CN111556085A

CN111556085A - 一种基于安全网关转发的远程访问方法和装置

Info

Publication number: CN111556085A
Application number: CN202010626066.7A
Authority: CN
Inventors: 孟元
Original assignee: Bank of China Ltd
Current assignee: Bank of China Ltd
Priority date: 2020-07-01
Filing date: 2020-07-01
Publication date: 2020-08-18

Abstract

本发明提供一种基于安全网关转发的远程访问方法和装置，方案在获取到访问终端发送的访问请求后，对所述访问终端进行身份认证，当身份认证通过时，获取所述访问请求的访问地址，然后判断所述访问地址是否隶属于预设的允许访问列表中，当所述访问地址隶属于预设的允许访问列表时，将所述访问请求转发至被访问终端，在所述被访问终端响应所述访问请求生成响应数据后，获取所述被访问终端响应所述访问请求生成的响应数据，将所述响应数据反馈给所述访问终端，实现了家庭终端能够对其他终端进行安全有效的远程访问。

Description

一种基于安全网关转发的远程访问方法和装置

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于安全网关转发的远程访问方法和装置。

背景技术

由于种种原因居家办公的工作模式往往会成为一种临时办公模式，就软件开发人员而言，其在居家办公时，居家期间仍需要正常地进行生产任务的开发和内部测试以及代码版本管理，由于家庭中的硬件设备与办公室中的硬件设备不同，软件开发人员难以用到办公室中的硬件设备所装载的资源，严重影响办公效率。

发明内容

有鉴于此，本发明实施例提供一种基于安全网关转发的远程访问方法和装置，以实现两个不同终端之间的远程安全访问。

为实现上述目的，本发明实施例提供如下技术方案：

一种基于安全网关转发的远程访问方法，包括：

获取访问终端发送的访问请求；

对所述访问终端进行身份认证；

当身份认证通过时，获取所述访问请求的访问地址；

判断所述访问地址是否隶属于预设的允许访问列表中；

当所述访问地址隶属于预设的允许访问列表时，将所述访问请求转发至被访问终端；

获取所述被访问终端响应所述访问请求生成的响应数据，将所述响应数据反馈给所述访问终端。

可选的，上述基于安全网关转发的远程访问方法中，当身份认证通过之后，还包括：

基于所述访问请求生成一个合法会话，并将所述合法会话加入预设的合法用户列表中，通过所述合法会话实现所述访问终端与被访问终端之间的通信。

可选的，上述基于安全网关转发的远程访问方法中，当所述当身份认证通过之后，还包括：

当获取到访问终端上传的允许访问地址查询指令时，调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端。

可选的，上述基于安全网关转发的远程访问方法中，所述调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端，包括：

获取所述访问终端上传的用户身份标识，调取与所述用户身份标识相匹配的权限列表，由所述允许访问列表中调取与所述权限列表相匹配的允许访问地址，将所述允许访问地址发送给所述访问终端。

可选的，上述基于安全网关转发的远程访问方法中，对所述访问终端进行身份认证包括：

获取所述访问终端发送的用户图像信息或用户指纹信息；

将所述用户图像信息或用户指纹信息发送至所述被访问终端；

获取所述被访问终端的鉴权结果；

依据所述鉴权结果判断身份认证是否通过。

一种基于安全网关转发的远程访问装置，包括：

数据采集模块，用于获取访问终端发送的访问请求；

身份认证模块，用于对所述访问终端进行身份认证；当身份认证通过时，获取所述访问请求的访问地址；判断所述访问地址是否隶属于预设的允许访问列表中；

终端访问模块，用于当所述访问地址隶属于预设的允许访问列表时，将所述访问请求转发至被访问终端；

数据下发模块，用于获取所述被访问终端响应所述访问请求生成的响应数据，将所述响应数据反馈给所述访问终端。

可选的，上述基于安全网关转发的远程访问装置中，所述身份认证模块还用于：当身份认证通过之后，还包括：

可选的，上述基于安全网关转发的远程访问装置中，所述身份认证模块还用于，当所述当身份认证通过之后，

可选的，上述基于安全网关转发的远程访问装置中，所述身份认证模块在调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端时，具体用于：

可选的，上述基于安全网关转发的远程访问装置中，所述身份认证模块在对所述访问终端进行身份认证时，具体用于：

获取所述访问终端发送的用户图像信息或用户指纹信息；

获取所述被访问终端的鉴权结果；

依据所述鉴权结果判断身份认证是否通过。

基于上述技术方案，本发明实施例提供的上述方案，在获取到访问终端发送的访问请求后，对所述访问终端进行身份认证，当身份认证通过时，获取所述访问请求的访问地址，然后判断所述访问地址是否隶属于预设的允许访问列表中，当所述访问地址隶属于预设的允许访问列表时，将所述访问请求转发至被访问终端，在所述被访问终端响应所述访问请求生成响应数据后，获取所述被访问终端响应所述访问请求生成的响应数据，将所述响应数据反馈给所述访问终端，实现了家庭终端能够对其他终端进行安全有效的远程访问。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例公开的基于安全网关转发的远程访问方法流程示意图；

