CN108243143A - 一种基于web代理的网闸穿透方法及系统 - Google Patents

Abstract

本发明公开了一种基于Web代理的网闸穿透方法及系统，该方法包括以下步骤：第一网络的终端用户向第二网络的目标服务器发起http请求；将所述http请求发送到第一web代理服务器；所述第一web代理服务器将所述http请求的http数据包通过icap协议，发送给第一icap服务器；所述第一icap服务器将所述http数据包的内容保存为文件；通过单向网闸机制将所述文件发送到第二网络；所述第二web代理服务器将该http请求发送给所述目标服务器，所述目标服务器通过icap协议向终端用户返回http响应数据包。通过该发明的方案，能快速实现网闸隔离网两端的web数据传输，实用性高，运行可靠稳定。

Description

一种基于web代理的网闸穿透方法及系统

技术领域

本发明涉及数据安全领域，具体涉及一种基于web代理的网闸穿透方法及系统。

背景技术

按照信息保密的技术要求，涉密网络不能与互联网直接连通；涉密网络与非涉密网络连接时，如果涉密网络与互联网没有物理隔离，则采用网闸来隔离涉密网络与非涉密网络。因此网闸广泛应用于有涉密网络的国家机构或企事业单位，保证了安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证，防止了未知和已知的木马攻击。

然而，在实际应用中，网闸也对需要穿透涉密网络和互联网的合法数据交互也进行了限制，从而对某些需要进行涉密网络和互联网数据通讯的应用，产生了影响。如何在保证网闸隔离的基础上，又能保证合法数据的便捷传输，是许多国家机构、企事业单位或网闸厂商面临的技术难点。

跨网闸数据传输是长期以来面临的热点问题，相关的技术研究较多。经查询《一种网络隔离网闸数据交换系统》(申请专利号201410633461.2)《一种跨网闸的通信方法和通信系统》(申请号：200910000215.2)《一种基于网闸实现数据传输的方法》(申请专利号201410032613.3)均是该类技术。

上述专利申请主要特征是在网闸两端的网络中部署专用软件,完成业务流数据端口动态转换，网络包数据根据四元组HASH值转发或者网络包协议识别解析与还原等底层方法来实现。

现有技术存在以下缺点：

(1)对底层网络TCP包进行处理。由于要对底层TCP包进行处理，因此部署在网闸两端的专用程序必须获取到TCP层数据，依据获取到的数据再进行协议解析，端口动态转换、四元组HASH等过程，专用程序处理流程复杂，适应性差，策略规则同步便利性差。

(2)实际应用中web数据特别是http数据如何便利的是通过网闸，满足移动互联或者网络互联的要求是关键点。上述方案提到的都是通用的TCP数据的跨网闸通信，实施复杂，对于web数据便利的跨网闸访问，指导意义不大。

本发明通过在涉密网络和互联网络部署两个web代理，web代理间通过文件传输的方法来实现网闸两端网络的透明传输。最终保证网络两端的合法web数据传输。

发明内容

为解决上述技术问题，本发明提供了一种基于Web代理的网闸穿透方法，包括以下步骤：

1)第一网络的终端用户向第二网络的目标服务器发起http请求；

2)将所述http请求发送到第一web代理服务器；

3)所述第一web代理服务器将所述http请求相应的http请求数据包通过ICAP(Internet Content Adaptation Protocol)协议，发送给第一ICAP服务器；

4)所述第一ICAP服务器将所述http请求数据包的内容保存为请求文件；

5)将所述请求文件通过位于第一网络的第一网闸发送到位于第二网络的第二网闸；

6)所述第二网络的第二ICAP服务器从所述第二网闸自动加载所述请求文件，伪造出所述http请求，并发送给所述第二网络的第二web代理服务器；

7)所述第二web代理服务器将该http请求发送给所述目标服务器。

优选的，所述第一网络与第二网络通过网闸隔离，所述第一网络是保密网络，所述第二网络是互联网。

优选的，所述第一、二ICAP服务器是遵循ICAP协议的服务器，所述ICAP协议用于审计所述http请求。

优选的，所述步骤5)通过单向网闸的文件同步机制，将所述文件从所述第一网闸同步到所述第二网闸。

优选的，还包括以下步骤：

8)所述目标服务器收到所述http请求后，返回http响应数据包给所述第二web代理服务器；

9)所述第二web代理服务器将所述http响应数据包通过第二ICAP服务器、第二网闸、第一网闸、第一ICAP服务器发送给所述第一web代理服务器，由所述第一web代理服务器将所述http响应数据包发送给所述终端用户。

