CN112104605B - 网络管理方法、设备及存储介质 - Google Patents

Abstract

本申请实施例公开了一种网络管理方法、设备及存储介质，其中所述方法包括：获得终端访问的内容分发网络CDN设备的标识信息；依据CDN设备的标识信息，获得第一信息；获得配置信息；获得终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据；其中，所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

Description

网络管理方法、设备及存储介质

技术领域

本申请涉及网络管理技术，具体涉及一种网络管理方法、设备及存储介质。

背景技术

相关技术中，内容分发网络(CDN，Content Delivery Network)设备位于(用户)终端和用户可访问的服务器之间，其可将服务器中存储的用户可访问的数据读取并存储。如此，用户终端要想访问某个服务器中的资源数据，仅需要向距离其最近的CDN设备请求该资源数据即可，无需向该服务器进行资源数据的请求。CDN设备的出现与应用在一定程度上缓解了服务器的负担。而且，与向服务器进行资源数据的请求相比，向距离最近的CDN设备进行资源数据的请求，可大大缩短终端获得资源数据的时长。但是，在通信中，CDN设备的数量较多，各个CDN设备可存储的数据通常来源于多个服务器，为方便终端对这些数据的访问，需要标识出各个CDN设备的标识信息以及其上存储的数据来源于哪个服务器之间的对应关系。如果以IP地址作为CDN设备的标识、以域名作为服务器的标识，则需要记录各CDN设备的网际协议(IP，Internet Protocol Address)地址以及该CDN设备存储的数据所来源的各服务器域名之间的对应关系。如此，终端向距离其最近的CDN设备请求该资源数据的过程中，会携带有距离其最近的CDN设备的IP地址，该CDN设备通过该IP地址确认该请求是发送给自己的，并识别终端请求的是哪个服务器上的数据。

多数情况下，终端与CDN设备之间的传输数据采用加密方式。为保证数据传输的安全性，可通过对加密的数据进行解密，对解密后的数据进行合理性判断，来确定数据是否可以被传输，如公司内部的保密资料是不可以传输的。相关技术中，采用IP反查域名的方式进行数据是否需要进行解密的确认。具体的，依据终端请求中携带的CDN的IP地址信息，从记录的自身IP地址和自身存储的数据所来源的各服务器的域名之间的对应关系中，反查出服务器的域名，对这些域名服务器上的数据进行解密。但是，由于域名较多且多个域名对应同一CDN的IP地址，会导致解密确认出错的情况。例如，原本需要对终端请求服务器A上的数据进行解密，但是根据IP反查域名的方式得出的结论是需要对服务器A、B、C上的数据进行解密。可见，CDN场景下采用IP反查域名的方式进行数据是否需要进行解密的确认的方案的准确性欠佳，精确性不足。

发明内容

为解决现有存在的技术问题，本申请实施例提供一种网络管理方法、设备及存储介质。

本申请实施例的技术方案是这样实现的：

本申请实施例提供一种网络管理方法，包括：

获得终端访问的内容分发网络CDN设备的标识信息；

依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；

获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；

获得所述终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据，其中所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；

依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

前述方案中，所述依据第二信息和所述目标网络地址，确定是否对所述加密数据进行解密，包括：

判断所述目标网络地址在所述第二信息中是否存在；

判断为存在的情况下，确定对所述加密数据进行解密。

前述方案中，还包括：

将第一信息和配置信息进行匹配，得到所述第二信息。

前述方案中，所述获得终端访问的内容分发网络CDN设备的标识信息，包括：

获得在所述终端与所述CDN设备建立传输控制协议TCP握手连接时产生的握手数据包；

从握手数据包中识别出所述CDN设备的标识信息。

前述方案中，所述加密数据为采用加密传输协议SSL进行加密的数据；

相应的，所述获得所述终端访问的目标网络地址，包括：

获得在所述终端与所述CDN设备建立SSL握手连接时产生的握手数据包；

从握手数据包中识别出所述目标网络地址。

前述方案中，所述方法还包括：

确定所述目标网络地址在所述第二信息中不存在的情况下，确定不对所述加密数据进行解密。

本申请实施例提供一种网络管理设备，包括：

第一获得单元，用于获得终端访问的内容分发网络CDN设备的标识信息；

第二获得单元，用于依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；

第三获得单元，用于获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；

第四获得单元，用于获得所述终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据；其中，所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；

