CN106572121B - 一种vpn数据的审计方法和装置 - Google Patents
一种vpn数据的审计方法和装置 Download PDFInfo
- Publication number
- CN106572121B CN106572121B CN201611006032.8A CN201611006032A CN106572121B CN 106572121 B CN106572121 B CN 106572121B CN 201611006032 A CN201611006032 A CN 201611006032A CN 106572121 B CN106572121 B CN 106572121B
- Authority
- CN
- China
- Prior art keywords
- data packet
- user
- vpn
- data
- server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0272—Virtual private networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0281—Proxies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种VPN数据的审计方法和装置。所述方法包括:获取VPN服务器与目标网站之间传输的第一数据包;解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;获取VPN服务器与用户认证服务器之间传输的第二数据包;解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。本发明提供的VPN数据的审计方法可以有效的对VPN数据进行审计,得到用户真实IP下的审计结果,解决了现有技术中无法对加密的VPN数据进行审计的问题。
Description
技术领域
本发明涉及VPN审计技术领域,特别涉及一种针对VPN数据的审计方法和装置。
背景技术
虚拟专用网络(Virtual Private Network,简称“VPN”),是通过对数据包的加密和数据包目标地址的转换实现远程访问的,VPN服务器和客户机之间的通讯数据都进行了加密处理,保证了数据安全。VPN技术由于其安全性,受到广泛应用。
但是,由于VPN服务器和客户机之间的通讯数据是加密的(一般是256位加密),目前还没有可靠的技术或者方法去对VPN数据进行审计。
发明内容
为了解决现有技术中暂无方法对VPN数据进行审计的问题,本发明实施例提供了一种VPN数据的审计方法和装置。所述技术方案如下:
一方面,本发明实施例提供了一种VPN数据的审计方法,所述方法包括:
获取VPN服务器与目标网站之间传输的第一数据包,所述第一数据包为非加密数据包;
解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟网络之间互连的协议地址(Internet Protocol Address,简称“IP”);
获取VPN服务器与用户认证服务器之间传输的第二数据包,所述第二数据包为非加密数据包;
解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;
审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。
在本发明实施例上述的VPN数据的审计方法中,所述获取VPN服务器向目标网站发送的第一数据包,包括:
抓取VPN服务器代理用户上网的第一网口传输的第一数据包。
在本发明实施例上述的VPN数据的审计方法中,所述获取VPN服务器与用户认证服务器之间传输的第二数据包,包括:
抓取VPN服务器与用户认证服务器之间通信的第二网口传输的第二数据包。
在本发明实施例上述的VPN数据的审计方法中,所述第一数据包和所述第二数据包均通过部署在VPN服务器中的预设软件采集和解析。
在本发明实施例上述的VPN数据的审计方法中,所述用户上网行为信息包括:用户访问的统一资源定位符(Uniform Resource Locator,简称“url”)、下载的数据、发送的数据。
另一方面,本发明实施例提供了一种VPN数据的审计装置,所述装置包括:
获取模块,用于获取VPN服务器与目标网站之间传输的第一数据包,所述第一数据包为非加密数据包;
解析模块,用于解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;
所述获取模块,还用于获取VPN服务器与用户认证服务器之间传输的第二数据包,所述第二数据包为非加密数据包;
所述解析模块,还用于解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;
审计模块,用于审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。
在本发明实施例上述的VPN数据的审计装置中,所述获取模块,还用于抓取VPN服务器代理用户上网的第一网口传输的第一数据包。
