CN113852697A - 一种sdp终端流量代理方法、装置、设备及存储介质 - Google Patents
一种sdp终端流量代理方法、装置、设备及存储介质 Download PDFInfo
- Publication number
- CN113852697A CN113852697A CN202111416636.0A CN202111416636A CN113852697A CN 113852697 A CN113852697 A CN 113852697A CN 202111416636 A CN202111416636 A CN 202111416636A CN 113852697 A CN113852697 A CN 113852697A
- Authority
- CN
- China
- Prior art keywords
- sdp
- terminal
- data packet
- request
- knock
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 37
- 238000004590 computer program Methods 0.000 claims description 16
- 230000005540 biological transmission Effects 0.000 claims description 10
- 230000004044 response Effects 0.000 claims description 7
- 230000004048 modification Effects 0.000 claims description 4
- 238000012986 modification Methods 0.000 claims description 4
- 230000003321 amplification Effects 0.000 description 9
- 238000003199 nucleic acid amplification method Methods 0.000 description 9
- 238000004891 communication Methods 0.000 description 6
- 238000010586 diagram Methods 0.000 description 5
- 230000008569 process Effects 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- 238000012546 transfer Methods 0.000 description 3
- 238000012545 processing Methods 0.000 description 2
- 230000000977 initiatory effect Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000001052 transient effect Effects 0.000 description 1
- 230000005641 tunneling Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/50—Network services
- H04L67/56—Provisioning of proxy services
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本申请公开了一种SDP终端流量代理方法、装置、设备及存储介质。该方法包括：通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。能够实现对四层流量的鉴权管控。
Description
技术领域
本发明涉及计算机技术领域，特别涉及一种SDP终端流量代理方法、装置、设备及存储介质。
背景技术
目前，SDP（Software Defined Perimeter，软件定义边界）是零信任重要的技术方向之一，其主要目的是减少应用网关端口暴露，主要逻辑是通过敲门的方式，逐步放开客户端IP到应用网关TCP（Transmission Control Protocol，传输控制协议）端口的访问策略（一般通过iptables控制），但现实中多个终端的流量的出口IP可能相同，就会带来端口策略放大的问题。并且，对于零信任应用网关来说，其只能获取流量经过的最后一个网络节点的IP地址，对于使用了同一个出口IP的多个终端来说，就会存在敲门放大的问题，就是说A终端通过敲门开放的端口可能被B终端利用。另外，如果终端访问的是http应用，应用网关可以通过获取流量中的设备信息进而获取到绑定用户，再根据用户的权限对http流量进行管控，从而保证非敲门通过的终端流量不能进行访问。但是针对终端的四层流量，主要分析IP层及TCP/UDP（User Datagram Protocol，用户数据包协议）层，因此终端的四层流量通过应用网关时无法附带设备信息，所以无法进行管控。
发明内容
有鉴于此，本发明的目的在于提供一种SDP终端流量代理方法、装置、设备及介质，能够实现对终端的四层流量的鉴权控制，解决了传统零信任SDP存在的敲门放大和四层流量无法管控的问题。其具体方案如下：
第一方面，本申请公开了一种SDP终端流量代理方法，包括：
通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；
通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；
通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。
可选的，所述通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，包括：
