CN110049024B - 一种数据传输方法、中转服务器及接入网点服务器 - Google Patents

一种数据传输方法、中转服务器及接入网点服务器 Download PDF

Info

Publication number
CN110049024B
CN110049024B CN201910251968.4A CN201910251968A CN110049024B CN 110049024 B CN110049024 B CN 110049024B CN 201910251968 A CN201910251968 A CN 201910251968A CN 110049024 B CN110049024 B CN 110049024B
Authority
CN
China
Prior art keywords
server
central
website
tcp connection
acceleration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201910251968.4A
Other languages
English (en)
Other versions
CN110049024A (zh
Inventor
李俊龙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Wangsu Science and Technology Co Ltd
Original Assignee
Wangsu Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wangsu Science and Technology Co Ltd filed Critical Wangsu Science and Technology Co Ltd
Priority to CN201910251968.4A priority Critical patent/CN110049024B/zh
Publication of CN110049024A publication Critical patent/CN110049024A/zh
Application granted granted Critical
Publication of CN110049024B publication Critical patent/CN110049024B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/163—In-band adaptation of TCP data exchange; In-band control procedures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds

Abstract

本发明公开了一种数据传输方法、中转服务器及接入网点服务器，其中，所述方法包括：与中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储；与加速服务器建立第二TCP连接，并通过所述第二TCP连接接收所述加速服务器转发的指向所述中心网点服务器的SSL连接请求；根据中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。本申请提供的技术方案，能够提高数据传输的安全性。