在本发明实施例上述的VPN数据的审计装置中,所述获取模块,还用于抓取VPN服务器与用户认证服务器之间通信的第二网口传输的第二数据包。
在本发明实施例上述的VPN数据的审计装置中,所述第一数据包和所述第二数据包均通过部署在VPN服务器中的预设软件采集和解析。
在本发明实施例上述的VPN数据的审计装置中,所述用户上网行为信息包括:用户访问的url、下载的数据、发送的数据。
本发明实施例提供的技术方案带来的有益效果是:
通过获取VPN服务器与目标网站之间传输的第一数据包,来获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;通过获取VPN服务器与用户认证服务器之间传输的第二数据包,来获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;最后得到用户真实IP下的用户上网行为信息,并依此获取用户真实IP下的审计结果。该VPN数据的审计方法可以有效的对VPN数据进行审计,得到用户真实IP下的审计结果,解决了现有技术中无法对加密的VPN数据进行审计的问题。
附图说明
为了更清楚地说明本发明实施例中的技术方案,下面将对实施例描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本发明的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的一种应用场景示例图;
图2是本发明实施例一提供的一种VPN数据的审计方法流程图;
图3是本发明实施例二提供的一种VPN数据的审计装置结构示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚,下面将结合附图对本发明实施方式作进一步地详细描述。
为了更好地描述本发明的技术方案,在介绍实施例之前,先简要说明一下应用场景,参见图1,用户通过客户端1来访问目标网站4时,客户端1会先将自己的身份信息以加密的方式传输至VPN服务器2,VNP服务器2将接收到的身份信息以非加密的方式传输至用户认证服务器3,以进行用户身份认证,客户端1在通过用户身份认证通过后,将对目标网站4的访问信息,以加密的方式传输至VPN服务器2,VPN服务器2再将认证过的访问信息以非加密的方式,经互联网转发到目标网站4。
实施例一
本发明实施例提供了一种VPN数据的审计方法,参见图2,该方法可以包括:
步骤S11,获取VPN服务器与目标网站之间传输的第一数据包,该第一数据包为非加密数据包。
在本实施例中,为了对采用VPN代理的上网行为进行审计,需要采集到非加密的数据,而考虑到客户端与VPN服务器之间的数据传输是通过加密形式进行的,则需要获取VPN服务器与目标网站之间传输的数据,即第一数据包,该第一数据包中包含了用户的上网行为信息和用户的VPN虚拟IP。如果此时对第一数据包进行审计,可以得到VPN虚拟IP下的审计结果,但其并不能反映用户真实IP下的审计结果。
具体地,上述步骤S11可以通过如下方式实现:
抓取VPN服务器代理用户上网的第一网口传输的第一数据包。
在本实施例中,VPN服务器上有用于代理用户上网的网口,也就是用于VPN服务器与目标网站之间传输数据用的网口,抓取上述网口(即第一网口)传输的数据,可以得到所需的第一数据包。
步骤S12,解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟IP。
具体地,用户上网行为信息可以包括:用户访问的url、下载的数据(例如:文件、音视频等)、发送的数据(例如:帖子、邮件等)等等。
在本实施例中,可以通过对用户上网行为信息进行审计,判断其中是否存有异常情况,进而得到相应的审计结果。
步骤S13,获取VPN服务器与用户认证服务器之间传输的第二数据包,第二数据包为非加密数据包。
在本实施例中,用户的身份需要通过VPN服务器代理认证,即VPN服务器向用户认证服务器请求认证,VPN服务器与用户认证服务器之间的通信也是非加密的,因此可以通过获取第二数据包来获取用户VPN虚拟IP与用户真实IP之间的对应关系。
具体地,上述步骤S13可以通过如下方式实现:
抓取VPN服务器与用户认证服务器之间通信的第二网口传输的第二数据包。
在本实施例中,VPN服务器还会代理用户进行身份验证,可以通过用于VPN服务器与用户认证服务器之间通信的网口,来采集第二数据包。
步骤S14,解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系。
步骤S15,审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。
在本实施例中,通过获取的用户VPN虚拟IP与用户真实IP之间的对应关系,和通过第一数据包获取的用户VPN虚拟IP,可以获取用户的真实IP,并将用户的上网行为与用户的真实IP对应起来,进而可以获取到用户真实IP下的审计结果。
可选地,在上述步骤S11-S15中,第一数据包和第二数据包均可以通过部署在VPN服务器中的预设软件采集和解析。也可以说上述步骤S11-S15可以由部署在VPN服务器中的预设软件执行。
