168.0.3）、目的IP地址（220.181.111.85）、终端计算机2的端口(50457)、目的端口(80)、握手包中IP协议层的标识（32189）；

3.网络安全控制服务器接收新建立的TCP连接的握手包：

网络安全控制服务器接收经过NAT地址转换设备后TCP连接的握手包，因为TCP连接的握手包经过NAT地址转换设备，所以TCP连接的握手包中的终端计算机2的IP地址转换为NATIP地址，TCP连接的握手包中的源端口转换成NAT端口，网络安全控制服务器记录该经过NAT地址转换设备转换的TCP连接的握手包信息作为该TCP连接信息，包括：NATIP地址(192.168.1.100)、目的IP在址（220.181.111.85）、NAT端口(20487)、目的端口(80)、握手包中IP协议层的标识（32189），并将该TCP连接信息默认标记为非法，并以链表形式保存到网络安全控制服务器内存中；

4.网络安全控制服务器识别终端计算机2是否合法：

因为终端计算机2未安装合法的应用软件，该终端计算机2不能够拦截通过TCP连接发送的数据包，也不能够向网络安全控制服务器发送TCP连接认证信息，识别未安装合法的应用软件的终端计算机2是否合法步骤如下：

4.1B.终端计算机2通过TCP连接发送数据包：

终端计算机2通过该TCP连接向互联网发送数据包；

4.2B.网络安全控制服务器接收终端计算机2通过TCP连接发送的数据包：

4.3B.网络安全控制服务器识别终端计算机2非法：

网络安全控制服务器根据接收到的通过TCP连接发送的数据包中的NATIP地址(192.168.1.100)、目的IP在址（220.181.111.85）、NAT端口(20487)、目的端口(80),在网络安全控制服务器内存中找到对应的TCP连接信息，由于终端计算机2无法向网络安全控制服务器发送TCP连接认证信息，并且TCP连接信息已经默认标记为非法，则该终端计算机2非法，则阻断终端计算机2通过TCP连接发送的数据包。

上述方法通过终端计算机与网络安全控制服务器之间对终端计算机发送的TCP连接信息进行交互认证的识别方法，解决了终端计算机与网络安全控制服务器之间设置NAT地址转换设备，无法识别终端计算机是否合法的问题。

Claims

1.一种网络安全控制服务器识别终端计算机合法性的方法，包括如下步骤：

a. 网络安全控制服务器默认阻断所有终端计算机通过TCP连接发送的数据包：

c. 网络安全控制服务器接收经过NAT地址转换设备后TCP连接的握手包：

d . 网络安全控制服务器识别终端计算机是否合法：

d2A.终端计算机拦截通过TCP连接发送的数据包；

d3A.终端计算机向网络安全控制服务器发送TCP连接认证信息：

d5A.终端计算机取消拦截通过TCP连接发送的数据包；

d6A.终端计算机通过TCP连接发送数据包：

d7A.网络安全控制服务器接收终端计算机通过TCP连接发送的数据包；

d8A网络安全控制服务器识别终端计算机合法：

d1B.终端计算机通过TCP连接发送数据包：

d2B.网络安全控制服务器接收终端计算机通过TCP连接发送的数据包；

d3B 网络安全控制服务器识别终端计算机非法：

2.如权利要求1所述的网络安全控制服务器识别终端计算机合法性的方法，其特征在于：所述步骤d2A终端计算机拦截通过TCP连接发送的数据包，终端计算机是通过驱动拦截通过该TCP连接发送的数据包。

3.如权利要求1所述的网络安全控制服务器识别终端计算机合法性的方法，其特征在于：所述步骤d5A终端计算机取消拦截通过TCP连接发送的数据包，终端计算机是通过驱动取消对通过该TCP连接发送的数据包的拦截。