Description

一种数据传输方法、中转服务器及接入网点服务器
技术领域
本发明涉及互联网技术领域，特别涉及一种数据传输方法、中转服务器及接入网点服务器。
背景技术
目前，为了提高网络数据传输的安全性，VPN(Virtual Private Network，虚拟专用网络)技术被越来越多地使用。请参阅图1，为了节省VPN系统的部署成本，当前通常需要在公网部署一台公网服务器。VPN系统中需要进行数据交互的两端(客户端和内网设备)，可以分别通过加密链路连接至该公网服务器，从而通过该公网服务器实现数据的交换。
然而，这样的数据传输方式会存在安全隐患，原因在于，公网服务器内中转的数据，都需要解密为明文，一旦公网服务器被入侵，客户端和内网设备之间传输的数据便会泄露。因此，现有技术中的这种数据传输方式，无法保证通信双方的数据安全。
发明内容
本申请的目的在于提供一种数据传输方法、中转服务器及接入网点服务器，能够提高数据传输的安全性。
为实现上述目的，本申请一方面提供一种数据传输方法，所述数据传输方法应用于中转服务器中，所述方法包括：响应于中心网点服务器发起的TCP连接请求，与所述中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储；响应于加速服务器发起的TCP连接请求，与所述加速服务器建立第二TCP连接，并通过所述第二TCP连接接收所述加速服务器转发的指向所述中心网点服务器的SSL连接请求；其中，所述SSL连接请求由接入网点服务器发起，所述SSL连接请求中包括服务端名称指示信息，所述服务端名称指示信息中携带所述中心网点服务器的网点标识；根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
为实现上述目的，本申请另一方面还提供一种中转服务器，所述中转服务器包括：第一TCP连接建立单元，用于响应于中心网点服务器发起的TCP连接请求，与所述中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储；第二TCP连接建立单元，用于响应于加速服务器发起的TCP连接请求，与所述加速服务器建立第二TCP连接，并通过所述第二TCP连接接收所述加速服务器转发的指向所述中心网点服务器的SSL连接请求；其中，所述SSL连接请求由接入网点服务器发起，所述SSL连接请求中包括服务端名称指示信息，所述服务端名称指示信息中携带所述中心网点服务器的网点标识；连接绑定单元，用于根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
为实现上述目的，本申请另一方面还提供一种中转服务器，所述中转服务器包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，实现上述的数据传输方法。
为实现上述目的，本申请另一方面还提供一种数据传输方法，所述数据传输方法应用于接入网点服务器中，所述方法包括：从控制中心服务器处获取连接配置信息，所述连接配置信息中至少包括加速服务器的域名以及待连接的中心网点服务器的网点标识；向所述控制中心服务器查询所述网点标识关联的中转服务器的通信接口，所述中转服务器的通信接口包括所述中转服务器的IP地址和端口号；基于所述接入网点服务器对应的客户信息，以及所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成服务端名称指示信息，并根据所述加速服务器的域名，向所述加速服务器发起指向所述中心网点服务器的SSL连接请求，所述SSL连接请求中携带所述服务端名称指示信息，以使得所述加速服务器根据所述SSL连接请求，与所述中转服务器建立TCP连接；向所述加速服务器发送加密数据，以通过所述加速服务器和所述中转服务器，将所述加密数据发送至所述中心网点服务器。
为实现上述目的，本申请另一方面还提供一种接入网点服务器，所述接入网点服务器包括：连接配置信息获取单元，用于从控制中心服务器处获取连接配置信息，所述连接配置信息中至少包括加速服务器的域名以及待连接的中心网点服务器的网点标识；中转服务器查询单元，用于向所述控制中心服务器查询所述网点标识关联的中转服务器的通信接口，所述中转服务器的通信接口包括所述中转服务器的IP地址和端口号；连接请求发起单元，用于基于所述接入网点服务器对应的客户信息，以及所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成服务端名称指示信息，并根据所述加速服务器的域名，向所述加速服务器发起指向所述中心网点服务器的SSL连接请求，所述SSL连接请求中携带所述服务端名称指示信息，以使得所述加速服务器根据所述SSL连接请求，与所述中转服务器建立TCP连接；数据传输单元，用于向所述加速服务器发送加密数据，以通过所述加速服务器和所述中转服务器，将所述加密数据发送至所述中心网点服务器。
为实现上述目的，本申请另一方面还提供一种接入网点服务器，所述接入网点服务器包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，实现上述的数据传输方法。
