CN111901357B - 远程网络连接方法、系统、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种远程网络连接方法、系统、计算机设备和存储介质。方法包括：监听通过客户端的目标端口发起的服务器连接请求，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址，构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据，将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。基于网关实现客户端与目标服务器之间的网络连接，简化了客户端与服务器的网络连接管理。

Description

远程网络连接方法、系统、计算机设备和存储介质

技术领域

本申请涉及互联网技术领域，特别是涉及一种远程网络连接方法、系统、计算机设备和存储介质。

背景技术

随着互联网技术的发展，远程办公越来越盛行，尤其在互联网行业远程办公开始越来越重要。众多中小型互联网公司的研发环境都选择使用公有云环境，而员工办公远程连接公有云环境有很多安全要求和限制，为了安全，开发环境不直接对外开放。

传统技术中，通过在使用时给每个个人开发机开通IP权限的方式实现客户端与开发环境中的服务器的网络连接，然而服务器的部分服务能够开通的IP白名单数量是有数量限制的，无法支持所有个人开发机同时连接，而且远程办公时，IP经常都是运商动态分配的、会动态更新，从而导致了网络连接权限管理复杂。

发明内容

基于此，有必要针对上述技术问题，提供一种能够简化网络连接权限管理的远程网络连接方法、装置、计算机设备和存储介质。

一种远程网络连接方法，方法包括：

监听通过客户端的目标端口发起的服务器连接请求；

从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；

构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据；

将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

一种远程网络连接装置，装置包括：

请求监听模块，用于监听通过客户端的目标端口发起的服务器连接请求；

请求解析模块，用于从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；

请求构建模块，用于构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据；

请求发送模块，用于将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

一种计算机设备，该计算机设备包括终端设备，终端设备包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时实现以下步骤：

监听通过客户端的目标端口发起的服务器连接请求；

从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；

构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据；

将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

监听通过客户端的目标端口发起的服务器连接请求；

从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；

构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据；

将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

上述远程网络连接方法、装置、计算机设备和存储介质，通过客户端监听通过客户端的目标端口发起的服务器连接请求，通过对目的本地端口的监听，实现了数据源的筛选，避免了将其他无意义的请求全部转发到网关而导致数据处理过程复杂化，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址，构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求，通过网关连接请求发送至网关实现对客户端签名数据和目标服务器地址的验证，确保了客户端目标端口与目标服务器的连接安全性。基于网关无需通过实时开通IP权限即可实现客户端与目标服务器之间基于网关中转的网络连接，简化了客户端与服务器的网络连接管理。

一种远程网络连接方法，方法包括：

接收客户端发送的网关连接请求，网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址；

提取网关连接请求中携带的目标服务器地址和客户端签名数据；

对客户端签名数据和目标服务器地址进行验证；

当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

一种远程网络连接装置，装置包括：

请求接收模块，用于接收客户端发送的网关连接请求，网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址；

数据提取模块，用于提取网关连接请求中携带的目标服务器地址和客户端签名数据；

数据验证模块，用于对客户端签名数据和目标服务器地址进行验证；

连接建立模块，用于当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的之间基于网关中转网络连接。

一种计算机设备，该计算机设备包括网关，网关包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时实现以下步骤：

接收客户端发送的网关连接请求，网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址；

提取网关连接请求中携带的目标服务器地址和客户端签名数据；

对客户端签名数据和目标服务器地址进行验证；

当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

接收客户端发送的网关连接请求，网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址；

提取网关连接请求中携带的目标服务器地址和客户端签名数据；

对客户端签名数据和目标服务器地址进行验证；

当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

上述远程网络连接方法、装置、计算机设备和存储介质，通过网关提取网关连接请求中携带的客户端签名数据和目标服务器地址，由于目标服务器地址是通过对目的本地端口的监听并解析得到的，实现了数据源的筛选，避免了将其他无意义的请求全部转发到网关而导致数据处理过程复杂化，网关对客户端签名数据和目标服务器地址进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的网络连接，确保了客户端目标端口与目标服务器的连接安全性。基于网关无需通过实时开通IP权限即可实现客户端与目标服务器的网络连接，简化了客户端与服务器的网络连接管理。

