CN107508805B - 一种数据包处理方法及系统 - Google Patents

Abstract

本发明实施例提供了一种数据包处理方法及系统，本发明通过重定向模块拦截终端发出的数据包，并依据预设过滤规则，将需要进行数据加密的数据包重定向至代理服务模块，以及，代理服务模块调用加密模块对数据包进行加密，再发送给服务器。本发明实施例中的系统架构简单、兼容性高，能够在用户无感知的情况下，对上传数据进行处理，有效加强了终端上传数据的安全性并且提高了用户体验。

Description

一种数据包处理方法及系统

技术领域

本发明实施例涉及通信领域，尤其涉及一种数据包处理方法及系统。

背景技术

目前，为保证终端的安全，现有技术通常采用代理服务器或网关设备，在终端上传数据时，隐藏终端的真实IP，从而使终端免受外部攻击。并且，代理服务器或网关设备还可以通过该对内部通信链路进行加密的方式，从而保证在链路之中数据传输安全。

但是，现有技术中的代理服务器或网关设备仅能保护终端自身的安全，而无法保证终端上传的数据的安全。例如，在终端将数据上传至云平台时，终端上传的数据安全性较低，极易被其它终端获取。

发明内容

本发明实施例提供一种数据包处理方法及系统，以解决现有技术无法保证终端上传数据的安全的问题。

为了解决上述问题，本发明公开了一种数据包处理方法，所述方法包括：

重定向模块接收来自终端的数据包，其中，数据包携带有地址信息；

重定向模块依据预设过滤规则和地址信息，判断是否将数据包进行重定向；

若是，则重定向模块将数据包重定向至代理服务模块；

代理服务模块对接收到的数据包进行解析处理，以提取数据包中的数据流，并依据数据流的内容，判断是否对数据流进行加密；

若是，则代理服务模块调用加密模块对数据流进行加密；并且，代理服务模块依据地址信息，对加密后的数据流进行数据包重组，并将重组后的数据包发送给服务器。

根据本发明的另一方面，提供了一种数据包处理系统，包括：

重定向模块，用于接收来自终端的数据包，其中，数据包携带有地址信息；

重定向模块进一步用于依据预设过滤规则和地址信息，判断是否将数据包进行重定向；若是，则重定向模块将数据包重定向至代理服务模块；

代理服务模块，用于对接收到的数据包进行解析处理，以提取数据包中的数据流，并依据数据流的内容，判断是否对数据流进行加密；若是，则代理服务模块进一步用于调用加密模块对数据流进行加密；以及，

代理服务模块进一步用于依据地址信息，对加密后的数据流进行数据包重组，并将重组后的数据包发送给服务器。

与现有技术相比，本发明中通过重定向模块拦截终端发出的数据包，并依据预设过滤规则，将需要进行数据加密的数据包重定向至代理服务模块，以及，代理服务模块调用加密模块对数据包进行加密，再发送给服务器。本发明实施例中的系统架构简单、兼容性高，能够在用户无感知的情况下，对上传数据进行处理，有效加强了终端上传数据的安全性并且提高了用户体验。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例的一种数据包处理系统的结构框图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

参照图1，示出了本发明实施例的一种数据包处理系统的结构框图，具体可以包括：

重定向模块10、代理服务模块20、加密模块30。

具体的，在本发明的实施例中，重定向模块10用于接收终端发来的数据包。其中，终端发来的数据包携带有地址信息，地址信息包括：源地址信息、源端口信息、目的地址信息以及目的端口信息。在本发明的实施例中，以目的地址信息与目的端口信息均为服务器对应的地址为例进行详细阐述。

重定向模块10依据预设过滤规则和地址信息，判断是否将数据包进行重定向。具体的，在本发明的实施例中，用户可预先在数据包处理系统中设置过滤规则。过滤规则可用过滤规则表的形式进行存储，在本发明的实施例中，过滤规则表中可记录有多个地址池，以及每个地址池对应的过滤规则。数据包处理系统启动后，重定向模块10初始化预设过滤规则，并且，将接收到的数据包中携带的地址信息，即，其中的目的地址信息与预设过滤规则中的地址池信息进行匹配。如果匹配成功，则依据匹配成功的地址池信息对应的过滤规则，判断是否将数据包进行重定向。举例说明：地址池1包括10.10.10.1-50,对应的过滤规则为重定向至代理服务模块。地址池2包括10.10.10.51-70，对应的过滤规则为直接发送至服务器。地址池3包括10.10.10.80-100，对应的过滤规则为禁止发送。则重定向模块10在检测到接收到的数据包中携带的地址信息为10.10.10.4，则对应的过滤规则即为重定向至代理服务模块。重定向模块10将该数据包重定向至代理服务模块。以此类推，重定向模块10将每次接收到的数据包与多个地址池进行匹配，并依据地址池对应的过滤规则，对数据包进行相应的处理。

