CN110545320A - 一种内网数据交互方法及设备 - Google Patents

Abstract

本申请公开了一种内网数据交互方法及设备，该方法包括第一通信主体的第一代理与第二通信主体建立长连接；第一代理将第一通信主体的第一服务的第一数据加密后转发给第二通信主体。通过上述方式，本申请能够提高内网中数据交互的安全性。

Description

一种内网数据交互方法及设备

技术领域

本申请涉及计算机网络技术领域，特别是涉及一种内网数据交互方法及设备。

背景技术

随着计算机技术的迅速发展，在计算机上处理的业务也由基于单机的数学运算、文件处理，基于简单连接的内部网络的内部业务处理、办公自动化等发展到基于复杂的内部网(Intranet)、企业外部网(Extranet)、全球互联网(Internet)的企业级计算机处理系统和世界范围内的信息共享和业务处理。在系统处理能力提高的同时，系统的连接能力也在不断的提高。但在连接能力信息、流通能力提高的同时，基于网络连接的安全问题也日益突出，整体的网络安全主要表现在以下几个方面：网络的物理安全、网络拓扑结构安全、网络系统安全、应用系统安全和网络管理的安全等。

随着云的大量应用，网络的物理安全工作落到了云产商身上，而服务平台将更关注软件的网络安全，其中重点是网络的拓扑结构安全，外网访问安全，内网安全防护。其中拓扑结构安全和外网安全最容易受攻击，也越早受到重视，相对的解决方案也比较多，比较齐全。反而平台内网交互的安全问题比较突出：处于性能和方便，大多数平台服务都会选择直接使用HTTP等不加密协议交互，内网也大多互通。在理想状态下，黑客是无法访问到内网环境的，这些问题可以不考虑。但实际情况下，是无法确保只有我们的服务在云上独占一个内网和路由的，是存在被他人抓包的风险的，而此时明文交互的风险就暴露了。另外，也存在黑到一台虚机就相当于黑掉了整个平台的安全威胁。

发明内容

本申请主要解决的技术问题是提供一种内网数据交互方法及设备，能够提高内网中数据交互的安全性。

为解决上述技术问题，本申请采用的一个技术方案是：提供一种内网数据交互方法，该方法包括第一通信主体的第一代理与第二通信主体建立长连接；第一代理将第一通信主体的第一服务的第一数据加密后转发给第二通信主体；其中，第一代理独立于第一服务，第一通信主体和第二通信主体在同一内网中。

为解决上述技术问题，本申请采用的另一个技术方案是：提供一种电子设备，该电子设备包括处理器和通信电路，处理器耦接通信电路，处理器用于运行第一代理和第一服务以实现上述的内网数据交互方法。

为解决上述技术问题，本申请采用的另一个技术方案是：提供一种具有存储功能的装置，该装置存储有程序，该程序被执行时能够实现上述的内网数据交互方法。

本申请的有益效果是：区别于现有技术的情况，本申请同一内网中的不同设备上的服务程序通过独立运行的代理程序来发送和接收数据，这样能够提高数据传输的安全性。且设备之间可开启连接复用，防止性能下降。另外该方案只需要调整路由配置，不需要修改代码，能够降低升级改造成本。

附图说明

图1是本申请内网数据交互方法第一实施方式的流程示意图；

图2是本申请内网数据交互方法第二实施方式的流程示意图；

图3是本申请代理的配置管理方法第一实施方式的流程示意图；

图4是本申请内网数据交互方法第四实施方式的流程示意图；

图5是本申请电子设备第一实施方式的结构示意图；

图6是本申请具有存储功能的装置第一实施方式的结构示意图。

具体实施方式

为使本申请的目的、技术方案及效果更加清楚、明确，以下参照附图并举实施例对本申请进一步详细说明。

本申请提供一种内网交互方法，该方法中同一内网的不同设备通过独立运行的代理程序与其他节点的服务程序进行数据交互，能够提高数据传输的安全性。

请参阅图1，图1是本申请内网数据交互方法第一实施方式的流程示意图。在该实施方式中，内网数据交互方法包括如下步骤：

S110：第一通信主体的第一代理与第二通信主体建立长连接。

第一代理独立于第一服务，第一代理为独立运行的程序，是本机各个服务程序与其他设备之间进行数据交互的桥梁、中介，当然，也可以理解为一种通信接口。第一代理可以被本机服务程序调用与其他设备或其他设备上的代理建立长连接，并为本机服务程序提供透明的数据分发和接收。第一代理与第二通信主体可以建立https长连接，第一通信主体和第二通信主体在同一内网中。