一种远程网络连接系统，其特征在于，系统包括客户端和网关；

客户端监听通过客户端的目标端口发起的服务器连接请求，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求，发送网关连接请求至网关；

网关提取网关连接请求中携带的客户端签名数据和目标服务器地址，对客户端签名数据和目标服务器地址进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

上述远程网络连接系统，通过客户端监听通过客户端的目标端口发起的服务器连接请求，通过对目的本地端口的监听，实现了数据源的筛选，避免了将其他无意义的请求全部转发到网关而导致数据处理过程复杂化，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址，构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求并发送至网关，通过网关实现对客户端签名数据和目标服务器地址的验证，确保了客户端目标端口与目标服务器的连接安全性。基于网关无需通过实时开通IP权限即可实现客户端与目标服务器的网络连接，简化了客户端与服务器的网络连接管理。

附图说明

图1为一个实施例中远程网络连接系统的结构示意图；

图2为一个实施例中远程网络连接方法的流程示意图；

图3为一个实施例中远程网络连接方法的流程示意图；

图4为另一个实施例中远程网络连接方法的流程示意图；

图5为再一个实施例中远程网络连接方法的流程示意图；

图6为一个实施例中远程网络连接方法的系统交互图；

图7为一个实施例中远程网络连接装置的结构框图；

图8为另一个实施例中远程网络连接装置的结构框图；

图9为一个实施例中终端设备的内部结构图；

图10为一个实施例中网关的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的远程网络连接方法，可以应用于如图1所示的远程网络连接系统中。其中，客户端102通过网络与网关104进行通信，网关104通过网络与服务器160连接，在实施例中，与网关104连接的客户端102的数量、以及与网关104连接的服务器106的数量均可以为多个。客户端102监听通过客户端的目标端口发起的服务器连接请求，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求并发送至网关104；网关104提取网关连接请求中携带的客户端签名数据和目标服务器地址，对客户端签名数据和目标服务器地址进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端102与目标服务器地址对应服务器106的网络连接。其中，客户端可以安装于终端，终端可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑和便携式可穿戴设备，服务器106可以用独立的服务器或者是多个服务器组成的服务器集群来实现。

在一个实施例中，如图2所示，提供了一种远程网络连接方法，以该方法应用于图1中的客户端为例进行说明，包括以下步骤202至步骤208。

步骤202，监听通过客户端的目标端口发起的服务器连接请求。

目标端口是指根据预先配置的指定的需要与服务器进行交互的端口，客户端可以通过预先配置的客户端配置文件，读取该些指定端口，并对该写指定端口进行监听。

在实施例中，以开发环境中，客户端需要访问的服务器可以包括云主机、MySQL、Redis、Elasticsearch以及消息队列等对应的一个或多个服务器，具体来说，不同类型的服务器对应的客户端端口是不一样的，例如，3306端口属于MySQL对应的端口号、6379属于Redis对应的端口号、9200和9300属于Elasticsearch对应的端口号，当需要访问的服务器包括MySQL、Redis、Elasticsearch对应的服务器时，需要监听的目标端口包括客户端本地的3306端口、6379端口、9200端口以及9300端口。

通过客户端本地启动socket(套接字)时监听多个指定端口号对应的本地端口，确定客户端是否通过该些指定端口发起了与对应目标服务器的服务器连接请求，当监听到通过该些指定端口发起服务器连接请求时，拦截该服务器连接请求。

步骤204，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址。

客户端对通过监听目标端口获取到的服务器连接请求进行解析，确定待连接的目标服务器、以及目标服务器地址。具体来说，目标服务器地址包括目标服务器的端口以及IP或域名。

客户端签名数据是指基于获取该客户端的当前使用者信息，通过对当前使用者信息进行加密处理得到的签名数据。根据客户端签名数据，可以对客户端的身份进行标识，用于进行客户端的身份合法性验证，同时，通过加密处理的数据不会对当前使用者的信息如账号密码等造成泄漏，以确保网络连接的安全性。

与客户端关联的网关地址是预先配置的，由于服务器的开放访问权限的IP数量是有限的，客户端无法直接访问该服务器。通过客户端的配置信息，得到预先配置的允许客户端访问的网关的地址信息，地址信息包括网关的端口以及IP或域名。