在本发明的实施例中，重定向模块10将数据包重定向至代理服务模块20的步骤，具体为：

1)重定向模块10将数据包的目的地址信息与目的端口信息修改为代理服务模块20的地址信息与端口信息。在本发明的实施例中，代理服务模块20可以为单独的服务器，也可以为与重定向模块10与加密模块30集成于同一服务器或设备中的模块。具体的，在本发明的实施例中，数据包中包括控制信息部分以及数据流部分，控制信息部分包括但不限于源地址信息、源端口信息、目的地址信息以及目的端口信息。数据流部分则为数据包的实际数据。重定向模块10将数据包中的控制信息部分中的目的地址信息与目的端口信息修改为代理服务模块20的地址信息与端口信息。

2)重定向模块10将原目的地址信息与原目的端口信息写入数据流。具体的，在本发明的实施例中，重定向模块10将控制信息，也可以成为数据包的包头部分修改之后，将原目的地址信息、原目的端口信息以数据形式写入数据流中，写入的具体字段位置可根据实际情况进行设置，本发明对此不做限定。

3)重定向模块10将数据包的地址信息(源地址信息、源端口信息、目的地址信息、目的端口信息(此处指原目的地址与原目的端口))存储于本地缓存中，以便在后续接收到服务器端发来的数据包后，能够依据存储的地址信息，查询到与数据包对应的接收端。

4)重定向模块10依据当前数据包中的地址信息(即，修改后的地址信息)，将数据包发送给代理服务模块20，从而完成重定向过程。

接着，代理服务模块20对接收到的数据包进行解析处理。具体的，在本发明的实施例中，代理服务模块20依据数据包的结构，从数据包中提取出数据流部分。并且，代理服务模块20将重定向模块10记录于数据流中的地址信息进行提取，以获取到原目的地址信息与原目的端口信息。

随后，代理服务模块20调用加密模块对数据流进行加密。具体的，在本发明的实施例中，加密模块主要用于对加密密钥的生成与管理，并提供加密算法库。具体的，代理服务模块20将数据流发送给加密模块30，加密模块30随机从已生成的加密密钥中提取任一加密密钥，并利用该加密密钥，按照加密算法对数据流进行加密。具体加密过程可参考现有技术实施例中的加密技术，本发明对此不再赘述。随后，加密模块20将加密后的数据流返回给代理服务模块20.

代理服务模块20接收加密后的数据流，并对加密后的数据流进行数据包重组。具体的，在本发明的实施例中，代理服务模块20依据之前提取出的原目的地址信息与原目的端口信息，对加密后的数据流进行数据包重组。即，代理服务模块20将原目的地址与原目的端口信息作为包头，对加密后的数据流进行封装，已构成新的数据包，新的数据包中的包头包括：源地址信息、源端口信息、目的地址信息(服务器地址信息)、目的端口信息(服务器端口信息)以及加密的数据流部分。

在本发明的一个优选的实施例中，若代理服务模块20在提取到数据流后，可对数据流进行进一步解析，若数据流中包括实际数据，则对数据流进行加密处理。若检测到数据流中包括浏览网页等其它请求类信息，并部包含实际内容，则不对数据流进行加密，而直接对数据流进行重组，并发送给服务器。

在本发明的实施例中，代理服务模块20还将存储数据包的地址信息(源地址信息、源端口信息、目的地址信息(服务器地址信息)、目的端口信息(服务器端口信息))，从而使代理服务模块20在接收到服务器返回的数据包后，能够依据存储的地址信息，查询到对应的链路，以通过该链路，将数据包发送给重定向模块10，并由重定向模块10下发给对应的终端。

随后，代理服务模块20按照新数据包中的地址信息，将数据包发送给服务器。

此外，在本发明的一个实施例中，代理服务模块20还进一步用于接收来自服务器端的返回的数据包，并调用加密模块30对数据包进行解密。以及，将机密成功的数据包，依据数据包中携带的地址信息以及本地存储的地址信息，将数据包发送给重定向模块10。重定向模块10依据数据包中的地址信息以及本地存储的地址信息，将数据包下发到对应的终端。

