CN110995715B - 一种内网https服务的透析访问方法及系统 - Google Patents

Abstract

本发明公开了一种内网https服务的透析访问方法及系统，即通过随机监听端口，数据加密传输，Cookie，超时控制等方式保证安全远程访问内网服务。本发明通过随机监听端口，使非法用户很难猜测到当前所用端口，提高安全可靠性；通过自定数据加密传输，解决了网络嗅探安全性问题；通过使用Cookie，即使用户知道了正在使用的访问地址，在其它机器也无法使用，提高安全可靠性。本发明在保证内网安全性前提下，方便在外网使用内网服务，有利于提高工作效率；即使对于内网中的例如企业oa系统等http服务，自动将其转成https服务后通过本发明方法也能解决了一些传统http服务的外网信道嗅探的安全性问题。

Description

一种内网https服务的透析访问方法及系统

技术领域

本发明属于服务器访问技术领域，具体涉及一种内网https服务的透析访问方法及系统。

背景技术

局域网自然就是局部地区形成的一个区域网络，其特点就是分布地区范围有限，可大可小，大到一栋建筑楼与相邻建筑之间的连接，小到可以是办公室之间的联系。局域网自身相对其他网络传输速度更快，性能更稳定，框架简易，并且是封闭性，这也是很多机构选择的原因所在。局域网自身的组成大体由计算机设备、网络连接设备、网络传输介质3大部分构成，其中，计算机设备又包括服务器与工作站，网络连接设备则包含了网卡、集线器、交换机，网络传输介质简单来说就是网线，由同轴电缆、双绞线及光缆3大原件构成。

内部网(Intranet)是指采用Internet技术建立的企业内部专用网络，它以网络协议TCP/IP作为基础，以Web为核心应用，构成统一和便利的信息交换平台。内部网可提供Web出版、交互、目录、电子邮件、广域互连、文件管理、打印和网络管理等多种服务；由于内部网提高了企业的内部通信能力和信息交换能力，很多企业都设置有内部网，并将企业内部资料存储在内网服务器中，供员工查阅。

由于内部网具有强大的共享功能，员工出差或在外需要信息时，会产生远程访问需求。在企业网络配置中，要进行远程访问，传统的方法是租用DDN(数字数据网)专线或帧中继，这样的通讯方案必然导致高昂的网络通讯和维护费用；对于移动用户(移动办公人员)与远端个人用户而言，一般会通过拨号线路(Internet)进入企业的内部网，但这样必然带来安全上的隐患和造成不必要的损失。

目前很多企业通过虚拟专用网络(VPN)来实现远程访问内部网，让外地员工访问到内网资源，利用VPN的解决方法就是在内网中架设一台VPN服务器；外地员工在当地连上互联网后，通过互联网连接VPN服务器，然后通过VPN服务器进入企业内网。为了保证数据安全，VPN服务器和客户机之间的通讯数据都进行了加密处理，但这种VPN也有以下缺点：

1.企业不能直接控制基于互联网VPN的可靠性和性能，公司必须依靠提供VPN的互联网服务提供商保证服务的运行，这个因素使企业与互联网服务提供商签署一个服务级协议非常重要，要签署一个保证各种性能指标的协议。

2.企业创建和部署VPN线路并不容易，这种技术需要高水平地理解网络和安全问题，需要认真的规划和配置；因此，选择互联网服务提供商负责运行VPN的大多数事情是一个好主意。

3.不同厂商的VPN产品和解决方案总是不兼容的，因为许多厂商不愿意或者不能遵守VPN技术标准。因此，混合使用不同厂商的产品可能会出现技术问题；另一方面，使用一家供应商的设备可能会提高成本。

综上所述，通过一种软件技术来实现外网安全远程访问内部网就十分有必要。

发明内容

鉴于上述，本发明提供了一种内网https服务的透析访问方法及系统，即通过随机监听端口，数据加密传输，Cookie，超时控制等方式保证安全远程访问内网服务。

一种内网https服务的透析访问方法，包括如下步骤：

(1)远程访问时，用户通过客户端以https方式登录Web服务器，选定之前已经配置好的内网服务信息，向中间服务程序发出访问指令；

(2)中间服务程序对访问指令进行解析，若指令合法有效则对其进行约定加密，并通过客户端插件启动时与中间服务程序建立的登录TCP长连接转发该指令给客户端插件；

(3)客户端插件收到指令后对其进行解析，若指令合法有效则重新与中间服务程序建立一条业务TCP长连接，并对该指令重新约定加密后通过该业务TCP长连接返回给中间服务程序；

