CN106302755B - 反向被动代理方法及装置 - Google Patents

Abstract

本发明实施例提供一种反向被动代理方法及装置。该方法包括：获取客户端发送的第一连接请求；缓存第一连接请求，并等待服务器发送的第二连接请求；若接收到服务器发送的第二连接请求，则向服务器发送第一连接请求；接收服务器依据第一连接请求反馈的响应信息，并将响应信息发送给客户端。本发明实施例通过反向代理设备接收客户端发送的第一连接请求，缓存该第一连接请求，并等待服务器发送的第二连接请求，当服务器主动向反向代理设备发送第二连接请求后，反向代理设备再将第一连接请求发送给服务器，在TCP的握手方向上，将反向代理设备改进成了被动握手方，将服务器改进成了主动握手方，实现了内网主动连接外网，大大提高了内网的安全性。

Description

反向被动代理方法及装置

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种反向被动代理方法及装置。

背景技术

反向代理(Reverse Proxy，简称RP)方式是指代理服务器接收客户端发起的连接请求，将该连接请求发给服务器，服务器对该连接请求产生反馈响应，代理服务器将该反馈响应发送给客户端，该代理服务器相对于客户端而言表现为一个反向代理服务器。

若将客户端所在的网络作为外网，将服务器所在的网络作为内网，则现有的反向代理方式只能是外网主动连接内网，若外网中存在安全性较低的客户端通过代理服务器攻击内网，将会大大降低内网的安全性。

发明内容

本发明实施例提供一种反向被动代理方法及装置，以大大提高内网的安全性。

本发明实施例的一个方面是提供一种反向被动代理方法，包括：

获取客户端发送的第一连接请求；

缓存所述第一连接请求，并等待服务器发送的第二连接请求；

若接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求；

接收所述服务器依据所述第一连接请求反馈的响应信息，并将所述响应信息发送给所述客户端。

本发明实施例的另一个方面是提供一种反向被动代理装置，包括：

获取模块，用于获取客户端发送的第一连接请求；

缓存模块，用于缓存所述第一连接请求，并等待服务器发送的第二连接请求；

接收模块，用于接收到所述服务器发送的第二连接请求；接收所述服务器依据所述第一连接请求反馈的响应信息；

发送模块，用于向所述服务器发送第一连接请求；将所述响应信息发送给所述客户端。

本发明实施例提供的反向被动代理方法及装置，通过反向代理设备接收客户端发送的第一连接请求，缓存该第一连接请求，并等待服务器发送的第二连接请求，当服务器主动向反向代理设备发送第二连接请求后，反向代理设备再将第一连接请求发送给服务器，在TCP的握手方向上，将反向代理设备改进成了被动握手方，将服务器改进成了主动握手方，实现了内网主动连接外网，防止内网受到外网的攻击，大大提高了内网的安全性。

附图说明

图1为本发明实施例提供的反向被动代理方法流程图；

图2为本发明实施例提供的反向被动代理方法适用的网络架构图；

图3为本发明实施例提供的反向被动代理方法适用的信令图；

图4为本发明另一实施例提供的反向被动代理方法流程图；

图5为本发明另一实施例提供的反向被动代理方法流程图；

图6为本发明实施例提供的反向被动代理装置的结构图；

图7为本发明另一实施例提供的反向被动代理装置的结构图。

具体实施方式

图1为本发明实施例提供的反向被动代理方法流程图；图2为本发明实施例提供的反向被动代理方法适用的网络架构图；图3为本发明实施例提供的反向被动代理方法适用的信令图。本发明实施例针对现有的反向代理方式只能是外网主动连接内网，若外网中存在完全性较低的客户端通过代理服务器攻击内网，将会大大降低内网的安全性，提供了反向被动代理方法，该方法具体步骤如下：

步骤S101、获取客户端发送的第一连接请求；

如图2所示，本发明实施例提供的反向被动代理方法适用的网络架构包括客户端22、反向代理设备23、防火墙24和服务器25，其中，客户端22为多种形式的用户终端设备，反向代理设备23具体可以为反向代理服务器，服务器25可以为内部网络上的服务器，如应用程序服务器、Web服务器等。优选的，本发明实施例将客户端所在的网络作为外网，将服务器所在的网络作为内网。

在本发明实施例中，客户端22通过反向代理设备23访问服务器25，具体的，客户端22主动向反向代理设备23发送第一连接请求，该第一连接请求具体可以为超文本传输协议(HyperText Transfer Protocol，简称HTTP)请求。

