CN103888421A - 互联网匿名访问技术 - Google Patents

Abstract

本发明技术是用于互联网匿名访问。互联网请求先是被防火墙进行拦截，然后再通过路由器访问到目的站点。每个互联网请求都有相对的策略进行评估，并且针对该评估会有一个或多个匿名响应进行响应。互联网请求经过适当的匿名处理路由到目的站点。经由互联浏览器访问的匿名者，其网防火墙环境中的互联网协议(IP)地址和目的站点IP地址的关系将被掩盖和隐藏。此外，防火墙环境和匿名者之间保持安全通信。

Description

互联网匿名访问技术

技术领域

本发明涉及计算机网络领域，具体涉及一种互联网匿名访问技术。

背景技术

随着Internet的发展，企业与互联网关系的密切，企业间谍的问题也日益突出。安全通信协议，比如安全套接字层(SSL)和传输层安全(TLS)，已经解决了数据内容隐藏传输和访问万维网(WWW)的问题。但这些协议不能隐藏访问的站点名称(统一资源定位器(URL)链接)和Internet协议(IP)地址。

互联网上正在使用的SSL通信协议，任何的机器是可以查看路由上的数据包，可以找到互联网通信中涉及的请求和请求的互联网协议(IP)地址。建立一个集中的文档将这些站点的请求IP地址信息进行存放。这些集中的文档可以使企业间谍获得非法的竞争优势。

例如，一个投资公司，以上面所讨论的方式(对IP地址检验存档)对其竞争对手进行监控。投资公可以通过的监视竞争对手的站点，获取该对手的研究方向。这些信息可以帮助从事间谍活动的公司，但同时也伤害到了被监控的公司的站点。

这个问题典型的解决方案是企业使用匿名访问的方式。匿名访问方式可以隐藏正在被浏览的网站的URL，同时也能隐藏用户自己公司的信息。还有许多企业需要监控或限制员工访问该站点。在这种情况下，企业内部使用防火墙阻止已知的匿名访问。所以，当前匿名一般不用于解决企业的分析和间谍活动的问题，因为企业不能监控被允许的匿名访问。

与匿名访问同时存在的另一个问题是，请求他们的用户可以进行配置。所以，最终用户必须手动的去访问匿名站点，并且使用这些匿名接口浏览互联网和万维网。同样，这种情况下移除被用户控制的所有企业和替代每个单独用户的控制的负担。此外，最终用户如果不明白WWW环境，那么可能无法做出正确的选择匿名者的使用。

因此，从企业的角度来看，匿名访问需要有更好的技术进行支持。

发明内容

在本发明中，提供相关的互联网匿名访问技术。更具体地说，一种提供匿名访问的方法。客户机的IP地址是独有的，IP地址通过互联网访问外部的主机的资源。外部主机会根据一套机制对访问的IP做出相关评估。针对该评估，外部主机会从匿名列表中选择一个可以的匿名者对其进行响应。最后，在客户机和主机间建立安全通信，通过匿名访问的方式对外部资源进行访问。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1描述了一种用于匿名互联网访问的方法。

图2描述了另一种用于匿名Internet访问方法。

图3描述了匿名互联网访问系统。

图4描述了另一种匿名互联网访问系统。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

图1通过实施例描述的是互联网匿名访问的方法100(以下简称“企业匿名者”)。方法100是在机器可访问和计算机可读介质中实现的指令，该指令运行在机器上，企业匿名者可以通过网络进行访问。网络可以是无线网络或有线和无线的组合。

企业匿名者是在具有企业防火墙的机器上运行的。根据实施例中，企业匿名者在一个透明代理中实现，它可以拦截发往客户端的流量。客户端不是已知的以此，不预先设定拦截的透明代理。在另外一个实施例中，企业匿名者实现在转发代理中，客户机被配置为互联网流量可以直接通过。在另外的实施例中，企业匿名者监视和处理通过的流量，这些客户端的流量是从企业的安全防火墙、Intranet环境中或外部网站发出的。

