CN111756729B - 网络资源访问方法、装置、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种网络资源访问方法、装置、计算机设备和存储介质，应用于设于用户端和待访问资源之间的访问控制网关，方法包括：访问控制网关与用户端建立第一连接后，通过第一连接获取用户端发送的资源访问请求；资源访问请求携带用户信息；根据用户信息，获取令牌验证结果；若令牌验证结果为令牌验证通过，则根据建立与待访问资源的第二连接，并确定对应的访问协议类型；获取与访问协议类型相适应的浏览器虚拟执行环境，并返回至用户端，以使用户端基于浏览器虚拟执行环境经由第一连接和第二连接访问待访问资源。采用本方法能够使得用户端可以通过浏览器虚拟执行环境通过访问控制网关间接访问待访问资源，从而可提高网络资源访问方法的安全性。

Description

网络资源访问方法、装置、计算机设备和存储介质

技术领域

本申请涉及互联网技术领域，特别是涉及一种网络资源访问方法、装置、计算机设备和存储介质。

背景技术

随着互联网技术的发展，互联网部署一般可以分为内部私有网络内网以及外部互联网外网。一般而言，内网会被认为是可以信任的网络，用户可通过内网访问任何内网可达的资源，而外网则一般被认为是不可信任的网络，用户一般会通过在内网和外网之间架设防火墙，阻止外网用户访问内网中的敏感资源。

然而，上述网络部署模式中，对可信任的设备和网络过度信任，对不可信任的设备仅使用划分边界进行控制，存在过度信任问题，因此目前提出了一种零信任网络模型，即对所有网络设备或者网络默认都不进行信任。若两个实体之间需要访问，则必须通过访问控制网关，网关验证通过后，才允许实体之间建立网络连接进行访问。

然而，目前的网络资源访问方法，需要将所有被访问的资源逻辑上放置于安全访问控制网关之后，而将所有的用户放在安全访问控制网关之前，同时由于内网资源和用户间的界线不明确，目前的网络资源访问方法安全性低。

发明内容

基于此，有必要针对上述技术问题，提供一种网络资源访问方法、装置、计算机设备和存储介质。

一种网络资源访问方法，应用于设于用户端和待访问资源之间的访问控制网关，所述方法包括：

与所述用户端建立第一连接后，通过所述第一连接获取所述用户端发送的资源访问请求；所述资源访问请求携带有所述用户端的用户信息；

根据所述用户信息，获取所述用户端的令牌验证结果；

若所述令牌验证结果为令牌验证通过，则根据所述资源访问请求建立与所述待访问资源的第二连接，并确定与所述资源访问请求对应的访问协议类型；

获取与所述访问协议类型相适应的浏览器虚拟执行环境，并将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端，以使所述用户端基于所述浏览器虚拟执行环境经由所述第一连接和所述第二连接访问所述待访问资源。

在其中一个实施例中，所述根据所述用户信息，获取所述用户端的令牌验证结果，包括：若预设的令牌验证表中存有所述用户端的用户信息，则确定所述令牌验证结果为令牌验证通过。

在其中一个实施例中，所述方法还包括：若所述令牌验证表中未存有所述用户端的用户信息，则通过所述第一连接向所述用户端返回认证邀请页面；通过所述第一连接接收所述用户端通过所述认证邀请页面获取的用户身份验证信息；基于所述用户身份验证信息获取所述用户端的身份验证结果；若所述身份验证结果为身份验证通过，则通过所述第一连接为所述用户端发送具有预设访问时效的临时令牌；其中，所述临时令牌对应的令牌验证结果为令牌验证通过；和/或若所述身份验证结果为身份验证未通过，则禁止所述资源访问请求。

在其中一个实施例中，所述访问协议类型包括：超文本传输协议、超文本传输安全协议、安全外壳协议、远程终端协议、远程桌面协议或虚拟网络控制台协议中的至少一种；所述浏览器虚拟执行环境包括：浏览器模拟执行环境、浏览器模拟命令行终端或浏览器模拟远程桌面中的至少一种；所述获取与所述访问协议类型相适应的浏览器虚拟执行环境，包括：若所述访问协议类型为所述超文本传输协议或所述超文本传输安全协议，则获取所述浏览器模拟执行环境；若所述访问协议类型为所述安全外壳协议或所述远程终端协议，则获取所述浏览器模拟命令行终端；和/或若所述访问协议类型为所述远程桌面协议或所述虚拟网络控制台协议，则获取所述浏览器模拟远程桌面。

在其中一个实施例中，所述将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端之后，所述方法还包括：若所述访问协议类型为所述超文本传输协议或所述超文本传输安全协议，则通过所述第一连接接收所述用户端在所述浏览器模拟执行环境下的网站访问请求；对所述网站访问请求进行解析，得到待访问网站；通过所述第二连接访问所述待访问网站，获取针对于所述网站访问请求的网站访问结果；对所述网站访问结果进行封装，并通过所述第一连接返回至所述用户端，以使所述用户端对封装后的所述网站访问结果进行解析并在所述浏览器模拟执行环境下进行展示。

在其中一个实施例中，所述将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端之后，所述方法还包括：若所述访问协议类型为所述安全外壳协议或所述远程终端协议，则通过所述第一连接接收所述用户端在所述浏览器模拟命令行终端下的操作命令指令；对所述操作命令指令进行封装，将封装后的所述操作命令指令通过所述第二连接发送至所述待访问资源，以使所述待访问资源接收所述封装后的所述操作命令指令，并通过所述第二连接返回与所述封装后的所述操作命令指令相匹配的操作命令响应数据；对所述待访问资源返回的所述操作命令响应数据进行解析后通过所述第一连接返回至所述用户端，以使所述用户端在所述浏览器模拟命令行终端下显示解析后的所述操作命令响应数据。

