CN103873491B - 一种vpn安全浏览器系统及设置方法 - Google Patents

Abstract

本发明涉及网络信息安全领域，它是在由用户端设备、互联网、VPN服务器、内网服务器等构成的互联网系统中，在用户端设备安装VPN安全浏览器构成，该浏览器包括本进程代理服务器、用户态协议栈模块、L3VPN隧道模块等。本发明无需修改系统配置，不依赖用户端设备操作系统的VPN接口，不需安装其它VPN软件，适用于用户端设备多种操作系统。本发明用户端设备VPN软件和浏览器二者合一，使用方便。

Description

一种VPN安全浏览器系统及设置方法

技术领域

本发明涉及网络信息安全领域，特别涉及一种VPN安全浏览器系统及设置方法。

背景技术

VPN(Virtual Private Network)技术是在公用网络上建立专用网络的技术，通过VPN技术可以访问内部的网络，包括内部的HTTP(hypertext transportprotocol)网站。

使用现有的VPN技术访问内部的HTTP网页，可以使用L3VPN(Layer 3 VPN)技术来实现。实现方法是：登录VPN，安装VPN软件，建立虚拟网卡，修改操作系统路由表，建立一个虚拟的网络；然后启动操作系统中安装的浏览器，输入要访问的内部HTTP页面的网址，访问内部的HTTP网络服务。这种情况下，浏览器访问内部的HTTP页面时需要经过虚拟网卡，用户看到的是原始的HTTP页面。HTTP页面改写技术的缺点：VPN服务器需要对所有HTTP网络服务的页面进行修改，呈现给用户的是改写后的页面。HTTP页面改写技术目前还不成熟，容易出错，上线后维护成本太高。HTTP页面改写技术使用操作系统现有的浏览器，界面不友好，不易于使用。

使用现有的VPN技术访问内部的HTTP网页，也可以使用HTTP页面改写技术来实现。实现方法是：用浏览器登录VPN，登录后用户在浏览器中点击相应HTTP链接去访问内部的HTTP网站。这种情况下不需要经过虚拟网卡，用户看到的是被VPN服务器修改后的HTTP页面。L3VPN技术的缺点:需要安装VPN软件。需要创建虚拟网卡，修改系统路由表，这些修改系统配置的操作在移动设备上是禁止的。VPN的隧道被操作系统中所有进程共享，容易出现安全问题。

发明内容

为解决上述问题，本发明的目的是提供一种安全且便于实施、通过VPN隧道进行收发内部网页等所需网络流量的VPN安全浏览器。

本发明的另一目的是提出一种通用性强、简便易行VPN安全浏览器的设置方法，使用该方法无需改写页面或修改系统配置的即可安全地访问内部的服务器。

一种VPN浏览器系统，包括用户端设备、互联网以及部署在互联网的VPN服务器、内网服务器等，其中在用户端设备设置有VPN安全浏览器，所述的VPN安全浏览器是由本进程代理服务器、用户态协议栈模块、L3VPN隧道模块顺序相互连通构成。

当用户端设备的操作系统是iOS操作系统时，所述的本进程代理服务器可以由注册自定义的协议处理器连接相应代理服务器构成。

所述的注册自定义的协议处理器是在iOS操作系统的URL加载系统程序中注册自定义的协议处理器。

当用户端设备的操作系统是Android操作系统时，所述的本进程代理服务器是由通过设置用户端代理服务器、使用JAVA反射机制修改保存所述用户端代理服务器配置的内部数据结构构成。

一种VPN安全浏览器系统的设置方法，包括以下步骤：

步骤1，在用户端设备设置VPN安全浏览器：包括设置用户端代理服务器、用户态协议栈以及L3VPN隧道；

步骤2，设置本进程代理服务器；

步骤3，本进程代理服务器通过所述的用户态协议栈来收发数据，然后，用户态协议栈通过L3VPN隧道收发数据；

步骤4，L3VPN隧道通过互联网以及部署在互联网的VPN服务器访问内网服务器。

当用户端设备的操作系统是iOS操作系统时，上述步骤2中的设置本进程代理服务器包括以下分步骤：

VPN安全浏览器在iOS操作系统的URL加载系统程序注册自定义的协议处理器，使用该协议处理器来拦截网络流量，然后把网络流量转发给相应代理服务器；

进一步地，VPN安全浏览器调用iOS操作系统的NSURLProtocol类的registerClass方法注册一个处理HTTP协议的协议处理器，当VPN安全浏览器注册的协议处理器收到iOS操作系统传递来的访问请求时，开始处理此请求，把这个请求转发给用户端HTTP代理服务器去处理，当处理完成时，协议处理器告诉iOS操作系统处理已经完成。