通过SDP终端代理按照用户数据包协议向SDP控制器发送敲门请求，以便所述SDP控制器在接收到所述敲门请求后，通知目标网关所述敲门请求对应的敲门状态以及所述敲门请求对应的访问端口策略，并通过所述SDP控制器接收所述目标网关在执行所述访问端口策略后反馈的执行结果；
通过所述SDP终端代理接收所述SDP控制器转发的所述执行结果，以得到所述敲门请求对应的敲门结果。
可选的，所述通过物理网卡获取用户对目标应用的应用访问请求，并根据所述敲门结果配置终端的路由表，包括：
通过所述SDP终端代理，根据所述敲门结果配置终端的路由表，以便所述用户通过客户端软件访问应用的流量在经过所述物理网卡时转发给所述HTTP隧道客户端。
可选的，所述通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，包括：
获取本地终端对应的设备标识信息；所述设备标识信息包括设备唯一标识、设备型号、设别识别码中的任意一项或多项；
将所述设备标识信息添加到所述应用访问请求对应的数据包内。
可选的，所述通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，包括：
通过所述HTTP隧道客户端，按照端到端的数据传输方式将所述修改后数据包发送给所述目标网关的HTTP隧道服务端。
可选的，所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制，包括：
通过所述目标网关的HTTP隧道服务端解析所述修改后数据包，并将解析后数据包发送给所述目标网关的网关代理服务，以便所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制。
可选的，所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制，包括：
通过所述网关代理服务，根据所述解析后数据包内所述设备标识信息判断所述终端绑定的用户是否具有访问所述目标应用的权限；
若所述用户具有访问所述目标应用的权限，则将所述应用访问请求转发给对应的应用服务；
若所述用户不具有访问所述目标应用的权限，则拒绝响应。
第二方面，本申请公开了一种SDP终端流量代理装置，包括：
敲门请求发送模块，用于通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；
数据包修改模块，用于通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；
数据包发送模块，用于通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。
第三方面，本申请公开了一种电子设备，包括：
存储器，用于保存计算机程序；
处理器，用于执行所述计算机程序，以实现前述的SDP终端流量代理方法。
第四方面，本申请公开了一种计算机可读存储介质，用于存储计算机程序；其中计算机程序被处理器执行时实现前述的SDP终端流量代理方法。
本申请中，通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。由上可见，本实施例中终端内的SDP终端代理在接收到敲门结果后，根据敲门结果修改终端的路由表，使得物理网卡根据上述路由表将用户发送的应用访问请求转发给终端上的HTTP隧道客户端，并由终端上的HTTP隧道客户端向上述应用访问请求中添加上述终端对应的设备标识信息，然后再转发给目标网关上的HTTP隧道服务端，由此目标网关可以根据应用访问请求中携带的设备标识信息进行权限管理，实现对终端的四层流量的鉴权控制，没有权限的流量不能通过网关到达真实服务，解决了传统零信任SDP存在的敲门放大和四层流量无法管控的问题，提高了网络安全性；并且本申请网关仅开放一个HTTP端口即可实现流量传输，相比于现有技术中，传统的零信任SDP方案中只能针对终端IP和应用端口做访问策略控制，不同应用类型由于使用不同的端口(比如数据库端口、FTP（File Transfer Protocol，文件传输协议）端口等)，仅开放一个流量端口，减少了攻击面。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请提供的一种SDP终端流量代理方法流程图；
图2为本申请提供的一种具体的SDP终端流量代理系统结构图；
图3为本申请提供的一种SDP终端流量代理装置结构示意图；
图4为本申请提供的一种电子设备结构图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
现有技术中，SDP通过敲门的方式，逐步放开客户端IP到应用网关TCP端口的访问策略，但现实中多个终端的流量的出口IP可能相同，就会带来端口策略放大的问题，并且针对四层流量无法进行鉴权管控。为克服上述技术问题，本申请提出一种SDP终端流量代理方法，能够实现对终端的四层流量的鉴权控制，解决了传统零信任SDP存在的敲门放大和四层流量无法管控的问题。
本申请实施例公开了一种SDP终端流量代理方法，参见图1所示，该方法可以包括以下步骤：
步骤S11：通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表。
本实施例中，首先终端的SDP终端代理向SDP控制器发送敲门请求，并接收SDP控制器根据上述敲门请求访问目标网关后获取的敲门结果，然后根据上述敲门结果配置终端的路由表。敲门结果具体包含敲门和端口策略开通结果。
本实施例中，所述通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，可以包括：通过SDP终端代理按照用户数据包协议向SDP控制器发送敲门请求，以便所述SDP控制器在接收到所述敲门请求后，通知目标网关所述敲门请求对应的敲门状态以及所述敲门请求对应的访问端口策略，并通过所述SDP控制器接收所述目标网关在执行所述访问端口策略后反馈的执行结果；通过所述SDP终端代理接收所述SDP控制器转发的所述执行结果，以得到所述敲门请求对应的敲门结果。其中，上述敲门请求具体可以为UDP（User Datagram Protocol，用户数据包协议）敲门请求，即SDP控制器在接收到敲门请求后，会通知目标网关该敲门请求对应的敲门状态以及访问端口策略，并接收所述目标网关在执行访问端口策略后反馈的执行结果，然后将该执行结果反馈给SDP终端代理，执行结果即敲门和端口策略开通结果。