在其中一个实施例中，所述将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端之后，所述方法还包括：若所述访问协议类型为所述远程桌面协议或所述虚拟网络控制台协议，则通过所述第一连接接收所述用户端在所述浏览器模拟远程桌面下的桌面交互指令，并创建虚拟桌面；对所述桌面交互指令进行解析，并基于所述虚拟桌面，通过所述第二连接以及解析后的所述桌面交互指令对所述待访问资源进行桌面交互操作；获取所述待访问资源通过所述第二连接返回的针对于所述桌面交互操作的操作响应图像，并将所述操作响应图像通过所述第一连接返回至所述用户端，以使所述用户端在所述浏览器模拟远程桌面下显示所述操作响应图像。

一种网络资源访问装置，应用于设于用户端和待访问资源之间的访问控制网关，所述装置包括：

请求获取模块，用于与所述用户端建立第一连接后，通过所述第一连接获取所述用户端发送的资源访问请求；所述资源访问请求携带有所述用户端的用户信息；

令牌验证模块，用于根据所述用户信息，获取所述用户端的令牌验证结果；

协议确定模块，用于若所述令牌验证结果为令牌验证通过，则根据所述资源访问请求建立与所述待访问资源的第二连接，并确定与所述资源访问请求对应的访问协议类型；

资源访问模块，用于获取与所述访问协议类型相适应的浏览器虚拟执行环境，并将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端，以使所述用户端基于所述浏览器虚拟执行环境经由所述第一连接和所述第二连接访问所述待访问资源。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法的步骤。

上述网络资源访问方法、装置、计算机设备和存储介质，通过设于用户端和待访问资源之间的访问控制网关与用户端建立第一连接后，通过第一连接获取用户端发送的资源访问请求；资源访问请求携带有用户端的用户信息；根据用户信息，获取用户端的令牌验证结果；若令牌验证结果为令牌验证通过，则根据资源访问请求建立与待访问资源的第二连接，并确定与资源访问请求对应的访问协议类型；获取与访问协议类型相适应的浏览器虚拟执行环境，并将浏览器虚拟执行环境通过第一连接返回至用户端，以使用户端基于浏览器虚拟执行环境经由第一连接和第二连接访问待访问资源。本申请通过用户端与访问控制网关建立第一连接，以及访问控制网关与待访问资源建立第二连接，使得用户端可以通过浏览器虚拟执行环境通过访问控制网关间接访问待访问资源，而不需要直接建立用户端与待访问资源之间的连接，从而可提高网络资源访问方法的安全性。

附图说明

图1为一个实施例中网络资源访问方法的应用环境图；

图2为一个实施例中网络资源访问方法的流程示意图；

图3为一个实施例中根据用户信息，获取用户端的令牌验证结果的流程示意图；

图4为一个实施例中访问协议类型为超文本传输协议或超文本传输安全协议下访问待访问资源的流程示意图；

图5为一个实施例中访问协议类型为安全外壳协议或远程终端协议下访问待访问资源的流程示意图；

图6为一个实施例中访问协议类型为远程桌面协议或虚拟网络控制台协议下访问待访问资源的流程示意图；

图7为另一个实施例中网络资源访问方法的流程示意图；

图8为一个应用实例中网络资源控制及访问方法的网络部署的结构示意图；

图9为一个应用实例中网络资源控制及访问方法的流程示意图；

图10为一个应用实例中协议为RDP/VNC协议下网络资源控制及访问方法的数据交互流程示意图；

图11为一个实施例中网络资源访问装置的结构框图；

图12为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的网络资源访问方法，可以应用于如图1所示的应用环境中。其中，用户端101通过网络，例如网页浏览器的方式与访问控制网关102通过网络进行通信，访问控制网关102通过网络与待访问资源103进行通信。具体地，用户端101可以通过与访问控制网关102建立第一连接，向访问控制网关 102发送待访问资源103的访问请求，访问控制网关102可以首先从访问请求中得到用户端101的用户信息，并对该用户端101进行令牌验证，如果验证通过，则访问控制网关102和待访问资源建立第二连接，使得用户端101可通过第一连接以及第二连接与待访问资源103进行通信。用户端101可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑和便携式可穿戴设备，而待访问资源103则可以是各种资源，例如内网中存储的受保护资源等。

在一个实施例中，如图2所示，提供了一种网络资源访问方法，以该方法应用于图1中的访问控制网关102为例进行说明，其中，该访问控制网关102 设置于用户端101和待访问资源103之间，该方法包括以下步骤：

步骤S201，访问控制网关102与用户端101建立第一连接后，通过第一连接获取用户端101发送的资源访问请求；资源访问请求携带有用户端101的用户信息。

其中，访问控制网关102是用于控制用户端101是否可以访问待访问资源 103的网关，资源访问请求则是用户端101用于发起对待访问资源103的访问请求，可以携带有待访问资源103的IP地址等信息，还可以携带有用户端101的用户信息，例如用户端101的源地址IP，用户端101的用户口令等，第一连接指的是访问控制网关102与用户端101之间建立的网络连接，可以通过用户端 101的浏览器页面登录的方式，进行第一连接的建立。具体地，用户可以通过用户端101的浏览器页面方式建立起与访问控制网关102的第一连接，之后访问控制网关102可通过第一连接接收用户端101发起的用于访问待访问资源103 的资源访问请求，其中，资源访问请求中可携带有用户端101的用户信息。

