KR100452143B1 - 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법 - Google Patents

비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법 Download PDF

Info

Publication number
KR100452143B1
KR100452143B1 KR10-2001-0063612A KR20010063612A KR100452143B1 KR 100452143 B1 KR100452143 B1 KR 100452143B1 KR 20010063612 A KR20010063612 A KR 20010063612A KR 100452143 B1 KR100452143 B1 KR 100452143B1
Authority
KR
South Korea
Prior art keywords
packet
user
web
traffic
filtering
Prior art date
Application number
KR10-2001-0063612A
Other languages
English (en)
Other versions
KR20030031741A (ko
Inventor
서국영
박창욱
오채형
Original Assignee
주식회사 플랜티넷
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 플랜티넷 filed Critical 주식회사 플랜티넷
Priority to KR10-2001-0063612A priority Critical patent/KR100452143B1/ko
Publication of KR20030031741A publication Critical patent/KR20030031741A/ko
Application granted granted Critical
Publication of KR100452143B1 publication Critical patent/KR100452143B1/ko

Links

Classifications

    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00Traffic control in data switching networks
    • H04L47/10Flow control; Congestion control
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/02Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227Filtering policies
    • H04L63/0236Filtering by address, protocol, port number or service, e.g. IP-address or URL

Abstract

본 발명은 인터넷 사용자가 웹 사이트에 접속할 때 접속 요청에 대해 제어하도록 하는 비대칭 트래픽 흐름 방식의 웹 필터링 장치 및 방법에 관한 것이다.
웹 필터링 장치는 패킷 리다이렉트 장치와 패킷 필터링 장치로 구성되어, 웹 사이트에 대한 접속 요청(업로드 트래픽)에는 패킷 리다이렉트 장치에서 패킷 필터링 장치로 트래픽을 리다이렉트하여 웹 필터링 기능을 수행하도록 하고, 웹 서버에서 사용자로 문서를 다운로드(다운로드 트래픽)하는 경우에는 패킷 리다이렉트 장치에서 패킷 필터링 장치로 트래픽을 리다이렉트하지 않고 직접 다운로드 트래픽을 사용자에게 보내 준다.
본 발명에서 상기와 같은 비대칭 방식을 이용하여 패킷 필터링 장치로 인가되는 다운로드 트래픽의 부하를 없앰으로써 효율적인 웹 필터링 구현이 가능하다.