确定单元，用于依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

前述方案中，所述确定单元，用于：

判断所述目标网络地址在所述第二信息中是否存在；

判断为存在的情况下，确定对所述加密数据进行解密；

判断为不存在的情况下，确定不对所述加密数据进行解密。

本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现前述网络管理方法的步骤。

本申请实施例提供一种网络管理设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现前述网络管理方法的步骤。

本申请实施例提供一种网络管理方法、设备及存储介质，其中，所述方法包括：获得终端访问的内容分发网络CDN设备的标识信息；依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；获得所述终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据，其中，所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

本申请实施例中，依据当前要访问的网络地址(目标网络地址)、以及第一信息和配置信息中表示为相同的网络地址，进行是否对加密数据进行解密的确认，与相关技术中采用IP反查域名的方式确认数据是否需要进行解密的方案相比，可提高确认准确性、精确性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例的网络管理方法的实现流程示意图一；

图2为本申请实施例的网络管理方法的实现流程示意图二；

图3为本申请实施例的网络管理方法的实现流程示意图三；

图4为本申请实施例的AC设备的呈现界面示意图；

图5为本申请实施例的应用场景示意图一；

图6为本申请实施例的应用场景示意图二；

图7为本申请实施例的网络管理设备的组成结构示意图；

图8为本申请实施例的网络管理设备的硬件结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚明白，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例提供的网络管理方法，应用于网络管理设备中。该网络管理设备可以是任何能够实现对网络进行管理以保证数据安全传输的设备，如网关设备、路由设备、访问控制(AC，Access Control)设备。本申请实施例中的网络管理设备执行本申请实施例中的网络管理方法可实现数据是否需要进行解密的准确确认，提高确认精准性。以下对本申请实施例的内容进行详细说明。

本申请提供一种网络管理方法的一实施例，具体是应用于CDN场景下的网络管理方法，可由前述的网络管理设备来实现。如图1所示，所述方法包括：

S101：获得终端访问的内容分发网络CDN设备的标识信息；

本步骤中，在CDN场景中，CDN设备的标识信息可以是任何能够唯一标识CDN设备的信息，如CDN设备的设备码、IP地址等。在通信网络中，CDN设备的数量很多，终端访问的CDN设备可以是距离终端最近的CDN设备。终端可以是供用户使用的任何合理设备，如个人电脑(PC)、手机、平板等。为方便描述，后续描述中可视为终端需要访问的CDN设备为与该终端匹配的CDN设备(在距离上距离该终端最近的CDN设备)。

S102：依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；

本步骤中，终端能够访问的网络地址可以是任何能够标识为访问地址的信息，如终端可访问的服务器的IP地址、或可访问的服务器的域名等。本申请实施例中，CDN设备可读取并存储终端可访问的服务器中的数据，如果CDN设备存在的数量可能来源于不同的服务器，CDN设备记录其自身的标识信息和其存储的数量来源于的各服务器的网络地址之间的对应关系。可以理解，每个CDN设备记录的前述服务器的网络地址，是因为终端(距离CDN设备近的终端)可向CDN设备请求某个服务器的数据。网络管理设备读取各CDN设备记录的如上消息，从如上的记录消息中，查找与CDN设备的标识信息对应的服务器的网络地址，将查找到的服务器的网络地址作为终端能够访问的网络地址或终端当前可能会访问的网络地址。如果服务器的网络地址为服务器的域名，则以上查找终端能够访问的网络地址的方案可以视为根据IP反查域名的方式得到终端能够访问的网络地址。可以理解，在实际应用中，距离CDN设备近的终端能够访问到该CDN存储的至少两个域名服务器中的数据，如此，根据IP反查域名的方式得到终端能够访问的网络地址的数量通常为两个或两个以上。S102可以视为一种根据CDN的设备标识，得到终端在该CDN设备上能够访问得到的数据所来源于的服务器的域名或IP地址。在这些服务器域名或IP地址中，终端当前想要访问哪个域名服务器或IP地址中的数据，还需要根据后续的目标网络地址而决定。

S103：获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；

本步骤中，配置信息为预先配置好的，例如，预先配置好对终端访问网络地址而产生的数据需要解密的网络地址。

S104：获得所述终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据，其中所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；

本步骤中，所述目标网络地址可以是在CDN场景下终端当前要访问的网络地址。目标数据可以是来源于目标网络地址的数据。示例性地，如果目标网络地址为一个服务器的域名，则目标数据可以是距离终端最近的CDN设备存储的来源于具有该域名的服务器中的任意数据。

