WO2018107943A1 - 一种网络访问控制方法、装置及系统 - Google Patents

一种网络访问控制方法、装置及系统 Download PDF

Info

Publication number
WO2018107943A1
WO2018107943A1 PCT/CN2017/112080 CN2017112080W WO2018107943A1 WO 2018107943 A1 WO2018107943 A1 WO 2018107943A1 CN 2017112080 W CN2017112080 W CN 2017112080W WO 2018107943 A1 WO2018107943 A1 WO 2018107943A1
Authority
WO
WIPO (PCT)
Prior art keywords
address information
network
control device
network access
proxy server
Prior art date
Application number
PCT/CN2017/112080
Other languages
English (en)
French (fr)
Inventor
潘林锋
罗根
Original Assignee
腾讯科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 腾讯科技（深圳）有限公司 filed Critical 腾讯科技（深圳）有限公司
Publication of WO2018107943A1 publication Critical patent/WO2018107943A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies

Definitions

  • the present invention relates to the field of data processing technologies, and in particular, to a network access control method, apparatus, and system.
  • employees of the company are prohibited from surfing the Internet during business hours to watch news, online shopping, playing games, etc., thereby improving the efficiency of employees.
  • employees are prohibited from using the network to leak confidential core documents and internal documents of the company, or to prevent it.
  • External malicious users invade the company's internal network and steal company secrets.
  • the enterprise network administrator A usually controls the access of the enterprise network by setting a black and white list at the network control device 1 (such as a switch, a router, a firewall, etc.) at the exit of the enterprise network.
  • the network control device 1 such as a switch, a router, a firewall, etc.
  • the black and white list usually includes various information such as user IP, domain name, and website address, and this information will follow the software operation (SAAS) service provider.
  • SAAS software operation
  • Server upgrades or maintenance often change. Once the network management personnel are not notified in time to reset the parameters of the network control device at the enterprise's network exit, or if the parameters are set incorrectly, the enterprise network cannot be accessed normally. It can be seen that the existing enterprise network control method is more troublesome, and the skill requirements of the enterprise network management personnel are relatively high.
  • the embodiment of the present invention provides a network access control method, device, and system, which can not only implement network control for enterprise employees, but also simplify setting of an enterprise network exit, and can reduce configuration.
  • the complexity reduces the probability of errors.
  • the embodiment of the present invention provides the following technical solutions:
  • the first aspect of the present application provides a network access control system, including: a client, a network control device, a proxy server, and a service server.
  • the client sends a network access request to the network control device, where the network access request includes: address information of the service server to be accessed and target address information, where the target address information is address information of a pre-configured proxy server;
  • the network control device determines whether the target address information belongs to the first whitelist, and if so, the network control device sends the network access request to a proxy server corresponding to the target address information, the first white
  • the list includes a list of address information of the proxy server that is allowed to access;
  • the proxy server determines whether the address information of the service server to be accessed belongs to the second white list, and if so, the proxy server sends the network access request to the service server to be accessed, the second white
  • the list includes a list of address information for the business servers that are allowed to access.
  • the second aspect of the present application provides a network access control method, including:
  • Network access request includes: address information of the service server to be accessed and target address information, where the target address information is address information of a pre-configured proxy server;
  • the network access request is an access request that the target address information belongs to the first white list, and the first white list includes a list of address information of the proxy server that is allowed to access;
  • the third aspect of the present application provides a network access control apparatus, including:
  • the first receiving module is configured to receive a network access request sent by the network control device, where the network access request includes: address information of the service server to be accessed and target address information, where the target address information is a pre-configured address of the proxy server information;
  • the network access request is an access request that the target address information belongs to the first white list, and the first white list includes a list of address information of the proxy server that is allowed to access;
  • a determining module configured to determine whether the address information of the service server to be accessed belongs to the second white The list, if it belongs, sends the network access request to the service server to be accessed, and the second white list includes a list of address information of the service server that is allowed to access.
  • a still further aspect of the present application provides a proxy server, including: a processor and a memory, where the program stores program instructions;
  • the method of the second aspect described above is performed when the processor executes the program instructions stored in the memory.
  • Yet another aspect of the present application provides a computer readable storage medium storing program instructions, the method of the second aspect being performed when the processor executes the stored program instructions.
  • the network access control system provided in this embodiment only needs to set the address information and the port of the proxy server used at the network control device, and then sets the address information and the port of the service server that is allowed to access at the proxy server, which simplifies the enterprise.
  • the configuration of the network control device by the network administrator can reduce the complexity of the configuration and reduce the probability of error.
  • FIG. 1 is a schematic diagram of an application interface in the prior art
  • FIG. 2 is a structural block diagram of a network access control system according to an embodiment of the present invention.
  • FIG. 3 is a signaling flowchart of a network access control system according to an embodiment of the present invention.
  • FIG. 4 is a signaling flowchart of still another network access control system according to an embodiment of the present invention.
  • FIG. 5 is a schematic structural diagram of a network access control apparatus according to an embodiment of the present invention.
  • FIG. 6 is a schematic structural diagram of still another network access control apparatus according to an embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of still another network access control apparatus according to an embodiment of the present invention.
  • FIG. 8 is a schematic structural diagram of still another network access control apparatus according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic structural diagram of still another network access control apparatus according to an embodiment of the present invention.
  • FIG. 10 is a block diagram showing the hardware structure of a network access control apparatus according to an embodiment of the present invention.
  • An embodiment of the present invention provides a network access control system, including: a client, a network control device, a proxy server, and a service server, where the client sends a network access request to the network control device, and the network control device determines whether the target address information belongs to The first white list, if it belongs, the network control device sends a network access request to the proxy server corresponding to the target address information.
  • the proxy server determines whether the address information of the service server to be accessed belongs to the second whitelist. If yes, the proxy server sends the network access request to the service server to be accessed.
  • the network access method provided by the present invention only needs to set the address information and the port of the proxy server used at the network control device, and then sets the address information and the port of the service server that is allowed to access at the proxy server, which simplifies the enterprise network administrator.
  • the configuration of the network control device can reduce the complexity of the configuration and reduce the probability of error.
  • FIG. 2 is a structural block diagram of a network access control system according to an embodiment of the present invention.
  • the network access control method provided by the embodiment of the present invention may be implemented based on the system shown in FIG.
  • the network access control system provided by the example may include: a client 2, a network control device 1, a proxy server 3, and a service server 4.
  • the client 2 can be a client device used by at least one enterprise employee B to send a service request, such as a notebook, a desktop computer, a tablet computer, a mobile phone, and the like, and the network control device 1 can be located in the enterprise network. Equipment at the exit, such as switches, routers, firewall devices, etc.
  • the proxy server may be another server that is between the network control device 1 and the service server 4.
  • the client accesses the business server as needed, and after receiving the webpage access request, the business server transmits the information of the destination site to the client for browsing.
  • the client when the enterprise employee wants to access some site resources, the client first sends a webpage access request to the proxy server, and then the proxy server obtains the access to the proxy server. Information and return it to the client. It should be noted that, on the proxy server side, the identity of the user can be authenticated and network access control can be implemented.
  • the service server 4 can be a single server, a server group composed of multiple servers, or a cloud computing service center.
  • the service server 4 is used to download network data resources, such as acquiring game data and software application data (QQ, WeChat, etc.).
  • FIG. 3 shows a signaling flowchart of a network access control system according to an embodiment of the present invention.
  • the network access control system includes: a client 2, a network control device 1, and a proxy server 3.
  • the service server 4 the signaling interaction process may include:
  • Step S100 The client sends a network access request to the network control device.
  • the network access request may include address information of the client, address information of the service server to be accessed, data content to be transmitted, and target address information, where the target address information is address information of the proxy server.
  • the client when the enterprise employee uses the client to perform network access, it is necessary to pre-configure the information of the used proxy server.
  • the client when the client sends a network access request, the client pre-processes the original network access request, that is, the address information of the client included in the original access request, the address information of the service server to be accessed, and the data content to be transmitted. Based on the previous request, the information about the proxy server is added, for example, the address information of the proxy server is increased.
