WO2017124837A1 - 一种sslvpn的代理方法、服务器以及客户端及其处理方法 - Google Patents

一种sslvpn的代理方法、服务器以及客户端及其处理方法 Download PDF

Info

Publication number
WO2017124837A1
WO2017124837A1 PCT/CN2016/107738 CN2016107738W WO2017124837A1 WO 2017124837 A1 WO2017124837 A1 WO 2017124837A1 CN 2016107738 W CN2016107738 W CN 2016107738W WO 2017124837 A1 WO2017124837 A1 WO 2017124837A1
Authority
WO
WIPO (PCT)
Prior art keywords
server
client
destination server
proxy
sslvpn
Prior art date
Application number
PCT/CN2016/107738
Other languages
English (en)
French (fr)
Inventor
朱磊
Original Assignee
深圳前海达闼云端智能科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 深圳前海达闼云端智能科技有限公司 filed Critical 深圳前海达闼云端智能科技有限公司
Publication of WO2017124837A1 publication Critical patent/WO2017124837A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses

Definitions

  • the present invention relates to the technical field of the SSL Socket Layer Virtual Private Network (SSL), and particularly relates to a proxy method, a server, a client, and a processing method thereof.
  • SSL Socket Layer Virtual Private Network
  • the general service port 443 or 1194 is used.
  • IP Internet Protocol
  • a general SSLVPN protocol for destination address identification is proposed, and a general SSL VPN proxy server based on TCP is implemented.
  • the user's access is directed to the nearest TCP proxy server through a DNS (Domain Name System) server.
  • DNS Domain Name System
  • the TCP proxy server listens to specific sockets (IP address + Port) to accept access requests from the user (usually port 443 or port 1194), and establish a connection with the source server using the socket of the pre-configured source station, and send the SSLVPN request to the source server as TCP data.
  • the response from the source station server is forwarded to the user, and no analysis is performed locally.
  • the TCP port of the TCP proxy server can only serve one SSLVPN channel. If there is a need to serve multiple channels, a conflict will occur. If you need to serve multiple source stations, you need to solve the problem by adding IP. That is, IP1: 443 serves one channel, and IP2: 443 serves another channel.
  • FIG. 1 shows the traditional SSLVPN generation
  • the architecture as shown in the figure, to distinguish between two different channels, you need to use two different IPs, channel 1 resolves to IP1, and channel 2 resolves to IP2.
  • the SSLVPN proxy in the prior art is basically located at the TCP layer or the IP layer. Basically, it is differentiated by adding IP or changing ports.
  • the embodiment of the present application provides an SSL VPN proxy method, a server, a client, and a processing method thereof, which are mainly used to reduce the consumption of IP resources.
  • an embodiment of the present application provides a proxy method for SSLVPN, including:
  • proxy session identifier generating module configured to generate proxy session identifier information
  • a parsing module configured to parse the packet sent by the client to obtain an address of the destination server
  • a client connection module configured to establish a connection with the client according to the proxy session identification information
  • a server connection module configured to establish a connection with the SSLVPN destination server, and replace the server session identifier in the packet from the destination server received in the connection phase with the destination server with the proxy session The identity is sent to the client.
  • SLVPN proxy server including:
  • Transceiver unit for data transmission and reception
  • a storage medium for storing a program
  • a processor for executing the SSLVPN proxy method described above in accordance with a program of the storage medium.
  • an embodiment of the present application provides a method for processing an SSL VPN client, including:
  • the information of the destination server is written into the SSL/TLS protocol packet, and the packet is sent to the SSLVPN proxy server.
  • An information obtaining module configured to obtain information of a server end of the SSLVPN destination
  • the sending module is configured to write the information of the destination server to the SSL/TLS protocol packet, and send the packet to the SSLVPN proxy server.
  • an SSLVPN client including:
  • Transceiver unit for data transmission and reception
  • a storage medium for storing a program
  • a processor configured to execute the SSLVPN client processing method described above according to the program of the storage medium.
  • the proxy server of the SSL VPN is added with the client and the destination server to perform the information processing of the OPENVPN connection phase, so that the SSLVPN proxy server can use the same IP address and each for the client corresponding to the multiple source stations.
  • the client establishes a connection.
  • the server address can be distinguished to determine which server the server sends to. This eliminates the need to distinguish between clients of different source stations by IP address. Therefore, in the prior art, the TCP port of the TCP proxy server can only serve one SSLVPN channel. If multiple channels need to be served, conflicts may occur. If multiple source stations need to be served, the IP address needs to be increased. Solve the problem, thus reducing the consumption of IP resources.
  • FIG. 1 shows a schematic diagram of a conventional SSLVPN proxy architecture
  • FIG. 2 shows a schematic diagram of the processing flow of SSLVPN without a proxy
  • FIG. 3 is a schematic diagram showing a process flow of an SSL VPN using a general SSL VPN proxy server in the embodiment of the present application
  • FIG. 4 is a schematic flowchart of a proxy method of an SSLVPN proxy server in an embodiment of the present application
  • FIG. 5 is a schematic flowchart of a method for processing an SSL VPN client in an embodiment of the present application
  • FIG. 6 is a schematic diagram of an SSLVPN proxy architecture in the embodiment of the present application.
  • FIG. 7 is a schematic structural diagram of a proxy server of an SSL VPN in the embodiment of the present application.
  • FIG. 8 is a schematic structural diagram of a client of an SSLVPN in the embodiment of the present application.
  • FIG. 9 is a schematic structural diagram of a specific SSLVPN client in the embodiment of the present application.
  • FIG. 10 is a schematic structural diagram of an SSLVPN proxy server in an embodiment of the present application.
  • FIG. 11 is a schematic structural diagram of an SSLVPN client in the embodiment of the present application.
  • the premise of the SSL-based SSLVPN proxy server is that there is no certificate.
  • the so-called certificate-free means that the source station does not put the SSL certificate and private key on the proxy server, so the proxy server does not have the function of parsing the SSL protocol, that is, the client access. The content is still encrypted and security is guaranteed.
  • the proxy server acts as a middleman and forwards TCP packets from the TCP layer.
  • the SSLVPN client (client) and the server (server) first establish a TCP connection, and after the TCP establishes a connection, OPENVPN establishes a connection, mainly by the client.
  • P_CONTROL_HEAD_RESET_CLIENT_V2 the server sends "P_CONTROL_HEAD_RESET_SERVER”.
  • the client and the server each generate a CSID (Client Session Identifier) and an SSID (Server Session Identifier), that is, a random session number.
  • OPENVPN After OPENVPN establishes a connection, it enters the SSL connection establishment phase.
  • SSL establishes the connection phase to follow normal SSL/TLS (Transport Layer Security Protocol) process.
  • the main process is to send a client Hello to the client to establish a connection with the server.
  • the field is plain text.
  • the server After receiving the server, the server sends a Hello and a certificate. After the certificate and the key are verified, an encrypted private channel network (Virtual Private Network) can be negotiated. The interaction data between the client and the server can be transmitted through the encrypted channel.
  • VPN Transaction Layer Security Protocol
  • SSLVPN is based on the public Internet, it is affected by various network factors, and its stability and speed are affected. If you use ADN to accelerate the network, you can clearly solve the problem of access speed and stability. However, the existing TCP proxy method seriously wastes IP resources (as described above), so the present invention solves the above problem with a general SSL VPN proxy server.
  • the present invention mainly needs to solve two problems: 1. How to identify the destination problem from different VPN clients; 2. How to trust the VPN proxy by the SSLVPN client and the server, that is, to solve the SID (session) Identification) problem.
  • the SNI (Server Name Indication) extension field in the SSL/TLS protocol is a common mode.
  • the visited destination domain name is inserted in the plaintext packet of the Client Hello.
