CN104811507A - 一种ip地址获取方法及装置 - Google Patents

Abstract

本发明公开了一种IP地址获取方法和装置，包括：SSO控件在监测到外网终端使用VPN控件与VPN服务器连接，并通过该VPN服务器访问内网时，获取该外网终端将要访问的内网目标地址；该SSO控件与该内网目标地址对应的内网连接的字符堡垒主机建立连接；将该外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。采用本发明实施例提供的方案，外网终端服务器在访问内网时，内网能够获取到外网终端的源IP地址。

Description

一种IP地址获取方法及装置

技术领域

本发明涉及通信领域，尤其涉及一种IP地址获取方法及装置。

背景技术

随着信息安全技术的进步和信息安全意识的提高，当用户需要从广域外网访问企业内部办公系统或邮件系统等对外保密的内网系统时，用户采用虚拟专用网（VPN，Virtual Private Network）接入的访问方式，利用VPN代理访问内网系统，避免了外网用户对企业内部系统的直接访问与恶意攻击等行为。

目前，现有的虚拟专用网接入访问内网系统的方式主要为：外网用户在本地浏览器下载并安装VPN控件，该用户申请VPN账号后，使用该VPN控件向VPN服务器发送携带有该用户将要访问的内网系统的目标地址信息的访问请求，VPN服务器接收到该访问请求后，对该用户认证通过后，为该外网用户终端分配一个虚拟的互联网协议（IP，Internet Protocol）地址，向该目标地址对应的内网系统发送访问请求，当内网系统接收到该VPN服务器发送的访问请求后，向该VPN服务器返回请求响应，该请求响应中携带表示允许该外网用户终端访问内网系统的消息，该VPN服务器将该请求响应返回给与该虚拟IP对应的外网用户终端。在该外网用户终端接收到VPN服务器返回的请求响应后，该外网用户终端便可以通过VPN服务器成功访问内网系统，VPN服务器将该虚拟的IP地址发送给内网系统，内网系统的审计系统将接收的外网用户终端使用的VPN的虚拟的IP地址作为外网用户终端的源IP地址，记录在IP访问表单中。

上述现有的虚拟接入式访问内网系统的方式中，由于内网系统的审计系统记录的只是外网用户终端访问的VPN服务器分配的虚拟IP地址，而不是外网用户终端的源IP地址，这种情况导致内网系统在审计时无法定位真实的外网用户终端的源IP地址，因此也无法确定发起恶意行为的外网用户终端的真实源IP地址。

发明内容

本发明实施例提供一种IP地址获取方法和装置，用以解决现有技术中存在的外网终端通过VPN服务器访问内网系统时，内网系统无法获取外网终端的源IP地址问题。

本发明实施例提供一种IP地址获取方法，应用于外网终端上安装的单点登录SSO控件，所述外网终端还安装了与所述SSO控件绑定的虚拟专用网络VPN控件，该方法包括：

所述SSO控件在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端将要访问的内网目标地址；

所述SSO控件与所述内网目标地址对应的内网连接的字符堡垒主机建立连接；

将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。

采用本发明实施例提供的方法，由于外网终端通过VPN访问内网系统时，内网接收的是SSO发送的与该内网连接的外网终端的源IP地址，因此解决了外网终端通过VPN接入访问内网时，内网无法获取外网终端的源IP地址的问题。

进一步的，获取所述外网终端将要访问的内网目标地址，具体包括：

获取所述外网终端使用所述VPN控件向所述VPN服务器发送的访问请求，所述访问请求中携带所述外网终端将要访问的内网目标地址；

从所述访问请求中获取所述外网终端将要访问的内网目标地址。

进一步的，所述SSO控件与所述内网目标地址对应的内网连接的字符堡垒主机建立连接，具体包括：

向与所述内网目标地址对应的内网连接的字符堡垒主机发送连接请求；

接收所述字符堡垒主机返回的连接响应，所述连接响应表示允许所述SSO控件与所述字符堡垒主机建立连接。

进一步的，所述连接请求中携带所述外网终端的源IP地址和端口号；

将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网，具体包括：

在与所述字符堡垒主机对应的传输控制协议/网间协议TCP/IP中，查找与安装所述SSO控件对应的外网终端的端口号对应的源IP地址；

将查找的所述源IP地址通过所述字符堡垒主机转发给所述内网。

进一步的，将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网，具体包括：

将所述外网终端的源IP地址写入IP访问表单；

按照预设周期将所述外网终端的IP访问表单通过所述字符堡垒主机转发给所述内网。

进一步的，上述方法，还包括：

所述SSO控件在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端的主机名和所述外网终端访问内网的时间；