  • Step S101 The network control device determines whether the target address information meets a first preset condition. If yes, the network control device sends the network access request to a proxy server corresponding to the target address information.
  • the whitelist in this solution is different from the whitelist in the prior art.
  • Determining whether the target address information meets the first preset condition may be determining whether the target address information belongs to the first whitelist, and if yes, satisfying the first preset condition, the network control device is hungry
  • the access request is sent to a proxy server corresponding to the target address information, the first whitelist including a list of address information of the proxy server that is allowed to access.
  • the whitelist configured in the network control device is the first whitelist.
  • the whitelist in the prior art needs address information and end of all service servers that are allowed to access. Data such as mouth information. According to different types of services, the list of whitelists required for network control devices in the prior art is multiple. For example, if an enterprise allows clients to access Tencent video, QQ, and WeChat, then the whitelist in the prior art. At least the address information and the port information of the service server corresponding to the Tencent video, the address information of the service server corresponding to the QQ, the port information, the address information of the service server corresponding to the WeChat, and the port information are required to be recorded.
  • the enterprise allows more network access services, its network administrator needs to configure the address information of the accessible service server to the white list of the current network control device. Due to the variety of services, the more whitelisted data that enterprise network managers need to manage and maintain. From the perspective of the service provider, in order to provide better business services, its business server will be updated and upgraded at any time, and the address information and port of the corresponding business server may change. This requires that the enterprise network administrators control the network. The address information and port information of the corresponding service server in the whitelist are changed. Otherwise, the service server cannot be accessed normally.
  • the network administrator of the enterprise only needs to configure the address information of the proxy server in the whitelist, and then the network control device determines whether the target address information sent by the client is the permission recorded in the whitelist of the network control device.
  • other preset actions can also be performed. Here, the settings can be made according to the actual needs of the enterprise.
  • the network control device determines that the target address information sent by the client belongs to the address information of the proxy server that is allowed to access recorded in the white list of the network control device, the network access request is required. Send to a proxy server corresponding to the target address information.
  • the address information and port information of the client can be replaced with the address information and port information of the network control device, that is, the IP address in the local area network is unified into the enterprise.
  • a public IP such as the IP address of the client 2a is "10.168.23.100", the port is “1000”, the IP address of the client 2b is “10.168.23.99”, and the port is "1000", whether it is the client 2a or Client 2b, when the target in its network access request
  • the IP address information of the network access request is converted into the IP address information of the network control device.
  • a tracking information is recorded, which is used to record the mapping relationship between the client address information and the address information of the network control device.
  • Step S102 The proxy server determines whether the address information of the service server to be accessed meets a second preset condition. If yes, the proxy server sends the network access request to the service server to be accessed.
  • the proxy server After receiving the network access request, the proxy server parses the network access request.
  • the network access request may include: the address information of the client, the address information of the service server to be accessed, and the waiting for the network access request.
  • the address information of the client is converted into the address information of the network control device, that is, the network access request at this time includes: the address information of the network control device, to be The address information of the accessed service server and the data content to be transmitted.
  • Determining whether the address information of the service server to be accessed meets the second preset condition may be determining whether the address information of the service server to be accessed belongs to the second white list, and if yes, satisfying the second preset condition, The proxy server sends the network access request to the service server to be accessed, and the second white list includes a list of address information of the service server that is allowed to access.
  • the whitelist configured in the proxy server is the second whitelist.
  • the proxy server determines that the address information of the service server to be accessed belongs to the address information of the service server that is allowed to access recorded in the white list of the proxy server, the proxy network server needs to send the network access request to the service server to be accessed.
  • the address information corresponds to the business server.
  • the proxy server may directly ignore the network access request or return a Responding to the access control error information to the network control device, and then the response information is sent by the network control device to the client.
  • the network access control system only needs to set the address information and port of the proxy server used at the network control device, and then set the address information and port of the service server that is allowed to access at the proxy server.
  • the whitelist of the address information of the service server that is allowed to be accessed is configured on the proxy server.
  • the SAAS service provider's service server is upgraded and maintained, the SAAS service provider's professional personnel only need to perform whitelist update replacement on the proxy server to ensure that the proxy server is whitelisted and replaced. The timeliness and accuracy of whitelist updates without the need for corporate network managers to do anything.
  • the proxy server corresponding to the network control device of enterprise A is proxy server A
  • the proxy server corresponding to the network control device of enterprise B is also proxy server A.
  • the whitelist that enterprise A needs to maintain includes QQ and WeChat, and enterprise B needs to maintain.
  • the whitelist includes QQ and Tencent video. Then, after the QQ corresponding business server upgrades and replaces the address information, the proxy server can replace the address of the QQ service server, and the enterprise network administrator does not need to perform any operations.
  • the network administrator of the enterprise A needs to replace the address information of the QQ service server in the whitelist of the network control device.
  • the network administrator of the enterprise B also needs to associate the whitelist of the network control device with the QQ.
  • the address information of the service server is replaced, and the operation is complicated.
  • the signaling interaction process includes:
  • Step S103 The service server to be accessed generates a feedback data based on the data content to be transmitted, and sends the feedback data to the proxy server.
  • Step S104 The proxy server searches for address information of the network control device corresponding to the address information of the proxy server according to the second mapping table, and sends the feedback data to the found network control device.
  • the address information corresponds to the network control device.
  • Step S105 The network control device searches for address information of the client corresponding to the address information of the network control device according to the first mapping table, and sends the feedback data to the found address of the client.
  • the client corresponding to the information The client corresponding to the information.
  • the network control device and the proxy server perform whitelist filtering on the address information received by the network control device. Therefore, when the data is returned, it is not necessary to repeatedly compare whether the current address information is in the white list. Address information. The feedback data is finally sent to the client.
  • the embodiment provides a detailed description of an example of the network access control system provided by the present invention.
  • the network control device is a switch, it is assumed that:
  • the address of the client in the internal network of the enterprise is "10.168.23.100", and the port is 1000;
  • the egress network address of the enterprise network is "183.61.38.179", port 1001;
  • the SAAS service proxy server network address is: 180.149.32.47, the port is: 8080; support SOCKS V5, no account verification is required;
  • the network address of the SAAS service server 1 is: 140.205.94.189, and the port is: 443;
  • the domain name of SAAS service server 2 is: b.qq.com, and the port is 80.
  • the network access process is as follows:
  • the whitelist of SAAS service providers configuring network access on the proxy server is similar to the following:
  • the specific form can be based on the actual configuration of the proxy server.
  • the meaning of the above configuration is that when the destination address of the data packet is one of the whitelists, it is a legal data packet.
  • the enterprise administrator enters the management page of the enterprise switch of the enterprise, and the configuration whitelist is similar to the following:
  • the company employee sets up the proxy server on the SAAS application client and configures to use the proxy server, similar to the following:
  • the client needs to send the content "Hello” to SAAS Service Server 1 (140.205.94.189:443).
  • the original packet contains the following information (source address 10.168.23.100, port 1000, destination address 140.205.94.189, port 443, and the package content "Hello”). Because the configuration of the proxy service is used, all the packets on the client will be encapsulated on the original packet, plus the information about the proxy server (including the target address 180.149.32.47, port: 8080, proxy protocol version information). Wait). The new packet will be changed to the network address sent to the proxy server (180.149.32.47:8080).
  • the destination address of the new data packet is determined on the switch. Because the target network address is (180.149.32.47:8080), it is already configured in the whitelist. Therefore, the data packet is considered as a legal data packet and allowed to be released. Because the data relationship is sent from the inside to the outside of the enterprise network, the NAT address translation process is required: the source port number (1000) and the source private IP address (10.168.23.100) in the data packet are converted into the switch's own port number ( 1001) and the IP address of the public network (183.61.38.179), and then send the data packet to the destination host of the external network (180.149.32.47:8080), and record a trace information in the address translation image table (10.168.23.100:1000) --183.61.38.179:1001). Among them, the new source address is legal and unique on the Internet and can be correctly located.
