CN109167780B - 一种控制资源访问的方法、设备、系统和介质 - Google Patents

Abstract

本公开提供了一种控制资源访问的方法，方法包括：S1，设置白名单，白名单包括具有访问权限的第一用户地址和第一资源地址；S2，接收用户发送的数据包，解析出第二用户地址和第二资源地址，第二用户地址为用户的地址，第二资源地址为用户访问的资源的地址；S3，若第二用户地址与第一用户地址相等，且第二资源地址与第一资源地址相等，允许用户访问资源，否则，拒绝用户访问资源。

Description

一种控制资源访问的方法、设备、系统和介质

技术领域

本公开涉及互联网技术领域，具体地，涉及一种控制资源访问的方法、设备、系统和介质。

背景技术

随着互联网技术的快速发展，人们的生活方式越来越便捷的同时，人们也面临着越来越多不良信息的侵蚀，同时越来越多的个人隐私被泄露，因此，以满足我国下一代互联网业务应用和产业发展的安全保障为基本出发点，在实现用户身份真实可信、网络身份自主可靠、用户身份可追溯的前提下，对境外网站资源的访问需要做到可控，尤其是对境外学术网站资源的访问做到有效的控制。现有控制境外学术网站资源访问的方法多注重于对境外学术网站资源的检测，而缺少对用户身份的真实性检测。

嵌入用户网络身份标识的IPv6地址生成和管理系统(Network Identify andTime Generated Address，NIDTGA)实现了源地址生成和基于真实地址的身份标识和认证的功能，统一资源定位符(Uniform Resource Lcator，URL)是互联网资源和内容的标识方式，一个URL对应一个网页内容，这是实现境外学术网站访问内容过滤可控的基础。本公开提出的控制资源访问的方法支持用户IP地址和网站IP地址两种方式的过滤，并且对于单个IP地址存在多个网站的情况，采用URL匹配验证的方式进行深层次对比，通过对用户身份实名制认证进行过滤，并完成URL粗细不同层次的过滤，实现对境外学术网站的可控访问。

发明内容

本公开鉴于上述问题，提供一种控制资源访问的方法、设备、系统和介质，通过对访问流量进行过滤，能够有效地实现对国外学术网站的可控访问。

本公开的一个方面提供了一种控制资源访问的方法，包括：S1，设置白名单，该白名单包括具有访问权限的第一用户地址和第一资源地址；S2，接收用户发送的数据包，解析出第二用户地址和第二资源地址，该第二用户地址为该用户的地址，该第二资源地址为该用户访问的资源的地址；S3，若所述第二用户地址与所述第一用户地址相等，且所述第二资源地址与所述第一资源地址相等，允许该用户访问所述资源，否则，拒绝该用户访问所述资源。

可选地，所述步骤S3中，若所述第二用户地址与所述第一用户地址相等，且所述第二资源地址与所述第一资源地址相等，允许该用户访问所述资源，包括：当所述第二资源地址指向一种资源时，允许该用户访问所述资源；当所述第二资源地址指向一种以上的资源时，将所述数据包的目的URL与URL规则及URL名单进行匹配验证，验证通过，允许该用户访问所述资源，否则，拒绝该用户访问所述资源。

可选地，所述URL名单分为URL白名单和URL黑名单，将所述数据包的目的URL与URL规则及URL名单进行匹配验证包括：若所述URL规则中不包含所述目的URL，允许所述用户访问所述资源；若所述URL规则中包含所述目的URL，解析所述数据包，提取URL字符串信息，若所述URL字符串信息与所述URL黑名单不匹配，并且所述URL字符串信息与所述URL白名单匹配，允许该用户访问所述资源，否则拒绝该用户访问所述资源。

可选地，解析所述数据包，提取URL字符串信息还包括：解析所述数据包，若该数据包不是URL数据包，允许所述用户访问所述资源；若该数据包是URL数据包，提取所述URL字符串信息。

