CN114244566B - 基于ip地址的非法外联检测方法、装置、计算机设备 - Google Patents

Abstract

本申请涉及一种基于IP地址的非法外联检测方法、装置、计算机设备和存储介质。所述方法包括：服务器接收终端发送的请求连接报文后向所述终端发送指令报文；接收终端发送的应答报文，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文；接收终端发送的基于所述预设加密方式进行加密处理得到的第二验证报文；将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果；基于上述第一比对结果判断是否允许所述终端连接至内部局域网。采用本方法能够实现终端与内部局域网的安全连接，从而达到了避免非法终端侵入内部局域网的目的。

Description

基于IP地址的非法外联检测方法、装置、计算机设备

技术领域

本申请涉及网络安全技术领域，特别是涉及一种基于IP地址的计算机非法外联检测方法、装置、计算机设备和存储介质。

背景技术

随着移动网络技术的快速发展，利用移动网络造成非法外联的现象越来越普遍，主要表现形式：连接到内部局域网的终端，例如计算机，可通过终端设备提供的移动网络(非WIFI形式)进行外联，这将会使该终端同时暴露于内部局域网和外部网络，外部的黑客或者病毒就能够顺利侵入非法外联的计算机，绕过内网防护屏障，盗窃内网数据等机密信息，甚至会利用该计算机作为跳板，攻击内部局域网的服务器，导致整个内网通信瘫痪。

发明内容

基于此，有必要针对上述技术问题，提供一种基于IP地址的计算机非法外联检测方法、装置、计算机设备和存储介质。

一种基于IP地址的非法外联检测方法，应用于服务器，所述方法包括：

接收终端发送的请求连接报文；所述请求连接报文用于请求连接至所述服务器与所述终端构成的内部局域网；

根据所述请求连接报文向所述终端发送指令报文，所述指令报文用于指示所述终端生成应答报文；

接收终端发送的所述应答报文，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文；

接收终端发送的第二验证报文，所述第二验证报文为所述终端对所述应答报文中的所述内容基于所述预设加密方式进行加密处理得到；

将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果；

若所述第一比对结果不同，则阻止所述终端连接至所述内部局域网。

在其中一个实施例中，所述对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文，包括：

对所述应答报文中的自变量基于预设加密算法进行加密处理得到所述第一验证报文；其中，所述预设加密算法为当所述自变量确定时因变量有确定解的方程或方程组，所述自变量包括时间变量。

在其中一个实施例中，所述方法还包括：

若所述第一比对结果相同，则向所述终端发送索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网的第一IP地址；所述第一IP地址由所述服务器分配；

接收所述终端发送的回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；

将所述回复报文中的所述第二IP地址与所述第一IP地址进行比对得到第二比对结果；

若所述第二比对结果不同，则阻止所述终端连接至所述内部局域网；

若所述第二比对结果相同，则向所述终端发送第一确认报文；

接收所述终端反馈的第二确认报文，并与所述终端建立连接；

采用TCP协议与所述终端进行通信。

在其中一个实施例中，所述接收终端发送的请求连接报文前，所述方法还包括：

记录所述内部局域网中各所述终端的初始IP地址。

一种非法外联检测方法，应用于终端，所述方法包括：

发送请求连接报文至所述服务器与所述终端构成的内部局域网；

接收所述服务器发送的指令报文，并根据所述指令报文生成应答报文；所述指令报文为所述服务器根据所述请求连接报文生成；

向所述服务器发送所述应答报文，以指示所述服务器对所述应答报文的内容基于预设加密方式进行加密处理得到第一验证报文；

对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文并将所述第二验证报文发送至所述服务器，以指示所述服务器根据所述第一验证报文与所述第二验证报文确定是否允许所述终端连接至所述内部局域网。

在其中一个实施例中，所述指令报文中携带有所述服务器当前的时钟信号，所述方法还包括：

根据所述指令报文中的所述时钟信号校准所述终端自身的时钟信号。

在其中一个实施例中，所述方法还包括：

接收所述服务器发送的索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网时由所述服务器分配的第一IP地址；

根据所述索取报文向所述服务器发送回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；所述回复报文还用于指示所述服务器判定所述第一IP地址和所述第二IP地址是否相同；