  • the proxy server After receiving the data request, the proxy server will parse out the real package data in the data packet, including (new source address 183.61.38.179 after replacement, new port 1001, target address 140.205.94.189, port 443, and package text) Content "Hello"). Because the target address and port combination (140.205.94.189:443) is in the whitelist, it will be judged as a legitimate packet and can be forwarded to the destination address normally.
  • the proxy server replaces the source address in the packet with 180.149.32.47, the port with 1002, and records the mapping (183.61.38.179: 1001--180.149.32.47:1002). In the new packet, the sender information of the packet is completely replaced by the proxy server.
  • the proxy server When the proxy server receives the above data returned by the service server, it finds the actual target network address according to the mapping relationship maintained by the internal server, and replaces the target address (ie, the proxy server address) in the data packet with the actual target address information. That is to use (183.61.38.179: 1001). Then perform a layer encapsulation on the data returned by the server, plus the information of the proxy server, including (source address: 180.149.32.47, port 8080, proxy protocol version information, etc.) and send the data to the target network address, that is, the enterprise's Export ip address.
  • source address 180.149.32.47, port 8080, proxy protocol version information, etc.
  • the above-mentioned data packet returned by the proxy server passes through the switch, and the switch determines the source address of the data packet. Because the source address is the proxy server address, it will be released. Similarly, this step also needs NAT address translation, according to the records in the image table, the port number (1001) and public IP address (183.61.38.179) of the received data packet are converted into the port number of the target host (1000). ) and intranet The private IP address (10.168.23.100) of the target host in the network is forwarded to the target host.
  • the client After receiving the data packet, the client will parse out the real data packet content, mainly including (source address 140.205.94.189, port 443, and packet content "Reply"), thereby receiving the data returned by SAAS service server 1. .
  • the client is introduced to access the non-permitted network address information, as follows:
  • the company employee sets up a proxy server on a disabled client such as Sina Weibo, and configures to use a proxy server, similar to the following:
  • the client needs to send the content "Hello” to Sina Weibo Service Server 1 (100.100.10.10:443).
  • the original packet contains the following information (source address 10.168.23.100, port 8000, destination address 100.100.10.10, port 443, and the contents of the package "Hello"). Because the configuration of the proxy service is used, all the packets on the client will be encapsulated on the original packet, plus the information about the proxy server (including the target address 180.149.32.47, port: 8080, proxy protocol version information). Wait). The new packet will be changed to the network address (180.149.32.47:8080) sent to the proxy server.
  • the proxy server After receiving the data request, the proxy server will resolve the actual destination address 100.100.10.10, port 443. Because the destination address and port combination (100.100.10.10:443) is not in the whitelist, the packet is determined to be an illegal packet and will be discarded directly.
  • the client cannot receive the return packet from Sina Weibo normally, so the web application is successfully restricted.
  • the company employee wants to use a disabled client such as a browser, but does not set up a proxy server.
  • the switch determines that the target address (www.taobao.com) is not configured in the whitelist, and determines that the target address of the request is illegal and will directly discard it.
  • the client cannot receive the return packet from Taobao normally, so the network application is successfully restricted.
  • the network access control apparatus provided by the embodiment of the present invention is described below.
  • the network access control apparatus described below may refer to the network access control system described above.
  • the network access control device may be the proxy server in the above embodiment.
  • FIG. 5 is a structural block diagram of a network access control apparatus according to an embodiment of the present invention.
  • the apparatus may include:
  • the first receiving module 100 is configured to receive a network access request sent by the network control device, where the network access request includes: address information of the service server to be accessed and target address information, where the target address information is a pre-configured proxy server. Address information;
  • the network access request is an access request that the target address information belongs to the first white list, and the first white list includes a list of address information of the proxy server that is allowed to access;
  • the determining module 200 is configured to determine whether the address information of the service server to be accessed belongs to the second white list, and if yes, send the network access request to the service server to be accessed, where the second white list includes A list of address information for the business server that is allowed access.
  • the method further includes:
  • the processing module 300 is configured to replace the address information of the network control device with the target address information, and generate a second mapping table of the address information of the network control device and the target address information.
  • the method further includes:
  • the sending module 400 is configured to send the data content to be transmitted to the service server to be accessed.
  • the method further includes:
  • the second receiving module 500 is configured to receive the feedback data generated by the service server to be accessed based on the data content to be transmitted.
  • the method further includes:
  • the searching module 600 is configured to search for an address with the proxy server according to the second mapping table. Address information of the network control device corresponding to the information;
  • the sending module 400 is further configured to send the feedback data to the found network control device corresponding to the address information of the network control device.
  • the embodiment of the present invention further provides a network access control device, which may include the network access control device described above.
  • FIG. 10 is a block diagram showing the hardware structure of the network access control device.
  • the network access control device may include: a processor 1, a communication interface 2, a memory 3, and a communication bus 4;
  • the processor 1, the communication interface 2, and the memory 3 complete communication with each other through the communication bus 4;
  • the communication interface 2 can be an interface of the communication module, such as an interface of the GSM module;
  • a processor 1 for executing a program
  • a memory 3 for storing a program
  • the program can include program code, the program code including computer operating instructions.
  • the processor 1 may be a central processing unit CPU, or an Application Specific Integrated Circuit (ASIC), or one or more integrated circuits configured to implement embodiments of the present invention.
  • CPU central processing unit
  • ASIC Application Specific Integrated Circuit
  • the memory 3 may include a high speed RAM memory and may also include a non-volatile memory such as at least one disk memory.
  • the program can be specifically used to:
  • Network access request includes: address information of the service server to be accessed and target address information, where the target address information is address information of a pre-configured proxy server;
  • the network access request is an access request that the target address information belongs to the first white list, and the first white list includes a list of address information of the proxy server that is allowed to access;
  • the embodiment of the present invention provides a network access control system, including: a client, a network control device, a proxy server, and a service server, wherein the client sends a network access request to the network control device, and the network control device determines whether the target address information belongs to the first whitelist, and if so, the network control device sends the network access request to The proxy server corresponding to the destination address information.
  • the proxy server determines whether the address information of the service server to be accessed belongs to the second whitelist. If yes, the proxy server sends the network access request to the service server to be accessed.
  • the network access method provided by the present invention only needs to set the address information and the port of the proxy server used at the network control device, and then sets the address information and the port of the service server that is allowed to access at the proxy server, which simplifies the enterprise network administrator. Configuration of the network control device.
  • the steps of a method or algorithm described in connection with the embodiments disclosed herein can be implemented directly in hardware, a software module executed by a processor, or a combination of both.
  • the software module can be placed in random access memory (RAM), memory, read only memory (ROM), electrically programmable ROM, electrically erasable programmable ROM, registers, hard disk, removable disk, CD-ROM, or technical field. Any other form of storage medium known.
  • the computer program product includes one or more computer instructions.
  • the computer can be a general purpose computer, a special purpose computer, a computer network, or other programmable device.
  • the computer instructions can be stored in a computer readable storage medium or transferred from one computer readable storage medium to another computer readable storage medium, for example, the computer instructions can be from a website site, computer, server or data center Transfer to another website site, computer, server, or data center by wire (eg, coaxial cable, fiber optic, digital subscriber line (DSL), or wireless (eg, infrared, wireless, microwave, etc.).
  • wire eg, coaxial cable, fiber optic, digital subscriber line (DSL), or wireless (eg, infrared, wireless, microwave, etc.).
  • the computer readable storage medium can be any available media that can be stored by a computer or a data storage device such as a server, data center, or the like that includes one or more available media.
  • the usable medium may be a magnetic medium (eg, a floppy disk, a hard disk, a magnetic tape), an optical medium (eg, a DVD), or a semiconductor medium (such as a solid state disk (SSD)).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例提供了一种网络访问控制系统，包括：客户端、网络控制设备、代理服务器以及业务服务器，其中，客户端发送网络访问请求至网络控制设备，网络控制设备判断目标地址信息是否属于第一白名单，如果属于，网络控制设备将网络访问请求发送至与目标地址信息对应的代理服务器。代理服务器判断待访问的业务服务器的地址信息是否属于第二白名单，如果属于，代理服务器将网络访问请求发送至待访问的业务服务器。可见，本发明提供的网络访问方法只需要在网络控制设备处设置使用的代理服务器的地址信息以及端口，然后在代理服务器处设置允许访问的业务服务器的地址信息以及端口，简化了企业网络管理人员对网络控制设备的配置。