本实施例中，所述根据所述敲门结果配置终端的路由表，可以包括：通过所述SDP终端代理，根据所述敲门结果配置终端的路由表，以便所述用户通过客户端软件访问应用的流量在经过所述物理网卡时转发给所述HTTP隧道客户端。即此处配置终端路由表用于后续物理网卡将用户对目标应用的应用访问请求转发给终端的HTTP隧道客户端。
本实施例中，所述SDP控制器根据所述敲门请求访问目标网关，可以包括：所述SDP控制器根据所有网关的负载情况确定出目标网关，并根据所述述敲门请求访问所述目标网关。也就是说，本实施例中，应用网关的流量分发是有SDP控制器完成的，可以将流量负载均衡到多个应用网关，从而实现应用网关的横向扩展，解决应用网关负载均衡问题。
步骤S12：通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息。
本实施例中，当用户通过软件访问目标应用时，流量会经过物理网卡，物理网卡在获取到用户对目标应用的应用访问请求后，根据路由表将上述应用访问请求发送给HTTP隧道客户端，以便通过HTTP隧道客户端修改应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息，上述数据包具体为TCP数据包。即路由表配置时，SDP终端代理会根据上述HTTP隧道客户端对应的路由信息修改终端对应的路由表，以便上述用户通过客户端软件访问应用的流量在经过物理网卡时转发给上述HTTP隧道客户端，在由HTTP隧道客户端将终端对应的设备标识信息添加到应用访问请求对应的数据包内。
本实施例中，所述通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，可以包括：获取本地终端对应的设备标识信息；所述设备标识信息包括设备唯一标识、设备型号、设别识别码中的任意一项或多项；将所述设备标识信息添加到所述应用访问请求对应的数据包内。即将本地终端对应的设备唯一标识、设备型号、设别识别码中的任意一项或多项作为设备标识信息，添加到所述应用访问请求对应的数据包内。
步骤S13：通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。
本实施例中，HTTP隧道客户端将设备标识信息添加到应用访问请求对应的数据包内后，将修改后数据包发送给上述目标网关的HTTP隧道服务端，以便所述目标网关根据修改后数据包内的设备标识信息对用户进行权限控制。
本实施例中，所述通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，可以包括：通过所述HTTP隧道客户端，按照端到端的数据传输方式将所述修改后数据包发送给所述目标网关的HTTP隧道服务端。即终端上的HTTP隧道客户端与目标网关上的HTTP隧道服务端之间通过HTTP隧道进行端到端的数据传输。
本实施例中，所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制，可以包括：通过所述目标网关的HTTP隧道服务端解析所述修改后数据包，并将解析后数据包发送给所述目标网关的网关代理服务，以便所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制。即目标网关通过解析修改后数据包，得到设备标识信息，来判断发起上述应用访问请求的终端是否存在访问权限。
本实施例中，所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制，可以包括：通过所述网关代理服务，根据所述解析后数据包内所述设备标识信息判断所述终端绑定的用户是否具有访问所述目标应用的权限；若所述用户具有访问所述目标应用的权限，则将所述应用访问请求转发给对应的应用服务；若所述用户不具有访问所述目标应用的权限，则拒绝响应。即具体可以通过目标网关内的网关代理服务，根据解析后数据包内的设备标识信息判断终端绑定的用户是否具有访问目标应用的权限；若判断出用户具有访问目标应用的权限，则将上述应用访问请求转发给对应的应用服务；若上述用户不具有访问目标应用的权限，则拒绝响应，由此实现对四层流量的权限管控。
由上可见，本实施例中终端内的SDP终端代理在接收到敲门结果后，根据敲门结果修改终端的路由表，使得物理网卡根据上述路由表将用户发送的应用访问请求转发给终端上的HTTP隧道客户端，并由终端上的HTTP隧道客户端向上述应用访问请求中添加上述终端对应的设备标识信息，然后再转发给目标网关上的HTTP隧道服务端，由此目标网关可以根据应用访问请求中携带的设备标识信息进行权限管理，实现对终端的四层流量的鉴权控制，没有权限的流量不能通过网关到达真实服务，解决了传统零信任SDP存在的敲门放大和四层流量无法管控的问题，提高了网络安全性；并且本申请网关仅开放一个HTTP端口即可实现流量传输，相比于现有技术中，传统的零信任SDP方案中只能针对终端IP和应用端口做访问策略控制，不同应用类型由于使用不同的端口(比如数据库端口、FTP（File TransferProtocol，文件传输协议）端口等)，仅开放一个流量端口，减少了攻击面。
进一步，以图2所示的一种具体的SDP终端流量代理系统结构图为例，对SDP终端流量代理过程进行说明，
1、用户终端上的SDP终端代理（SDPAgent）向SDP控制器（SDPController）发起敲门请求；
2、SDP控制器通知网关（DSG）SDP终端代理的敲门状态，以及相应的TCP访问端口策略；
3、网关告知SDP控制器端口策略执行结果；
4、SDP控制器通知SDP终端代理敲门和端口策略开通结果；
5、SDP终端代理修改用户终端的路由表（Routing Table）；
6、用户通过客户端软件访问应用（DSG代理后的地址），流量会经过物理网卡（Physical Adapter）；
7、物理网卡的流量通过路由表策略导流到HTTP隧道客户端（Http TunnelClient）；
8、HTTP隧道客户端修改流量数据包，添加设备标识信息系等，并通过端到端的方式将流量发送到网关的HTTP隧道服务端（HttpTunnelServer）；
9、HTTP隧道服务端（HttpTunnelServer）解析收到的流量并将数据包交给网关代理服务（DSGProxy）处理；
10、网关代理服务根据收到的数据包的设备标识，对终端设备绑定的用户进行鉴权，判断流量是否允许经过，如果没有权限，则拒绝响应，有权限的流量则转发到应用的真实服务。对于端口策略放大的问题，因为有设备和绑定用户的鉴权，所以没有权限的终端流量不会代理到真实服务，从而对真实应用起到保护作用。
可见，本实施例中使用HTTP隧道技术，通过修改终端路由表，零信任SDPAgent代理并修改（附加终端设备信息）终端四层流量和HTTP流量的数据包并通过隧道发送到应用网关，实现在流量在应用网关的访问控制和代理，解决传统零信任SDP存在的敲门放大和四层流量无法管控的问题。
相应的，本申请实施例还公开了一种SDP终端流量代理装置，参见图3所示，该装置包括：
敲门请求发送模块11，用于通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；
数据包修改模块12，用于通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；
数据包发送模块13，用于通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。
由上可见，本实施例中终端内的SDP终端代理在接收到敲门结果后，根据敲门结果修改终端的路由表，使得物理网卡根据上述路由表将用户发送的应用访问请求转发给终端上的HTTP隧道客户端，并由终端上的HTTP隧道客户端向上述应用访问请求中添加上述终端对应的设备标识信息，然后再转发给目标网关上的HTTP隧道服务端，由此目标网关可以根据应用访问请求中携带的设备标识信息进行权限管理，实现对终端的四层流量的鉴权控制，没有权限的流量不能通过网关到达真实服务，解决了传统零信任SDP存在的敲门放大和四层流量无法管控的问题，提高了网络安全性；并且本申请网关仅开放一个HTTP端口即可实现流量传输，相比于现有技术中，传统的零信任SDP方案中只能针对终端IP和应用端口做访问策略控制，不同应用类型由于使用不同的端口(比如数据库端口、FTP（File TransferProtocol，文件传输协议）端口等)，仅开放一个流量端口，减少了攻击面。
在一些具体实施例中，所述敲门请求发送模块11具体可以包括：
敲门请求发送单元，用于通过SDP终端代理按照用户数据包协议向SDP控制器发送敲门请求，以便所述SDP控制器在接收到所述敲门请求后，通知目标网关所述敲门请求对应的敲门状态以及所述敲门请求对应的访问端口策略，并通过所述SDP控制器接收所述目标网关在执行所述访问端口策略后反馈的执行结果；
敲门结果接收单元，用于通过所述SDP终端代理接收所述SDP控制器转发的所述执行结果，以得到所述敲门请求对应的敲门结果。
在一些具体实施例中，所述敲门请求发送模块11具体可以包括：
路由表修改单元，用于通过所述SDP终端代理，根据所述HTTP隧道客户端对应的路由信息修改终端对应的路由表，以便所述用户通过客户端软件访问应用的流量在经过所述物理网卡时转发给所述HTTP隧道客户端。
在一些具体实施例中，所述数据包修改模块12具体可以包括：
设备标识信息获取单元，用于获取本地终端对应的设备标识信息；所述设备标识信息包括设备唯一标识、设备型号、设别识别码中的任意一项或多项；
设备标识信息添加单元，用于将所述设备标识信息添加到所述应用访问请求对应的数据包内。
在一些具体实施例中，所述数据包发送模块13具体可以包括：
数据包发送单元，用于通过所述HTTP隧道客户端，按照端到端的数据传输方式将所述修改后数据包发送给所述目标网关的HTTP隧道服务端。
在一些具体实施例中，所述SDP终端流量代理装置具体可以包括：
权限控制单元，用于通过所述目标网关的HTTP隧道服务端解析所述修改后数据包，并将解析后数据包发送给所述目标网关的网关代理服务，以便所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制。
在一些具体实施例中，所述权限控制单元具体可以包括：
权限判断单元，用于通过所述网关代理服务，根据所述解析后数据包内所述设备标识信息判断所述终端绑定的用户是否具有访问所述目标应用的权限；
请求转发单元，用于若所述用户具有访问所述目标应用的权限，则将所述应用访问请求转发给对应的应用服务；
拒绝响应单元，用于若所述用户不具有访问所述目标应用的权限，则拒绝响应。
进一步的，本申请实施例还公开了一种电子设备，参见图4所示，图中的内容不能被认为是对本申请的使用范围的任何限制。
图4为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、电源23、通信接口24、输入输出接口25和通信总线26。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现前述任一实施例公开的SDP终端流量代理方法中的相关步骤。
本实施例中，电源23用于为电子设备20上的各硬件设备提供工作电压；通信接口24能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。
另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源包括操作系统221、计算机程序222及包括应用访问请求在内的数据223等，存储方式可以是短暂存储或者永久存储。
