CN114978807A - 一种通信方法及电子设备 - Google Patents

Abstract

本发明实施例提供了一种通信方法及电子设备，所述通信方法包括应用于内网中的客户端中的方法，所述方法包括：创建与外网中的目标服务器间的父子连接；将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，由所述目标服务器将所述访问数据包发送至互联网站点；接收所述目标服务器反馈的由所述互联网站点返回的数据包。本发明的通信方法能够解决应用程序在网络中被窃听和非法限制问题，同时能够提高传输效率。

Description

一种通信方法及电子设备

技术领域

本发明实施例涉及网络安全和通信领域，特别涉及一种通信方法及电子设备。

背景技术

当前越来越多的应用在网络中运行，但窃听和非法限制严重影响各个应用程序的正常运行，具有较强的数据安全隐患。目前常采用的方法为ipsec vpn隧道技术和sslvpn技术。其中，ipsec vpn隧道技术指采用IPSec协议来实现远程接入的一种VPN技术，IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force(IETF)定义的安全标准框架，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全——在两个公共网关间提供私密数据封包服务。而SSLVPN指的是基于安全套接字层协议(Security Socket Layer-SSL)建立远程安全访问通道的VPN技术。但是目前所用的方案均需要对数据先进行加解密，再传输，如此就需要增加单独的加解密设备，致使传输效率有限。

发明内容

本发明提供了一种能够解决应用程序在网络中被窃听和非法限制问题，同时能够提高传输效率的通信方法，及应用该通信方法的电子设备。

为了解决上述技术问题，本发明实施例提供了一种通信方法，应用于内网中的客户端中，所述方法包括：

创建与外网中的目标服务器间的父子连接；

将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，由所述目标服务器将所述访问数据包发送至互联网站点；

接收所述目标服务器反馈的由所述互联网站点返回的数据包。

作为一可选实施例，所述创建与外网中的目标服务器间的父子连接，包括：

向所述目标服务器发起父连接请求；

当所述父连接建立后，与所述目标服务器协商并创建子连接。

作为一可选实施例，所述将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，包括：

确定所述子连接的五元组；

基于所述子连接的五元组封装所述访问数据包的报文头。

本发明另一实施例同时提供一种通信方法，应用于外网中的目标服务器中，所述方法包括：

基于内网中的客户端的请求，与所述客户端建立父子连接；

基于所述父子连接获得所述客户端发送的访问数据包；

对所述访问数据包进行第一处理，并将处理后的所述访问数据包发送至互联网站点；

接收所述互联网站点反馈的数据包；

对所述数据包进行第二处理，并将处理后的所述数据包基于所述父子连接发送至所述客户端。

作为一可选实施例，所述对所述访问数据包进行第一处理，包括：

剥离所述访问数据包中报文头内的子连接五元组；

至少基于所述目标服务器的出接口IP和随机生成的源端口IP对剥离所述子连接五元组的访问数据包进行封装。

作为一可选实施例，还包括：

创建隧道通信转换表项，所述隧道通信转换表项至少对应记录有所述访问数据包中被剥离的子连接五元组，以及经所述第一处理后的所述访问数据包的报文头信息。

作为一可选实施例，所述对所述数据包进行第二处理，包括：

基于所述隧道通信转换表项确定与所述数据包的报文头信息对应的子连接五元组；

基于所述子连接五元组中的信息调整所述数据包的报文头信息，并进行封装，以使封装后的所述数据包能够基于所述父子连接发送至所述客户端。

作为一可选实施例，所述访问数据包的报文头依次包括子连接五元组、访问数据包五元组；

经所述第二处理后的数据包的报文头依次包括子连接五元组、数据包五元组。

本发明另一实施例还提供一种电子设备，包括：

第一处理器，用于创建与外网中的目标服务器间的父子连接；

第一信号收发器，用于将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，由所述目标服务器将所述访问数据包发送至互联网站点，以及接收所述目标服务器反馈的由所述互联网站点返回的数据包。