综上所述，本发明实施例中的技术方案，通过重定向模块拦截终端发出的数据包，并依据预设过滤规则，将需要进行数据加密的数据包重定向至代理服务模块，以及，代理服务模块调用加密模块对数据包进行加密，再发送给服务器。本发明实施例中的系统架构简单、兼容性高，能够在用户无感知的情况下，对上传数据进行处理，有效加强了终端上传数据的安全性并且提高了用户体验。

本发明的一个实施例中，提供了一种数据处理方法，具体包括：重定向模块接收来自终端的数据包，其中，数据包携带有地址信息；重定向模块依据预设过滤规则和地址信息，判断是否将数据包进行重定向；若是，则重定向模块将数据包重定向至代理服务模块；代理服务模块对接收到的数据包进行解析处理，以提取数据包中的数据流，并依据数据流的内容，判断是否对数据流进行加密；若是，则代理服务模块调用加密模块对数据流进行加密；并且，代理服务模块依据地址信息，对加密后的数据流进行数据包重组，并将重组后的数据包发送给服务器。

在一个优选的实施例中，重定向模块依据预设过滤规则和地址信息，判断是否将数据包进行重定向的步骤，具体包括：

重定向模块初始化预设过滤规则，其中，预设过滤规则中包括多个地址池信息，以及与每个地址池信息对应的过滤规则；

重定向模块将地址信息与预设过滤规则中的地址池信息进行匹配；

重定向模块按照匹配成功的地址池对应的过滤规则，判断是否将数据包进行重定向。

在一个优选的实施例中，地址信息包括源地址信息和源端口信息，以及，目的地址信息和目的端口信息，重定向模块将数据包重定向至代理服务模块的步骤，具体包括：

重定向模块将地址信息中的目的地址信息和目的端口信息修改为代理服务模块的地址信息与代理服务模块的端口信息，并将目的地址信息与目的端口信息以数据形式写入数据流中；

重定向模块依据修改后的地址信息，将数据包重定向至代理服务模块。

在一个优选的实施例中，代理服务模块对接收到的数据包进行解析处理，以提取数据包中的数据流的步骤，具体包括：

代理服务接收数据包，并对数据包进行解析；

代理服务模块获取解析后的数据流；

代理服务模块提取数据流中携带的目的地址信息与目的端口信息。

在一个优选的实施例中，代理服务模块依据地址信息，对加密后的数据流进行数据包重组的步骤，具体包括：

代理服务模块依据提取的目的地址信息与目的端口信息，对数据流进行数据包重组。

本发明另一个实施例中，还提供了一种数据包处理系统，具体包括：

重定向模块，用于接收来自终端的数据包，其中，数据包携带有地址信息；

重定向模块进一步用于依据预设过滤规则和地址信息，判断是否将数据包进行重定向；若是，则重定向模块将数据包重定向至代理服务模块；

代理服务模块，用于对接收到的数据包进行解析处理，以提取数据包中的数据流，并依据数据流的内容，判断是否对数据流进行加密；若是，则代理服务模块进一步用于调用加密模块对数据流进行加密；以及，

代理服务模块进一步用于依据地址信息，对加密后的数据流进行数据包重组，并将重组后的数据包发送给服务器。

在一个优选的实施例中，重定向模块进一步用于：

初始化预设过滤规则，其中，预设过滤规则中包括多个地址池信息，以及与每个地址池信息对应的过滤规则；

将地址信息与预设过滤规则中的地址池信息进行匹配；

按照匹配成功的地址池对应的过滤规则，判断是否将数据包进行重定向。

在一个优选的实施例中，地址信息包括源地址信息和源端口信息，以及，目的地址信息和目的端口信息，重定向模块进一步用于：

将地址信息中的目的地址信息和目的端口信息修改为代理服务模块的地址信息与代理服务模块的端口信息，并将目的地址信息与目的端口信息以数据形式写入数据流中；

依据修改后的地址信息，将数据包重定向至代理服务模块。

在一个优选的实施例中，代理服务模块进一步用于：

接收数据包，并对数据包进行解析；

获取解析后的数据流；

提取数据流中携带的目的地址信息与目的端口信息。

在一个优选的实施例中，代理服务模块进一步用于：

依据提取的目的地址信息与目的端口信息，对数据流进行数据包重组。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的无线能力的获取设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