  • sslvpn.test.com Different access destination addresses have different SNI fields and are plaintext fields.
  • this SNI field is not utilized in the SSLVPN protocol.
  • the invention utilizes the SNI field to perform the identifier of the destination address selection when the SSLVPN passes through the proxy server, and inserts the SNI field on the client, which may be as follows:
  • connection establishment phase of SSL/TLS is after the OPENVPN establishes a connection, that is, if the proxy server does not know the destination address, the OPENVPN establishment connection is unsuccessful. It is even more impossible to make subsequent SSL connection establishments. Therefore, in order to solve the problem that OPENVPN can not establish a connection, a method is proposed to solve the problem 2;
  • the client and the server each generate the CSID and the SSID, and the OPENVPN performs the three-way handshake, the VPNPROXY server and the client perform OPENVPN to establish a connection and generate a Proxy Session.
  • ID referred to as PSID (proxy session identifier)
  • PSID proxy session identifier
  • the PSID can be randomly generated, or can be generated according to actual needs according to different algorithms, and the connection is established with the client through the PSID instead of the SSID.
  • the client After the client establishes an OPENVPN connection with the VPN proxy, the client sends a plain text field of the client Hello to establish an SSL connection.
  • the proxy server analyzes the client Hello packet by parsing the SNI field and parsing the SNI field. Perform DNS resolution and other operations to obtain the destination IP address. In this way, the proxy server can establish a connection with the real server, and after the TCP establishes the connection, the VPN proxy Use the CSID to establish a connection with the server side for OPENVPN.
  • the real server will send the real SSID to the VPN proxy server. If the SSID is sent directly to the client, the client's authentication will fail and the connection will be disconnected. Therefore, another important function of the VPN proxy server is to replace the SSID of all the packets in the connection establishment phase of the OPENVPN from the server into the PSID and then send it to the client. Subsequent VPN proxy servers will continue to forward TCP data packets without decrypting the data packets. This solves the problem of the generic SSLVPN proxy server.
  • Step 101 Generate a PSID, and establish a connection with the client according to the PSID for OPENVPN.
  • Step 102 Parsing the packet sent by the client to obtain an address of the destination server.
  • Step 103 Perform a TCP connection with the destination server according to the address of the destination server.
  • Step 104 Establish an OPENVPN connection with the destination server according to the CSID obtained from the client, and replace the SSID in all the packets received from the destination server in the OPENVPN connection establishment phase with the destination server.
  • the PSID is sent to the client.
  • the step 102 of parsing the packet sent by the client to obtain the address of the destination server includes:
  • SNI is parsed from the hello packet sent by the client, and the SNI carries the information of the destination server;
  • Step 201 Obtain information about the destination server.
  • Step 202 Write the information of the destination server to the SSL/TLS protocol packet, and send the packet to the SSLVPN proxy server.
  • the sending the information of the destination server to the proxy server in the step 202 includes: writing the information of the destination server to the SNI field in the client hello message and sending the information to the proxy server.
  • the SSLVPN proxy architecture in the embodiment of the present application is as shown in FIG. 6.
  • SSLVPN client 1 accesses the SSLVPN proxy server, and carries the SNI in the Client Hello packet;
  • the SSLVPN proxy server identifies and parses the SNI, obtains the SSLVPN server domain name, and queries the local DNS server.
  • the local DNS server returns the IP address of the SSLVPN server.
  • the SSLVPN proxy server uses this IP address to establish a connection with the SSLVPN server and complete the communication.
  • an embodiment of the SSLVPN proxy server is also provided in the embodiment of the present application. Since the principle of solving the problem of these devices is similar to the proxy method of the SSLVPN, the implementation of these devices can be referred to the implementation of the method, and the repetition is performed. No longer.
  • the proxy server of the SSLVPN in the embodiment of the present application includes:
  • a parsing module configured to parse the packet sent by the client to obtain an address of the destination server
  • a client connection module configured to establish a connection with the client according to the proxy session identification information
  • a server connection module configured to establish a connection with the SSLVPN destination server, and convert the server session identifier in the packet received by the destination server from the destination server to the client, and then send the identifier to the client end.
  • the proxy server may include the following modules:
  • the first OPENVPN module 702 is configured to establish an OPENVPN connection with the client according to the PSID.
  • the parsing module 703 is configured to parse the packet sent by the client to obtain an address of the destination server.
  • the TCP module 704 is configured to establish a connection with the destination server by using a transmission control protocol (TCP) according to the address of the destination server.
  • TCP transmission control protocol
  • a second OPENVPN module 705, configured to determine, according to a client session identifier obtained from the client
  • the CSID establishes a connection with the destination server for OPENVPN, and replaces the server session identifier SSID in all the packets from the destination server received in the OPENVPN connection establishment phase with the destination server to the PSID. Sent to the client.
  • parsing module 703 parses the address of the destination server of the packet sent by the client, including:
  • proxy session identifier generating module 701 can be configured to randomly generate the PSID.
  • an SSL VPN client is also provided in the embodiment of the present application. Since the principle of solving the problem of these devices is similar to the client processing method of the SSL VPN, the implementation of the devices can be implemented by referring to the method. It will not be repeated here.
  • the client of the SSLVPN in the embodiment of the present application includes:
  • the information obtaining module 801 is configured to obtain information about the destination server.
  • the sending module 802 is configured to write the information of the destination server to the SSL/TLS protocol packet, and send the packet to the SSLVPN proxy server.
  • the client of the SSLVPN in the embodiment of the present application is as shown in FIG. 9, and the sending module 802 includes:
  • the information writing unit 901 is configured to write the information of the destination server to the server name indication SNI field in the hello message;
  • the sending unit 902 is configured to send the client hello message to the SSLVPN proxy server.
  • the present application can take the form of an entirely hardware embodiment, an entirely software embodiment, or an embodiment in combination of software and hardware.
  • the application may employ computer-usable storage media (including but not limited to disk) in one or more of the computer-usable program code embodied therein.
  • the form of a computer program product implemented on a memory, CD-ROM, optical memory, or the like.
  • an embodiment of the present application further provides an SSLVPN proxy server 1000, as shown in FIG. 10, including: a transceiver unit 1001 for data transceiving; a storage medium 1003 for storing a program; and a processor 1005,
  • the SSLVPN proxy method described above is executed in accordance with a program of the storage medium 1003.
  • the embodiment of the present application further provides an SSLVPN client 1100, as shown in FIG. 11, comprising: a transceiver unit 1101 for data transceiving; a storage medium 1103 for storing a program; and a processor 1105 for using the storage medium
  • the program of 1103 performs the SSLVPN client processing method described above.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请实施例提出了一种SSLVPN的代理方法、服务器以及客户端及其处理方法，用于减少IP资源的消耗。本发明中，代理服务器生成PSID，根据PSID与客户端进行OPENVPN建立连接；解析客户端发送的报文获取目的服务器端的地址，其中报文中包含服务器的IP地址信息；根据目的服务器端的地址与目的服务器进行TCP建立连接；根据从客户端获得的CSID与目的服务器端进行OPENVPN建立连接，并将在与目的服务器端进行OPENVPN建立连接阶段接收到的来自目的服务器端的全部报文中的SSID替换成PSID后发送给客户端。由于增加SSLVPN的代理服务器与客户端以及目的服务器端进行OPENVPN建立连接阶段的信息处理，从而减少了IP资源的消耗。