在110，企业匿名者监视一个主机的IP地址，并且这个IP通过互联网指向一个外部的主体资源。一个主体包括一个用户或一个自动化的服务。外部资源可以是一个web的网站、一个外部的移动设备、一个外部的服务、一个外部的目录或一个外部的数据库等等。

在实施例中，主体是一个用户，该用户通过互联网、企业内部网的方式(防火墙环境中)对万维网进行浏览。主体通过单击网页上的URL链接，访问外部的站点。在110处企业匿名者对URL进行拦截，并且更进一步的对其进行处理。

根据实施例，在111中，企业匿名者截取外部资源的IP地址，该资源的评估来自主体通过透明代理配置获得。这种方式是，主体与客户端想关联，但是主体是不可见的。换句话说，就是主体是不知道外部资源IP地址的，该IP地址被企业匿名者拦截了。

在另外的例子112中，企业匿名者获得IP地址评估来自主体通过转发代理配置获得。在这种情况下，企业匿名者预先配置与客户端主体进行通信。例如，客户端直接发送主体产生的每个外部网络请求到企业匿名者进行处理。

在120中，企业匿名者评估的策略在响应唯一的相关主体和外部资源中。该策略可以被选择和确定响应到各种信息。例如，在某些情况下，策略可以基于身份。

根据实施例，在121中，企业匿名者用各种要素对策略进行评估。策略可以包括以下内容：IP地址、唯一的主体、一个被分配给主体的安全角色、一个分配给主体的组、被主体访问的时间或者随机数等。

根据实施例，在130中，企业匿名者从一个可用的匿名列表选择一个特定的响应策略。企业匿名者作为外部的一个接口，决定何时选择响应外部资源请求的策略。当外部网络的浏览者试图窥探企业信息时，只能看到匿名者掩饰好的资源信息。这样阻止了外部网络浏览者对文件的破坏，同时也方便企业进行控制。

根据实施例，在131中，企业匿名者从一个可用的匿名列表随机选择一个的响应策略。该策略可以支配任何特定的服务于主体外部资源请求的匿名者使用随机的方式进行选择。这进一步阻止外部网络观察员监视任何特定的匿名者。由于可以选择各种匿名者，互联网观察者会发现很难去监控和分析具体一个企业，实现掩饰的目的。

在140中，企业匿名者在主体和特定匿名者之间建立安全连接。然后，允许外部资源通过IP地址访问。安全连接确保请求的相关的内容不能被主体发现。

图2是另一种基于匿名网络访问的方法。根据一个示例性的实施例，方法200(以下称为“匿名者服务”)在机器中的可访问和可读介质实现，并且可以通过网络进行访问。网络可以是无线网络或有线和无线的组合。

在210中，在防火墙环境中中，用户接收到一个通过互联网上访问外部资源的请求。因此，匿名者服务管理所有来自企业评估的网络流量。根据一个实施例，在211中，匿名者服务在代理中拦截一个请求，代理负责管理所有进入和退出防护墙环境的网络流量。

在不同的实例例中，匿名者服务实现在网络通信层的套接字。因此，文中讨论的处理是通过协议栈层而不是代理来实现。

在200中，根据评估规则，匿名服务决定请求是否被屏蔽。在使用匿名通信时，请求被掩盖相关信息，如，屏蔽用户传送到外部信息、隐藏IP地址等。以这种方式，外部网络浏览者无法建立防火墙环境和外部资源的连接。

在221中，匿名者服务获得用户的身份，然后通过用户的身份在220中选择响应的策略。还有另外一种情况，在222中，用户的身份也可以用于选择匿名者，因此，不同的用户或不同类型的的用户可以选择不同的匿名者。

在223中，匿名服务随机从可用的匿名者列表中选择匿名者。这样可能需要摆脱任何的互联网浏览者，没有固定的模式去使用匿名者。值得注意的是，在某些情况下，匿名者可能是通过具体的身份或角色进行选择，也可能是随机选择。因此，企业可以开发特定选择和随机选择的模式。