预选的，所述步骤9)具体包括：所述第二web代理服务器将所述http响应数据包通过ICAP协议发给所述第二ICAP服务器；所述第二ICAP服务器收到所述http响应数据包后，发送给所述第一网络，所述第一ICAP服务器获得所述http响应数据包后，转发给所述第一web代理服务器。

优选的，所述第二ICAP服务器通过以下方式将所述http响应数据包发送给所述第一网络：所述第二ICAP服务器接收到的所述http响应数据包后，将其保存为响应文件，通过单向网闸的文件同步机制，将所述响应文件通过第二网闸同步到所述第一网闸，所述第一ICAP服务器自动从所述第一网闸加载所述响应文件，获得所述http响应数据包，发送给所述第一web代理服务器。

为解决上述技术问题，本发明提供了一种基于Web代理的网闸穿透系统，该系统包括第一网络和第二网络；其中，该第一网络包括用户终端、第一ICAP服务器、第一web代理服务器、第一网闸；第二网络包括第二ICAP服务器、第二web代理服务器、第二网闸和目标服务器；该系统通过执行上述方法实现终端用户向所述目标服务器发起http请求。

为解决上述技术问题，本发明提供了一种基于Web代理的网闸穿透系统，该系统包括第一网络和第二网络；其中，该第一网络包括用户终端、第一ICAP服务器、第一web代理服务器、第一网闸；第二网络包括第二ICAP服务器、第二web代理服务器、第二网闸和目标服务器；该系统通过执行上述方法实现终端用户接收所述目标服务器返回的http响应数据包。

通过本发明的技术方案取得了以下技术效果：

通过本发明提出的跨网闸web数据传输方案，简单易行，便于实施。由于只在L7层做数据处理，因此该方案实际运行结果文档可靠精准。采用该方案能快速实现网闸隔离网两端的web数据传输，实用性高，运行可靠稳定。

附图说明

图1是本发明发送http请求的流程图

图2是本发明返回http响应的流程图

具体实施方式

名词解释：

Web代理(Web Proxy):就是代理网络用户去取得网络信息的服务器。形象的说：它是网络信息的中转站。

网闸(GAP):全称安全隔离网闸,是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。由于网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议"摆渡"，且对固态存储介质只有"读"和"写"两个命令。所以，网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使"黑客"无法入侵、无法攻击、无法破坏，实现了真正的安全。

DLP:Data Loss Prevention数据丢失防护，或称数据泄漏防护(Data LeakagePrevention)是目前信息领域主流的企业信息安全和数据防护系统的名称。DLP是通过一定的数据处理和分析方法，结合企业的信息安全管理策略，对企业中所有电子信息和数据进行分类分级管控，防止企业中的信息资产或关键数据流失、泄密或非受控扩散。

图1展示了本发明的发送http请求的流程图。

上图中，单次的web数据访问包含请求过程和响应过程，只要web请求的数据内容，能发送到网闸对端的服务器，而且服务器返回的响应内容能发送回来，则单次的web数据访问过程实现。。实现单次的http请求后，只要对请求或响应数据添加序列号标签，就可完成整个web访问。下面以涉密网络通过网闸去访问互联网资源为例，说明实现单次http请求的过程。其中，第I类网络为外网，互联网，第II类网络为内网，保密网络。

web请求数据跨网闸实现过程包含以下过程：

1)内网的应用(如用户浏览器)向目标网站服务器发起http请求。

2)通过在网络内部署代理服务器的方式，使得http请求发送到http代理服务器，http代理服务器能够得到http请求的完整数据包。

3)代理服务器将http请求数据包(所述http请求数据包是http请求这个动作所产生的数据)通过ICAP协议，发送给ICAP服务器。ICAP协议是用来审计http内容的标准协议。ICAP服务器能够获得http数据包的完整内容。