本发明另一实施例还提供一种电子设备，包括：

第二处理器，用于根据内网中的客户端的请求，与所述客户端建立父子连接，基于所述父子连接获得所述客户端发送的访问数据包，对所述访问数据包进行第一处理，并将处理后的所述访问数据包发送至互联网站点；接收所述互联网站点反馈的数据包，对所述数据包进行第二处理；

第二信号收发器，用于将经所述第二处理后的数据包基于所述父子连接发送至所述客户端。

基于上述实施例的公开可以获知，本发明实施例具备的有益效果包括通过在内网中的客户端(客户端机)与外网中的目标服务器间建立父子连接，使通过复用父子连接中子连接来进行数据通信，如此不仅解决了网络中被窃听和非法限制的问题，而且基于父子连接进行通信无需加密、解密访问数据包，减少了加解密过程，且无需增设加解密器件，节省了开支，同时提高了通信效率。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明实施例中的通信方法的流程图。

图2为本发明另一实施例中的通信方法的流程图。

图3为本发明实施例中的通信方法的应用流程图。

图4为本发明实施例中的电子设备的结构框图。

图5为本发明另一实施例中的电子设备的结构框图。

具体实施方式

下面，结合附图对本发明的具体实施例进行详细的描述，但不作为本发明的限定。

应理解的是，可以对此处公开的实施例做出各种修改。因此，下述说明书不应该视为限制，而仅是作为实施例的范例。本领域的技术人员将想到在本公开的范围和精神内的其他修改。

包含在说明书中并构成说明书的一部分的附图示出了本公开的实施例，并且与上面给出的对本公开的大致描述以及下面给出的对实施例的详细描述一起用于解释本公开的原理。

通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本发明的这些和其它特性将会变得显而易见。

还应当理解，尽管已经参照一些具体实例对本发明进行了描述，但本领域技术人员能够确定地实现本发明的很多其它等效形式，它们具有如权利要求所述的特征并因此都位于借此所限定的保护范围内。

当结合附图时，鉴于以下详细说明，本公开的上述和其他方面、特征和优势将变得更为显而易见。

此后参照附图描述本公开的具体实施例；然而，应当理解，所公开的实施例仅仅是本公开的实例，其可采用多种方式实施。熟知和/或重复的功能和结构并未详细描述以避免不必要或多余的细节使得本公开模糊不清。因此，本文所公开的具体的结构性和功能性细节并非意在限定，而是仅仅作为权利要求的基础和代表性基础用于教导本领域技术人员以实质上任意合适的详细结构多样地使用本公开。

本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本公开的相同或不同实施例中的一个或多个。

下面，结合附图详细的说明本发明实施例。

如图1所示，本发明实施例提供一种通信方法，应用于内网中的客户端中，所述方法包括：

创建与外网中的目标服务器间的父子连接；

将访问数据包基于父子连接中的子连接封装后发送至目标服务器，由目标服务器将访问数据包发送至互联网站点；

接收目标服务器反馈的由互联网站点返回的数据包。

例如，内网中的客户机上装设有客户端，该客户端可以为任意一种应用程序，具体不定。当该客户端基于客户机想访问外网时，可预先与客户端对应的目标服务器间建立父子连接，接着基于父子连接中的子连接对客户端欲发出的访问数据包进行封装，如封装使访问数据包的报文头改变，以达到能够基于子连接传输数据至目标服务器的效果。当客户端基于客户端机将封装后的访问数据包基于子连接发送至目标服务器中后，该目标服务器会处理该访问数据包，使其能够被成功发送至互联网站点，以得到互联网站点反馈回的响应数据，即返回的数据包。目标服务器接收到了该数据包后可以将该数据包进行处理，使其能够成功基于子连接再发送至客户端中，进而完成安全的数据通信。

也就是，由于内网客户端访问互联网通常会被非法拦截且有被窃听风险，故为解决该技术问题，本实施例中通过内网客户端与外网中的服务器端建立父子连接应用，复用子连接数据通道，内网客户端与目标服务器基于子连接传输数据，数据经过目标服务器实现访问互联网，之后互联网反馈的数据再经过目标服务器发送回内网客户端，进而完成数据通信。由于网络设备通常检查父连接应用后会放行子连接，因此子连接数据通道可以作为传输数据信道完成安全通信且不被窃听。