步骤206，构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据。

网关连接请求是指客户端发送的与网关之间的网络连接请求，由于客户端无法直接与目标服务器实现网络连接，以网关为中间转发介质，可以实现客户端与服务器的网络连接。

基于目标服务器地址、客户端签名数据以及网关地址，构建网关连接请求，该网关连接请求指向网关地址，携带有目标服务器地址和客户端签名数据，其中网关地址用于表征请求的发送对象为该网关地址对应的网关，目标服务器地址和客户端签名数据用于使网关进行数据校验，确定待建立连接关系的客户端和服务器是否合法。

步骤208，将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的网络连接。

网关在接收到网关连接请求之后，需要对客户端身份进行验证来建立网关与客户端的目标端口的网络连接。具体来说，网关可以通过提取网关连接请求中的客户端签名数据，通过对签名数据的验签，来实现对客户端身份的验证。

此外，还需要对客户端想要连接的目标服务器进行验证，确定该目标服务器是否允许该网关进行访问。目标服务器进行验证通过对网关连接请求中携带的目标服务器地址进行验证，具体来说，网关可以通过提取网关连接请求中的目标服务器地址，验证目标服务器地址是否为预先配置的可连接服务器中的一个对应的地址，来得到目标服务器地址的验证结果。

上述远程网络连接方法，通过客户端监听通过客户端的目标端口发起的服务器连接请求，通过对目的本地端口的监听，实现了数据源的筛选，避免了将其他无意义的请求全部转发到网关而导致数据处理过程复杂化，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址，构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求，通过网关连接请求发送至网关实现对客户端签名数据和目标服务器地址的验证，确保了客户端目标端口与目标服务器的连接安全性。基于网关无需通过实时开通IP权限即可实现客户端与目标服务器之间基于网关中转的网络连接，简化了客户端与服务器的网络连接管理。

在其中一个实施例中，在监听通过客户端的目标端口发起的服务器连接请求之前，还包括：获取客户端配置文件。提取客户端配置文件中的端口标识。根据端口标识，确定待监听的目标端口并启动监听线程。

客户端配置文件适用于客户端的配置文件，包括实现基于网关实现客户端与目标服务器的网络连接的配置数据。在实施例中，客户端配置文件中包括需要监听的指定端口的端口标识，端口标识具体可以包括端口号。客户端通过获取客户端配置文件，提取客户端配置文件中的端口标识，来确定待监听的目标端口并启动监听线程。通过在客户端设置客户端配置文件来监听指定的端口，实际上建立的是网关与该客户端的指定端口的网络连接，实现了对网关接收数据的灵活配置，避免了将其他无意义的请求全部转发到网关，减少了无效数据对数据处理资源的占用率。

在其中一个实施例中，获取客户端签名数据以及与客户端关联的网关地址包括：从获取的客户端配置文件中提取当前登录用户信息以及签名规则数据，签名规则数据与网关中配置的验签规则数据对应。根据签名规则数据中的密钥和签名算法，对当前登录用户信息进行签名处理，得到客户端签名数据。从获取的客户端配置文件中提取与客户端关联的网关地址，网关地址包括网关端口和/或网关IP。

客户端配置文件中的配置数据处理目标端口的端口标识，还包括对客户端的当前登录用户信息进行签名的签名规则数据。在客户端，基于签名规则数据中的密钥和签名算法，对客户端的当前登录用户信息进行签名，得到的签名数据为加密的数据。客户端的当前登录用户信息包括用户名和密码。当前登录用户信息可以在用户登录客户端时写入客户端配置文件中，以使客户端在进行签名处理时，可以直接从客户端配置数据中获取到当前登录用户的用户名和密码，并通过对用户名及密码的签名处理，得到客户端签名数据。

相应的，网关中配置有与客户端的客户端配置文件对应的网关配置文件，网关配置文件中包括与签名规则数据对应的验签规则数据，以使网关对签名数据进行验签。

在实施例中，签名数据的验签的实现包括多种方式，第一种是在网关配置文件中配置允许连接的客户端的用户名单，由网关对客户端签名数据对应的当前登录用户信息进行验证。第二种是连接系统用户体系，网关将客户端签名数据发送至系统用户体系，由系统用户体系对客户端签名数据对应的当前登录用户信息进行验证。