S105：依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

本步骤中，依据第一信息和配置信息中表示为相同网络地址的信息以及终端当前要访问的目标网络地址，确定是否对加密数据进行解密。

前述S101～S105的执行主体为网络管理设备。在CDN场景中，如果将一终端以及与该终端在距离上距离最近的CDN视为一个匹配设备组，则可为每个匹配设备组设置一个网络管理设备，以执行以上的方案。还可以为在距离上比较接近的几个匹配设备组设置一个网络管理设备，以执行以上的方案。在为在距离上比较接近的几个匹配设备组设置一个网络管理设备的方案中，由于各终端是向与其距离其最近的CDN请求其需要的数据，所以需要网络管理设备预先记录有终端的标识和与其匹配的CDN设备的标识之间的对应关系。示例性地，终端A与CDN设备A为一个匹配设备组，终端A向距离其最近的CDN设备A请求其需要的数据。终端B与CDN设备B为一个匹配设备组，终端B向距离其最近的CDN设备B请求其需要的数据。如此，可根据发起访问的终端B的标识和该对应关系，获知该终端B访问的CDN设备(也即与终端B匹配的CDN设备)的标识信息，并由该标识信息获得终端能够访问的网络地址。

在前述S101～S105中，依据CDN场景下终端当前要访问的网络地址(目标网络地址)和第二信息，进行是否对加密数据进行解密的确认。其中，第二信息为终端可能访问的网络地址和预先配置好的对终端访问网络地址而产生的数据需要解密的网络地址中表示为相同的网络地址，依据当前要访问的网络地址、以及第一信息和配置信息中表示为相同的网络地址，进行是否对加密数据进行解密的确认，与相关技术中采用IP反查域名的方式确认数据是否需要进行解密的方案相比，可提高确认准确性、精确性。

可以理解，前述的S103还可以发生在S101之前，也可以发送在S101之后、S102之前，也即前述的S101和S103之间、以及S102和S103之间无严格的先后顺序，还可以同时进行。在获得第一信息和配置信息的情况下，即可依据第一信息和配置信息，获得第二信息。获得第二信息的步骤可以发生在S104之前，也可以发生在S104之后、S105之前，还可以与S104同时进行，对此不做具体限定。

可以理解，在CDN场景中，由于终端的数量以及CDN的数量均较多，网络管理设备需要明确当前哪个终端需要向与其匹配的CDN设备发起访问。也即需要获得当前向与其匹配的CDN设备发起访问的终端的标识。网络管理设备依据该终端的标识以及预先记录的终端的标识和与其匹配的CDN设备的标识之间的对应关系，来确定当前终端需要访问的CDN设备的标识。在具体实现上，网络管理设备从前述的对应关系中，查找与该终端的标识对应的CDN设备的标识，将查找到的CDN设备的标识视为当前终端需要访问的CDN设备的标识。

本申请提供一种网络管理方法的另一实施例，如图2所示，前述的S105：所述依据第二信息和所述目标网络地址，确定是否对所述加密数据进行解密，具体可通过如下方案来实现：

S1051：判断所述目标网络地址在所述第二信息中是否存在；

判断为存在的情况下，执行S1052；

判断为不存在的情况下，执行S1053；

S1052：确定对所述加密数据进行解密；

S1053：确定不对所述加密数据进行解密。

S1051～S1053中，根据目标网络地址在第二信息中是否存在的判断结果来确定是否对加密数据进行解密。其中，第二信息为终端能够访问的网络地址和预先配置好的对终端访问网络地址而产生的数据需要解密的网络地址中表示为相同的网络地址，依据当前要访问的网络地址在第二信息中是否存在的判断结果，确定是否对加密数据进行解密，与相关技术中采用IP反查域名的方式确认数据是否需要进行解密的方案相比，可提高确认准确性、精确性，可保证需要被解密的加密数据被解密，不需要被解密的加密数据不被解密，由此实现了对数据安全方面的有效管理。