(4)中间服务程序收到指令后对其进行解析，若指令合法有效则在一定的端口范围内随机生成一个端口进行监听，并将监听成功的端口号以及监听端口结果约定加密成数据包通过业务TCP长连接发送给客户端插件；

(5)客户端插件将接收到的数据包通过业务TCP长连接发送回中间服务程序，进而由中间服务程序将数据包转发给Web服务器；

(6)Web服务器对收到的数据包进行解析后获取到监听端口号后，将之前的认证信息生成到本地Cookie，并将中间服务程序地址以及监听端口号组成一个新的内网浏览地址；

(7)Web服务器在客户端弹出一个新的浏览器窗口，并将新的内网浏览地址以https形式输入至该窗口，用户即可通过客户端浏览器窗口进行内网服务的访问。

进一步地，所述访问指令包含内网服务信息以及认证信息。

进一步地，所述中间服务程序布置运行在Web服务器的同级或子域名上。进一步地，所述步骤(3)中客户端插件对指令进行解析，若指令失效，则客户端插件向Web服务器返回失效信息。

进一步地，所述步骤(4)中中间服务程序将监听成功的端口号记录下来，若随机生成的端口号在之前的记录中被查找到，则重新生成一个端口号。

进一步地，所述步骤(6)中Web服务器对数据包进行解析，若解析得到的是错误信息不是端口号，则在客户端提示访问失败。

进一步地，所述步骤(7)中用户访问内网服务的具体流程如下：

7.1用户利用新的内网浏览地址通过客户端浏览器窗口进行内网服务访问，并生成相应的访问请求发送给中间服务程序；

7.2中间服务程序对请求进行解析，若检查认证信息成功，则将请求头中的内网浏览地址全部替换成本地路由地址，进而对请求约定加密后发送至客户端插件；若检查认证信息失败，则向客户端返回认证失败信息；

7.3客户端插件收到请求后对其进行解析，并通过请求中的本地路由地址访问内网服务器，内网服务器将响应数据发送给客户端插件；

7.4客户端插件对收到的响应数据进行约定加密后发送给中间服务程序，进而由中间服务程序对响应数据解析后通过https返回给用户客户端。

优选地，所述步骤7.3中若客户端插件在设定的时间范围未收到内网服务器的响应数据，则关闭其与中间服务程序的业务TCP长连接，中间服务程序检测到其与客户端插件的业务TCP长连接关闭后，则进一步关闭对应的监听端口，以提高安全性和避免端口长时间占用。

一种内网https服务的透析访问系统，包括客户端、Web服务器、中间服务程序、客户端插件以及内网服务器，其中：

所述客户端以https方式登录Web服务器，选定之前已经配置好的内网服务信息，向中间服务程序发出访问指令；同时根据Web服务器生成的新内网浏览地址通过浏览器窗口进行内网服务的访问，接收中间服务程序通过https返回的内网服务响应数据；

所述中间服务程序用于对访问指令进行解析，并通过登录TCP长连接转发该指令给客户端插件；同时在一定的端口范围内随机生成一个端口进行监听，并将监听成功的端口号以及监听端口结果约定加密成数据包通过业务TCP长连接发送给客户端插件和Web服务器；此外，中间服务程序对客户端的访问请求进行解析，若检查认证信息成功，则将请求头中的内网浏览地址全部替换成本地路由地址，进而对请求约定加密后发送至客户端插件；中间服务程序还接收客户端插件转发的响应数据并对其解析后通过https返回给用户客户端；

所述客户端插件用于接收来自中间服务程序转发的指令、请求以及数据包，并与中间服务程序建立一条业务TCP长连接，并对指令和数据包重新约定加密后通过该业务TCP长连接返回给中间服务程序；同时通过请求中的本地路由地址访问内网服务器，并将内网服务器的响应数据约定加密后转发给中间服务程序；

所述Web服务器用于对收到的数据包进行解析后获取到监听端口号后，将之前的认证信息生成到本地Cookie，并将中间服务程序地址以及监听端口号组成一个新的内网浏览地址，在客户端弹出一个新的浏览器窗口，并将新的内网浏览地址以https形式输入至该窗口，使得用户即可通过客户端浏览器窗口进行内网服务的访问。

