CN106534319A

CN106534319A - 一种通过代理服务器直接访问目标服务器的方法

Info

Publication number: CN106534319A
Application number: CN201611026361.9A
Authority: CN
Inventors: 武迪
Original assignee: Palm World Shenzhen Network Science And Technology Ltd
Current assignee: Palm World Shenzhen Network Science And Technology Ltd
Priority date: 2016-11-22
Filing date: 2016-11-22
Publication date: 2017-03-22

Abstract

本发明提供一种通过代理服务器直接访问目标服务器的方法，该方法中终端用户通过本地网络的三层交换机将需要访问的目标服务器的目地址转发到匹配到的代理服务器上；代理服务器采用SSH隧道协议将请求数据转发到对应的远程目标服务器；远程目标服务器采用SSH隧道协议将处理结果数据转发到代理服务器；代理服务器将远程目标服务器返回的结果转发给终端用户。利用本发明的方法终端用户访问远程服务器像访问内部局域网一样直接访问远程服务器上的所有资源。

Description

一种通过代理服务器直接访问目标服务器的方法

技术领域

本发明涉及通过代理服务器直接访问目标服务器的方法，具体地说，是一种基于SSH协议与防火墙技术的方法。

背景技术

在互联网时代，某些网络基于安全方面的考虑，处于封闭状态，只能通过特定的方式方法对服务器进行远程管理。代理服务器大多被用来连接INTERNET（国际互联网）和Local Area Network（局域网）。

代理服务器（Proxy Server）是一种重要的服务器安全功能，它的工作主要在开放系统互联(OSI)模型的会话层，从而起到防火墙的作用。

代理服务器的功能就是代理网络用户去取得网络信息，是Internet链路级网关所提供的一种重要的安全功能，主要的功能有：

代理服务器大多被用来连接INTERNET都是独立的大型（国际互联网）和INTRANET（局域网）。如在国内，所谓多媒体公众信息网和教育网都是独立的大型局域网，是与国际互联网隔绝的。出于各种需要，某些集团或个人在两网之间开设了代理服务器，如果知道这些代理服务器的地址，就可以利用它到达国外网站。

代理服务器设置用户验证和记账功能，可按用户进行记账，没有登记的用户无权通过代理服务器访问Internet网。并对用户的访问时间、访问地点、信息流量进行统计。

代理服务器对用户进行分级管理，设置不同用户的访问权限，对外界或内部的Internet地址进行过滤，设置不同的访问权限。

代理服务器增加缓冲器（Cache)，提高访问速度，对经常访问的地址创建缓冲区，大大提高热门站点的访问效率。通常代理服务器都设置一个较大的硬盘缓冲区（可能高达几个GB或更大），当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时，则直接由缓冲区中取出信息，传给用户，以提高访问速度。

连接内网与Internet，充当防火墙（Firewall）：因为所有内部网的用户通过代理服务器访问外界时，只映射为一个IP地址，所以外界不能直接访问到内部网；同时可以设置IP地址过滤，限制内部网对外部的访问权限。

节省IP开销：代理服务器允许使用大量的伪IP地址，节约网上资源，即用代理服务器可以减少对IP地址的需求，对于使用局域网方式接入Internet ，如果为局域网（LAN）内的每一个用户都申请一个IP地址，其费用可想而知。但使用代理服务器后，只需代理服务器上有一个合法的IP地址，LAN内其他用户可以使用10.*.*.*这样的私有IP地址，这样可以节约大量的IP，降低网络的维护成本。

但是使用代理服务器在增加了安全性的同时也增加了对服务器运维的工作量。

发明内容

本发明的目的在于为了能在不影响安全性的情况下，为服务器运维工作提供更大的灵活性，提供一种通过服务器直接访问目标服务器的方法，该方法利用SSH协议与IPTABLES相结合的方法，实现了对服务器的直接访问，从而解决了这个问题。