本申请提供一种网络管理方法的再一实施例，如图3所示，如果在S103之后，依据第一信息和配置信息，获得第二信息，则获得第二信息的过程可通过如下方案来实现，S106：将第一信息和配置信息进行匹配，得到所述第二信息。在具体实现上，网络管理设备可以从第一信息中，查找出与配置信息中的网络地址表示为同一网络地址的信息(正向查找)，和/或从配置信息中，查找与第一信息中网络地址表示为同一网络地址的信息(反向查找)。网络管理设备可仅通过正向查找方案或仅通过反向查找方案得到第二信息。或者，既通过正向查找方案又通过反向查找方案得到第二信息。在通过正向查找方案又通过反向查找方案得到第二信息的方案中，还可判断正向查找出的结果与反向查找出的结果是否一致，一致的情况下，将正向或反向查找出的表示为同一网络地址的信息作为第二信息。由此可保证第二信息的准确性。第二信息的准确性被提高，可提高确认是否进行解密的精准性或准确性。

作为一个可选的实施例，所述S101还可以通过如下方式进行实现：获得终端访问的内容分发网络CDN设备的标识信息，包括：获得在所述终端与所述CDN设备建立传输控制协议TCP握手连接时产生的握手数据包；从握手数据包中识别出所述CDN设备的标识信息。

作为一个可选的实施例，所述加密数据为采用加密传输协议SSL进行加密的数据；所述S104还可以通过如下方式进行实现：获得在所述终端与所述CDN设备建立加密传输协议SSL握手连接时产生的握手数据包；从握手数据包中识别出所述目标网络地址。

在前述的可选实施例中，CDN场景中，加密数据可以是采用加密传输协议(SSL，Security Socket Layer)方式进行数据加密。在进行SSL加密数据的传输之前，需要先建立SSL的握手连接，而SSL的握手连接需要先建立传输控制协议(TCP，Transmission ControlProtocol)的握手连接。也即SSL的握手连接基于TCP握手连接而实现。在具体实现上，需要先建立终端与距离其最近的CDN设备(与终端匹配的CDN设备)之间的TCP握手连接，终端需要向与其匹配的CDN设备发送用于建立TCP握手连接的握手数据包，网络管理设备获得该握手数据包，该握手数据包中携带有与该终端匹配的CDN设备的标识信息，从握手数据包中读取该携带的信息，得到该终端访问的CDN设备的标识。可以理解，网络管理设备获得该终端访问的CDN设备的标识信息除了可以通过如上方式进行，还可以依据该终端的标识以及预先记录的终端的标识和与其匹配的CDN设备的标识之间的对应关系，来确定当前终端需要访问的CDN设备的标识。获得终端访问的CDN设备的标识的方案可采用前述两种方案中的其中任意一种，优选为采用从握手数据包中读取该携带的信息的这种方案。与终端匹配的CDN设备接收该握手数据包，并向该终端返回同意建立TCP握手连接的数据如确认数据ACK，终端接收到ACK，确认TCP握手连接建立成功。在TCP握手连接建立成功的情况下，终端需要向与其匹配的CDN设备发送用于建立SSL握手连接的握手数据包，网络管理设备获得该握手数据包，该握手数据包中携带有与该终端想要从与其匹配的CDN设备中获得的数据来源于哪个服务器的数据的标识，网络管理设备从握手数据包中读取该标识，得到该终端真正要访问来源于哪个域名或IP地址的服务器中的数据。前述的方案，

在CDN场景下，在TCP握手阶段中获得终端要访问的CDN设备的标识。在SSL握手阶段中，获得终端真正要访问的网络地址的标识，进而依据该真正要访问的网络地址的标识和第二信息，进行是否对加密数据进行解密的确认。相当于，将是否进行解密的确认过程融入或下沉到SSL握手阶段。因为握手阶段会识别出真正要访问的网络地址的标识，将是否进行解密的确认过程融入或下沉到SSL握手阶段，可实现对加密数据是否进行解密的精准性确认，可保证需要被解密的加密数据被解密，不需要被解密的加密数据不被解密，由此也实现了对数据安全方面的有效管理。

下面结合附图4-图6及具体实施例对本申请作进一步详细的说明。

本应用场景中，以网络管理设备为AC设备、终端为个人PC为例，在对加密数据进行精准性确认之前，网络管理设备可呈现如图4所示的设置界面，通过该设置界面可为公司内部的全部PC或部分PC配置PC访问网络地址而产生的数据需要解密的网络地址。示例性地，在图4所示的访问权限策略的设置界面的左侧，勾选SSL管理下的SSL内容识别选项，右侧的界面内容中勾选解密方式为SSL中间人解密，在输入窗口可输入PC访问网络地址而产生的数据需要解密的网络地址，如xxmail.com、www.bdu.com、www.doudou.com。显示窗口显示在输入窗口输入的网络地址。可以理解，xxmail.com、www.bdu.com、www.doudou.com为域名，可作为网络地址使用。在图4所示的界面的输入窗口中输入的域名，在终端想要向与其匹配的CDN设备访问该CDN设备存储的对应该域名的数据，这些数据采用加密形式进行传输，则需要对这些数据进行解密。AC设备记录网络管理人员通过输入窗口输入的域名，并将其作为配置信息。