在其中一个实施例中，将网关连接请求发送至网关地址对应的网关包括：基于CONNECT方法，将网关连接请求发送至网关地址对应的网关。

CONNECT方法是一种基于HTTP隧道连接模式，客户端通过CONNECT方法请求隧道代理创建一条到达目的服务器和端口的TCP连接，并对客户端和服务器之间的后继数据进行盲转发。基于CONNECT方法，实现客户端与网关之间的HTTP隧道连接，便于实现网关与客户端的安全连接。

在一个实施例中，如图3所示，提供了一种远程网络连接方法，以该方法应用于图1中的网关为例进行说明，包括以下步骤302至步骤308。

步骤302，接收客户端发送的网关连接请求，网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址。

步骤304，提取网关连接请求中携带的目标服务器地址和客户端签名数据。

步骤306，对客户端签名数据和目标服务器地址进行验证。

步骤308，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的网络连接。

网关在接收到网关连接请求之后，需要对客户端身份进行验证来建立网关与客户端的目标端口的网络连接。具体来说，网关可以通过提取网关连接请求中的客户端签名数据，通过对签名数据的验签，来实现对客户端身份的验证。

此外，网关还需要对客户端想要连接的目标服务器进行验证，确定该目标服务器是否允许该网关进行访问。目标服务器进行验证通过对网关连接请求中携带的目标服务器地址进行验证，具体来说，网关可以通过提取网关连接请求中的目标服务器地址，验证目标服务器地址是否为预先配置的可连接服务器中的一个对应的地址，来得到目标服务器地址的验证结果。

上述远程网络连接方法，通过网关提取网关连接请求中携带的客户端签名数据和目标服务器地址，由于目标服务器地址是通过对目的本地端口的监听并解析得到的，实现了数据源的筛选，避免了将其他无意义的请求全部转发到网关而导致数据处理过程复杂化，网关对客户端签名数据和目标服务器地址进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的网络连接，确保了客户端目标端口与目标服务器的连接安全性。基于网关无需通过实时开通IP权限即可实现客户端与目标服务器的网络连接，简化了客户端与服务器的网络连接管理

在其中一个实施例中，如图4所示，对客户端签名数据和目标服务器地址进行验证包括步骤402至步骤410。

步骤402，获取网关配置文件。

步骤404，提取网关配置文件中的验签规则数据，验签规则数据与客户端配置的签名规则数据对应。

步骤406，根据验签规则数据，对客户端签名数据进行验证。

步骤408，提取网关配置文件中的服务器标识集，服务器标识集包括配置有网关连接权限的服务器的地址。

步骤410，根据服务器标识集中是否包括目标服务器地址，对目标服务器地址进行验证。

网关中配置有与客户端的客户端配置文件对应的网关配置文件，网关配置文件中包括与签名规则数据对应的验签规则数据，以使网关对签名数据进行验签。

当客户端签名数据进行验证通过时，建立网关与客户端之间的网络连接，并开始提取网关配置文件中的服务器标识集，对目标服务器地址的验证，否则，反馈与网关连接失败的信息至客户端。

网关配置文件中还包括配置有网关连接权限的服务器的地址的服务器标识集。举例来说，在远程办公的项目开发场景中，有多个办公人员，对应多个开发客户端，多个客户端需要访问的服务器的数量为多个，以实现数据的访问与上传等处理，然而，为了确保开发环境的安全性，需要限制能访问服务器的IP数量。通过在服务器与客户端之间增加网关作为中间转发介质，将开发环境中的各服务器的允许访问IP配置为网关对应的IP，以使网关能访问开发环境中的各服务器，归集各服务器配置的IP访问权限，构建包括配置有网关连接权限的服务器的地址的服务器标识集。

具体来说，当服务器标识集中包括目标服务器地址时，得到目标服务器地址验证通过的验证结果，从而建立网关与目标服务器地址对应服务器之间的网络连接。当服务器标识集中部包括目标服务器地址时，得到目标服务器地址验证未通过的验证结果，反馈服务器连接失败的信息至客户端。