本发明通过随机监听端口，使非法用户很难猜测到当前所用端口，提高安全可靠性；通过自定数据加密传输，解决了网络嗅探安全性问题；通过使用Cookie，即使用户知道了正在使用的访问地址，在其它机器也无法使用，提高安全可靠性。本发明在保证内网安全性前提下，方便在外网使用内网服务，有利于提高工作效率；即使对于内网中的例如企业oa系统等http服务，自动将其转成https服务后通过本发明方法也能解决了一些传统http服务的外网信道嗅探的安全性问题。

附图说明

图1为本发明方法外网访问内网服务时获取访问地址的流程示意图。

图2为本发明方法获取内网访问地址后实际访问过程的流程示意图。

图3为本发明方法内网服务访问过程中超时管理流程示意图。

具体实施方式

为了更为具体地描述本发明，下面结合附图及具体实施方式对本发明的技术方案进行详细说明。

本发明内网https服务的透析访问方法，即通过随机监听端口、数据加密传输、Cookie、超时控制等方式保证安全远程访问内网服务；具体地：

远程访问时，访问者以https方式登录支持Web服务器，选定之前已经配置好的内网服务信息，向中间服务程序发出访问指令，指令包含需访问内网服务信息和认证信息。中间服务程序解析指令合法后，对该指令进行约定加密后，向客户端插件转发此指令；客户端插件收到并解析指令合法有效后，向中间服务程序建立一条TCP长连接，并将此指令进行约定加密后发送；中间服务程序收到并解析指令合法有效后，在一定的端口范围内随机生成一个端口进行监听，并将监听成功的端口号进行约定加密发送回客户端插件。客户端插件将接收到数据发送回中间服务程序，中间服务程序将数据转发回Web服务器，Web服务器将收到数据解析后获取到监听端口号后，将之前的认证信息生成到本地Cookie并将中间服务程序地址加收到端口号组成一个新的浏览地址，这个新的浏览地址是https，同时弹出一个新的浏览器窗口将新的浏览地址输入进行内网服务的访问。这里就要求中间服务程序必须是Web服务器的同级或子域名，否则浏览器就获取不到认证信息Cookie；这样，用新的浏览地址访问时候，中间服务程序就会解析请求内容，并判断请求是否有认证信息(Cookie)，有则进行约定加密转发至客户端插件，否则返回操作失败。客户端插件接到转发请求后，根据之前指令里内网服务信息去访问内网服务器，并将内网服务器返回的结果进行约定加密返回到中间服务程序，中间服务程序将收到结果解析后通过https返回浏览器。如果客户端插件在一定时间内没收到内网服务器数据，就会断开与中间服务程序TCP长连接。中间服务程序检测到与客户端插件的TCP长连接断开后，就会关闭为之创建的监听端口,以提高安全性和防止端口长时间占用。

本发明中的Web服务器即网站服务器，是指驻留于因特网上某种类型计算机的程序。可以通过域名访问，支持https协议，必须布置在外网环境。

中间服务程序指的是一种遵循一定规范的应用程序接口编写出来的程序，能够在程序规定的平台下运行，支持https协议和TCP协议，必须布置在Web服务器的同级或子域名上，用来访问。

内网是指采用Internet技术建立的企业内部专用网络，所述企业可以是企事业单位、政府机构，还可以是学校等需要设置内部专用网络的部门。内网服务是指在内网中用于向与之相连的终端提供服务(https、http)的服务器，例如内网服务器可以用于存储数据，与内网服务器连接的终端能够访问内网服务器，从而获得内网服务器中的资源；另外，内网服务器还可以是应用程序服务器，以使与内网服务器连接的终端能够使用内网服务器提供的相应服务；内网服务器可以是一台，也可以是多台，若为多台，则多台服务器之间可以具有连接关系，也可以独立运行。

客户端插件指的是一种遵循一定规范的应用程序接口编写出来的程序，能够在程序规定的平台下运行，本发明中的客户端插件可以设置在内网服务器中，也可以设置在其他的与内网服务器相连接的插件服务器中，还可以设置在用于中间服务器的客户端中。