可选地，所述数据包为IPv4数据包或者IPv6数据包。

可选地，所述第一用户地址还包括该第一用户地址所属组织的整段地址块。

可选地，在所述步骤S1之前，还包括：S0，第一服务器判断所述第一用户地址是否属于第一组织，若属于该第一组织，所述第一组织认证该第一用户地址的真实源地址，否则，该第一服务器将该第一用户地址经第二服务器转发后传输至该第一用户地址所属的第二组织，该第二组织认证该第一用户地址的真实源地址；所述步骤S1包括：所述白名单保存该第一用户地址和该第一用户地址所属组织的整段地址块。

本公开另一方面还提供了一种控制资源访问的电子设备，包括：处理器；存储器，其存储有计算机可执行程序，该程序在被所述处理器执行时，使得所述处理器执行上述控制资源访问的方法。

本公开另一方面还提供了一种控制资源访问的系统，其特征在于，所述控制资源访问的系统包括：设置模块，用于设置所述白名单，该白名单定义了具有访问权限的第一用户地址和第一资源地址；接收模块，用于接收用户发送的数据包，并解析出第二用户地址和第二资源地址，该第二用户地址为该用户的地址，该第二资源地址为该用户访问的资源的地址；判断模块，用于判断所述用户是否具有访问所述资源的权限，若所述第二用户地址与所述第一用户地址相等，且所述第二资源地址与所述第一资源地址相等，允许该用户访问所述资源，否则，拒绝该用户访问所述资源。

本公开另一方面还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述控制资源访问的方法。

附图说明

图1示意性示出了本公开实施例提供的控制资源访问的方法的流程图。

图2示意性示出了本公开实施例提供的控制资源访问的方法的具体实现流程图。

图3示意性示出了本公开实施例提供的电子设备的框图。

图4示意性示出了本公开实施例提供的控制资源访问的系统的框图。

具体实施方式

根据结合附图对本公开示例性实施例的以下详细描述，本公开的其它方面、优势和突出特征对于本领域技术人员将变得显而易见。

在本公开中，术语“包括”和“含有”及其派生词意为包括而非限制；术语“或”是包含性的，意为和/或。

在本说明书中，下述用于描述本公开原理的各种实施例只是说明，不应该以任何方式解释为限制公开的范围。参照附图的下述描述用于帮助全面理解由权利要求及其等同物限定的本公开的示例性实施例。下述描述包括多种具体细节来帮助理解，但这些细节应认为仅仅是示例性的。因此，本领域普通技术人员应认识到，在不背离本公开的范围和精神的情况下，可以对本文中描述的实施例进行多种改变和修改。此外，为了清楚和简洁起见，省略了公知功能和结构的描述。此外，贯穿附图，相同参考数字用于相似功能和操作。

图1示意性示出了本公开实施例提供的控制资源访问的方法的流程图，图2示意性示出了本公开实施例提供的控制资源访问的方法的具体实现流程图。在本实施例中，以院校访问境外学术资源为例，参考图2，对图1所述方法进行详细说明，如图1所示，该方法包括如下操作：

S1，设置白名单，定义具有访问权限的用户地址和资源地址。

在操作S1中，在中央网关服务器中设置白名单，白名单中包含具有访问权限的用户地址和资源地址。

进一步地，在操作S1中，要保证加入白名单的用户地址真实、可追溯。实现用户地址真实可追溯的具体方式为：在院校接入NID地址网关服务器，院校的地址生成服务器生成用户的真实地址信息，并将该真实地址信息发送给NID地址网关服务器，NID地址网关服务器获取用户的真实地址信息，通过用户的ID和媒体访问控制(Media Access Control，MAC)地址，即通过用户的ID账号和物理地址判断用户是否为该NID地址网关服务器管辖区域内的用户，若该用户为该NID地址网关服务器管辖区域内的用户，该NID地址网关服务器验证用户的ID和MAC地址；否则，该NID地址网关服务器将该用户的真实地址信息转发到中央服务器，中央服务器判断该用户的组织归属，中央服务器将该用户的真实地址信息转发到该用户所在组织的NID地址网关服务器，该组织的NID地址网关服务器验证用户的ID和MAC地址；NID地址网关服务器根据用户的ID和MAC地址，生成真实可追溯的IPv6地址和MAC信息，即用户的IP地址。