在一个实施例中，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的网络连接包括：当客户端签名数据验证通过时，建立与客户端的目标端口的第一网络连接；并当服务器地址验证通过时，发送连接请求至目标服务器，建立与目标服务器的第二网络连接；拼接第一网络连接和第二网络连接，建立基于网关中转机制的客户端目标端口与目标服务器的连接。

通过对客户端签名数据和目标服务器地址进行验证，当验证成功时，依次建立网关与客户端以及与目标服务器的网络连接，基于网关转发实现客户端与目标服务器之间的连接。在基于网关转发机制的客户端目标端口与目标服务器的连接建立之后，网关可以接收到客户端指定端口发送的数据，并转发到服务器，以及接收服务器发送的数据，并转发到客户端，实现客户端与目标服务器之间的数据交互。

在一个实施例中，提供了一种远程网络连接系统，系统包括客户端和网关；

客户端监听通过客户端的目标端口发起的服务器连接请求，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址；构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求，发送网关连接请求至网关。

网关提取网关连接请求中携带的客户端签名数据和目标服务器地址，对客户端签名数据和目标服务器地址进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的网络连接。

上述远程网络连接系统，通过客户端监听通过客户端的目标端口发起的服务器连接请求，通过对目的本地端口的监听，实现了数据源的筛选，避免了将其他无意义的请求全部转发到网关而导致数据处理过程复杂化，从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址，构建指向网关地址且包含目标服务器地址和客户端签名数据的网关连接请求并发送至网关，通过网关实现对客户端签名数据和目标服务器地址的验证，确保了客户端目标端口与目标服务器的连接安全性。基于网关无需通过实时开通IP权限即可实现客户端与目标服务器的网络连接，简化了客户端与服务器的网络连接管理。

本申请还提供一种远程办公的应用场景，该应用场景应用上述的远程网络连接方法。具体地，该远程网络连接方法在该应用场景的应用如下：

随着远程办公模式的需要扩大化，对于研发环境选择使用公有云环境的众多中小型互联网公司，员工办公远程连接公有云环境有很多安全要求和限制，例如某公司购买云主机、mysql、redis、elasticsearch以及消息队列等作为项目的开发环境。使用公有云环境作为开发环境，为了安全云主机的开发环境不对外开放，使用时需要给每个人开通个人开发机的IP权限，然而公有云环境的部分服务只能开通最多10个ip白名单，多于10个同时使用某一个服务，就会不够用，还有另外更严重的问题是用户在家的IP经常都是运商动态分配的IP每天会动态更新。使用IP白名单会有重复登记工作、开通工作繁杂；一些团队内的开发环境冗杂了网络权限问题，排查不问题也增加了复杂的环境因素；安全性受到挑战由于IP是动态分配，那么，开通的IP白名单可能分批给了其他计算机；以及一些公用出口IP网络环境可能是的公司研发环境，受到不可控的网络安全隐患。

远程网络连接方法基于客户端和网关联合实现。

对于客户端：首先本地启动socket时监听多个预先配置的本地端口，监听端口的流量数据后转发到指定的网关端口；转发流量数据前进行使用分配的密钥对客户端的当前登录用户的用户名和密码进行签名(签名算法具体可以是SHA-2，在其他实施例中，也可以根据需要自定义签名算法)，将签名数据添加到http请求头里面，生成网关连接请求，通过HTTP CONNECT将网关连接请求发送到智能网关，进行目标服务的网络请求，方便智能网关进行签名校验。

对于智能网关：启动http服务监听客户端的CONNECT事件；监听到事件时进行验证请求头的签名；验证通过后，进行目标服务的IP或域名以及端口的安全校验；校验通过之后生成指向目标服务器的服务器连接请求，并发送到指定的服务器IP和端口。

以客户端连接mysql服务器为例，参见图5，客户端发起数据库连接请求，其中，配置的IP地址是指向本地127.0.0.1，在客户端监听到本地与mysql服务器对应的3306端口连接时，获取客户端的登录的用户名和密码进行安全签名，将携带有签名数据的连接请求发送至智能网关，请求与客户端与智能网关之间进行隧道通信，智能网关监听socket，获取客户端发送的连接请求，并验证连接请求中携带的签名以及客户端要连接的目标服务器的IP和端口，当验证通过时，建立网关与客户端以及与目标服务器的连接通道。