由上可见，本申请提供的技术方案，在中心网点服务器和接入网点服务器之间可以通过中转服务器和加速服务器进行数据中转。其中，中转服务器可以响应于中心网点服务器的TCP连接请求，与中心网点服务器之间建立第一TCP连接。此外，接入网点服务器可以向加速服务器发起指向中心网点服务器的SSL连接请求，加速服务器响应于该SSL连接请求，可以与中转服务器之间建立第二TCP连接，这样，接入网点服务器、加速服务器、中转服务器以及中心网点服务器之间，便可以建立起一条虚拟的SSL链路。同时，通过中心网点服务器的网点标识，中转服务器可以将以上建立的第一TCP连接和第二TCP连接进行绑定，这样，接入网点服务器和中心网点服务器之间传输的加密数据，便可以通过第一TCP连接和第二TCP连接进行传输，不会导致数据错乱。对于加速服务器和中转服务器而言，并不需要对数据进行解密，而只是单纯地通过TCP连接将中心网点服务器和接入网点服务器之间的加密数据进行转发。这样，即使处于公网环境中的加速服务器和中转服务器被入侵，入侵者也只能获取到加密的数据，而并不能获取到数据明文，从而提高了数据传输的安全性。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是现有技术中VPN系统的架构示意图；
图2是本发明实施方式中VPN系统的架构示意图；
图3是本发明实施方式中中转服务器的数据传输方法的流程图；
图4是本发明实施方式中中转服务器和中心网点服务器之间的交互示意图；
图5是本发明实施方式中中转服务器的结构示意图；
图6是本发明实施方式中接入网点服务器的数据传输方法的流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。
本申请提供一种数据传输方法，所述方法可以应用于如图2所示的系统架构中。在该系统架构中，可以包括控制中心服务器、中心网点服务器、中转服务器、加速服务器以及接入网点服务器。其中，中心网点服务器和接入网点服务器可以是进行数据通信的双方。所述中心网点服务器中可以存储内部资源，所述接入网点服务器则可以是访问内部资源的客户端所接入的服务器。所述加速服务器可以是部署于接入网点服务器附近的服务器，该加速服务器可以为接入网点服务器提供加速服务，以稳定接入网点服务器到中心网点服务器之间的网络通信质量。在实际应用中，所述加速服务器可以是CDN(Content DeliveryNetwork，内容分发网络)中的边缘节点服务器，接入网点服务器可以根据自身所处的网络环境和地理位置，选择就近的加速服务器进行连接。所述中转服务器可以用于转发接入网点服务器与中心网点服务器之间的数据。所述控制中心服务器，则可以存储其它各个服务器的配置信息，以便于其它各个服务器能够彼此建立通信连接。上述的接入网点服务器和中心网点服务器，都可以由VPN系统的拥有方管理。例如，当前某个企业的内部资源可以存储于中心网点服务器中，该企业在不同地区可以部署接入网点服务器，以便于在外工作的员工能够通过VPN系统访问企业的内部资源。也就是说，接入网点服务器和中心网点服务器可以作为企业的内部服务器，由企业保证服务器的安全性。而中转服务器和加速服务器，通常是处于公网环境中，因此面临的入侵威胁更大。
在本申请中，为了防止数据在中转服务器和加速服务器中泄露，一方面可以在中心网点服务器和接入网点服务器处对准备传输的数据进行加密，从而保证到达加速服务器和中转服务器的数据都是经过加密的数据。另一方面，中转服务器和加速服务器只负责数据的转发，并不进行额外的解密步骤。这样，就算中转服务器和加速服务器被入侵，入侵者也只能获取到加密的数据。
本申请一个实施方式提供的数据传输的方法，可以应用于上述的中转服务器中，请参阅图3，所述方法可以包括以下步骤。
S11：响应于中心网点服务器发起的TCP连接请求，与所述中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储。
在本实施方式中，中心网点服务器可以从控制中心服务器中获取配置信息，该配置信息可以包括中心网点服务器的网点标识、当前可连接的中转服务器的域名、数据传输时采用的加密秘钥等内容。其中，中心网点服务器的网点标识可以是能够唯一表征该中心网点服务器的字符串。
在本实施方式中，中心网点服务器获取到配置信息后，可以解析其中的各项内容，针对当前可连接的中转服务器，中心网点服务器可以通过DNS(Domain Name System，域名系统)解析，将中转服务器的域名解析为对应的IP地址，并可以向解析得到的IP地址发送TCP连接请求。
请参阅图4，中转服务器接收到中心网点服务器发来的TCP连接请求后，可以通过常规的三次握手过程，与中心网点服务器建立第一TCP连接。然后，中转服务器还可以进一步地验证中心网点服务器的身份。具体地，如图4所示，中转服务器可以生成一个随机数，并将该随机数通过与中心网点服务器协商得到的加密算法进行加密，然后可以将加密后的随机数下发给中心网点服务器。中心网点服务器接收到中转服务器下发的加密数据后，可以按照协商得到的解密算法，从该加密数据中提取出对应的随机数。然后，中心网点服务器可以将提取出的随机数、自身的网点标识以及自身的注册序列号按照指定的格式和顺序进行组合，并对组合后的数据进行加密后，得到验证数据。该验证数据可以由中心网点服务器反馈给中转服务器。后续，中转服务器可以对该验证数据进行解密，并提取出其中的随机数、网点标识、注册序列号等各项信息，并逐一判断这些信息的正确性。具体地，中转服务器可以判断所述中心网点服务器反馈的随机数是否与下发至所述中心网点服务器的随机数一致，此外，还可以将所述中心网点服务器的网点标识和所述中心网点服务器的注册序列号上报至控制中心服务器，以通过控制中心服务器判断所述网点标识和所述注册序列号是否合法。若所述中心网点服务器反馈的随机数与下发至所述中心网点服务器的随机数一致，并且控制中心服务器反馈的信息表明所述网点标识和所述注册序列号均合法，那么中转服务器可以判定所述验证数据通过校验。