本发明实施例通过获取VPN服务器与目标网站之间传输的第一数据包,来获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;通过获取VPN服务器与用户认证服务器之间传输的第二数据包,来获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;最后得到用户真实IP下的用户上网行为信息,并依此获取用户真实IP下的审计结果。该VPN数据的审计方法可以有效的对VPN数据进行审计,得到用户真实IP下的审计结果,解决了现有技术中无法对加密的VPN数据进行审计的问题。
实施例二
本发明实施例提供了一种VPN数据的审计装置,执行了实施例一所述的方法,参见图3,该装置可以包括:获取模块100、解析模块200、审计模块300。
获取模块100,用于获取VPN服务器与目标网站之间传输的第一数据包,该第一数据包为非加密数据包。
在本实施例中,为了对采用VPN代理的上网行为进行审计,需要采集到非加密的数据,而考虑到客户端与VPN服务器之间的数据传输是通过加密形式进行的,则需要获取VPN服务器与目标网站之间传输的数据,即第一数据包,该第一数据包中包含了用户的上网行为信息和用户的VPN虚拟IP。如果此时对第一数据包进行审计,可以得到VPN虚拟IP下的审计结果,但其并不能反映用户真实IP下的审计结果。
解析模块200,用于解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟IP。
具体地,用户上网行为信息可以包括:用户访问的url、下载的数据(例如:文件、音视频等)、发送的数据(例如:帖子、邮件等)等等。
在本实施例中,可以通过对用户上网行为信息进行审计,判断其中是否存有异常情况,进而得到相应的审计结果。
获取模块100,还用于获取VPN服务器与用户认证服务器之间传输的第二数据包,第二数据包为非加密数据包。
在本实施例中,用户的身份需要通过VPN服务器代理认证,即VPN服务器向用户认证服务器请求认证,VPN服务器与用户认证服务器之间的通信也是非加密的,因此可以通过获取第二数据包来获取用户VPN虚拟IP与用户真实IP之间的对应关系。
解析模块200,还用于解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系。
审计模块300,用于审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。
在本实施例中,通过获取的用户VPN虚拟IP与用户真实IP之间的对应关系,和通过第一数据包获取的用户VPN虚拟IP,可以获取用户的真实IP,并将用户的上网行为与用户的真实IP对应起来,进而可以获取到用户真实IP下的审计结果。
具体地,获取模块100,还用于抓取VPN服务器代理用户上网的第一网口传输的第一数据包。
在本实施例中,VPN服务器上有用于代理用户上网的网口,也就是用于VPN服务器与目标网站之间传输数据用的网口,抓取上述网口(即第一网口)传输的数据,可以得到所需的第一数据包。
具体地,获取模块100,还用于抓取VPN服务器与用户认证服务器之间通信的第二网口传输的第二数据包。
在本实施例中,VPN服务器还会代理用户进行身份验证,可以通过用于VPN服务器与用户认证服务器之间通信的网口,来采集第二数据包。
可选地,第一数据包和第二数据包均通过部署在VPN服务器中的预设软件采集和解析。
本发明实施例通过获取VPN服务器与目标网站之间传输的第一数据包,来获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;通过获取VPN服务器与用户认证服务器之间传输的第二数据包,来获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;最后得到用户真实IP下的用户上网行为信息,并依此获取用户真实IP下的审计结果。该VPN数据的审计装置可以有效的对VPN数据进行审计,得到用户真实IP下的审计结果,解决了现有技术中无法对加密的VPN数据进行审计的问题。
上述本发明实施例序号仅仅为了描述,不代表实施例的优劣。
需要说明的是:上述实施例提供的VPN数据的审计装置在实现VPN数据的审计方法时,仅以上述各功能模块的划分进行举例说明,实际应用中,可以根据需要而将上述功能分配由不同的功能模块完成,即将设备的内部结构划分成不同的功能模块,以完成以上描述的全部或者部分功能。另外,上述实施例提供的VPN数据的审计装置与VPN数据的审计方法实施例属于同一构思,其具体实现过程详见方法实施例,这里不再赘述。
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成,也可以通过程序来指令相关的硬件完成,所述的程序可以存储于一种计算机可读存储介质中,上述提到的存储介质可以是只读存储器,磁盘或光盘等。
以上所述仅为本发明的较佳实施例,并不用以限制本发明,凡在本发明的精神和原则之内,所作的任何修改、等同替换、改进等,均应包含在本发明的保护范围之内。
Claims (10)