其中，操作系统221用于管理与控制电子设备20上的各硬件设备以及计算机程序222，以实现处理器21对存储器22中海量数据223的运算与处理，其可以是Windows Server、Netware、Unix、Linux等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的SDP终端流量代理方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。
进一步的，本申请实施例还公开了一种计算机存储介质，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现前述任一实施例公开的SDP终端流量代理方法步骤。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器（RAM）、内存、只读存储器（ROM）、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上对本发明所提供的一种SDP终端流量代理方法、装置、设备及介质进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。
Claims (10)
1.一种SDP终端流量代理方法，其特征在于，应用于终端，包括：
通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；
通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；
通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。
2.根据权利要求1所述的SDP终端流量代理方法，其特征在于，所述通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，包括：
通过SDP终端代理按照用户数据包协议向SDP控制器发送敲门请求，以便所述SDP控制器在接收到所述敲门请求后，通知目标网关所述敲门请求对应的敲门状态以及所述敲门请求对应的访问端口策略，并通过所述SDP控制器接收所述目标网关在执行所述访问端口策略后反馈的执行结果；
通过所述SDP终端代理接收所述SDP控制器转发的所述执行结果，以得到所述敲门请求对应的敲门结果。
3.根据权利要求1所述的SDP终端流量代理方法，其特征在于，所述根据所述敲门结果配置终端的路由表，包括：
通过所述SDP终端代理，根据所述敲门结果配置终端的路由表，以便所述用户通过客户端软件访问应用的流量在经过所述物理网卡时转发给所述HTTP隧道客户端。
4.根据权利要求1所述的SDP终端流量代理方法，其特征在于，所述通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，包括：
获取本地终端对应的设备标识信息；所述设备标识信息包括设备唯一标识、设备型号、设别识别码中的任意一项或多项；
将所述设备标识信息添加到所述应用访问请求对应的数据包内。
5.根据权利要求1所述的SDP终端流量代理方法，其特征在于，所述通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，包括：
通过所述HTTP隧道客户端，按照端到端的数据传输方式将所述修改后数据包发送给所述目标网关的HTTP隧道服务端。
6.根据权利要求1至5任一项所述的SDP终端流量代理方法，其特征在于，所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制，包括：
通过所述目标网关的HTTP隧道服务端解析所述修改后数据包，并将解析后数据包发送给所述目标网关的网关代理服务，以便所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制。
7.根据权利要求6所述的SDP终端流量代理方法，其特征在于，所述网关代理服务根据所述解析后数据包内的所述设备标识信息对所述用户进行权限控制，包括：
通过所述网关代理服务，根据所述解析后数据包内所述设备标识信息判断所述终端绑定的用户是否具有访问所述目标应用的权限；
若所述用户具有访问所述目标应用的权限，则将所述应用访问请求转发给对应的应用服务；
若所述用户不具有访问所述目标应用的权限，则拒绝响应。
8.一种SDP终端流量代理装置，其特征在于，应用于终端，包括：
敲门请求发送模块，用于通过SDP终端代理向SDP控制器发送敲门请求，并接收所述SDP控制器根据所述敲门请求访问目标网关后获取的敲门结果，然后根据所述敲门结果配置终端的路由表；
数据包修改模块，用于通过物理网卡获取用户对目标应用的应用访问请求，并根据所述路由表将所述应用访问请求发送给HTTP隧道客户端，以便通过所述HTTP隧道客户端修改所述应用访问请求对应的数据包，使修改后数据包中包含本地终端对应的设备标识信息；
数据包发送模块，用于通过所述HTTP隧道客户端将所述修改后数据包发送给所述目标网关的HTTP隧道服务端，以便所述目标网关根据所述修改后数据包内的所述设备标识信息对所述用户进行权限控制。
9.一种电子设备，其特征在于，包括：
存储器，用于保存计算机程序；
处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的SDP终端流量代理方法。
10.一种计算机可读存储介质，其特征在于，用于存储计算机程序；其中计算机程序被处理器执行时实现如权利要求1至7任一项所述的SDP终端流量代理方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111416636.0A CN113852697B (zh) | 2021-11-26 | 2021-11-26 | 一种sdp终端流量代理方法、装置、设备及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111416636.0A CN113852697B (zh) | 2021-11-26 | 2021-11-26 | 一种sdp终端流量代理方法、装置、设备及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN113852697A true CN113852697A (zh) | 2021-12-28 |