当用户端设备的操作系统是Android操作系统时，上述步骤2中设置本进程代理服务器包括以下分步骤：

VPN安全浏览器在Android操作系统设置用户端代理服务器，Android操作系统的浏览器控件（WebView）自动读取用户端代理服务器配置并保存在一个内部数据结构中，之后通过使用JAVA反射机制修改保存所述用户端代理服务器配置的内部数据结构从而得到本进程代理服务器。

进一步地，当用户端设备的操作系统是Android4.0及以上的操作系统时，VPN安全浏览器修改保存用户端代理服务器配置的内部数据结构分步骤如下：

使用JAVA的Class.forName("android.webkit.WebViewCore")得到一个WebViewCore的实例；

通过WebViewCore的getDeclaredMethod("sendStaticMessage",Integer.TYPE,Object.class)，得到WebViewCore的sendStaticMessage函数；

使用sendStaticMessage函数给WebViewCore发送一个代理服务器变化的消息，消息中附带上本进程代理服务器的地址，WebViewCore收到代理服务器变化的消息后自动更新内部的代理服务器，从而得到本进程代理服务器。

进一步地，当用户端设备的操作系统是Android4.0（不包含Android4.0）以下的操作系统时，VPN安全浏览器修改保存代理服务器配置的内部数据结构分步骤如下：

使用JAVA的Class.forName("android.webkit.Network")得到一个Network的实例；

调用getDeclaredField反射方法得到Network实例的mRequestQueue成员；mRequestQueue成员负责所有网络请求的处理，其内部可以设置一个代理服务器；

调用setDeclaredField反射方法设置mRequestQueue的mProxyHost成员，从而得到本进程代理服务器。

本发明吸取了已有技术HTTP页面改写技术和L3VPN技术优点，克服了HTTP页面改写技术的不稳定问题，也克服了L3VPN技术的需要修改系统配置的问题，VPN服务器无需改写HTTP页面。相对于PPTP和L2TP，安全性更高。本发明给浏览器指定一个本进程代理服务器来实现流量的拦截，拦截后进入进程内的L3VPN隧道,而操作系统中的其它进程无法使用VPN安全浏览器的L3VPN隧道，使得内网资源更加安全。本发明无需修改系统配置，不依赖用户端设备操作系统的VPN接口，不需安装其它VPN软件，适用于用户端设备的多种操作系统。用户端设备的VPN软件和浏览器二者合一，使用方便。

附图说明

图1是本发明VPN安全浏览器系统的结构示意图；

图2是本发明第一实施方式的VPN安全浏览器系统结构示意图；

图3是本发明第二实施方式的VPN安全浏览器系统结构示意图；

图4是本发明VPN安全浏览器登录界面的示意图；

图5是本发明VPN安全浏览器启动过程的示意图；

图6是本发明VPN安全浏览器书签的一种实例；

图7是本发明VPN安全浏览器实际安装及使用过程的示意图。

具体实施方式

在以下的叙述中，为了使读者更好地理解本申请而提出了许多技术细节。但是，本领域的普通技术人员可以理解，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请各权利要求所要求保护的技术方案。

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明的实施方式作进一步地详细描述。

一种VPN浏览器系统，如图1所示，包括用户端设备100、互联网200以及部署在互联网的VPN服务器300、内网服务器400等，所述的内网服务器可以是HTTP服务器，其中在用户端设备设置有VPN安全浏览器110，所述的VPN安全浏览器是由本进程代理服务器111、用户态协议栈模块112、L3VPN隧道模块113顺序相互连通构成，本进程代理服务器可以是HTTP代理服务器。

当用户端设备的操作系统是iOS操作系统时，如图2所示，所述的本进程代理服务器可以由注册自定义的协议处理器连接相应代理服务器构成。

所述的注册自定义的协议处理器是在iOS操作系统的URL加载系统程序中注册自定义的协议处理器。

当用户端设备的操作系统是Android操作系统时，如图3所示，所述的本进程代理服务器可以是通过设置用户端代理服务器、使用JAVA反射机制修改保存所述用户端代理服务器配置的内部数据结构之后得到的代理服务器构成。