步骤S102、缓存所述第一连接请求，并等待服务器发送的第二连接请求；

反向代理设备23接收到客户端22发送的第一连接请求具体为HTTP请求后，将HTTP请求缓存到本地的同步队列中，不向服务器25转发该HTTP请求，也不向客户端22反馈任何响应信息，而是进入等待服务器25主动发起第二连接请求的状态。

步骤S103、若接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求；

本发明实施例在传输控制协议(Transmission Control Protocol，简称TCP)的握手方向上，将反向代理设备23改进成了被动握手方，将服务器25改进成了主动握手方，具体的，当服务器25通过防火墙24主动向反向代理设备23发起第二连接请求后，反向代理设备23将本地的同步队列中的HTTP请求通过防火墙24发送给服务器25。

步骤S104、接收所述服务器依据所述第一连接请求反馈的响应信息，并将所述响应信息发送给所述客户端。

服务器25依据HTTP请求产生HTTP响应，将HTTP响应通过防火墙24发送给反向代理设备23，反向代理设备23将该HTTP响应转发给客户端22。

如图3所示，本发明实施例提供的反向被动代理方法适用的信令图包括的具体步骤如下：

步骤S11、客户端向反向代理设备发送第一连接请求；

步骤S12、反向代理设备缓存第一连接请求；

步骤S13、服务器向防火墙发送第二连接请求；

步骤S14、防火墙向反向代理设备发送第二连接请求；

步骤S15、反向代理设备向防火墙发送第一连接请求；

步骤S16、防火墙向服务器发送第一连接请求；

步骤S17、服务器依据第一连接请求生成响应信息；

步骤S18、服务器向防火墙发送响应信息；

步骤S19、防火墙向反向代理设备发送响应信息；

步骤S20、反向代理设备向客户端发送响应信息。

步骤S11-S20与步骤S101-S104的方法步骤一致，此处不再赘述。另外，如图2中的步骤S11、S13、S14、S15、S16、S18、S19、S20分别与图3中的相应步骤一致。

本发明实施例通过反向代理设备接收客户端发送的第一连接请求，缓存该第一连接请求，并等待服务器发送的第二连接请求，当服务器主动向反向代理设备发送第二连接请求后，反向代理设备再将第一连接请求发送给服务器，在TCP的握手方向上，将反向代理设备改进成了被动握手方，将服务器改进成了主动握手方，实现了内网主动连接外网，防止内网受到外网的攻击，大大提高了内网的安全性。

图4为本发明另一实施例提供的反向被动代理方法流程图。该方法的具体步骤如下：

步骤S401、获取客户端发送的第一连接请求；

本步骤与步骤S101一致，此处不再赘述。

步骤S402、解析所述第一连接请求，所述第一连接请求包括头部和数据部；

反向代理设备接收到第一连接请求具体为HTTP请求后解析该HTTP请求，HTTP请求的帧格式如下表1所示：

表1

如表1所示，HTTP请求包括头部即请求头、数据部即请求体，请求头包括请求行、实体头和头部结束标识。

步骤S403、依据所述第一连接请求的头部和数据部判断所述第一连接请求是否需要发送给所述服务器；

反向代理设备依据该HTTP请求的头部和数据部对该HTTP请求进行过滤处理，符合过滤条件的HTTP请求需要发送给服务器，不符合过滤条件的HTTP请求则不需发送给服务器；过滤条件具体可以包括如下：HTTP请求的头部是否包括特定的字节或bit；HTTP请求的数据部是否包括特定的字节或bit；HTTP请求的数据部是否可以进一步分解为更具体的帧格式，分解后的帧格式是否包括特定的字段等。

步骤S404、将所述第一连接请求放入同步队列并阻塞向所述客户端发送数据的队列；

进一步的，反向代理设备将通过过滤条件的HTTP请求放入同步队列，以便后续发送给服务器，同时阻塞向所述客户端发送数据的队列即客户端向反向代理设备发送HTTP请求后，反向代理设备不向客户端返回任何消息，以使客户端处于阻塞状态。