图1为一实施例示出的外网访问内网服务时获取访问地址的方法的流程(以远程路由访问为例说明)，其中：

Web服务器地址为：www.test.com

中间服务程序地址为：route.test.com

访问者配置的信息为内网路由地址：http://192.168.1.1/index.html

如图1所示，本实施方式访问内网服务器的具体过程如下：

步骤101：访问者登录Web服务器并选定需要访问内网服务信息，向中间服务程序发出请求，本实例将配置的路由地址http://192.168.1.1:8080/index.html发送出去。

步骤102：中间服务程序解析指令合法后，对该指令进行约定加密后向客户端插件启动时与中间服务程序建立的TCP长连接(登录TCP)转发此指令。

由于数据进行约定加密之后即便被嗅探也是一堆乱码，从而提高了信息安全的技术效果。

步骤103：客户端插件如果将收到解析成功则指令重新建立一条TCP长连接(业务TCP)，进行约定加密发送给中间服务程序。

步骤104：客户端插件如果解析收到指令失败，向Web服务器返回失败信息。

步骤105：中间服务程序收到指令后，随机监听端口并将此端口号和监听端口结果加密返给Web服务器；监听成功端口号在程序中记录下来，如果产生的端口号在程序中被查找到记录，则重新生产一个端口号。

在本实例中，返回端口号为10897，这个数据是被加密传输的。

步骤106：Web服务器将收到数据解析，如果是错误信息则提示访问失败，否则将之前的认证信息生成到本地Cookie并将中间服务程序地址加收到端口号组成一个新的浏览地址(https)。

本实例生成的新浏览地址为：https://route.test.com:10897/index.html

步骤107：访问者在当前机器用这个浏览地址就可以访问之前指令里的内网服务。

如图2所示，获取到内网访问地址后实际访问的具体流程如下：

步骤201：用户获取到访问内网地址后通过浏览器开始访问内网服务，将请求发送中间服务程序。

在本实例中，输入https://route.test.com:10897/index.html，由于是https，所以能有效防止网络嗅探。

步骤202：中间服务程序解析请求，如果检查认证信息(Cookie)成功将内容进行约定加密发送至客户端插件，否则返回操作失败。

此本实例中，中间服务程序分析请求头，并将请求头里有关route.test.com:10897信息全部替换成本地路由地址192.168.1.1:8080，因为有些服务会检测来源，从而导致访问失败。

步骤203：中间服务程序解析请求，如果检查认证信息(Cookie)失败，返回认证失败。

步骤204：客户端程序解析请求，访问内网服务器，在本实例中访问的地址是http://192.168.1.1:8080/index.html。

步骤205：内网服务器收到请求将数据返回客户端插件。

步骤206：客户端插件将收到内网服务器数据进行约定加密发送给中间服务程序。

步骤207：中间服务程序将数据解析后，通过https返回给用户。

如图3所示，在内网服务访问过程中超时管理的具体流程如下：

步骤301：客户端插件在设置时间范围内没收到内网服务器响应数据，就关闭与中间服务程序TCP长连接(业务TCP)。

步骤302：中间服务程序检测到与客户端插件TCP长连接(业务TCP)关闭后，会关闭与对应的监听端口，以提高安全性和避免端口长时间占用。

上述对实施例的描述是为便于本技术领域的普通技术人员能理解和应用本发明。熟悉本领域技术的人员显然可以容易地对上述实施例做出各种修改，并把在此说明的一般原理应用到其他实施例中而不必经过创造性的劳动。因此，本发明不限于上述实施例，本领域技术人员根据本发明的揭示，对于本发明做出的改进和修改都应该在本发明的保护范围之内。

Claims (6)

1.一种内网https服务的透析访问方法，包括如下步骤：

(1)远程访问时，用户通过客户端以https方式登录Web服务器，选定之前已经配置好的内网服务信息，向中间服务程序发出访问指令，所述访问指令包含内网服务信息以及认证信息；

(2)中间服务程序对访问指令进行解析，若指令合法有效则对其进行约定加密，并通过客户端插件启动时与中间服务程序建立的登录TCP长连接转发该指令给客户端插件；

(3)客户端插件收到指令后对其进行解析，若指令合法有效则重新与中间服务程序建立一条业务TCP长连接，并对该指令重新约定加密后通过该业务TCP长连接返回给中间服务程序；