Description

비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및 방법{apparatus and method for web filtering using asymmetry traffic flow mode}
본 발명은 웹 필터링 시스템에 관한 것으로, 특히 인터넷 사용자가 웹 사이트에 접속할 때 접속 요청에 대해 제어하도록 하는 비대칭 트래픽 흐름 방식의 웹 필터링 장치 및 방법에 관한 것이다.
인터넷이 광범위하게 확산, 보급되면서 발생하는 인터넷의 역기능을 해소하기 위한 기술 및 제품이 계속 개발되고 있으며 웹 필터링 관련 기술도 그 중의 하나이다. 현재 개발되어 있는 웹 필터링 방식은 클라이언트형과 서버형으로 나눌 수 있다.
클라이언트형은 각 개인의 PC에서 동작하며, 이용자가 직접 프로그램을 설치하고 관리하는 부담이 있다. 서버형은 네트워크의 인터넷 접속 지점에 설치하여 사용하는 장치로, 많은 사용자의 인터넷 접속을 제어해야 하므로 그 기능 뿐 아니라 성능도 고려하여 개발하여야 한다.
기존의 서버형의 웹 필터링 장치로는 프락시(Proxy) 방식의 차단 장치가 대표적이다.
Proxy 방식의 차단 장치는, 사용자와 네트워크 연결을 설정하고, 사용자로부터 웹 사이트 접속 요청(업로드 트래픽)을 받아서 이 접속 요청의 허용 여부를 검사한다.
접속을 허용해야 하는 경우에, 차단 장치는 사용자로부터 접속이 요청된 웹 서버와 네트워크 연결을 설정하고 웹 서버에게 접속을 요청한다. 웹 서버는 자신에게 접속을 요청한 차단 장치에게 응답(다운로드 트래픽)을 보내며, 차단 장치는 그 응답을 그대로 사용자에게 전달한다. 즉 Proxy 방식의 차단 장치는 업로드 트래픽과 다운로드 트래픽을 모두 처리해야 한다. 이러한 방식은, 다운로드 트래픽이 업로드 트래픽보다 월등히 많은 인터넷 트래픽의 특성으로 인하여, 많은 사용자를 동시에 처리해야 하는 경우에는 응답 속도의 저하를 가져오는 등의 문제를 야기시킬 수 있다.
따라서, 본 발명은 상기한 바와 같은 문제점을 해결하기 위해 창안한 것으로, 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 기능을 구현함으로써, 웹 필터링 장치의 수용 용량을 대폭 증가시키고, 사용자의 웹 응답 시간을 감소시키는 기술을 구현하는데 그 목적이 있다.
또한, 본 발명은 비대칭 트래픽 흐름 방식을 이용하여 패킷 필터링 장치로 인가되는 다운로드 트래픽을 없앰으로써, 패킷 필터링 장치가 처리해야 하는 트래픽 양을 감소시켜서 패킷 필터링 장치의 성능을 향상시키고자 하는데 그 목적이 있다.
도 1 은 본 발명에 적용되는 사용자의 웹 접속을 제어하는 시스템 구성도.
도 2 는 본 발명에 적용되는 웹 접속이 허용된 경우의 네트워크 트래픽 흐름도.
도 3 은 본 발명에 적용되는 웹 접속이 차단된 경우의 네트워크 트래픽 흐름도.
도 4 는 본 발명에 적용되는 사용자의 웹 접속을 허용/차단하는 처리 절차 방법의 흐름도.
<도면의 주요부호의 설명>
10 : 패킷 리다이렉트 장치 20 : 패킷 필터링 장치
100 : 웹 필터링 장치
이하, 첨부도면을 참조하여 본 발명에 따른 바람직한 실시예에 대하여 상세히 설명한다.
본 발명에 적용되는 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치는,
사용자의 트래픽이 입력되면 패킷 필터링 장치로 리다이렉트(redirect)하는 패킷 리다이렉트 장치와, 패킷 리다이렉트 장치에서 입력된 패킷을 읽어 관리자가 지정한 필터링 대상인지를 검사하여 웹 접속 허용여부를 판단하는 패킷 필터링 장치로 이루어진다.
패킷 리다이렉트 장치는 레이어-4 스위치로 구성된다.
관리자가 지정한 종류의 업로드 트래픽은 상기 패킷 필터링 장치를 거쳐서 인터넷으로 전달하고, 다운로드 트래픽은 상기 패킷 리다이렉트 장치에서 상기 패킷 필터링 장치로 보내지 않고 직접 사용자에게 전달한다.
웹 접속 허용/차단 방법은,
패킷 리다이렉트 장치에서 패킷 필터링 장치로 사용자의 트랙픽을 리다이렉트하는 과정과, 패킷 필터링 장치에서 입력된 패킷을 읽는 과정과, 패킷을 분석하여 요청된 URL을 추출하는 과정과, 패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상이 아닌 경우에 인터넷으로 패킷을 포워딩(Forwarding)하여 웹 서버가 사용자의 요청에 응답하는 과정과, 패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상인 경우에 인터넷으로 패킷을 포워딩(Forwarding)하지 않고 드롭(Drop)시켜서 웹 서버에게 사용자의 요청이 가지 않도록 하는 과정과, 사용자의 요청이 차단되었을 경우에 웹 서버로 사용자에게서 보내는 것과 같은 리세트(RESET) 패킷을 보내 네트워크 연결을 종료시키고, 사용자에게는 웹 서버가 보내는 것과 같은 차단 메시지와 연결 종료(FIN) 패킷을 보내 연결을 종료시켜서 사용자와 웹 서버가 이미 설정해 놓은 네트워크 연결을 해제하도록 하는 과정을 포함하여 이루어진다.
웹 필터링 방식은 클라이언트형과 서버형으로 나눌 수 있으며, 본 발명의 장치는 서버형에 해당된다.
본 발명은 기존의 Proxy 방식의 차단 장치의 성능을 개선하기 위한 것으로 본 발명에서 Proxy 방식의 차단 장치와 동일한 기능을 수행하는 장치는 패킷 필터링 장치로, 이 장치는 사용자의 웹 접속을 허용할 것인지 차단할 것인지를 결정하기 위해, 패킷 리다이렉트 장치가 리다이렉트시켜 준 사용자의 업로드 트래픽을 필터링한다.
패킷 리다이렉트 장치는 고속의 네트워크 장비로 네트워크 패킷을 고속으로 처리할 수 있으나, 패킷 필터링 장치는 서버 장비로써 네트워크 패킷을 고속으로 처리하기에는 한계가 있다. 따라서 비대칭 트래픽 흐름 방식을 이용하여 패킷 필터링 장치로 인가되는 다운로드 트래픽을 없앰으로써, 패킷 필터링 장치가 처리해야 하는 트래픽 양을 감소시켜서 패킷 필터링 장치의 성능을 향상시키고자 한다.