Description

一种SSLVPN的代理方法、服务器以及客户端及其处理方法 技术领域
本申请涉及SSLVPN(Security Socket Layer Virtual Private Network,安全套接层虚拟专用网络)技术领域，尤其涉及一种SSLVPN的代理方法、服务器以及客户端及其处理方法。
背景技术
目前，互联网及ADN(Application Delivery Networking,应用分发网络)领域，尤其在SSLVPN动态内容传输加速方面，在TCP(Transmission Control Protocol，传输控制协议)代理转发的方法中，在使用通用服务端口443或者1194的情况下，需要增加IP(Internet Protocol，因特网协议)进行区分不同SSLVPN目的地址的问题，提出了一种通用的SSLVPN协议解析目的地址识别的方法，实现了基于TCP的通用的SSLVPN代理服务器。
在ADN领域中，针对一个频道的SSLVPN请求，通过DNS(Domain Name System，域名系统)服务器将用户的访问引导到最近的TCP代理服务器上，TCP代理服务器通过监听特定的套接字(IP地址+端口)来接受来自用户的访问请求(通常为443或者1194端口)，并使用预先配置好的源站的套接字与源站服务器建立连接，将SSLVPN请求以TCP数据的形式发给源站服务器，同时将来自源站服务器的响应转发给用户，而在本地不做分析。
TCP代理服务器的一个IP的443端口只能服务一个SSLVPN频道，如果需要服务多个频道的话就会出现冲突。如果需要服务多个源站的时候就需要通过增加IP的方式进行解决，即IP1：443服务一个频道，IP2：443服务另外一个频道。
现有技术中无疑对IP资源的消耗非常严重。尽管可以做到多个SSLVPN频道的转发，但是限制了SSLVPN服务频道个数。图1示出了传统SSLVPN代 理架构，如图所示，要区分两个不同的频道，需要使用两个不同的IP，频道1解析到IP1上，频道2解析到IP2上。从而做到SSLVPN代理转发的功能。现有技术中的SSLVPN代理基本都是位于TCP层或者IP层的。基本都是通过增加IP或者更换端口的方式进行区分。还未有基于一个IP：PORT(端口)的通用的SSLVPN代理服务器。
发明内容
本申请实施例提出了一种SSLVPN的代理方法、服务器以及客户端及其处理方法，主要用于减少IP资源的消耗。
在一个方面，本申请实施例提供了一种SSLVPN的代理方法，包括：
生成代理会话标识，根据所述代理会话标识与客户端建立连接；
解析所述客户端发送的报文，获取目的服务器端的地址，其中所述客户端发送的报文中包含服务器的IP地址信息；
与所述SSLVPN目的服务器端建立连接，并将与所述目的服务器端建立连接阶段接收到的来自所述目的服务器端的报文中的服务器会话标识，替换为所述代理会话标识后发送给所述客户端。
并提供了与上述代理方法对应的一种SSLVPN的代理服务器包括：
代理会话标识生成模块，用于生成代理会话标识信息；
解析模块，用于解析所述客户端发送的报文获取目的服务器端的地址；
客户端连接模块，用于根据所述代理会话标识信息与客户端建立连接；
服务器连接模块，用于与所述SSLVPN目的服务器端建立连接，并将与所述目的服务器端建立连接阶段接收到的来自所述目的服务器端的报文中的服务器会话标识，替换为所述代理会话标识后发送给所述客户端。
以及一种SLVPN代理服务器，包括：
收发单元，用于数据收发；
存储介质，用于存储程序；
处理器，用于依照所述存储介质的程序执行上文所述的SSLVPN代理方法。
在另一个方面，本申请实施例提供了一种SSLVPN客户端处理方法，包括：
获得SSLVPN目的服务器端的信息；
将所述目的服务器端的信息写入SSL/TLS协议报文中，并将所述报文发送给SSLVPN代理服务器。
并提供了与上述客户端处理方法对应的SSLVPN客户端，包括：
信息获取模块，用于获得SSLVPN目的服务器端的信息；
发送模块，用于将所述目的服务器端的信息写入SSL/TLS协议报文中，并将所述报文发送给SSLVPN代理服务器。
以及一种SSLVPN客户端，包括：
收发单元，用于数据收发；
存储介质，用于存储程序；
处理器，用于依照所述存储介质的程序执行上文所述的SSLVPN客户端处理方法。
有益效果如下：
在本发明实施例中，增加SSLVPN的代理服务器与客户端以及目的服务器端进行OPENVPN建立连接阶段的信息处理，这样对于多个源站对应的客户端，SSLVPN的代理服务器可以使用同一IP地址与各个客户端建立连接，对于各个客户端接收到的报文，可以通过服务器地址进行区分，从而确定服务器发送至哪个服务器。这样就无需通过IP地址对不同源站的客户端进行区分。从而避免了现有技术中TCP代理服务器一个IP的443端口只能服务一个SSLVPN频道，如果需要服务多个频道的话就会出现冲突，如果需要服务多个源站的时候就需要通过增加IP的方式进行解决的问题，从而减少了IP资源的消耗。
附图说明
下面将参照附图描述本申请的具体实施例，其中：
图1示出了传统SSLVPN代理架构示意图；
图2示出了在没有代理的情况下SSLVPN的处理流程示意图；
图3示出了本申请实施例中采用了通用的SSLVPN代理服务器的SSLVPN的处理流程示意图；