1.一种VPN数据的审计方法,其特征在于,包括:
获取VPN服务器与目标网站之间传输的第一数据包,所述第一数据包为非加密数据包;
解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;
获取VPN服务器与用户认证服务器之间传输的第二数据包,所述第二数据包为非加密数据包;
解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;
审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。
2.根据权利要求1所述的方法,其特征在于,所述获取VPN服务器向目标网站发送的第一数据包,包括:
抓取VPN服务器代理用户上网的第一网口传输的第一数据包。
3.根据权利要求1所述的方法,其特征在于,所述获取VPN服务器与用户认证服务器之间传输的第二数据包,包括:
抓取VPN服务器与用户认证服务器之间通信的第二网口传输的第二数据包。
4.根据权利要求2或3所述的方法,其特征在于,所述第一数据包和所述第二数据包均通过部署在VPN服务器中的预设软件采集和解析。
5.根据权利要求1所述的方法,其特征在于,所述用户上网行为信息包括:用户访问的url、下载的数据、发送的数据。
6.一种VPN数据的审计装置,其特征在于,包括:
获取模块,用于获取VPN服务器与目标网站之间传输的第一数据包,所述第一数据包为非加密数据包;
解析模块,用于解析第一数据包,并获取第一数据包中的用户上网行为信息和用户VPN虚拟IP;
所述获取模块,还用于获取VPN服务器与用户认证服务器之间传输的第二数据包,所述第二数据包为非加密数据包;
所述解析模块,还用于解析第二数据包,并获取第二数据包中的用户VPN虚拟IP与用户真实IP之间的对应关系;
审计模块,用于审计用户真实IP对应的用户上网行为信息,获取用户真实IP下的审计结果。
7.根据权利要求6所述的装置,其特征在于,所述获取模块,还用于抓取VPN服务器代理用户上网的第一网口传输的第一数据包。
8.根据权利要求6所述的装置,其特征在于,所述获取模块,还用于抓取VPN服务器与用户认证服务器之间通信的第二网口传输的第二数据包。
9.根据权利要求7或8所述的装置,其特征在于,所述第一数据包和所述第二数据包均通过部署在VPN服务器中的预设软件采集和解析。
10.根据权利要求6所述的装置,其特征在于,所述用户上网行为信息包括:用户访问的url、下载的数据、发送的数据。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201611006032.8A CN106572121B (zh) | 2016-11-15 | 2016-11-15 | 一种vpn数据的审计方法和装置 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201611006032.8A CN106572121B (zh) | 2016-11-15 | 2016-11-15 | 一种vpn数据的审计方法和装置 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN106572121A CN106572121A (zh) | 2017-04-19 |
CN106572121B true CN106572121B (zh) | 2019-07-12 |
Family
ID=58542866
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201611006032.8A Active CN106572121B (zh) | 2016-11-15 | 2016-11-15 | 一种vpn数据的审计方法和装置 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN106572121B (zh) |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN109905352B (zh) * | 2017-12-11 | 2022-02-22 | 亿阳安全技术有限公司 | 一种基于加密协议审计数据的方法、装置和存储介质 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101442565A (zh) * | 2008-12-18 | 2009-05-27 | 成都市华为赛门铁克科技有限公司 | 一种固定虚拟网络地址的分配方法和网关 |
CN101572729A (zh) * | 2009-05-04 | 2009-11-04 | 成都市华为赛门铁克科技有限公司 | 一种虚拟专用网节点信息的处理方法及相关设备、系统 |
US8558694B2 (en) * | 2010-10-06 | 2013-10-15 | International Business Machines Corporation | Asset management for information technology resources |