图2为本申请实施例公开的基于安全网关转发的远程访问装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

申请人经过研究发现，软件中心大多数的产品都是基于内网环境进行开发测试以及版本管理，平时在单位使用的开发用机均接入内网，居家办公时的网络环境限制了软件开发人员与内网服务的数据联调，所以解决居家办公问题的重中之重就是解决内外网隔离的情况，找到一种可以衔接内外网的开发模式。

本方案提出一种在内外网DMZ区，搭设一个安全网关服务器，该安全网关服务器应用有本申请实施例公开的基于安全网关转发的远程访问方法和装置，该服务器用于实现访问终端和被访问终端的接口转发服务，实现外网开发时能够与内网后台系统正常进行联调以及代码同步。

参见图1，本申请实施例公开的一种基于安全网关转发的远程访问方法，可以包括：

步骤S101：获取访问终端发送的访问请求；

当用户需要通过访问终端访问被访问终端时，可以通过应用本方法的安全网关服务器转发所述访问请求，此时，所述访问终端可以通过用户操作生成并向所述安全网关服务器下发访问请求；

在本方案中，所述安全网关服务器可以在访问终端与被访问终端之间建立一个安全隧道，为访问终端访问提供统一的安全接入网关，并提供统一的网络安全认证服务，包括隧道双向认证、通讯加密、会话认证、身份认证、设备认证等；在保证通讯加密的情况下实现交易的透传转发。

步骤S102：对所述访问终端进行身份认证；

在本申请实施例公开的技术方案中，所述身份认证可以在所述安全网关服务器端进行也可以在所述被访问终端处进行，在进行身份认证时，可以基于所述被访问终端的地址进行身份认证也可以基于使用所述被访问终端的操作人员的人脸凸显或指纹信息等人体特征参数进行身份认证，例如，在本方案中，认证过程可以在被访问终端中进行，在进行认证时，所述安全网关服务器获取所述访问终端发送的用户图像信息或用户指纹信息，所述用户图像信息可以是通过访问终端的摄像头采集到的用户图像，该用户图像可以是视频；将所述用户图像信息或用户指纹信息发送至所述被访问终端；所述被访问终端将所述用户图像信息或用户指纹信息与预存的用户图像信息或用户指纹信息进行对比，判断用户是否是合法用户，然后向所述安全网关服务器发送鉴权结果，所述安全网关服务器获取到所述被访问终端的鉴权结果后，依据所述鉴权结果判断身份认证是否通过。

步骤S103：当身份认证通过时，获取所述访问请求的访问地址；

所述访问请求中具有本次访问请求所需访问的目标地址，该目标地址即为访问地址；

为了保证会话的安全性，本申请实施例公开的技术方案中，可以基于所述访问请求生成一个合法会话Session，并将所述合法会话加入预设的合法用户HASH列表中，通过所述合法会话Session实现所述访问终端与被访问终端之间的通信，之后此用户就可以用此会话Session进入安全通信与访问终端和被访问终端进行数据交互。

步骤S104：判断所述访问地址是否隶属于预设的允许访问列表中；

对比市面上常见的内外网联通工具，例如VPN，当接入VPN时，远程机则可以完全接入内网环境，这样一来限制了远程机的网络环境，使远程机无法继续使用外网，二来远程机时完全访问内网，会带来较大的安全隐患。本发明提供的技术方案中，预先建立一个允许访问列表，所述允许访问列表具有用户所能够访问的被访问终端的一些地址，而不存在于所述允许访问列表中的被访问终端的其他地址是不允许被访问的，该列表可以被当做一个配置白名单，只有在配置白名单中的访问地址才会转发至被访问终端，可以在保证最大安全限制的情况下实现内外网通信。

步骤S105：当所述访问地址隶属于预设的允许访问列表时，将所述访问请求转发至被访问终端；

在本步骤中，所述安全网关服务器通过预先建立的合法会话将访问请求转发给被访问终端；

步骤S106：获取所述被访问终端响应所述访问请求生成的响应数据，将所述响应数据反馈给所述访问终端；

所述被访问终端在获取到所述访问请求后，会响应所述访问请求生成响应数据，并将所述响应数据反馈给所述安全网关服务器，所述安全网关服务器在获取到所述响应数据后，将所述响应数据发送给所述访问终端。

以发起一次HTTP请求为例，事先在管理端配置转发白名单IP和端口，例如项目一中，访问终端A将对被访问终端C发起POST请求，安全网关服务器B会截取到访问终端A发来的访问请求，并对所述访问终端A进行身份验证等安全认证服务，认证通过后，将请求从安全网关服务器B转发到被访问终端C，被访问终端C收到请求后生成响应数据返回给安全网关服务器B，安全网关服务器B再将响应数据转发给访问终端A，至此访问终端A与被访问终端C就完成了一次接口通信。