在本实施方式中，在对中心网点服务器的身份验证通过后，中转服务器便可以将建立的第一TCP连接与该中心网点服务器的网点标识进行关联存储。具体地，中转服务器内可以预先维护一个连接池，在该连接池中，可以存放通过身份验证的各个中心网点服务器的TCP连接。在该连接池中，可以将中心网点服务器的网点标识作为键(key)，将中心网点服务器对应的TCP连接作为值(value)，从而通过键值对(key-value)的方式将TCP连接和网点标识进行关联存储。后续，通过中心网点服务器的网点标识，便可以快速查询到对应的TCP连接。
在本实施方式中，当中心网点服务器与中转服务器之间建立第一TCP连接之后，中心网点服务器便可以转入SSL(Secure Sockets Layer，安全套接层)服务端状态，等待接入网点服务器发起的SSL连接请求。此外，中心网点服务器还可以将自身的网点标识和当前建立第一TCP连接的中转服务器的IP地址一并上报至控制中心服务器，这样，控制中心服务器可以建立中心网点服务器的网点标识和对应的中转服务器的IP地址之间的关联关系，以供后续其它服务器进行查询。在实际应用中，中心网点服务器还可以一并上报建立TCP连接的中转服务器的端口号，这样，中心网点服务器的网点标识、与该中心网点服务器建立TCP连接的中转服务器的IP地址、端口号之间便可以构成关联关系，该关联关系可以被控制中心服务器存储。
S13：接收加速服务器转发的指向所述中心网点服务器的SSL连接请求，并响应于所述SSL连接请求，与所述加速服务器建立第二TCP连接；其中，所述SSL连接请求由接入网点服务器发起，所述SSL连接请求中包括服务端名称指示信息，所述服务端名称指示信息中携带所述中心网点服务器的网点标识。
在本实施方式中，接入网点服务器可以主动地向中心网点服务器发起SSL连接请求。具体地，接入网点服务器可以向中心网点服务器发送客户问候信息(ClientHello)，接着，中心网点服务器可以向接入网点服务器反馈服务端问候信息(ServerHello)。然后，中心网点服务器和接入网点服务器之间可以进行证书验证等步骤，从而建立起SSL连接。由于在接入网点服务器和中心网点服务器之间存在加速服务器和中转服务器，因此上述的过程需要进行一定的改进。
具体地，接入网点服务器首先可以从控制中心服务器处获取连接配置信息，该连接配置信息中可以包括加速服务器的域名以及待连接的中心网点服务器的网点标识等内容。后续，接入网点服务器可以通过DNS解析，将加速服务器的域名解析为对应的IP地址，并将解析得到的所述IP地址作为目的IP地址，从而可以向所述目的IP地址处发送指向所述中心网点服务器的SSL连接请求。
在发送SSL连接请求时，为了有效地区分不同接入网点服务器或者接入客户端的连接，可以在客户问候信息中添加服务端名称指示信息(Server Name Indication，SNI)。具体地，接入网点服务器可以从连接配置信息中提取出待连接的中心网点服务器的网点标识，并将该网点标识发送至控制中心服务器。由于在控制中心服务器内存储了网点标识与对应的中转服务器的IP地址之间的关联关系，因此控制中心服务器可以根据接收到的网点标识，查询到对应的中转服务器的IP地址以及端口号，并可以将查询得到的中转服务器的IP地址和端口号作为网点标识关联的中转服务器的通信接口反馈给接入网点服务器。
接入网点服务器接收到控制中心服务器反馈的中转服务器的IP地址和端口号之后，便可以知晓通往中心网点服务器的链路上所需经过的是哪个中转服务器。这样，接入网点服务器可以基于自身的客户信息，以及控制中心服务器反馈的所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成SNI。需要说明的是，接入网点服务器需要连接的中转服务器的端口是由控制中心服务器下发的，该端口与中心网点服务器连接至中转服务器的端口不同。这样，中转服务器可以通过不同的端口，来区分当前的连接时来自中心网点服务器，还是来自接入网点服务器(或者加速服务器)。举例来说，中转服务器与中心网点服务器之间的端口号可以是6021，而中转服务器与接入网点服务器(或者加速服务器)之间的端口号可以是6022。其中，所述接入网点服务器自身的客户信息，可以表征所述接入网点服务器，或者可以表征与所述接入网点服务器相连接的接入客户端。在一个应用示例中，生成的SNI可以具备以下格式：
客户信息/中心网点服务器的网点标识/中转服务器的IP地址：端口号
在本实施方式中，在生成SNI后，接入网点服务器可以对所述SNI进行加密和编码，并将加密和编码后的SNI写入客户问候信息中，从而得到指向所述中心网点服务器的SSL连接请求。该SSL连接请求可以被接入网点服务器通过DNS解析的方式发送至加速服务器处。
在本实施方式中，加速服务器接收到SSL连接请求后，可以提取出其中的SNI，并对SNI进行解码和解密，从而识别出其中的客户信息、中心网点服务器的网点标识以及中转服务器的通信接口等信息。这样，根据识别出的中转服务器的通信接口，加速服务器便知晓该SSL连接请求后续应当转发给哪个中转服务器。
具体地，根据识别出的中转服务器的通信接口，加速服务器可以向该中转服务器发起TCP连接请求，从而通过三次握手过程，在加速服务器和中转服务器之间建立第二TCP连接。后续，加速服务器便可以将接收到的SSL连接请求通过所述第二TCP连接转发给中转服务器。
S15：根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
