WO2012163005A1 - 访问虚拟专用网络的方法、装置以及网关设备 - Google Patents

访问虚拟专用网络的方法、装置以及网关设备 Download PDF

Info

Publication number
WO2012163005A1
WO2012163005A1 PCT/CN2011/080791 CN2011080791W WO2012163005A1 WO 2012163005 A1 WO2012163005 A1 WO 2012163005A1 CN 2011080791 W CN2011080791 W CN 2011080791W WO 2012163005 A1 WO2012163005 A1 WO 2012163005A1
Authority
WO
WIPO (PCT)
Prior art keywords
private network
virtual private
http request
gateway device
address
Prior art date
Application number
PCT/CN2011/080791
Other languages
English (en)
French (fr)
Inventor
鄂维
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201180002549.9A priority Critical patent/CN103168450B/zh
Priority to PCT/CN2011/080791 priority patent/WO2012163005A1/zh
Publication of WO2012163005A1 publication Critical patent/WO2012163005A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer

Definitions

  • the embodiments of the present invention relate to the field of network technologies, and in particular, to a method, an apparatus, and a gateway device for accessing a virtual private network. Background technique
  • SSL VPN Security Socket Layer
  • TLS Transport Layer Security
  • the principle of the forwarding control function of the Transmission Control Protocol (TCP) in the SSL VPN technology is to monitor the TCP port of the client used by the Internet user through the browser plug-in to monitor the TCP communication of the client. Obtain the destination IP address in the IP header of the TCP packet. If the destination IP address is the IP address of the internal resource server of the virtual private network, the Hypertext Transfer Protocol (Hyper Text Transfer Protoco l) carried by the TC packet is obtained. The following is abbreviated: HTTP) Requests SSL encapsulation, and then sends the encapsulated SSL tunnel data packet to the gateway device of the virtual private network through the SSL tunnel.
  • the gateway device can also be referred to as an SSL VPN gateway.
  • the SSL VPN gateway encapsulates the received data and sends it to the internal resource server pointed to by the destination IP address.
  • the gateway device may obtain a correspondence between a Uniform Resource Locator (hereinafter referred to as a URL) address and an IP address of each resource server of the virtual private network, form a resource server list, and then The list of resource servers is sent to the browser plugin.
  • the browser plugin modifies the host file of the operating system according to the resource server list.
  • the above technical solution of the prior art provides the user with the ability to access the virtual private network by monitoring the TCP port mode of the client. If the access authority of the Internet user is to be controlled, the access control granularity can only reach the TCP port level, and the access authority is controlled. Low ability. Summary of the invention
  • Embodiments of the present invention provide a method, an apparatus, and a gateway device for accessing a virtual private network, which are used to improve the control capability of access rights.
  • An embodiment of the present invention provides a method for accessing a virtual private network, including:
  • the embodiment of the present invention further provides another method for accessing a virtual private network, including: receiving a tunnel data packet sent by a browser plug-in through a secure tunnel;
  • HTTP request sent to the virtual private network in the tunnel data packet if the HTTP request sent to the virtual private network carries a permission check identifier, checking user access of the HTTP request according to the rights check identifier Permissions, and after the permission check is passed, forward the HTTP request to the destination resource server in the virtual private network.
  • the embodiment of the present invention further provides an apparatus for accessing a virtual private network, including: a first acquiring module, configured to acquire an HTTP request sent by a browser to a virtual private network; and a first service processing module, configured to send the The HTTP request of the virtual private network adds the permission check identifier, and securely encapsulates the HTTP request after adding the permission check identifier. To the tunnel packet;
  • the first sending module is configured to send, by using a secure tunnel, the tunnel data packet to a gateway device of the virtual private network.
  • the embodiment of the invention further provides a gateway device, including:
  • a first receiving module configured to receive a tunnel data packet sent by the browser plug-in through a secure tunnel
  • a second obtaining module configured to obtain an HTTP request sent to the virtual private network in the tunnel data packet
  • a second service processing module configured to obtain the permission check identifier in the HTTP request sent to the virtual private network, check the user access permission of the HTTP request according to the permission check identifier, and after the permission check is passed, The HTTP request is forwarded to the destination resource server in the virtual private network.
  • the method, the device and the gateway device for accessing the virtual private network may be configured by setting a browser plug-in on the client device, and the browser plug-in adds a permission check identifier to the HTTP request for accessing the virtual private network,
  • the gateway device is instructed to perform the permission check after receiving the HTTP request, which can improve the control capability of the access authority, and realize that the gateway device controls the access authority to reach the URL level.
  • FIG. 1 is a schematic flowchart of Embodiment 1 of a method for accessing a virtual private network according to the present invention
  • FIG. 2 is a schematic flowchart of Embodiment 2 of a method for accessing a virtual private network according to the present invention
  • FIG. 3 is a specific application scenario according to an embodiment of the present invention
  • FIG. 4 is a schematic flowchart of a user service phase in a specific embodiment of the present invention.
  • FIG. 5 is a schematic structural diagram of an apparatus for accessing a virtual private network according to the present invention
  • FIG. 6 is a schematic structural diagram of an embodiment of a gateway device according to the present invention. detailed description
  • FIG. 1 is a method for accessing a virtual private network according to the present invention, in the prior art, when the user is provided with the capability of accessing the virtual private network, the control capability of the access authority is low.
  • the flow chart of the first example, as shown in FIG. 1, includes the following steps:
  • Step 101 The browser plug-in obtains an HTTP request sent by the browser to the virtual private network.
  • Step 102 The browser plug-in adds a permission check identifier to the HTTP request sent to the virtual private network, and securely encapsulates the HTTP request after adding the permission check identifier to obtain a tunnel data packet.
  • the security package may include an encapsulation of the SSL protocol and a package of the TLS protocol.
  • Step 103 The browser plug-in sends the tunnel data packet to a gateway device of the virtual private network through a secure tunnel.
  • the secure tunnel may include a tunnel of the SSL protocol and a tunnel of the TLS protocol.
  • a browser plug-in may be added to the client device, and the browser plug-in adds a permission check identifier to the HTTP request for accessing the virtual private network, to instruct the gateway device to perform the permission after receiving the HTTP request. Checking, can improve the control of access rights, and achieve control of the access rights of the gateway device to the URL level.
  • the technical solution provided by the foregoing embodiment of the present invention can implement the permission control of any HTTP request for accessing the virtual private network to reach the URL level.
  • the technical solution can implement the access control of the HTTP request to the URL level, that is, the gateway device of the virtual private network receives the login authentication request message sent by the browser, and the gateway device of the virtual private network authenticates the user authority.
  • the gateway device of the virtual private network After the authentication is completed, the gateway device of the virtual private network returns a login authentication success message of the first URL list carrying the URL address of the modified virtual private network internal resource server to the browser.
  • the browser receives the login authentication success message sent by the gateway device of the virtual private network, and the URL address in the first URL list carried in the login authentication success message is modified to point to the URL address of the gateway device of the virtual private network, and the The modified URL address includes the original URL address.
  • the URL of the web resource server in a virtual private network is ht tp: //www. MyOWA.com
  • the gateway device of the virtual private network can modify the URL to "ht tp: ⁇ VPNGW/0/hUp ⁇ " Www. MyOWA.