故基于上述实施例的公开可以获知，本实施例具备的有益效果包括通过在内网中的客户端(客户端机)与外网中的目标服务器间建立父子连接，使通过复用父子连接中子连接来进行数据通信，如此不仅解决了网络中被窃听和非法限制的问题，而且基于父子连接进行通信无需加密、解密访问数据包，减少了加解密过程，且无需增设加解密器件，节省了开支，同时提高了通信效率。

进一步地，本实施例中的需要访问互联网的客户端在内网且可能被中间设备阻断或被监听，允许客户端访问的特定父子连接应用的服务器(即目标服务器)在外网。所述特定父子连接应用可以为但不限定于TFTP，H.323，SIP协议。

进一步地，在创建与外网中的目标服务器间的父子连接时，包括：

向目标服务器发起父连接请求；

当父连接建立后，与目标服务器协商并创建子连接。

即，客户端先发起父连接与服务器通信，父连接创建后协商并创建子连接。

进一步地，在将访问数据包基于父子连接中的子连接封装后发送至目标服务器时，包括：

确定子连接的五元组；

基于子连接的五元组封装访问数据包的报文头。

也即，客户端将需要访问互联网的数据包封装成子连接的数据包发送给目标服务器。

例如，本实施例中的子连接的五元组为ip1(源ip)，ip2(目的ip)，port1(源端口)，port2(目的端口)，protocol1(协议)。客户端将需要访问互联网的数据包用子连接封装后发给目标服务器。具体操作结合图3所示，在封装访问数据包时，将客户端需要访问互联网数据进行封装，例如五元组为ip3(源ip)，ip4(目的ip)，port3(源端口)，port4(目的端口)，protocol2(协议)，封装子连接报文头后报文头结构为：子连接报文头(五元组)+客户端数据包(五元组)+(载荷)。

如图2所示，本发明另一实施例同时提供一种通信方法，应用于外网中的目标服务器中，所述方法包括：

基于内网中的客户端的请求，与客户端建立父子连接；

基于父子连接获得客户端发送的访问数据包；

对访问数据包进行第一处理，并将处理后的访问数据包发送至互联网站点；

接收互联网站点反馈的数据包；

对数据包进行第二处理，并将处理后的数据包基于父子连接发送至客户端。

例如，目标服务器为与客户端机上的客户端对应的服务器，当目标服务器接收到了访问数据包后，会将其进行第一处理，以封装成IP报文，并发送至互联网站点。当目标服务器接收到了互联网站点返回的响应数据，即数据包时，会对其进行第二处理，以使其形成子连接数据包格式，使能够基于子连接而将该数据包发送至客户端中。

故同样地，基于上述实施例的公开可以获知，本实施例具备的有益效果包括通过在内网中的客户端(客户端机)与外网中的目标服务器间建立父子连接，使通过复用父子连接中子连接来进行数据通信，如此不仅解决了网络中被窃听和非法限制的问题，而且基于父子连接进行通信无需加密、解密访问数据包，减少了加解密过程，且无需增设加解密器件，节省了开支，同时提高了通信效率。

进一步地，在对访问数据包进行第一处理时，包括：

剥离访问数据包中报文头内的子连接五元组；

至少基于目标服务器的出接口IP和随机生成的源端口IP对剥离子连接五元组的访问数据包进行封装。

另外，本实施例中的方法还包括：

创建隧道通信转换表项，隧道通信转换表项至少对应记录有访问数据包中被剥离的子连接五元组，以及经第一处理后的访问数据包的报文头信息。

而且，本实施例中访问数据包的报文头依次包括子连接五元组、访问数据包五元组；

经第二处理后的数据包的报文头依次包括子连接五元组、数据包五元组。

例如，继续前文所述实施例，由于子连接通道已经建立，网络中的设备会认为该数据通道为合法数据通道。目标服务器收到客户端发来的访问数据包后，先剥离最外层的子连接五元组。然后创建隧道通信转换表项，该表项包括：转换前的源ip，转换后的源ip，转换前的源端口，转换后的源端口，目的ip和目的端口，协议号。例如：该连接转换前的源ip为ip3，转换前的源端口为port3，目的ip为ip4，目的端口为port4，转换后的源ip为目标服务器与互联网接口ip5，转换后的源端口为目标服务器空闲端口port5(通常为1024-65535)。目标服务器会将数据包头转换后发出，转换后的五元组为：ip5(源ip)，ip4(目的ip)，port5(源端口)，port4(目的端口)，protocol2(协议)，发送给互联网站点。

进一步地，对数据包进行第二处理，包括：

基于隧道通信转换表项确定与数据包的报文头信息对应的子连接五元组；

基于子连接五元组中的信息调整数据包的报文头信息，并进行封装，以使封装后的数据包能够基于父子连接发送至客户端。

例如，目标服务器收到互联网站点发送回的数据包后，按照隧道通信转换表项对数据包进行转换。例如：收到的数据包的五元组应该为：ip4(源ip)，ip5(目的ip)，port4(源端口)，port5(目的端口)，protocol2(协议)，以该五元组为元素查找隧道通信转换表，找到表项后，将报文五元组转换为：ip4(源ip)，ip3(目的ip)，port4(源端口)，port3(目的端口)，protocol2(协议)。

将按照隧道通信转换表转换后的数据包封装子连接报文头，报文头为ip2(源ip)，ip1(目的ip)，port2(源端口)，port1(目的端口)，protocol1(协议)，封装后的报文头为：子连接报文头(五元组)+客户端数据包(五元组)(载荷)，数据包发给客户端即可，完成通信过程。

如图4所示，本发明另一实施例还提供一种电子设备，包括：

第一处理器，用于创建与外网中的目标服务器间的父子连接；

第一信号收发器，用于将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，由所述目标服务器将所述访问数据包发送至互联网站点，以及接收所述目标服务器反馈的由所述互联网站点返回的数据包。

作为一可选实施例，所述创建与外网中的目标服务器间的父子连接，包括：

向所述目标服务器发起父连接请求；

当所述父连接建立后，与所述目标服务器协商并创建子连接。

作为一可选实施例，所述将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，包括：

确定所述子连接的五元组；

基于所述子连接的五元组封装所述访问数据包的报文头。

如图5所示，本发明另一实施例还提供一种电子设备，包括：

第二处理器，用于根据内网中的客户端的请求，与所述客户端建立父子连接，基于所述父子连接获得所述客户端发送的访问数据包，对所述访问数据包进行第一处理，并将处理后的所述访问数据包发送至互联网站点；接收所述互联网站点反馈的数据包，对所述数据包进行第二处理；

第二信号收发器，用于将经所述第二处理后的数据包基于所述父子连接发送至所述客户端。

作为一可选实施例，所述对所述访问数据包进行第一处理，包括：

剥离所述访问数据包中报文头内的子连接五元组；

至少基于所述目标服务器的出接口IP和随机生成的源端口IP对剥离所述子连接五元组的访问数据包进行封装。

作为一可选实施例，还包括：

创建隧道通信转换表项，所述隧道通信转换表项至少对应记录有所述访问数据包中被剥离的子连接五元组，以及经所述第一处理后的所述访问数据包的报文头信息。

作为一可选实施例，所述对所述数据包进行第二处理，包括：

基于所述隧道通信转换表项确定与所述数据包的报文头信息对应的子连接五元组；

基于所述子连接五元组中的信息调整所述数据包的报文头信息，并进行封装，以使封装后的所述数据包能够基于所述父子连接发送至所述客户端。

作为一可选实施例，所述访问数据包的报文头依次包括子连接五元组、访问数据包五元组；

经所述第二处理后的数据包的报文头依次包括子连接五元组、数据包五元组。

本发明另一实施例还提供另一种电子设备，包括:

一个或多个处理器；

存储器，配置为存储一个或多个程序；

当该一个或多个程序被该一个或多个处理器执行时，使得该一个或多个处理器实现上述启动方法。

本发明一实施例还提供一种存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上所述的启动方法。应理解，本实施例中的各个方案具有上述方法实施例中对应的技术效果，此处不再赘述。

本发明实施例还提供了一种计算机程序产品，所述计算机程序产品被有形地存储在计算机可读介质上并且包括计算机可读指令，所述计算机可执行指令在被执行时使至少一个处理器执行诸如上文所述实施例中的启动方法。应理解，本实施例中的各个方案具有上述方法实施例中对应的技术效果，此处不再赘述。

需要说明的是，本申请的计算机存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读介质例如可以但不限于是电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储介质(RAM)、只读存储介质(ROM)、可擦式可编程只读存储介质(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储介质(CD-ROM)、光存储介质件、磁存储介质件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输配置为由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、天线、光缆、RF等等，或者上述的任意合适的组合。

应当理解，虽然本申请是按照各个实施例描述的，但并非每个实施例仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

以上实施例仅为本发明的示例性实施例，不用于限制本发明，本发明的保护范围由权利要求书限定。本领域技术人员可以在本发明的实质和保护范围内，对本发明做出各种修改或等同替换，这种修改或等同替换也应视为落在本发明的保护范围内。

Claims (10)

1.一种通信方法，应用于内网中的客户端中，其特征在于，所述方法包括：

创建与外网中的目标服务器间的父子连接；

将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，由所述目标服务器将所述访问数据包发送至互联网站点；

接收所述目标服务器反馈的由所述互联网站点返回的数据包。

2.根据权利要求1所述的通信方法，其特征在于，所述创建与外网中的目标服务器间的父子连接，包括：

向所述目标服务器发起父连接请求；

当所述父连接建立后，与所述目标服务器协商并创建子连接。

3.根据权利要求1所述的通信方法，其特征在于，所述将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，包括：

确定所述子连接的五元组；

基于所述子连接的五元组封装所述访问数据包的报文头。

4.一种通信方法，应用于外网中的目标服务器中，其特征在于，所述方法包括：

基于内网中的客户端的请求，与所述客户端建立父子连接；

基于所述父子连接获得所述客户端发送的访问数据包；

对所述访问数据包进行第一处理，并将处理后的所述访问数据包发送至互联网站点；

接收所述互联网站点反馈的数据包；

对所述数据包进行第二处理，并将处理后的所述数据包基于所述父子连接发送至所述客户端。

5.根据权利要求4所述的通信方法，其特征在于，所述对所述访问数据包进行第一处理，包括：

剥离所述访问数据包中报文头内的子连接五元组；

至少基于所述目标服务器的出接口IP和随机生成的源端口IP对剥离所述子连接五元组的访问数据包进行封装。

6.根据权利要求5所述的通信方法，其特征在于，还包括：

创建隧道通信转换表项，所述隧道通信转换表项至少对应记录有所述访问数据包中被剥离的子连接五元组，以及经所述第一处理后的所述访问数据包的报文头信息。

7.根据权利要求6所述的通信方法，其特征在于，所述对所述数据包进行第二处理，包括：

基于所述隧道通信转换表项确定与所述数据包的报文头信息对应的子连接五元组；

基于所述子连接五元组中的信息调整所述数据包的报文头信息，并进行封装，以使封装后的所述数据包能够基于所述父子连接发送至所述客户端。

8.根据权利要求7所述的通信方法，其特征在于，所述访问数据包的报文头依次包括子连接五元组、访问数据包五元组；

经所述第二处理后的数据包的报文头依次包括子连接五元组、数据包五元组。

9.一种电子设备，其特征在于，包括：

第一处理器，用于创建与外网中的目标服务器间的父子连接；

第一信号收发器，用于将访问数据包基于所述父子连接中的子连接封装后发送至所述目标服务器，由所述目标服务器将所述访问数据包发送至互联网站点，以及接收所述目标服务器反馈的由所述互联网站点返回的数据包。

10.一种电子设备，其特征在于，包括：

第二处理器，用于根据内网中的客户端的请求，与所述客户端建立父子连接，基于所述父子连接获得所述客户端发送的访问数据包，对所述访问数据包进行第一处理，并将处理后的所述访问数据包发送至互联网站点；接收所述互联网站点反馈的数据包，对所述数据包进行第二处理；

第二信号收发器，用于将经所述第二处理后的数据包基于所述父子连接发送至所述客户端。

Images