S120：第一代理将第一通信主体的第一服务的第一数据加密后转发给第二通信主体。

可以使用安全套接层协议(Secure Sockets Layer，SSL)对第一数据进行加密，以保护第一数据在传送过程中的安全。第一数据可以为通信请求、文本信息、网页、音视频媒体、文件等，第一数据在不同设备之间的传输由代理程序完成。

通过该实施方式的实施，同一内网中的不同设备上的服务程序通过独立运行的代理程序来发送和接收数据，这样能够提高数据传输的安全性。且设备之间可开启连接复用，防止性能下降。另外该方案只需要调整路由配置，不需要修改代码，能够降低升级改造成本。

在一实施方式中，第一数据发出后第二通信主体接收第一数据。第二通信主体上运行有第二代理和第二服务，第二通信主体通过第二代理接收第一数据，解密后转发给对应的第二服务。其中，第一数据中包含第二服务信息，第二代理可以根据第二服务信息将第一数据转发给对应的第二服务。当然，第二通信主体上也可以不运行第二代理，则第二通信主体通过对应的第二服务接收第一数据并解密。至此，实现了第一通信主体向第二通信主体发送第一数据的过程。第二通信主体收到第一数据后可对其进行处理给予回复，向第一通信主体发送第二数据，第二数据可以为第二服务发出的响应信息、文本信息，音视频媒体、文件等。

第一通信主体通过第一代理接收第二数据，并将第二数据解密后转发给对应的第一服务。即第一代理可以同时实现正向代理和反向代理，在发送数据时第一代理为正向代理，接收数据时，第一代理是反向代理。该实施方式中，第一通信主体的第一服务在调用独立运行的代理程序发送第一数据给第二通信主体的第二服务之后，接收第二通信主体的第二服务返回的第二数据，实现数据的相互传输。

请参阅图2，图2是本申请内网数据交互方法第二实施方式的流程示意图。在该实施方式中，内网数据交互方法包括如下步骤：

发送数据时，第一通信主体11的第一服务31将第一数据发送给第一通信主体11的第一环回端口41；第一通信主体11的第一代理21从第一通信主体11的第一环回端口41获得第一数据，加密后发送给第二通信主体12，完成第一通信主体11向第二通信主体12发送数据的过程。

环回端口是设备上的虚拟端口，地址范围为127.0.0.1至127.255.255.254，发送给环回端口的数据不会通过外部网络接口，即不会离开主机。每台设备上的代理通过本地环回端口完成与本机服务程序之间数据的接收和发送。

接收数据时，第一通信主体11的第一代理21接收第二数据，解密后将第二数据发送给第一通信主体11的另一第一环回端口42；第一通信主体11的对应的第一服务31从另一第一环回端口42获得第二数据，实现第一通信主体11从第二通信主体12接收数据的过程。

另一第一环回端口用于第一通信主体的服务程序从第一代理接收数据，使用的地址与第一通信主体的服务发送数据用的第一环回端口地址不同。当然也可以只设置一个环回端口，同时用来接收和发送数据。

设备上的服务程序通过本地环回端口完成与代理程序之间数据的发送和接收。其中第一环回端口和另一第一环回端口的地址不同，例如说使用127.0.0.1:11180作为第一环回端口的地址，127.0.0.1:80作为另一第一环回端口的地址。如果设备中运行有至少两个服务同时与对端(第二通信主体)的服务连接，每个服务都是通过第一环回端口向第一代理发送数据，通过另一第一环回端口从第一代理接收对端返回的数据，反之亦然。

第二通信主体上也可设置第二环回端口和另一第二环回端口用于第二通信主体的服务程序通过第二代理接收和发送数据，具体实现过程与第一通信主体中的数据接收和发送相同。第二通信主体使用的第二环回端口和另一第二环回端口的地址与第一通信主体使用的第一环回端口和另一第一环回端口的地址可以相同，也可以不同。