步骤S202，访问控制网关102根据用户信息，获取用户端101的令牌验证结果；

步骤S203，若令牌验证结果为令牌验证通过，则访问控制网关102根据资源访问请求建立与待访问资源103的第二连接，并确定与资源访问请求对应的访问协议类型。

其中，令牌验证结果是访问控制网关102对用户端101进行令牌验证后得到的验证结果，可以包括令牌验证通过以及令牌验证不通过两种情况，而第二连接则是访问控制网关102与待访问资源103之间建立的连接。具体地，访问控制网关102接收到用户端101发送的资源访问请求，可以从资源访问请求中提取出用户端101的用户信息，并基于用户信息对用户端101进行令牌验证，并得到对应的用户端101的令牌验证结果。而如果令牌验证结果为令牌验证通过，此时访问控制网关102可以根据资源访问请求中与用户端101需要访问的待访问资源103建立起第二连接，同时，还可以从资源访问请求中得到对应的访问协议类型。

步骤S204，访问控制网关102获取与访问协议类型相适应的浏览器虚拟执行环境，并将浏览器虚拟执行环境通过第一连接返回至用户端101，以使用户端 101基于浏览器虚拟执行环境经由第一连接和第二连接访问待访问资源103。

其中，浏览器虚拟执行环境是指在浏览器中显示的虚拟执行环境。具体地，访问控制网关102得到资源访问请求中得到对应的访问协议类型后，可以从预设的多个浏览器虚拟执行环境中选出与该访问协议类型相适应的虚拟执行环境，不同的访问协议类型可分别对应不同浏览器虚拟执行环境，同时，访问控制网关102还可以通过与用户端101建立的第一连接，将得到的浏览器虚拟执行环境返回至用户端101并进行显示，使得用户可以通过用户端101显示的览器虚拟执行环境经由用户端101和访问控制网关102建立起的第一连接，以及访问控制网关102和待访问资源103建立起的第二连接，对待访问资源103进行间接访问。

上述网络资源访问方法中，通过设于用户端101和待访问资源103之间的访问控制网关102与用户端101建立第一连接后，通过第一连接获取用户端101 发送的资源访问请求；资源访问请求携带有用户端101的用户信息；根据用户信息，获取用户端101的令牌验证结果；若令牌验证结果为令牌验证通过，则根据资源访问请求建立与待访问资源103的第二连接，并确定与资源访问请求对应的访问协议类型；获取与访问协议类型相适应的浏览器虚拟执行环境，并将浏览器虚拟执行环境通过第一连接返回至用户端101，以使用户端101基于浏览器虚拟执行环境经由第一连接和第二连接访问待访问资源103。本申请通过用户端101与访问控制网关102建立第一连接，以及访问控制网关与待访问资源建立第二连接，使得用户端101可以通过浏览器虚拟执行环境通过访问控制网关102间接访问待访问资源103，而不需要直接建立用户端101与待访问资源 103之间的连接，从而可提高网络资源访问方法的安全性。

在一个实施例中，步骤S202可以进一步包括：若预设的令牌验证表中存有用户端101的用户信息，则访问控制网关102确定令牌验证结果为令牌验证通过。

其中，令牌验证表中预先存储有多个用户信息，具体地，访问控制网关102 可以从用户端101发送的资源访问请求中提取出该用户端101的用户信息，并与令牌验证表中存储的用户信息进行比对，如果令牌验证表中已经存储有用户端101的用户信息，则确定用户拥有该待访问资源103的访问令牌，并将令牌验证结果确定为令牌验证通过。

另外，如图3所示，步骤S202还可以包括：

步骤S301，若令牌验证表中未存有用户端101的用户信息，则访问控制网关102通过第一连接向用户端101返回认证邀请页面；

步骤S302，访问控制网关102通过第一连接接收用户端101通过认证邀请页面获取的用户身份验证信息。

认证邀请页面可以是用户端101的浏览器中显示的认证页面，可以用于获取用户的身份验证信息。例如：该认证页面可以是用户端101通过浏览器页面显示身份验证表格，用户可以通过填写表格等方式，将用户的身份验证信息录入用户端101。如果令牌验证表中没有该用户端101的用户信息，访问控制网关 102则可以首先通过第一连接向该用户端101发送认证邀请页面，使得用户可以通过用户端101在认证邀请页面上输入用户身份验证信息，再通过第一连接将用户身份验证信息返回至访问控制网关102。

步骤S303，访问控制网关102基于用户身份验证信息获取用户端101的身份验证结果；

步骤S304，若身份验证结果为身份验证通过，则访问控制网关102通过第一连接为用户端发送具有预设访问时效的临时令牌；其中，临时令牌对应的令牌验证结果为令牌验证通过。

用户身份验证信息可以包括：用户的口令、用户的源地址IP、用户的其他身份信息等。步骤S302中访问控制网关102得到用户身份验证信息后，可以利用用户身份验证信息对用户端101的用户进行身份验证，并得到相应的身份验证结果，身份验证结果可以分为身份验证通过或者身份验证未通过两种。如果得到的身份验证结果为身份验证通过，则访问控制网关102会向该用户端101 下发一个具有访问时效的临时令牌，访问时效的长短可以根据实际需要进行设定，同时访问控制网关102会将令牌验证结果修改为验证通过，因此用户端101 可以通过该临时令牌，从访问控制网关102获取与访问协议类型对应的浏览器虚拟执行环境，以完成对待访问资源103的访问。