此外，可以理解，在CDN场景中，CDN设备可存储来源于至少两个域名服务器的数据，例如来源于xxmail.com这一域名服务器的数据，来源于gou.com这个域名服务器的数据。CDN设备用于存储自身IP地址与这些域名之间的对应关系。

如图5所示，AC设备位于PC设备和CDN设备之间，至少用于截获、监控或监测PC设备和CDN设备之间传输的数据。

以PC设备为PC 1设备为例，先来看TCP握手连接的建立：

S601：PC 1设备向距离其最近的CDN发起用于建立TCP握手连接的握手数据包；

S602：AC设备监控、监测或截获该握手数据包，从该握手数据包得到PC1设备要与其建立TCP握手连接的CDN的IP地址；

可以理解，在TCP握手阶段中，TCP发送的握手数据包中的第一包为同步序列编号(SYN，Synchronize Sequence Numbers)包，该SYN包中携带有PC 1要握手的CDN的IP地址，AC设备从SYN包中读取该IP地址，作为PC 1设备要与其建立TCP握手连接的CDN设备的标识信息。

假定与PC 1设备匹配的CDN(距离PC 1设备最近的CDN)为CDN 1设备。

S603：AC设备依据IP反查域名的方式，确定出PC 1能够访问的至少两个网络地址；

本步骤中的IP反查域名方式与相关技术中的相同。即AC设备依据CDN 1的IP地址信息，从记录的CDN的IP地址和该CDN存储的数据所来源的服务器域名之间的对应关系中，反查出PC 1设备能够访问的至少两个域名服务器的标识。示例性地，依据CDN 1设备记录的如上对应关系，AC设备反查出PC 1设备能够访问www.bdu.com这一域名服务器中的数据、及能够访问www.pp.com这一域名服务器中的数据。PC 1设备能够访问的服务器的域名即为前述的第一信息。

S604：AC设备读取配置信息，将读取的配置信息和第一信息进行匹配，得到第二信息；

本步骤中，配置信息是网络管理人员通过图4所示输入窗口的域名而得来。AC设备读取配置信息，可仅通过前述的正向查找方案或反向查找方案得到配置信息和第一信息中表示为相同域名的信息(第二信息)。此外，还可以既通过正向查找方案又通过反向查找方案得到第二信息，在判断正向查找出的结果与反向查找出的结果一致的情况下，将正向或反向查找出的表示为同一网络地址的信息作为第二信息。由此可保证第二信息的准确性。第二信息的准确性被提高，可提高确认是否进行解密的精准性或准确性。

可以理解，第二信息为配置信息和第一信息中表示为相同的域名。在技术层面上，可以将配置信息和第一信息进行相交，相交的结果就是表示为相同的域名。由于配置信息是网络管理人员配置的PC 1设备与来自域名的数据之间的交互数据需要解密的域名，第一信息是依据IP反查域名的方式得到的PC 1能够(可能)会向CDN 1设备访问的某个域名服务器中的数据的结果。二者的交集，即意味着对PC 1设备与来自于配置信息和第一信息中表示为相同的域名的数据需要进行解密。

S605：PC1设备接收到CDN 1设备针对握手数据而反馈回的确认数据ACK，PC 1设备与CDN 1设备的TCP握手成功，即TCP连接建立成功。

前述方案中，S603～S604和S605无严格的先后顺序，还可以同时进行。

PC 1设备与CDN 1设备之间的TCP连接建立成功的情况下，执行SSL握手阶段的方案。

S606：PC 1设备向距离其最近的CDN发起用于建立SSL握手连接的握手数据包；

S607：AC设备监控、监测或截获该握手数据包，从该握手数据包得到PC1设备真正要向CDN 1请求来源于哪个域名服务器的数据；

可以理解，用于建立SSL握手连接的握手数据包中包括有一个ClientHello的数据包，ClientHello数据包中包括有ServerName(服务器标识)字段，这个字段表示PC 1设备真正要访问的域名，可视为前述的目标网络地址。示例性地，如ServerName＝www.bdu.com，说明PC 1设备真正要请求www.bdu.com这一个域名服务器中的数据。AC设备识别ClientHello数据包中的ServerName字段，得到目标网络地址。该方案可视为利用SSL握手阶段识别目标网络地址的方案。