NID地址网关服务器将生成的IP地址发送至中央网关服务器，并将该用户所在院校的整段地址块发送给中央网关服务器，中央网关服务器将该地址块中的所有地址加入白名单，该地址块中的所有地址均可访问境外资源，其中，院校的地址生成服务器和NID地址网关服务器执行上述实现用户地址真实可追溯的具体方式，以确保地址块中的每个地址也都是基于真实源地址生成。NID地址网关服务器定义具有访问权限的境外学术网站的IP地址，并将该境外学术网站的IP地址发送给中央网关服务器。

中央网关服务器接收到NID地址网关服务器发送的用户IP地址和境外学术网站IP地址，其中用户IP地址还包括用户所在院校的整段地址块中的地址，中央网关服务器将接收到的用户IP地址和境外学术网站IP地址加入白名单，允许白名单内的用户访问白名单内的境外学术网站。

S2，接收用户的数据包，解析出该用户的用户地址和该用户请求的资源地址。

在操作S2中，用户将数据包发送至地址生成服务器，数据包中包含了用户请求访问的境外学术网站的IP地址；地址生成服务器生成该用户的真实地址信息，并将用户的真实地址信息和用户的数据包发送至NID地址网关服务器；NID地址网关服务器生成真实可追溯的用户IP地址，并将该用户的IP地址和用户的数据包进行处理后发送至中央网关服务器，中央网关服务器接收到NID地址网关服务器发送的处理后的数据包，解析出数据包中的用户IP地址和用户请求访问的境外学术网站的IP地址。

S3，判断该用户是否有访问该资源的权限。

在操作S3中，中央网关服务器接收到含有用户IP地址和用户请求访问的境外学术网站的IP地址的数据包后，判断该用户是否有访问该境外学术网站的权限，若该用户具有访问该境外学术网站的权限，允许该用户访问该境外学术网站，否则，拒绝该用户访问该境外学术网站。具体地，包括以下子操作：

子操作S301，中央网关服务器判断其接收到的IP地址与白名单内的IP地址是否相同，当接收到的用户IP地址与白名单中的用户IP地址不相同，或者中央网关服务器接收到的境外学术网站IP地址与白名单中的境外学术网站IP地址不相同时，拒绝该用户访问该境外学术网站；当接收到的用户IP地址与白名单中的用户IP地址相同，并且中央网关服务器接收到的境外学术网站IP地址与白名单中的境外学术网站IP地址相同时，执行子操作S302。

子操作S302，中央网关服务器判断接收到的境外学术网站IP地址是否对应多个网页资源，当接收到的境外学术网站IP地址对应一个网页资源时，允许该用户访问该境外学术网站，当接收到的境外学术网站IP地址对应两个及以上的网页资源时，执行子操作S303。

子操作S303，在中央网关服务器的内核中创建一个URLfilter模块，定义境外学术网站的URL名单为白名单或黑名单，根据用户自定义的URL规则及名单，生成URLfilter模块可识别的URL配置文件，并将所述URL配置文件通过socket通信动态传送到中央网关服务器的内核中，注册两个hook规则函数分别挂靠到NF_IP6_FORWARD和NF_IP_FORWARD链中，获取数据包中真实的目的URL信息，并与URL配置文件中的规则及名单进行匹配过滤。

子操作S304，本实施例中URL规则为黑名单类型的规则，如将URL规则设置为“入侵攻击类”、“反动类”及“自定义类”等，目的URL不在这些类中时允许用户访问资源，否则再做进一步判断。中央网关服务器判断接收到的数据包的目的URL是否在配置文件设置的URL规则中，若目的URL不在配置文件设置的URL规则中，允许该用户访问该境外学术网站，若目的URL在配置文件设置的URL规则中，执行子操作S305。

子操作S305，中央网关服务器判断接收到的数据包是否为IPv6数据包，若接收到的数据包是IPv6数据包，执行子操作S306，若接收到的数据包不是IPv6数据包，执行子操作S308。