本发明为实现其目的所采用的技术方案是：一种通过代理服务器直接访问目标服务器的方法，包括以下步骤：

步骤1、终端用户通过本地网络的三层交换机将需要访问的目标服务器的目地址转发到匹配到的代理服务器上；

步骤2、代理服务器接收到终端用户发来的请求后，将请求数据转发到对应的远程目标服务器；该步骤中，代理服务器采用SSH隧道协议将请求数据转发到对应的远程目标服务器；

步骤3、远程目标服务器接收到代理服务器发来的请求后，将处理结果返回给代理服务器；该步骤中，远程目标服务器采用SSH隧道协议将处理结果数据转发到代理服务器；

步骤4、代理服务器将远程目标服务器返回的结果转发给终端用户。

下面结合具体实施例对本发明作较为详细的描述。

附图说明

图1是本发明实施例方法流程图。

具体实施方式

实施例1，本实施例是公开一种一种通过代理服务器直接访问目标服务器的方法，包括以下步骤：

1、终端用户通过本地网络的三层交换机将目地址转发到匹配到的代理服务器上；

本地网络的三层交换机根据“防火墙规则”，将终端用户数据包，主要是请求访问的数据包，转发到相应的网络端口，网络端口与相应的代理服务器建立了通信遂道。

这里本地网络中有一个全局代理服务器，它负责转发终端用户的各种数据包，包括不同协议的数据包如HTTP、SOCKET、SSH、RSTP等等数据包，以及不同端口的数据。根据“防火墙”规则将数据包转发到相应代理服务器上。

这里所有的通信协议，都是采用TCP/IP协议。具体到应用层协议，都是采用SSH(Secure SHell protocol安全外壳协议) 协议，SSH是一种在不安全网络上提供安全远程登录及其它安全网络服务的协议。此协议是目前公认的安全的网络传输协议。

这里路由器只是充当普通路由的作用，根据源地址和目的地址将数据包转发到相应的网络。路由器连接公网，所以代理服务器一般是在公网上的，只是限制定特定的IP才能访问到。

2、代理服务器接收到终端用户发来的请求后，将数据转发到对应的远程目标主机。这里数据主要是指终端用户请求访问远程服务器的请求数据包，上面有远程服务器的地址。

这里采用的是SSH协议，通过SSH命令来实现，基本参数：SSH -D、SSH -R、SSH –L。

“防火墙”技术，负责数据包的配合和转发到相应的全局代理端口

首先是建立一个规则（规则名在本机是唯一的），然后配合目的IP，将符合此规则的数据包重定向到指定的端口（类似于三层网络交换机的规则）

3、目标服务器接收到代理服务器发来的请求后，将处理结果返回给代理服务器；该请求就是终端用户的所请求的数据ACK，该数据包中包括有目的地址、源地址等。处理结果就是目标服务器的响应“Response数据包”，这里代理服务器收到Response数据包后，同样根据TCP/IP协议，将Response数据包返回给源地址，也就是刚才发请求数据的终端用户的地址)方法是相同的，都是采用TCP/IP协议，应用层上就是SSH协议。

与步骤1中本地网络中的全局代理服务器与众多的代理服务器之间通信一样，目标服务器也是根据“防火墙规则”，将数据包转发到相应的网络端口，网络端口与相应的代理服务器建立了通信遂道。

4、代理服务器将远程目标服务器返回的结果转发给提出请求Ack的用户终端。终端用户接收远程目标服务器返回的数据，也是通过相应的协议来实现的，如HTTP请求就根据HTTP协议来完成，SSH请求就通过SSH协议来完成。

采用本实施例的本地终端用户利用代理服务器访问远程的服务器的方法，能访问目标服务器的所有端口资源，就像是在目标服务器内部访问他自己的资源一样，而普遍利用的代理服务器，只是能访问目标服务器的特定的开放的资源，一些内部端口资源是无法访问到的。