具体来说，参见图6，客户端与服务器之间的连接是基于客户端与网关之间的隧道通信以及网关与服务器之间的SSL通信实现的。客户端首先发送CONNECT请求至网关，CONNECT请求中可以包括请求类型、端口号、目标服务器的地址、协议版本号以及客户端数据等。网关在对CONNECTt请求中携带的客户端签名数据以及目标服务器地址进行验证之后，向目标服务器发送服务器到端口443的TCP连接请求，当网关接收到目标服务器反馈的连接已建立信息时，向客户端反馈连接就绪的报文，建立客户端的目标端口与服务器的双向连接通道，基于该双向连接通道，网关可以接收客户端通过该端口发送的报文并转发至服务器，也可以接收服务器发送的报文并转发至客户端的该端口。

应该理解的是，虽然上述各流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，上述各中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图7所示，提供了一种远程网络连接装置700，该装置可以采用软件模块或硬件模块，或者是二者的结合成为计算机设备的一部分，该装置具体包括：请求监听模块702、请求解析模块704、请求构建模块706和请求发送模块708，其中：

请求监听模块702，用于监听通过客户端的目标端口发起的服务器连接请求。

请求解析模块704，用于从服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与客户端关联的网关地址。

请求构建模块706，用于构建网关连接请求，网关连接请求携带有目标服务器地址和客户端签名数据。

请求发送模块708，用于将网关连接请求发送至网关地址对应的网关，由网关提取网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器之间基于网关中转的网络连接。

在其中一个实施例中，远程网络连接装置还包括目标端口确定模块，用于获取客户端配置文件；提取客户端配置文件中的端口标识；根据端口标识，确定待监听的目标端口并启动监听线程。

在其中一个实施例中，请求解析模块还用于从获取的客户端配置文件中提取当前登录用户信息以及签名规则数据，签名规则数据与网关中配置的验签规则数据对应；根据签名规则数据中的密钥和签名算法，对当前登录用户信息进行签名处理，得到客户端签名数据；从获取的客户端配置文件中提取与客户端关联的网关地址，网关地址包括网关端口和/或网关IP。

在其中一个实施例中，请求发送模块还用于基于CONNECT方法，将网关连接请求发送至网关地址对应的网关。

在一个实施例中，如图8所示，提供了一种远程网络连接装置，该装置可以采用软件模块或硬件模块，或者是二者的结合成为计算机设备的一部分，该装置具体包括：请求接收模块802、数据提取模块804、数据验证模块806和连接建立模块808，其中：

请求接收模块802，用于接收客户端发送的网关连接请求，网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址。

数据提取模块804，用于提取网关连接请求中携带的目标服务器地址和客户端签名数据。

数据验证模块806，用于对客户端签名数据和目标服务器地址进行验证。

连接建立模块808，用于当客户端签名数据和服务器地址均验证通过时，建立客户端的目标端口与目标服务器地址对应目标服务器的之间基于网关中转网络连接

在其中一个实施例中，数据验证模块还用于获取网关配置文件；提取网关配置文件中的验签规则数据，验签规则数据与客户端配置的签名规则数据对应；根据验签规则数据，对客户端签名数据进行验证；提取网关配置文件中的服务器标识集，服务器标识集包括配置有网关连接权限的服务器的地址；根据服务器标识集中是否包括目标服务器地址，对目标服务器地址进行验证。

在其中一个实施例中，连接建立模块用于当客户端签名数据验证通过时，建立与客户端的目标端口的网络连接；当客户端签名数据验证通过时，建立与客户端的目标端口的第一网络连接；并当服务器地址验证通过时，发送连接请求至目标服务器，建立与目标服务器的第二网络连接；拼接第一网络连接和第二网络连接，建立基于网关中转机制的客户端目标端口与目标服务器的连接。

关于远程网络连接装置的具体限定可以参见上文中对于远程网络连接方法的限定，在此不再赘述。上述远程网络连接装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是客户端所在的终端设备，其内部结构图可以如图9所示。该计算机设备包括通过系统总线连接的处理器、存储器、通信接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、运营商网络、NFC(近场通信)或其他技术实现。该计算机程序被处理器执行时以实现一种应用于客户端的远程网络连接方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是网关，其内部结构图可以如图10所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储网关配置数据以及远程网络连接的处理数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种远程网络连接方法。