图4示出了本申请实施例中SSLVPN代理服务器的代理方法流程示意图；
图5示出了本申请实施例中SSLVPN客户端处理方法流程示意图；
图6示出了本申请实施例中的SSLVPN代理架构示意图；
图7示出了本申请实施例中的SSLVPN的代理服务器的结构示意图；
图8示出了本申请实施例中SSLVPN的客户端的结构示意图；
图9示出了本申请实施例中一个具体的SSLVPN的客户端的结构示意图；
图10示出了本申请实施例中一种SSLVPN代理服务器的结构示意图；
图11示出了本申请实施例中一种SSLVPN客户端的结构示意图。
具体实施方式
为了使本申请的技术方案及优点更加清楚明白，以下结合附图对本申请的示例性实施例进行进一步详细的说明，显然，所描述的实施例仅是本申请的一部分实施例，而不是所有实施例的穷举。并且在不冲突的情况下，本说明书中的实施例及实施例中的特征可以互相结合。
基于TCP的SSLVPN代理服务器的前提是无证书，所谓无证书指的是源站不将SSL的证书及私钥放在代理服务器上，这样代理服务器不具备对SSL协议解析的功能，即客户端的访问内容依然是加密的，安全性可以保证。代理服务器作为中间人的角色，从TCP的层面进行TCP包的转发。
在没有代理的情况下，如图2所示，根据SSLVPN的原理，SSLVPN Client(客户)端与Server(服务器)端首先进行TCP建立连接，TCP建立连接后进行OPENVPN建立连接，主要是客户端发送“P_CONTROL_HEAD_RESET_CLIENT_V2”,服务器端发送“P_CONTROL_HEAD_RESET_SERVER”。客户端与服务端各自生成CSID(客户端会话标识)和SSID(服务器会话标识),即一个随机的会话号。OPENVPN建立连接之后即进入SSL建立连接阶段。SSL建立连接阶段遵循正常的SSL/TLS (Transport Layer Security Protocol，安全传输层协议)流程。主要流程为客户端发送Client Hello与服务器端进行建立连接,该字段为明文。服务器端接收到之后发送Server Hello及证书等流程。在验证证书及秘钥通过后即可协商一个加密通道VPN(Virtual Private Network,虚拟专用网络)。客户端与服务端的交互数据即可通过该加密通道进行传输。
但是由于SSLVPN位于公共互联网基础之上，受到各种网络因素的影响，稳定性及速度均受到影响。如果使用ADN加速网络的话，可以明显的解决访问速度及稳定性的问题。但是现有的TCP代理的方式严重浪费IP资源(如前文所述)，故本发明用一个通用的SSLVPN代理服务器来解决以上问题。
为解决IP资源浪费的问题，本发明主要需解决两个问题：1、如何识别是来自不同的VPN客户端的目的地问题；2、SSLVPN客户端及服务器端如何信任VPN代理，即解决SID(会话标识)的问题。
1、针对问题1，SSL/TLS协议中SNI(Server Name Indication，服务器名称指示)扩展字段为通用的方式，在通用的HTTPS协议中，在Client Hello的明文包中即插入了访问的去向域名。例如sslvpn.test.com.不同的访问目的地址该SNI字段不同，且为明文字段。但是在SSLVPN协议中均未利用该SNI字段。本发明利用这个SNI字段进行SSLVPN经过代理服务器时的目的地址选择的标识，在客户端插入了SNI字段,具体可以如下：
Figure PCTCN2016107738-appb-000001
Figure PCTCN2016107738-appb-000002
但是，SSL/TLS的建立连接阶段是位于OPENVPN建立连接之后的，即如果代理服务器不知道目的地址的话，OPENVPN建立连接是不成功的。更无法进行后续的SSL建立连接。所以为了解决OPENVPN建立连接不通的问题，提出方法解决问题2；
2、如图3所示，由于OPENVPN建立连接阶段，客户端与服务器端各自生成CSID与SSID,且OPENVPN进行三次握手的时候，VPNPROXY代服务器端与客户端进行OPENVPN进行建立连接，生成一个Proxy Session ID,简称PSID(代理会话标识)，该PSID可随机生成，也可根据实际需要按不同算法生成，通过PSID代替SSID与客户端进行建立连接。在客户端与VPN代理建立OPENVPN连接之后，客户端会发送Client Hello的明文字段进行SSL建立连接，由于携带了SNI字段，代理服务器对Client Hello报文进行协议解析，解析出SNI字段，并对SNI进行DNS解析等操作，获取到目的IP地址。这样代理服务器就可以与真正的服务器端进行TCP建立连接，TCP建立连接之后，VPN代理再 使用CSID与服务器端进行OPENVPN建立连接。注意此时真正的服务器会发送真正的SSID给VPN代理服务器，如果直接将SSID发给客户端的话会导致客户端的验证失败，导致连接断开。所以VPN代理服务器的另外一个重要的功能就是需要将来自服务器的OPENVPN的建立连接阶段的所有报文的SSID替换成为PSID后再发给客户端。后续VPN代理服务器将继续做TCP数据报文的转发，而无需解密数据包。这样便解决了通用的SSLVPN代理服务器的问题。
从SSLVPN代理服务器的角度，其代理方法如图4所示，包括：