Description

一种网络访问控制方法、装置及系统
本申请要求于2016年12月13日提交中国专利局、申请号为2016111469322、发明名称为“一种网络访问控制方法、装置及系统”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本发明涉及数据处理技术领域，具体涉及一种网络访问控制方法、装置及系统。
背景技术
随着科技的不断发展，用户对网络的访问需求越来越普遍。但，企业出于一些目的，需要对公司网络的访问进行控制。
如，禁止企业员工在工作时间上网看新闻、网络购物、玩游戏等，进而提高企业员工的工作效率；又如，禁止企业员工利用网络对公司核心机密文件、公司内部文档等进行泄漏，或者防止外部恶意用户入侵公司的内部网络，盗取公司机密。
因此，如图1所示，企业网络管理人员A通常是通过在企业网络的出口处的网络控制设备1(如交换机、路由器、防火墙等)设置黑白名单来进行对企业网络访问的控制。
发明人发现，企业对外网访问的控制均集中在企业网络的出口设备处，然而，黑白名单通常包括用户IP、域名、网址等多种信息，这些信息会随着软件运营(SAAS)服务商的服务器升级或维护而经常发生变化，一旦未及时通知给企业网络管理人员对企业的网络出口处的网络控制设备的参数进行重新设置，或者将参数设置错误，就会导致企业网络不能正常访问。可见，现有的企业网络控制方式较为麻烦，对企业网络管理人员的技能要求较高。
因此，如何提供一种网络访问控制方法、装置及系统，既能实现对企业员工的网络控制，又能简化企业网络出口处的设置，成为了本领域技术人员需要考虑的问题。
发明内容
有鉴于此，本发明实施例提供一种网络访问控制方法、装置及系统，既能实现对企业员工的网络控制，又能简化企业网络出口处的设置，可以降低配置 的复杂度，降低出错的概率。
为实现上述目的，本发明实施例提供如下技术方案：
本申请第一方面提供一种网络访问控制系统，包括：客户端、网络控制设备、代理服务器以及业务服务器，
所述客户端发送网络访问请求至网络控制设备，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
所述网络控制设备判断所述目标地址信息是否属于第一白名单，如果属于，所述网络控制设备将所述网络访问请求发送至与所述目标地址信息对应的代理服务器，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
所述代理服务器判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，所述代理服务器将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
本申请第二方面提供一种网络访问控制方法，包括：
接收网络控制设备发送的网络访问请求，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
且，所述网络访问请求为所述目标地址信息属于第一白名单的访问请求，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
本申请第三方面提供一种网络访问控制装置，包括：
第一接收模块，用于接收网络控制设备发送的网络访问请求，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
且，所述网络访问请求为所述目标地址信息属于第一白名单的访问请求，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
判断模块，用于判断所述待访问的业务服务器的地址信息是否属于第二白 名单，如果属于，将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
本申请又一方面提供一种代理服务器，包括：处理器和存储器，所述存储器中存储有程序指令；
所述处理器执行所述存储器中存储的程序指令时执行上述第二方面所述的方法。
本申请又一方面提供一种计算机可读存储介质，存储有程序指令，处理器执行所存储的程序指令时执行上述第二方面所述的方法。
可见，本实施例提供的网络访问控制系统，只需要在网络控制设备处设置使用的代理服务器的地址信息以及端口，然后在代理服务器处设置允许访问的业务服务器的地址信息以及端口，简化了企业网络管理人员对网络控制设备的配置，可以降低配置的复杂度，降低出错的概率。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为现有技术中的应用界面示意图；
图2为本发明实施例提供的一种网络访问控制系统的结构框图；
图3为本发明实施例提供的一种网络访问控制系统的信令流程图；
图4为本发明实施例提供的又一网络访问控制系统的信令流程图；
图5为本发明实施例提供的网络访问控制装置的结构示意图；
图6为本发明实施例提供的又一网络访问控制装置的结构示意图；
图7为本发明实施例提供的又一网络访问控制装置的结构示意图；
图8为本发明实施例提供的又一网络访问控制装置的结构示意图；
图9为本发明实施例提供的又一网络访问控制装置的结构示意图；
图10为本发明实施例提供的网络访问控制装置的硬件结构框图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例提供了一种网络访问控制系统，包括：客户端、网络控制设备、代理服务器以及业务服务器，其中，客户端发送网络访问请求至网络控制设备，网络控制设备判断目标地址信息是否属于第一白名单，如果属于，网络控制设备将网络访问请求发送至与目标地址信息对应的代理服务器。代理服务器判断待访问的业务服务器的地址信息是否属于第二白名单，如果属于，代理服务器将网络访问请求发送至待访问的业务服务器。可见，本发明提供的网络访问方法只需要在网络控制设备处设置使用的代理服务器的地址信息以及端口，然后在代理服务器处设置允许访问的业务服务器的地址信息以及端口，简化了企业网络管理人员对网络控制设备的配置，可以降低配置的复杂度，降低出错的概率。
请参阅图2，图2为本发明实施例提供的一种网络访问控制系统的结构框图，本发明实施例提供的网络访问控制方法可基于图2所示系统实现，参照图2，本发明实施例提供的网络访问控制系统可以包括：客户端2、网络控制设备1、代理服务器3以及业务服务器4。
其中，客户端2可以为至少一个企业员工B用于发送业务请求的客户端设备，如笔记本、台式机、平板电脑、手机等可供企业员工上网的设备，网络控制设备1可以是位于企业网络出口处的设备，如交换机、路由器、防火墙设备等。代理服务器可以为是介于网络控制设备1和业务服务器4之间的另一台服务器。
通常，当企业员工浏览网页的时候，客户端会根据需要去访问业务服务器，然后业务服务器接到网页访问请求后，会将目的站点的信息传送给客户端，以供用户浏览。
然而，在使用了代理服务器后，当企业员工想要访问一些站点资源的时候，客户端首先将网页访问请求发送至代理服务器，然后代理服务器去获取要访问 的信息，并且将其返回给客户端。需要说明的是，在代理服务器侧，可以对用户身份进行鉴定以及实现网络访问控制等。
业务服务器4可以为单台服务器，也可以为由多台服务器组成的服务器群组或者是一个云计算服务中心，业务服务器4用于下载网络数据资源，如获取游戏数据、软件应用数据(QQ、微信等)。
具体的，基于图2所示系统，图3示出了本发明实施例提供的网络访问控制系统的信令流程图，该网络访问控制系统包括：客户端2、网络控制设备1、代理服务器3以及业务服务器4，该信令交互过程可以包括：
步骤S100、客户端发送网络访问请求至网络控制设备。
其中，网络访问请求可以包括客户端的地址信息、待访问的业务服务器的地址信息、待传输的数据内容以及目标地址信息，所述目标地址信息为代理服务器的地址信息。需要说明的是，本实施例中，企业员工在使用客户端进行网络访问时，需要预先配置使用的代理服务器的信息。这样，当客户端发送网络访问请求时，客户端会将原网络访问请求进行预处理，即在原访问请求中包含的客户端的地址信息、待访问的业务服务器的地址信息以及待传输的数据内容的基础上，对原访问请求增加代理服务器的相关信息，如增加代理服务器的地址信息。
步骤S101、网络控制设备判断所述目标地址信息是否满足第一预设条件，如果满足，所述网络控制设备将所述网络访问请求发送至与所述目标地址信息对应的代理服务器。
需要说明的是，网络控制设备在使用前，需要通过企业网络管理人员对其进行白名单配置，但本方案中此处的白名单不同于现有技术中的白名单，本方案中的白名单只需为允许使用的代理服务器的地址信息的列表即可。判断所述目标地址信息是否满足第一预设条件可以为判断所述目标地址信息是否属于第一白名单，如果属于，则满足该第一预设条件，饿所述网络控制设备将所述网络访问请求发送至与所述目标地址信息对应的代理服务器，所述第一白名单包括允许访问的代理服务器的地址信息的列表。
网络控制设备中配置的白名单为第一白名单。
而现有技术中的白名单需要为允许访问的所有业务服务器的地址信息、端 口信息等数据。根据业务种类的不同，现有技术中网络控制设备所需配置的白名单的列表内容为多项，如某个企业允许客户端访问腾讯视频、QQ以及微信，那么，现有技术中的白名单需要至少记录腾讯视频对应的业务服务器的地址信息以及端口信息、QQ对应的业务服务器的地址信息以及端口信息、微信对应的业务服务器的地址信息以及端口信息。
当然，如果企业允许的网络访问业务越多，其网络管理人员就需要对应配置可访问的业务服务器的地址信息到当前网络控制设备的白名单中。由于业务的种类较多，企业网络管理人员需要管理和维护的白名单的数据也越多。而站在业务服务商的角度，为了提供更好的业务服务，其业务服务器会随时更新升级，相对应的业务服务器的地址信息以及端口可能改变，这就要求，企业网络管理人员对网络控制设备的白名单中的对应的业务服务器的地址信息以及端口信息进行更改，否则会造成不能正常访问该业务服务器。
而，本实施例中，企业的网络管理人员只需配置白名单中的代理服务器的地址信息，然后，网络控制设备判断客户端发送的目标地址信息是否为网络控制设备的白名单中记录的允许访问的代理服务器的地址信息。如果属于，则网络控制设备将所述网络访问请求进行放行，即将所述网络访问请求发送往与所述目标地址信息对应的代理服务器。如果客户端发送的目标地址信息不属于网络控制设备的白名单中记录的允许访问的代理服务器的地址信息，那么，网络控制设备可以直接将所述网络访问请求忽略，或者返回一个表征访问错误的响应信息至所述客户端。当然，也可以执行其他预设的动作，此处，可以根据企业的实际需求，进行设定。
值得一提的是，在此步骤中，当网络控制设备判断客户端发送的目标地址信息属于网络控制设备的白名单中记录的允许访问的代理服务器的地址信息时，需要将所述网络访问请求发送往与所述目标地址信息对应的代理服务器。此时，由于是企业客户端的内部向企业外部发送网络访问请求的关系，可以将客户端的地址信息以及端口信息替换成网络控制设备的地址信息以及端口信息，即将局域网中的IP地址统一成企业对外的一公共IP，如客户端2a的IP地址为“10.168.23.100”，端口为“1000”，客户端2b的IP地址为“10.168.23.99”，端口为“1000”，无论是客户端2a还是客户端2b，当其网络访问请求中的目标 地址信息属于白名单时，将该网络访问请求的IP地址信息转换成网络控制设备的IP地址信息。并同时记录一条跟踪信息，用于记录客户端地址信息和网络控制设备的地址信息的映射关系。
步骤S102、代理服务器判断所述待访问的业务服务器的地址信息是否满足第二预设条件，如果满足，所述代理服务器将所述网络访问请求发送至所述待访问的业务服务器。
其中，代理服务器在接收到网络访问请求后，解析所述网络访问请求，上文介绍了，该网络访问请求在客户端侧可以包括：客户端的地址信息、待访问的业务服务器的地址信息、待传输的数据内容以及目标地址信息，其中，所述目标地址信息为代理服务器的地址信息。然而，该网络访问请求在经过企业的网络控制设备后，已经将自身的客户端的地址信息转换成网络控制设备的地址信息，即，此时的网络访问请求包括：网络控制设备的地址信息、待访问的业务服务器的地址信息以及待传输的数据内容。
判断所述待访问的业务服务器的地址信息是否满足第二预设条件可以为判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，则满足第二预设条件，所述代理服务器将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
代理服务器中配置的白名单为第二白名单。
然后，代理服务器当判断待访问的业务服务器的地址信息属于代理服务器的白名单中记录的允许访问的业务服务器的地址信息时，需要将所述网络访问请求发送往与所述待访问的业务服务器的地址信息对应的业务服务器。
如果代理服务器当判断待访问的业务服务器的地址信息不属于代理服务器的白名单中记录的允许访问的业务服务器的地址信息时，那么，代理服务器可以直接将所述网络访问请求忽略，或者返回一个表征访问错误的响应信息至所述网络控制设备，然后由所述网络控制设备将所述响应信息发送至所述客户端。