(4)中间服务程序收到指令后对其进行解析，若指令合法有效则在一定的端口范围内随机生成一个端口进行监听，并将监听成功的端口号以及监听端口结果约定加密成数据包通过业务TCP长连接发送给客户端插件；

(5)客户端插件将接收到的数据包通过业务TCP长连接发送回中间服务程序，进而由中间服务程序将数据包转发给Web服务器；

(6)Web服务器对收到的数据包进行解析后获取到监听端口号后，将认证信息生成到本地Cookie，并将中间服务程序地址以及监听端口号组成一个新的内网浏览地址；

(7)Web服务器在客户端弹出一个新的浏览器窗口，并将新的内网浏览地址以https形式输入至该窗口，用户即可通过客户端浏览器窗口进行内网服务的访问；

所述中间服务程序布置运行在Web服务器的同级或子域名上，用户访问内网服务的具体流程如下：

7.1用户利用新的内网浏览地址通过客户端浏览器窗口进行内网服务访问，并生成相应的访问请求发送给中间服务程序；

7.2中间服务程序对请求进行解析，若检查认证信息成功，则将请求头中的内网浏览地址全部替换成本地路由地址，进而对请求约定加密后发送至客户端插件；若检查认证信息失败，则向客户端返回认证失败信息；

7.3客户端插件收到请求后对其进行解析，并通过请求中的本地路由地址访问内网服务器，内网服务器将响应数据发送给客户端插件；

7.4客户端插件对收到的响应数据进行约定加密后发送给中间服务程序，进而由中间服务程序对响应数据解析后通过https返回给用户客户端。

2.根据权利要求1所述内网https服务的透析访问方法，其特征在于：所述步骤(3)中客户端插件对指令进行解析，若指令失效，则客户端插件向Web服务器返回失效信息。

3.根据权利要求1所述内网https服务的透析访问方法，其特征在于：所述步骤(4)中中间服务程序将监听成功的端口号记录下来，若随机生成的端口号在之前的记录中被查找到，则重新生成一个端口号。

4.根据权利要求1所述内网https服务的透析访问方法，其特征在于：所述步骤(6)中Web服务器对数据包进行解析，若解析得到的是错误信息不是端口号，则在客户端提示访问失败。

5.根据权利要求1所述内网https服务的透析访问方法，其特征在于：所述步骤7.3中若客户端插件在设定的时间范围未收到内网服务器的响应数据，则关闭其与中间服务程序的业务TCP长连接，中间服务程序检测到其与客户端插件的业务TCP长连接关闭后，则进一步关闭对应的监听端口，以提高安全性和避免端口长时间占用。

6.一种内网https服务的透析访问系统，包括客户端、Web服务器、中间服务程序、客户端插件以及内网服务器，其特征在于：

所述客户端以https方式登录Web服务器，选定之前已经配置好的内网服务信息，向中间服务程序发出访问指令；同时根据Web服务器生成的新内网浏览地址通过浏览器窗口进行内网服务的访问，接收中间服务程序通过https返回的内网服务响应数据；

所述中间服务程序用于对访问指令进行解析，并通过登录TCP长连接转发该指令给客户端插件；同时在一定的端口范围内随机生成一个端口进行监听，并将监听成功的端口号以及监听端口结果约定加密成数据包通过业务TCP长连接发送给客户端插件和Web服务器；此外，中间服务程序对客户端的访问请求进行解析，若检查认证信息成功，则将请求头中的内网浏览地址全部替换成本地路由地址，进而对请求约定加密后发送至客户端插件；中间服务程序还接收客户端插件转发的响应数据并对其解析后通过https返回给用户客户端；

所述客户端插件用于接收来自中间服务程序转发的指令、请求以及数据包，并与中间服务程序建立一条业务TCP长连接，并对指令和数据包重新约定加密后通过该业务TCP长连接返回给中间服务程序；同时通过请求中的本地路由地址访问内网服务器，并将内网服务器的响应数据约定加密后转发给中间服务程序；

所述Web服务器用于对收到的数据包进行解析后获取到监听端口号后，将之前的认证信息生成到本地Cookie，并将中间服务程序地址以及监听端口号组成一个新的内网浏览地址，在客户端弹出一个新的浏览器窗口，并将新的内网浏览地址以https形式输入至该窗口，使得用户即可通过客户端浏览器窗口进行内网服务的访问。

Images