接收所述服务器发送的第一确认报文，并向所述服务器反馈第二确认报文，以指示所述服务器与所述终端建立连接。

在其中一个实施例中，所述方法还包括：

与所述服务器建立连接成功后，监听并判断与所述终端进行TCP协议通信的目标端的IP地址是否与所述服务器的IP地址一致；

若所述判断结果不一致，则所述终端拒绝与所述目标端建立连接；

若所述判断结果为一致，则所述终端继续保持监听状态。

在其中一个实施例中，所述方法还包括：

当所述终端处于与内部局域网断开的情况下，所述终端将一直监听并判断与所述终端完成TCP协议中目标端的IP地址是否合法；

若不合法，则所述终端拒绝与所述目标端建立连接；

若合法，则所述终端和所述服务器均记录下所述终端退出内部局域网前的IP地址。

在其中一个实施例中，所述终端发送请求连接报文前，所述方法还包括：

记录所述内部局域网中服务器的初始IP地址。

一种基于IP地址的非法外联检测系统，包括服务器、终端以及所述服务器与所述终端构成的内部局域网；其中，

所述终端，用于向所述服务器发送请求连接报文，接收所述服务器反馈的指令报文，并根据所述指令报文生成应答报文以发送至所述服务器，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文；

所述服务器，用于接收所述请求连接报文，根据所述请求连接报文向所述终端发送指令报文，基于接收的应答报文，对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文，将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果，若所述第一比对结果不同，则阻止所述终端连接至所述内部局域网。

一种计算机设备，包括处理器和存储器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现前述的所述非法外联检测方法的步骤。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现前述非法外联检测方法的步骤。

上述非法外联检测方法、装置、计算机设备和存储介质，通过终端和服务器分别基于加密算法来对终端发送的应答报文进行加密处理，并就各自加密处理后得到的第一验证报文和第二验证报文的比较结果来判定是否阻止所述终端连接至所述内部局域网，实现了终端与内部局域网的连接，从而避免非法终端侵入内部局域网，同时可以有效防止终端出现非法外联的行为，有效地提升了内部局域网的安全性。

附图说明

图1为一个实施例中非法外联检测方法的应用环境图；

图2为一个实施例中非法外联检测方法的流程示意图；

图3为一个实施例中非法外联检测步骤的流程示意图；

图4为一个实施例中非法外联检测方法的流程示意图；

图5为一个实施例中非法外联检测方法的流程示意图；

图6为一个实施例中非法外联检测方法的流程示意图；

图7为一个实施例中非法外联检测方法的流程示意图；

图8为一个实施例中应用于服务器的非法外联检测装置的结构框图；

图9为另一个实施例中应用于服务器的非法外联检测装置的结构框图；

图10为一个实施例中应用于终端的非法外联检测装置的结构框图；

图11为另一个实施例中应用于终端的非法外联检测装置的结构框图；

图12为一个实施例中服务器的内部结构图；

图13为一个实施例中终端的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的基于IP地址的非法外联检测方法，可以应用于如图1所示的应用环境中。其中，服务器102通过网络与终端104进行通信。其中，终端104可以但不限于是各种个人计算机、笔记本电脑、智能手机和平板电脑等设备，终端104的个数可以是1个或多个，服务器102可以用独立的服务器或者是多个服务器组成的服务器集群来实现。

在一个实施例中，所述服务器安装有服务器侧的监防软件、所述终端安装有终端侧的监防软件以实现所述非法外联检测方法，且所述服务器侧的监防软件在服务器启动时同步自动启动，并且在服务器处于开机状态下一直处于后台运行的状态；所述终端侧的监防软件在终端启动时同步自动启动，并且在终端处于开机状态下一直处于后台运行的状态。其中，为了提高系统的安全性，所述终端侧的监防软件无法手动关闭。

在一个实施例中，如图2所示，提供了一种基于IP地址的非法外联检测方法，以该方法应用于图1中的服务器102为例进行说明，包括步骤202-步骤210。

步骤202，接收终端发送的请求连接报文；所述请求连接报文用于请求连接至所述服务器与所述终端构成的内部局域网。

当终端重新接入内部局域网(Local Area Network，LAN)时，终端的监防软件向服务器的监防软件发送用于连接至内部局域网的请求连接报文，服务器中的监防软件可接收终端中监防软件发送的请求连接报文。请求连接报文中可携带每个终端的身份标识信息。其中，身份标识信息可以用于表征终端的唯一身份信息。其中，该身份标识信息可以用数字、字母、特殊符号中的至少一种进行表示。

其中，所述内部局域网由服务器和多个终端构成。内部局域网可以实现文件管理、应用软件共享、打印机共享、工作组内的日程安排、电子邮件和传真通信服务等功能。

步骤204，根据所述请求连接报文向所述终端发送指令报文，所述指令报文用于指示所述终端生成应答报文。

服务器中的监防软件可根据请求连接报文向终端发送指令报文。终端的监防软件对指令报文进行解析，并根据解析后的指令报文生成应答报文。其中所述指令报文包含有所述服务器当前的时钟信号，以指示所述终端根据所述时钟信号调整终端当前的时钟信号，从而使终端的时钟与服务器的时钟保持一致。

其中，终端的监防软件可将应答报文反馈给服务器。同时，终端的监防软件还可以对生成的应答报文进行加密处理。

步骤206，接收终端发送的所述应答报文，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文。

其中，所述预设加密方式可以但不限于为预设的加密算法。服务器中的监防软件可对接收的应答报文基于预设加密方式，对应答报文中的内容进行加密处理，以得到第一验证报文。其中，预设加密方式可通过对应答报文进行解析后获取，也可以预设存储在服务器的监防软件中。在本申请实施例中，对预设加密方式的具体存储位置不做限定。

在一个实施例中，用户还可以定期或不定期的更改服务器中的监防软件和终端中的监防软件内部的加密算法的类型或内容，以提高加密算法的随机性，进而提高内部局域网的安全性。

在一个实施例中，若当用户在设定的最大时间段后依然没有执行所述定期或不定期更改服务器中的监防软件和终端中的监防软件内部的加密算法的类型或内容时，服务器侧的监防软件和终端侧的监防软件会输出相应的提醒信息以提醒用户对预设加密方式进行强制更新，否则服务器侧的监防软件和终端侧的监防软件就会自动锁住服务器和终端，使其停止工作，以防止终端非法外联至内部局域网。

步骤208，接收终端发送的第二验证报文，将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果。所述第二验证报文为所述终端对所述应答报文中的所述内容基于所述预设加密算法进行计算得到。

终端的监防软件可对生成的应答报文基于预设加密方式进行加密处理，具体的，其可以对应答报文中的内容基于预设加密算法进行加密处理，以得到第二验证报文。其中，预设加密方式可以预先存储在终端的监防软件中。终端的监防软件可以将得到的第二验证报文发送给服务器，服务器的监防软件可接收该第二验证报文，并将第一验证报文与所述第二验证报文进行比对得到第一比对结果。

步骤210，若所述第一比对结果不同，则阻止所述终端连接至所述内部局域网。

服务器的监防软件将第一验证报文和第二验证报文进行对比，若第一验证报文和第二验证报文的内容不同，则第一对比结果不同，可以得出终端与服务器预设的目标终端不一致，则可以阻止所述终端连接至所述内部局域网。

本实施例中的非法外联检测方法，包括：接收终端发送的请求连接报文；根据所述请求连接报文向所述终端发送指令报文；接收终端发送的应答报文，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文；接收终端发送的第二验证报文，并将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果；若所述第一比对结果不同，则阻止所述终端连接至所述内部局域网。此非法外联检测方法设计了一套服务器与终端之间的新的握手协议，通过服务器和终端分别基于加密算法来对终端发送的应答报文分别进行加密处理，并就各自加密处理后得到的第一验证报文和第二验证报文的比较结果来判定是否阻止所述终端连接至所述内部局域网，达到了身份识别与确认的目的，实现了终端与内部局域网的安全连接，从而避免了非法计算机对内部局域网的侵入。

在一个实施例中，所述对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文，包括：

对所述应答报文中的自变量基于预设加密算法进行加密处理得到所述第一验证报文。其中，所述预设加密算法为当所述自变量确定时因变量有确定解的方程或方程组。所述自变量包括时间变量。

示例性的，当自变量为时间变量时，将不同的时间变量代入预设加密算法中计算得到的因变量是不同的，且每一个时间变量只对应一个确定的解，因此对所述应答报文中选定的自变量进行处理可得到唯一确定的第一验证报文。

本实施例中，服务器通过对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文，由于当自变量确定时，计算得到的因变量的结果是唯一确定的，因此可以生成唯一确定的第一验证报文，以指示服务器基于第一验证报文对终端进行身份核验，保证了前述检测终端是否为非法终端的方法的准确性。

在一个实施例中，应答报文中所携带的加密算法和自变量可以由终端随机指定。本实施例中，由于加密算法和自变量的选择是由终端随机指定的，这就保证了计算结果的随机性，进一步提高了内部局域网的安全性。

在一个实施例中，如图3所示，所述非法外联检测方法还包括步骤302-步骤306。

步骤302，若所述第一比对结果相同，则向所述终端发送索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网时的第一IP地址；所述第一IP地址由所述服务器分配。

具体的，在一个实施例中，步骤210所述接收终端发送的请求连接报文前，还包括：判断终端是否断开与内部局域网的连接，若是，则记录下该终端在该次退出局域网前的IP地址，并将每一获取的该IP地址存储在服务器侧的监防软件的IP地址集中。其中，第一IP地址可以为IP地址集的任一IP地址。

示例性的，索取报文的内容可以为终端上一次接入内部局域网时管理端的监防软件分配给其的第一IP地址。

步骤304，接收所述终端发送的回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址。

示例性的，当索取报文索取的内容为终端上一次接入内部局域网时管理端的监防软件分配给其的第一IP地址时，对应的回复报文的内容则为终端上一次接入内部局域网时的第二IP地址。

步骤306，将所述回复报文中的所述第二IP地址与所述第一IP地址进行比对得到第二比对结果，若所述第二比对结果不相同，则拒绝所述终端连接至内部局域网。

本实施例中，服务器向所述终端发送索取报文索要终端上一次或历史任一次的第二IP地址并与服务器的监防软件所存储的第一IP地址进行比较，基于IP地址实现了进一步的身份核验，若所述第二比对结果不一致，则说明该终端并非服务器历史连接过的目标终端，从而避免了非法计算机对内部局域网的侵入。在一个实施例中，步骤306，将所述回复报文中的所述第二IP地址与所述第一IP地址进行比对得到第二比对结果后，所述非法外联检测方法还包括步骤402-步骤406。

步骤402，若所述根据第二IP地址与第一IP地址进行比对得到的第二比对结果相同，则向所述终端发送第一确认报文。

当所述第二IP地址与所述第一IP地址一致时，说明该终端与服务器存储在所述IP地址集中的IP地址对应的目标终端是一致的，则可以向该终端发送第一确认连接报文。

步骤404，接收所述终端反馈的第二确认报文，并与所述终端建立连接。

终端接收到所述第一确认报文后，说明终端通过了服务器的的身份核验，此时可以向服务器发送第二确认连接报文，以确定连接至所述内部局域网。

步骤406，采用TCP协议与所述终端进行通信。

其中TCP协议是常见的网络通信协议，代表传输控制协议，它规定了如何建立和维护两个程序可以交换数据的连接。

本实施例中，服务器与终端基于所述第二IP地址与所述第一IP地址得到的第二比对结果实现了进一步的身份确认，当所述第二IP地址与所述第一IP地址相同时，则说明所述终端与服务器储存在IP地址库中的第一IP地址对应的目标端一致，服务器则允许与终端建立连接，并采用TCP协议与所述终端进行通信，基于IP地址实现了进一步的身份确认。

在一个实施例中，在所述接收终端发送的请求连接报文前，所述方法还包括：服务器记录所述内部局域网中各所述终端的初始IP地址。本实施例通过记录各所述终端的初始IP地址并将其储存在IP地址集中，便于在所述终端下一次或后续任一次请求连接至内部局域网时对其进行基于IP地址的身份核验，提高内部局域网的安全性。

在一个实施例中，如图5所示，提供了一种基于IP地址的非法外联检测方法，以该方法应用于图1中的终端104为例进行说明，包括以下步骤502-步骤508。

步骤502，发送请求连接报文至服务器与终端构成的内部局域网。

在终端处于与内部局域网断开连接，且需要连接内部局域网时，终端需要发送请求连接报文至内部局域网。

步骤504，接收所述服务器发送的指令报文，并根据所述指令报文生成应答报文。

服务器在接收到所述请求连接报文后会生成指令报文并发送至终端，其中，所述指令报文中携带有服务器当前的时钟信号，并且终端接收到指令报文后会根据其中的时钟信号来校准自身的时钟信号。

其中，当所述预设加密方式为预设的加密算法时，所述应答报文的内容包含有选定的加密算法和相应的自变量，并且加密算法和自变量的选择由终端随机指定。

步骤506，向所述服务器发送所述应答报文，以指示所述服务器对所述应答报文的内容基于预设加密方式进行加密处理得到第一验证报文。

相对应的，所述第一验证报文为所述服务器对所述应答报文中的自变量基于预设加密算法进行计算得到的唯一确定的结果。

步骤508，对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文，以指示所述服务器根据所述第一验证报文与所述第二验证报文确定是否允许所述终端连接至所述内部局域网。

相对应的，所述第二验证报文为所述终端对所述应答报文中的自变量基于预设加密算法进行计算得到的唯一确定的结果。

本实施例中，所述非法外联检测方法，包括：向内部局域网发送请求连接报文；接收服务器发送的指令报文并向服务器反馈应答报文；对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文；向服务器发送第二验证报文，以指示所述服务器根据所述第一验证报文与所述第二验证报文确定是否允许所述终端连接至所述内部局域网。此非法外联检测方法设计了一套服务器与终端之间的新的握手协议，通过服务器和终端分别基于加密算法来对终端发送的应答报文分别进行加密处理，并就各自加密处理后得到的第一验证报文和第二验证报文的比较结果来判定是否阻止所述终端连接至所述内部局域网，达到了身份识别与确认的目的，实现了终端与内部局域网的安全连接，从而避免了非法计算机对内部局域网的侵入。

在一个实施例中，如图6所示，非法外联检测方法所述根据所述第一验证报文和第二验证报文得到的第一比对结果，确定是否允许所述终端连接至所述局域网，若所述第一比对结果相同还包括步骤602-步骤606。

步骤602，接收所述服务器发送的索取报文。

其中，服务器的监防软件可以根据所述第一验证报文和第二验证报文得到的第一比对结果来生成索取报文。具体的，服务器的监防软件在确定第一比对结果相同时，可生成该索取报文，并将该索取报文发送给终端。终端可接收服务器发送的索取报文。其中，所述索取报文索取的内容可以为所述终端上一次或者历史任一次接入至所述内部局域网时服务器分配给其的第一IP地址。

步骤604，根据所述索取报文向所述服务器发送回复报文。

终端的监防软件可根据接收的索取报文生成相应的回复报文，并将生成的回复报文发送给服务器。其中，所述回复报文的内容为与所述索取报文相对应的所述终端上一次或历史任一次接入至所述内部局域网时的第二IP地址。

示例性的，当索取报文索取的内容为终端上一次接入内部局域网时管理端的监防软件分配给其的第一IP地址时，对应的回复报文的内容则为终端上一次接入内部局域网时的第二IP地址。

其中，所述回复报文还用于指示服务器判定所述第一IP地址和所述第二IP地址是否相同，从而得到第二比对结果，并在第二比对结果相同时，生成第一确认报文。服务器的监防软件将生成的第一确认报文发送给终端。

步骤606，接收所述服务器反馈的第一确认报文，并向所述服务器反馈第二确认报文，以指示所述服务器与所述终端建立连接。

终端的监防软件接收服务器发送的第一确认报文，并根据接收的第一确认报文生成第二确认报文，以将第二确认报文发送给服务器，以指示服务器与该终端建立连接。建立连接后，还可以采用TCP协议与所述服务器进行通信。

本实施例中，服务器与终端基于所述第二IP地址与所述第一IP地址得到的第二比对结果实现了进一步的身份确认，当所述第二IP地址与所述第一IP地址相同时，则说明所述终端与服务器储存在IP地址库中的第一IP地址对应的目标终端一致，终端则可以与服务器成功建立连接，并采用TCP协议与服务器进行通信，基于IP地址实现了进一步的身份确认。

在一个实施例中，所述非法外联检测方法还包括所述终端将一直监听并判断与所述终端进行TCP协议通信的目标端的IP地址是否与所述服务器的IP地址一致的步骤。其中，若目标端的IP地址与所述服务器的IP地址不一致，所述终端拒绝与所述目标端建立连接。若目标端的IP地址与所述服务器的IP地址一致，所述终端继续保持监听状态，也即持续监听与所述终端进行TCP协议通信的目标端的IP地址是否与所述服务器的IP地址一致。终端的监防软件通过对与所述终端进行TCP协议通信的目标端的IP地址进行监听，可以有效地检测并防止所述终端出现非法外联的行为，提高了内部局域网的安全性。

在一个实施例中，所述终端会在发送请求连接报文前记录下服务器的初始IP地址。终端通过将服务器的初始IP地址记录并存储在终端的监防软件中，可以用于指示该终端判断其所监听到的与所述终端进行TCP协议通信的目标端的IP地址是否为服务器的IP地址，有效地检测并防止所述终端出现非法外联的行为。

在一个实施例中，在所述终端处于与内部局域网断开的情况下，非法外联检测方法还包括所述终端将一直监听并判断所述终端完成TCP协议中目标端的IP地址是否合法的步骤。若不合法，则拒绝与所述目标端建立连接；若合法，当终端需要连接至内部局域网时，则向所述服务器发送请求连接报文。其中，若与所述终端进行TCP协议通信的目标端的IP地址与服务器的IP地址一致，则为合法；若与所述终端进行TCP协议通信的目标端的IP地址与服务器的IP地址不一致，则为不合法。

在一个实施例中，服务器侧的监防软件和终端侧的监防软件将所有的事件包括监听到的IP地址记录下来，从而在前端及时通知相应的用户。

本实施例中，在终端与目标端通信时，终端通过对目标端的IP地址进行检测的方式来识别终端是否存在非法外联的行为，从而及时阻止终端出现非法外联，达到有效地提升内部局域网的安全性、防止计算机出现非法外联行为的效果。

在一个实施例中，如图7所示，提供了一种基于IP地址的非法外联检测方法，以该方法应用于图1中的服务器102和终端104为例进行说明，包括以下步骤702-步骤732。

步骤702，当终端请求接入内部局域网时，所述终端向内部局域网发送请求连接报文。

步骤704，所述服务器收到请求连接报文并向所述终端发送指令报文。

步骤706，所述终端收到所述服务器发送的指令报文后向所述服务器发送应答报文。

其中，所述指令报文中包含由服务器当前的时钟信号，并且所述终端接收到所述指令报文后会根据其中的时钟信号来校准自身的时钟信号；其中，所述应答报文包含选定的加密算法和相应的自变量，并且加密算法和自变量的选择由终端随机指定。

步骤708，所述服务器接收到终端发送的应答报文，此时所述服务器与所述终端同时对所述应答报文中的内容基于预设加密方式进行加密处理，示例性的，所述服务器对所述应答报文中的自变量基于预设加密算法进行计算得到第一验证报文，所述终端对所述应答报文中的自变量基于预设加密算法进行计算得到第二验证报文。

步骤710，所述终端将包含计算结果的第二验证报文发送给所述服务器。

步骤712，所述服务器接收到第二验证报文并将自己计算得到的所述第一验证报文与所述第二验证报文进行比对是否一致，得到第一比对结果。

步骤714，若所述第一比对结果不一致，则所述服务器拒绝与所述终端建立连接。

若所述第一比对结果一致，则所述服务器向所述终端发送索取报文；所述索取报文的内容为终端上一次或历史任一次接入内部局域网时服务器分配给终端的第一IP地址。

步骤716，所述终端接收到所述索取报文后向所述服务器发送回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端上一次或历史任一次接入内部局域网时服务器分配给其的第二IP地址。

步骤718，所述服务器接收到回复报文，并将回复报文中的所述第二IP地址与自身存储的所述第一IP地址进行比对是否一致，得到第二比对结果。

步骤720，若所述第二比对结果不一致，则所述服务器拒绝与所述终端建立连接。

若所述第二比对结果一致，则所述服务器向所述终端发送第一确认报文。

步骤722，所述终端接收到第一确认报文，并向所述服务器反馈第二确认报文，此时所述终端与服务器之间连接建立成功。

步骤724，所述服务器和终端之间的通信转用TCP协议。

步骤726，在所述通信转用TCP协议之后，所述终端将一直监听与终端完成TCP协议中目标端的IP地址是否为服务器的IP地址。

步骤728，若上述判断结果为是，则所述终端将继续保持监听状态；若上述判断结果为否，则所述终端将拒绝与目标端建立连接。

步骤730，当终端与内部局域网断开时，终端的监防软件将一直监听并判断与终端完成TCP协议的目标端的IP地址是否合法。

步骤732，若不合法则拒绝与所述目标端建立连接；若合法则可以向服务器发送请求连接报文。

本发明通过设计一套新的握手协议来实现终端与内部局域网的连接，从而避免非法终端侵入内部局域网，同时还在终端与目标端通信时通过对目标端的IP地址进行监听检测的方式来识别终端是否有非法外联的行为，从而及时地阻止终端非法外联，进而达到有效地提升内部局域网安全性的效果。

应该理解的是，虽然图1-7的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图1-7中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图8所示，提供了一种基于IP地址的非法外联检测装置，应用于服务器。其中，所述非法外联检测装置包括：第一接收模块802，指令报文发送模块804，第二接收模块806，第一对比模块808和连接模块810。

第一接收模块802，用于接收终端发送的请求连接报文，所述请求连接报文用于请求连接至所述服务器与所述终端构成的内部局域网；

指令报文发送模块804，用于根据所述请求连接报文向所述终端发送指令报文，所述指令报文用于指示所述终端生成应答报文；

第二接收模块806，接收终端发送的所述应答报文，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文；

第一对比模块808，用于接收终端发送的第二验证报文，并将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果；所述第二验证报文为所述终端对所述应答报文中的所述内容基于所述预设加密方式进行加密处理得到。

连接模块810，用于在所述第一比对结果不同时，阻止所述终端连接至所述内部局域网。

上述非法外联检测装置，设计了一套服务器与终端之间的新的握手协议，通过服务器和终端分别基于加密算法来对终端发送的应答报文分别进行加密处理，并就各自加密处理后得到的第一验证报文和第二验证报文的比较结果来判定是否阻止所述终端连接至所述内部局域网，达到了身份识别与确认的目的，实现了终端与内部局域网的安全连接，从而避免了非法计算机对内部局域网的侵入。

在一个实施例中，第二接收模块806还用于对所述应答报文中的自变量基于预设加密算法进行加密处理得到所述第一验证报文；其中，所述预设加密算法为当所述自变量确定时因变量有确定解的方程或方程组，所述自变量包括时间变量。

在一个实施例中，如图9所示，非法外联检测装置还包括：

索取报文发送模块902，用于若所述第一比对结果相同，则向所述终端发送索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网的第一IP地址；所述第一IP地址由所述服务器分配；

第三接收模块904，用于接收所述终端发送的回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；

第二对比模块906，用于将所述回复报文中的所述第二IP地址与所述第一IP地址进行比对得到第二比对结果,若所述第二比对结果不同，则阻止所述终端连接至所述内部局域网。

在一个实施例中，所述非法外联检测装置还包括：

确认报文发送模块908，用于在所述第二比对结果相同时，向所述终端发送第一确认报文；

第四接收模块910，用于接收所述终端反馈的第二确认报文；

其中所述连接模块810还用于在接收到所述第二确认报文后与所述终端建立连接，并采用TCP协议与所述终端进行通信。

在一个实施例中，所述非法外联检测装置还包括：

记录模块912，用于记录所述内部局域网中各所述终端的初始IP地址。

在一个实施例中，如图10所示，提供了一种非法外联检测装置，该非法外联检测装置应用于终端。其中，所述非法外联检测装置包括：第一发送模块1002，指令报文接收模块1004，第二发送模块1006，加密处理模块1008。

第一发送模块1002，用于发送请求连接报文至所述服务器与所述终端构成的内部局域网；

指令报文接收模块1004，用于接收所述服务器发送的指令报文，并根据所述指令报文生成应答报文；所述指令报文为所述服务器根据所述请求连接报文生成；

第二发送模块1006，用于向所述服务器发送所述应答报文，以指示所述服务器对所述应答报文的内容基于预设加密方式进行加密处理得到第一验证报文；

加密处理模块1008，用于对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文并将所述第二验证报文发送至所述服务器，以指示所述服务器根据所述第一验证报文与所述第二验证报文确定是否允许所述终端连接至所述内部局域网。

上述非法外联检测装置，通过服务器和终端分别基于加密算法来对终端发送的应答报文分别进行加密处理，并就各自加密处理后得到的第一验证报文和第二验证报文的比较结果来判定是否阻止所述终端连接至所述内部局域网，达到了身份识别与确认的目的，实现了终端与内部局域网的安全连接，从而避免了非法计算机对内部局域网的侵入。

在一个实施例中，所述非法外联检测装置还包括：

时钟调整模块1102，用于根据所述指令报文中的所述时钟信号校准所述终端自身的时钟信号。其中，所述指令报文中携带有所述服务器当前的时钟信号。

在一个实施例中，所述非法外联检测装置还包括：

索取接收模块1104，用于接收所述服务器发送的索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网时由所述服务器分配的第一IP地址；

第三发送模块1106，用于根据所述索取报文向所述服务器发送回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；所述回复报文还用于指示所述服务器用于判定所述第一IP地址和所述第二IP地址是否相同；

确认接收模块1108，用于接收所述服务器反馈的第一确认报文，并向所述服务器发送第二确认报文，以指示所述服务器与所述终端建立连接。

在一个实施例中，所述非法外联检测装置还包括：

监听模块1110，用于终端与所述服务器建立连接成功后，监听并判断与所述终端进行TCP协议通信的目标端的IP地址是否与所述服务器的IP地址一致；当所述判断结果为一致时，则所述终端继续保持监听状态。

控制连接模块1112，用于当所述判断结果不一致时，拒绝终端与所述目标端建立连接；

在一个实施例中，所述监听模块1110还用于与所述服务器建立连接成功后，监听并判断与所述终端进行TCP协议通信的目标端的IP地址是否与所述服务器的IP地址一致；当所述判断结果为一致，则继续保持监听状态。

所述控制连接模块1112还用于当所述判断结果不一致时，拒绝终端与所述目标端建立连接。

关于上述非法外联检测装置的具体限定可以参见上文中对于非法外联检测方法的限定，在此不再赘述。上述非法外联检测装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图12所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储预设的加密算法、终端历史任一次接入内部局域网时的IP地址等数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种非法外联检测方法。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图13所示。该计算机设备包括通过系统总线连接的处理器、存储器、通信接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，该计算机程序被处理器执行时以实现一种非法外联检测方法。

本领域技术人员可以理解，图12-13中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述任一实施例中非法外联检测方法中的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (12)

1.一种基于IP地址的非法外联检测方法，其特征在于，应用于服务器，所述方法包括：

接收终端发送的请求连接报文；所述请求连接报文用于请求连接至所述服务器与所述终端构成的内部局域网；

根据所述请求连接报文向所述终端发送指令报文，所述指令报文用于指示所述终端生成应答报文；

接收终端发送的所述应答报文，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文；

接收终端发送的第二验证报文，并将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果；所述第二验证报文为所述终端对所述应答报文中的所述内容基于所述预设加密方式进行加密处理得到；

若所述第一比对结果不同，则阻止所述终端连接至所述内部局域网；

若所述第一比对结果相同，则向所述终端发送索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网的第一IP地址；所述第一IP地址由所述服务器分配；

接收所述终端发送的回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；

将所述回复报文中的所述第二IP地址与所述第一IP地址进行比对得到第二比对结果，若所述第二比对结果不同，则阻止所述终端连接至所述内部局域网。

2.根据权利要求1所述的非法外联检测方法，其特征在于，所述对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文，包括：

对所述应答报文中的自变量基于预设加密算法进行加密处理得到所述第一验证报文；其中，所述预设加密算法为当所述自变量确定时因变量有确定解的方程或方程组，所述自变量包括时间变量。

3.根据权利要求1所述的非法外联检测方法，其特征在于，所述方法还包括：

若所述第二比对结果相同，则向所述终端发送第一确认报文；

接收所述终端反馈的第二确认报文，并与所述终端建立连接；

采用TCP协议与所述终端进行通信。

4.根据权利要求1所述的非法外联检测方法，其特征在于，所述接收终端发送的请求连接报文前，所述方法还包括：

记录所述内部局域网中各所述终端的初始IP地址。

5.一种非法外联检测方法，其特征在于，应用于终端，所述方法包括：

发送请求连接报文至服务器与所述终端构成的内部局域网；

接收所述服务器发送的指令报文，并根据所述指令报文生成应答报文；所述指令报文为所述服务器根据所述请求连接报文生成；

向所述服务器发送所述应答报文，以指示所述服务器对所述应答报文的内容基于预设加密方式进行加密处理得到第一验证报文；

对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文并将所述第二验证报文发送至所述服务器，以指示所述服务器根据所述第一验证报文与所述第二验证报文确定是否允许所述终端连接至所述内部局域网；

接收所述服务器发送的索取报文；所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网时由所述服务器分配的第一IP地址；

根据所述索取报文向所述服务器发送回复报文；所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；所述回复报文还用于指示所述服务器判定所述第一IP地址和所述第二IP地址是否相同；

接收所述服务器发送的第一确认报文，并向所述服务器反馈第二确认报文，以指示所述服务器与所述终端建立连接。

6.根据权利要求5所述的非法外联检测方法，其特征在于，所述指令报文中携带有所述服务器当前的时钟信号，所述方法还包括：

根据所述指令报文中的所述时钟信号校准所述终端自身的时钟信号。

7.根据权利要求5所述的非法外联检测方法，其特征在于，所述方法还包括：

与所述服务器建立连接成功后，监听并判断与所述终端进行TCP协议通信的目标端的IP地址是否与所述服务器的IP地址一致；

若所述判断结果不一致，则所述终端拒绝与所述目标端建立连接；

若所述判断结果为一致，则所述终端继续保持监听状态。

8.根据权利要求5所述的非法外联检测方法，其特征在于，所述方法还包括：

当所述终端处于与内部局域网断开的情况下，所述终端将一直监听并判断与所述终端完成TCP协议中目标端的IP地址是否合法；

若不合法，则所述终端拒绝与所述目标端建立连接；

若合法，所述终端和所述服务器均记录下所述终端退出内部局域网前的IP地址。

9.根据权利要求5所述的非法外联检测方法，其特征在于，所述终端发送请求连接报文前，所述方法还包括：

记录所述内部局域网中服务器的初始IP地址。

10.一种基于IP地址的非法外联检测系统，其特征在于，所述系统包括服务器、终端以及所述服务器与所述终端构成的内部局域网；其中，

所述终端，用于向所述服务器发送请求连接报文，接收所述服务器反馈的指令报文，并根据所述指令报文生成应答报文以发送至所述服务器，并对所述应答报文中的内容基于预设加密方式进行加密处理得到第二验证报文，接收所述服务器发送的索取报文，根据所述索取报文向所述服务器发送回复报文，其中，所述索取报文索取的内容为所述终端历史任一次接入至所述内部局域网的第一IP地址，所述回复报文的内容为与所述索取报文相对应的所述终端历史任一次接入至所述内部局域网时的第二IP地址；

所述服务器，用于接收所述请求连接报文，根据所述请求连接报文向所述终端发送指令报文，基于接收的应答报文，对所述应答报文中的内容基于预设加密方式进行加密处理得到第一验证报文，将所述第一验证报文与所述第二验证报文进行比对得到第一比对结果，若所述第一比对结果不同，则阻止所述终端连接至所述内部局域网，若所述第一比对结果相同，则向所述终端发送索取报文，接收所述终端发送的回复报文，将所述回复报文中的所述第二IP地址与所述第一IP地址进行比对得到第二比对结果；其中，所述第一IP地址由所述服务器分配。

11.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至9中任一项所述的方法的步骤。

12.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至9中任一项所述的方法的步骤。