CN105119986A - 一种基于预连接的Web反向代理方法 - Google Patents

Abstract

本发明提供一种基于预连接的Web反向代理方法，后台Web服务器会主动向反向代理服务器发起建立socket连接的请求，反向代理服务器创建socket连接后，将socket存入socket资源池；当客户端浏览器向反向代理服务器发起网页请求时，反向代理服务器会从socket资源池中获取socket，并利用该socket向后台Web服务器进行请求转发，后台Web服务器收到请求会进行处理，将结果返回给反向代理服务器，最终由反向代理服务器将结果返回给客户端浏览器进行展示。本发明具有如下优点：(1)对后台应用系统透明；(2)访问内部网络时满足网络安全性要求；(3)硬件和软件成本低，且升级操作简单。

Description

一种基于预连接的Web反向代理方法

技术领域

本发明针对不同网络连接之间存在防火墙隔离的网络环境，具体的隔离策略是安全等级高的一方可以访问等级低的一方，反之不可以。本发明涉及一种Web反向代理技术，特别是一种基于预连接的Web反向代理方法。

背景技术

在电力二次系统中，根据不同业务系统的重要性，划分了不同的安全工作区，比如生产区（Ⅰ区、Ⅱ区）、管理区（Ⅲ区、Ⅳ区）。不同的安全工作区明确了不同的安全防护要求，提出了不同的安全等级和防护水平。在不同工作区之间部署的正/反向隔离装置，提高了电力通信网络的安全性，但同时也在一定程度上给不同工作区之间的通信带来了不便。随着通信与网络的发展，以及电力改革的推进和电力市场的建立，电网的调度中心与变电站、电厂、用户等之间进行的数据交换越来越频繁。但一些变电站、电厂在规划和设计时由于经济原因或者对网络安全重视程度不同的原因，没有建设安全的网络环境，因此对电网的安全运行构成了隐患。

为了能够对外提供电网管理应用系统，需要将服务设施对外发布。在建设网络时，考虑到网络安全，建设了隔离区（DMZ区），作为内部网络和外部网络之间的缓冲区，可以放置用于公开的服务设施。

DMZ区与Ⅲ区之间的防火墙规则是：Ⅲ区应用可以主动向DMZ区应用发起访问请求，且建立的连接可以双向通信，而DMZ区应用不可以直接向Ⅲ区应用发起访问请求。外部网络的访问请求在经过防火墙过滤之后可以到达DMZ区应用。

部署在Ⅲ区的Web服务为了让外网能够访问，目前的做法是将该Web服务在DMZ区也相同地部署一份，同时，对于外网提交的数据，在DMZ区与Ⅲ区之间进行数据同步和流程同步。

然而，目前的这种部署方式存在很大的不足，主要是如下两点：(1)需在DMZ区部署相同的服务，包括Web服务器、数据库服务器、存储整列等，成本较高；(2)对于复杂的工作流通过文件进行交换的方式进行数据同步，软件开发的工作量很大。

发明内容

本发明针对这对这种网络环境下的外网访问需求，提出了一种简便、稳定而且经济的反向代理方法。

本发明的基于预连接的反向代理方法，主要涉及到如下几个部分：

位于Ⅲ区的后台Web服务器会主动向位于DMZ区的反向代理服务器发起建立连接的请求，其中，后台Web服务器在启动时读取配置文件中设置的反向代理服务器IP地址和端口信息，向反向代理服务发出建立socket连接的请求。反向代理服务器会一直监听预设的端口，当收到建立连接的请求后，与后台Web服务器建立预设数量的socket连接，并将这些socket存储到socket存储池中，用于反向代理服务器转发请求时直接使用与后台Web服务器建立好的socket通信连接。

另外，当客户端发起Http/Https的网页请求时，该请求经过网络传输到达反向代理服务器时，反向代理服务器会首先根据规则，确定该请求是否需要反向代理方式处理，若需要反向代理方式处理，则从socket存储池中取出可用的socket连接，通过该连接将客户端的请求转发给后台Web服务器。在处理完该请求后，将当前使用的socket存储到socket存储池中，以循环利用，减少每次连接都需要新建socket的开销。

进一步地，反向代理服务器会定期地向后台Web服务器发出心跳信息，以告知后台Web服务器这些预连接的socket的状态。反向代理服务器是在网络协议栈的第七层，即应用层发出心跳信息，后台Web服务器收到心跳信息后，会返回固定的标识符。同时，后台Web服务器会维护一个所有预连接的socket的最后收到心跳的时间列表，若发现某个socket的最后心跳时间距离当前时间超过预设的一个阈值，则在Web服务器端会主动关闭该socket连接，同时递补地创建一个新的socket连接。

进一步地，定期心跳的步骤为：

反向代理服务器定时地对socket资源池中的每个socket，从资源池中取出，向后台发出AJP协议格式的请求内容为空的Cping/Cpong心跳信息；

若心跳测试发出，立刻将该socket存储到socket资源池中；若心跳测试失败，则再尝试发送N次心跳，若其中有一次发送成功则将对应的socket放入socket资源池中，若直到第N次发送仍失败，则关闭该socket；

后台Web服务器记录每个已建立的socket的最后收到心跳的时间，若超过一个预先设定的时间阈值，则在后台Web服务器端主动关闭该socket连接。

本发明具有如下的优点：

(1)相对于传统解决方案，本发明对应用系统透明，即无需应用系统做任何DMZ区网络的适应性开发，应用系统依然部署在Ⅲ区，只需在DMZ区部署代理服务，外网用户就能通过代理服务访问到Ⅲ区的应用系统；可以将Ⅲ区的应用系统大规模应用到DMZ区网络，让外网用户访问。