在230中，匿名服务者请求路由通过匿名者，匿名者隐藏了外围网络资源和用户自己的关系。换句话说，因为匿名者给多个用户和多个公司提供服务，匿名者不断的请求站点或外部资源。

在231中，匿名服务标识匿名者列表中的一个个匿名者。每一个在列表中的匿名者传递的请求都是来自外用户，从外部资源到下一个匿名者。列表中的最后一个匿名者传递请求道外部的互联网资源。这意味着，即使匿名者保持可能受到影响的日志，这将极为困难的通过追踪找到用户。这大大提高的安全性，确保了访问者无法追踪到具体的用户。

根据实施例，在232中，匿名服务者建立的匿名者和用户之间的一个SSL虚拟专用网络(VPN)连接。匿名者和用户之间以安全的方式进行连接。这样内容的请求或交换不会受到危害。用户与可以通过IP地址找到的终端的实体进行通信，在这种情况下，一个该实体是一个匿名者。然而，匿名者是一个简单的管道用于用户初始通信。目标终端通信是外部资源和通过匿名者隐藏任何互联网访问者确定终端的IP地址之间的通信。因此，用户可以隐藏与外部资源通信发生和可以保持精确的通信安全通过SSL VPN。这种情况几乎可以消除互联网上网间谍活动活动，同时允许企业监测和控制互联网的使用。

图3描述的是匿名网络访问系统300.根据一个示例性实施例，匿名网络访问系统300在计算机可访问和计算机可读介质中实现，并通过网络访问。网络可以是无线网络或有线和无线的组合。在实施例中，匿名网络访问系统300的实现分别包括了方法100和方法200.匿名网络访问系统300包括策略存储301和匿名者选择服务302.下面将对其进行讨论。

策略存储区301是在计算机可读介质中实现，并且可以访问到匿名工具选择服务302。策略存储301可能被一个身份管理者控制，通过安全通信访问它。策略存储301与唯一的资源相关联。如用户、主体、设备目录、数据内容等。策略报告包括评估决定时的条件和如何匿名者用于外部资源通信。策略报告也可以用于确定匿名者的使用或如何在多个匿名者中进行选择。

匿名者选择服务302在计算机可读介质中实现，并是在防火墙环境内的处代理机理。代理机作为互联网接入和防火墙环境的中介。换句话说，主体(用户和自动化的服务)与外部网站通过代理机上实现匿名者选择服务和代理计算机上的进程进行交互。

根据实施例，匿名选择服务302从策略存储302中获得策略，目的是为了评估这些策略。策略的特征可以包括确定用户的请求、请求的IP地址、请求的日期、用户角色、用户组等。

在一个特定的实施例中，匿名选择服务302更进一步在互联网环境中掩盖了IP地址。匿名选择服务302是一个透明的代理，用户是不知道的，而不是预先配置的，是通过他们客户端与其进行交互。匿名选择服务302是一个转发代理，用户通过他们的客户了解和预配置的交互与转发代理。

图4是另一个匿名互联网访问系统400中。匿名网络访问系统400在计算机可访问和计算机可读介质中实现，并通过网络访问。网络可以是无线网络或有线和无线的组合。匿名网络访问系统400包括代理401和匿名者402，细节将在下面进行讨论。

代理401实现在具有防火墙环境中的代理服务器中，代理401处理退出和进入防火墙环境的互联网连接的流量。示例处理与代理401有关的方法100和方法200，分别于系统300有关。代理401使用策略去决定何时要去处理来自于防火墙环境的通过匿名者402和路由通过该匿名者402的互联网请求。匿名者402实现在一台机器上防火墙外部的环境互联网上。

在实施例中，匿名工具402路由一个单一的互联网请求通过一个或多个附加的匿名402。建立一个链式或级联的匿名者402，并且试图派生一个模式来识别用户访问那些网站。

根据实施例，匿名者402服务各种来自其他环境的用户、相关的其他请求。当进行网络请求时，匿名者402将掩盖相关防火墙环境下的IP地址。

以上对本发明实施例所提供的互联网匿名访问技术.进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (19)