而如果用户端101的身份验证结果为身份验证未通过，即用户未通过身份验证，访问控制网关102则可以禁止用户端101与待访问资源103的访问请求。

上述实施例中，访问控制网关102可以通过预先设定的令牌验证表，判断用户端101的用户是否由访问令牌，而如果该用户没有访问令牌，例如对于在家办公的用户想通过家里的电脑访问公司内网的资源时，则可以通过访问控制网关102返回认证邀请页面的方式，进行该用户的身份验证，身份验证通过后再下发临时令牌使得用户可以访问待访问资源103，进一步提高了网络资源访问方法的实用性，而对于未能通过身份验证的用户端101，访问控制网关102则直接禁止该用户端101发出的资源访问请求，可以进一步保证网络资源访问的安全性。

由于不同的协议，展现方式、数据交互都不同，所以在不同协议的情况下，浏览器中创建的虚拟环境会有所不同，为了提高网络资源访问方法的泛用性，在一个实施例中，访问协议类型可以包括：超文本传输协议(HTTP协议)、超文本传输安全协议(HTTPS协议)、安全外壳协议(SSH协议)、远程终端协议 (TELNET协议)、远程桌面协议(RDP协议)或虚拟网络控制台协议(VNC 协议)中的至少一种；浏览器虚拟执行环境则可以包括：浏览器模拟执行环境、浏览器模拟命令行终端或浏览器模拟远程桌面中的至少一种；

步骤S204可以进一步包括：若访问协议类型为超文本传输协议或超文本传输安全协议，则访问控制网关102获取浏览器模拟执行环境；若访问协议类型为安全外壳协议或远程终端协议，则访问控制网关102获取浏览器模拟命令行终端；若访问协议类型为远程桌面协议或虚拟网络控制台协议，则访问控制网关102获取浏览器模拟远程桌面。

其中，超文本传输协议(HTTP协议)以及超文本传输安全协议(HTTPS 协议)是用于访问网站资源的访问协议，安全外壳协议(SSH协议)以及远程终端协议(TELNET协议)是用于访问命令行终端资源的访问协议，而远程桌面协议(RDP协议)以及虚拟网络控制台协议(VNC协议)则是用于访问远程桌面资源的访问协议。因此，对应的浏览器虚拟执行环境则可以是：浏览器模拟执行环境、浏览器模拟命令行终端或浏览器模拟远程桌面。

具体地，如果访问协议类型为HTTP协议或HTTPS协议，那么访问控制网关102可以获取浏览器模拟执行环境，以使用户端101可以访问网站资源；如果访问协议类型为SSH协议或TELNET协议，那么访问控制网关102可以获取浏览器模拟命令行终端，以使用户端101可以访问命令行终端资源；而如果访问协议类型为RDP协议或VNC协议，那么访问控制网关102即可以获取浏览器模拟远程桌面，以使用户端101可以访问远程桌面资源。

进一步地，如图4所示，步骤S204之后，该方法还可以包括如下步骤：

步骤S401，若访问协议类型为超文本传输协议或超文本传输安全协议，则访问控制网关102通过第一连接接收用户端101在浏览器模拟执行环境下的网站访问请求。

如果访问协议类型为HTTP协议或HTTPS协议，那么待访问资源103则可以是网站资源，因此访问控制网关102得到浏览器模拟执行环境作为相适应的浏览器虚拟执行环境后，可以通过第一连接将浏览器模拟执行环境发送至用户端101，用户可在浏览器模拟执行环境下发起访问某个目标网站的网站访问请求，并将该请求通过第一连接返回至访问控制网关102。

步骤S402，访问控制网关102对网站访问请求进行解析，得到待访问网站；

步骤S403，访问控制网关102通过第二连接访问待访问网站，获取针对于网站访问请求的网站访问结果。

由于得到的网站访问请求可以是任意网站地址，而该网站地址有可能会跳出访问控制网关102的保护范围，因此，访问控制网关102得到网站访问请求后，首先可以对网站访问请求进行解析，确定该用户需要访问的待访问网站，同时访问控制网关102还可以利用第二连接访问该待访问网站，并获取待访问网站反馈的针对于该网站访问请求的网站访问结果。

步骤S404，访问控制网关102对网站访问结果进行封装，并通过第一连接返回至用户端101，以使用户端101对封装后的网站访问结果进行解析并在浏览器模拟执行环境下进行展示。

具体地，访问控制网关102得到待访问网站反馈的网站访问响应结果后，可以对网站访问结果进行封装，返回至用户端101，用户端101可对封装后的网站访问结果进行解析，并在浏览器模拟执行环境下将响应结果进行展示。由于是访问控制网关102对网站访问结果进行封装，因此用户端101解析后得到的网站访问结果来源是访问控制网关102，从而实现将原页面中访问待访问网站的请求全部重写至访问控制网关102。

进一步地，如图5所示，步骤S204之后，该方法还可以包括如下步骤：

步骤S501，若访问协议类型为安全外壳协议或远程终端协议，则访问控制网关102通过第一连接接收用户端101在浏览器模拟命令行终端下的操作命令指令。

具体地，如果访问协议类型为安全外壳协议或远程终端协议，那么访问控制网关102将浏览器模拟命令行终端发送至用户端101之后，用户可通过用户端101在浏览器模拟命令行终端下进行操作，并生成对应的操作命令指令，用户端101可将生成的操作命令指令发送至访问控制网关102。

步骤S502，访问控制网关102对操作命令指令进行封装，将封装后的操作命令指令通过第二连接发送至待访问资源103，以使待访问资源103接收封装后的操作命令指令，并通过第二连接返回与封装后的操作命令指令相匹配的操作命令响应数据。