步骤101，生成PSID，根据该PSID与客户端进行OPENVPN建立连接；
步骤102，解析该客户端发送的报文获取目的服务器端的地址；
步骤103，根据该目的服务器端的地址与该目的服务器进行TCP建立连接；
步骤104，根据从该客户端获得的CSID与该目的服务器端进行OPENVPN建立连接，并将在与该目的服务器端进行OPENVPN建立连接阶段接收到的来自该目的服务器端的全部报文中的SSID替换成该PSID后发送给该客户端。
上述流程中步骤102解析所述客户端发送的报文获取目的服务器端的地址包括：
从该客户端发送的hello报文中解析出SNI,该SNI携该目的服务器端的信息；
根据该SNI携带的该目的服务器端的信息获取所述目的服务器端的地址。
从SSLVPN客户端的角度，其客户端处理方法如图5所示，包括：
步骤201，获得目的服务器端的信息；
步骤202，将所述目的服务器端的信息写入SSL/TLS协议报文中，并将所述报文发送给SSLVPN代理服务器。
具体地，该步骤202中将所述目的服务器端的信息发送给代理服务器包括：将该目的服务器端的信息写入客户端hello报文中的SNI字段并发送给该代理服务器。
本申请实施例中的SSLVPN代理架构如图6所示。
其中的流程编号简述如下
编号1、SSLVPN客户端1访问SSLVPN代理服务器，并在Client Hello包中携带SNI；
编号2、SSLVPN代理服务器识别并解析SNI，获取SSLVPN server域名，并查询本地DNS服务器；
编号3、本地DNS服务器返回SSLVPN服务器的IP地址；
编号4、SSLVPN代理服务器使用该IP地址与SSLVPN服务器建立连接，并完成通信。
基于同一发明构思，本申请实施例中还提供了一种SSLVPN的代理服务器，由于这些设备解决问题的原理与一种SSLVPN的代理方法相似，因此这些设备的实施可以参见方法的实施，重复之处不再赘述。
如图7所示，本申请实施例中的SSLVPN的代理服务器包括：
解析模块，用于解析所述客户端发送的报文获取目的服务器端的地址；
客户端连接模块，用于根据所述代理会话标识信息与客户端建立连接；
服务器连接模块，用于与所述SSLVPN目的服务器端建立连接，并将与所述目的服务器端建立连接阶段接收到的来自所述目的服务器端的报文中的服务器会话标识转换后发送给所述客户端。
作为一个实施例，代理服务器可以包括下述模块：
代理会话标识生成模块701，用于生成代理会话标识PSID；
第一OPENVPN模块702，用于根据所述PSID与客户端进行OPENVPN建立连接；
解析模块703，用于解析所述客户端发送的报文获取目的服务器端的地址；
TCP模块704，用于根据所述目的服务器端的地址与所述目的服务器进行传输控制协议TCP建立连接；
第二OPENVPN模块705，用于根据从所述客户端获得的客户端会话标识 CSID与所述目的服务器端进行OPENVPN建立连接，并将在与所述目的服务器端进行OPENVPN建立连接阶段接收到的来自所述目的服务器端的全部报文中的服务器会话标识SSID替换成所述PSID后发送给所述客户端。
进一步地，解析模块703解析所述客户端发送的报文获取目的服务器端的地址包括：
从所述客户端发送的hello报文中解析出服务器名称指示SNI,所述SNI携带所述目的服务器端的信息；
根据所述SNI携带的所述目的服务器端的信息获取所述目的服务器端的地址。
并且，代理会话标识生成模块701可以用于随机生成所述PSID。
基于同一发明构思，本申请实施例中还提供了一种SSLVPN的客户端，由于这些设备解决问题的原理与一种SSLVPN的客户端处理方法相似，因此这些设备的实施可以参见方法的实施，重复之处不再赘述。
如图8所示，本申请实施例中的SSLVPN的客户端，包括：
信息获取模块801，用于获得目的服务器端的信息；
发送模块802，用于将所述目的服务器端的信息写入SSL/TLS协议报文中，并将所述报文发送给SSLVPN代理服务器。
具体地，本申请实施例中的SSLVPN的客户端如图9所示，所述发送模块802包括：
信息写入单元901，用于将所述目的服务器端的信息写入hello报文中的服务器名称指示SNI字段；
发送单元902，用于将所述客户端hello报文发送给SSLVPN代理服务器。本领域内的技术人员应明白，本申请的实施例可提供为方法、装置、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘 存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
基于同一发明构思，本申请实施例中还提供了一种SSLVPN代理服务器1000，如图10所示，包括：收发单元1001，用于数据收发；存储介质1003，用于存储程序；处理器1005，用于依照存储介质1003的程序执行上文所述的SSLVPN代理方法。
此外，本申请实施例还提供一种SSLVPN客户端1100，如图11所示，包括：收发单元1101，用于数据收发；存储介质1103，用于存储程序；处理器1105，用于依照存储介质1103的程序执行上文所述的SSLVPN客户端处理方法。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