此外，第一通信主体可以同时与多个第二通信主体建立连接，每个连接都占用两个环回端口用于服务程序与代理之间的数据接收和发送，不同的连接使用的环回端口地址各不相同。

在一实施方式中，本申请使用配置服务器实现代理的动态配置。请参阅图3，图3是本申请代理的配置管理方法第一实施方式的流程示意图。该实施方式中，通信主体上运行有配置管理器50，配置管理器50接收配置服务器60的配置信息，生成配置文件，并将配置文件发送给代理20。如第一通信主体上运行有第一配置管理器，第一配置管理器接收配置服务器的配置信息，生成配置文件，并将配置文件发送给第一代理。

具体地，配置服务器60建立目录信息，目录信息与代理20中的配置信息相对应。如代理20中包括N个配置信息，该N个配置信息对应一个目录信息，那么该目录信息则由N个key组成，即一个key对应一个配置信息。且配置信息为key-value格式文件，一个key对应一个value值。

配置管理器50对N个key进行监控，实质上是对key对应的value值进行监控，当监控到第一key对应的第一value值发生变化时，则根据变化后得到的第二value值确定配置信息，即根据第二value值遍历目录信息，得到与第二value值对应的第二key，将第二key确定为配置信息。如可以启动一个配置管理进程监听配置服务器60的配置信息，并将配置信息转换为key-value格式文件存储；启动另一配置管理进程监听key-value格式文件变化。

配置管理器50在确定了配置信息后，根据配置信息从配置资源信息中选取目标配置资源，并选取目标配置模板，以根据目标配置资源、目标配置模板和配置信息生成配置文件。其中，配置模板使用正则表达式方式定义路由配置，通过统一化配置，使用正则URL路由配置，整理出一份请求协议URL导向，即可使用到所有的代理服务。

配置管理器50将配置文件发送给代理20，代理20接收配置管理器50发送来的配置文件并加载配置信息，更新配置。

在一实施方式中，配置服务器60同时对服务进行配置，若通信主体上运行有多个服务，则将所有服务统一修改配置监听同一个第一环回端口(127.0.0.1:11180)，对外Http发送地址统一改为本地代理服务127.0.0.1:11180(另一第一环回端口)。

配置服务器可以是zookeeper、etcd、consul、git等等，配置管理器可以是condf，代理服务可以是nginx服务。

通过该实施方式的实施，使用配置管理器与配置服务器配合能够实现对多个代理的动态配置，由运维脚本统一部署即可，无需修改代码，大大降低了升级成本。

请参阅图4，图4是本申请内网数据交互方法第四实施方式的流程示意图。在该实施方式中，配置服务器60为Zookeeper服务器，配置服务器60的客户端为配置管理器(Condf)，第一通信主体11和第二通信主体12是同一内网中的两个不同主机，第一通信主体11上运行有第一代理21、第一服务31和第一配置管理器51，第二通信主体12上运行有第二代理22、第二服务32和第二配置管理器52，第一服务31、第二服务32可以是一个或多个。第二通信主体还可以是数据库70、缓存数据库80和消息队列90等。

Zookeeper的服务端与客户端建立连接，拉取配置信息，实现对第一服务31、第二服务32、第一代理21和第二代理22的配置，并利用第一配置管理器51、第二配置管理器52实现对第一代理21、第二代理22的动态配置，其中，配置信息的传输也需经SSL加密。

在一实施方式中，将所有第一服务31、第二服务32统一修改配置监听第一环回端口80，即127.0.0.1:80，这是端口信息，而不是第一通信主体11在内网中的地址。将第一代理21、第二代理22修改配置监听另一第一环回端口11180，即127.0.0.1:11180。

当第一服务31请求访问第二服务32时，第一服务31发送Http请求给第一环回端口11180，Http请求包括第二服务32的信息，第一代理21对内监听127.0.0.1:11180的Http请求，对Http请求进行SSL加密后按url路由转发到对应虚拟主机(第二通信主体12)的443端口。

第二通信主体12通过第二代理22接收Http请求，并转发给第二服务32，第二服务32接收并处理Http请求。第二服务32可以给予第一服务31回复响应信息，并通过第二代理22将响应信息发送给第一通信主体11。