本领域技术人员可以理解，图9或图10中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，还提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述各方法实施例中的步骤。

在一个实施例中，提供了一种计算机可读存储介质，存储有计算机程序，该计算机程序被处理器执行时实现上述各方法实施例中的步骤。

在一个实施例中，提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述各方法实施例中的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-OnlyMemory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (17)

1.一种远程网络连接方法，其特征在于，所述方法包括：

监听通过客户端的目标端口发起的服务器连接请求；

从所述服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与所述客户端关联的网关地址；所述客户端签名数据，是对所述客户端的当前登录用户信息进行签名处理得到的；

构建网关连接请求，所述网关连接请求携带有所述目标服务器地址和所述客户端签名数据；

将所述网关连接请求发送至所述网关地址对应的网关，由所述网关提取所述网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当所述客户端签名数据表征的当前登录用户和所述服务器地址表征的目标服务器均验证为合法连接对象时，建立所述客户端的目标端口与所述目标服务器之间基于网关中转的网络连接。

2.根据权利要求1所述的方法，其特征在于，在所述监听通过客户端的目标端口发起的服务器连接请求之前，还包括：

获取客户端配置文件；

提取所述客户端配置文件中的端口标识；

根据所述端口标识，确定待监听的目标端口并启动监听线程。

3.根据权利要求1或2所述的方法，其特征在于，所述获取客户端签名数据以及与所述客户端关联的网关地址包括：

从获取的客户端配置文件中提取当前登录用户信息以及签名规则数据，所述签名规则数据与所述网关中配置的验签规则数据对应；

根据所述签名规则数据中的密钥和签名算法，对所述当前登录用户信息进行签名处理，得到客户端签名数据；

从获取的客户端配置文件中提取与所述客户端关联的网关地址，所述网关地址包括网关端口和/或网关IP。

4.根据权利要求1所述的方法，其特征在于，所述将所述网关连接请求发送至所述网关地址对应的网关包括：

基于CONNECT方法，将所述网关连接请求发送至所述网关地址对应的网关。

5.一种远程网络连接方法，其特征在于，所述方法包括：

接收客户端发送的网关连接请求，所述网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址；

提取所述网关连接请求中携带的目标服务器地址和客户端签名数据；所述客户端签名数据，是对所述客户端的当前登录用户信息进行签名处理得到的；

对所述客户端签名数据和目标服务器地址进行验证；

当所述客户端签名数据表征的当前登录用户和所述服务器地址表征的目标服务器均验证为合法连接对象时，建立所述客户端的目标端口与所述目标服务器之间基于网关中转的网络连接。

6.根据权利要求5所述的方法，其特征在于，所述对所述客户端签名数据和目标服务器地址进行验证包括：

获取网关配置文件；

提取所述网关配置文件中的验签规则数据，所述验签规则数据与所述客户端配置的签名规则数据对应；

根据所述验签规则数据，对所述客户端签名数据进行验证；

提取所述网关配置文件中的服务器标识集，所述服务器标识集包括配置有网关连接权限的服务器的地址；

根据所述服务器标识集中是否包括所述目标服务器地址，对所述目标服务器地址进行验证。

7.根据权利要求5所述的方法，其特征在于，所述当所述客户端签名数据表征的当前登录用户和所述服务器地址表征的目标服务器均验证为合法连接对象时，建立所述客户端的目标端口与所述目标服务器之间基于网关中转的网络连接包括：

当所述客户端签名数据表征的当前登录用户验证为合法连接对象时，建立与所述客户端的目标端口的第一网络连接；并当服务器地址表征的目标服务器验证为合法连接对象时，发送连接请求至所述目标服务器，建立与所述目标服务器的第二网络连接；

拼接所述第一网络连接和所述第二网络连接，建立基于网关中转机制的客户端目标端口与目标服务器的连接。

8.一种远程网络连接系统，其特征在于，所述系统包括客户端和网关；

所述客户端监听通过客户端的目标端口发起的服务器连接请求，从所述服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与所述客户端关联的网关地址，构建指向所述网关地址且包含所述目标服务器地址和所述客户端签名数据的网关连接请求，发送所述网关连接请求至所述网关；所述客户端签名数据，是对所述客户端的当前登录用户信息进行签名处理得到的；