访问控制网关得到用户端101发送的操作命令指令，可以对该操作命令指令进行封装后，形成对应的SSH协议或TELNET协议利用第二连接进行数据通信，将封装后的操作命令指令发送至待访问资源103，待访问资源103得到封装后的操作命令指令后，可对操作命令指令进行解析处理，并生成相匹配的操作命令响应数据，返回至访问控制网关102。

步骤S503，访问控制网关102对待访问资源103返回的操作命令响应数据进行解析后通过第一连接返回至用户端101，以使用户端101在浏览器模拟命令行终端下显示解析后的操作命令响应数据。

访问控制网关102可以将待访问资源103返回的操作命令响应数据进行解析处理，并将解析处理后的操作命令响应数据返回给用户端101，用户端101则可以在浏览器模拟命令行终端下显示该解析后的操作命令响应数据。

进一步地，如图6所示，步骤S204之后，该方法还可以包括如下步骤：

步骤S601，若访问协议类型为远程桌面协议或虚拟网络控制台协议，则访问控制网关102通过第一连接接收用户端101在浏览器模拟远程桌面下的桌面交互指令，并创建虚拟桌面。

如果访问协议是远程桌面协议或虚拟网络控制台协议，那么访问控制网关 102可以通过第一连接将浏览器模拟远程桌面发送至用户端101，同时访问控制网关102在内部可生成一个虚拟桌面，用户可通过浏览器模拟远程桌面在用户端101完成桌面交互，用户端101可生成相应的桌面交互指令，并返回至访问控制网关102。

步骤S602，访问控制网关102对桌面交互指令进行解析，并基于虚拟桌面，通过第二连接以及解析后的桌面交互指令对待访问资源进行桌面交互操作；

步骤S603，访问控制网关102获取待访问资源103通过第二连接返回的针对于桌面交互操作的操作响应图像，并将操作响应图像通过第一连接返回至用户端101，以使用户端101在浏览器模拟远程桌面下显示操作响应图像。

访问控制网关102从用户端101得到桌面交互指令后，首先可以对该指令数据进行解析，并在内部生成的虚拟桌面中通过第二连接对待访问资源103执行相同的操作，待访问资源103则可以将操作完成后的操作响应图像通过第二连接反馈至访问控制网关102，访问控制网关102再将操作响应图像下发至用户端101，以使得用户端101在浏览器模拟远程桌面下显示待访问资源103操作完成后的操作响应图像。

上述实施例中，无需修改访问控制网关102的代理配置即可实现HTTP协议/HTTPS协议的响应过程，可以不用对链接进行改写，另外对于远程桌面以及命令行终端等资源的访问，如RDP协议或VNC协议的远程桌面资源，以及 SSH协议或TELNET协议的命令行终端资源，也可以免去用户安装客户端及插件的麻烦，从而提高网络资源访问的效率。

在一个实施例中，如图7所示，还提供了一种网络资源访问方法，以该方法应用于图1中的访问控制网关102为例进行说明，其中，该访问控制网关102 设置于用户端101和待访问资源103之间，该方法包括以下步骤：

步骤S701，访问控制网关102与用户端101建立第一连接后，通过第一连接获取用户端101发送的资源访问请求；资源访问请求携带有用户端101的用户信息；

步骤S702，若预设的令牌验证表中存有用户端101的用户信息，则访问控制网关102确定令牌验证结果为令牌验证通过；

步骤S703，若令牌验证表中未存有用户端101的用户信息，则访问控制网关102通过第一连接向用户端101返回认证邀请页面；

步骤S704，访问控制网关102通过第一连接接收用户端101通过认证邀请页面获取的用户身份验证信息；基于用户身份验证信息获取用户端101的身份验证结果；

步骤S705，若身份验证结果为身份验证通过，则访问控制网关102通过第一连接为用户端101发送具有预设访问时效的临时令牌；其中，临时令牌对应的令牌验证结果为令牌验证通过；

步骤S706，若令牌验证结果为令牌验证通过，则访问控制网关102根据资源访问请求建立与待访问资源103的第二连接，并确定与资源访问请求对应的访问协议类型；访问协议类型包括超文本传输协议、超文本传输安全协议、安全外壳协议、远程终端协议、远程桌面协议或虚拟网络控制台协议中的至少一种；

步骤S707，若访问协议类型为超文本传输协议或超文本传输安全协议，则访问控制网关102获取浏览器模拟执行环境，并将浏览器模拟执行环境通过第一连接返回至用户端101；

步骤S708，访问控制网关102通过第一连接接收用户端101在浏览器模拟执行环境下的网站访问请求；对网站访问请求进行解析，得到待访问网站；通过第二连接访问待访问网站，获取针对于网站访问请求的网站访问结果；

步骤S709，访问控制网关102对网站访问结果进行封装，并通过第一连接返回至用户端101，以使用户端101对封装后的网站访问结果进行解析并在浏览器模拟执行环境下进行展示；

步骤S710，若访问协议类型为安全外壳协议或远程终端协议，则访问控制网关102获取浏览器模拟命令行终端，并将浏览器模拟命令行终端通过第一连接返回至用户端101；

步骤S711，访问控制网关102通过第一连接接收用户端101在浏览器模拟命令行终端下的操作命令指令；

步骤S712，访问控制网关102对操作命令指令进行封装，将封装后的操作命令指令通过第二连接发送至待访问资源103，以使待访问资源103接收封装后的操作命令指令，并通过第二连接返回与封装后的操作命令指令相匹配的操作命令响应数据；