第一代理21对外监听443端口，接收响应信息，卸载ssl(解密)后转发到另一第一环回端口80，第一服务31监听127.0.0.1:80，获取响应信息，实现第一服务31与第二服务32的数据交互。其中第二服务32接收和发送数据的过程与第一服务31接收和发送数据的过程相同。

在一实施方式中，将第一服务31、第二服务32、第一代理21、第二代理22统一修改配置监听第一环回端口3306，即127.0.0.1:3306。

当第一服务31请求访问数据库70时，第一服务31将TCP请求发送给第一环回端口3306，第一代理21对内监听127.0.0.1:3306的TCP请求，将TCP请求进行SSL加密后转发到Atlas域名虚拟主机(数据库)3307端口。

数据库70接收到TCP请求后，进行处理并返回响应信息。第一代理21对外监听3307端口，接收数据库70返回的响应信息，卸载ssl(解密)后转发到第一环回端口3306，第一服务31监听127.0.0.1:3306，获取响应信息，实现第一服务31与数据库70的数据交互。其中，第二代理22也通过相同方式与数据库70交互(图未示)。

在一实施方式中，将第一服务31、第二服务32、第一代理21、第二代理22统一修改配置监听第一环回端口6379，即127.0.0.1:6379。

当第一服务31请求访问缓存数据库80时，第一服务31将TCP请求发送给第一环回端口6379，第一代理21对内监听127.0.0.1:6379的TCP请求，将TCP请求进行SSL加密后转发到redis域名虚拟主机(缓存数据库)6380端口。

缓存数据库80接收到TCP请求后，进行处理并返回响应信息。第一代理21对外监听6380端口，接收缓存数据库80返回的响应信息，卸载ssl(解密)后转发到第一环回端口6379，第一服务31监听127.0.0.1:6379，获取响应信息，实现第一服务31与缓存数据库80的数据交互。其中，第二代理22也通过相同方式与缓存数据库80交互(图未示)。

在一实施方式中，将第一服务31、第二服务32、第一代理21、第二代理22统一修改配置监听第一环回端口61616，即127.0.0.1:61616。

当第一服务31请求访问消息队列90时，第一服务31将TCP请求发送给第一环回端口61616，第一代理21对内监听127.0.0.1:61616的TCP请求，将TCP请求进行SSL加密后转发到activeMQ域名虚拟主机(消息队列)61617端口。

消息队列90接收到TCP请求后，进行处理并返回响应信息。第一代理21对外监听61617端口，接收消息队列90返回的响应信息，卸载ssl(解密)后转发到第一环回端口61616，第一服务31监听127.0.0.1:61616，获取响应信息，实现第一服务31与消息队列90的数据交互。其中，第二代理22也通过相同方式与消息队列90交互(图未示)。

通过该实施方式的实施，同一内网中的不同设备上的服务程序通过独立运行的代理程序来发送和接收数据，这样能够提高数据传输的安全性。且与多个通信主体进行数据交互时，可以配置不同的第一环回端口，不同第一环回端口的地址不同。

以上方案，通过正向代理SSL加密和反向代理SSL卸载，结合zookeeper集群配置confd实现配置的动态加载，构建一个平台服务内网虚拟主机安全交互的系统。该方案在虚拟主机上实现，除了zookeeper走自己加密(因为要先于代理服务启动前拉取配置)外，其他所有对外端口只有代理服务可使用，且经过ssl加密，该方案改造平台只需要整理路由配置，再使用confd配合zookeeper实现代理服务的动态集群配置，再由运维脚本统一部署即可，无需修改代码，大大降低了升级成本，而且代理间https通信可开启连接复用，在一定程度上还能避免性能下降。

基于此，本申请还提供一种电子设备，请参阅图5，图5是本申请电子设备第一实施方式的结构示意图。在该实施方式中，电子设备150包括处理器1501和通信电路1502，处理器1501耦接通信电路1502，处理器1501用于运行第一代理和第一服务以实现上述的内网数据交互方法。该电子设备可作为第一通信主体与对端(第二通信主体)进行数据交互，具体地，第一通信主体的第一代理与第二通信主体建立长连接；第一代理将第一通信主体的第一服务的第一数据加密后转发给第二通信主体，第一代理独立于第一服务，第一通信主体和第二通信主体在同一内网中。具体实现过程请参阅上述实施方式的描述。该电子设备可以是同一局域网中的不同计算机设备，也可以是云服务中的分布式服务器中的任一服务器，还可以是不同虚拟主机、数据库、消息队列、缓存数据库等。