所述网关提取所述网关连接请求中携带的客户端签名数据和目标服务器地址，对所述客户端签名数据和目标服务器地址进行验证，当所述客户端签名数据表征的当前登录用户和所述服务器地址表征的目标服务器均验证为合法连接对象时，建立所述客户端的目标端口与所述目标服务器之间基于网关中转的网络连接。

9.一种远程网络连接装置，其特征在于，所述装置包括：

请求监听模块，用于监听通过客户端的目标端口发起的服务器连接请求；

请求解析模块，用于从所述服务器连接请求中解析得到目标服务器地址，并获取客户端签名数据以及与所述客户端关联的网关地址；所述客户端签名数据，是对所述客户端的当前登录用户信息进行签名处理得到的；

请求构建模块，用于构建网关连接请求，所述网关连接请求携带有所述目标服务器地址和所述客户端签名数据；

请求发送模块，用于将所述网关连接请求发送至所述网关地址对应的网关，由所述网关提取所述网关连接请求中携带的客户端签名数据和目标服务器地址并进行验证，当所述客户端签名数据表征的当前登录用户和所述服务器地址表征的目标服务器均验证为合法连接对象时，建立所述客户端的目标端口与所述目标服务器之间基于网关中转的网络连接。

10.根据权利要求9所述的装置，其特征在于，所述远程网络连接装置还包括目标端口确定模块；

所述目标端口确定模块，用于获取客户端配置文件；提取所述客户端配置文件中的端口标识；根据所述端口标识，确定待监听的目标端口并启动监听线程。

11.根据权利要求9或10所述的装置，其特征在于，所述请求解析模块，还用于从获取的客户端配置文件中提取当前登录用户信息以及签名规则数据，所述签名规则数据与所述网关中配置的验签规则数据对应；根据所述签名规则数据中的密钥和签名算法，对所述当前登录用户信息进行签名处理，得到客户端签名数据；从获取的客户端配置文件中提取与所述客户端关联的网关地址，所述网关地址包括网关端口和/或网关IP。

12.根据权利要求9所述的装置，其特征在于，所述请求发送模块，还用于基于CONNECT方法，将所述网关连接请求发送至所述网关地址对应的网关。

13.一种远程网络连接装置，其特征在于，所述装置包括：

请求接收模块，用于接收客户端发送的网关连接请求，所述网关连接请求包括客户端签名数据以及通过解析客户端通过目标端口发起的服务器连接请求得到的目标服务器地址；

数据提取模块，用于提取所述网关连接请求中携带的目标服务器地址和客户端签名数据；所述客户端签名数据，是对所述客户端的当前登录用户信息进行签名处理得到的；

数据验证模块，用于对所述客户端签名数据和目标服务器地址进行验证；

连接建立模块，用于当所述客户端签名数据表征的当前登录用户和所述服务器地址表征的目标服务器均验证为合法连接对象时，建立所述客户端的目标端口与所述目标服务器之间基于网关中转的网络连接。

14.根据权利要求13所述的装置，其特征在于，所述数据验证模块，还用于获取网关配置文件；提取所述网关配置文件中的验签规则数据，所述验签规则数据与所述客户端配置的签名规则数据对应；根据所述验签规则数据，对所述客户端签名数据进行验证；提取所述网关配置文件中的服务器标识集，所述服务器标识集包括配置有网关连接权限的服务器的地址；根据所述服务器标识集中是否包括所述目标服务器地址，对所述目标服务器地址进行验证。

15.根据权利要求14所述的装置，其特征在于，所述连接建立模块，还用于当所述客户端签名数据表征的当前登录用户验证为合法连接对象时，建立与所述客户端的目标端口的第一网络连接；并当服务器地址表征的目标服务器验证为合法连接对象时，发送连接请求至所述目标服务器，建立与所述目标服务器的第二网络连接；拼接所述第一网络连接和所述第二网络连接，建立基于网关中转机制的客户端目标端口与目标服务器的连接。

16.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至4或权利要求5至7中任一项所述的方法的步骤。

17.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至4或权利要求5至7中任一项所述的方法的步骤。