步骤S713，访问控制网关102对待访问资源103返回的操作命令响应数据进行解析后通过第一连接返回至用户端101，以使用户端101在浏览器模拟命令行终端下显示解析后的操作命令响应数据；

步骤S714，若访问协议类型为远程桌面协议或虚拟网络控制台协议，则访问控制网关102获取浏览器模拟远程桌面，并将浏览器模拟远程桌面通过第一连接返回至用户端101；

步骤S715，访问控制网关102通过第一连接接收用户端101在浏览器模拟远程桌面下的桌面交互指令，并创建虚拟桌面；

步骤S716，访问控制网关102对桌面交互指令进行解析，并基于虚拟桌面，通过第二连接以及解析后的桌面交互指令对待访问资源103进行桌面交互操作；

步骤S717，访问控制网关102获取待访问资源103通过第二连接返回的针对于桌面交互操作的操作响应图像，并将操作响应图像通过第一连接返回至用户端101，以使用户端101在浏览器模拟远程桌面下显示操作响应图像。

上述网络资源访问方法，用户端101可以通过浏览器虚拟执行环境通过访问控制网关102间接访问待访问资源103，而不需要直接建立用户端101与待访问资源103之间的连接，从而可提高网络资源访问方法的安全性，通过访问控制网关102返回认证邀请页面的方式，进行该用户的身份验证，身份验证通过后再下发临时令牌使得用户可以访问待访问资源103，进一步提高了网络资源访问方法的实用性。还实现了无需修改访问控制网关102的代理配置即可实现 HTTP协议/HTTPS协议的响应过程，可以不用对链接进行改写，另外对于远程桌面以及命令行终端等资源的访问，如RDP协议或VNC协议的远程桌面资源，以及SSH协议或TELNET协议的命令行终端资源，也可以免去用户安装客户端及插件的麻烦，从而提高网络资源访问的效率。

在一个应用实例中，提供了一种网络资源控制及访问方法，该方法可以在不改变原有网络物理结构的方式下部署，如图8所示。该方法新增一个访问控制网关设备，通过将用户对资源的访问进行认证授权，来确保受保护资源被访问过程中安全并可审计。无需改动任何物理网络结构，只需将受保护资源的权限限制在只允许访问控制网关进行访问即可，而用户若想访问受保护资源时，需要首先在访问控制网关上进行验证。

即无论内网或外网用户在访问受保护资源时，如图9所示，步骤如下：

1、用户通过浏览器访问受保护资源，访问控制网关对用户的访问请求进行验证，验证该用户是否拥有可访问该受保护资源的令牌；

2、若该用户没有访问该受保护资源的令牌，则访问控制网关将该用户的请求重定向至WEB门户认证页面，让用户进行受保护资源的访问申请；

3、通过多种方式对用户的身份进行验证，其中包括但不限于用户的口令、用户的源地址IP、用户的其他身份信息等，若验证不通过，则拒绝用户的这次访问请求，若验证通过，则下发一个具有访问时效的令牌；

4、用户带着该访问令牌向访问控制网关获取浏览器虚拟执行环境，访问控制网关根据用户的申请下发对应的虚拟环境，即用户若访问SSH/TELNET协议的受保护资源，访问控制网关下发浏览器模拟命令行终端，用户若访问 RDP/VNC的受保护资源，访问控制网关下发浏览器模拟远程桌面，用户若访问 HTTP/HTTPS的受保护资源，访问控制网关下发浏览器模拟执行环境；

5、用户在这些模拟执行环境中对受保护资源进行操作。

由于不同的协议，展现方式、数据交互都不同，所以在不同协议的情况下，浏览器中创建的虚拟环境会有所不同，具体形式如下体现：

1、当协议为HTTP/HTTPS协议时：因为HTTP/HTTPS协议中可以允许在响应中自定义用户之后的访问请求，而这些访问请求可以是任意目的地址，如果不进行处理的话用户的二次访问可能会存在跳出访问控制网关的保护范围。因此，访问控制网关会对用户的请求进行解析，然后访问控制网关重新模拟用户请求访问真实的后端HTTP/HTTPS资源，同时访问控制网关对访问得到的结果进行二次封装，封装的目的是将原网站的请求都在虚拟环境中执行。当用户收到经过访问控制网关二次封装的响应后，在虚拟环境中将封装解析后进行处理，将原页面中访问原站请求全部重写至访问控制网关，即使得用户之后所有的请求都必须发送至访问控制网关；

2、当协议为SSH/TELENT协议时：访问控制网关会下发命令行模拟器，可以在用户的浏览器中模拟一个命令行终端，用户连接受保护资源时会首先将连接受保护资源的信息发送给访问控制网关，访问控制网关内部创建一个到受保护资源的连接。在连接创建完成后，用户即可在浏览器的模拟器中进行操作，访问控制网关收到这些操作指令后，在命令进行审计后会通过和受保护资源的连接将数据封装成对应的SSH/TELNET协议进行数据通信，同时，受保护资源返回的数据也会通过该连接到达访问控制网关，访问控制网关进行解析处理后将数据发送至用户的浏览器模拟器中进行显示；

3、当协议为RDP/VNC协议时：如图10所示，访问控制网关会下发虚拟桌面模拟器，可以在用户的浏览器中绘制一个远程桌面图形，用户连接受保护资源时会首先将连接受保护资源的信息发送给访问控制网关，访问控制网关内部同时创建一个虚拟桌面并和受保护资源建立连接。用户即可在模拟器的虚拟桌面中进行鼠标、键盘等交互，这些交互会通过模拟器会发送至访问控制网关，访问控制网关将模拟器的数据进行解析后在内部的虚拟桌面中执行相同的操作，访问控制网关会对操作完成后的图像进行处理，并下发至用户浏览器中的虚拟桌面模拟器中，模拟器根据这些数据在浏览器中显示对应的图像。