综上，可见，本实施例提供的网络访问控制系统，只需要在网络控制设备处设置使用的代理服务器的地址信息以及端口，然后在代理服务器处设置允许访问的业务服务器的地址信息以及端口，简化了企业网络管理人员对网络控制 设备的配置。而在代理服务器处配置允许访问的业务服务器的地址信息的白名单，当SAAS服务商的业务服务器进行升级维护后，只需由SAAS服务商的专业人员对代理服务器进行白名单更新替换，保证了白名单更新的及时性和准确性，而无需企业网络管理人员做任何操作。当多个企业的网络控制设备均使用同一代理服务器时，在某一业务服务器的地址信息发生改变时，也只需对代理服务器中不同企业的白名单中与该业务服务器对应的地址信息进行统一更改。如，企业A的网络控制设备对应的代理服务器为代理服务器A，企业B的网络控制设备对应的代理服务器也为代理服务器A，企业A需要维护的白名单包括QQ和微信，企业B需要维护的白名单包括QQ和腾讯视频，那么当QQ对应的业务服务器进行升级更换地址信息后，代理服务器对应的将QQ的业务服务器的地址进行更换即可，无需企业网络管理人员做任何操作，而，现有技术则需要企业A的网络管理人员将网络控制设备的白名单中的QQ的业务服务器的地址信息进行更换，同时，企业B的网络管理人员也需要将网络控制设备的白名单的QQ对应的业务服务器的地址信息进行更换，操作较为复杂。
在本申请的另一个实施例中，对该网络访问系统的数据反馈的流程进行介绍。参照图4，该信令交互过程包括：
步骤S103、所述待访问的业务服务器基于所述待传输的数据内容，生成一反馈数据，并将所述反馈数据发送往所述代理服务器。
步骤S104、所述代理服务器根据所述第二映射表，查找与所述代理服务器的地址信息对应的网络控制设备的地址信息；并将所述反馈数据发送至查找到的与所述网络控制设备的地址信息对应的网络控制设备。
步骤S105、所述网络控制设备根据所述第一映射表，查找与所述网络控制设备的地址信息对应的客户端的地址信息；并将所述反馈数据发送至查找到的与所述客户端的地址信息对应的客户端。
需要说明的是，在数据反馈的过程中，可以理解成沿原路返回。又由于网络访问的过程中，网络控制设备以及代理服务器均对其接收到的地址信息进行了白名单筛选，因此，在数据返回时，可以不再重复去对比当前的地址信息是否为白名单内的地址信息。最终将反馈数据发送到客户端。
具体的，本实施例提供一个采用本发明提供的网络访问控制系统的实例进行详细介绍，如网络控制设备为交换机，假定：
a.客户端在企业内部网络的地址为“10.168.23.100”，端口：1000；
b.企业网络的出口网络地址为“183.61.38.179”，端口1001；
c.SAAS服务代理服务器网络地址为：180.149.32.47，端口为：8080；支持SOCKS V5，不需要帐号验证；
d.SAAS业务服务器1的网络地址为：140.205.94.189，端口为：443；
e.SAAS业务服务器2的域名为：b.qq.com，端口为：80
在上述地址信息的基础上，该网络访问流程如下：
1.SAAS服务商在代理服务器上配置网络访问的白名单类似如下：
目标服务器白名单：
ip:140.205.94.189，端口：443；
域名：b.qq.com，端口：80；
具体形式可以实际代理服务器的配置标准为准，上述配置的含义是当数据包发送的目标地址为白名单中的其中一条时，则为合法数据包。
2.企业管理员进入本企业的企业交换机的管理页面，配置白名单类似如下：
目标服务器白名单：
ip:180.149.132.47，端口为：8080；
3.公司员工在SAAS应用客户端上设置使用代理服务器，配置使用代理服务器，类似如下：
网络设置：
类型：SOCKS V5地址：180.149.32.47端口8080。
4.客户端需要向SAAS业务服务器1(140.205.94.189:443)发送内容“Hello”。原始数据包中会包含下述信息(源地址10.168.23.100，端口1000，目标地址140.205.94.189，端口443，以及包文内容“Hello”)。因为使用了代理服务的配置，客户端上的所有数据包都会在原有数据包上进行一层封装，加上代理服务器的相关信息(包括目标地址180.149.32.47，端口为：8080，代理协议版本信息等)。新数据包会被改为发送到代理服务器的网络地址 (180.149.32.47:8080)。
5.交换机上判断上述新数据包的目标地址，因为其中的目标网络地址为(180.149.32.47:8080)，在白名单中已有配置，因此认为数据包是合法数据包，允许放行。因为从企业网络的内部向外部发送数据的关系，因此需要进行NAT地址转换过程：将数据包中的源端口号(1000)和源私有IP地址(10.168.23.100)转换成交换机自己的端口号(1001)和公网的IP地址(183.61.38.179)，然后将数据包发给外部网络的目的主机(180.149.32.47:8080)，同时记录一条跟踪信息在地址转换映像表中(10.168.23.100:1000--183.61.38.179:1001)。其中，新的源地址在因特网上是合法的并唯一的，可以被正确的定位到。
6.代理服务器接受到数据请求后，会解析出数据包中真正的包体数据，包括(替换后的新源地址183.61.38.179，新端口1001，目标地址140.205.94.189，端口443，以及包文内容“Hello”)。因为其中的目标地址和端口组合(140.205.94.189:443)在白名单中，因此会被判断为合法的数据包，可以被正常转发到目标地址。代理服务器会将数据包中的源地址替换为180.149.32.47，端口替换为1002，并记录映射关系(183.61.38.179:1001--180.149.32.47:1002)。新的数据包中，包的发送者信息就被完全替换成代理服务器。
7.当SAAS服务的业务服务器处理上述数据后，需要给客户端返回数据“Reply”，会组织相关数据包，包括以下内容(源地址140.205.94.189，端口443，目标地址为代理服务器地址180.149.32.47，端口8080，以及包文内容“Reply”)。
8.当代理服务器收到业务服务器返回的上述数据后，会根据其内部维护的映射关系，找到实际目标网络地址，并使用实际目标地址信息替换数据包中的目标地址(即代理服务器地址)，即使用(183.61.38.179:1001)。然后在服务器返回的数据上进行一层封装，加上代理服务器的信息，包括(源地址：180.149.32.47，端口8080，代理协议版本信息等)并将数据发送向目标的网络地址，即企业的出口ip地址。
9.上述由代理服务器返回的数据包会经过交换机，交换机判断数据包的来源地址。因为源地址为代理服务器地址，因此会被放行。类似的，这一步也同样需要经过NAT地址转换，根据映像表中的记录，将所收到数据包的端口号(1001)和公用IP地址(183.61.38.179)转换成目标主机的端口号(1000)和内部网 络中目标主机的专用IP地址(10.168.23.100)，并转发给目标主机。
10.客户端收到数据包后，会解析出真正的数据包内容，主要包括(源地址140.205.94.189，端口443，以及包文内容“Reply”)，从而接收到SAAS业务服务器1返回的数据。
上面介绍了客户端访问允许的网络地址信息的情况，现结合具体实例，提出了客户端在访问非允许的网络地址信息的案例进行介绍，如下：
若案例1中步骤1和步骤2的白名单配置已经完成。
1.公司员工在某款被禁用的客户端比如新浪微博上设置使用代理服务器，配置使用代理服务器，类似如下：
类型：SOCKS V5地址：180.149.32.47端口8080。
2.客户端需要向新浪微博业务服务器1(100.100.10.10:443)发送内容“Hello”。原始数据包中会包含下述信息(源地址10.168.23.100，端口8000，目标地址100.100.10.10，端口443，以及包文内容“Hello”)。因为使用了代理服务的配置，客户端上的所有数据包都会在原有数据包上进行一层封装，加上代理服务器的相关信息(包括目标地址180.149.32.47，端口为：8080，代理协议版本信息等)。新数据包会被改为发送到代理服务器的网络地址(180.149.32.47:8080)。
3.类似案例1，交换机会认为该请求目标地址是合法的，会正常进行转发。
4.代理服务器接受到数据请求后，会解析出实际目标地址100.100.10.10，端口443。因为其中的目标地址和端口组合(100.100.10.10:443)不在白名单中，因此该数据包被判定为非法数据包，会被直接丢弃。
5.客户端无法正常收到新浪微博的回包，因此该网络应用被成功限制住。
又如：
若案例1中步骤1和步骤2的白名单配置已经完成。
1.公司员工希望使用某款被禁用的客户端比如浏览器，但没有设置代理服务器。
2.员工使用浏览器访问http://www.taobao.com。
3.交换机判断其中的目标地址(www.taobao.com)没有在白名单中配置过，判定该请求目标地址是非法的，会直接进行丢弃。
4.客户端无法正常收到淘宝的回包，因此该网络应用被成功限制住。
下面对本发明实施例提供的网络访问控制装置进行介绍，下文描述的网络访问控制装置可与上文描述的网络访问控制系统相互对应参照。该网络访问控制装置可以是上述实施例中的代理服务器。
图5为本发明实施例提供的网络访问控制装置的结构框图，参照图5，该装置可以包括：
第一接收模块100，用于接收网络控制设备发送的网络访问请求，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
且，所述网络访问请求为所述目标地址信息属于第一白名单的访问请求，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
判断模块200，用于判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
可选的，如图6所示，还包括：
处理模块300，用于将所述网络控制设备的地址信息更换成所述目标地址信息，并生成所述网络控制设备的地址信息与所述目标地址信息的第二映射表。
可选的，如图7所示，还包括：
发送模块400，用于将所述待传输的数据内容发送往所述待访问的业务服务器。
可选的，如图8所示，还包括：
第二接收模块500，用于接收所述待访问的业务服务器基于所述待传输的数据内容生成的反馈数据。
可选的，如图9所示，还包括：
查找模块600，用于根据所述第二映射表，查找与所述代理服务器的地址 信息对应的网络控制设备的地址信息；
发送模块400，还用于将所述反馈数据发送至查找到的与所述网络控制设备的地址信息对应的网络控制设备。
本发明实施例还提供有一种网络访问控制设备，该网络访问控制设备可以包括上述所述的网络访问控制装置。
可选的，图10示出了网络访问控制设备的硬件结构框图，参照图10，该网络访问控制设备可以包括：处理器1，通信接口2，存储器3和通信总线4；
其中处理器1、通信接口2、存储器3通过通信总线4完成相互间的通信；
可选的，通信接口2可以为通信模块的接口，如GSM模块的接口；
处理器1，用于执行程序；
存储器3，用于存放程序；
程序可以包括程序代码，所述程序代码包括计算机操作指令。
处理器1可能是一个中央处理器CPU，或者是特定集成电路ASIC(Application Specific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。
存储器3可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。
其中，程序可具体用于：
接收网络控制设备发送的网络访问请求，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
且，所述网络访问请求为所述目标地址信息属于第一白名单的访问请求，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
综上所述，本发明实施例提供了一种网络访问控制系统，包括：客户端、 网络控制设备、代理服务器以及业务服务器，其中，客户端发送网络访问请求至网络控制设备，网络控制设备判断目标地址信息是否属于第一白名单，如果属于，网络控制设备将网络访问请求发送至与目标地址信息对应的代理服务器。代理服务器判断待访问的业务服务器的地址信息是否属于第二白名单，如果属于，代理服务器将网络访问请求发送至待访问的业务服务器。可见，本发明提供的网络访问方法只需要在网络控制设备处设置使用的代理服务器的地址信息以及端口，然后在代理服务器处设置允许访问的业务服务器的地址信息以及端口，简化了企业网络管理人员对网络控制设备的配置。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。
所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存储的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (19)