将所述外网终端的主机名和所述外网终端访问内网的时间通过字符堡垒主机转发给所述内网。

本发明实施例还提供了一种IP地址获取装置，包括:

第一获取单元，用于在监测到外网终端使用VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端将要访问的内网目标地址；

连接单元，用于与所述内网目标地址对应的内网连接的字符堡垒主机建立连接；

第一转发单元，用于将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。

采用本发明实施例提供的装置，由于外网终端通过VPN访问内网系统时，内网接收的是SSO发送的与该内网连接的外网终端的源IP地址，因此解决了外网终端通过VPN接入访问内网时，内网无法获取外网终端的源IP地址的问题。

进一步的，所述第一获取单元，具体用于获取所述外网终端使用所述VPN控件向所述VPN服务器发送的访问请求，所述访问请求中携带所述外网终端将要访问的内网目标地址；

从所述访问请求中获取所述外网终端将要访问的内网目标地址。

进一步的，所述连接单元，具体用于向与所述内网目标地址对应的内网连接的字符堡垒主机发送连接请求；

接收所述字符堡垒主机返回的连接响应，所述连接响应表示允许所述SSO控件与所述字符堡垒主机建立连接。

进一步的，所述连接请求中携带所述外网终端的源IP地址和端口号；

所述第一转发单元，具体用于在与所述字符堡垒主机对应的传输控制协议/网间协议TCP/IP中，查找与安装所述SSO控件对应的外网终端的端口号对应的源IP地址；将查找的所述源IP地址通过所述字符堡垒主机转发给所述内网。

进一步的，所述第一转发单元，具体用于将所述外网终端的源IP地址写入IP访问表单；按照预设周期将所述外网终端的IP访问表单通过所述字符堡垒主机转发给所述内网。

进一步的，上述装置，还包括：

第二获取单元，用于在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端的主机名和所述外网终端访问内网的时间；

第二转发单元，用于将所述外网终端的主机名和所述外网终端访问内网的时间通过字符堡垒主机转发给所述内网。

本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明实施例提供的IP地址获取方法的流程图；

图2为本发明实施例1提供的IP地址获取方法的流程图；

图3为本发明实施例2提供的IP地址获取装置的结构示意图。

具体实施方式

为了给出外网终端服务器访问内网时，内网获取外网终端源IP地址的实现方案，本发明实施例提供了一种IP地址获取方法和装置，以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。并且在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

本发明实施例提供一种IP地址获取方法，如图1所示，应用于外网终端上安装的单点登录SSO控件，该外网终端还安装了与SSO控件绑定的虚拟专用网络VPN控件，该方法包括：

步骤101、SSO控件在监测到该外网终端使用所述VPN控件与VPN服务器连接，并通过该VPN服务器访问内网时，获取该外网终端将要访问的内网目标地址。

步骤102、该SSO控件与该内网目标地址对应的内网连接的字符堡垒主机建立连接。

步骤103、将该外网终端的源IP地址通过该字符堡垒主机转发给该内网。

本发明实施例提供的上述如图1所示方法中，可以将单点登录（SSO，SingleSing On）控件和虚拟专用网络（VPN，Virtual Private Network）绑定后安装在外网终端的浏览器上，外网终端用户可以通过浏览器申请VPN账号，使用VPN控件，通过VPN账号登陆VPN服务器，使得外网终端与VPN服务器建立连接。该字符堡垒主机与内网连接，用于阻止入侵者攻击内网。该SSO控件将获取的外网终端的源IP通过该字符堡垒主机转发给内网。

下面结合附图，用具体实施例对本发明提供的方法和装置进行详细描述。

实施例1：

图2为本发明实施例1提供的一种IP获取方法的流程图，具体包括如下处理步骤：

步骤201、在该外网终端的浏览器上安装绑定的SSO控件和VPN控件。

其中，该VPN控件相当于一个VPN客户端。该绑定的SSO控件和VPN控件可以由使用该外网终端的外网终端用户安装。

步骤202、该外网终端使用该VPN控件向该VPN服务器发送访问请求。

其中，该访问请求中携带该外网终端将要访问的内网目标地址。

具体的，外网终端用户使用VPN控件申请VPN账号，使用已申请的VPN账号在浏览器页面上输入将要访问的内网目标地址，该外网终端使用该VPN控件向该VPN服务器发送携带该外网终端将要访问的内网目标地址的访问请求。