필터링의 결과로 웹 접속이 허용된 경우에, 패킷 필터링 장치는 사용자의 웹 접속 요청 패킷을 그대로 네트워크로 포워딩(Forwarding)한다. 이 패킷을 받은 웹 서버는 사용자에게 응답을 보내게 되며, 응답 트래픽은 패킷 필터링 장치를 거치지 않고 바로 사용자에게 전달된다. 다운로드 트래픽이 패킷 필터링 장치를 통과하지 않기 때문에 패킷 필터링 장치가 처리해야 하는 트래픽 양은 감소하고 따라서 성능이 Proxy 방식에 비해 향상된다.
본 발명의 패킷 리다이렉트 장치는 인터넷 상의 여러 웹 사이트로 향하는 업로드 트래픽을 패킷 필터링 장치로 리다이렉트시켜 주는 기능을 수행하는 장치로, Layer-4 스위치 등의 고속의 네트워크 장비를 사용할 수 있으므로, 웹 필터링의 성능에는 영향을 미치지 않는다.
도 1 은 본 발명에 적용되는 사용자의 웹 접속을 제어하는 시스템 구성도이고, 도 2 는 본 발명에 적용되는 웹 접속이 허용된 경우의 네트워크 트래픽 흐름도이며, 도 3 은 본 발명에 적용되는 웹 접속이 차단된 경우의 네트워크 트래픽 흐름도이고, 도 4 는 본 발명에 적용되는 사용자의 웹 접속을 허용/차단하는 처리 절차방법의 흐름도로서, 이를 참조하여 설명하면 다음과 같다.
본 발명을 이용하여 네트워크 상에서 웹 필터링을 제공하기 위해서 도 1 과 같은 네크워크 및 장치의 구성이 필요하다.
도 1 과 같이 관리자가 지정한 종류의 (예를 들면 port 80 인 트래픽 등) 업로드 트래픽은 반드시 패킷 필터링 장치를 거쳐서 인터넷으로 나가도록 하고, 다운로드 트래픽은 패킷 리다이렉트 장치에서 패킷 필터링 장치로 보내지 않고 직접 사용자에게 전달하는 구성을 갖는다.
도 1 의 패킷 리다이렉트 장치는 입력 트래픽을 특정 장치로 리다이렉트시켜 줄 수 있는 기능을 가지며 대표적인 장치로 Layer-4 스위치가 있다. 도 1 에서 사용자의 트래픽이 패킷 리다이렉트 장치로 입력되면, 패킷 리다이렉트 장치에서 이 트래픽을 패킷 필터링 장치로 리다이렉트(redirect)한다.
패킷 필터링 장치를 좀더 부연하여 설명하면, 사용자가 발생시킨 인터넷 트래픽은 패킷 리다이렉트 장치로 입력되고, 그 패킷 리다이렉트 장치는 이 트래픽 중에서 관리자가 지정한 종류의 트래픽을 패킷 필터링 장치로 보내게 된다. 따라서 패킷 필터링 장치는 패킷 리다이렉트 장치에서 리다이렉트한 패킷을 입력으로 받게된다.
도 2 와 같이 패킷 필터링 장치에서는 입력된 패킷을 읽어 관리자가 지정한 필터링 대상인지를 검사하여 웹 접속 허용 여부를 판단한다.
필터링 대상이 아닌 트래픽인 경우에는 그대로 인터넷으로 포워딩하여 목적지 웹 서버로 전송한다. 웹 서버는 자신에게 도착한 패킷이 필터링 장치를 거쳐서온 것인지를 알지 못하며, 사용자의 요청에 응답을 보낸다.
웹 서버가 사용자에게 보내는 응답 트래픽은 패킷 필터링 장치를 통과하지 않고 패킷 리다이렉트 장치에서 바로 사용자에게 전달된다.
필터링 대상인 트래픽의 경우는, 패킷 필터링 장치에서 드롭시키고 인터넷으로 보내지 않아 웹 서버가 사용자의 요청을 받지 못하도록 한다. 사용자의 요청을 받지 못한 웹 서버는 응답을 할 수 없으며, 사용자는 해당 요청에 대해 응답을 받지 못하므로 차단되는 결과가 된다.
도 3 과 같이 사용자의 접속을 차단한 경우에 패킷 필터링 장치는 사용자에게 차단 메시지를 보내고 웹 서버와 사용자에게 각각 이미 설정된 네트워크 연결을 해제하도록 한다.
도 4 와 같이 패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상이 아닌 경우에, 인터넷으로 패킷을 포워딩(Forwarding)하여 웹 서버가 사용자의 요청에 응답한다. 상기 패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상인 경우에, 인터넷으로 패킷을 포워딩(Forwarding)하지 않고 드롭(Drop)시켜서, 웹 서버에게 사용자의 요청이 가지 않도록 한다.
또한, 도 4 와 같이 사용자의 요청이 차단되었을 경우에, 웹 서버로 사용자에게서 보내는 것과 같은 RESET 패킷을 보내 네트워크 연결을 종료시키고, 사용자에게는 웹 서버가 보내는 것과 같은 차단 메시지와 연결 종료(FIN) 패킷을 보내 연결을 종료시켜서, 사용자와 웹 서버가 이미 설정해 놓은 네트워크 연결을 해제하도록 한다.
도 4 를 좀더 상세히 설명하면 다음과 같다.
패킷 리다이렉트 장치에서 패킷 필터링 장치로 사용자의 트래픽을 리다이렉트하고 패킷 필터링 장치는 입력된 패킷을 읽은 후 패킷을 분석하여 요청된 URL을 추출한다.(S10∼S30)
패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상이 아닐때 패킷을 인터넷으로 포워드시켜 웹 서버로 보낸후 사용자의 요청을 받은 웹 서버는 해당되는 응답을 사용자에게 보낸다.(S40∼S60)
사용자의 요청이 차단되었을때 패킷을 패킷 필터링 장치에서 드롭시키고 인터넷으로 보내지 않는다.(S70)
웹 서버에게 사용자가 보내는 것같이 리세트 신호를 보내 사용자와 설정되어 있는 네트워크 연결을 해제한 후 사용자에게 웹 서버가 보내는 것처럼 차단 메시지를 보낸다.(S80∼S90)
사용자에게 웹 서버가 보내는 것같이 연결종료 패킷을 보내 웹 서버와 설정되어 있는 네트워크 연결을 해제하도록 한다.(S100)
이상에서 설명한 바와 같이 본 발명은 기존의 망 운용 및 사용자와 웹 서버의 동작에 영향을 끼치지 않고 사용자의 업로드 트래픽 만을 필터링하여 웹 접속을 제어할 수 있다.
또한, 업로드 트래픽 만을 필터링하는 방식은 현재 가장 대표적인 Proxy 기반의 장치가 업로드/다운로드 트래픽을 모두 처리해야 하는 것에 비해, 페킷 필터링 장치에 업로드 트래픽 만을 인가함으로써 성능의 향상을 가져 온다. 따라서 네트워크 상에서 웹 필터링을 실시하고자 하는 ISP나 회사/학교/공공 기관 등은 보다 적은 비용으로 웹 필터링 시스템의 구축이 가능하다.