上述应用实例中，解决了零信任网络部署问题，即不改变物理网络结构即可达到零信任的访问控制效果，可以让用户无需任何客户端安装即可实现访问受保护资源，支持多个平台的浏览器，包括电脑端的Chrome、Safari、IE等，以及平板及手机内置浏览器，无需修改访问控制网关的代理配置即可完成 HTTP/HTTPS响应。

应该理解的是，虽然本申请的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图11所示，提供了一种网络资源访问装置，应用于设于用户端和待访问资源之间的访问控制网关，包括：请求获取模块1101、令牌验证模块1102、协议确定模块1103和资源访问模块1104，其中：

请求获取模块1101，用于与用户端建立第一连接后，通过第一连接获取用户端发送的资源访问请求；资源访问请求携带有用户端的用户信息；

令牌验证模块1102，用于根据用户信息，获取用户端的令牌验证结果；

协议确定模块1103，用于若令牌验证结果为令牌验证通过，则根据资源访问请求建立与待访问资源的第二连接，并确定与资源访问请求对应的访问协议类型；

资源访问模块1104，用于获取与访问协议类型相适应的浏览器虚拟执行环境，并将浏览器虚拟执行环境通过第一连接返回至用户端，以使用户端基于浏览器虚拟执行环境经由第一连接和第二连接访问待访问资源。

在一个实施例中，令牌验证模块1102，进一步用于若预设的令牌验证表中存有用户端的用户信息，则确定令牌验证结果为令牌验证通过。

在一个实施例中，令牌验证模块1102，还用于若令牌验证表中未存有用户端的用户信息，则通过第一连接向用户端返回认证邀请页面；通过第一连接接收用户端通过认证邀请页面获取的用户身份验证信息；基于用户身份验证信息获取用户端的身份验证结果；若身份验证结果为身份验证通过，则通过第一连接为用户端发送具有预设访问时效的临时令牌；其中，临时令牌对应的令牌验证结果为令牌验证通过；以及用于若身份验证结果为身份验证未通过，则禁止资源访问请求。

在一个实施例中，访问协议类型包括：超文本传输协议、超文本传输安全协议、安全外壳协议、远程终端协议、远程桌面协议或虚拟网络控制台协议中的至少一种；浏览器虚拟执行环境包括：浏览器模拟执行环境、浏览器模拟命令行终端或浏览器模拟远程桌面中的至少一种；资源访问模块1104，进一步用于若访问协议类型为超文本传输协议或超文本传输安全协议，则获取浏览器模拟执行环境；若访问协议类型为安全外壳协议或远程终端协议，则获取浏览器模拟命令行终端；若访问协议类型为远程桌面协议或虚拟网络控制台协议，则获取浏览器模拟远程桌面。

在一个实施例中，网络资源访问装置，还包括：数据交互模块，用于若访问协议类型为超文本传输协议或超文本传输安全协议，则通过第一连接接收用户端在浏览器模拟执行环境下的网站访问请求；对网站访问请求进行解析，得到待访问网站；通过第二连接访问所述待访问网站，获取针对于网站访问请求的网站访问结果；对网站访问结果进行封装，并通过第一连接返回至所用户端，以使用户端对封装后的网站访问结果进行解析并在浏览器模拟执行环境下进行展示。

在一个实施例中，数据交互模块，还用于若访问协议类型为安全外壳协议或远程终端协议，则通过第一连接接收用户端在浏览器模拟命令行终端下的操作命令指令；对操作命令指令进行封装，将封装后的操作命令指令通过第二连接发送至待访问资源，以使待访问资源接收封装后的所述操作命令指令，并通过第二连接返回与封装后的操作命令指令相匹配的操作命令响应数据；对待访问资源返回的操作命令响应数据进行解析后通过第一连接返回至用户端，以使用户端在浏览器模拟命令行终端下显示解析后的操作命令响应数据。

在一个实施例中，数据交互模块，还用于若访问协议类型为远程桌面协议或虚拟网络控制台协议，则通过第一连接接收用户端在浏览器模拟远程桌面下的桌面交互指令，并创建虚拟桌面；对桌面交互指令进行解析，并基于虚拟桌面，通过第二连接以及解析后的桌面交互指令对待访问资源进行桌面交互操作；获取待访问资源通过第二连接返回的针对于桌面交互操作的操作响应图像，并将操作响应图像通过第一连接返回至用户端，以使用户端在浏览器模拟远程桌面下显示操作响应图像。

关于网络资源访问装置的具体限定可以参见上文中对于网络资源访问方法的限定，在此不再赘述。上述网络资源访问装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是访问控制网关，其内部结构图可以如图12所示。该计算机设备包括通过系统总线连接的处理器、存储器、通信接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、运营商网络、NFC (近场通信)或其他技术实现。该计算机程序被处理器执行时以实现一种网络资源访问方法。

本领域技术人员可以理解，图12中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，还提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述各方法实施例中的步骤。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述各方法实施例中的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory， SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种网络资源访问方法，其特征在于，应用于设于用户端和待访问资源之间的访问控制网关，所述方法包括：