步骤203、该VPN服务器将该访问请求转发给该内网目标地址对应的内网。

本步骤中，该VPN服务器在接受到该访问请求后，为该外网终端分配一个虚拟的IP地址，并将该虚拟的IP地址发送给该内网。

步骤204、当该内网接收到该访问请求后，该内网向该VPN服务器返回访问响应，该访问响应表示允许该外网终端访问该内网，该VPN服务器将该访问响应返回给该外网终端。

步骤205、该SSO控件在监测到该外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取该外网终端将要访问的内网目标地址。

本步骤中，该SSO控件可以在监测到该外网终端使用该VPN控件与VPN服务器连接，并通过该VPN服务器访问内网时，获取该外网终端向该VPN服务器发送的访问请求，并从该访问请求中获取该外网终端将要访问的内网目标地址。

进一步的，该SSO控件还可以获取外网终端的主机名和该外网终端访问内网的时间。

步骤206、该SSO控件向与该内网目标地址对应的内网连接的字符堡垒主机发送连接请求。

其中，该连接请求中携带该外网终端的源IP地址和端口号。

步骤207、当该字符堡垒主机接收到该连接请求后，该字符堡垒主机向该SSO控件返回连接响应，该连接响应表示允许该SSO控件与该字符堡垒主机建立连接。

由于该字符堡垒主机可以接收与多个外网终端分别对应的SSO控件发送的多个连接请求，与该字符堡垒主机的连接信息中有多个IP地址，该SSO控件要从多个IP地址中查找到该外网终端的源IP地址，将该外网终端的源IP地址通过字符堡垒主机转发给内网，具体处理过程如下步骤208-步骤209。

步骤208、该SSO控件在与该字符堡垒主机对应的传输控制协议/网间协议TCP/IP中，查找与安装该SSO控件对应的外网终端的端口号对应的源IP地址。

步骤209、该SSO控件将查找的该源IP地址通过该字符堡垒主机转发给内网。

本步骤中，该SSO控件还可以将获取的外网终端的主机名和该外网终端访问内网的时间转发给内网。

进一步的，该SSO控件还可以将外网终端的源IP地址、外网终端的主机名和该外网终端访问内网的时间写入IP访问表单，并按照预设周期将该外网终端的IP访问表单通过该字符堡垒主机转发给该内网，其中，该预设周期可以根据实际经验和需要进行灵活设置。

进一步的，在该内网接收到该外网终端的源IP或IP访问表单后，内网在做审计工作时，便可以定位外网终端的真实的源IP地址。

通过本发明上述实施例提供的方法，由于外网终端通过VPN访问内网系统时，内网接收的是SSO发送的与该内网连接的外网终端的源IP地址，因此解决了外网终端通过VPN接入访问内网时，内网无法获取外网终端的源IP地址的问题。

实施例2：

基于同一发明构思，根据本发明上述实施例提供的IP地址获取方法，相应地，本发明实施例1还提供了一种IP地址获取装置，其结构示意图如图3所示，具体包括：

第一获取单元301，用于在监测到外网终端使用VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端将要访问的内网目标地址；

连接单元302，用于与所述内网目标地址对应的内网连接的字符堡垒主机建立连接；

第一转发单元303，用于将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。

进一步的，第一获取单元301，具体用于获取所述外网终端使用所述VPN控件向所述VPN服务器发送的访问请求，所述访问请求中携带所述外网终端将要访问的内网目标地址；从所述访问请求中获取所述外网终端将要访问的内网目标地址。

进一步的，连接单元302，具体用于向与所述内网目标地址对应的内网连接的字符堡垒主机发送连接请求；接收所述字符堡垒主机返回的连接响应，所述连接响应表示允许所述SSO控件与所述字符堡垒主机建立连接。

进一步的，所述连接请求中携带所述外网终端的源IP地址和端口号；

第一转发单元303，具体用于在与所述字符堡垒主机对应的传输控制协议/网间协议TCP/IP中，查找与安装所述SSO控件对应的外网终端的端口号对应的源IP地址；将查找的所述源IP地址通过所述字符堡垒主机转发给所述内网。

进一步的，第一转发单元303，还具体用于将所述外网终端的源IP地址写入IP访问表单；按照预设周期将所述外网终端的IP访问表单通过所述字符堡垒主机转发给所述内网。

进一步的，上述装置，还包括：

第二获取单元304，用于在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端的主机名和所述外网终端访问内网的时间；

第二转发单元305，用于将所述外网终端的主机名和所述外网终端访问内网的时间通过字符堡垒主机转发给所述内网。

上述各单元的功能可对应于图1或图2所示流程中的相应处理步骤，在此不再赘述。

综上所述，本发明实施例提供的方案，包括：SSO控件在监测到外网终端使用VPN控件与VPN服务器连接，并通过该VPN服务器访问内网时，获取该外网终端将要访问的内网目标地址；该SSO控件与该内网目标地址对应的内网连接的字符堡垒主机建立连接；将该外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。采用本发明实施例提供的方案，外网终端服务器在访问内网时，内网能够获取到外网终端的源IP地址。