4)ICAP服务器把收到的数据存成文件，放到网闸监控的目录内。

5)通过单向网闸的文件同步机制，从II类网络的内网网闸将文件同步到第I网络的外网网闸，从而将文件发送到外网。

内网网闸发现监控目录内容变动，将新增的文件发送到外网网闸指定目录。

除了可以通过ICAP协议转存成文件的方式，也可通过jms方式替换，或者两端的web代理服务器直接通过tcp socket连接来实现将文件从第II类网络发送到第I类网络。

6)外网网闸监控特定目录，内容发生变化后，将新增文件内容发送给ICAP服务器。

7)外网ICAP服务器收到内网的HTTP请求数据后，将数据发送给外网的HTTP代理服务器。

8)外网HTTP代理服务器收到内网的HTTP请求数据后，将请求数据发送给目标网站服务器。

9)内网的HTTP请求到达目标网站服务器。

附图1中的系统包括第一网络和第二网络；其中，该第一网络包括用户终端，第一ICAP服务器，第一web代理服务器，第一网闸；第二网络包括第二网闸，第二ICAP服务器，第二web代理服务器和目标服务器；该系统通过执行上述方法实现终端用户向所述目标服务器发起http请求。

图2展示了本发明接收http响应数据包的流程图。

主要包括以下步骤：

1)目标网站服务器(比如www.baidu.com)收到请求数据包后，目标因特网网站产生HTTP响应。

2)HTTP响应数据由目标网站发送给外网HTTP代理服务器。

3)web代理服务器得到目标网站服务器的http响应数据后，通过ICAP协议发给外网ICAP服务器。

4)ICAP服务器收到完整http响应数据包后，将http响应数据包存成文件，通过单向网闸同步机制从第II类网络的外网网闸同步到内网的外网网闸。

除了可以通过ICAP协议转存成文件的方式，也可通过jms方式替换，或者两端的web代理服务器直接通过tcp socket连接来实现http响应数据包的传送。

外网ICAP服务器把收到的响应数据存成文件，放到网闸监控的目录内。

5)内网网闸监控特定目录，内容发生变化后，将新增文件内容发送给内网的ICAP服务器。

6)内网网闸监控特定目录，内容发生变化后，将新增文件内容发送给内网的ICAP服务器。

7)内网HTTP代理收到来自外网的HTTP响应数据后，将响应数据发送给内网的用户浏览器。

8)内网的浏览器将接收到的HTTP响应展现出来。

附图2中的系统包括第一网络和第二网络；其中，该第一网络包括用户终端，第一ICAP服务器，第一web代理服务器，第一网闸；第二网络包括第二网闸，第二ICAP服务器，第二web代理服务器和目标服务器；该系统通过执行上述方法实现终端用户接收所述目标服务器返回的http响应数据包。

下面举例一个具体的应用场景。

某手机应用软件部署到了某保密内网。该保密内网和外部网是通过网闸隔离的。该手机应用需要通过百度地图获取手机自身的位置，因此需要访问互联网从而得到百度地图的响应数据。通过该发明的方案成功实现任务。

1)将保密内网中该手机应用对百度地图的请求数据重定向到该保密内网中的web代理。

2)Web代理通过ICAP服务器将请求数据保存成文件

3)请求数据通过网闸同步到外部网。

4)外部网的ICAP读取文件，提交web代理，发给百度地图服务器。

5)百度地图返回结果沿同路径返回，最终发回给给保密内网的手机应用软件。

本发明提出的方案，主要针对web数据的透明传输和方便实施。抛弃了复杂的TCP层数据包的解析和协议解析还原等底层问题。解决了移动互联和网络互联面对网闸隔离网络真实场景的数据透明传输问题。提出了一种新型的、简单方便、透明可靠的web数据的跨网闸传输方法。