在本申请另一实施例公开的技术方案中，不同的访问终端A的访问权限不同，其所能访问的被访问终端的地址也就不同，因此，在本申请实施例中，可以预先配置访问终端的访问权限，然后在根据所述访问权限确定其能够访问的访问地址，只有访问请求对应的地址落入其能够访问的访问地址之后，才可继续进行，即上述方案中，判断所述访问地址是否隶属于预设的允许访问列表中，包括：获取所述访问终端上传的用户身份标识，基于所述用户身份标识确定用户权限，基于所述用户权限确定对应的目标允许访问列表，判断所述访问地址是否隶属于预设的目标允许访问列表中。

在本申请另一实施例公开的技术方案中，用户可能无法记住具体所需访问的访问地址，此时用户可以通过所述安全网关服务器获取其所能访问的访问地址，即，本方案中，当所述当身份认证通过之后，还包括：当获取到访问终端上传的允许访问地址查询指令时，调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端。具体的，用户身份不同，其所能访问的地址也就不同，上述方案中，所述调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端，具体可以包括：获取所述访问终端上传的用户身份标识，调取与所述用户身份标识相匹配的权限列表，由所述允许访问列表中调取与所述权限列表相匹配的允许访问地址，将所述允许访问地址发送给所述访问终端。

本实施例中公开了一种基于安全网关转发的远程访问装置，装置中的各个单元的具体工作内容，请参见上述方法实施例的内容，下面对本发明实施例提供的基于安全网关转发的远程访问装置进行描述，下文描述的基于安全网关转发的远程访问装置与上文描述的基于安全网关转发的远程访问方法可相互对应参照。

参见图2，本申请实施例提供的一种基于安全网关转发的远程访问装置，可以包括：

数据采集模块100，与上述方法中步骤S101相对应，用于获取访问终端发送的访问请求；

身份认证模块200，与上述方法中步骤S102-S104相对应，用于对所述访问终端进行身份认证；当身份认证通过时，获取所述访问请求的访问地址；判断所述访问地址是否隶属于预设的允许访问列表中；

终端访问模块300，与上述方法中步骤S105相对应，用于当所述访问地址隶属于预设的允许访问列表时，将所述访问请求转发至被访问终端；

数据下发模块400，与上述方法中步骤S106相对应，用于获取所述被访问终端响应所述访问请求生成的响应数据，将所述响应数据反馈给所述访问终端。

与上述方法相对应，所述身份认证模块还用于：当身份认证通过之后，还包括：

与上述方法相对应，所述身份认证模块还用于，当所述当身份认证通过之后，

与上述方法相对应，所述身份认证模块在调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端时，具体用于：

与上述方法相对应，所述身份认证模块在对所述访问终端进行身份认证时，具体用于：

获取所述访问终端发送的用户图像信息或用户指纹信息；

获取所述被访问终端的鉴权结果；

依据所述鉴权结果判断身份认证是否通过。

为了描述的方便，描述以上系统时以功能分为各种模块分别描述。当然，在实施本发明时可以把各模块的功能在同一个或多个软件和/或硬件中实现。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims

1.一种基于安全网关转发的远程访问方法，其特征在于，包括：

获取访问终端发送的访问请求；

对所述访问终端进行身份认证；

当身份认证通过时，获取所述访问请求的访问地址；

判断所述访问地址是否隶属于预设的允许访问列表中；

2.根据权利要求1所述的基于安全网关转发的远程访问方法，其特征在于，当身份认证通过之后，还包括：

3.根据权利要求1所述的基于安全网关转发的远程访问方法，其特征在于，当所述当身份认证通过之后，还包括：

4.根据权利要求3所述的基于安全网关转发的远程访问方法，其特征在于，所述调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端，包括：

5.根据权利要求1所述的基于安全网关转发的远程访问方法，其特征在于，对所述访问终端进行身份认证包括：

获取所述访问终端发送的用户图像信息或用户指纹信息；

获取所述被访问终端的鉴权结果；

依据所述鉴权结果判断身份认证是否通过。

6.一种基于安全网关转发的远程访问装置，其特征在于，包括：

数据采集模块，用于获取访问终端发送的访问请求；

7.根据权利要求6所述的基于安全网关转发的远程访问装置，其特征在于，所述身份认证模块还用于：当身份认证通过之后，还包括：

8.根据权利要求6所述的基于安全网关转发的远程访问装置，其特征在于，所述身份认证模块还用于，当所述当身份认证通过之后，

9.根据权利要求8所述的基于安全网关转发的远程访问装置，其特征在于，所述身份认证模块在调取所述允许访问列表中的允许访问地址，将所述允许访问地址发送给所述访问终端时，具体用于：

10.根据权利要求6所述的基于安全网关转发的远程访问装置，其特征在于，所述身份认证模块在对所述访问终端进行身份认证时，具体用于：

获取所述访问终端发送的用户图像信息或用户指纹信息；

获取所述被访问终端的鉴权结果；

依据所述鉴权结果判断身份认证是否通过。