子操作S306，解析IPv6数据包，判断该IPv6数据包是否为URL数据包，若该IPv6数据包不是URL数据包，允许该用户访问该境外学术网站；若该IPv6数据包是URL数据包，需要进一步判断该IPv6数据包是否为TCP包，若该IPv6数据包不是TCP包，允许该用户访问该境外学术网站，否则，执行子操作S307。

子操作S307，提取IPv6数据包中的URL字符串，将该URL字符串信息与URL配置文件中的URL黑名单和URL白名单进行匹配过滤，当该URL字符串与URL黑名单不匹配并且与URL白名单匹配时，允许该用户访问该境外学术资源，当该URL字符串与URL黑名单匹配或者与URL白名单不匹配时，拒绝该用户访问该境外学术资源，然后结束操作。

子操作S308，解析IPv4数据包，判断该IPv4数据包是否为URL数据包，若该IPv4数据包不是URL数据包，允许该用户访问该境外学术网站；若该IPv4数据包是URL数据包，需要进一步判断该IPv4数据包是否为TCP包，若该IPv4数据包不是TCP包，允许该用户访问该境外学术网站，否则，执行子操作S309。

子操作S309，提取IPv4数据包中的URL字符串，将该URL字符串信息与URL配置文件中的URL黑名单和URL白名单进行匹配过滤，当该URL字符串与URL黑名单不匹配并且与URL白名单匹配时，允许该用户访问该境外学术资源，当该URL字符串与URL黑名单匹配或者与URL白名单不匹配时，拒绝该用户访问该境外学术资源。其中，URL黑名单过滤策略为数据包与URL配置文件中的URL匹配则禁止通过，不匹配则允许通过；URL白名单过滤策略为数据包与URL配置文件中的URL匹配则允许通过，不匹配则禁止通过。

如图3所示，电子设备300包括处理器310、计算机可读存储介质320。该电子设备300可以执行上面参考图1和图2描述的方法，以进行消息处理。

具体地，处理器310例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器310还可以包括用于缓存用途的板载存储器。处理器310可以是用于执行参考图1和图2描述的根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质320，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

计算机可读存储介质320可以包括计算机程序321，该计算机程序321可以包括代码/计算机可执行指令，其在由处理器310执行时使得处理器310执行例如上面结合图1和图2所描述的方法流程及其任何变形。

计算机程序321可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序321中的代码可以包括一个或多个程序模块，例如包括321A、模块321B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器310执行时，使得处理器310可以执行例如上面结合图1和图2所描述的方法流程及其任何变形。

根据本公开的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

图4示意性示出了本公开实施例提供的控制资源访问的系统的框图。

如图4所示，控制资源访问的系统400包括设置模块410、接收模块420及判断模块430。

具体地，设置模块410，用于设置白名单，该白名单定义了具有访问权限的第一用户地址和第一资源地址，其中该第一用户地址基于真实源地址生成。

接收模块420，用于接收用户发送的数据包，并解析出第二用户地址和第二资源地址，该第二用户地址为该用户的地址，该第二资源地址为该用户访问的资源的地址。

判断模块430，用于判断用户是否具有访问资源的权限，若第二用户地址与第一用户地址相等，第二资源地址与第一资源地址相等，且第二资源地址指向一个资源，允许该用户访问该资源；若第二用户地址与第一用户地址相等，第二资源地址与第一资源地址相等，且第二资源地址指向一个以上资源，将所述数据包的目的URL与URL规则及URL名单进行匹配验证，验证通过，允许该用户访问所述资源，验证不通过，拒绝该用户访问所述资源；若第二用户地址与第一用户地址不相等，或第二资源地址与第一资源地址不相等，拒绝该用户访问该资源。

可以理解的是，设置模块410、接收模块420及判断模块430可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本发明的实施例，设置模块410、接收模块420及判断模块430中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以以对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式的适当组合来实现。或者，设置模块410、接收模块420及判断模块430中的至少一个可以至少被部分地实现为计算机程序模块，当该程序被计算机运行时，可以执行相应模块的功能。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (8)