(1)实现web数据跨网闸透明可靠传输。本方案通过web代理将http请求或响应数据直接存为文本文件。通过网闸同步机制传输到网闸另一端后，另一端的web代理直接将http请求或响应数据转发。由于不对tcp数据包做处理，也不涉及协议解析还原等复杂过程，因此传输可靠。

(2)对网闸设备的适配性好。文件同步机制，是网闸的基本功能，不涉及TCP、UDP、JMS等协议或服务调用。本方案仅使用网闸的文件同步机制，因此，本专利方案对网闸的可适配性好。

(3)本方案更适合实现web数据通讯。Web应用是移动互联和网络互联的焦点。移动互联和web互联的实际业务过程中，基本所有数据都是web数据。简单可靠的实现web数据的跨网闸传输才具有实际应用价值。

(4)使用ICAP协议，将web代理的接收到的web请求和响应直接转存成文本文件，不需要对普通的web代理进行特定修改。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims (9)

1.一种基于web代理的网闸穿透方法，包括以下步骤：

1)第一网络的终端用户向第二网络的目标服务器发起http请求；

2)将所述http请求发送到第一web代理服务器；

3)所述第一web代理服务器将所述http请求相应的http请求数据包通过icap(Internet Content Adaptation Protocol)协议，发送给第一icap服务器；

4)所述第一icap服务器将所述http请求数据包的内容保存为请求文件；

5)将所述请求文件通过位于第一网络的第一网闸发送到位于第二网络的第二网闸；

6)所述第二网络的第二icap服务器从所述第二网闸自动加载所述请求文件，伪造出所述http请求，并发送给所述第二网络的第二web代理服务器；

7)所述第二web代理服务器将该http请求发送给所述目标服务器。

2.根据权利要求1所述的方法，所述第一网络与第二网络通过网闸隔离，所述第一网络是保密网络，所述第二网络是互联网。

3.根据权利要求1所述的方法，所述第一、二icap服务器是遵循icap协议的服务器，所述icap协议用于审计所述http请求。

4.根据权利要求1所述的方法，所述步骤5)通过单向网闸的文件同步机制，将所述文件从所述第一网闸同步到所述第二网闸。

5.根据权利要求1所述的方法，还包括以下步骤：

8)所述目标服务器收到所述http请求后，返回http响应数据包给所述第二web代理服务器；

9)所述第二web代理服务器将所述http响应数据包通过第二icap服务器、第二网闸、第一网闸、第一icap服务器发送给所述第一web代理服务器，由所述第一web代理服务器将所述http响应数据包发送给所述终端用户。

6.根据权利要求5所述的方法，所述步骤9)具体包括：所述第二web代理服务器将所述http响应数据包通过icap协议发给所述第二icap服务器；所述第二icap服务器收到所述http响应数据包后，发送给所述第一网络，所述第一icap服务器获得所述http响应数据包后，转发给所述第一web代理服务器。

7.根据权利要求6所述的方法，所述第二icap服务器通过以下方式将所述http响应数据包发送给所述第一网络：所述第二icap服务器接收到的所述http响应数据包后，将其保存为响应文件，通过单向网闸的文件同步机制，将所述响应文件通过第二网闸同步到所述第一网闸，所述第一icap服务器自动从所述第一网闸加载所述响应文件，获得所述http响应数据包，发送给所述第一web代理服务器。

8.一种基于Web代理的网闸穿透系统，该系统包括第一网络和第二网络；其中，该第一网络包括用户终端、第一icap服务器、第一web代理服务器、第一网闸；第二网络包括第二icap服务器、第二web代理服务器、第二网闸和目标服务器；该系统通过执行如权利要求1-4任一项的方法实现终端用户向所述目标服务器发起http请求。

9.一种基于Web代理的网闸穿透系统，该系统包括第一网络和第二网络；其中，该第一网络包括用户终端、第一icap服务器、第一web代理服务器、第一网闸；第二网络包括第二icap服务器、第二web代理服务器、第二网闸和目标服务器；该系统通过执行如权利要求5-7任一项的方法实现终端用户接收所述目标服务器返回的http响应数据包。