Claims (19)

  1. 一种SSLVPN代理方法，其特征在于，包括：
    生成代理会话标识，根据所述代理会话标识与客户端建立连接；
    解析所述客户端发送的报文，获取目的服务器端的IP地址；其中，所述客户端发送的报文中包含服务器的IP地址信息；
    与所述SSLVPN目的服务器端建立连接，并将与所述目的服务器端建立连接阶段接收到的来自所述目的服务器端的报文中的服务器会话标识，替换为所述代理会话标识后发送给所述客户端。
  2. 如权利要求1所述的方法，其特征在于，根据所述代理会话标识信息与客户端建立连接，包括：
    所述生成代理会话标识为PSID，根据所述PSID与客户端进行OPENVPN建立连接。
  3. 如权利要求1所述的方法，其特征在于，所述解析所述客户端发送的报文，获取目的服务器端的地址,包括：
    从所述客户端发送的hello报文中解析出服务器名称指示SNI,所述SNI携带所述目的服务器端的信息；
    根据所述SNI携带的所述目的服务器端的信息获取所述目的服务器端的地址。
  4. 如权利要求1或3所述的方法，其特征在于，所述与所述目的服务器端建立连接，包括：
    根据所述目的服务器端的地址与所述目的服务器进行传输控制协议TCP建立连接；
    根据从所述客户端获得的客户端会话标识CSID与所述目的服务器端进行OPENVPN建立连接。
  5. 如权利要求2所述的方法，其特征在于，将与所述目的服务器端建立连接阶段接收到的来自所述目的服务器端的报文中的服务器会话标识，替换为所述代理会话标识后发送给所述客户端，包括：
    将与所述目的服务器端进行OPENVPN建立连接阶段，接收到的来自所述目的服务器端的全部报文中的服务器会话标识SSID替换成所述PSID后发送给所述客户端。
  6. 如权利要求2所述的方法，其特征在于，所述生成PSID包括：
    随机生成PSID,或根据算法生成PSID。
  7. 一种SSLVPN客户端处理方法，其特征在于，包括：
    获得目的服务器端的地址信息；
    将所述目的服务器端的信息写入SSL/TLS协议报文中，并将所述报文发送给SSLVPN代理服务器。
  8. 如权利要求7所述的方法，其特征在于，所述将所述目的服务器端的地址信息写入SSL/TLS协议报文中，包括：
    将所述目的服务器端的信息写入hello报文中的服务器名称指示SNI字段。
  9. 一种SSLVPN代理服务器，其特征在于，包括：
    代理会话标识生成模块，用于生成代理会话标识信息；
    解析模块，用于解析所述客户端发送的报文获取目的服务器端的地址，其中，所述客户端发送的报文中包含服务器的IP地址信息；
    客户端连接模块，用于根据所述代理会话标识信息与客户端建立连接；
    服务器连接模块，用于与所述SSLVPN目的服务器端建立连接，并将与所述目的服务器端建立连接阶段接收到的来自所述目的服务器端的报文中的服务器会话标识，替换为所述代理会话标识后发送给所述客户端。
  10. 如权利要求9所述的服务器，其特征在于，所述代理会话标识生成 模块，生成的代理会话标识信息，包括：PSID。
  11. 如权利要求10所述的服务器，其特征在于，所述客户端连接模块，包括：
    第一OPENVPN模块，用于根据所述PSID与客户端进行OPENVPN建立连接。
  12. 如权利要求9所述的服务器，其特征在于，所述解析模块，解析所述客户端发送的报文获取目的服务器端的地址，包括：
    从所述客户端发送的hello报文中解析出服务器名称指示SNI,所述SNI携带所述目的服务器端的信息；
    根据所述SNI携带的所述目的服务器端的信息获取所述目的服务器端的地址。
  13. 如权利要求9所述的服务器，其特征在于，所述服务器连接模块，包括：
    TCP模块，用于根据所述目的服务器端的地址与所述目的服务器进行传输控制协议TCP建立连接；
    第二OPENVPN模块，用于根据从所述客户端获得的客户端会话标识CSID与所述目的服务器端进行OPENVPN建立连接。
  14. 如权利要求13所述的服务器，其特征在于，所述第二OPENVPN模块，还用于：
    将与所述目的服务器端进行OPENVPN建立连接阶段，接收到的来自所述目的服务器端的全部报文中的服务器会话标识SSID替换成所述PSID后发送给所述客户端。
  15. 如权利要求9所述的代理服务器，其特征在于，所述代理会话标识生成模块生成代理会话标识信息，包括：随机生成所述PSID，或根据算法生成PSID。
  16. 一种SSLVPN客户端，其特征在于，包括：
    信息获取模块，用于获得SSLVPN目的服务器端的信息；
    发送模块，用于将所述目的服务器端的信息写入SSL/TLS协议报文中，并将所述报文发送给SSLVPN代理服务器。
  17. 如权利要求16所述的客户端，其特征在于，所述发送模块包括：
    信息写入单元，用于将所述目的服务器端的信息写入hello报文中的服务器名称指示SNI字段；发送单元，用于将所述客户端hello报文发送给所述代理服务器。
  18. 一种SSLVPN代理服务器，其特征在于，包括：
    收发单元，用于数据收发；
    存储介质，用于存储程序；
    处理器，用于依照所述存储介质的程序执行如权利要求1至6任意一项所述的SSLVPN代理方法。
  19. 一种SSLVPN客户端，其特征在于，包括：
    收发单元，用于数据收发；
    存储介质，用于存储程序；
    处理器，用于依照所述存储介质的程序执行如权利要求7或8所述的SSLVPN客户端处理方法。
PCT/CN2016/107738 2016-01-19 2016-11-29 一种sslvpn的代理方法、服务器以及客户端及其处理方法 WO2017124837A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201610034241.7A CN105634904B (zh) 2016-01-19 2016-01-19 一种sslvpn的代理方法、服务器以及客户端及其处理方法
CN201610034241.7 2016-01-19