  • the TCP connection request for establishing a connection for transmitting the HTTP request is initiated according to the modified URL address of the gateway device of the virtual private network, if the TCP connection
  • the destination IP address of the request is the IP address of the gateway device, and the corresponding HTTP request is sent directly to the gateway device. Further operations within.
  • the above technical solution can also achieve the access level control to the URL level.
  • the URL address embedded in the user access content may not be modified by the gateway device of the virtual private network.
  • the Flash animation may include a URL address, and the URL address may be Cannot be modified by the gateway device of the virtual private network.
  • the resource server corresponding to the URL address in the virtual private network cannot be accessed.
  • the technical solution of the embodiment shown in FIG. 1 and the foregoing technical solution for modifying the URL address may be combined, that is, before performing the foregoing step 101, it is determined whether the HTTP request is directed to the gateway device or to the internal resources of the virtual private network.
  • the server, the HTTP request to the gateway device can be directly sent to the gateway device for processing, and points to the virtual private network.
  • the HTTP request of the resource server of the department is processed in accordance with the embodiment shown in FIG.
  • the resource server inside the virtual private network in the embodiment of the present invention represents all types of accessible resources in the virtual private network, such as a Web site, a file server, a database resource, or a personal computer terminal.
  • the technical solution of the present invention may further include:
  • the browser plug-in obtains a TCP connection request sent by the browser, and determines whether the destination IP address of the TCP connection request is an IP address of a gateway device of the virtual private network or an IP address of an internal resource server of the virtual private network;
  • the IP address of the server may be in the user authentication phase.
  • the gateway device returns the URL address and IP address of the virtual private network internal resource server to the browser plug-in, and the browser plug-in modifies the host file of the operating system to initiate the virtual private network.
  • the internal resource server accesses the request, the corresponding IP address can be obtained;
  • the HTTP request is directly sent to the gateway device of the virtual private network; the destination IP address of the TCP connection request is an internal resource of the virtual private network.
  • the IP address of the server is performed, the above steps 101 to 103 are performed.
  • the gateway device of the virtual private network simultaneously pushes the browser plug-in to the browser, and the browser plug-in can implement the access permission control function after the installation is completed, that is, the The destination IP address of the TCP request initiated by the browser is judged, and when the destination IP address of the TCP request is the IP address of the virtual private network internal resource server, the above steps 101 to 103 are performed, and the permission check identifier is added to the HTTP request. And send it after encapsulation.
  • the privilege check identifier is added to the HTTP request sent to the virtual private network, and the header field of the HTTP request may be modified, and the privilege check identifier is added in the HTTP header field. Or, you can also send HTTP requests to the virtual private network. HTTP encapsulation is performed again, that is, the original HTTP request is used as a data payload, and a permission check identifier is added in the header field of the outer-encapsulated HTTP request.
  • the privilege check identifier may be carried in the header field of the HTTP request.
  • the following uses the user identifier information as the privilege check identifier as an example to describe how to carry the privilege check identifier in the header field of the HTTP request.
  • the header field of a normal HTTP request includes a GET line, an Accept line, a Host line, and a cookie line.
  • the first line of the GET behavior includes a URL address.
  • the user identification information may be added to the GET line.
  • the above user identification information can be encrypted or digitally signed. Symmetric-key cryptography or ublic-key cryptography mechanisms can be used to protect user identification information.
  • FIG. 1 the embodiment of the present invention further provides a method for performing the method in the gateway device
  • FIG. 2 is a schematic flowchart of the second embodiment of the method for accessing the virtual private network according to the present invention. , including the following steps:
  • Step 201 The gateway device receives a tunnel data packet sent by the browser plug-in through the secure tunnel.
  • Step 202 The gateway device obtains an HTTP request sent by the tunnel data packet to the virtual private network.
  • the permission check identifier carried in the HTTP request may be cleared first, and then forwarded to the destination resource server in the virtual private network.
  • a resource server within a virtual private network in an embodiment of the present invention represents all types of accessible resources within a virtual private network, such as a Web site, a file server, a database resource, or a personal computer terminal.
  • the gateway device of the virtual private network after receiving the SSL tunnel data packet transmitted through the SSL tunnel, the gateway device of the virtual private network does not directly forward the HTTP request carrying the permission check identifier, but performs the user access permission check and checks the permission. After passing, the HTTP request is forwarded to the destination resource server in the virtual private network, which can improve the control capability of the access authority, and realize that the gateway device controls the access authority to reach the URL level.
  • the user identification information carried in the HTTP request determines whether the user identified by the user identification information has the right to access the destination resource server according to the user identification information and the pre-stored access permission list.
  • FIG. 3 is a schematic flowchart of a user authentication phase in a specific application scenario according to an embodiment of the present invention. As shown in FIG. 3, the method includes the following steps:
  • Step 301 The user initiates a request for logging in to the gateway device of the virtual private network by using a browser, where the gateway device may be an SSL VPN gateway, and the browser sends a login authentication request message to the gateway device of the virtual private network.
  • the gateway device may be an SSL VPN gateway
  • Step 302 The gateway device performs login authentication, and returns a login authentication success message to the browser after the authentication succeeds.
  • the message carries a first URL list, where the first URL list includes resources that the user can access in the virtual private network.
  • the URL address of the server but the above URL The address has been modified to point to the gateway device.
  • the URL of the resource server in the virtual private network is ht tp: //www. MyOWA.com , which will be modified by the gateway device to "ht tp: //VPNGW/0/ht tp/ /www. MyOWA. com" , where VPNGW is the domain name or IP address of the gateway device;
  • Step 303 The gateway device pushes a browser plug-in to the browser, where the specific browser plug-in can be carried in the login authentication success message;
  • Step 304 The browser installs and starts the browser plug-in
  • Step 305 The browser plug-in requests a user access right from the gateway device, and a port list.
  • the TCP port information in the port list may be automatically generated by the gateway device according to the configuration of the WEB resource server URL in the virtual private network. For example, the URL of the web device configured by the gateway device is ht tp: / /www. MyS i te. com, automatically generate port 80; configure another web resource server URL is ht tp: ⁇ www. Mys i te. com: 8080, then automatically generate port 8080;
  • Step 307 The browser plug-in adds the URL address of the virtual private network internal resource server obtained in step 306, and the corresponding IP address to the host file of the operating system, and the host file can enable the user to input the pointer in the browser.
  • the URL address of the resource server in the virtual private network is automatically provided, the corresponding IP address is automatically provided;
  • Step 308 the browser plug-in returns a notification message to the browser to notify the browser that the plug-in has been successfully started, and the browser plug-in can start monitoring the TCP connection request initiated by the browser.
  • FIG. 4 is a schematic flowchart of the user service phase in the specific embodiment of the present invention. As shown in FIG. 4, the following steps are included:
  • Step 401 The user clicks the URL address of the internal resource server of the virtual private network,