S608：PC 1设备可向CDN 1设备请求其真正要请求的数据，并接收CDN 1设备针对请求数据反馈回的反馈数据；

示例性地，PC 1设备想要访问CDN 1设备中存储的来自www.bdu.com这一域名服务器中的数据。如果将PC 1设备想要访问的该数据视为目标数据，PC1设备向CDN 1设备请求该目标数据，CDN 1设备向PC 1设备反馈该目标数据。通常情况下，请求数据和反馈数据如目标数据采用SSL方式进行加密，为加密数据。

S609：AC判断PC 1设备真正要向CDN 1请求的数据所来源的服务器的域名在第二信息中是否存在；

判断为存在的情况下，AC监控或截获PC1设备的请求数据和/或反馈数据，执行S610；

判断为不存在的情况下，执行S611；

S610：对请求数据和/或反馈数据进行解密；

S611：无需对请求数据和/或反馈数据进行解密。

可以理解，第二信息记录的第一信息和配置信息中表示为相同的网络地址。该相同的网络地址可通过将PC 1设备在CDN 1设备上可能访问的数据所来源的网络地址和网络管理人员预先配置的需要进行解密的网络地址进行相交操作而得来。与相关技术中的依据IP反查域名的方式确认数据是否需要进行解密的方案相比，利用相交操作的结果能够对目标网络地址进行准确地确认，目标网络地址的准确确认，可提高确认数据是否需要进行解密的精准性。

可以理解，配置信息是网络管理人员预先配置的域名，为防止PC设备与CDN设备之间的交互数据存在有非合理数据的情形，如PC设备将公司内部资料发送至CDN设备，公司内部资料被泄露。CDN设备被黑客入侵，黑客通过CDN设备向PC设备发送了病毒，该病毒可能会造成公司内部PC设备的瘫痪。本应用场景中的AC设备为对加密的交互数据进行解密，将加密数据变成明文数据，通过明文数据判断PC设备和CDN设备之间的交互数据是否是合理数据，如果是非合理数据，则AC设备对该数据进行及时拦截或截获，以避免造成的损失。如此，本申请实施例的方案不仅能够实现是否对数据进行解密的精准确认，还能够实现对数据的安全审计(如交互数据是否合理)和控制。

在实际应用中，在网络管理人员配置域名时，可优选将最有可能为公司造成损失的域名输入至图4的输入窗口，对于不会为公司造成损失的域名不需要输入至图4所示的输入窗口。其中，对于不需要输入至图4的输入窗口的域名，PC设备想要访问的这个域名的数据无需进行解密，可以直接在PC设备和CDN设备之间进行透传。

如上的AC设备还可以替换为网关设备或路由设备。

如图6所示，AC设备进一步包括网关驱动模块和SSL劫持应用程序模块；其中，网关驱动模块用于依据IP反查域名的方式确定出第一信息，以及依据第一信息和配置信息得到第二信息，也即网关驱动模块可具体执行前述的S602～S604所示的方案。SSL劫持应用程序模块，用于识别目标网络地址以及判断是否需要进行解密，也即SSL劫持应用程序模块可具体执行前述的S607、S609～S611。

前述的应用场景中，在CDN场景下，依据PC 1设备当前要访问的网络地址(目标网络地址)、以及第一信息和配置信息中表示为相同的网络地址，进行是否对加密数据进行解密的确认，与相关技术中采用IP反查域名的方式确认数据是否需要进行解密的方案相比，可提高确认准确性、精确性，保证需要被解密的加密数据被解密，不需要被解密的加密数据不被解密，由此实现了对数据安全方面的有效管理。

可以理解，在CDN场景下，前述的S603依据IP反查域名的方式确定出PC 1设备可能访问的至少两个服务器域名的方案为本应用场景下初步筛选出PC 1设备可能访问的域名的方案，即为一种初步筛选方案。将本应用场景中将IP反查域名的方案作为初步筛选方案，依据初步筛选方案的筛选结果(第一信息)和配置信息的交集(即第二信息)，进行是否进行数据解密的确认，可大大提升确认精准性。此外，因为握手阶段会识别出真正要访问的网络地址的标识，将是否进行解密的确认过程融入或下沉到SSL握手阶段，更能够精准实现对加密数据是否进行解密的确认。

可以理解，由于前述方案是融入或下沉到SSL握手阶段实现的是否进行解密确认的方案，同时AC设备在S601～S611中作为在PC设备和CDN设备之间的一个中间人的角色，所以本申请实施例中的网络管理方法可视为一种SSL中间人解密方案(图4中是对“SSL中间人解密”进行勾选)。且为本申请的申请人产生的发明创造，所以图4中在勾选“SSL中间人解密”时，还勾选了“自定义”。前述的方案在图4所示的输入窗口输入的是WEB地址，相当于是以对WEB(网页)内容进行SSL识别为例进行的说明，此外，本申请实施例还可以在图4所示的输入窗口输入应用的名称，如A应用或B应用，实现对应用内容进行SSL识别方案。对于应用内容进行SSL识别的方案参见前述对WEB内容进行SSL识别的方案，重复之处不做具体限定。

本申请实施例提供一种网络管理设备，如图7所示，包括：第一获得单元701、第二获得单元702、第三获得单元703、第四获得单元704和确定单元705；其中，

第一获得单元701，用于获得终端访问的内容分发网络CDN设备的标识信息；

第二获得单元702，用于依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；

第三获得单元703，用于获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；

第四获得单元704，用于获得所述终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据；其中，所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；

确定单元705，用于依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

在一个可选方案中，所述确定单元705，用于：

判断所述目标网络地址在所述第二信息中是否存在；

判断为存在的情况下，确定对所述加密数据进行解密；

判断为不存在的情况下，确定不对所述加密数据进行解密。

在一个可选方案中，所述设备还包括第五获得单元，用于：

将第一信息和配置信息进行匹配，得到所述第二信息。

在一个可选方案中，第一获得单元701，用于：

获得在所述终端与所述CDN设备建立传输控制协议TCP握手连接时产生的握手数据包；

从握手数据包中识别出所述CDN设备的标识信息。

在一个可选方案中，所述加密数据为采用加密传输协议SSL进行加密的数据；

相应的，所述第四获得单元704，用于：

获得在所述终端与所述CDN设备建立SSL握手连接时产生的握手数据包；

从握手数据包中识别出所述目标网络地址。

可以理解，所述网络管理设备中的第一获得单元701、第二获得单元702、第三获得单元703、第四获得单元704和确定单元705在实际应用中均可由网络管理设备的中央处理器(CPU，Central Processing Unit)、数字信号处理器(DSP，Digital Signal Processor)、微控制单元(MCU，Microcontroller Unit)或可编程门阵列(FPGA，Field－ProgrammableGate Array)实现。

需要说明的是，本申请实施例的网络管理设备，由于该网络管理设备解决问题的原理与前述的网络管理方法相似，因此，网络管理设备的实施过程及实施原理均可以参见前述网络管理方法的实施过程及实施原理描述，重复之处不再赘述。

本申请实施例还提供一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时至少用于执行图1至图3任一所示方法的步骤。所述计算机可读存储介质具体可以为存储器。所述存储器可以为如图8所示的存储器62。

图8为本申请实施例的网络管理设备的硬件结构示意图，如图8所示，网络管理设备包括：用于进行数据传输的通信组件63、至少一个处理器61和用于存储能够在处理器61上运行的计算机程序的存储器62。终端中的各个组件通过总线系统64耦合在一起。可理解，总线系统64用于实现这些组件之间的连接通信。总线系统64除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图8中将各种总线都标为总线系统64。

其中，所述处理器61执行所述计算机程序时至少执行图1至图3任一所示方法的步骤。

可以理解，存储器62可以是易失性存储器或非易失性存储器，也可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(ROM，Read Only Memory)、可编程只读存储器(PROM，Programmable Read-Only Memory)、可擦除可编程只读存储器(EPROM，Erasable Programmable Read-Only Memory)、电可擦除可编程只读存储器(EEPROM，Electrically Erasable Programmable Read-Only Memory)、磁性随机存取存储器(FRAM，ferromagnetic random access memory)、快闪存储器(Flash Memory)、磁表面存储器、光盘、或只读光盘(CD-ROM，Compact Disc Read-Only Memory)；磁表面存储器可以是磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，Random AccessMemory)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(SRAM，Static Random Access Memory)、同步静态随机存取存储器(SSRAM，Synchronous Static Random Access Memory)、动态随机存取存储器(DRAM，Dynamic Random Access Memory)、同步动态随机存取存储器(SDRAM，SynchronousDynamic Random Access Memory)、双倍数据速率同步动态随机存取存储器(DDRSDRAM，Double Data Rate Synchronous Dynamic Random Access Memory)、增强型同步动态随机存取存储器(ESDRAM，Enhanced Synchronous Dynamic Random Access Memory)、同步连接动态随机存取存储器(SLDRAM，SyncLink Dynamic Random Access Memory)、直接内存总线随机存取存储器(DRRAM，Direct Rambus Random Access Memory)。本申请实施例描述的存储器62旨在包括但不限于这些和任意其它适合类型的存储器。