Publications (1)

Publication Number Publication Date
WO2017124837A1 true WO2017124837A1 (zh) 2017-07-27

Family

ID=56049433

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/107738 WO2017124837A1 (zh) 2016-01-19 2016-11-29 一种sslvpn的代理方法、服务器以及客户端及其处理方法

Country Status (2)

Country Link
CN (1) CN105634904B (zh)
WO (1) WO2017124837A1 (zh)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111488729A (zh) * 2020-04-28 2020-08-04 山东浪潮通软信息科技有限公司 数据处理系统及方法
CN112054994A (zh) * 2020-08-04 2020-12-08 上海人云科技有限公司 机器人访问地址加密方法、机器人访问方法和装置
CN112104614A (zh) * 2020-08-24 2020-12-18 广州江南科友科技股份有限公司 密码机可代理监控方法、装置、设备及存储介质
CN112153001A (zh) * 2020-08-21 2020-12-29 杭州安恒信息技术股份有限公司 基于waf的网络通信方法、系统、电子装置和存储介质
CN113726597A (zh) * 2021-08-18 2021-11-30 新华三信息安全技术有限公司 接入vpn的方法、装置、电子设备及介质
CN113726757A (zh) * 2021-08-24 2021-11-30 杭州迪普科技股份有限公司 Https协议客户端的验证方法及装置
CN114125071A (zh) * 2021-11-23 2022-03-01 北京人大金仓信息技术股份有限公司 数据压缩传输方法及装置
CN115021919A (zh) * 2022-06-30 2022-09-06 湖北天融信网络安全技术有限公司 Ssl协商方法、装置、设备及计算机可读存储介质
CN115361443A (zh) * 2022-08-16 2022-11-18 武汉思普崚技术有限公司 一种报文处理方法及系统
CN115396531A (zh) * 2022-08-23 2022-11-25 臻乐尔科技服务(上海)有限公司 一种tcp/udp代理的ip复用方法和系统
CN115499345A (zh) * 2022-09-22 2022-12-20 北京沃东天骏信息技术有限公司 数据测试方法、装置及存储介质、计算机产品

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105634904B (zh) * 2016-01-19 2019-02-19 深圳前海达闼云端智能科技有限公司 一种sslvpn的代理方法、服务器以及客户端及其处理方法
CN107231241A (zh) * 2016-03-24 2017-10-03 中国移动通信有限公司研究院 信息处理方法、网关及验证平台
CN108156224B (zh) * 2017-12-14 2020-11-13 格尔软件股份有限公司 基于tls协议sni机制实现自定义代理隧道协议的方法
CN111180031B (zh) * 2019-12-31 2023-07-28 贵州精准健康数据有限公司 数据管理系统及方法
CN111490985B (zh) * 2020-04-03 2022-02-25 成都安恒信息技术有限公司 一种ssl vpn多服务地址共享系统及共享方法
CN113556269B (zh) * 2021-07-29 2023-04-28 中国电力科学研究院有限公司 Sap客户端性能测试方法、系统、电子设备及存储介质
CN113905030B (zh) * 2021-09-30 2022-11-22 北京百度网讯科技有限公司 内外网通讯方法、装置、内网终端、代理服务器和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102948131A (zh) * 2010-04-21 2013-02-27 思杰系统有限公司 用于经由wan设备分离代理ssl的系统和方法
CN103139185A (zh) * 2011-12-02 2013-06-05 中科信息安全共性技术国家工程研究中心有限公司 一种实现安全反向代理服务的方法
US8572721B2 (en) * 2006-08-03 2013-10-29 Citrix Systems, Inc. Methods and systems for routing packets in a VPN-client-to-VPN-client connection via an SSL/VPN network appliance
CN104270379A (zh) * 2014-10-14 2015-01-07 北京蓝汛通信技术有限责任公司 基于传输控制协议的https 代理转发方法及装置
CN105634904A (zh) * 2016-01-19 2016-06-01 深圳前海达闼云端智能科技有限公司 一种sslvpn的代理方法、服务器以及客户端及其处理方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101132420B (zh) * 2007-10-16 2012-03-14 杭州华三通信技术有限公司 一种基于ssl vpn的链接改写方法和设备
US8117325B1 (en) * 2008-04-29 2012-02-14 Juniper Networks, Inc. Policy-based cross-domain access control for SSL VPN
CN101599901B (zh) * 2009-07-15 2011-06-08 杭州华三通信技术有限公司 远程接入mpls vpn的方法、系统和网关
CN102223365B (zh) * 2011-06-03 2014-02-12 杭州华三通信技术有限公司 基于ssl vpn网关集群的用户接入方法及其装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8572721B2 (en) * 2006-08-03 2013-10-29 Citrix Systems, Inc. Methods and systems for routing packets in a VPN-client-to-VPN-client connection via an SSL/VPN network appliance
CN102948131A (zh) * 2010-04-21 2013-02-27 思杰系统有限公司 用于经由wan设备分离代理ssl的系统和方法
CN103139185A (zh) * 2011-12-02 2013-06-05 中科信息安全共性技术国家工程研究中心有限公司 一种实现安全反向代理服务的方法
CN104270379A (zh) * 2014-10-14 2015-01-07 北京蓝汛通信技术有限责任公司 基于传输控制协议的https 代理转发方法及装置
CN105634904A (zh) * 2016-01-19 2016-06-01 深圳前海达闼云端智能科技有限公司 一种sslvpn的代理方法、服务器以及客户端及其处理方法