  • the URL address may be the URL address in the first URL list returned in the above step 302, or may be the URL address in the binary content nested in the webpage, such as the URL address of the URL link in the Flash or video, the browser
  • the IP address corresponding to the URL address is queried according to the host file, and the HTTP request for the IP address is prepared to be initiated.
  • the browser initiates a corresponding TCP connection request to the browser plug-in to establish a TCP connection.
  • Step 402 The browser plug-in receives a TCP connection request initiated by the browser.
  • the TCP connection may be directly
  • the corresponding HTTP request is requested to be sent to the gateway device.
  • the IP address of the TCP connection request corresponds to the resource server inside the virtual private network, for example, according to the port list in step 307 above, if the TCP connection request is to be sent to the TCP port in the port list, the TCP connection request is required.
  • the corresponding HTTP request is proxyed, that is, the HTTP request needs to be encapsulated in SSL and sent to the gateway device.
  • the browser plug-in returns a TCP connection establishment message to the browser.
  • Step 403 The browser sends an HTTP request to the browser plug-in.
  • the browser plug-in receives the HTTP request, the browser plug-in adds a permission check identifier to the HTTP request, so that the gateway device checks the identity of the user according to the permission check identifier.
  • the manner of adding the permission check identifier may be directly modifying the header field of the HTTP request, and adding a permission check identifier in the HTTP header field, which may utilize the reserved field in the header field of the current HTTP request.
  • the HTTP request sent to the virtual private network can be HTTP encapsulated again, that is, the original HTTP request is used as the data payload, and the permission check identifier is added in the header field of the outer-encapsulated HTTP request.
  • the browser plug-in further encapsulates the HTTP protocol for adding the permission check identifier to the SSL protocol;
  • Step 404 The browser plug-in sends the tunneled data packet of the encapsulated SSL protocol to the gateway device, where the tunnel data packet is transmitted through the tunnel of the SSL protocol.
  • Step 405 The gateway device detects that the HTTP request carries the permission check identifier, and then checks the user access right to obtain the user identification information carried in the HTTP request. And determining, according to the user identification information, and the pre-stored access permission list of each user, whether the user identified by the user identification information has the right to access the destination resource server.
  • the user identification information may be carried after the URL address of the GET line of the HTTP request, for example, "www.si te.
  • Step 406 If the permission check fails in step 405, and it is determined that the user does not have the right to access, the HTTP request is discarded, or when the accessed resource does not exist, the HTTP response of the access error is responded, for example, "404 fi le Not found". If the permission check is successful, the HTTP request is forwarded to the virtual resource server of the virtual private network, and the resource server searches for and accesses the destination resource server.
  • Step 407 The gateway device receives the HTTP response returned by the resource server, encapsulates the SSL response by the HTTP response, and sends the encapsulated SSL protocol tunnel data packet to the browser plug-in.
  • Step 408 After obtaining the HTTP response from the received tunnel data packet, the browser plug-in sends the HTTP response to the browser.
  • FIG. 5 is a schematic structural diagram of an apparatus for accessing a virtual private network according to the present invention.
  • the first acquiring module 11 and the first service processing module are included. 12 and the first sending module 13, wherein the first obtaining module 11 is configured to obtain an HTTP request sent by the browser to the virtual private network; the first service processing module 12 is configured to add a permission check to the HTTP request sent to the virtual private network.
  • the first sending module 13 is configured to use the secure tunnel to the virtual private network.
  • the gateway device sends the tunnel data packet, where the secure tunnel includes a tunnel of the SSL protocol and a tunnel of the TLS protocol.
  • the device for accessing a virtual private network provided by the foregoing embodiment of the present invention is equivalent to the browser plug-in in the foregoing embodiment, and adds a permission check identifier in an HTTP request sent to the virtual private network, and further encapsulates and passes security.
  • the tunnel is sent to the gateway device, so that the gateway device performs the permission check on the HTTP request with the privilege check identifier added, which can improve the control capability of the access authority, and realize that the gateway device controls the access right to reach the URL level.
  • the device for accessing the virtual private network provided by the above embodiment of the present invention may be a browser plug-in provided on the client, which can cooperate with the browser to provide the user with the ability to access the virtual private network.
  • the determining module 14 is further configured to receive a TCP connection request sent by the browser, where the TCP connection request is used to establish a connection for transmitting the HTTP request, and determine The destination IP address of the TCP connection request is the IP address of the gateway device of the virtual private network or the IP address of the internal resource server of the virtual private network.
  • the browser directly sends an HTTP request to the gateway device of the virtual private network;
  • the first service processing module 12 is specifically When the determining module 14 determines that the destination IP address of the TCP connection request is the IP address of the virtual private network internal resource server, adding an authority check identifier to the HTTP request sent to the virtual private network, and adding an authority check identifier After the HTTP request is securely encapsulated, the tunnel packet is obtained.
  • the first sending module sends the tunnel data packet to a gateway device of the virtual private network through a secure tunnel.
  • the privilege check identifier may be carried in the header field of the HTTP request, that is, the first service processing module may be specifically configured to modify the header field of the HTTP request sent to the virtual private network. Adding a permission check identifier to the header field of the HTTP request; or performing HTTP encapsulation on the HTTP request sent to the virtual private network, and adding a permission check identifier in the header field of the outer HTTP request; and for checking the added authority
  • the identified HTTP request is securely encapsulated to obtain a tunnel packet.
  • the authority check identifier in the above embodiment of the present invention may be user identifier information.
  • the embodiment of the present invention further provides a gateway device.
  • FIG. 6 is a schematic structural diagram of an embodiment of a gateway device according to the present invention. As shown in FIG. 6, the first receiving module 21, the second obtaining module 22, and the second service processing module 23 are included.
  • the first receiving module 21 is configured to receive a tunnel data packet sent by the browser plug-in through the secure tunnel; the second obtaining module 22 is configured to obtain an HTTP request sent by the tunnel data packet to the virtual private network;
  • the service processing module 23 is configured to obtain the permission check identifier in the HTTP request sent to the virtual private network, check the user access permission of the HTTP request according to the permission check identifier, and after the permission check is passed, the HTTP The request is forwarded to the destination resource server in the virtual private network.
  • the privilege check identifier may be user identifier information
  • the second service processing module 23 of the gateway device is configured to obtain the user identifier information carried in the HTTP request sent to the virtual private network. Determining, according to the user identification information, and the pre-stored access permission list, whether the user identified by the user identification information has the right to access the destination resource server; and the user for identifying the user identification information has the access purpose After the rights of the resource server, the HTTP request is forwarded to the destination resource server in the virtual private network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例提供了一种访问虚拟专用网络的方法、装置以及网关设备，其中方法包括：获取浏览器发送给虚拟专用网络的HTTP请求；对所述发送给虚拟专用网络的HTTP请求增加权限检查标识，并对增加权限检查标识后的HTTP请求进行安全封装得到隧道数据包；通过安全隧道向虚拟专用网络的网关设备发送所述隧道数据包。本发明实施例还提供了相应的装置以及网关设备。本发明的技术方案能够提高对访问权限的控制能力，实现网关设备对访问权限的控制达到URL级别。

Description

访问虚拟专用网络的方法、 装置以及网关设备 技术领域
本发明实施例涉及网络技术领域， 尤其涉及一种访问虚拟专用网络的 方法、 装置以及网关设备。 背景技术
安全套接层 （ Security Socket Layer, 以下简称： SSL )虚拟专用网络 ( Virtual Private Network, 以下简称： VPN )技术是一种通过 SSL协议 或传输层安全 ( Transport Layer Security, 以下简称： TLS )协议安全接入 VPN网络的技术。 SSL VPN技术是一种基于 SSL层封装的隧道技术， 属 于应用层 VPN。 该技术可以通过浏览器直接访问 VPN 。
SSL VPN技术中的传输控制协议（Transmi s s ion Control Protoco l, , 以下简称： TCP)转发功能的原理是， 通过浏览器插件监控互联网用户使 用的客户端的 TCP端口， 以监听该客户端的 TCP通信， 获取 TCP报文的 IP头中的目的 IP地址， 若上述的目的 IP地址是虚拟专用网络的内部资源 服务器的 IP地址， 则将该 TC报文承载的超文本传输协议 （Hyper Text Transfer Protoco l , 以下简称： HTTP )请求进行 SSL封装， 然后将封装 得到的 SSL隧道数据包通过 SSL隧道发送给虚拟专用网络的网关设备。 该网关设备也可称为是 SSL VPN网关。 SSL VPN网关会将接收到的数据 去封装后发送给目的 IP地址所指向的内部资源服务器。 在互联网用户认 证通过后， 网关设备可以获取虚拟专用网络的内部各资源服务器的统一资 源定位符 ( Uni form Resource Locator , 以下简称： URL ) 地址和 IP地 址的对应关系， 形成资源服务器列表， 然后将该资源服务器列表发送给浏 览器插件。 浏览器插件根据该资源服务器列表修改操作系统的 host文件， 以使得互联网用户使用客户端访问虚拟专用网络的内部资源服务器时， 能 够根据 URL地址从 host文件中获取到内部资源服务器的 IP地址并携带的 TCP报文的 IP头中。
现有技术的上述技术方案，通过监控客户端的 TCP端口方式为用户提 供访问虚拟专用网络的能力， 如果要对互联网用户进行访问权限控制， 其 访问权限控制粒度只能达到 TCP端口级别， 访问权限控制能力较低。 发明内容
本发明实施例提供一种访问虚拟专用网络的方法、 装置以及网关设 备， 用于提高对访问权限的控制能力。 本发明实施例提供了一种访问虚拟专用网络的方法， 包括：
获取浏览器发送给虚拟专用网络的 HTTP请求；
对所述发送给虚拟专用网络的 HTTP请求增加权限检查标识， 并对增 加权限检查标识后的 HTTP请求进行安全封装得到隧道数据包； 通过安全隧道向虚拟专用网络的网关设备发送所述隧道数据包。 本发明实施例还提供了另一种访问虚拟专用网络的方法， 包括： 接收浏览器插件通过安全隧道发送的隧道数据包；
获得所述隧道数据包中的发送给所述虚拟专用网络的 HTTP请求； 若所述发送给虚拟专用网络的 HTTP请求中携带权限检查标识， 根据 所述权限检查标识检查所述 HTTP请求的用户访问权限， 并在权限检查通 过后， 将所述 HTTP请求转发给虚拟专用网络中的目的资源服务器。
本发明实施例还提供了一种访问虚拟专用网络的装置， 包括： 第一获取模块， 用于获取浏览器发送给虚拟专用网络的 HTTP请求； 第一业务处理模块， 用于对所述发送给虚拟专用网络的 HTTP请求增 加权限检查标识， 并对增加权限检查标识后的 HTTP请求进行安全封装得 到隧道数据包；
第一发送模块， 用于通过安全隧道向虚拟专用网络的网关设备发送所 述隧道数据包。
本发明实施例还提供了一种网关设备， 包括：
第一接收模块， 用于接收浏览器插件通过安全隧道发送的隧道数据 包；
第二获取模块， 用于获得所述隧道数据包中的发送给所述虚拟专用网 络的 HTTP请求；
第二业务处理模块， 用于获取所述发送给虚拟专用网络的 HTTP请求 中携带权限检查标识， 根据所述权限检查标识检查所述 HTTP请求的用户 访问权限， 并在权限检查通过后， 将所述 HTTP请求转发给虚拟专用网络 中的目的资源服务器。
本发明上实施例提供的访问虚拟专用网络的方法、 装置以及网关设 备， 可以通过在客户端设备上设置浏览器插件， 该浏览器插件会对访问虚 拟专用网络的 HTTP请求增加权限检查标识， 以指示网关设备在接收到该 HTTP请求后进行权限检查， 能够提高对访问权限的控制能力， 实现网关设 备对访问权限的控制达到 URL级别。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下 面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在 不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明访问虚拟专用网络的方法实施例一的流程示意图； 图 2为本发明访问虚拟专用网络的方法实施例二的流程示意图； 图 3为本发明实施例的一种具体应用场景中用户认证阶段的流程示意 图；
图 4为本发明具体实施例中用户业务阶段的流程示意图；
图 5为本发明访问虚拟专用网络的装置实施例的结构示意图； 图 6为本发明网关设备实施例的结构示意图。 具体实施方式
为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本 发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描 述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提 下所获得的所有其他实施例， 都属于本发明保护的范围。
针对现有技术中， 在为用户提供访问虚拟专用网络能力时， 对访问权 限的控制能力低的缺陷， 本发明实施例提供了一种技术方案， 图 1为本发 明访问虚拟专用网络的方法实施例一的流程示意图， 如图 1所示， 包括如 下的步骤：
步骤 101、浏览器插件获取浏览器发送给虚拟专用网络的 HTTP请求。 步骤 102、 浏览器插件对所述发送给虚拟专用网络的 HTTP请求增加 权限检查标识， 并对增加权限检查标识后的 HTTP请求进行安全封装得到 隧道数据包。 该安全封装可以包括 SSL协议的封装和 TLS协议的封装。
步骤 103、 浏览器插件通过安全隧道向虚拟专用网络的网关设备发送 所述隧道数据包。 该安全隧道可以包括 SSL协议的隧道和 TLS协议的隧 道。
本发明上述实施例中， 可以通过在客户端设备上增加一个浏览器插 件， 该浏览器插件对访问虚拟专用网络的 HTTP请求增加权限检查标识， 以指示网关设备在接收到该 HTTP请求后进行权限检查， 能够提高对访问 权限的控制能力， 实现网关设备对访问权限的控制达到 URL级别。 本发明上述实施例提供的技术方案， 可以实现对任何访问虚拟专用网 络的 HTTP请求的权限控制达到 URL级别。 另外还有一种技术方案可以 实现将 HTTP请求的权限控制达到 URL级别， 即虚拟专用网的网关设备 在接收浏览器发送的登录认证请求消息， 所述虚拟专用网的网关设备对用 户权限进行认证。 认证完成后， 所述虚拟专用网的网关设备向浏览器返回 携带修改后的虚拟专用网内部资源服务器的 URL地址的第一 URL列表的 登陆认证成功消息。 浏览器接收上述虚拟专用网的网关设备发送的登陆认 证成功消息， 该登陆认证成功消息携带的第一 URL列表中的 URL地址被 修改为指向所述虚拟专用网的网关设备的 URL地址，并且该修改后的 URL 地址中包括原 URL地址。例如一个虚拟专用网内的 Web资源服务器的 URL 为 ht tp: //www. MyOWA. com, 所述虚拟专用网的网关设备可以将将该 URL 修改为 "ht tp：〃 VPNGW/0/hUp〃www. MyOWA. com" , 其中 VPNGW是网关设 备的域名或 IP地址。 浏览器访问上述第一 URL列表中的 URL地址时， 根据该修改后的指向所述虚拟专用网的网关设备的 URL地址发起的用于 建立传输 HTTP请求的连接的 TCP连接请求， 若该 TCP连接请求的目的 IP地址是网关设备的 IP地址， 对应的 HTTP请求会直接发送给网关设备。 内的进一步操作。 上述的技术方案也能够将访问权限的控制达到 URL级 另 但是， 嵌入在用户访问内容中的 URL地址可能无法被虚拟专用网的 网关设备修改 , 例如 Flash动画内可以包括 URL地址 , 该 URL地址可能 无法被虚拟专用网的网关设备修改。 如果用户点击的没有被虚拟专用网的 网关设备修改过的链接， 则无法访问虚拟专用网内该 URL地址对应的资 源服务器。 此时， 可以将图 1所示实施例的技术方案和上述修改 URL地 址的技术方案相结合， 即在执行上述的步骤 101之前， 先判断 HTTP请求 是指向网关设备， 还是指向虚拟专用网络内部资源服务器， 指向网关设备 的 HTTP请求可以直接发送给网关设备进行处理， 而指向虚拟专用网络内 部的资源服务器的 HTTP请求按照图 1所示的实施例进行处理。 本发明实施例中的虚拟专用网络内部的资源服务器表示虚拟专用网 络内所有类型的可访问资源， 例如 Web 站点、 文件服务器、 数据库资源 或个人计算机终端等。
具体的， 在执行上述的步骤 101之前， 本发明的技术方案还可以进一 步包括：
浏览器插件获取浏览器发送的 TCP连接请求， 并确定所述 TCP连接 请求的目的 IP地址为虚拟专用网络的网关设备的 IP地址还是虚拟专用网 络内部资源服务器的 IP地址； 对于虚拟专用网络内部资源服务器的 IP地 址， 可以是在用户认证阶段， 由网关设备将虚拟专用网络内部资源服务器 的 URL地址和 IP地址返回给浏览器插件，浏览器插件修改操作系统的 host 文件， 在发起对虚拟专用网络内部资源服务器访问请求时， 能够获取到对 应的 IP地址；
在所述 TCP连接请求的目的 IP地址为虚拟专用网络的网关设备的 IP 地址时， 直接向虚拟专用网的网关设备发送 HTTP请求； 在所述 TCP连接 请求的目的 IP地址为虚拟专用网络内部资源服务器的 IP地址时， 执行上 述的步骤 101〜步骤 103。 通过上述的技术方案可以对访问虚拟专用网络的 HTTP请求的权限控制达到 URL级别。 进一步的， 在上述浏览器发起登陆 认证请求消息后， 所述虚拟专用网的网关设备同时向浏览器推送浏览器插 件， 该浏览器插件在安装完成后可以实现访问权限控制的功能， 即可以对 浏览器发起的 TCP请求的目的 IP地址进行判断， 以及在该 TCP请求的目 的 IP 地址为虚拟专用网络内部资源服务器的 IP 地址时执行上述的步骤 101〜步骤 103 , 在 HTTP请求上增加权限检查标识， 并进行封装后发送。
而上述步骤 102中， 对发送给虚拟专用网络的 HTTP请求增加权限检 查标识， 具体的可以修改上述 HTTP请求的头域（ header ) , 在 HTTP头域 中增加权限检查标识。 或者， 也可以对发送给虚拟专用网络的 HTTP请求 再次进行 HTTP封装， 即将上述原始的 HTTP请求作为数据净荷， 在外层封 装的 HTTP请求的头域中增加权限检查标识。
在本发明的具体实施例中， 可以将权限检查标识携带在 HTTP请求的 头域中， 以下以用户标识信息作为权限检查标识为例进行说明， 如何将权 限检查标识携带在 HTTP请求的头域中， 例如通常的 HTTP请求的头域包 括 GET行、 Accept行、 Host行和 Cookie行等， 其中的 GET行为首行， 其包括 URL地址， 本实施例中， 可以在 GET行增加上述用户标识信息， 例如通常的 GET行为 "GET http://www.MYSITE.com/ HTTP/1.1" , 可以 将其爹改为 "GET http：〃 www.MYSITE.com/userflag=XYZHTTP/l .l" , 其 中的 "userflag=XYZ，， 即为用户标识信息； 又可以在 Cookie行增加用户标 识 信 息 ， 例 如 将 " Cookie:
MYSITEID=F9B8BD39D4408733B2081A92B5C35510:FG=1 " 修 改 为 " Cookie: MYSITEID=F9B8BD39D4408733B2081A92B5C35510:FG=1; userflag=XYZ" ； 还可以在 Cookie行后自定义行， 利用该自定义行携带用 户标识信息， 例如在 Cookie 行后增加自定义的 sslvpnflag 行， 即增加 " sslvpnflag:userflag=XYZ" , 其中 userflag=XYZ，， 即为用户标识信息。 上述用户标识信息可以是加密的， 也可以是经过数字签名的。 其他对称钥 匙密码学 ( symmetric-key cryptography ) 或公开钥匙密码学 ( ublic-key cryptography )机制都可以用于保护用户标识信息。
与图 1所示的实施例对应的， 本发明实施例还提供了对应在网关设备 中执行的方法， 图 2为本发明访问虚拟专用网络的方法实施例二的流程示 意图， 如图 2所示， 包括如下的步骤：
步骤 201、 网关设备接收浏览器插件通过安全隧道发送的隧道数据 包；
步骤 202、 网关设备获得所述隧道数据包中的发送给所述虚拟专用网 络的 HTTP请求； 步骤 203、 若所述发送给虚拟专用网络的 HTTP请求中携带权限检查 标识， 网关设备根据所述权限检查标识检查所述 HTTP请求的用户访问权 限， 并在权限检查通过后， 将所述 HTTP请求转发给虚拟专用网络中的目 的资源服务器。
进一步的， 上述步骤 203中可以是先清除掉上述 HTTP请求中携带的 权限检查标识， 然后再将其转发给虚拟专用网中的目的资源服务器。 本发 明实施例中的虚拟专用网络内部的资源服务器表示虚拟专用网络内所有 类型的可访问资源， 例如 Web 站点、 文件服务器、 数据库资源或个人计 算机终端等。
本发明实施例中，虚拟专用网络的网关设备在接收到通过 SSL隧道传 输的 SSL隧道数据包后， 对携带权限检查标识的 HTTP请求不直接转发， 而是进行用户访问权限检查， 并在权限检查通过后， 再将 HTTP请求转发 给虚拟专用网络中的目的资源服务器， 能够提高对访问权限的控制能力， 实现网关设备对访问权限的控制达到 URL级别。
更进一步的， 上述对 HTTP 请求进行用户访问权限检查可以是获取
HTTP请求中携带的用户标识信息， 根据所述用户标识信息， 以及预先存 储的访问权限列表， 确定所述用户标识信息标识的用户是否具有访问目的 资源服务器的权限。
图 3为本发明实施例的一种具体应用场景中用户认证阶段的流程示意 图， 如图 3所示， 包括如下的步骤：
步骤 301、 用户通过浏览器发起登陆虚拟专用网的网关设备的请求， 该网关设备可以是 SSL VPN网关， 浏览器向虚拟专用网的网关设备发送 登陆认证请求消息；
步骤 302、 网关设备进行登陆认证， 并在认证成功后向浏览器返回登 陆认证成功消息， 该消息中携带第一 URL列表， 该第一 URL列表中包括了 用户可以在虚拟专用网络中访问的资源服务器的 URL地址， 但上述 URL地 址已经被修改为指向网关设备， 例如虚拟专用网内的资源服务器的 URL为 ht t p: //www. MyOWA. com , 将 被 网 关 设 备 修 改 为 "ht t p: //VPNGW/0/ht t p//www. MyOWA. com" , 其中 VPNGW是网关设备的域 名或 IP地址；
步骤 303、 网关设备向浏览器推送浏览器插件， 具体的该浏览器插件 可以携带在登陆认证成功消息中；
步骤 304、 浏览器安装并启动浏览器插件；
步骤 305、 浏览器插件向网关设备请求用户访问权限， 以及端口列表； 步骤 306、 网关设备向浏览器插件返回资源服务器列表， 该资源服务 器列表可以是授权用户访问的虚拟专用网络内部资源服务器的 URL地址， 及其对应的 IP地址。 同时还返回端口列表， 该端口列表中的 TCP端口信 息可以是网关设备根据虚拟专用网络内的 WEB资源服务器 URL的配置情况 自动生成的， 例如网关设备配置一个 Web 资源服务器的 URL 是 ht t p: //www. MyS i te. com, 则自动生成 80端口； 配置了另一个 Web资源服 务器的 URL是 ht t p：〃 www. Mys i te. com: 8080，则自动生成 8080端口；
步骤 307、 浏览器插件将在步骤 306中获得的虚拟专用网络内部资源 服务器的 URL地址， 及其对应的 IP地址添加到操作系统的 host文件中， 该 host 文件可以使得用户在浏览器中输入指向虚拟专用网络内的资源服 务器的 URL地址时， 自动提供对应的 IP地址；
步骤 308、 可选的， 浏览器插件向浏览器返回通知消息， 通知浏览器 插件已启动成功 ,此时浏览器插件可以开始监控浏览器发起的 TCP连接请 求。
在完成上述准备工作后， 就可以使用浏览器插件进行访问控制， 图 4 为本发明具体实施例中用户业务阶段的流程示意图， 如图 4所示， 包括如 下的步骤：
步骤 401、 用户点击虚拟专用网络内部资源服务器的 URL地址， 该 URL地址可以是在上述步骤 302中返回的第一 URL列表中的 URL地址， 也可以是网页中嵌套的二进制内容中的 URL地址，例如在 Flash或视频中 的 URL链接的 URL地址， 浏览器根据 host文件查询与上述 URL地址对 应的 IP地址， 准备发起针对上述 IP地址的 HTTP请求， 首先， 浏览器向 浏览器插件发起对应的 TCP连接请求， 以建立 TCP连接；
步骤 402、 浏览器插件接收浏览器发起的 TCP 连接请求， 在确定该 TCP连接请求的目的 IP地址为网关设备时， 即对应已经将 URL地址修改 为指向网关设备的情况，可以直接将上述 TCP连接请求对应的 HTTP请求 发送给网关设备。 而当 TCP连接请求的 IP地址对应虚拟专用网络内部的 资源服务器时， 例如根据上述步骤 307中的端口列表，确定 TCP连接请求 要发送给端口列表中的 TCP 端口时， 则需要对该 TCP 连接请求对应的 HTTP请求进行代理， 即需要将 HTTP请求进行 SSL封装后发送给网关设 备， 此时， 浏览器插件向浏览器返回 TCP连接建立消息；
步骤 403、 浏览器向浏览器插件发送 HTTP请求， 浏览器插件在接收 到上述的 HTTP请求中， 会在 HTTP请求中增加权限检查标识， 以使网关 设备根据该权限检查标识对用户的访问权限进行控制， 如同上述实施例中 所述的， 增加权限检查标识的方式可以是直接修改 HTTP请求的头域， 在 HTTP头域中增加权限检查标识， 这可以利用目前 HTTP请求的头域中的 保留字段；或者还可以对发送给虚拟专用网络的 HTTP请求再次进行 HTTP 封装， 即上述原始的 HTTP请求作为数据净荷， 而在外层封装的 HTTP请 求的头域中增加权限检查标识。 浏览器插件进一步将对增加权限检查标识 的 HTTP请求进行 SSL协议的封装；
步骤 404、 浏览器插件将封装得到的 SSL协议的隧道数据包发送给网 关设备， 具体的是通过 SSL协议的隧道进行隧道数据包的传输；
步骤 405、 网关设备检测到 HTTP请求中携带了权限检查标识， 便会 对其进行用户访问权限检查， 获取 HTTP请求中携带的用户标识信息， 根 据所述用户标识信息， 以及预先存储的各个用户的访问权限列表， 确定所 述用户标识信息标识的用户是否具有访问目的资源服务器的权限。 具体 的， 可以在 HTTP请求的 GET行的 URL地址后携带用户标识信息， 例如 "www. s i te. com/?usef lag=XXXX" , 其中 "usef lag=XXXX" 表示用户标识 信息； 或者是在 cookie 行携带用户标识信息， 例如 " cookie = usef lag=XXXX" , 其中 "usef lag=XXXX" 表示用户标识信息。
步骤 406、 若在步骤 405中权限检查失败， 判断为用户无权访问， 则 会丟弃上述 HTTP 请求， 或者在访问的资源不存在时， 回应访问错误的 HTTP响应， 例如可以是 "404 f i le not found" 。 若权限检查成功， 则 会向虚拟专用网的虚拟资源服务器转发上述 HTTP请求， 由资源服务器查 找并访问目的资源服务器。 通过上述权限控制方法， 可以实现对二进制内 容中 URL访问权限的细粒度控制；
步骤 407、 网关设备接收资源服务器返回的 HTTP响应， 将 HTTP响 应进行 SSL协议的封装， 并将封装后得到的 SSL协议的隧道数据包发发 送给浏览器插件；
步骤 408、 浏览器插件从接收到的隧道数据包中获得所述 HTTP响应 后， 将其发送给浏览器。
本发明实施例提供了一种访问虚拟专用网络的装置， 图 5为本发明访 问虚拟专用网络的装置实施例的结构示意图， 如图 5所示， 包括第一获取 模块 11、 第一业务处理模块 12和第一发送模块 13 , 其中第一获取模块 11 用于获取浏览器发送给虚拟专用网络的 HTTP请求；第一业务处理模块 12 用于对所述发送给虚拟专用网络的 HTTP请求增加权限检查标识， 并对增 加权限检查标识后的 HTTP请求进行安全封装得到隧道数据包， 上述的安 全封装包括 SSL协议的封装和 TLS协议的封装； 第一发送模块 13用于通 过安全隧道向虚拟专用网络的网关设备发送所述隧道数据包， 该安全隧道 包括 SSL协议的隧道和 TLS协议的隧道。 本发明上述实施例提供的访问虚拟专用网络的装置， 该装置相当于上 述实施例中的浏览器插件， 通过在发送给虚拟专用网络的 HTTP请求中增 加权限检查标识， 并进一步进行封装后通过安全隧道发送给网关设备， 以 由网关设备对增加了权限检查标识的 HTTP请求进行权限检查， 能够提高 对访问权限的控制能力， 实现网关设备对访问权限的控制达到 URL级别。
本发明上述实施例提供的访问虚拟专用网络的装置可以是设置在客 户端的浏览器插件， 其可以与浏览器配合， 为用户提供访问虚拟专用网的 能力。
另外， 本发明上述实施例中， 还可以进一步设置确定模块 14, 该确定 模块 14用于接收浏览器发送的 TCP连接请求，所述 TCP连接请求用于建 立传输所述 HTTP请求的连接， 并确定所述 TCP连接请求的目的 IP地址 为虚拟专用网络的网关设备的 IP 地址或虚拟专用网络内部资源服务器的 IP地址。 具体的， 是在所述 TCP连接请求的目的 IP地址为虚拟专用网络 的网关设备的 IP 地址时， 由浏览器直接向虚拟专用网的网关设备发送 HTTP请求； 上述的第一业务处理模块 12具体用于在所述确定模块 14确 定 TCP连接请求的目的 IP地址为虚拟专用网络内部资源服务器的 IP地址 时， 对所述发送给虚拟专用网络的 HTTP请求增加权限检查标识， 并对增 加权限检查标识后的 HTTP请求进行安全封装得到隧道数据包。 第一发送 模块通过安全隧道向虚拟专用网络的网关设备发送所述隧道数据包。
本发明上述实施例中， 可以将权限检查标识携带在 HTTP请求的头域 中， 即上述的第一业务处理模块可以具体用于修改所述发送给虚拟专用网 络的 HTTP请求的头域， 在所述 HTTP请求的头域中增加权限检查标识； 或对所述发送给虚拟专用网络的 HTTP请求再次进行 HTTP封装， 并在外 层 HTTP请求的头域中增加权限检查标识； 以及用于对增加权限检查标识 后的 HTTP请求进行安全封装得到隧道数据包。
本发明上述实施例中的权限检查标识可以是用户标识信息。 本发明实施例还提供了一种网关设备， 图 6为本发明网关设备实施例 的结构示意图， 如图 6所示， 包括第一接收模块 21、 第二获取模块 22和 第二业务处理模块 23 , 其中第一接收模块 21用于接收浏览器插件通过安 全隧道发送的隧道数据包； 第二获取模块 22用于获得所述隧道数据包中 的发送给所述虚拟专用网络的 HTTP请求； 第二业务处理模块 23用于获 取所述发送给虚拟专用网络的 HTTP请求中携带权限检查标识， 根据所述 权限检查标识检查所述 HTTP请求的用户访问权限，并在权限检查通过后， 将所述 HTTP请求转发给虚拟专用网络中的目的资源服务器。
本发明上述实施例中， 其中的权限检查标识可以为用户标识信息， 此 时网关设备的第二业务处理模块 23 具体用于获取所述发送给虚拟专用网 络的 HTTP请求中携带的用户标识信息， 根据所述用户标识信息， 以及预 先存储的访问权限列表， 确定所述用户标识信息标识的用户是否具有访问 所述目的资源服务器的权限； 以及用于在所述用户标识信息标识的用户具 有访问目的资源服务器的权限后， 将所述 HTTP请求转发给虚拟专用网络 内的目的资源服务器。 本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步 骤可以通过程序指令相关的硬件来完成， 前述的程序可以存储于一计算机 可读取存储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述的存储介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程 序代码的介质。 最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对 其限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通 技术人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修 改， 或者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不 使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权 利 要 求 书
1、 一种访问虚拟专用网络的方法， 其特征在于， 包括：
获取浏览器发送给虚拟专用网络的 HTTP请求；
对所述发送给虚拟专用网络的 HTTP请求增加权限检查标识， 并对增 加权限检查标识后的 HTTP请求进行安全封装得到隧道数据包；
通过安全隧道向虚拟专用网络的网关设备发送所述隧道数据包。
2、 根据权利要求 1 所述的访问虚拟专用网络的方法， 其特征在于， 所述获取浏览器发送给虚拟专用网络的 HTTP请求之前还包括：
接收浏览器发送的 TCP连接请求， 所述 TCP连接请求用于建立传输 所述 HTTP请求的连接；
在所述 TCP连接请求的目的 IP地址为虚拟专用网络的网关设备的 IP 地址时， 直接向虚拟专用网络的网关设备发送 HTTP请求；
在所述 TCP连接请求的目的 IP地址为虚拟专用网络内部资源服务器 的 IP 地址时， 浏览器插件获取所述浏览器发送给虚拟专用网络的 HTTP 请求； 对所述发送给虚拟专用网络的 HTTP请求增加权限检查标识， 并对 增加权限检查标识后的 HTTP请求进行安全封装得到隧道数据包； 通过安 全隧道向虚拟专用网络的网关设备发送所述隧道数据包。
3、 根据权利要求 2所述的访问虚拟专用网络的方法， 其特征在于， 还包括：
浏览器向虚拟专用网的网关设备发送登录认证请求消息； 述虚拟专用网的网关设备向浏览器返回的携带有修改后的虚拟专用网络 内部资源服务器的 URL地址的第一 URL列表的登陆认证成功消息， 所述 第一 URL 列表中 URL地址被修改为指向所述虚拟专用网的网关设备的 URL地址，所述第一 URL列表中的 URL地址包括原虚拟专用网络内部资 源服务器的 URL地址。
4、 根据权利要求 1至 3任一项所述的访问虚拟专用网络的方法， 其 特征在于， 所述对发送给虚拟专用网络的 HTTP请求增加权限检查标识包 括：
修改所述发送给虚拟专用网络的 HTTP请求的头域， 在所述 HTTP请 求的头域中增加权限检查标识； 或
对所述发送给虚拟专用网络的 HTTP请求再次进行 HTTP封装， 并在 外层 HTTP请求的头域中增加权限检查标识。
5、 根据权利要求 4所述的访问虚拟专用网络的方法， 其特征在于， 所述权限检查标识设置在所述 HTTP请求的头域的 GET行、 Cookie行或 自定义行中。
6、 根据权利要求 1至 5任一项所述的访问虚拟专用网络的方法， 其 特征在于， 所述权限检查标识为用户标识信息。
7、 一种访问虚拟专用网络的方法， 其特征在于， 包括：
接收浏览器插件通过安全隧道发送的隧道数据包；
获得所述隧道数据包中的发送给所述虚拟专用网络的 HTTP请求； 若所述发送给虚拟专用网络的 HTTP请求中携带权限检查标识， 根据 所述权限检查标识检查所述 HTTP请求的用户访问权限， 并在权限检查通 过后， 将所述 HTTP请求转发给虚拟专用网络中的目的资源服务器。
8、 根据权利要求 7所述的访问虚拟专用网络的方法， 其特征在于， 所述权限检查标识为用户标识信息， 根据所述权限检查标识检查所述
HTTP请求的用户访问权限包括：
获取所述 HTTP请求中携带的用户标识信息 ,根据所述用户标识信息 , 以及预先存储的访问权限列表， 确定所述用户标识信息标识的用户是否具 有访问所述目的资源服务器的权限。
9、 一种访问虚拟专用网络的装置， 其特征在于， 包括：
第一获取模块， 用于获取浏览器发送给虚拟专用网络的 HTTP请求； 第一业务处理模块， 用于对所述发送给虚拟专用网络的 HTTP请求增 加权限检查标识， 并对增加权限检查标识后的 HTTP请求进行安全封装得 到隧道数据包；
第一发送模块， 用于通过安全隧道向虚拟专用网络的网关设备发送所 述隧道数据包。
10、 根据权利要求 9所述的访问虚拟专用网络的装置， 其特征在于， 所述访问虚拟专用网络的装置还包括确定模块， 其中，
所述确定模块， 用于接收浏览器发送的 TCP连接请求， 所述 TCP连 接请求用于建立传输所述 HTTP请求的连接，并确定所述 TCP连接请求的 目的 IP地址为虚拟专用网络的网关设备的 IP地址或虚拟专用网络内部资 源服务器的 IP地址；
所述第一业务处理模块具体用于在所述确定模块确定 TCP 连接请求 的目的 IP地址为虚拟专用网络内部资源服务器的 IP地址时， 对所述发送 给虚拟专用网络的 HTTP请求增加权限检查标识， 并对增加权限检查标识 后的 HTTP请求进行安全封装得到隧道数据包。
11、 根据权利要求 9或 10所述的访问虚拟专用网络的装置， 其特征 在于， 所述第一业务处理模块具体用于修改所述发送给虚拟专用网络的 HTTP请求的头域， 在所述 HTTP请求的头域中增加权限检查标识； 或对 所述发送给虚拟专用网络的 HTTP请求再次进行 HTTP封装， 并在外层 HTTP请求的头域中增加权限检查标识； 以及用于对增加权限检查标识后 的 HTTP请求进行安全封装得到隧道数据包。
12、 根据权利要求 9至 11任一项所述的访问虚拟专用网络的装置， 其特征在于， 所述权限检查标识为用户标识信息。
13、 一种网关设备， 其特征在于， 包括：
第一接收模块， 用于接收浏览器插件通过安全隧道发送的隧道数据 包； 第二获取模块， 用于获得所述隧道数据包中的发送给所述虚拟专用网 络的 HTTP请求；
第二业务处理模块， 用于获取所述发送给虚拟专用网络的 HTTP请求 中携带权限检查标识， 根据所述权限检查标识检查所述 HTTP请求的用户 访问权限， 并在权限检查通过后， 将所述 HTTP请求转发给虚拟专用网络 中的目的资源服务器。
14、 根据权利要求 13 所述的网关设备， 其特征在于， 所述权限检查 标识为用户标识信息， 所述第二业务处理模块具体用于获取所述发送给虚 拟专用网络的 HTTP请求中携带的用户标识信息 ,根据所述用户标识信息 , 以及预先存储的访问权限列表， 确定所述用户标识信息标识的用户是否具 有访问所述目的资源服务器的权限； 以及用于在所述用户标识信息标识的 用户具有访问目的资源服务器的权限后， 将所述 HTTP请求转发给虚拟专 用网络内的目的资源服务器。
PCT/CN2011/080791 2011-10-14 2011-10-14 访问虚拟专用网络的方法、装置以及网关设备 WO2012163005A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201180002549.9A CN103168450B (zh) 2011-10-14 2011-10-14 访问虚拟专用网络的方法、装置以及网关设备
PCT/CN2011/080791 WO2012163005A1 (zh) 2011-10-14 2011-10-14 访问虚拟专用网络的方法、装置以及网关设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2011/080791 WO2012163005A1 (zh) 2011-10-14 2011-10-14 访问虚拟专用网络的方法、装置以及网关设备

Publications (1)

Publication Number Publication Date
WO2012163005A1 true WO2012163005A1 (zh) 2012-12-06

Family

ID=47258326

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/080791 WO2012163005A1 (zh) 2011-10-14 2011-10-14 访问虚拟专用网络的方法、装置以及网关设备

Country Status (2)

Country Link
CN (1) CN103168450B (zh)
WO (1) WO2012163005A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105978933A (zh) * 2016-04-25 2016-09-28 青岛海信电器股份有限公司 一种网页请求及响应方法、终端、服务器和系统
CN110071932A (zh) * 2019-04-29 2019-07-30 云深互联(北京)科技有限公司 一种安全访问系统及方法

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9148408B1 (en) * 2014-10-06 2015-09-29 Cryptzone North America, Inc. Systems and methods for protecting network devices
CN108574607B (zh) * 2017-03-08 2022-09-20 中兴通讯股份有限公司 基于虚拟专用网络的共享上网检测方法及装置
CN110266715B (zh) * 2019-06-28 2023-03-24 深圳前海微众银行股份有限公司 异地访问方法、装置、设备与计算机可读存储介质
CN111182027A (zh) * 2019-11-29 2020-05-19 云深互联(北京)科技有限公司 基于新型架构实现的流量数据分流方法和装置
CN111193771A (zh) * 2019-12-03 2020-05-22 云深互联(北京)科技有限公司 基于移动端企业浏览器的访问方法和装置
CN112751742B (zh) * 2020-12-30 2023-04-18 杭州迪普科技股份有限公司 本地应用的启动方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101119274A (zh) * 2007-09-12 2008-02-06 杭州华三通信技术有限公司 一种提高ssl网关处理效率的方法及ssl网关
CN101132420A (zh) * 2007-10-16 2008-02-27 杭州华三通信技术有限公司 一种基于ssl vpn的链接改写方法和设备
CN101523865A (zh) * 2006-08-03 2009-09-02 思杰系统有限公司 用于使用http-察觉的客户端代理的系统和方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101523865A (zh) * 2006-08-03 2009-09-02 思杰系统有限公司 用于使用http-察觉的客户端代理的系统和方法
CN101119274A (zh) * 2007-09-12 2008-02-06 杭州华三通信技术有限公司 一种提高ssl网关处理效率的方法及ssl网关
CN101132420A (zh) * 2007-10-16 2008-02-27 杭州华三通信技术有限公司 一种基于ssl vpn的链接改写方法和设备

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105978933A (zh) * 2016-04-25 2016-09-28 青岛海信电器股份有限公司 一种网页请求及响应方法、终端、服务器和系统
CN110071932A (zh) * 2019-04-29 2019-07-30 云深互联(北京)科技有限公司 一种安全访问系统及方法
CN110071932B (zh) * 2019-04-29 2021-10-08 云深互联(北京)科技有限公司 一种安全访问系统及方法

Also Published As

Publication number Publication date
CN103168450B (zh) 2015-11-25
CN103168450A (zh) 2013-06-19

Similar Documents

Publication Publication Date Title
US10791506B2 (en) Adaptive ownership and cloud-based configuration and control of network devices
WO2012163005A1 (zh) 访问虚拟专用网络的方法、装置以及网关设备
JP6358549B2 (ja) セッション共有によるセッションの自動ログインおよびログアウト
US8443435B1 (en) VPN resource connectivity in large-scale enterprise networks
EP3142327B1 (en) Intermediate network entity
US9143400B1 (en) Network gateway configuration
JP4867663B2 (ja) ネットワーク通信システム
US10484357B1 (en) Method and apparatus for federated single sign on using authentication broker
EP2708007B1 (en) Methods, server and proxy agent for dynamically setting up a session between a target resource in a private network and an application on a device
US9204345B1 (en) Socially-aware cloud control of network devices
US8800007B1 (en) VPN session migration across clients
US20130238808A1 (en) Mobile link system, method & apparatus
WO2019062666A1 (zh) 一种实现安全访问内部网络的系统、方法和装置
CN106209838B (zh) Ssl vpn的ip接入方法及装置
EP3272094A1 (en) End-to-end authentication at the service layer using public keying mechanisms
WO2008119273A1 (fr) Procédé pour libérer et télécharger un fichier, serveur de gestion, terminal et système
US20090064291A1 (en) System and method for relaying authentication at network attachment
JP2007514337A (ja) 信頼性および持続性のある通信セッションを介したクライアントの自動的な再接続
JP2007515852A (ja) カプセル化通信プロトコルを使用してネットワークコンポーネントをセキュアに横断する持続性および信頼性のあるセッション
WO2022247751A1 (zh) 远程访问应用的方法、系统、装置、设备及存储介质
WO2005065008A2 (en) System and method for managing a proxy request over a secure network using inherited security attributes
WO2023279782A1 (zh) 一种访问控制方法、访问控制系统及相关设备
CN115603932A (zh) 一种访问控制方法、访问控制系统及相关设备
CN113938474B (zh) 一种虚拟机访问方法、装置、电子设备和存储介质
Cui Comparison of IoT application layer protocols

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11867029

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11867029

Country of ref document: EP

Kind code of ref document: A1