本申请的实施例所提供的IP地址获取装置可通过计算机程序实现。本领域技术人员应该能够理解，上述的模块划分方式仅是众多模块划分方式中的一种，如果划分为其他模块或不划分模块，只要IP地址获取装置具有上述功能，都应该在本申请的保护范围之内。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种IP地址获取方法，其特征在于，应用于外网终端上安装的单点登录SSO控件，所述外网终端还安装了与所述SSO控件绑定的虚拟专用网络VPN控件，所述方法包括：

所述SSO控件在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端将要访问的内网目标地址；

所述SSO控件与所述内网目标地址对应的内网连接的字符堡垒主机建立连接；

将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。

2.如权利要求1所述的方法，其特征在于，获取所述外网终端将要访问的内网目标地址，具体包括：

获取所述外网终端使用所述VPN控件向所述VPN服务器发送的访问请求，所述访问请求中携带所述外网终端将要访问的内网目标地址；

从所述访问请求中获取所述外网终端将要访问的内网目标地址。

3.如权利要求1所述的方法，其特征在于，所述SSO控件与所述内网目标地址对应的内网连接的字符堡垒主机建立连接，具体包括：

向与所述内网目标地址对应的内网连接的字符堡垒主机发送连接请求；

接收所述字符堡垒主机返回的连接响应，所述连接响应表示允许所述SSO控件与所述字符堡垒主机建立连接。

4.如权利要求3所述的方法，其特征在于，所述连接请求中携带所述外网终端的源IP地址和端口号；

将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网，具体包括：

在与所述字符堡垒主机对应的传输控制协议/网间协议TCP/IP中，查找与安装所述SSO控件对应的外网终端的端口号对应的源IP地址；

将查找的所述源IP地址通过所述字符堡垒主机转发给所述内网。

5.如权利要求1所述的方法，其特征在于，将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网，具体包括：

将所述外网终端的源IP地址写入IP访问表单；

按照预设周期将所述外网终端的IP访问表单通过所述字符堡垒主机转发给所述内网。

6.如权利要求1所述的方法，其特征在于，还包括：

所述SSO控件在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端的主机名和所述外网终端访问内网的时间；

将所述外网终端的主机名和所述外网终端访问内网的时间通过字符堡垒主机转发给所述内网。

7.一种IP地址获取装置，其特征在于，包括：

第一获取单元，用于在监测到外网终端使用VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端将要访问的内网目标地址；

连接单元，用于与所述内网目标地址对应的内网连接的字符堡垒主机建立连接；

第一转发单元，用于将所述外网终端的源IP地址通过所述字符堡垒主机转发给所述内网。

8.如权利要求7所述的装置，其特征在于，所述第一获取单元，具体用于获取所述外网终端使用所述VPN控件向所述VPN服务器发送的访问请求，所述访问请求中携带所述外网终端将要访问的内网目标地址；

从所述访问请求中获取所述外网终端将要访问的内网目标地址。

9.如权利要求7所述的装置，其特征在于，所述连接单元，具体用于向与所述内网目标地址对应的内网连接的字符堡垒主机发送连接请求；

接收所述字符堡垒主机返回的连接响应，所述连接响应表示允许所述SSO控件与所述字符堡垒主机建立连接。

10.如权利要求9所述的装置，其特征在于，所述连接请求中携带所述外网终端的源IP地址和端口号；

所述第一转发单元，具体用于在与所述字符堡垒主机对应的传输控制协议/网间协议TCP/IP中，查找与安装所述SSO控件对应的外网终端的端口号对应的源IP地址；将查找的所述源IP地址通过所述字符堡垒主机转发给所述内网。

11.如权利要求7所述的装置，其特征在于，所述第一转发单元，具体用于将所述外网终端的源IP地址写入IP访问表单；按照预设周期将所述外网终端的IP访问表单通过所述字符堡垒主机转发给所述内网。

12.如权利要求7所述的装置，其特征在于，还包括：

第二获取单元，用于在监测到所述外网终端使用所述VPN控件与VPN服务器连接，并通过所述VPN服务器访问内网时，获取所述外网终端的主机名和所述外网终端访问内网的时间；

第二转发单元，用于将所述外网终端的主机名和所述外网终端访问内网的时间通过字符堡垒主机转发给所述内网。