CN104811507A (zh) * | 2014-01-26 | 2015-07-29 | 中国移动通信集团湖南有限公司 | 一种ip地址获取方法及装置 |
-
2016
- 2016-11-15 CN CN201611006032.8A patent/CN106572121B/zh active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101442565A (zh) * | 2008-12-18 | 2009-05-27 | 成都市华为赛门铁克科技有限公司 | 一种固定虚拟网络地址的分配方法和网关 |
CN101572729A (zh) * | 2009-05-04 | 2009-11-04 | 成都市华为赛门铁克科技有限公司 | 一种虚拟专用网节点信息的处理方法及相关设备、系统 |
US8558694B2 (en) * | 2010-10-06 | 2013-10-15 | International Business Machines Corporation | Asset management for information technology resources |
CN104811507A (zh) * | 2014-01-26 | 2015-07-29 | 中国移动通信集团湖南有限公司 | 一种ip地址获取方法及装置 |
Also Published As
Publication number | Publication date |
---|---|
CN106572121A (zh) | 2017-04-19 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US6442687B1 (en) | System and method for secure and anonymous communications | |
CN109756501B (zh) | 一种基于http协议的高隐匿网络代理方法及系统 | |
US5673322A (en) | System and method for providing protocol translation and filtering to access the world wide web from wireless or low-bandwidth networks | |
CN102333110B (zh) | 用于移动设备的具有动态翻译用户主页的vpn网络客户端 | |
CN102316153B (zh) | 对网页邮件本地接入动态构造显示的vpn网络客户端 | |
CA2598227C (en) | Mapping an encrypted https network packet to a specific url name and other data without decryption outside of a secure web server | |
CN107483609B (zh) | 一种网络访问方法、相关设备和系统 | |
CN104322001A (zh) | 使用服务名称识别的传输层安全流量控制 | |
CN110401641B (zh) | 用户认证方法、装置、电子设备 | |
CN101977224A (zh) | 一种基于SSL VPN设备的Web资源认证信息管理方法 | |
CN109413219A (zh) | 一种域名解析方法和装置、服务器及存储介质 | |
CN105516061A (zh) | 远程访问服务器的方法及web服务器 | |
CN106453610B (zh) | 面向运营商骨干网的https数据流审计方法和系统 | |
CN103634111B (zh) | 单点登录方法和系统及单点登录客户端 | |
CN109617753A (zh) | 一种网络平台管理方法、系统及电子设备和存储介质 | |
CN108156092A (zh) | 报文传输控制方法和装置 | |
CN110505300A (zh) | 一种ip网络与命名数据网络混合的新型链式代理方法 | |
CN106572121B (zh) | 一种vpn数据的审计方法和装置 | |
CN106790073A (zh) | 一种Web服务器恶意攻击的阻断方法、装置及防火墙 | |
CN107809681A (zh) | 切片视频传输的方法及装置 | |
CN102946397B (zh) | 用户认证方法及系统 | |
CN106559420A (zh) | 一种报文的过滤方法及装置 | |
CN113645193A (zh) | 网络安全防护方法、业务管理系统及计算机可读存储介质 | |
CN106487819B (zh) | 一种通过udp代理http请求的方法和装置 | |
CN108259621A (zh) | 一种针对网吧的https内容的审计方法和装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |