CN115190167B - 一种基于共享内存通信的代理系统及方法 - Google Patents

Abstract

本发明提供的一种基于共享内存通信的代理系统及方法，系统包括部署在宿主机上的代理虚拟机、共享内存和多个普通虚拟机；共享内存存储数据；代理虚拟机部署多个对接第三方服务的代理客户端；代理客户端将共享内存中的数据转发给第三方服务，将来自第三方服务的数据写入共享内存；代理虚拟机中代理客户端启动的数量与普通虚拟机的数量一致；普通虚拟机部署对接真实客户端的代理服务器；代理服务器将共享内存中的数据转发给真实客户端，将来自真实客户端的数据写入共享内存。该代理系统在虚拟机上开发代理进程(包括代理客户端和代理服务器)，通过代理进程与第三方服务进行对接，代理进程切断第三方服务与真实环境的网络链接，提高了网络安全性。

Description

一种基于共享内存通信的代理系统及方法

技术领域

本发明属于网络安全技术领域，具体涉及一种基于共享内存通信的代理系统及方法。

背景技术

NXG(安全数据交换系统)出于业务需求，需要引入多种第三方服务，第三方服务为内外网用户提供相关服务。传统对接第三方服务的系统架构都是直接用网络协议点对点对接，系统直接对接第三方服务，如果第三方服务存在病毒或者漏洞，则可以直接入侵对接的系统，存在网络安全问题，例如第三方服务通过提升权限等非法途径获取对接系统内部资源。

另外，一般情况下，系统中与第三方服务对接的进程在挂掉后，需要重启设备或者人工介入手动重启进程才能正常工作，而重启设备需要的时间较长，影响用户体验，人工介入方式对相关人员的专业知识要求较高，人力成本高。

发明内容

针对现有技术中的缺陷，本发明提供一种基于共享内存通信的代理系统及方法，提高了网络安全性。

第一方面，一种基于共享内存通信的代理系统，包括部署在宿主机上的代理虚拟机、共享内存和多个普通虚拟机；

共享内存用于存储数据；

代理虚拟机用于部署多个对接第三方服务的代理客户端；代理客户端用于将共享内存中的数据转发给第三方服务，将来自第三方服务的数据写入共享内存；代理虚拟机中代理客户端启动的数量与普通虚拟机的数量一致；

普通虚拟机用于部署对接真实客户端的代理服务器；代理服务器用于将共享内存中的数据转发给真实客户端，将来自真实客户端的数据写入共享内存。

优选地，代理系统还包括部署在代理虚拟机和/或普通虚拟机上的守护进程；

守护进程用于根据普通虚拟机的数量启动相同数量的代理客户端。

优选地，守护进程还用于启动挂掉的代理客户端。

优选地，第三方服务部署在代理虚拟机或独立于代理虚拟机的设备上。

优选地，代理客户端和代理服务器通过私有协议与共享内存进行通讯。

第二方面，一种基于共享内存通信的代理方法，应用于第一方面的基于共享内存通信的代理系统中。

优选地，代理服务器与真实客户端建立连接的方法包括：

启动代理服务器的监听端口，监听真实客户端；

代理服务器接收并解析来自真实客户端的连接请求，以得到连接信息；连接信息包括第三方服务的IP地址、服务监听端口和会话编号；

将连接信息封装并写入共享内存。

优选地，代理客户端与第三方服务建立连接的方法包括：

当共享内存可读时，代理客户端读取共享内存中的连接信息；

代理客户端解析连接信息，以得到第三方服务的IP地址和服务监听端口；

代理客户端根据IP地址和服务监听端口与对应的第三方服务建立连接。

优选地，代理客户端读写共享内存的方法包括：

代理客户端读取共享内存的数据，将数据写入连接成功的链路中，传输到第三方服务；

代理客户端从连接成功的链路中读取第三方服务的数据，将数据封装并写入共享内存。

优选地，代理服务器读写共享内存的方法包括：

代理服务器从连接成功的链路中读取真实客户端的数据，将数据封装并写入共享内存；

代理服务器读取共享内存的数据，将数据写入连接成功的链路中，传输到真实客户端。

由上述技术方案可知，本发明提供的基于共享内存通信的代理系统及方法，在虚拟机上开发代理进程(包括代理客户端和代理服务器)，通过代理进程与第三方服务进行对接，代理进程切断第三方服务与真实环境原有的TCP/IP连接，恶意用户无法以代理虚拟机为跳板进行破坏，或非法获取网络内其它资源，恶意用户的破坏行为只影响到代理虚拟机内部，不影响网络上的其他设备，提高了网络安全性。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。在所有附图中，类似的元件或部分一般由类似的附图标记标识。附图中，各元件或部分并不一定按照实际的比例绘制。

图1为实施例提供的代理系统的模块框图。

图2为实施例提供的代理系统部署的示意图。

图3为实施例提供的代理进程建立连接的方法流程图。

图4为实施例提供的代理进程传输数据的方法流程图。

图5为实施例提供的守护进程启动方法的流程图。

具体实施方式

下面将结合附图对本发明技术方案的实施例进行详细的描述。以下实施例仅用于更加清楚地说明本发明的技术方案，因此只作为示例，而不能以此来限制本发明的保护范围。需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本发明所属领域技术人员所理解的通常意义。

应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。

还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目的而并不意在限制本发明。如在本发明说明书和所附权利要求书中所使用的那样，除非上下文清楚地指明其它情况，否则单数形式的“一”、“一个”及“该”意在包括复数形式。

如在本说明书和所附权利要求书中所使用的那样，术语“如果”可以依据上下文被解释为“当...时”或“一旦”或“响应于确定”或“响应于检测到”。类似地，短语“如果确定”或“如果检测到[所描述条件或事件]”可以依据上下文被解释为意指“一旦确定”或“响应于确定”或“一旦检测到[所描述条件或事件]”或“响应于检测到[所描述条件或事件]”。

实施例：

一种基于共享内存通信的代理系统，参见图1，包括部署在宿主机4上的代理虚拟机1、共享内存2和多个普通虚拟机3；

共享内存2用于存储数据；

代理虚拟机1用于部署多个对接第三方服务5的代理客户端11；代理客户端11用于将共享内存2中的数据转发给第三方服务5，将来自第三方服务5的数据写入共享内存2；代理虚拟机1中代理客户端11启动的数量与普通虚拟机3的数量一致；

普通虚拟机3用于部署对接真实客户端的代理服务器31；代理服务器31用于将共享内存2中的数据转发给真实客户端，将来自真实客户端的数据写入共享内存2。

在本实施例中，宿主机4(NXG(Host))上可以部署多个虚拟机，其中可以指定或任选1个虚拟机作为代理虚拟机1(Proxy KVM)，指定或任选几个虚拟机作为普通虚拟机3(Normal KVM)，例如宿主机可以默认最后一个虚拟机作为代理虚拟机1，也可以指定任何一个虚拟机为代理虚拟机1。代理虚拟机1可以部署代理客户端11(proxy client)以及守护进程12，也可以部署第三方服务5(Third system)，普通虚拟机3可以部署代理服务器31(proxy server)以及守护进程12。共享内存2(Share memory)用来暂存来自真实客户端或者第三方服务器5的数据。代理客户端11和代理服务器31都可以通过代理进程实现。

在本实施例中，第三方服务5可以为多个，不同的第三方服务5可以由不同的第三方服务器提供，不同的第三方服务5提供不同的业务服务。第三方服务5可以部署在代理虚拟机1或独立于代理虚拟机的设备上，例如第三方服务5可以部署在代理虚拟机1、宿主机4或独立于宿主机4的设备上，只要能保证第三方服务5可以和代理虚拟机1进行通信即可，例如图1部署有两个第三方服务5，代理虚拟机1均可以和所有的第三方服务5进行通讯。代理客户端11和第三方服务5可以采用TCP/IP协议进行通讯。例如代理客户端11可以读共享内存2的数据，并把数据通过TCP/IP协议转发到第三方服务5，等待接收第三方服务5的数据，当接收到第三方服务5的数据后，将数据写入共享内存2，供代理服务器31读取。即代理进程掐断第三方服务与真实系统的TCP/IP通讯，真实系统与虚拟机之间的通讯可以采用非TCP/IP私有协议进行，提高了网络安全性。

在本实施例中，代理客户端11启动的个数随着普通虚拟机3个数自动适应，即有几个普通虚拟机3，就启动几个代理客户端11，这样就可以为每个普通虚拟机3上的代理服务器31设置对应的代理客户端11，即使一个代理客户端11故障，也不影响其他代理客户端11的正常工作。

在本实施例中，真实客户端为真实存在想要访问第三方服务5的客户端。代理服务器31可以读取配置文件信息，启动监听服务，监听真实客户端的数据。代理服务器31当接收到真实客户端的数据(例如业务数据)时，把数据写共享内存2，供代理客户端11读取；当共享内存2中有代理客户端11存储的可读数据时，读取共享内存2的数据，返回给真实客户端。配置文件信息可以用来配置代理客户端11对应的第三方服务5，这样代理服务器31就可以根据配置文件信息，指定代理客户端11把数据转发到哪个第三方服务5。

在本实施例中，该代理系统部署示意图参见图2，宿主机NXG上部署有个代理虚拟机(Proxy kvm_8)和7个普通虚拟机，其中每个普通虚拟机上部署一个代理服务器(proxy_app 1Normal kvm_1～proxy_app 7Normal kvm_7)，代理虚拟机上部署7个代理客户端(proxy_app 1～proxy_app 7)，其中proxy_app为部署的代理客户端，与共享内存2通过私有协议转发数据，打通普通虚拟机3与代理虚拟机1的通信，直接与第三方服务5通信。proxy_app 0 host为在宿主机4运行的代理进程，与代理虚拟机1中运行的代理客户端proxy_app 0进行数据交换。proxy_app n Normal kvm_n为在普通虚拟机3运行的代理进程，与代理虚拟机1中运行的代理客户端proxy_app n进行数据交换。

在本实施例中，当真实客户端想要访问第三方服务5时，包括以下步骤：

1、真实客户端访问普通虚拟机3。

2、代理服务器31获取真实客户端的用户访问数据。

3、代理服务器31把用户访问数据写入共享内存2。

4、代理客户端11从共享内存2中读取步骤3写入的用户访问数据。

5、代理客户端11解析读取到的用户访问数据。

6、代理客户端11解析成功后，代理客户端11把数据通过TCP/IP协议转发给第三方服务5，如果代理客户端11解析失败，拦截数据不进行数据转发。

7、代理客户端11等待第三方服务5返回数据。

8、代理客户端11将第三方服务5返回的数据写入共享内存2。

9、代理服务器31读取代理客户端11写入共享内存2的数据。

10、代理服务器31解析读取到的数据。

11、代理服务器31解析成功后，把数据通过TCP/IP协议转发给真实客户端，如果代理服务器31解析失败，拦截数据不进行数据转发。

该代理系统在虚拟机上开发代理进程(包括代理客户端和代理服务器)，通过代理进程与第三方服务进行对接，代理进程切断第三方服务与真实环境原有的TCP/IP连接，恶意用户无法以代理虚拟机为跳板进行破坏，或非法获取网络内其它资源，恶意用户的破坏行为只影响到代理虚拟机内部，不影响网络上的其他设备，提高了网络安全性。

进一步地，在一些实施例中，代理系统还包括部署在代理虚拟机1和/或普通虚拟机3上的守护进程12；

守护进程12用于根据普通虚拟机3的数量启动相同数量的代理客户端11。

在本实施例中，代理客户端11可以采用多路复用技术，同时与多个第三方服务5对接。当代理系统开机时可以启动守护进程12，守护进程12在代理虚拟机1上启动与普通虚拟机3数量一样的代理客户端11，既有多少个普通虚拟机3就自适应启动多少个代理客户端11，在普通虚拟机3上只启动一个代理服务器31。

进一步地，在一些实施例中，守护进程12还用于启动挂掉的代理客户端11。

在本实施例中，当代理进程由于某种原因故障挂掉时，守护进程12可以在几秒内完成代理进程的重新启动，降低代理进程挂掉后不自启，重启设备，人工维护等带来的不利影响。守护进程对代理进程进行监控，发现代理进程异常挂掉后，可以立马自动启动代理进程，降低人工维护成本，把用户使用时由于代理进程挂掉的影响降至最低。

进一步地，在一些实施例中，代理客户端11和代理服务器31通过私有协议与共享内存2进行通讯。

在本实施例中，代理进程可以通过私有协议与共享内存2进行通讯，例如代理进程截取来自第三方服务或真实客户端的TCP/IP数据，并把TCP/IP数据封装在私有协议中，通过私有协议与共享内存2进行数据交换。代理进程也可以在与第三方服务5和真实客户端通讯之前，对数据进行校验，只有校验成功的数据才能发送给第三方服务5和真实客户端。这样，该代理系统能隔离第三方服务与真实系统的连接，不仅保证了真实系统的网络安全性，还能完成第三方服务与真实系统的正常的数据流交换。

一种基于共享内存通信的代理方法，应用于上述基于共享内存通信的代理系统中。

进一步地，在一些实施例中，参见图3，代理服务器31与真实客户端建立连接的方法包括：

启动代理服务器31的监听端口，监听真实客户端；

代理服务器31接收并解析来自真实客户端的连接请求，以得到连接信息；连接信息包括第三方服务5的IP地址、服务监听端口和会话编号；

将连接信息封装并写入共享内存2。

在本实施例中，代理服务器31与真实客户端建立连接的过程包括：首先启动代理服务器31的监听端口，这样代理服务器31的监听端口就可以等待真实的客户端链接，代理服务器31当接收到真实客户端的连接请求时，解析连接信息，得到第三方服务5的IP地址、服务监听端口和会话编号，第三方服务5的IP地址用于供代理虚拟机1访问到指定的第三方服务5，服务监听端口用于供代理虚拟机1监听指定的第三方服务5，会话编号用于识别发出连接请求的真实客户端，例如可以通过会话编号识别是哪个真实客户端发出的连接请求。最后将连接信息通过私有协议封装后写入共享内存2。

进一步地，在一些实施例中，参见图3，代理客户端11与第三方服务5建立连接的方法包括：

当共享内存2可读时，代理客户端11读取共享内存2中的连接信息；

代理客户端11解析连接信息，以得到第三方服务5的IP地址和服务监听端口；

代理客户端11根据IP地址和服务监听端口与对应的第三方服务5建立连接。

在本实施例中，代理客户端11与第三方服务5建立连接的过程包括：当普通虚拟机3将来自真实客户端的数据写入共享内存2时，可以在共享内存2中设置新写入的数据可读，这样共享内存2可读时，代理客户端11读取共享内存2中的连接信息，代理客户端11解析连接信息，以得到第三方服务5的IP地址、服务监听端口和会话编号，最后根据IP地址和服务监听端口与对应的第三方服务5建立连接。

进一步地，在一些实施例中，参见图4，代理客户端11读写共享内存2的方法包括：

代理客户端11读取共享内存2的数据，将数据写入连接成功的链路中，传输到第三方服务5；

代理客户端11从连接成功的链路中读取第三方服务5的数据，将数据封装并写入共享内存2。

在本实施例中，代理客户端11在读共享内存2时，读取并解析共享内存2的数据，将解析后的数据写入上个连接成功的链路(即代理客户端11与第三方服务5连接成功的链路)中，传输到第三方服务5。代理客户端11在写共享内存2时，从连接成功的链路中读取第三方服务5的数据，将数据封装并写入共享内存2。

进一步地，在一些实施例中，参见图4，代理服务器31读写共享内存2的方法包括：

代理服务器31从连接成功的链路中读取真实客户端的数据，将数据封装并写入共享内存2；

代理服务器31读取共享内存2的数据，将数据写入连接成功的链路中，传输到真实客户端。

在本实施例中，代理服务器31在写共享内存2时，从连接成功的链路(即代理服务器31与真实客户端连接成功的链路)中读取真实客户端的数据，将数据封装并写入共享内存2；代理服务器31在读共享内存2时，读取共享内存2的数据，将数据写入连接成功的链路中，传输到真实客户端。

进一步地，在一些实施例中，守护进程12的启动方法参见图5，守护进程12首先判断代理进程是否存在，如果存在，结束流程；如果不存在，判断虚拟机是否为代理虚拟机，如果不是代理虚拟机，说明是普通虚拟机，此时开启代理服务器，流程结束；如果是代理虚拟机，开启多个代理客户端，流程结束。

本发明实施例所提供的方法，为简要描述，实施例部分未提及之处，可参考前述实施例中相应内容。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims (9)

1.一种基于共享内存通信的代理系统，其特征在于，包括部署在宿主机上的代理虚拟机、共享内存和多个普通虚拟机；

所述共享内存用于存储数据；

所述代理虚拟机用于部署多个对接第三方服务的代理客户端；所述代理客户端用于将所述共享内存中的数据转发给所述第三方服务，将来自所述第三方服务的数据写入所述共享内存；所述代理虚拟机中代理客户端启动的数量与所述普通虚拟机的数量一致；

所述普通虚拟机用于部署对接真实客户端的代理服务器；所述代理服务器用于将所述共享内存中的数据转发给所述真实客户端，将来自所述真实客户端的数据写入所述共享内存；

所述代理系统还包括部署在所述代理虚拟机和/或普通虚拟机上的守护进程；

所述守护进程用于根据所述普通虚拟机的数量启动相同数量的所述代理客户端。

2.根据权利要求1所述基于共享内存通信的代理系统，其特征在于，

所述守护进程还用于启动挂掉的所述代理客户端。

3.根据权利要求1所述基于共享内存通信的代理系统，其特征在于，

所述第三方服务部署在所述代理虚拟机或独立于所述代理虚拟机的设备上。

4.根据权利要求1所述基于共享内存通信的代理系统，其特征在于，

所述代理客户端和所述代理服务器通过私有协议与所述共享内存进行通讯。

5.一种基于共享内存通信的代理方法，其特征在于，应用于权利要求1-4中任一权利要求所述的基于共享内存通信的代理系统中。

6.根据权利要求5所述基于共享内存通信的代理方法，其特征在于，

所述代理服务器与所述真实客户端建立连接的方法包括：

启动所述代理服务器的监听端口，监听所述真实客户端；

代理服务器接收并解析来自所述真实客户端的连接请求，以得到连接信息；所述连接信息包括第三方服务的IP地址、服务监听端口和会话编号；

将所述连接信息封装并写入所述共享内存。

7.根据权利要求6所述基于共享内存通信的代理方法，其特征在于，

所述代理客户端与所述第三方服务建立连接的方法包括：

当所述共享内存可读时，代理客户端读取所述共享内存中的所述连接信息；

代理客户端解析所述连接信息，以得到所述第三方服务的IP地址和服务监听端口；

代理客户端根据所述IP地址和所述服务监听端口与对应的所述第三方服务建立连接。

8.根据权利要求7所述基于共享内存通信的代理方法，其特征在于，

所述代理客户端读写所述共享内存的方法包括：

代理客户端读取所述共享内存的数据，将数据写入连接成功的链路中，传输到所述第三方服务；

代理客户端从连接成功的链路中读取所述第三方服务的数据，将所述数据封装并写入所述共享内存。

9.根据权利要求7所述基于共享内存通信的代理方法，其特征在于，

所述代理服务器读写所述共享内存的方法包括：

代理服务器从连接成功的链路中读取所述真实客户端的数据，将所述数据封装并写入所述共享内存；

代理服务器读取所述共享内存的数据，将数据写入连接成功的链路中，传输到真实客户端。