步骤S405、若接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求；

步骤S406、接收所述服务器依据所述第一连接请求反馈的响应信息，并将所述响应信息发送给所述客户端。

步骤S405和步骤S406分别与步骤S103和步骤S104对应，具体方法不再描述。

本发明实施例通过对客户端发送的第一连接请求进行过滤，将符合过滤条件的第一连接请求发送给服务器，降低了服务器的数据处理量。

图5为本发明另一实施例提供的反向被动代理方法流程图。在图4对应的实施例的基础上，本发明实施例提供的反向被动代理方法的具体步骤如下：

步骤S501、监测所述客户端发送的请求信息；

在本发明实施例中，客户端可以向反向代理设备发送多种请求信息，反向代理设备实时监测客户端发送的请求信息。

步骤S502、判断所述请求信息是否为第一连接请求，若是，则接收所述第一连接请求；

若服务器只处理HTTP请求，反向代理设备只用于向服务器被动发送HTTP请求，则当反向代理设备接收到客户端发送的请求信息后，判断该请求信息是否为第一连接请求具体为HTTP请求，若是，则接收该HTTP请求，否则，丢弃该请求信息。

步骤S503、解析所述第一连接请求，所述第一连接请求包括头部和数据部；

步骤S504、依据所述第一连接请求的头部和数据部判断所述第一连接请求是否需要发送给所述服务器；

步骤S505、将所述第一连接请求放入同步队列并阻塞向所述客户端发送数据的队列；

步骤S503-S505分别与上述步骤S402-S404对应一致，具体方法此处不再赘述。

步骤S506、若等待时间超出阈值时间，则向所述客户端发送连接超时信息；

由于反向代理设备被动等待服务器主动向反向代理设备发送第二连接请求后，反向代理设备才向服务器发送其本地的同步队列中的第一连接请求，如果在预先设定的阈值时间内，服务器没有向反向代理设备发送第二连接请求，则反向代理设备向客户端发送连接超时信息，以便客户端放弃连接服务器，或者重新发送第一连接请求。

步骤S507、若在所述阈值时间内接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求；

如果在预先设定的阈值时间内，服务器主动向反向代理设备发送了第二连接请求，则反向代理设备向服务器发送其本地的同步队列中的第一连接请求。

步骤S508、接收所述服务器依据所述第一连接请求反馈的响应信息，并将所述响应信息发送给所述客户端。

服务器根据第一连接请求生成响应信息例如HTTP响应，并将该HTTP响应通过防火墙发送给反向代理设备，该反向代理设备将该HTTP响应发送给所述客户端。

本发明实施例通过预先设定的阈值时间，当反向代理设备等待服务器主动发起请求的时间超出了该阈值时间，则向客户端发送超时信息，当反向代理设备等待服务器主动发起请求的时间没有超出该阈值时间，则向服务器发送其本地的同步队列中的第一连接请求，以使客户端只在阈值时间内处于阻塞状态，避免客户端一直处于阻塞状态。

图6为本发明实施例提供的反向被动代理装置的结构图。本发明实施例提供的反向被动代理装置可以执行反向被动代理方法实施例提供的处理流程，该反向被动代理装置具体设置在上述方法实施例的反向代理设备中，如图6所示，反向被动代理装置60包括获取模块61、缓存模块62、接收模块63和发送模块64，其中，获取模块61用于获取客户端发送的第一连接请求；缓存模块62用于缓存所述第一连接请求，并等待服务器发送的第二连接请求；接收模块63用于接收到所述服务器发送的第二连接请求；接收所述服务器依据所述第一连接请求反馈的响应信息；发送模块64用于向所述服务器发送第一连接请求；将所述响应信息发送给所述客户端。

本发明实施例通过反向代理设备接收客户端发送的第一连接请求，缓存该第一连接请求，并等待服务器发送的第二连接请求，当服务器主动向反向代理设备发送第二连接请求后，反向代理设备再将第一连接请求发送给服务器，在TCP的握手方向上，将反向代理设备改进成了被动握手方，将服务器改进成了主动握手方，实现了内网主动连接外网，防止内网受到外网的攻击，大大提高了内网的安全性。

图7为本发明另一实施例提供的反向被动代理装置的结构图。在上述实施例的基础上，缓存模块62具体用于将所述第一连接请求放入同步队列并阻塞向所述客户端发送数据的队列。

反向被动代理装置60还包括：解析模块65和判断模块66，其中，解析模块65用于解析所述第一连接请求，所述第一连接请求包括头部和数据部；判断模块66用于依据所述第一连接请求的头部和数据部判断所述第一连接请求是否需要发送给所述服务器。

反向被动代理装置60还包括监测模块67，监测模块67用于监测所述客户端发送的请求信息；判断模块66还用于判断所述请求信息是否为第一连接请求，若是，则接收所述第一连接请求。

发送模块64具体用于若等待时间超出阈值时间，则向所述客户端发送连接超时信息；若接收模块63在所述阈值时间内接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求。