Claims (5)

  1. 삭제
  2. 삭제
  3. 삭제
  4. 삭제
  5. 패킷 리다이렉트 장치에서 패킷 필터링 장치로 사용자의 트랙픽을 리다이렉트하는 과정과,
    패킷 필터링 장치에서 입력된 패킷을 읽는 과정과,
    패킷을 분석하여 요청된 URL을 추출하는 과정과,
    패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상이 아닌 경우에 인터넷으로 패킷을 포워딩(Forwarding)하여 웹 서버가 사용자의 요청에 응답하는 과정과,
    패킷 필터링 장치가 읽은 패킷이 관리자가 지정한 차단 대상인 경우에 인터넷으로 패킷을 포워딩(Forwarding)하지 않고 드롭(Drop)시켜서 웹 서버에게 사용자의 요청이 가지 않도록 하는 과정과,
    사용자의 요청이 차단되었을 경우에 웹 서버로 사용자에게서 보내는 것과 같은 리세트(RESET) 패킷을 보내 네트워크 연결을 종료시키고, 사용자에게는 웹 서버가 보내는 것과 같은 차단 메시지와 연결 종료(FIN) 패킷을 보내 연결을 종료시켜서 사용자와 웹 서버가 이미 설정해 놓은 네트워크 연결을 해제하도록 하는 과정을 포함하여 이루어진 것에 있어서,
    상기 패킷 필터링 장치는 서버형으로 네트워크의 인터넷 접속지점에 설치되어 사용자의 웹 접속을 허용할 것인지 차단할 것인지를 결정하도록 구성하는 것을 특징으로 하는 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 방법.
KR10-2001-0063612A 2001-10-16 2001-10-16 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법 KR100452143B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR10-2001-0063612A KR100452143B1 (ko) 2001-10-16 2001-10-16 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR10-2001-0063612A KR100452143B1 (ko) 2001-10-16 2001-10-16 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법