以上对本发明所提供的一种数据包处理方法及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种数据包处理方法，其特征在于，包括：

重定向模块接收来自终端的数据包，其中，所述数据包携带有地址信息；

所述重定向模块依据预设过滤规则和所述地址信息，判断是否将所述数据包进行重定向；

若是，则所述重定向模块将所述数据包重定向至代理服务模块；

所述代理服务模块对接收到的所述数据包进行解析处理，以提取所述数据包中的数据流，并依据所述数据流的内容，判断是否对所述数据流进行加密；

若是，则所述代理服务模块调用加密模块对所述数据流进行加密；并且，所述代理服务模块依据所述地址信息，对加密后的数据流进行数据包重组，并将重组后的数据包发送给服务器；

其中，所述重定向模块依据预设过滤规则和所述地址信息，判断是否将所述数据包进行重定向的步骤，具体包括：

所述重定向模块初始化所述预设过滤规则，其中，所述预设过滤规则中包括多个地址池信息，以及与每个地址池信息对应的过滤规则；

所述重定向模块将所述地址信息与所述预设过滤规则中的地址池信息进行匹配；

所述重定向模块按照匹配成功的地址池对应的过滤规则，判断是否将所述数据包进行重定向。

2.根据权利要求1所述的方法，其特征在于，所述地址信息包括源地址信息和源端口信息，以及，目的地址信息和目的端口信息，所述重定向模块将所述数据包重定向至代理服务模块的步骤，具体包括：

所述重定向模块将所述地址信息中的目的地址信息和目的端口信息修改为所述代理服务模块的地址信息与所述代理服务模块的端口信息，并将所述目的地址信息与所述目的端口信息以数据形式写入所述数据流中；

所述重定向模块依据修改后的地址信息，将所述数据包重定向至所述代理服务模块。

3.根据权利要求2所述的方法，其特征在于，所述代理服务模块对接收到的所述数据包进行解析处理，以提取所述数据包中的数据流的步骤，具体包括：

所述代理服务接收所述数据包，并对所述数据包进行解析；

所述代理服务模块获取解析后的数据流；

所述代理服务模块提取所述数据流中携带的所述目的地址信息与所述目的端口信息。

4.根据权利要求3所述的方法，其特征在于，所述代理服务模块依据所述地址信息，对加密后的数据流进行数据包重组的步骤，具体包括：

所述代理服务模块依据提取的所述目的地址信息与所述目的端口信息，对所述数据流进行数据包重组。

5.一种数据包处理系统，其特征在于，包括：

重定向模块，用于接收来自终端的数据包，其中，所述数据包携带有地址信息；

所述重定向模块进一步用于依据预设过滤规则和所述地址信息，判断是否将所述数据包进行重定向；若是，则所述重定向模块将所述数据包重定向至代理服务模块；

所述代理服务模块，用于对接收到的所述数据包进行解析处理，以提取所述数据包中的数据流，并依据所述数据流的内容，判断是否对所述数据流进行加密；若是，则所述代理服务模块进一步用于调用加密模块对所述数据流进行加密；以及，

所述代理服务模块进一步用于依据所述地址信息，对加密后的数据流进行数据包重组，并将重组后的数据包发送给服务器；

其中，所述重定向模块进一步用于：

初始化所述预设过滤规则，其中，所述预设过滤规则中包括多个地址池信息，以及与每个地址池信息对应的过滤规则；

将所述地址信息与所述预设过滤规则中的地址池信息进行匹配；

按照匹配成功的地址池对应的过滤规则，判断是否将所述数据包进行重定向。

6.根据权利要求5所述的系统，其特征在于，所述地址信息包括源地址信息和源端口信息，以及，目的地址信息和目的端口信息，所述重定向模块进一步用于：

将所述地址信息中的目的地址信息和目的端口信息修改为所述代理服务模块的地址信息与所述代理服务模块的端口信息，并将所述目的地址信息与所述目的端口信息以数据形式写入所述数据流中；

依据修改后的地址信息，将所述数据包重定向至所述代理服务模块。

7.根据权利要求6所述的系统，其特征在于，所述代理服务模块进一步用于：

接收所述数据包，并对所述数据包进行解析；

获取解析后的数据流；

提取所述数据流中携带的所述目的地址信息与所述目的端口信息。

8.根据权利要求7所述的系统，其特征在于，所述代理服务模块进一步用于：

依据提取的所述目的地址信息与所述目的端口信息，对所述数据流进行数据包重组。