| CN113852697B CN113852697B (zh) | 2022-03-25 |
Family
ID=78982126
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202111416636.0A Active CN113852697B (zh) | 2021-11-26 | 2021-11-26 | 一种sdp终端流量代理方法、装置、设备及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113852697B (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114401327A (zh) * | 2022-03-03 | 2022-04-26 | 安徽省广播电视监测台 | 一种基于零信任模型的服务隐藏架构及实现方法 |
Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107248911A (zh) * | 2017-06-02 | 2017-10-13 | 中国石油大学(华东) | 一种基于地址敲门的扩展序列隐蔽认证方法 |
| CN108449354A (zh) * | 2018-03-30 | 2018-08-24 | 杭州安恒信息技术股份有限公司 | 一种基于敲门约定的加固服务器登录安全方法、装置及服务器 |
| CN109561066A (zh) * | 2018-10-15 | 2019-04-02 | 深圳前海达闼云端智能科技有限公司 | 数据处理方法、装置、终端及接入点计算机 |
| CN110830447A (zh) * | 2019-10-14 | 2020-02-21 | 云深互联(北京)科技有限公司 | 一种spa单包授权的方法及装置 |
| CN110830444A (zh) * | 2019-10-14 | 2020-02-21 | 云深互联(北京)科技有限公司 | 一种单包增强安全验证的方法和装置 |
| US20200403787A1 (en) * | 2019-06-21 | 2020-12-24 | Verizon Patent And Licensing Inc. | Quantum entropy distributed via software defined perimeter connections |
| CN112261067A (zh) * | 2020-12-21 | 2021-01-22 | 江苏易安联网络技术有限公司 | 一种多级单包授权的方法及系统 |
| CN112822158A (zh) * | 2020-12-25 | 2021-05-18 | 网神信息技术（北京）股份有限公司 | 网络的访问方法、装置、电子设备及存储介质 |
| CN113572738A (zh) * | 2021-06-29 | 2021-10-29 | 中孚安全技术有限公司 | 一种零信任网络架构及构建方法 |
-
2021
- 2021-11-26 CN CN202111416636.0A patent/CN113852697B/zh active Active
Patent Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107248911A (zh) * | 2017-06-02 | 2017-10-13 | 中国石油大学(华东) | 一种基于地址敲门的扩展序列隐蔽认证方法 |
| CN108449354A (zh) * | 2018-03-30 | 2018-08-24 | 杭州安恒信息技术股份有限公司 | 一种基于敲门约定的加固服务器登录安全方法、装置及服务器 |
| CN109561066A (zh) * | 2018-10-15 | 2019-04-02 | 深圳前海达闼云端智能科技有限公司 | 数据处理方法、装置、终端及接入点计算机 |
| US20200403787A1 (en) * | 2019-06-21 | 2020-12-24 | Verizon Patent And Licensing Inc. | Quantum entropy distributed via software defined perimeter connections |
| CN110830447A (zh) * | 2019-10-14 | 2020-02-21 | 云深互联(北京)科技有限公司 | 一种spa单包授权的方法及装置 |
| CN110830444A (zh) * | 2019-10-14 | 2020-02-21 | 云深互联(北京)科技有限公司 | 一种单包增强安全验证的方法和装置 |
| CN112261067A (zh) * | 2020-12-21 | 2021-01-22 | 江苏易安联网络技术有限公司 | 一种多级单包授权的方法及系统 |
| CN112822158A (zh) * | 2020-12-25 | 2021-05-18 | 网神信息技术（北京）股份有限公司 | 网络的访问方法、装置、电子设备及存储介质 |
| CN113572738A (zh) * | 2021-06-29 | 2021-10-29 | 中孚安全技术有限公司 | 一种零信任网络架构及构建方法 |
Non-Patent Citations (3)
| Title |
|---|
| 仇静; 李娜: "基于零信任SDP的高校网络安全防护的研究", 《电子技术与软件工程 》 * |