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111488729B (zh) * 2020-04-28 2023-10-13 浪潮通用软件有限公司 数据处理系统及方法
CN111488729A (zh) * 2020-04-28 2020-08-04 山东浪潮通软信息科技有限公司 数据处理系统及方法
CN112054994A (zh) * 2020-08-04 2020-12-08 上海人云科技有限公司 机器人访问地址加密方法、机器人访问方法和装置
CN112153001A (zh) * 2020-08-21 2020-12-29 杭州安恒信息技术股份有限公司 基于waf的网络通信方法、系统、电子装置和存储介质
CN112153001B (zh) * 2020-08-21 2023-06-23 杭州安恒信息技术股份有限公司 基于waf的网络通信方法、系统、电子装置和存储介质
CN112104614A (zh) * 2020-08-24 2020-12-18 广州江南科友科技股份有限公司 密码机可代理监控方法、装置、设备及存储介质
CN112104614B (zh) * 2020-08-24 2023-02-28 广州江南科友科技股份有限公司 密码机可代理监控方法、装置、设备及存储介质
CN113726597A (zh) * 2021-08-18 2021-11-30 新华三信息安全技术有限公司 接入vpn的方法、装置、电子设备及介质
CN113726757A (zh) * 2021-08-24 2021-11-30 杭州迪普科技股份有限公司 Https协议客户端的验证方法及装置
CN113726757B (zh) * 2021-08-24 2023-08-22 杭州迪普科技股份有限公司 Https协议客户端的验证方法及装置
CN114125071A (zh) * 2021-11-23 2022-03-01 北京人大金仓信息技术股份有限公司 数据压缩传输方法及装置
CN114125071B (zh) * 2021-11-23 2024-02-09 北京人大金仓信息技术股份有限公司 数据压缩传输方法及装置
CN115021919A (zh) * 2022-06-30 2022-09-06 湖北天融信网络安全技术有限公司 Ssl协商方法、装置、设备及计算机可读存储介质
CN115361443A (zh) * 2022-08-16 2022-11-18 武汉思普崚技术有限公司 一种报文处理方法及系统
CN115361443B (zh) * 2022-08-16 2023-06-20 武汉思普崚技术有限公司 一种报文处理方法及系统
CN115396531B (zh) * 2022-08-23 2023-10-17 臻乐尔科技服务(上海)有限公司 一种tcp/udp代理的ip复用方法和系统
CN115396531A (zh) * 2022-08-23 2022-11-25 臻乐尔科技服务(上海)有限公司 一种tcp/udp代理的ip复用方法和系统
CN115499345A (zh) * 2022-09-22 2022-12-20 北京沃东天骏信息技术有限公司 数据测试方法、装置及存储介质、计算机产品
CN115499345B (zh) * 2022-09-22 2024-05-17 北京沃东天骏信息技术有限公司 数据测试方法、装置及存储介质、计算机产品

Also Published As

Publication number Publication date
CN105634904B (zh) 2019-02-19
CN105634904A (zh) 2016-06-01

Similar Documents

Publication Publication Date Title
WO2017124837A1 (zh) 一种sslvpn的代理方法、服务器以及客户端及其处理方法
US10291651B1 (en) Unified secure socket layer decryption
US9628443B2 (en) Low latency server-side redirection of UDP-based transport protocols traversing a client-side NAT firewall
US8214635B2 (en) Transparent proxy of encrypted sessions
US9705852B2 (en) Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US9350711B2 (en) Data transmission method, system, and apparatus
CN104270379B (zh) 基于传输控制协议的https 代理转发方法及装置
US8549614B2 (en) Establishing internet protocol security sessions using the extensible messaging and presence protocol
US11539747B2 (en) Secure communication session resumption in a service function chain
EP3633949B1 (en) Method and system for performing ssl handshake
WO2019148562A1 (zh) 内容分发网络中握手请求的加速方法、设备及边缘节点
CN109936529B (zh) 一种安全通信的方法、装置和系统
WO2013173429A1 (en) Transport layer security traffic control using service name identification
WO2016050133A1 (zh) 一种认证凭证更替的方法及装置
US10931662B1 (en) Methods for ephemeral authentication screening and devices thereof
CN110971701B (zh) 物联网通信方法及装置
CN116233071A (zh) 一种客户端访问内网资源的方法和可读存储介质
CN110636083B (zh) 网络地址复用方法、装置、网络设备及存储介质
CN114186213A (zh) 基于联邦学习的数据传输方法及装置、设备和介质
CN117834708A (zh) 会话方法、装置、电子设备和存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16886097

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16886097

Country of ref document: EP

Kind code of ref document: A1