在本实施方式中，中转服务器接收到加速服务器发来的SSL连接请求后，可以从客户问候信息中提取出加密和编码的SNI数据，并可以对提取出的数据进行解码和解密，从而还原出SNI的内容。在还原得到的SNI中，中转服务器可以进一步识别出该SSL连接请求指向的中心网点服务器的网点标识。
在步骤S11中，中转服务器内已经关联存储了第一TCP连接和对应的中心网点服务器的网点标识，这样，根据从还原得到的SNI中识别的中心网点服务器的网点标识，便可以从中转服务器的预设连接池中获取所述中心网点服务器的网点标识关联的第一TCP连接。这样，由于第二TCP连接也是与中心网点服务器相关联，因此，中转服务器可以将获取的所述第一TCP连接与所述第二TCP连接进行绑定，后续便可以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
具体地，当通过所述第一TCP连接接收到所述中心网点服务器发来的加密数据后，中转服务器可以将所述加密数据通过所述第二TCP连接转发至所述加速服务器。此外，当通过所述第二TCP连接接收到所述加速服务器发来的加密数据后，中转服务器也可以将所述加密数据通过所述第一TCP连接转发至所述中心网点服务器。这样，便可以实现中心网点服务器和接入网点服务器之间加密数据的透传。
由此可见，通过上述的步骤，在接入网点服务器和中心网点服务器之间可以建立一条虚拟的SSL连接，该虚拟的SSL连接，是由加速服务器和中转服务器共同实现的。对于接入网点服务器和中心网点服务器而言，由于发出和接收到的数据都是经过加密的，因此加速服务器和中转服务器实现的传输链路可以视为经过加密的SSL链路。而对于加速服务器和中转服务器而言，由于不需要进行数据解密，而仅仅通过TCP连接传输加密后的数据，因此加速服务器和中转服务器都可以进行数据的透明(transparent)传输。
本申请提供的技术方案，由于接入网点服务器接入的是CDN边缘的加速服务器，加速服务器可以通过加速网络连接到中转服务器，从而可以减缓公网中的高延时、高丢包率等网络环境的影响。此外，通过对SNI信息进行加密，可以防止未授权的客户访问中转服务器和加速服务器，从而可以有效保障VPN网络的安全。
本申请在接入网点服务器和中心网点服务器之间建立虚拟SSL链路后，数据是在整个中间路径是加密的，可以避免传统的公网服务器对数据进行解密后再中转导致的数据泄密的风险，从而可以有效地提高的数据的安全性。此外，由于省去了公网服务器的加解密流程，可有效减少加解密时间消耗，从而提高数据的访问速度。
本申请还提供一种中转服务器，所述中转服务器包括：
第一TCP连接建立单元，用于响应于中心网点服务器发起的TCP连接请求，与所述中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储；
第二TCP连接建立单元，用于响应于加速服务器发起的TCP连接请求，与所述加速服务器建立第二TCP连接，并通过所述第二TCP连接接收所述加速服务器转发的指向所述中心网点服务器的SSL连接请求；其中，所述SSL连接请求由接入网点服务器发起，所述SSL连接请求中包括服务端名称指示信息，所述服务端名称指示信息中携带所述中心网点服务器的网点标识；
连接绑定单元，用于根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
请参阅图5，本申请还提供一种中转服务器，所述中转服务器包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，可以实现上述应用于中转服务器内的数据传输方法。
本申请还提供一种应用于上述接入网点服务器内的数据传输方法，请参阅图6，所述方法可以包括以下步骤。
S21：从控制中心服务器处获取连接配置信息，所述连接配置信息中至少包括加速服务器的域名以及待连接的中心网点服务器的网点标识。
S23：向所述控制中心服务器查询所述网点标识关联的中转服务器的通信接口，所述中转服务器的通信接口包括所述中转服务器的IP地址和端口号。
S25：基于所述接入网点服务器对应的客户信息，以及所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成服务端名称指示信息，并根据所述加速服务器的域名，向所述加速服务器发起指向所述中心网点服务器的SSL连接请求，所述SSL连接请求中携带所述服务端名称指示信息，以使得所述加速服务器根据所述SSL连接请求，与所述中转服务器建立TCP连接。
S27：向所述加速服务器发送加密数据，以通过所述加速服务器和所述中转服务器，将所述加密数据发送至所述中心网点服务器。
在本实施方式中，接入网点服务器可以主动地向中心网点服务器发起SSL连接请求。具体地，接入网点服务器可以向中心网点服务器发送客户问候信息(ClientHello)，接着，中心网点服务器可以向接入网点服务器反馈服务端问候信息(ServerHello)。然后，中心网点服务器和接入网点服务器之间可以进行证书验证等步骤，从而建立起SSL连接。由于在接入网点服务器和中心网点服务器之间存在加速服务器和中转服务器，因此上述的过程需要进行一定的改进。
在本实施方式中，接入网点服务器首先可以从控制中心服务器处获取连接配置信息，该连接配置信息中可以包括加速服务器的域名以及待连接的中心网点服务器的网点标识等内容。后续，接入网点服务器可以通过DNS解析，将加速服务器的域名解析为对应的IP地址，并将解析得到的所述IP地址作为目的IP地址，从而可以向所述目的IP地址处发送指向所述中心网点服务器的SSL连接请求。