| 潘吴斌; 任国强: "软件定义边界SDP:概念、技术及应用研究综述", 《数字通信世界》 * |
| 钟咏涛: "端口敲门技术在网络安全中的应用", 《电脑知识与技术》 * |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114401327A (zh) * | 2022-03-03 | 2022-04-26 | 安徽省广播电视监测台 | 一种基于零信任模型的服务隐藏架构及实现方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN113852697B (zh) | 2022-03-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11190489B2 (en) | Methods and systems for establishing a connection between a first device and a second device across a software-defined perimeter | |
| CN112822158B (zh) | 网络的访问方法、装置、电子设备及存储介质 | |
| EP3494682B1 (en) | Security-on-demand architecture | |
| RU2646343C1 (ru) | Объекты виртуального сетевого интерфейса | |
| WO2022247751A1 (zh) | 远程访问应用的方法、系统、装置、设备及存储介质 | |
| CN101218577B (zh) | 用于远程网络访问的统一体系结构 | |
| US9258308B1 (en) | Point to multi-point connections | |
| CN110311929B (zh) | 一种访问控制方法、装置及电子设备和存储介质 | |
| US10523636B2 (en) | Enterprise mobility management and network micro-segmentation | |
| EP3800564B1 (en) | Secure communication method and system using network socket proxying | |
| US20100071048A1 (en) | Service binding | |
| CN108616490A (zh) | 一种网络访问控制方法、装置及系统 | |
| US9246906B1 (en) | Methods for providing secure access to network resources and devices thereof | |
| JP2017518696A (ja) | パブリッククラウドのプライベートネットワーク資源との接続 | |
| US10595320B2 (en) | Delegating policy through manufacturer usage descriptions | |
| WO2017152754A1 (zh) | 软件定义网路sdn安全通信的方法及装置 | |
| CN110971569A (zh) | 网络访问权限管理方法、装置及计算设备 | |
| US11368448B2 (en) | Passwordless privilege access | |
| CN108200039B (zh) | 基于动态创建临时账号密码的无感知认证授权系统和方法 | |
| US11201915B1 (en) | Providing virtual server identity to nodes in a multitenant serverless execution service | |
| US9306955B2 (en) | Early policy evaluation of multiphase attributes in high-performance firewalls | |
| CN113852697B (zh) | 一种sdp终端流量代理方法、装置、设备及存储介质 | |
| US9680871B2 (en) | Adopting policy objects for host-based access control | |
| CN114285821B (zh) | 一种域名解析方法、装置、电子设备、存储介质及产品 | |
| CN114500380A (zh) | 流量控制方法、装置及电子设备 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| EE01 | Entry into force of recordation of patent licensing contract |
Application publication date: 20211228 Assignee: Hangzhou Anheng Information Security Technology Co.,Ltd. Assignor: Dbappsecurity Co.,Ltd. Contract record no.: X2024980043367 Denomination of invention: SDP terminal traffic proxy method, device, equipment, and storage medium Granted publication date: 20220325 License type: Common License Record date: 20241231 |
|
| EE01 | Entry into force of recordation of patent licensing contract |