一种VPN安全浏览器系统的设置方法，包括以下步骤：

步骤1，在用户端设备设置VPN安全浏览器：包括设置用户端代理服务器、用户态协议栈以及VPN隧道，所述的VPN隧道是L3VPN隧道；

步骤2，设置本进程代理服务器；

步骤3，本进程代理服务器通过所述的用户态协议栈来收发数据，然后，用户态协议栈通过L3VPN隧道收发数据；

步骤4，L3VPN隧道通过互联网以及部署在互联网的VPN服务器访问内网服务器。

进一步地，当用户端设备的操作系统是iOS操作系统时，上述步骤2中的设置本进程代理服务器包括以下分步骤：

VPN安全浏览器在iOS操作系统的URL加载系统程序注册自定义的协议处理器，使用该协议处理器来拦截网络流量，然后把网络流量转发给用户端代理服务器。

更进一步地，VPN安全浏览器在iOS操作系统的URL加载系统程序注册自定义的协议处理器，可以是VPN安全浏览器调用iOS操作系统的NSURLProtocol类的registerClass方法注册一个处理HTTP协议的协议处理器，当VPN安全浏览器注册的协议处理器收到iOS操作系统传递来的访问请求时，开始处理此请求，把这个请求转发给用户端HTTP代理服务器去处理，当处理完成时，协议处理器告诉iOS操作系统处理已经完成。

进一步地，当用户端设备的操作系统是Android操作系统时，上述步骤2中的设置本进程代理服务器包括以下分步骤：

VPN安全浏览器在Android操作系统设置用户端代理服务器，Android操作系统的浏览器控件自动读取用户端代理服务器配置并保存在一个内部数据结构中，之后通过使用JAVA反射机制修改保存用户端代理服务器配置的内部数据结构之后得到本进程代理服务器。

更进一步地，当用户端设备的操作系统是Android4.0及以上的操作系统时，VPN安全浏览器修改保存代理服务器配置的内部数据结构分步骤如下：

使用JAVA的Class.forName("android.webkit.WebViewCore")得到一个WebViewCore的实例；

通过WebViewCore的getDeclaredMethod("sendStaticMessage",Integer.TYPE,Object.class)得到WebViewCore的sendStaticMessage函数；

使用sendStaticMessage函数给WebViewCore发送一个代理服务器变化的消息，消息中附带上本进程代理服务器的地址。WebViewCore收到代理服务器变化的消息后自动更新内部的代理服务器，从而得到本进程代理服务器。

更进一步地，当用户端设备的操作系统是Android4.0（不包含Android4.0）以下的操作系统时，浏览器控件的代理服务器设置由一个内部类android.webkit.Network负责，VPN安全浏览器修改保存代理服务器配置的内部数据结构分步骤如下：

使用JAVA的Class.forName("android.webkit.Network")得到一个Network的实例；

调用getDeclaredField反射方法得到Network实例的mRequestQueue成员；mRequestQueue成员负责所有网络请求的处理，其内部可以设置一个代理服务器；

调用setDeclaredField反射方法设置mRequestQueue的mProxyHost成员，因为mProxyHost成员保存的就是代理服务器信息，设置mProxyHost就实现了修改代理服务器的目的，进而形成本进程代理服务器。

进一步地，本发明步骤还包括：

内部的HTTP网络服务以书签的方式发布，用户无需输入网址。

登录认证和安全策略的检查通过VPN安全浏览器来实现。

图4-图6给出了本发明VPN安全浏览器的使用步骤，VPN安全浏览器启动后，第一次需要用户输入用户名和密码进行登录。如果用户选择了自动登录，则第二次无需输入用户名和密码。登录过程中VPN安全浏览器会根据VPN服务器的安全策略自动进行本地安全检查，不满足安全策略的设备无法登录VPN服务器，例如越狱后的iPhone。登录界面的一种实施例如图4所示。

图5显示了VPN安全浏览器从登录到完全启动的过程，用户端启动本地设备后，顺序进行安全检查和登陆、获取VPN安全浏览器等配置、启动VPN隧道、启动用户态协议栈、启动用户端HTTP代理服务器以及设置本进程代理服务器。

如图6所示，VPN资源的发布是使用书签的形式。用户登录成功后，就会看到书签，点击书签，VPN安全浏览器打开响应的HTTP页面，图6给出了书签的一种实例。

在实际应用中，可按照图7步骤进行访问。如图7，首先由管理员按照以上所述在互联网部署VPN服务器、HTTP内网服务器等，然后用户端设备，例如手机，平板电脑等，登录用户端设备相应的应用商店，下载安装VPN安全浏览器；然后点击VPN安全浏览器图标启动VPN安全浏览器，输入用户名和密码登录VPN服务器，这时可以看到书签，点击书签就可以开始访问内部的HTTP页面。当访问完毕后，注销VPN并退出应用。

虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (6)

1.一种VPN浏览器系统，包括用户端设备、互联网以及部署在互联网的VPN服务器、内网服务器，其特征是在用户端设备设置有VPN安全浏览器，所述的VPN安全浏览器是由本进程代理服务器、用户态协议栈模块、L3VPN隧道模块顺序相互连通构成；其中：

当用户端设备的操作系统是iOS操作系统时，所述的本进程代理服务器可以由注册自定义的协议处理器连接用户端代理服务器构成，所述的注册自定义的协议处理器是在iOS操作系统的URL加载系统程序中注册自定义的协议处理器，使用该协议处理器来拦截网络流量，然后把网络流量转发给用户端代理服务器；

当用户端设备的操作系统是Android操作系统时，所述的本进程代理服务器是由通过设置用户端代理服务器、使用JAVA反射机制修改保存所述用户端代理服务器配置的内部数据结构之后得到的代理服务器构成。

2.根据权利要求1所述的一种VPN浏览器系统，其特征是所述的注册自定义的协议处理器是在iOS操作系统的URL加载系统程序中注册自定义的协议处理器。

3.一种VPN安全浏览器系统的设置方法，包括以下步骤：

步骤1，在用户端设备设置VPN安全浏览器：包括设置用户端代理服务器、用户态协议栈以及L3VPN隧道；

步骤2，设置本进程代理服务器，其中：

当用户端设备的操作系统是iOS操作系统时，所述的本进程代理服务器可以由注册自定义的协议处理器连接用户端代理服务器构成，VPN安全浏览器在iOS操作系统的URL加载系统程序注册自定义的协议处理器，使用该协议处理器来拦截网络流量，然后把网络流量转发给用户端代理服务器；

当用户端设备的操作系统是Android操作系统时，在用户端设备的Android操作系统设置用户端代理服务器，Android操作系统的浏览器控件自动读取用户端代理服务器配置并保存在一个内部数据结构中，之后通过使用JAVA反射机制修改保存所述用户端代理服务器配置的内部数据结构从而得到本进程代理服务器；

步骤3，本进程代理服务器通过所述的用户态协议栈来收发数据，然后，用户态协议栈通过L3VPN隧道收发数据；

步骤4，L3VPN隧道通过互联网以及部署在互联网的VPN服务器访问内网服务器。

4.根据权利要求3所述的一种VPN安全浏览器系统的设置方法，其特征是VPN安全浏览器调用iOS操作系统的NSURLProtocol类的registerClass方法注册一个处理HTTP协议的协议处理器，当VPN安全浏览器注册的协议处理器收到iOS操作系统传递来的访问请求时，开始处理此请求，把这个请求转发给用户端HTTP代理服务器去处理，当处理完成时，协议处理器告诉iOS操作系统处理已经完成。

5.根据权利要求3所述的一种VPN安全浏览器系统的设置方法，其特征是，当用户端设备的操作系统是Android4.0及以上的操作系统时，VPN安全浏览器修改保存代理服务器配置的内部数据结构分步骤如下：

使用JAVA的Class.forName("android.webkit.WebViewCore")得到一个WebViewCore的实例；

通过WebViewCore的getDeclaredMethod("sendStaticMessage",Integer.TYPE,Object.class)得到WebViewCore的sendStaticMessage函数；

使用sendStaticMessage函数给WebViewCore发送一个代理服务器变化的消息，消息中附带上本进程代理服务器的地址；WebViewCore收到代理服务器变化的消息后自动更新内部的代理服务器，从而得到本进程代理服务器。

6.根据权利要求3所述的一种VPN安全浏览器系统的设置方法，其特征是，当用户端设备的操作系统是Android4.0以下，不包含Android4.0的操作系统时，VPN安全浏览器修改保存用户端代理服务器配置的内部数据结构分步骤如下：

使用JAVA的Class.forName("android.webkit.Network")得到一个Network的实例；

调用getDeclaredField反射方法得到Network实例的mRequestQueue成员；

mRequestQueue成员负责所有网络请求的处理，其内部可以设置一个代理服务器；

调用setDeclaredField反射方法设置mRequestQueue的mProxyHost成员，从而得到本进程代理服务器。