  1. 一种网络访问控制系统，其特征在于，包括：客户端、网络控制设备、代理服务器以及业务服务器，
    所述客户端用于，发送网络访问请求至网络控制设备，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
    所述网络控制设备用于，判断所述目标地址信息是否属于第一白名单，如果属于，所述网络控制设备将所述网络访问请求发送至与所述目标地址信息对应的代理服务器，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
    所述代理服务器用于，判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，所述代理服务器将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
  2. 根据权利要求1所述的网络访问控制系统，其特征在于，所述网络访问请求还包括：客户端的地址信息，
    所述网络控制设备在判断所述目标地址信息属于第一白名单后，还用于：将所述客户端的地址信息更换成所述网络控制设备的地址信息，并生成所述客户端的地址信息与所述网络控制设备的地址信息的第一映射表。
  3. 根据权利要求1或2所述的网络访问控制系统，其特征在于，所述代理服务器在判断所述待访问的业务服务器的地址信息属于第二白名单后，还用于：
    将所述网络控制设备的地址信息更换成所述目标地址信息，并生成所述网络控制设备的地址信息与所述目标地址信息的第二映射表。
  4. 根据权利要求1-3任一所述的网络访问控制系统，其特征在于，所述网络访问请求还包括：待传输的数据内容，
    相应的，所述代理服务器将所述网络访问请求发送至所述待访问的业务服务器，包括：
    所述代理服务器将所述待传输的数据内容发送往所述待访问的业务服务 器。
  5. 根据权利要求4所述的网络访问控制系统，其特征在于，所述待访问的业务服务器基于所述待传输的数据内容，生成一反馈数据，并将所述反馈数据发送往所述代理服务器。
  6. 根据权利要求5所述的网络访问控制系统，其特征在于，所述代理服务器根据所述第二映射表，查找与所述代理服务器的地址信息对应的网络控制设备的地址信息；
    并将所述反馈数据发送至查找到的与所述网络控制设备的地址信息对应的网络控制设备。
  7. 根据权利要求6所述的网络访问控制系统，其特征在于，所述网络控制设备根据所述第一映射表，查找与所述网络控制设备的地址信息对应的客户端的地址信息；
    并将所述反馈数据发送至查找到的与所述客户端的地址信息对应的客户端。
  8. 一种网络访问控制方法，其特征在于，所述方法应用于代理服务器，所述方法包括：
    接收网络控制设备发送的网络访问请求，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
    且，所述网络访问请求为所述目标地址信息属于第一白名单的访问请求，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
    判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
  9. 根据权利要求8所述的网络访问控制方法，其特征在于，在判断所述待访问的业务服务器的地址信息属于第二白名单后，还包括：
    将所述网络控制设备的地址信息更换成所述目标地址信息，并生成所述网络控制设备的地址信息与所述目标地址信息的第二映射表。
  10. 根据权利要求9所述的网络访问控制方法，其特征在于，所述网络访 问请求还包括：待传输的数据内容，
    相应的，所述将所述网络访问请求发送至所述待访问的业务服务器，包括：
    将所述待传输的数据内容发送往所述待访问的业务服务器。
  11. 根据权利要求10所述的网络访问控制方法，其特征在于，还包括：
    接收所述待访问的业务服务器基于所述待传输的数据内容生成的反馈数据。
  12. 根据权利要求11所述的网络访问控制方法，其特征在于，还包括：
    根据所述第二映射表，查找与所述代理服务器的地址信息对应的网络控制设备的地址信息；
    并将所述反馈数据发送至查找到的与所述网络控制设备的地址信息对应的网络控制设备。
  13. 一种网络访问控制装置，其特征在于，所述网络访问控制装置为代理服务器，包括：
    第一接收模块，用于接收网络控制设备发送的网络访问请求，所述网络访问请求包括：待访问的业务服务器的地址信息以及目标地址信息，所述目标地址信息为预先配置的代理服务器的地址信息；
    且，所述网络访问请求为所述目标地址信息属于第一白名单的访问请求，所述第一白名单包括允许访问的代理服务器的地址信息的列表；
    判断模块，用于判断所述待访问的业务服务器的地址信息是否属于第二白名单，如果属于，将所述网络访问请求发送至所述待访问的业务服务器，所述第二白名单包括允许访问的业务服务器的地址信息的列表。
  14. 根据权利要求13所述的网络访问控制装置，其特征在于，还包括：
    处理模块，用于将所述网络控制设备的地址信息更换成所述目标地址信息，并生成所述网络控制设备的地址信息与所述目标地址信息的第二映射表。
  15. 根据权利要求14所述的网络访问控制装置，其特征在于，还包括：
    发送模块，用于将所述待传输的数据内容发送往所述待访问的业务服务器。
  16. 根据权利要求15所述的网络访问控制装置，其特征在于，还包括：
    第二接收模块，用于接收所述待访问的业务服务器基于所述待传输的数据 内容生成的反馈数据。
  17. 根据权利要求16所述的网络访问控制装置，其特征在于，还包括查找模块，
    所述查找模块，用于根据所述第二映射表，查找与所述代理服务器的地址信息对应的网络控制设备的地址信息；
    所述发送模块，还用于将所述反馈数据发送至查找到的与所述网络控制设备的地址信息对应的网络控制设备。
  18. 一种代理服务器，包括：处理器和存储器，所述存储器中存储有程序指令；
    所述处理器执行所述存储器中存储的程序指令时执行根据权利要求8至12中任一项所述的方法。
  19. 一种计算机可读存储介质，存储有程序指令，处理器执行所存储的程序指令时执行根据权利要求8至12任一项所述的方法。
PCT/CN2017/112080 2016-12-13 2017-11-21 一种网络访问控制方法、装置及系统 WO2018107943A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201611146932.2 2016-12-13
CN201611146932.2A CN108616490B (zh) 2016-12-13 2016-12-13 一种网络访问控制方法、装置及系统