1.一种控制资源访问的方法，包括：

S0，第一服务器判断第一用户地址是否属于第一组织，若属于该第一组织，所述第一组织认证该第一用户地址的真实源地址，否则，该第一服务器将该第一用户地址经第二服务器转发后传输至该第一用户地址所属的第二组织，该第二组织认证该第一用户地址的真实源地址；

S1，设置白名单，该白名单包括具有访问权限的第一用户地址和第一资源地址，其中，所述第一用户地址还包括该第一用户地址所属组织的整段地址块；

S2，接收用户发送的数据包，解析出第二用户地址和第二资源地址，该第二用户地址为该用户的地址，该第二资源地址为该用户访问的资源的地址；

S3，若所述第二用户地址与所述第一用户地址相等，且所述第二资源地址与所述第一资源地址相等，允许该用户访问所述资源，否则，拒绝该用户访问所述资源；

其中，所述允许该用户访问所述资源，包括：

当所述第二资源地址指向一种以上的资源时，将所述数据包的目的URL与URL规则及URL名单进行匹配验证，验证通过，允许该用户访问所述资源，否则，拒绝该用户访问所述资源；

所述资源访问的方法为境外资源的访问方法。

2.根据权利要求1所述的控制资源访问的方法，所述步骤S3中，若所述第二用户地址与所述第一用户地址相等，且所述第二资源地址与所述第一资源地址相等，允许该用户访问所述资源，还包括：当所述第二资源地址指向一种资源时，允许该用户访问所述资源。

3.根据权利要求2所述的控制资源访问的方法，其中，所述URL名单分为URL白名单和URL黑名单，将所述数据包的目的URL与URL规则及URL名单进行匹配验证包括：

若所述URL规则中不包含所述目的URL，允许所述用户访问所述资源；

若所述URL规则中包含所述目的URL，解析所述数据包，提取URL字符串信息，若所述URL字符串信息与所述URL黑名单不匹配，并且所述URL字符串信息与所述URL白名单匹配，允许该用户访问所述资源，否则拒绝该用户访问所述资源。

4.根据权利要求3所述的控制资源访问的方法，其中，解析所述数据包，提取URL字符串信息还包括：

解析所述数据包，若该数据包不是URL数据包，允许所述用户访问所述资源；

若该数据包是URL数据包，提取所述URL字符串信息。

5.根据权利要求3所述的控制资源访问的方法，所述数据包为IPv4数据包或者IPv6数据包。

6.一种控制资源访问的电子设备，包括：

处理器；

存储器，其存储有计算机可执行程序，该程序在被所述处理器执行时，使得所述处理器执行如权利要求1-5中任一项所述控制资源访问的方法。

7.一种控制资源访问的系统，其特征在于，所述控制资源访问的系统包括：

第一判断模块，用于实现第一服务器判断第一用户地址是否属于第一组织，若属于该第一组织，所述第一组织认证该第一用户地址的真实源地址，否则，该第一服务器将该第一用户地址经第二服务器转发后传输至该第一用户地址所属的第二组织，该第二组织认证该第一用户地址的真实源地址；

设置模块，用于设置白名单，该白名单定义了具有访问权限的第一用户地址和第一资源地址，其中，所述第一用户地址还包括该第一用户地址所属组织的整段地址块；

接收模块，用于接收用户发送的数据包，并解析出第二用户地址和第二资源地址，该第二用户地址为该用户的地址，该第二资源地址为该用户访问的资源的地址；

第二判断模块，用于判断所述用户是否具有访问所述资源的权限，若所述第二用户地址与所述第一用户地址相等，且所述第二资源地址与所述第一资源地址相等，允许该用户访问所述资源，否则，拒绝该用户访问所述资源；

其中，所述允许该用户访问所述资源，包括：

当所述第二资源地址指向一种以上的资源时，将所述数据包的目的URL与URL规则及URL名单进行匹配验证，验证通过，允许该用户访问所述资源，否则，拒绝该用户访问所述资源；

所述资源访问的方法为境外资源的访问方法。

8.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-5中任一项所述控制资源访问的方法。

Images