(2)在实现让外部网络通过DMZ区访问位于内部网络的应用系统服务时，满足网络方面所要求的安全性。

(3)相对于在DMZ区部署一套跟内部网络上的后台应用一样的系统，采用基于预连接的反向代理方案，由于在DMZ区只需部署反向代理服务器，所需硬件资源少，能够有效地降低硬件和软件上的成本；同时，由于应用系统只在Ⅲ区单边部署，系统升级操作简单。

附图说明

图1为本发明针对的网络环境的示意图；

图2为本发明的创建预连接的socket的过程示意图；

图3为用户发出请求后，反向代理服务器和后台Web服务器的处理流程示意图；

图4为对预连接的socket进行定期心跳检测和无效socket释放的过程示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加清楚易懂，下面将结合附图和具体的实施例对本发明的技术方案作进一步描述。

参见图1，本发明可以针对如下的网络环境。其中，应用系统部署在内部网络中，内部网络中的用户访问系统时，可以直接访问；而外部网络中的用户，需要通过访问DMZ区的反向代理服务器来访问应用系统。

图2为创建预连接的socket的过程。与常规的反向代理服务器的做法不同，本发明中，socket连接的创建不是用户请求到来时反向代理服务器向后台Web服务器发起连接，而是后台Web服务器首先向反向代理服务器预先建立一定数量的socket。在反向代理服务器端，将这些预先建立的socket存储到socket存储池中，以用于处理用户请求时直接转发到后台Web服务器。

图3为位于客户端的用户从外网网络向反向代理服务器发起一次请求时，反向代理服务器接收该请求，同时从socket资源池中取出socket，并利用该socket向后台Web服务器转发该请求。为了避免处理每次请求时都要创建新的socket，在一次请求处理完成后，将当前的socket放入存储池中，以循环使用。后台Web服务器处理完该请求后，将结果返回给反向代理服务器，反向代理服务器会将结果返回给用户的浏览器，浏览器将结果网页展示给用户。

如图4所示，为了避免DMZ区与内部网络之间的防火墙会清理超过一定时间未使用的socket连接，在反向代理服务程序中，启动一个线程，用于定期对存储池中的socket进行心跳检测。为了保证内网的网络安全，DMZ区与内部网络的防火墙会设立这样的安全策略，此时，预连接的socket在超过阈值时间内未使用就会失效。为了解决上述情况下的socket失效问题，对预连接的socket引入心跳检测机制。该检测是位于应用层的检测，反向代理服务器在心跳检测完成后将该socket继续放回socket资源池中备用。在后台Web服务器端，会记录每个已建立连接的socket的最后心跳时间，若超过预设的阈值，则在后台Web服务器端主动释放该socket，同时创建新的socket连接，以保持预连接的socket的数量。

以上是为了使本领域的技术人员能够理解本发明，而对本发明所进行的详细描述。但可以想到，在不脱离本发明的权利要求所涵盖的范围内还可以做出其他的变化和改变，这些变化和改变均在本发明的保护范围之内。

Claims (5)

1.一种基于预连接的Web反向代理方法，其特征在于，后台Web服务器主动向反向代理服务器请求建立连接，反向代理服务器把建立的socket连接存储在socket资源池中，包括下列步骤：

后台Web服务器在启动后，根据读取的配置文件设置的IP地址和端口信息，向反向代理服务器发出建立socket连接的请求；反向代理服务器一直监听该端口，当收到建立连接请求后，与后台Web服务器建立约定数量的socket连接，并将其存储到socket资源池中。

2.如权利要求1所述的基于预连接的Web反向代理方法，其特征在于，当客户端发出网页请求时，还包括以下步骤：

客户端发出Http/Https的网页请求，反向代理服务器收到该请求后，从socket资源池中直接取出可用的socket连接，通过该连接转发请求给后台Web服务器；

后台Web服务器处理完该次请求后，将使用中的socket放入socket资源池中，循环利用。

3.如权利要求1所述的基于预连接的Web反向代理方法，其特征在于，反向代理服务器定期地通过socket资源池中的socket，向后台Web服务器发出心跳信息，告知后台Web服务器这些预连接的socket的状态。

4.如权利要求3所述的基于预连接的Web反向代理方法，其特征在于，反向代理服务器在网络协议栈的第七层即应用层发出心跳信息，后台Web服务器收到心跳信息后，返回固定的标识符；同时，后台Web服务器维护一个所有预连接的socket的最后收到心跳的时间列表，若发现某个socket的最后心跳时间距离当前时间超过预设的一个阈值，则在Web服务器端主动关闭该socket连接，同时递补地创建一个新的socket连接。

5.如权利要求3或4所述的基于预连接的Web反向代理方法，其特征在于，定期心跳的步骤为：

反向代理服务器定时地对socket资源池中的每个socket，从资源池中取出，向后台发出AJP协议格式的请求内容为空的Cping/Cpong心跳信息；

若心跳测试发出，立刻将该socket存储到socket资源池中；若心跳测试失败，则再尝试发送N次心跳，若其中有一次发送成功则将对应的socket放入socket资源池中，若直到第N次发送仍失败，则关闭该socket；

后台Web服务器记录每个已建立的socket的最后收到心跳的时间，若超过一个预先设定的时间阈值，则在后台Web服务器端主动关闭该socket连接。