上述本申请实施例揭示的方法可以应用于处理器61中，或者由处理器61实现。处理器61可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器61中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器61可以是通用处理器、DSP，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器61可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器62，处理器61读取存储器62中的信息，结合其硬件完成前述方法的步骤。

在示例性实施例中，网络管理设备可以被一个或多个应用专用集成电路(ASIC，Application Specific Integrated Circuit)、DSP、可编程逻辑器件(PLD，ProgrammableLogic Device)、复杂可编程逻辑器件(CPLD，Complex Programmable Logic Device)、FPGA、通用处理器、控制器、MCU、微处理器(Microprocessor)、或其他电子元件实现，用于执行前述的网络管理方法。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本申请各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本申请上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本申请各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本申请所提供的几个方法实施例中所揭露的方法，在不冲突的情况下可以任意组合，得到新的方法实施例。

本申请所提供的几个产品实施例中所揭露的特征，在不冲突的情况下可以任意组合，得到新的产品实施例。

本申请所提供的几个方法或设备实施例中所揭露的特征，在不冲突的情况下可以任意组合，得到新的方法实施例或设备实施例。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种网络管理方法，其特征在于，包括：

获得终端访问的内容分发网络CDN设备的标识信息；

依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；

获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；

获得所述终端访问的目标网络地址；所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据，其中所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；

依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

2.根据权利要求1所述的方法，其特征在于，所述依据第二信息和所述目标网络地址，确定是否对所述加密数据进行解密，包括：

判断所述目标网络地址在所述第二信息中是否存在；

判断为存在的情况下，确定对所述加密数据进行解密。

3.根据权利 要求1或2所述的方法，其特征在于，还包括：

将第一信息和配置信息进行匹配，得到所述第二信息。

4.根据权利要求3所述的方法，其特征在于，所述获得终端访问的内容分发网络CDN设备的标识信息，包括：

获得在所述终端与所述CDN设备建立传输控制协议TCP握手连接时产生的握手数据包；

从握手数据包中识别出所述CDN设备的标识信息。

5.根据权利要求4所述的方法，其特征在于，所述加密数据为采用加密传输协议SSL进行加密的数据；

相应的，所述获得所述终端访问的目标网络地址，包括：

获得在所述终端与所述CDN设备建立SSL握手连接时产生的握手数据包；

从握手数据包中识别出所述目标网络地址。

6.根据权利要求2所述的方法，其特征在于，还包括：

确定所述目标网络地址在所述第二信息中不存在的情况下，确定不对所述加密数据进行解密。

7.一种网络管理设备，其特征在于，包括：

第一获得单元，用于获得终端访问的内容分发网络CDN设备的标识信息；

第二获得单元，用于依据CDN设备的标识信息，获得第一信息，所述第一信息表征为所述终端能够访问的至少两个网络地址；

第三获得单元，用于获得配置信息，所述配置信息表征为对所述终端访问网络地址而产生的数据需要解密的网络地址；

第四获得单元，用于获得所述终端访问的目标网络地址；其中，所述终端可向所述CDN设备发送请求数据、和/或接收针对所述请求数据而产生的反馈数据；其中，所述请求数据用于请求来源于所述目标网络地址的目标数据，所述请求数据和/或反馈数据均为加密数据；

确定单元，用于依据所述目标网络地址和第二信息，确定是否对所述加密数据进行解密；其中，所述第二信息为所述第一信息和配置信息中表示为相同网络地址的信息。

8.根据权利要求7所述的设备，其特征在于，所述确定单元，用于：

判断所述目标网络地址在所述第二信息中是否存在；

判断为存在的情况下，确定对所述加密数据进行解密；

判断为不存在的情况下，确定不对所述加密数据进行解密。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1至6任一所述方法的步骤。

10.一种网络管理设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至6任一所述方法的步骤。

Images