在发送SSL连接请求时，为了有效地区分不同接入网点服务器或者接入客户端的连接，可以在客户问候信息中添加服务端名称指示信息(Server Name Indication，SNI)。具体地，接入网点服务器可以从连接配置信息中提取出待连接的中心网点服务器的网点标识，并将该网点标识发送至控制中心服务器。由于在控制中心服务器内存储了网点标识与对应的中转服务器的IP地址之间的关联关系，因此控制中心服务器可以根据接收到的网点标识，查询到对应的中转服务器的IP地址以及端口号，并可以将查询得到的中转服务器的IP地址和端口号作为网点标识关联的中转服务器的通信接口反馈给接入网点服务器。
接入网点服务器接收到控制中心服务器反馈的中转服务器的IP地址和端口号之后，便可以知晓通往中心网点服务器的链路上所需经过的是哪个中转服务器。这样，接入网点服务器可以基于自身的客户信息，以及控制中心服务器反馈的所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成SNI。其中，所述接入网点服务器自身的客户信息，可以表征所述接入网点服务器，或者可以表征与所述接入网点服务器相连接的接入客户端。在一个应用示例中，生成的SNI可以具备以下格式：
客户信息/中心网点服务器的网点标识/中转服务器的IP地址：端口号
在本实施方式中，在生成SNI后，接入网点服务器可以对所述SNI进行加密和编码，并将加密和编码后的SNI写入客户问候信息中，从而得到指向所述中心网点服务器的SSL连接请求。该SSL连接请求可以被接入网点服务器通过DNS解析的方式发送至加速服务器处。
在本实施方式中，加速服务器接收到SSL连接请求后，可以提取出其中的SNI，并对SNI进行解码和解密，从而识别出其中的客户信息、中心网点服务器的网点标识以及中转服务器的通信接口等信息。这样，根据识别出的中转服务器的通信接口，加速服务器便知晓该SSL连接请求后续应当转发给哪个中转服务器。后续，加速服务器便可以根据识别出的中转服务器的通信接口，向该中转服务器发起TCP连接请求，从而通过三次握手过程，在加速服务器和中转服务器之间建立TCP连接。
在本实施方式中，加速服务器与中转服务器之间可以建立TCP连接，中转服务器与中心网点服务器之间也可以建立TCP连接，这样，接入网点服务器可以向所述加速服务器发送加密数据，该加密数据便可以通过上述建立的TCP连接，经由所述加速服务器和所述中转服务器，被发送至所述中心网点服务器。相应地，中心网点服务器也可以向接入网点服务器发出加密数据，该加密数据同样可以通过上述建立的TCP连接，经过所述加速服务器和所述中转服务器后，被所述接入网点服务器接收。
本申请还提供一种接入网点服务器，所述接入网点服务器包括：
连接配置信息获取单元，用于从控制中心服务器处获取连接配置信息，所述连接配置信息中至少包括加速服务器的域名以及待连接的中心网点服务器的网点标识；
中转服务器查询单元，用于向所述控制中心服务器查询所述网点标识关联的中转服务器的通信接口，所述中转服务器的通信接口包括所述中转服务器的IP地址和端口号；
连接请求发起单元，用于基于所述接入网点服务器对应的客户信息，以及所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成服务端名称指示信息，并根据所述加速服务器的域名，向所述加速服务器发起指向所述中心网点服务器的SSL连接请求，所述SSL连接请求中携带所述服务端名称指示信息，以使得所述加速服务器根据所述SSL连接请求，与所述中转服务器建立TCP连接；
数据传输单元，用于向所述加速服务器发送加密数据，以通过所述加速服务器和所述中转服务器，将所述加密数据发送至所述中心网点服务器。
本申请还提供一种接入网点服务器，所述接入网点服务器包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，可以实现上述应用于接入网点服务器中的数据传输方法。
在本申请中，所述存储器可用于存储应用软件的软件程序以及模块，所述处理器通过运行存储在存储器内的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
由上可见，本申请提供的技术方案，在中心网点服务器和接入网点服务器之间可以通过中转服务器和加速服务器进行数据中转。其中，中转服务器可以响应于中心网点服务器的TCP连接请求，与中心网点服务器之间建立第一TCP连接。此外，接入网点服务器可以向加速服务器发起指向中心网点服务器的SSL连接请求，加速服务器响应于该SSL连接请求，可以与中转服务器之间建立第二TCP连接，这样，接入网点服务器、加速服务器、中转服务器以及中心网点服务器之间，便可以建立起一条虚拟的SSL链路。同时，通过中心网点服务器的网点标识，中转服务器可以将以上建立的第一TCP连接和第二TCP连接进行绑定，这样，接入网点服务器和中心网点服务器之间传输的加密数据，便可以通过第一TCP连接和第二TCP连接进行传输，不会导致数据错乱。对于加速服务器和中转服务器而言，并不需要对数据进行解密，而只是单纯地通过TCP连接将中心网点服务器和接入网点服务器之间的加密数据进行转发。这样，即使处于公网环境中的加速服务器和中转服务器被入侵，入侵者也只能获取到加密的数据，而并不能获取到数据明文，从而提高了数据传输的安全性。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件来实现。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。
以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (14)