Publications (1)

Publication Number Publication Date
WO2018107943A1 true WO2018107943A1 (zh) 2018-06-21

Family

ID=62557918

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/112080 WO2018107943A1 (zh) 2016-12-13 2017-11-21 一种网络访问控制方法、装置及系统

Country Status (2)

Country Link
CN (1) CN108616490B (zh)
WO (1) WO2018107943A1 (zh)

Cited By (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109842672A (zh) * 2018-12-13 2019-06-04 平安普惠企业管理有限公司 服务请求分发方法、装置、计算机设备及存储介质
CN110768849A (zh) * 2019-11-06 2020-02-07 深信服科技股份有限公司 一种网络数据查看方法及系统
CN110858173A (zh) * 2018-08-23 2020-03-03 北京搜狗科技发展有限公司 一种数据处理方法、装置和用于数据处理的装置
CN110941838A (zh) * 2019-11-12 2020-03-31 深圳昂楷科技有限公司 一种数据库访问的方法、装置以及电子设备
CN111177631A (zh) * 2019-12-31 2020-05-19 苏宁云计算有限公司 一种外网平台访问内网业务的方法和系统
CN111460460A (zh) * 2020-04-02 2020-07-28 北京金山云网络技术有限公司 任务访问方法、装置、代理服务器及机器可读存储介质
CN111913732A (zh) * 2020-08-28 2020-11-10 平安国际智慧城市科技股份有限公司 一种服务更新方法、装置及管理服务器、存储介质
CN112039869A (zh) * 2020-08-27 2020-12-04 中国建设银行股份有限公司 一种网络访问关系的建立方法、装置、存储介质及设备
CN112087819A (zh) * 2020-09-10 2020-12-15 上海连尚网络科技有限公司 一种信息请求方法、设备和计算机可读介质
CN112134866A (zh) * 2020-09-15 2020-12-25 腾讯科技（深圳）有限公司 业务访问控制方法、装置、系统及计算机可读存储介质
CN112231120A (zh) * 2020-10-17 2021-01-15 苏州斯玛维科技有限公司 服务访问方法和装置
CN112527247A (zh) * 2019-09-17 2021-03-19 西安诺瓦星云科技股份有限公司 Led显示控制系统模拟方法、装置以及系统
CN112583845A (zh) * 2020-12-24 2021-03-30 深信服科技股份有限公司 一种访问检测方法、装置、电子设备和计算机存储介质
CN113225308A (zh) * 2021-03-19 2021-08-06 深圳市网心科技有限公司 网络访问的控制方法、节点设备及服务器
CN113315772A (zh) * 2021-05-29 2021-08-27 南京步锐捷电子科技有限公司 一种基于物联网的网络访问控制实现方法
CN113810504A (zh) * 2021-09-30 2021-12-17 北京天融信网络安全技术有限公司 一种透明代理服务方法及装置
CN113890896A (zh) * 2021-09-24 2022-01-04 中移（杭州）信息技术有限公司 网络访问方法、通信设备及计算机可读存储介质
CN113938317A (zh) * 2021-11-29 2022-01-14 福建瑞网科技有限公司 一种网络安全监测方法及计算机设备
CN114024714A (zh) * 2021-09-30 2022-02-08 山东云海国创云计算装备产业创新中心有限公司 一种访问请求处理方法、装置、网卡设备及存储计算系统
CN114598552A (zh) * 2022-03-29 2022-06-07 邹瀴 接口访问控制方法、装置、电子设备和存储介质
CN114615073A (zh) * 2022-03-22 2022-06-10 广州方硅信息技术有限公司 访问流量控制方法及其装置、设备、介质
CN114629704A (zh) * 2022-03-14 2022-06-14 深圳须弥云图空间科技有限公司 协同设计软件的安全实现方法、装置、设备及存储介质
CN114640534A (zh) * 2022-03-29 2022-06-17 广州方硅信息技术有限公司 访问拦截控制方法及其装置、设备、介质
CN114915497A (zh) * 2022-07-13 2022-08-16 杭州云缔盟科技有限公司 针对Windows进程的网络访问阻断方法、装置及应用
CN117478423A (zh) * 2023-11-30 2024-01-30 东方物通科技(北京)有限公司 数据安全通信系统及方法

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109672665B (zh) * 2018-11-14 2021-10-15 北京奇艺世纪科技有限公司 一种访问控制方法、装置、系统及计算机可读存储介质
CN112637106B (zh) * 2019-09-24 2023-01-31 成都鼎桥通信技术有限公司 终端访问网站的方法及装置
CN111064675B (zh) * 2019-11-08 2023-04-28 中移（杭州）信息技术有限公司 访问流量控制方法、装置、网络设备及存储介质
CN112422429B (zh) * 2020-11-18 2022-04-22 贝壳技术有限公司 数据请求处理方法和装置、存储介质和电子设备
CN112702319B (zh) * 2020-12-11 2023-03-24 杭州安恒信息技术股份有限公司 访问请求端口的标准化方法、装置、电子设备及存储介质
CN112653759A (zh) * 2020-12-22 2021-04-13 北京东方嘉禾文化发展股份有限公司 网络访问设备及其控制方法
CN114124477B (zh) * 2021-11-05 2024-04-05 深圳市联软科技股份有限公司 一种业务服务系统及方法
CN114338809B (zh) * 2021-12-28 2024-06-25 山石网科通信技术股份有限公司 访问控制方法、装置、电子设备和存储介质
CN114401133B (zh) * 2022-01-13 2023-12-01 中电福富信息科技有限公司 一种基于代理的设备监控漏洞检测系统

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1416072A (zh) * 2002-07-31 2003-05-07 华为技术有限公司 基于认证、计费、授权协议的门户认证实现方法
CN1567872A (zh) * 2003-07-04 2005-01-19 华为技术有限公司 无线局域网中用户终端网络选择信息的交互处理方法
US20050220048A1 (en) * 2004-04-02 2005-10-06 Samsung Electronics Co., Ltd. Internet connection service method, system, and medium for mobile nodes
CN1874232A (zh) * 2005-06-01 2006-12-06 中国移动通信集团公司 基于移动通信网络的办公文件交互的方法
CN101026594A (zh) * 2007-01-23 2007-08-29 张志东 一种邮件呼叫系统及其方法
CN101374044A (zh) * 2007-08-21 2009-02-25 中国电信股份有限公司 一种使业务引擎获得用户标识的方法和系统
US20110289575A1 (en) * 2010-05-21 2011-11-24 Barracuda Networks, Inc. Directory authentication method for policy driven web filtering