与所述用户端建立第一连接后，通过所述第一连接获取所述用户端发送的资源访问请求；所述资源访问请求携带有所述用户端的用户信息；

根据所述用户信息，获取所述用户端的令牌验证结果；包括：若预设的令牌验证表中存有所述用户端的用户信息，则确定所述令牌验证结果为令牌验证通过；

若所述令牌验证结果为令牌验证通过，则根据所述资源访问请求建立与所述待访问资源的第二连接，并确定与所述资源访问请求对应的访问协议类型；

获取与所述访问协议类型相适应的浏览器虚拟执行环境，并将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端，以使所述用户端基于所述浏览器虚拟执行环境经由所述第一连接和所述第二连接访问所述待访问资源。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若所述令牌验证表中未存有所述用户端的用户信息，则通过所述第一连接向所述用户端返回认证邀请页面；

通过所述第一连接接收所述用户端通过所述认证邀请页面获取的用户身份验证信息；

基于所述用户身份验证信息获取所述用户端的身份验证结果；

若所述身份验证结果为身份验证通过，则通过所述第一连接为所述用户端发送具有预设访问时效的临时令牌；其中，所述临时令牌对应的令牌验证结果为令牌验证通过；

和/或

若所述身份验证结果为身份验证未通过，则禁止所述资源访问请求。

3.根据权利要求1或2所述的方法，其特征在于，所述访问协议类型包括：超文本传输协议、超文本传输安全协议、安全外壳协议、远程终端协议、远程桌面协议或虚拟网络控制台协议中的至少一种；所述浏览器虚拟执行环境包括：浏览器模拟执行环境、浏览器模拟命令行终端或浏览器模拟远程桌面中的至少一种；

所述获取与所述访问协议类型相适应的浏览器虚拟执行环境，包括：

若所述访问协议类型为所述超文本传输协议或所述超文本传输安全协议，则获取所述浏览器模拟执行环境；

若所述访问协议类型为所述安全外壳协议或所述远程终端协议，则获取所述浏览器模拟命令行终端；

和/或

若所述访问协议类型为所述远程桌面协议或所述虚拟网络控制台协议，则获取所述浏览器模拟远程桌面。

4.根据权利要求3所述的方法，其特征在于，所述将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端之后，所述方法还包括：

若所述访问协议类型为所述超文本传输协议或所述超文本传输安全协议，则通过所述第一连接接收所述用户端在所述浏览器模拟执行环境下的网站访问请求；

对所述网站访问请求进行解析，得到待访问网站；

通过所述第二连接访问所述待访问网站，获取针对于所述网站访问请求的网站访问结果；

对所述网站访问结果进行封装，并通过所述第一连接返回至所述用户端，以使所述用户端对封装后的所述网站访问结果进行解析并在所述浏览器模拟执行环境下进行展示。

5.根据权利要求3所述的方法，其特征在于，所述将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端之后，所述方法还包括：

若所述访问协议类型为所述安全外壳协议或所述远程终端协议，则通过所述第一连接接收所述用户端在所述浏览器模拟命令行终端下的操作命令指令；

对所述操作命令指令进行封装，将封装后的所述操作命令指令通过所述第二连接发送至所述待访问资源，以使所述待访问资源接收所述封装后的所述操作命令指令，并通过所述第二连接返回与所述封装后的所述操作命令指令相匹配的操作命令响应数据；

对所述待访问资源返回的所述操作命令响应数据进行解析后通过所述第一连接返回至所述用户端，以使所述用户端在所述浏览器模拟命令行终端下显示解析后的所述操作命令响应数据。

6.根据权利要求3所述的方法，其特征在于，所述将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端之后，所述方法还包括：

若所述访问协议类型为所述远程桌面协议或所述虚拟网络控制台协议，则通过所述第一连接接收所述用户端在所述浏览器模拟远程桌面下的桌面交互指令，并创建虚拟桌面；

对所述桌面交互指令进行解析，并基于所述虚拟桌面，通过所述第二连接以及解析后的所述桌面交互指令对所述待访问资源进行桌面交互操作；

获取所述待访问资源通过所述第二连接返回的针对于所述桌面交互操作的操作响应图像，并将所述操作响应图像通过所述第一连接返回至所述用户端，以使所述用户端在所述浏览器模拟远程桌面下显示所述操作响应图像。

7.一种网络资源访问装置，其特征在于，应用于设于用户端和待访问资源之间的访问控制网关，所述装置包括：

请求获取模块，用于与所述用户端建立第一连接后，通过所述第一连接获取所述用户端发送的资源访问请求；所述资源访问请求携带有所述用户端的用户信息；

令牌验证模块，用于根据所述用户信息，获取所述用户端的令牌验证结果；进一步用于若预设的令牌验证表中存有用户端的用户信息，则确定令牌验证结果为令牌验证通过；

协议确定模块，用于若所述令牌验证结果为令牌验证通过，则根据所述资源访问请求建立与所述待访问资源的第二连接，并确定与所述资源访问请求对应的访问协议类型；

资源访问模块，用于获取与所述访问协议类型相适应的浏览器虚拟执行环境，并将所述浏览器虚拟执行环境通过所述第一连接返回至所述用户端，以使所述用户端基于所述浏览器虚拟执行环境经由所述第一连接和所述第二连接访问所述待访问资源。

8.根据权利要求7所述的装置，其特征在于，所述令牌验证模块，还用于若令牌验证表中未存有用户端的用户信息，则通过第一连接向用户端返回认证邀请页面；通过第一连接接收用户端通过认证邀请页面获取的用户身份验证信息；基于用户身份验证信息获取用户端的身份验证结果；若身份验证结果为身份验证通过，则通过第一连接为用户端发送具有预设访问时效的临时令牌；其中，临时令牌对应的令牌验证结果为令牌验证通过；以及用于若身份验证结果为身份验证未通过，则禁止资源访问请求。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。

Images