Publications (2)

Publication Number Publication Date
KR20030031741A KR20030031741A (ko) 2003-04-23
KR100452143B1 true KR100452143B1 (ko) 2004-10-08

Family

ID=29564795

Family Applications (1)

Application Number Title Priority Date Filing Date
KR10-2001-0063612A KR100452143B1 (ko) 2001-10-16 2001-10-16 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법

Country Status (1)

Country Link
KR (1) KR100452143B1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100447724B1 (ko) * 2002-04-12 2004-09-08 (주)이네트렉스 디지털 컨텐츠 모니터링 방법

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1070576A (ja) * 1996-08-29 1998-03-10 Kokusai Denshin Denwa Co Ltd <Kdd> ファイアウォール動的制御方法
US5870542A (en) * 1995-12-28 1999-02-09 Sterling Commerce, Inc. Security apparatus and method for a data processing system
JP2001202437A (ja) * 2000-01-20 2001-07-27 Kyocera Communication Systems Co Ltd サービスシステム
WO2001065343A1 (en) * 2000-03-02 2001-09-07 Check Point Software Technologies Ltd. System, device and method for rapid packet filtering and processing

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5870542A (en) * 1995-12-28 1999-02-09 Sterling Commerce, Inc. Security apparatus and method for a data processing system
JPH1070576A (ja) * 1996-08-29 1998-03-10 Kokusai Denshin Denwa Co Ltd <Kdd> ファイアウォール動的制御方法
JP2001202437A (ja) * 2000-01-20 2001-07-27 Kyocera Communication Systems Co Ltd サービスシステム
WO2001065343A1 (en) * 2000-03-02 2001-09-07 Check Point Software Technologies Ltd. System, device and method for rapid packet filtering and processing

Also Published As

Publication number Publication date
KR20030031741A (ko) 2003-04-23

Similar Documents

Publication Publication Date Title
US6954780B2 (en) Internet client-server multiplexer
Liljeberg et al. Optimizing world-wide web for weakly connected mobile workstations: An indirect approach
US6622157B1 (en) Extending network services using mobile agents
US7080158B1 (en) Network caching using resource redirection
Spatscheck et al. Optimizing TCP forwarder performance
AU737742B2 (en) A method and system for distributed caching, prefetching and replication
US7072933B1 (en) Network access control using network address translation
US20020071422A1 (en) Tagging for demultiplexing in a network traffic server
US20150127837A1 (en) Relay apparatus and data transfer method
KR100516917B1 (ko) 네트워크 상에서 사용자 세션수 제어를 통한 서버 폭주제어시스템 및 그 방법
EP3155788A1 (en) Proxy node for transferring packets between a server and a client using port sharding
US7000027B2 (en) System and method for knowledgeable node initiated TCP splicing
KR100703567B1 (ko) 온라인 컨텐츠 접근 제어 시스템 및 방법
US7899911B2 (en) Method and apparatus to retrieve information in a network
KR100369900B1 (ko) 씨디엔을 이용한 웹하드 운영 및 관리 방법
MacLarty et al. Policy-based content delivery: an active network approach
KR100452143B1 (ko) 비대칭 트래픽 흐름 방식을 이용한 웹 필터링 장치 및방법
KR100397673B1 (ko) 씨디엔을 이용한 클라이언트간 직접 데이터 통신 방법
JP2003018235A (ja) 通信システム、通信方法、及び制御プログラム
RU84598U1 (ru) Система переадресации запросов доступа к сети интернет
JP6623702B2 (ja) ネットワーク監視装置及びネットワーク監視装置におけるウイルス検知方法。
Cisco Chapter 5: Transparent Caching
JP2001077857A (ja) フィルタリング処理装置及びこれを備えるネットワーク及びその記憶媒体
EP1168751B1 (en) Data Communications Protocol stack
EP1094649B1 (en) Method and system of enforcing the dispatching of IP datagrams on a plurality of servers according to a defined policy

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
AMND Amendment
E601 Decision to refuse application
AMND Amendment
J201 Request for trial against refusal decision
B701 Decision to grant
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20120910

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20130916

Year of fee payment: 10

FPAY Annual fee payment

Payment date: 20140915

Year of fee payment: 11

FPAY Annual fee payment

Payment date: 20150930

Year of fee payment: 12

FPAY Annual fee payment

Payment date: 20171109

Year of fee payment: 14

FPAY Annual fee payment

Payment date: 20190923

Year of fee payment: 16