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102118398B (zh) * 2011-03-31 2014-04-23 北京星网锐捷网络技术有限公司 访问控制方法、装置及系统
US8914883B2 (en) * 2013-05-03 2014-12-16 Fortinet, Inc. Securing email communications
CN104202307B (zh) * 2014-08-15 2018-06-08 小米科技有限责任公司 数据转发方法及装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1416072A (zh) * 2002-07-31 2003-05-07 华为技术有限公司 基于认证、计费、授权协议的门户认证实现方法
CN1567872A (zh) * 2003-07-04 2005-01-19 华为技术有限公司 无线局域网中用户终端网络选择信息的交互处理方法
US20050220048A1 (en) * 2004-04-02 2005-10-06 Samsung Electronics Co., Ltd. Internet connection service method, system, and medium for mobile nodes
CN1874232A (zh) * 2005-06-01 2006-12-06 中国移动通信集团公司 基于移动通信网络的办公文件交互的方法
CN101026594A (zh) * 2007-01-23 2007-08-29 张志东 一种邮件呼叫系统及其方法
CN101374044A (zh) * 2007-08-21 2009-02-25 中国电信股份有限公司 一种使业务引擎获得用户标识的方法和系统
US20110289575A1 (en) * 2010-05-21 2011-11-24 Barracuda Networks, Inc. Directory authentication method for policy driven web filtering

Cited By (36)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110858173B (zh) * 2018-08-23 2024-05-28 北京搜狗科技发展有限公司 一种数据处理方法、装置和用于数据处理的装置
CN110858173A (zh) * 2018-08-23 2020-03-03 北京搜狗科技发展有限公司 一种数据处理方法、装置和用于数据处理的装置
CN109842672B (zh) * 2018-12-13 2022-11-11 平安普惠企业管理有限公司 服务请求分发方法、装置、计算机设备及存储介质
CN109842672A (zh) * 2018-12-13 2019-06-04 平安普惠企业管理有限公司 服务请求分发方法、装置、计算机设备及存储介质
CN112527247B (zh) * 2019-09-17 2024-05-14 西安诺瓦星云科技股份有限公司 Led显示控制系统模拟方法、装置以及系统
CN112527247A (zh) * 2019-09-17 2021-03-19 西安诺瓦星云科技股份有限公司 Led显示控制系统模拟方法、装置以及系统
CN110768849A (zh) * 2019-11-06 2020-02-07 深信服科技股份有限公司 一种网络数据查看方法及系统
CN110768849B (zh) * 2019-11-06 2022-08-05 深信服科技股份有限公司 一种网络数据查看方法及系统
CN110941838A (zh) * 2019-11-12 2020-03-31 深圳昂楷科技有限公司 一种数据库访问的方法、装置以及电子设备
CN110941838B (zh) * 2019-11-12 2024-03-01 深圳昂楷科技有限公司 一种数据库访问的方法、装置以及电子设备
CN111177631A (zh) * 2019-12-31 2020-05-19 苏宁云计算有限公司 一种外网平台访问内网业务的方法和系统
CN111460460B (zh) * 2020-04-02 2023-12-05 北京金山云网络技术有限公司 任务访问方法、装置、代理服务器及机器可读存储介质
CN111460460A (zh) * 2020-04-02 2020-07-28 北京金山云网络技术有限公司 任务访问方法、装置、代理服务器及机器可读存储介质
CN112039869A (zh) * 2020-08-27 2020-12-04 中国建设银行股份有限公司 一种网络访问关系的建立方法、装置、存储介质及设备
CN111913732A (zh) * 2020-08-28 2020-11-10 平安国际智慧城市科技股份有限公司 一种服务更新方法、装置及管理服务器、存储介质
CN111913732B (zh) * 2020-08-28 2023-07-11 深圳赛安特技术服务有限公司 一种服务更新方法、装置及管理服务器、存储介质
CN112087819A (zh) * 2020-09-10 2020-12-15 上海连尚网络科技有限公司 一种信息请求方法、设备和计算机可读介质
CN112087819B (zh) * 2020-09-10 2022-05-10 上海连尚网络科技有限公司 一种信息请求方法、设备和计算机可读介质
CN112134866A (zh) * 2020-09-15 2020-12-25 腾讯科技（深圳）有限公司 业务访问控制方法、装置、系统及计算机可读存储介质
CN112231120A (zh) * 2020-10-17 2021-01-15 苏州斯玛维科技有限公司 服务访问方法和装置
CN112583845A (zh) * 2020-12-24 2021-03-30 深信服科技股份有限公司 一种访问检测方法、装置、电子设备和计算机存储介质
CN112583845B (zh) * 2020-12-24 2023-11-07 深信服科技股份有限公司 一种访问检测方法、装置、电子设备和计算机存储介质
CN113225308A (zh) * 2021-03-19 2021-08-06 深圳市网心科技有限公司 网络访问的控制方法、节点设备及服务器
CN113225308B (zh) * 2021-03-19 2022-11-08 深圳市网心科技有限公司 网络访问的控制方法、节点设备及服务器
CN113315772A (zh) * 2021-05-29 2021-08-27 南京步锐捷电子科技有限公司 一种基于物联网的网络访问控制实现方法
CN113890896A (zh) * 2021-09-24 2022-01-04 中移（杭州）信息技术有限公司 网络访问方法、通信设备及计算机可读存储介质
CN114024714A (zh) * 2021-09-30 2022-02-08 山东云海国创云计算装备产业创新中心有限公司 一种访问请求处理方法、装置、网卡设备及存储计算系统
CN113810504A (zh) * 2021-09-30 2021-12-17 北京天融信网络安全技术有限公司 一种透明代理服务方法及装置
CN113938317A (zh) * 2021-11-29 2022-01-14 福建瑞网科技有限公司 一种网络安全监测方法及计算机设备
CN114629704A (zh) * 2022-03-14 2022-06-14 深圳须弥云图空间科技有限公司 协同设计软件的安全实现方法、装置、设备及存储介质
CN114615073A (zh) * 2022-03-22 2022-06-10 广州方硅信息技术有限公司 访问流量控制方法及其装置、设备、介质
CN114640534A (zh) * 2022-03-29 2022-06-17 广州方硅信息技术有限公司 访问拦截控制方法及其装置、设备、介质
CN114598552A (zh) * 2022-03-29 2022-06-07 邹瀴 接口访问控制方法、装置、电子设备和存储介质
CN114915497A (zh) * 2022-07-13 2022-08-16 杭州云缔盟科技有限公司 针对Windows进程的网络访问阻断方法、装置及应用
CN117478423A (zh) * 2023-11-30 2024-01-30 东方物通科技(北京)有限公司 数据安全通信系统及方法
CN117478423B (zh) * 2023-11-30 2024-05-03 东方物通科技(北京)有限公司 数据安全通信系统及方法

Also Published As

Publication number Publication date
CN108616490A (zh) 2018-10-02
CN108616490B (zh) 2020-11-03

Similar Documents

Publication Publication Date Title
WO2018107943A1 (zh) 一种网络访问控制方法、装置及系统
US11303647B1 (en) Synthetic request injection to disambiguate bypassed login events for cloud policy enforcement
US11838299B2 (en) Cloud-based web content processing system providing client threat isolation and data integrity
US10263958B2 (en) Internet mediation
US11184403B1 (en) Synthetic request injection to generate metadata at points of presence for cloud security enforcement
US11178188B1 (en) Synthetic request injection to generate metadata for cloud policy enforcement
US11831683B2 (en) Cloud object security posture management
US11271972B1 (en) Data flow logic for synthetic request injection for cloud security enforcement
CN110311929B (zh) 一种访问控制方法、装置及电子设备和存储介质
US9043864B2 (en) Constraint definition for conditional policy attachments
US11271973B1 (en) Synthetic request injection to retrieve object metadata for cloud policy enforcement
US11336698B1 (en) Synthetic request injection for cloud policy enforcement
US9986279B2 (en) Discovery, access control, and communication with networked services
US11647052B2 (en) Synthetic request injection to retrieve expired metadata for cloud policy enforcement
US20120278854A1 (en) System and method for device addressing
US8122129B2 (en) Hash-based resource matching
WO2022214019A1 (zh) 一种部署网络设备的方法、装置、设备、系统及存储介质
JP2021093198A (ja) パーソナルユーザデバイスおよびデータ分配デバイスを用いたストレージシステムの実現
US9207953B1 (en) Method and apparatus for managing a proxy autoconfiguration in SSL VPN
WO2021093510A1 (zh) 网络业务的处理方法、系统和网关设备
WO2022226202A1 (en) Synthetic request injection to retrieve object metadata for cloud policy enforcement
WO2022226208A1 (en) Synthetic request injection to improve object security posture for cloud security enforcement
Smedshammer Discovering Novel Semantic Gap Attacks: A hands-on evaluation of the security of popular reverse proxies and web servers
EP4327518A1 (en) Synthetic request injection to generate metadata for cloud security enforcement
WO2022226210A1 (en) Synthetic request injection for cloud policy enforcement

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17879937

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17879937

Country of ref document: EP

Kind code of ref document: A1