CN113992476B

CN113992476B - 一种sslvpn开通方法及装置

Info

Publication number: CN113992476B
Application number: CN202111372897.7A
Authority: CN
Inventors: 李剑东
Original assignee: Beijing Ziroom Information Technology Co Ltd
Current assignee: Beijing Ziroom Information Technology Co Ltd
Priority date: 2021-11-18
Filing date: 2021-11-18
Publication date: 2023-03-24
Anticipated expiration: 2041-11-18
Also published as: CN113992476A

Abstract

本发明实施例提供了一种SSLVPN开通方法及装置，该方法包括：接收用户的SSLVPN开通请求，SSLVPN开通请求包括：用户信息及待开通VPN资源对应的位置信息；基于用户信息和/或位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色，第一角色对应有多个VPN资源；当预设角色库中有与SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将用户与第一角色进行绑定，以完成用户的SSLVPN开通。实现了自动开通SSLVPN资源，并且通过利用预设角色库的角色对用户及其开通的VPN资源进行管理，有利于后期对用户及资源的管理，简化了开通流程，提高了开通效率，进而提高用户的使用体验。

Description

一种SSLVPN开通方法及装置

技术领域

本发明涉及计算机应用技术领域，具体涉及一种SSLVPN开通方法及装置。

背景技术

SSLVPN指的是基于安全套接字层协议(Security Socket Layer，简称SSL)建立远程安全访问通道的VPN技术，这种VPN所面对的使用对象是大量的用户。

目前基于各个厂商设备的SSLVPN开通，大多是图形化界面的操作，针对大批量用户的申请，管理员需要逐条处理，将用户与其申请的每个资源分别进行绑定，效率低下，并且可能存在一个用户用户名下挂有几百个资源的情况，大大增加了后期用户及资源的维护难度。

发明内容

有鉴于此，本发明实施例提供了一种SSLVPN开通方法及装置，以克服现有技术中依赖管理员人工开通SSLVPN的方式效率低且后期维护难度大的问题。

本发明实施例提供了一种SSLVPN开通方法，包括：

接收用户的SSLVPN开通请求，所述SSLVPN开通请求包括：用户信息及待开通VPN资源对应的位置信息；

基于所述用户信息和/或位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，所述第一角色对应有多个VPN资源；

当所述预设角色库中有与所述SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将所述用户与所述第一角色进行绑定，以完成所述用户的SSLVPN开通。

可选地，当所述预设角色库中没有与所述SSLVPN开通请求匹配的第一角色时，基于所述待开通VPN资源生成第二角色；

在SSLVPN设备上将所述用户与所述第二角色进行绑定，以完成所述用户的SSLVPN开通。

可选地，所述方法还包括：

将所述第二角色添加至所述预设角色库。

可选地，在基于所述用户信息和/或所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色之前，所述方法还包括：

对所述SSLVPN开通请求进行合法性校验；

当校验通过后，基于所述用户信息和/或所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色。

可选地，所述预设角色数据库的建立方式包括：

获取历史用户的用户属性及对应开通的VPN资源；

基于所述用户属性对历史用户对应开通的VPN资源进行分组；

基于所述用户属性为各组VPN资源创建相应的角色，构成所述预设角色数据库。

可选地，所述用户信息包括：当前用户属性，所述基于所述用户信息和所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，包括：

基于所述当前用户属性查询预设角色库中是否有与所述当前用户属性匹配的第三角色；

当所述预设角色库中有与所述当前用户属性匹配的第三角色时，基于所述位置信息查询所述第三角色中是否有与所述SSLVPN开通请求匹配的第一角色。

可选地，所述用户信息包括：当前用户属性，所述基于所述用户信息或所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，包括：

从预设角色库中依次提取第一角色；

提取所述第一角色对应的多个VPN资源的存储位置信息或所述第一角色对应的用户属性；

判断所述存储位置信息与所述位置信息是否完全一致，或者，判断所述用户属性与所述当前用户属性是否一致；

当所述存储位置信息与所述位置信息完全一致时，或者，当所述用户属性与所述当前用户属性一致时，确定预设角色库中有与所述SSLVPN开通请求匹配的第一角色。

本发明实施例还提供了一种SSLVPN开通装置，包括：

获取模块，用于接收用户的SSLVPN开通请求，所述SSLVPN开通请求包括：用户信息及待开通VPN资源对应的位置信息；

第一处理模块，用于基于所述用户信息和/或位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，所述第一角色对应有多个VPN资源；

第二处理模块，用于当所述预设角色库中有与所述SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将所述用户与所述第一角色进行绑定，以完成所述用户的SSLVPN开通。

本发明实施例还提供了一种电子设备，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行本发明实施例提供方法。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储计算机指令，所述计算机指令用于使计算机执行本发明实施例提供的方法。

本发明技术方案，具有如下优点：

本发明实施例提供了一种SSLVPN开通方法及装置，通过接收用户的SSLVPN开通请求，SSLVPN开通请求包括：用户信息及待开通VPN资源对应的位置信息；基于用户信息和/或位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色，第一角色对应有多个VPN资源；当预设角色库中有与SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将用户与第一角色进行绑定，以完成用户的SSLVPN开通。从而通过利用时间设置的预设角色库与用户的SSLVPN开通请求进行匹配的方式，为用户自动开通SSLVPN资源，并且通过利用预设角色库的角色对用户及其开通的VPN资源进行管理，有利于后期对用户及资源的管理，简化了SSLVPN的开通流程，大大缩短了开通时间，提高了开通效率，进而提高用户的使用体验。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中的SSLVPN开通方法的流程图；

图2为本发明实施例中的SSLVPN开通装置的结构示意图；

图3为本发明实施例中的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

基于上述问题，本发明实施例提供了一种SSLVPN开通方法，如图1所示，该方法具体包括如下步骤：

步骤S101：接收用户的SSLVPN开通请求。

其中，SSLVPN开通请求包括：用户信息及待开通VPN资源对应的位置信息。具体地，用户信息包括：用户的用户属性及个人信息等，该属性为不同用户的身份标识，如：公司中同一个部门或者同一个岗位的用户具有相同的属性，个人信息包括：邮箱前缀或工号等可以用来确定唯一用户的信息，位置信息为存储VPN资源的IP地址或域名，每个VPN资源均对应一个IP地址或域名。

步骤S102：基于用户信息和/或位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色。

其中，第一角色对应有多个VPN资源。即一个角色与多个VPN资源对应的IP地址或域名相关联。

步骤S103：当预设角色库中有与SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将用户与第一角色进行绑定，以完成用户的SSLVPN开通。

具体地，通过利用角色这一中间提避免了用户与资源直接进行绑定出现一个用户与多个资源绑定造成管理混乱的问题，有利于后期对用户及资源进行维护。

通过执行上述步骤，本发明实施例提供的SSLVPN开通方法，通过利用时间设置的预设角色库与用户的SSLVPN开通请求进行匹配的方式，为用户自动开通SSLVPN资源，并且通过利用预设角色库的角色对用户及其开通的VPN资源进行管理，有利于后期对用户及资源的管理，简化了SSLVPN的开通流程，大大缩短了开通时间，提高了开通效率，进而提高用户的使用体验。

具体地，在一实施例中，上述预设角色数据库的建立方式包括如下步骤：

步骤S301：获取历史用户的用户属性及对应开通的VPN资源。

步骤S302：基于用户属性对历史用户对应开通的VPN资源进行分组。

具体地，可以根据SSLVPN的历史用户的职位或者职务等属性对开通的VPN资源进行分组。

步骤S303：基于用户属性为各组VPN资源创建相应的角色，构成预设角色数据库。

示例性地，例如一个部门的员工，开通多个资源时，重复的将用户和资源进行绑定；角色可以理解为资源组的集合，把具有相同属性的资源分配到一个资源组，将用户需要的资源或资源组绑定到一个角色，再将该角色分配各具有相同需求的用户或用户组；通过建立预设角色数据库对角色的重复利用，解决了传统开通vpn流程中，一个用户名下挂几百个资源的情况；通常在创建角色时，可以根据用户的组织架构进行创建。

具体地，在一实施例中，用户信息包括：当前用户属性，上述的步骤S102中基于用户信息和位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色，具体包括如下步骤：

步骤S21：基于当前用户属性查询预设角色库中是否有与当前用户属性匹配的第三角色。

具体地，由于角色是按照用户属性一一对应建立的，从而可以在预设角色库中按用户属性进行查询，看是否有与当前用户属性相同的角色。

步骤S22：当预设角色库中有与当前用户属性匹配的第三角色时，基于位置信息查询第三角色中是否有与SSLVPN开通请求匹配的第一角色。

具体地，存在与当前用户角色属性相同的角色，再从这些角色中筛选与用户待开通VPN资源的位置信息完全一致的角色作为该用户的角色。从而通过用户属性和VPN资源的位置信息的双重匹配，所确定的用户角色与用户的开通需求更加匹配，能够更好的为用户提供服务提高用户的使用体验。

具体地，在一实施例中，用户信息包括：当前用户属性，上述的步骤S102中基于用户信息或位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色，具体包括如下步骤：

步骤S31：从预设角色库中依次提取第一角色。

步骤S32：提取第一角色对应的多个VPN资源的存储位置信息或第一角色对应的用户属性。

步骤S33：判断存储位置信息与位置信息是否完全一致，或者，判断用户属性与当前用户属性是否一致；

步骤S34：当存储位置信息与位置信息完全一致时，或者，当用户属性与当前用户属性一致时，确定预设角色库中有与SSLVPN开通请求匹配的第一角色。

具体地，通过用户属性进行SSLVPN的开通，由于相同用户属性的用户通常所使用的VPN资源也是一样的，通过匹配用户属性的一次匹配方式效率更高，进一步提高了开通效率。此外，在开通速度要求不高，但是对资源开通准确性要求更高的应用场景下，也可以直接按照资源对应的位置信息进行角色匹配，以保证满足用户的使用需求，提高用户使用体验。

具体地，在一实施例中，上述的SSLVPN开通方法还包括如下步骤：

步骤S104：当预设角色库中没有与SSLVPN开通请求匹配的第一角色时，基于待开通VPN资源生成第二角色。

步骤S105：在SSLVPN设备上将用户与第二角色进行绑定，以完成用户的SSLVPN开通。

步骤S106：将第二角色添加至预设角色库。

具体地，如果预设角色数据库中已有的角色都无法满足该用户的VPN资源开通需求，则重新按照该用户的SSLVPN开通请求中所需VPN资源的位置信息及用户的属性创建新的角色，以满足当前用户的开通需求，并通过将新的角色加入预设角色数据库，为后续与当前用户具有相同属性或者具有相同VPN资源开通需求的用户提供便利，进一步提高开通效率，有利于对用户及VPN资源的维护，提高用户使用体验。

具体地，在一实施例中，在上述步骤S102之前，方法还包括：

步骤S201：对SSLVPN开通请求进行合法性校验。

具体地，该合法性校验可以包括对用户身份的合法校验和待开通VPN资源的合法性校验等，只有通过合法性校验才能为该用户提供相应的VPN资源服务，进而保证SSLVPN开通的安全性及VPN资源的安全性。

步骤S202：当校验通过后，基于用户信息和/或位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色。

下面将结合具体应用示例，对本发明实施例提供的SSLVPN开通方法进行详细的说明。

1.Web前端填写用户信息和用户想要访问的IP地址或域名；

2.判断IP地址或域名填写是否符合规定：

是：对用户填写的IP地址或域名进行初始化处理，转换成可以处理的字符；

否：向Web前端返回填写不规范的报错信息；

3.判断IP地址或域名是否已经存在：

是：更新IP地址或域名对应的端口信息；

否：创建IP地址或域名，及端口信息；

4.判断用户所属的角色是否存在：

是：更新角色信息；

否：创建角色信息；

5.通过对角色信息的维护，可以方便的将多个资源和多个用户进行绑定；

6.将需要访问的IP地址或域名和角色进行关联；

7.将已经开通的IP地址或域名返回到Web前端，告知用户；并对用户开通的资源进行记录，以便出现问题后进行回退操作；

上述各工作流程步骤的具体过程如下：

1、通过Web前端，填写用户的邮箱前缀(或工号等可以用来确定唯一用户的信息)和需要访问的IP地址或域名，为后续自动化处理提供数据支撑；简化了管理员在给用户开通VPN权限时，复杂的开通流程。本步骤的意义在于，为管理员提供了一个快捷、简单的开通窗口；且可以将用户申请的资源和审批记录存在数据库中，既便于溯源也可以实现配置回退；

2、后端接收到信息后，会对IP地址或域名进行一个合法性的判断，对于用户填写不符合标准的数据，及敏感的端口等信息进行过滤；告知用户重新提交，以保证VPN开通后，不会对内网资源造成安全影响；

3、针对合法的IP地址或域名，会先在SSLVPN设备的资源库里进行检索，如果发现已IP地址或域名命名的资源不存在，则会添加；如发现名称已经存在，会对比该名称下对应的实际信息是否和需要开通的一致，如果不存在则在该名称下添加，如果存在则直接跳过；

4、当所需要开通的IP地址或域名已经处理完成后，需要对SSLVPN设备内，用户所绑定的角色进行查询，如果发现用户名下存在绑定的角色，则根据用户当前实际的角色信息进行更新，如发现用户名下不存在该角色，则创建角色；

5、创建角色，是为了解决给同一个属性的用户，例如一个部门的员工，开通多个资源时，重复的将用户和资源进行绑定；角色可以理解为资源组的集合，把具有相同属性的资源分配到一个资源组，将用户需要的资源或资源组绑定到一个角色，再将该角色分配各具有相同需求的用户或用户组；通过对角色的重复利用，解决了传统开通vpn流程中，一个用户名下挂几百个资源的情况；通常在创建角色时，可以根据用户的组织架构进行创建；

6、在确定用户的角色和已经整理好的IP地址和域名后，将角色和IP地址、域名进行绑定，并进行提交操作；截止至此，已经完成了用户开通SSLVPN的所有操作，用户可以正常访问到申请开通的所有IP地址和域名。

7、为了优化用户的体验，将用户已经开通的IP地址和域名信息及开通结果，通过Web前端展示给用户，已进行告知。

由于在现有技术中，管理员需要手动登录到SSLVPN设备开通，且开通后无法溯源、无法进行回退操作；同时由于人工操作的随意性，无法标准化的管理用户名下资源。通过采用本发明实施例提供的方案，既可以简化开通SSLVPN的流程，避免在手动开通过程中出现人为填写使用的问题、缩短开通的时间；也可以通过用户提交、审批的方式记录用户信息和资源开通信息，从而做到出现问题的及时溯源和因用户开通错误导致问题时，管理员的及时回退操作；同时，还可以通过某些特殊的规则对角色定义，规范、标准化的将用户和其名下资源进行绑定，利于后续维护。

本发明实施例还提供了一种SSLVPN开通装置，如图2所示，该SSLVPN开通装置包括：

获取模块101，用于接收用户的SSLVPN开通请求，SSLVPN开通请求包括：用户信息及待开通VPN资源对应的位置信息。详细内容参见上述方法实施例中步骤S101的相关描述，在此不再进行赘述。

第一处理模块102，用于基于用户信息和/或位置信息查询预设角色库中是否有与SSLVPN开通请求匹配的第一角色，第一角色对应有多个VPN资源。详细内容参见上述方法实施例中步骤S102的相关描述，在此不再进行赘述。

第二处理模块103，用于当预设角色库中有与SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将用户与第一角色进行绑定，以完成用户的SSLVPN开通。详细内容参见上述方法实施例中步骤S103的相关描述，在此不再进行赘述。

通过上述各个组成部分的协同合作，本发明实施例提供的SSLVPN开通装置，通过利用时间设置的预设角色库与用户的SSLVPN开通请求进行匹配的方式，为用户自动开通SSLVPN资源，并且通过利用预设角色库的角色对用户及其开通的VPN资源进行管理，有利于后期对用户及资源的管理，简化了SSLVPN的开通流程，大大缩短了开通时间，提高了开通效率，进而提高用户的使用体验。

上述各个模块的更进一步的功能描述与上述对应方法实施例相同，在此不再赘述。

根据本发明实施例还提供了一种电子设备，如图3所示，该电子设备可以包括处理器901和存储器902，其中处理器901和存储器902可以通过总线或者其他方式连接，图3中以通过总线连接为例。

处理器901可以为中央处理器(Central Processing Unit，CPU)。处理器901还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器902作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明方法实施例中的方法所对应的程序指令/模块。处理器901通过运行存储在存储器902中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例中的方法。

存储器902可以包括存储程序区和存储数据区，其中，存储程序区可存储操作装置、至少一个功能所需要的应用程序；存储数据区可存储处理器901所创建的数据等。此外，存储器902可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器902可选包括相对于处理器901远程设置的存储器，这些远程存储器可以通过网络连接至处理器901。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

一个或者多个模块存储在存储器902中，当被处理器901执行时，执行上述方法实施例中的方法。

上述电子设备具体细节可以对应参阅上述方法实施例中对应的相关描述和效果进行理解，此处不再赘述。

本领域技术人员可以理解，实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，存储介质可为磁碟、光盘、只读存储记忆体(Read－Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid－StateDrive，SSD)等；存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims

1.一种SSLVPN开通方法，其特征在于，包括：

当所述预设角色库中有与所述SSLVPN开通请求匹配的第一角色时，在SSLVPN设备上将所述用户与所述第一角色进行绑定，以完成所述用户的SSLVPN开通；

所述预设角色数据库的建立方式包括：

获取历史用户的用户属性及对应开通的VPN资源；

基于所述用户属性对历史用户对应开通的VPN资源进行分组；

2.根据权利要求1所述的方法，其特征在于，

当所述预设角色库中没有与所述SSLVPN开通请求匹配的第一角色时，基于所述待开通VPN资源生成第二角色；

3.根据权利要求2所述的方法，其特征在于，还包括：

将所述第二角色添加至所述预设角色库。

4.根据权利要求1所述的方法，其特征在于，在基于所述用户信息和/或所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色之前，所述方法还包括：

对所述SSLVPN开通请求进行合法性校验；

5.根据权利要求1所述的方法，其特征在于，所述用户信息包括：当前用户属性，所述基于所述用户信息和所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，包括：

6.根据权利要求1所述的方法，其特征在于，所述用户信息包括：当前用户属性，所述基于所述用户信息或所述位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，包括：

从预设角色库中依次提取第一角色；

7.一种SSLVPN开通装置，其特征在于，包括：

第一处理模块，用于基于所述用户信息和/或位置信息查询预设角色库中是否有与所述SSLVPN开通请求匹配的第一角色，所述第一角色对应有多个VPN资源；所述预设角色数据库的建立方式包括：获取历史用户的用户属性及对应开通的VPN资源；基于所述用户属性对历史用户对应开通的VPN资源进行分组；基于所述用户属性为各组VPN资源创建相应的角色，构成所述预设角色数据库；

8.一种电子设备，其特征在于，包括：

存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令执行权利要求1－6任一项所述方法。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使计算机执行权利要求1－6任一项所述的方法。