1.一种数据传输方法，其特征在于，所述数据传输方法应用于中转服务器中，所述方法包括：
响应于中心网点服务器发起的TCP连接请求，与所述中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储；
响应于加速服务器发起的TCP连接请求，与所述加速服务器建立第二TCP连接，并通过所述第二TCP连接接收所述加速服务器转发的指向所述中心网点服务器的SSL连接请求；其中，所述SSL连接请求由接入网点服务器发起，所述SSL连接请求中包括服务端名称指示信息，所述服务端名称指示信息中携带所述中心网点服务器的网点标识以及所述中转服务器的IP地址和端口号；
根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
2.根据权利要求1所述的方法，其特征在于，将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储包括：
生成随机数，并将所述随机数加密后下发至所述中心网点服务器；
接收所述中心网点服务器反馈的验证数据，所述验证数据中至少包括所述中心网点服务器反馈的随机数；
校验所述验证数据的正确性，当所述验证数据通过校验后，将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储。
3.根据权利要求2所述的方法，其特征在于，所述验证数据中还包括所述中心网点服务器的网点标识以及所述中心网点服务器的注册序列号；
相应地，校验所述验证数据的正确性包括：
判断所述中心网点服务器反馈的随机数是否与下发至所述中心网点服务器的随机数一致；
将所述中心网点服务器的网点标识和所述中心网点服务器的注册序列号上报至控制中心服务器，以判断所述网点标识和所述注册序列号是否合法；
其中，若所述中心网点服务器反馈的随机数与下发至所述中心网点服务器的随机数一致，并且所述网点标识和所述注册序列号均合法，判定所述验证数据通过校验。
4.根据权利要求1所述的方法，其特征在于，所述第一TCP连接与所述中心网点服务器的网点标识关联存储于预设连接池中；
相应地，根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定包括：
从所述服务端名称指示信息中提取出所述中心网点服务器的网点标识，并从所述预设连接池中获取所述中心网点服务器的网点标识关联的第一TCP连接，并将获取的所述第一TCP连接与所述第二TCP连接进行绑定。
5.根据权利要求1所述的方法，其特征在于，所述服务端名称指示信息中还包括用于表征所述接入网点服务器或者与所述接入网点服务器相连接的接入客户端的客户信息。
6.根据权利要求1或5所述的方法，其特征在于，所述SSL连接请求包括客户问候消息，相应地，所述服务端名称指示信息位于所述客户问候消息中。
7.根据权利要求1所述的方法，其特征在于，通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据包括：
当通过所述第一TCP连接接收到所述中心网点服务器发来的加密数据后，将所述加密数据通过所述第二TCP连接转发至所述加速服务器，以及当通过所述第二TCP连接接收到所述加速服务器发来的加密数据后，将所述加密数据通过所述第一TCP连接转发至所述中心网点服务器。
8.一种中转服务器，其特征在于，所述中转服务器包括：
第一TCP连接建立单元，用于响应于中心网点服务器发起的TCP连接请求，与所述中心网点服务器建立第一TCP连接，并将建立的所述第一TCP连接与所述中心网点服务器的网点标识关联存储；
第二TCP连接建立单元，用于响应于加速服务器发起的TCP连接请求，与所述加速服务器建立第二TCP连接，并通过所述第二TCP连接接收所述加速服务器转发的指向所述中心网点服务器的SSL连接请求；其中，所述SSL连接请求由接入网点服务器发起，所述SSL连接请求中包括服务端名称指示信息，所述服务端名称指示信息中携带所述中心网点服务器的网点标识以及所述中转服务器的IP地址和端口号；
连接绑定单元，用于根据所述中心网点服务器的网点标识，将所述第二TCP连接和所述第一TCP连接进行绑定，以通过所述第一TCP连接和所述第二TCP连接传输所述接入网点服务器和所述中心网点服务器之间的加密数据。
9.一种中转服务器，其特征在于，所述中转服务器包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求1至7中任一所述的方法。
10.一种数据传输方法，其特征在于，所述数据传输方法应用于接入网点服务器中，所述方法包括：
从控制中心服务器处获取连接配置信息，所述连接配置信息中至少包括加速服务器的域名以及待连接的中心网点服务器的网点标识；
向所述控制中心服务器查询所述网点标识关联的中转服务器的通信接口，所述中转服务器的通信接口包括所述中转服务器的IP地址和端口号；
基于所述接入网点服务器对应的客户信息，以及所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成服务端名称指示信息，并根据所述加速服务器的域名，向所述加速服务器发起指向所述中心网点服务器的SSL连接请求，所述SSL连接请求中携带所述服务端名称指示信息，以使得所述加速服务器根据所述SSL连接请求，与所述中转服务器建立TCP连接；
向所述加速服务器发送加密数据，以通过所述加速服务器和所述中转服务器，将所述加密数据发送至所述中心网点服务器；
所述根据所述加速服务器的域名，向所述加速服务器发起指向所述中心网点服务器的SSL连接请求包括：
将所述加速服务器的域名解析为所述加速服务器的IP地址，并将解析得到的所述IP地址作为目的IP地址，向所述目的IP地址处发送指向所述中心网点服务器的SSL连接请求。
11.根据权利要求10所述的方法，其特征在于，所述方法还包括：
通过所述中转服务器和所述加速服务器，接收所述中心网点服务器发来的加密数据。
12.根据权利要求10所述的方法，其特征在于，在生成所述服务端名称指示信息后，所述方法还包括：
对所述服务端名称指示信息进行加密和编码，并将加密和编码后的服务端名称指示信息写入客户问候信息中，以得到指向所述中心网点服务器的SSL连接请求。
13.一种接入网点服务器，其特征在于，所述接入网点服务器包括：
连接配置信息获取单元，用于从控制中心服务器处获取连接配置信息，所述连接配置信息中至少包括加速服务器的域名以及待连接的中心网点服务器的网点标识；
中转服务器查询单元，用于向所述控制中心服务器查询所述网点标识关联的中转服务器的通信接口，所述中转服务器的通信接口包括所述中转服务器的IP地址和端口号；
连接请求发起单元，用于基于所述接入网点服务器对应的客户信息，以及所述中心网点服务器的网点标识和所述中转服务器的通信接口，生成服务端名称指示信息，并将所述加速服务器的域名解析为所述加速服务器的IP地址，并将解析得到的所述IP地址作为目的IP地址，向所述目的IP地址处发送指向所述中心网点服务器的SSL连接请求，所述SSL连接请求中携带所述服务端名称指示信息，以使得所述加速服务器根据所述SSL连接请求，与所述中转服务器建立TCP连接；
数据传输单元，用于向所述加速服务器发送加密数据，以通过所述加速服务器和所述中转服务器，将所述加密数据发送至所述中心网点服务器。
14.一种接入网点服务器，其特征在于，所述接入网点服务器包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求10至12中任一所述的方法。
CN201910251968.4A 2019-03-29 2019-03-29 一种数据传输方法、中转服务器及接入网点服务器 Expired - Fee Related CN110049024B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910251968.4A CN110049024B (zh) 2019-03-29 2019-03-29 一种数据传输方法、中转服务器及接入网点服务器