例如，某些WEB端口，只针对某些特定的IP段开放，比如，目标服务器本身的IP为192.168.100.200，目标服务器上的WEB端口8080，只有 192.168.88.0/24这个网段能访问，此时，如果是普通的vpn连接，此终端用户通过VPN取得的IP是：192.168.168.0/24这个网段，那么终端用户是无法访问目标服务器8080端口的。本实施例中通过代理服务器，终端机用户实际上是登录到代理服务器上，终端用户访问服务器的8080端口，实际上对于目标服务器来讲就是自己访问自己的8080端口，即：127.0.0.1:8080。

另外本地终端用户利用代理服务器访问远程的服务器的方法能进行多级的代理访问。

通常的代理服务器只能访问到下面一级的服务器资源，如下所示：

终端用户--->>全局代理机--->>代理服务器--->>一级跳板机-->>二级跳板机-->>三级跳板机 .....-->>........-->>目标服务器

普通情况下，终端用户要通过很多中间服务器才能访问到目标服务器，这还只能有访问SSH远程登录端口。

本实施例中代理服务器实现了终端机能直接透明访问目标服务器上的所有资源。

通过一个守护进程，定时的执行检测，步骤如下：

1、发送一个http请求或是SSH请求，根据不同的网络环境，发送不同的请求。

2、根据请求返回的状态码：0为成功，非0为失败。

3、如果状态为非0，则找到相应的进程的PID，KILL掉这个进程。

4、重新启动进程。

5、守护进程退出。

守护进程在运行期间，会将程序运行过程中得到的信息记录到文件中，并附带上相应的时间，以方便日后进行问题分析。

本实施例中利用上面的守护进程，可以实现“自我检测、自我重启、日志功能”。

当检测到当前链路异常，会自动关闭当前的程序，本实施例中通过查找进程名和进程的PID来关闭(KILL)掉进程，然后再根据进程的路径，启动进程。然后再重新建立一个新的遂道，就是结果当前僵尸的隧道进程，关闭此进程打开的端口，重新运行代理程序。同时如果远程服务器检测到链路异常，也会出同样的操作，该操作使用http或是ssh请求，根据返回状态码判断是否能访问到远程服务器，如果不能访问，就关闭当关的链路，重新建立通信链路。

在代理服务器上运行上面的守护进程，执行检测程序，检测程序发送HTTP请求或是SSH请求，检测程序根据返回的状态码来判断。

本实施例的这种方法用于实现远程终端直接访问有网络限制的远程主机上的所有资源。不用自己手动建立VPN拨号或是先登录跳板机、或是要先连接到对方指定的服务器、或是通过对方提供的审计系统以及使用特定的网络软件。

该方法使用了多种网络技术来实现最终的目标：像访问内部局域网一样直接访问远程服务器上的所有资源。

一种通过代理服务器直接访问目标服务器方法主要使用以下技术方法：

三层交换机的路由技术：三层交换机通过预先设置好的规则，对来源IP和目的IP进行判断，匹配到相应的规则，然后将此数据包转发到设置好的链路上。

SSH遂道技术：SSH遂道功能实现了本地端口转发，远程端口转发，动态端口转发，且都是使用SSH协议来实现的，同时数据传输过程经过了压缩，使得数据传输即快速又安全。

IPTABLES防火墙技术：通过设置防火墙的NAT规则，将目的地址和目的端口转发到相应的代理端口上。

Claims

1.一种通过代理服务器直接访问目标服务器的方法，其特征在于：包括以下步骤：

2.根据权利要求1所述的通过代理服务器直接访问目标服务器的方法，其特征在于：所述的步骤1中，终端用户通过其所在局域网内部全局代理服务器根据“防火墙”规则将数据包转发到相应代理服务器上。

3.根据权利要求1所述的通过代理服务器直接访问目标服务器的方法，其特征在于：所述的步骤1中，本地网络的三层交换机是通过解析终端用户发送访问目标器的请求的数据包而获得的目标服务器的地址的。

4.根据权利要求1所述的通过代理服务器直接访问目标服务器的方法，其特征在于：所述的步骤1中，本地网络的三层交换机是通过转发目标器的请求的数据包将目标服务器的目地址转发到匹配到的代理服务器上的。