通过该实施方式的实施，设备通过独立运行的代理程序与其他节点的服务程序进行数据交互，能够提高数据传输的安全性。

本申请还提供一种具有存储功能的装置，请参阅图6，图6是本申请具有存储功能的装置第一实施方式的结构示意图。在该实施方式中，存储装置160存储有程序1601，程序1601被执行时实现上述内网数据的交互方法。具体工作过程请参阅上述方法实施例的描述，故在此不再赘述，详细请参阅以上对应方法步骤的说明。其中具有存储功能的装置可以是便携式存储介质如U盘、光盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟等各种可以存储程序代码的介质，也可以是终端、服务器等。

在本申请所提供的几个实施方式中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施方式仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施方式方案的目的。

另外，在本申请各个实施方式中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施方式所述方法的全部或部分步骤。

以上所述仅为本申请的实施方式，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本申请的专利保护范围内。

Claims (11)

1.一种内网数据交互方法，其特征在于，包括：

第一通信主体的第一代理与第二通信主体建立长连接；

所述第一代理将所述第一通信主体的第一服务的第一数据加密后转发给所述第二通信主体；

其中，所述第一代理独立于所述第一服务，所述第一通信主体和所述第二通信主体在同一内网中。

2.根据权利要求1所述的内网数据交互方法，其特征在于，所述第一代理将所述第一通信主体的第一服务的第一数据加密后转发给所述第二通信主体的步骤包括：

所述第一服务将所述第一数据发送给所述第一通信主体的第一环回端口；

所述第一代理从所述第一环回端口获得所述第一数据，加密后发送给所述第二通信主体。

3.根据权利要求1所述的内网数据交互方法，其特征在于，所述方法还包括：

所述第一代理接收第二数据，并将所述第二数据解密后转发给对应的所述第一服务。

4.根据权利要求3所述的内网数据交互方法，其特征在于，所述第一代理接收第二数据，将所述第二数据解密后转发给对应的所述第一服务包括：

所述第一代理接收所述第二数据，解密后将所述第二数据发送给所述第一通信主体的另一第一环回端口；

对应的所述第一服务从所述另一第一环回端口获得所述第二数据。

5.根据权利要求1所述的内网数据交互方法，其特征在于，所述方法还包括：

所述第一通信主体的第一配置管理器接收配置服务器的配置信息，生成配置文件，并将所述配置文件发送给所述第一代理。

6.根据权利要求5所述的内网数据交互方法，其特征在于，所述第一通信主体的第一配置管理器接收配置服务器的配置信息包括：

启动一个第一配置管理进程监听配置服务器的配置信息，并将所述配置信息转换为key-value格式文件存储；

启动另一第一配置管理进程监听所述key-value格式文件变化。

7.根据权利要求5所述的内网数据交互方法，其特征在于，所述第一通信主体的第一配置管理器接收配置服务器的配置信息，生成配置文件包括：

利用预存的配置资源和配置模板以及接收的所述配置信息生成所述配置文件，其中，所述配置模板使用正则表达式方式定义路由配置。

8.根据权利要求5所述的内网数据交互方法，其特征在于，所述第一代理将所述第一通信主体的第一服务的第一数据加密后转发给所述第二通信主体之前还包括：

所述第一代理接收所述第一配置管理器发送来的所述配置文件并加载配置信息，更新配置。

9.根据权利要求1所述的内网数据交互方法，其特征在于，所述第一代理将所述第一通信主体的第一服务的第一数据加密后转发给所述第二通信主体步骤还包括：

利用安全套接层协议加密所述第一数据。

10.一种电子设备，其特征在于，所述电子设备包括处理器和通信电路，所述处理器耦接所述通信电路，所述处理器用于运行所述第一代理和所述第一服务以实现如权利要求1-9任一项所述的内网数据交互方法。

11.一种具有存储功能的装置，其特征在于，所述装置存储有程序，所述程序被执行时能够实现如权利要求1-9任一项所述的内网数据交互方法。