CN102685165A

CN102685165A - 基于代理网关对访问请求进行控制的方法及装置

Info

Publication number: CN102685165A
Application number: CN2011100633424A
Authority: CN
Inventors: 郭孟振; 黄晓兵; 海永军
Original assignee: ZTE Corp
Current assignee: Nanjing Zhongxing Software Co Ltd
Priority date: 2011-03-16
Filing date: 2011-03-16
Publication date: 2012-09-19
Anticipated expiration: 2031-03-16
Also published as: WO2012122773A1; CN102685165B

Abstract

本发明涉及通信领域，公开了一种基于代理网关对http访问请求进行控制的方法，用以提高代理网关应用系统的安全性。该方法为：代理网关接收终端发送的用于建立TLS连接的https访问请求，代理网关根据预设的筛选策略，判断https访问请求携带的二元组控制参数是否合法，若是，则允许终端通过所述https访问请求建立TLS连接，否则拒绝终端通过所述https访问请求建立TLS连接。这样，便可以使用预设的二元组控制参数灵活地管理和控制用于建立TLS连接的https访问请求，有效地对非法TLS连接进行封堵，为代理网关运行系统提供了更为灵活的保护措施，提高了代理网关业务控制流程的安全性和灵活性。

Description

基于代理网关对访问请求进行控制的方法及装置

技术领域

本发明涉及通信领域，特别涉及一种基于Https访问请求进行控制的方法及装置。

背景技术

随着互联网技术的发展，用户对互联网提供规模更大，形式更丰富的服务的需求也在不断增长。目前，通常采用WAP(Wireless Application Protocol，无线应用协议)网关作为终端用户的上网代理，WAP网关最基本的功能是作为终端的代理服务器，代理终端访问WAP网站和互联网内容，提供基本的http代理服务和WAP1.x的协议转换功能。为了保护用户的私密数据，WAP网关提供了https请求的加密数据访问通道，称为TLS(Transport Layer SecurityProtocol，安全传输层协议)隧道，用户通过TLS隧道两端的进行密钥协商，传输过程中以加密数据进行传输，使得用户重要数据得以保护。

但https(指使用了TLS加密的http服务)代理服务自身存在的缺陷，即HTTP CONNECT代理服务器是一种能够允许用户建立TCP连接到任何端口的代理服务器，这意味着这种代理不仅可用于http代理服务，还可以用于FTP、IRC、RM流服务等，甚至可以用于扫描、攻击，如，终端可以利用WAP网关对Https请求数据不能进行处理的缺陷，使用HTTP CONNECT代理对WAP网关重要系统进行扫描，攻击等。

有鉴于此，需要设计一种新的方式，对发往WAP网站的TLS请求(即使用的TLS加密的https请求)进行控制，对部分非法的TLS请求及时进行封堵，以达到保护系统安全的目的。

发明内容

本发明实施例提供基于代理网关对https访问请求进行控制的方法及装置，用于提高代理网关应用系统的安全性。

本发明实施例提供的具体技术方案如下：

基于代理网关对https访问请求进行控制的方法，包括：

代理网关接收终端发送的用于建立TLS连接的https访问请求，所述https访问请求中至少携带有二元组控制参数；

代理网关根据预设的筛选策略，判断所述https访问请求携带的二元组控制参数是否合法，若是，则允许所述终端通过所述https访问请求建立TLS连接，否则拒绝所述终端通过所述https访问请求建立TLS连接。

基于代理网关对https访问请求进行控制的装置，包括：

通信单元，用于接收终端发送的用于建立TLS连接的https访问请求，所述https访问请求中至少携带有二元组控制参数；

控制单元，用于根据预设的筛选策略，判断所述https访问请求携带的二元组控制参数是否合法，若是，则允许所述终端通过所述https访问请求建立TLS连接，否则拒绝所述终端通过所述https访问请求建立TLS连接。

本发明实施例中，在代理网关中增设了TLS访问控制功能，可以使用预设的二元组控制参数灵活地管理和控制用于建立TLS连接的https访问请求，从而有效地对非法TLS连接进行封堵，为代理网关运行系统提供了更为灵活的保护措施，提高了代理网关业务控制流程的安全性和灵活性。

附图说明

图1为本发明实施例中WAP网关应用系统体系架构示意图；

图2为本发明实施例中WAP网关功能结构示意图；

图3为本发明实施例中WAP网关对Https访问请求进行控制示意流程图；

图4为本发明实施例中WAP网关对Https访问请求进行控制详细流程图。

具体实施方式

为了实现代理网关对Https访问请求的控制，防止终端通过TLS隧道对代理网关进行非正常操作，从而提高代理网关应用系统的安全性，本发明实施例中，代理网关接收终端发送用于建立TLS连接的的https访问请求，该https访问请求中至少携带有二元组控制参数，代理网关根据预设的筛选策略，判断接收的https访问请求携带的二元组控制参数是否合法，若是，则允许终端通过该https访问请求建立TLS连接，否则，拒绝终端通过该https访问请求建立TLS连接。

本发明实施例中，所谓的代理网关可以是WAP网关，也可以是WEB网关，而所谓的二元组控制参数可以包括终端请求访问的域名和端口号，也可以是终端请求访问的IP地址和端口号；端口号可以按照端口号号段配置。

另一方面，本发明实施例中，为了令代理网关具有对https访问请求的控制功能，可以采用SP(Server Provide，服务提供)列表的形式记录代理网关使用的筛选策略，筛选策略可以设置为黑名单，也可以设置为白名单，两者任选其中，但不可同时使用，所谓的黑名单是指：不允许采用SP列表中记录的二元组控制参数建立TLS连接，而所谓白名单是指：仅允许使用SP列表中记录的二元组控制参数建立TLS连接；进一步地，SP列表中还可以设置有用于指示是否启动TLS连接控制功能的配置参数；当代理网关启动后，读取并加载预设的SP列表，以及按照SP列表的配置内容对终端发送的用于建立TLS连接的https访问请求进行相应控制。

下面以代理网关是WAP网关为例，结合附图对本发明优选的实施方式进行详细说明。

参阅图1所示，本发明实施例中，WAP网关应用系统中包括终端和WAP网关，其中，终端用于通过WAP网关向请求各种http应用服务，WAP网关用于对终端的http访问请求进行TLS访问控制，如图1所示，WAP网关应用系统中还包括SP Server，用于存储各类http服务资源，与通过WAP网关筛选的终端建立TLS连接，将通过该TLS连接向终端提供本地存储的http服务资源。若代理网关为WEB网关，则上述系统架构同样适用于WEB应用系统，在此不再赘述。

参阅图2所示，本发明实施例中，7、WAP网关中设置有通信单元20和控制单元21，其中，

通信单元20，用于接收终端发送的用以建立TLS连接的https访问请求，该https访问请求中至少携带有二元组控制参数；

控制单元，用于根据预设的筛选策略，判断接收的https访问请求携带的二元组控制参数是否合法，若是，则允许终端通过该https访问请求建立TLS连接，否则拒绝终端通过该https访问请求建立TLS连接。

若代理网关为WEB网关，同样适用于上述WAP网关中设置的各种功能单元，在此不再赘述。

参阅图3所示，本发明实施例，WAP网关对终端发送的https访问请求进行控制的示意流程如下：

步骤300：WAP网关接收终端发送的用于建立TLS连接的https访问请求，该https访问请求中至少携带有二元组控制参数。

本实施例中，为了安全起见，WAP网关支持radius服务(上线鉴权服务)，即WAP网关在收到终端发送的https访问请求后，查询到该终端的MSISDN(如，手机号)，并在确定该终端的MSISDN合法后，再执行步骤310。

另一方面，WAP网关接收终端发送的https访问请求后，也可以根据SP列表中记录的配置参数，确定本地启动了TLS访问控制功能时，再执行步骤310。

步骤310：WAP网关根据预设的筛选策略，判断接收的https访问请求携带的二元组控制参数是否合法，若是，则允许终端通过该https访问请求建立TLS连接，否则，拒绝终端通过该https访问请求建立TLS连接。

本实施例中，WAP网关执行根据预设的筛选策略，判断接收的https访问请求携带的二元组控制参数是否合法时，执行以下操作：

若筛选策略设置为黑名单策略，则WAP网关判断https访问请求消息中携带的二元组控制参数是否记录在黑名单中，若是，则确定该二元组控制参数不合法，否则，确定该二元组控制参数合法；

若筛选策略设置为白名单策略，则WAP网关判断https访问请求消息中携带的二元组控制参数是否记录在白名单中，若是，则确定该二元组控制参数合法，否则，确定该所述二元组控制参数不合法。

基于上述实施例，参阅图4所示，本发明实施例中，WAP网关对终端发送的https访问请求进行控制的详细流程如下：

步骤400：WAP网关接收终端发送的https访问请求。

步骤410：WAP网关判断接收的https访问请求是否是请求建立TLS连接的请求消息，若是，则进行步骤430；否则，进行步骤420。

本实施例中，WAP网关可以根据https访问请求中指定的标志位来确定该https访问请求是否用于请求建立TLS连接。

步骤420：WAP网关对所述https访问请求进行业务访问控制。

步骤430：WAP网关判断本地是否启用了TLS访问控制功能？若是，则进行步骤480；否则，进行步骤440；

本实施例中，启用/关闭TLS访问控制功能的按钮可以设置在操作界面上，管理人员可以根据实际需要，启用/关闭TLS访问控制功能，不需要重启整个业务系统，即时生效。

步骤440：WAP网关判断本地配置的筛选策略为黑名单策略还是白名单策略，若是黑名单策略，则执行步骤450；若是白名单策略，则执行步骤460。

步骤450：WAP网关判断https访问请求中携带的请求建立连接的二元组控制参数是否记录在黑名单中？若是，则执行步骤470；否则，执行步骤480；

步骤460；WAP网关判断https访问请求中携带的请求建立连接的二元组控制参数是否记录在白名单中？若是，则执行步骤480；否则，执行步骤470；

步骤470；WAP网关拒绝终端建立TLS连接，接着，执行步490。

WAP网关执行步骤470时，向终端返回拒绝建立TLS连接的响应消息，并断开本地与终端之间的通信连接，如，TCP连接。

步骤480：WAP网关允许终端建立TLS连接，接着，执行步骤490。

执行步骤480时，WAP网关指示终端与其请求建立TLS连接的SP Server建立TLS隧道(即TLS连接)，并在建立TLS隧道后，指示终端直接与SP Server通过TLS隧道进行数据交互，无需再经过WAP网关；

步骤490：WAP网关将TLS访问控制流程的执行结果记录在日志文件中。

在日志文件中，WAP网关会记录TLP隧道的访问记录(也称为https访问内容)，包含访问内容、访问开始时间、结束时间、访问结果(如，TLS隧道建立是否成功或被拒绝)等等信息，用于后续管理操作。

当然，对于WEB网关，上述实施例中记录的流程同样适用，在此不再赘述。

本发明实施例中，上述TLS连接兼容SSL(Secure Sockets Layer，安全套接层)相关协议，因此，同样适用于采用SSL相关转文的网络环境，在此亦不再赘述。

本发明实施例中，在代理网关中增设了TLS访问控制功能，可以使用预设的二元组控制参数灵活地管理和控制用于建立TLS连接的https访问请求，从而有效地对非法TLS连接进行封堵，为代理网关运行系统提供了更为灵活的保护措施，提高了代理网关业务控制流程的安全性和灵活性。进一步地，整个TLS访问控制流程不需要运营商参与，并且对终端用户透明，对非法的https访问请求可以直接拒绝，从而保护了运营商的设备和运行系统的安全，并且不仅仅适应于WAP网关应用系统，其他所有应用到TLS访问的应用系统都可以使用本发明进行非法TLS连接封堵，保护对应的系统从而提高了业务访问控制的灵活性，为用户提供更为安全的http服务。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims

1.基于代理网关对https访问请求进行控制的方法，其特征在于，包括：

代理网关接收终端发送的用于建立安全传输层协议TLS连接的https访问请求，所述https访问请求中至少携带有二元组控制参数；

2.如权利要求1所述的方法，其特征在于，所述代理网关为WAP网关，或者，为WEB网关。

3.如权利要求1所述的方法，其特征在于，所述二元组控制参数包括终端请求访问的域名和端口号，或者，终端请求访问的IP地址和端口号。

4.如权利要求1、2或3所述的方法，其特征在于，所述代理网关接收终端发送的https访问请求后，确定本地启动了TLS访问控制功能时，再根据预设的筛选策略，判断所述https访问请求携带的二元组控制参数是否合法。

5.如权利要求1、2或3所述的方法，其特征在于，所述代理网关根据预设的筛选策略，判断所述https访问请求携带的二元组控制参数是否合法，包括：

若所述筛选策略设置为黑名单策略，则所述代理网关判断所述二元组控制参数是否记录在黑名单中，若是，则确定所述二元组控制参数不合法，否则，确定所述所述二元组控制参数合法；

若所述筛选策略设置为白名单策略，则所述代理网关判断所述二元组控制参数是否记录在白名单中，若是，则确定所述二元组控制参数合法，否则，确定所述所述二元组控制参数不合法。

6.如权利要求1、2或3所述的方法，其特征在于，所述代理网关允许所述终端通过所述https访问请求建立TLS连接，包括：指示所述终端与相应的服务提供服务器建立TLS连接，并在建立TLS连接后，指示终端直接与所述服务提供服务器进行数据交互；

所述代理网关拒绝所述终端通过所述https访问请求建立TLS连接，包括：所述代理网关向所述终端返回拒绝建立TLS连接的响应消息，并断开本地与所述终端的通信连接。

7.基于代理网关对https访问请求进行控制的装置，其特征在于，包括：

通信单元，用于接收终端发送的用于建立安全传输层协议TLS连接的https访问请求，所述https访问请求中至少携带有二元组控制参数；

8.如权利要求7所述的装置，其特征在于，所述装置为WAP网关，或者，为WEB网关。

9.如权利要求7所述的装置，其特征在于，所述通信单元接收到的二元组控制参数包括终端请求访问的域名和端口号，或者，终端请求访问的IP地址和端口号。

10.如权利要求7、8或9所述的装置，其特征在于，所述通信单元接收终端发送的https访问请求后，所述控制单元确定本地启动了TLS访问控制功能时，再根据预设的筛选策略，判断所述https访问请求携带的二元组控制参数是否合法。

11.如权利要求7、8或9所述的装置，其特征在于，所述控制单元根据预设的筛选策略，判断所述https访问请求携带的二元组控制参数是否合法，包括：

若所述筛选策略设置为黑名单策略，则所述控制单元判断所述二元组控制参数是否记录在黑名单中，若是，则确定所述二元组控制参数不合法，否则，确定所述所述二元组控制参数合法；

若所述筛选策略设置为白名单策略，则所述控制单元判断所述二元组控制参数是否记录在白名单中，若是，则确定所述二元组控制参数合法，否则，确定所述所述二元组控制参数不合法。

12.如权利要求7、8或9所述的装置，其特征在于，所述控制单元允许所述终端通过所述https访问请求建立TLS连接，包括：通过所述通信单元指示所述终端与相应的服务提供服务器建立TLS连接，并在建立TLS连接后，指示终端直接与所述服务提供服务器进行数据交互；

所述控制单元拒绝所述终端通过所述https访问请求建立TLS连接，包括：通过所述通信单元向所述终端返回拒绝建立TLS连接的响应消息，并断开本地与所述终端的通信连接。