1.一种机器实现的方法，在非临时性的计算机可读介质以及可处理设备上处理的实现，其特征包括：可处理设备进行检验、源自主体的IP地址、指向位于互联网外部资源的主体、通过可处理设备进行评估、响应外部资源IP地址的策略、通过可处理设备进行选择、一个来自可用的匿名者列表的特定的匿名者响应策略评估、各种外部匿名者在列表中可用并且根据评估策略进行选择匿名、在可处理设备建立主体和特定匿名者安全通信、可处理设备充当外部资源的代理防火墙并且与特定匿名者建立安全通信。 

2.根据权利要求项1，检验进一步包括以主体不知道的方式，拦截来自主体通过透明代理配置的IP地址。 

3.根据权利要求项1，检验还包括获得来自主体通过转发发代理服务器的IP地址，其中主体发送IP地址到转发代理服务器然后转发到外部资源。 

4.根据权利要求项1，评估进一步的包括使用各种因素对策略进行评估，因素包括一个或多个以下的内容：外部资源的IP地址、一个确定的主体、主体的角色、分配给主体的组、主体的属性、IP地址访问时间和随机数。 

5.根据权利要求项1，选择进一步的包括从列表中随机选择。 

6.根据权利要求项1，选择进一步包括指示特殊匿名者使用一个或多个额外的匿名者去建立链式的匿名者。 

7.根据权利要求项1，建立通信进一步包括路由来自主体的IP地址请求通过一个于特定匿名者建立安全套接字或传输层安全性连接。其中特定的匿名者扮演的作用是代理主体连接、交互互联网上的外部资源。 

8.一种机器设备实现的方法驻足在某种非临时性的计算机可读介质中，以及在可处理设备上进行处理。包括：可处理设备进行接收、防火墙的环境中来自用户在互联网上访问外部资源的请求、由可处理设备进行决定、响应请求策略，当在匿名者与访问的外部资源建立安全链接时，隐藏请求。路由，由所述处理器设备。请求通过隐藏用户和访问外部资源者间关系的匿名者。匿名者可用匿名者列表中进行选择，具有评价策略，不同用户或不同类的用户使用不同的匿名者。 

9.根据权利要求项8，接收进一步包括在代理中拦截请求，该代理对防 火墙的流量进出进行管理。 

10.根据权利要求项8，决定进一步包括接收一个用户身份并且使用该身份进行策略选择。 

11.根据权利要求项8，获取进一步包括在响应中选择匿名者给响应身份的用户。 

12.根据权利要求项8，决定进一步包括随机在可用的匿名者列表中进行匿名用户选择。 

13.根据权利要求项8，路由进一步包括确定匿名者在匿名者列表中处于第一的位置，列表中每个匿名者将请求转发给下一个匿名者，最后的匿名者转发到外部资源。 

14.根据权利要求项8，路由还包括建立一个安全套接字层(SSL)虚拟专用网络(VPN)连接在用户和匿名者之间。 

15.一个计算机实现系统，包括： 

一个不易失的计算机可读介质被配置为策略存储驻留在非临时性计算机可读介质中和一个可接入的匿名者选择服务；一个代理机器，该机器是一个可处理设备，并且可以配置匿名者选择服务；匿名者执行在防火墙环境中的代理机器上。其中代理机器充当的角色是防火墙和互联网的中介；匿名选择服务拦截防火墙环境中从用户发出的URL链接请求，定向到外部万维网(WWW)的网站，并且从策略存储中获得策略。 

16.如权利项15所述的系统中，当对策略进行评估时，匿名者选择服务使用多种因素获得策略存储中的策略。 

17.如权利项15所述的系统中，匿名者选择服务链中某些URL请求更进一步的掩盖了防火墙环境的IP地址。 

18.如权利项15所述的系统中，匿名者选择服务是透明的。 

19.如权利项15所述的系统中，匿名者选择服务是一个转发代理。 

Images