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910251968.4A CN110049024B (zh) 2019-03-29 2019-03-29 一种数据传输方法、中转服务器及接入网点服务器

Publications (2)

Publication Number Publication Date
CN110049024A CN110049024A (zh) 2019-07-23
CN110049024B true CN110049024B (zh) 2021-12-17

Family

ID=67275683

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910251968.4A Expired - Fee Related CN110049024B (zh) 2019-03-29 2019-03-29 一种数据传输方法、中转服务器及接入网点服务器

Country Status (1)

Country Link
CN (1) CN110049024B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110661887B (zh) * 2019-10-29 2020-12-11 中国人民解放军32039部队 通信链路的建立方法、装置、通信系统及服务器
CN112437437A (zh) * 2020-12-10 2021-03-02 深圳市天辰防务通信技术有限公司 一种利用4g网络进行点到点保密通信连接的方法及系统

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102546559A (zh) * 2010-12-29 2012-07-04 北京新媒传信科技有限公司 受限网络中端到端传输数据的方法、设备和系统
CN104035408A (zh) * 2014-06-04 2014-09-10 中国石油集团东方地球物理勘探有限责任公司 一种rtu控制器及其与scada系统通信方法
CN107181589A (zh) * 2017-04-11 2017-09-19 北京奇艺世纪科技有限公司 一种堡垒机私钥管理方法及装置
CN108494748A (zh) * 2018-03-08 2018-09-04 网宿科技股份有限公司 一种通信方法、装置及存储介质
US10069945B1 (en) * 2010-02-27 2018-09-04 Sitting Man, Llc Methods, systems, and computer program products for sharing information for detecting an idle TCP connection
CN109088892A (zh) * 2018-10-19 2018-12-25 网宿科技股份有限公司 数据传输方法、系统以及代理服务器
CN109257365A (zh) * 2018-10-12 2019-01-22 深信服科技股份有限公司 一种信息处理方法、装置、设备和存储介质

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101296238B (zh) * 2008-06-17 2011-04-20 杭州华三通信技术有限公司 一种保持安全套接层会话持续性的方法及设备
CN105763618B (zh) * 2016-03-31 2019-08-13 网宿科技股份有限公司 数据传输的方法和装置
GB2552220B (en) * 2016-07-15 2018-09-05 Openwave Mobility Inc A method for detecting a live adaptive BIT rate stream
CN108551464B (zh) * 2018-03-08 2020-12-22 网宿科技股份有限公司 一种混合云的连接建立、数据传输方法、装置和系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10069945B1 (en) * 2010-02-27 2018-09-04 Sitting Man, Llc Methods, systems, and computer program products for sharing information for detecting an idle TCP connection
CN102546559A (zh) * 2010-12-29 2012-07-04 北京新媒传信科技有限公司 受限网络中端到端传输数据的方法、设备和系统
CN104035408A (zh) * 2014-06-04 2014-09-10 中国石油集团东方地球物理勘探有限责任公司 一种rtu控制器及其与scada系统通信方法
CN107181589A (zh) * 2017-04-11 2017-09-19 北京奇艺世纪科技有限公司 一种堡垒机私钥管理方法及装置
CN108494748A (zh) * 2018-03-08 2018-09-04 网宿科技股份有限公司 一种通信方法、装置及存储介质
CN109257365A (zh) * 2018-10-12 2019-01-22 深信服科技股份有限公司 一种信息处理方法、装置、设备和存储介质
CN109088892A (zh) * 2018-10-19 2018-12-25 网宿科技股份有限公司 数据传输方法、系统以及代理服务器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SSL_VPN的设计与实现;郭铃、李伟生;《计算机技术与发展》;20070831;148-154 *

Also Published As

Publication number Publication date
CN110049024A (zh) 2019-07-23

Similar Documents

Publication Publication Date Title
CN111034150B (zh) 选择性地解密ssl/tls通信的方法和装置
EP3142327B1 (en) Intermediate network entity
US9197616B2 (en) Out-of-band session key information exchange
US7650500B2 (en) Encryption communication system
CN102347870B (zh) 一种流量安全检测方法、设备和系统
US11303431B2 (en) Method and system for performing SSL handshake
WO2019062666A1 (zh) 一种实现安全访问内部网络的系统、方法和装置
US20130312054A1 (en) Transport Layer Security Traffic Control Using Service Name Identification
CN107172074B (zh) 一种信息发送方法、处理方法及装置
US10230695B2 (en) Distribution of secure data with entitlement enforcement
CN110198297B (zh) 流量数据监控方法、装置、电子设备及计算机可读介质
US20140337967A1 (en) Data Transmission Method, System, and Apparatus
US11233777B2 (en) Efficient SSL/TLS proxy
CN113341798A (zh) 远程访问应用的方法、系统、装置、设备及存储介质
US20170317836A1 (en) Service Processing Method and Apparatus
CN105763318A (zh) 一种预共享密钥获取、分配方法及装置
CN110049024B (zh) 一种数据传输方法、中转服务器及接入网点服务器
CN103716280B (zh) 数据传输方法、服务器及系统
CN110086806B (zh) 一种厂站设备系统漏洞的扫描系统
Mayank et al. Tor traffic identification
KR101971995B1 (ko) 보안을 위한 보안 소켓 계층 복호화 방법
CN114629678B (zh) 一种基于tls的内网穿透方法及装置
CN110995730B (zh) 数据传输方法、装置、代理服务器和代理服务器集群
CN113194069A (zh) 一种基于区块链的通讯溯源方法、通讯溯源装置及介质
JP2008199420A (ja) ゲートウェイ装置および認証処理方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20211217