本发明实施例提供的反向被动代理装置可以具体用于执行上述图1所提供的方法实施例，具体功能此处不再赘述。

本发明实施例通过对客户端发送的第一连接请求进行过滤，将符合过滤条件的第一连接请求发送给服务器，降低了服务器的数据处理量；通过预先设定的阈值时间，当反向代理设备等待服务器主动发起请求的时间超出了该阈值时间，则向客户端发送超时信息，当反向代理设备等待服务器主动发起请求的时间没有超出该阈值时间，则向服务器发送其本地的同步队列中的第一连接请求，以使客户端只在阈值时间内处于阻塞状态，避免客户端一直处于阻塞状态。

综上所述，本发明实施例通过反向代理设备接收客户端发送的第一连接请求，缓存该第一连接请求，并等待服务器发送的第二连接请求，当服务器主动向反向代理设备发送第二连接请求后，反向代理设备再将第一连接请求发送给服务器，在TCP的握手方向上，将反向代理设备改进成了被动握手方，将服务器改进成了主动握手方，实现了内网主动连接外网，防止内网受到外网的攻击，大大提高了内网的安全性；通过对客户端发送的第一连接请求进行过滤，将符合过滤条件的第一连接请求发送给服务器，降低了服务器的数据处理量；通过预先设定的阈值时间，当反向代理设备等待服务器主动发起请求的时间超出了该阈值时间，则向客户端发送超时信息，当反向代理设备等待服务器主动发起请求的时间没有超出该阈值时间，则向服务器发送其本地的同步队列中的第一连接请求，以使客户端只在阈值时间内处于阻塞状态，避免客户端一直处于阻塞状态。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种反向被动代理方法，其特征在于，包括：

获取客户端发送的第一连接请求；

缓存所述第一连接请求，并等待服务器发送的第二连接请求；

若接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求；

接收所述服务器依据所述第一连接请求反馈的响应信息，并将所述响应信息发送给所述客户端。

2.根据权利要求1所述的方法，其特征在于，所述缓存所述第一连接请求，并等待服务器发送的第二连接请求，包括：

将所述第一连接请求放入同步队列并阻塞向所述客户端发送数据的队列。

3.根据权利要求1或2所述的方法，其特征在于，所述缓存所述第一连接请求之前，还包括：

解析所述第一连接请求，所述第一连接请求包括头部和数据部；

依据所述第一连接请求的头部和数据部判断所述第一连接请求是否需要发送给所述服务器。

4.根据权利要求3所述的方法，其特征在于，所述获取客户端发送的第一连接请求，包括：

监测所述客户端发送的请求信息；

判断所述请求信息是否为第一连接请求，若是，则接收所述第一连接请求。

5.根据权利要求4所述的方法，其特征在于，所述缓存所述第一连接请求，并等待服务器发送的第二连接请求之后，还包括：

若等待时间超出阈值时间，则向所述客户端发送连接超时信息；

所述若接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求，包括：

若在所述阈值时间内接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求。

6.一种反向被动代理装置，其特征在于，包括：

获取模块，用于获取客户端发送的第一连接请求；

缓存模块，用于缓存所述第一连接请求，并等待服务器发送的第二连接请求；

接收模块，用于接收所述服务器发送的第二连接请求；接收所述服务器依据所述第一连接请求反馈的响应信息；

发送模块，用于若所述接收模块接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求；将所述响应信息发送给所述客户端。

7.根据权利要求6所述的反向被动代理装置，其特征在于，所述缓存模块具体用于将所述第一连接请求放入同步队列并阻塞向所述客户端发送数据的队列。

8.根据权利要求6或7所述的反向被动代理装置，其特征在于，还包括：

解析模块，用于解析所述第一连接请求，所述第一连接请求包括头部和数据部；

判断模块，用于依据所述第一连接请求的头部和数据部判断所述第一连接请求是否需要发送给所述服务器。

9.根据权利要求8所述的反向被动代理装置，其特征在于，还包括：

监测模块，用于监测所述客户端发送的请求信息；

所述判断模块还用于判断所述请求信息是否为第一连接请求，若是，则接收所述第一连接请求。

10.根据权利要求9所述的反向被动代理装置，其特征在于，所述发送模块具体用于若等待时间超出阈值时间，则向所述客户端发送连接超时信息；若所述接收模块在所述阈值时间内接收到所述服务器发送的第二连接请求，则向所述服务器发送第一连接请求。