反向被動代理方法及裝置與流程

本發(fā)明實施例涉及通信技術(shù)領(lǐng)域，尤其涉及一種反向被動代理方法及裝置。

背景技術(shù)：

反向代理(Reverse Proxy，簡稱RP)方式是指代理服務(wù)器接收客戶端發(fā)起的連接請求，將該連接請求發(fā)給服務(wù)器，服務(wù)器對該連接請求產(chǎn)生反饋響應(yīng)，代理服務(wù)器將該反饋響應(yīng)發(fā)送給客戶端，該代理服務(wù)器相對于客戶端而言表現(xiàn)為一個反向代理服務(wù)器。

若將客戶端所在的網(wǎng)絡(luò)作為外網(wǎng)，將服務(wù)器所在的網(wǎng)絡(luò)作為內(nèi)網(wǎng)，則現(xiàn)有的反向代理方式只能是外網(wǎng)主動連接內(nèi)網(wǎng)，若外網(wǎng)中存在安全性較低的客戶端通過代理服務(wù)器攻擊內(nèi)網(wǎng)，將會大大降低內(nèi)網(wǎng)的安全性。

技術(shù)實現(xiàn)要素：

本發(fā)明實施例提供一種反向被動代理方法及裝置，以大大提高內(nèi)網(wǎng)的安全性。

本發(fā)明實施例的一個方面是提供一種反向被動代理方法，包括：

獲取客戶端發(fā)送的第一連接請求；

緩存所述第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求；

若接收到所述服務(wù)器發(fā)送的第二連接請求，則向所述服務(wù)器發(fā)送第一連接請求；

接收所述服務(wù)器依據(jù)所述第一連接請求反饋的響應(yīng)信息，并將所述響應(yīng)信息發(fā)送給所述客戶端。

本發(fā)明實施例的另一個方面是提供一種反向被動代理裝置，包括：

獲取模塊，用于獲取客戶端發(fā)送的第一連接請求；

緩存模塊，用于緩存所述第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求；

接收模塊，用于接收到所述服務(wù)器發(fā)送的第二連接請求；接收所述服務(wù)器依據(jù)所述第一連接請求反饋的響應(yīng)信息；

發(fā)送模塊，用于向所述服務(wù)器發(fā)送第一連接請求；將所述響應(yīng)信息發(fā)送給所述客戶端。

本發(fā)明實施例提供的反向被動代理方法及裝置，通過反向代理設(shè)備接收客戶端發(fā)送的第一連接請求，緩存該第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求，當(dāng)服務(wù)器主動向反向代理設(shè)備發(fā)送第二連接請求后，反向代理設(shè)備再將第一連接請求發(fā)送給服務(wù)器，在TCP的握手方向上，將反向代理設(shè)備改進(jìn)成了被動握手方，將服務(wù)器改進(jìn)成了主動握手方，實現(xiàn)了內(nèi)網(wǎng)主動連接外網(wǎng)，防止內(nèi)網(wǎng)受到外網(wǎng)的攻擊，大大提高了內(nèi)網(wǎng)的安全性。

附圖說明

圖1為本發(fā)明實施例提供的反向被動代理方法流程圖；

圖2為本發(fā)明實施例提供的反向被動代理方法適用的網(wǎng)絡(luò)架構(gòu)圖；

圖3為本發(fā)明實施例提供的反向被動代理方法適用的信令圖；

圖4為本發(fā)明另一實施例提供的反向被動代理方法流程圖；

圖5為本發(fā)明另一實施例提供的反向被動代理方法流程圖；

圖6為本發(fā)明實施例提供的反向被動代理裝置的結(jié)構(gòu)圖；

圖7為本發(fā)明另一實施例提供的反向被動代理裝置的結(jié)構(gòu)圖。

具體實施方式

圖1為本發(fā)明實施例提供的反向被動代理方法流程圖；圖2為本發(fā)明實施例提供的反向被動代理方法適用的網(wǎng)絡(luò)架構(gòu)圖；圖3為本發(fā)明實施例提供的反向被動代理方法適用的信令圖。本發(fā)明實施例針對現(xiàn)有的反向代理方式只能是外網(wǎng)主動連接內(nèi)網(wǎng)，若外網(wǎng)中存在完全性較低的客戶端通過代理服務(wù)器攻擊內(nèi)網(wǎng)，將會大大降低內(nèi)網(wǎng)的安全性，提供了反向被動代理方法，該方法具體步驟如下：

步驟S101、獲取客戶端發(fā)送的第一連接請求；

如圖2所示，本發(fā)明實施例提供的反向被動代理方法適用的網(wǎng)絡(luò)架構(gòu)包括客戶端22、反向代理設(shè)備23、防火墻24和服務(wù)器25，其中，客戶端22為多種形式的用戶終端設(shè)備，反向代理設(shè)備23具體可以為反向代理服務(wù)器，服務(wù)器25可以為內(nèi)部網(wǎng)絡(luò)上的服務(wù)器，如應(yīng)用程序服務(wù)器、Web服務(wù)器等。優(yōu)選的，本發(fā)明實施例將客戶端所在的網(wǎng)絡(luò)作為外網(wǎng)，將服務(wù)器所在的網(wǎng)絡(luò)作為內(nèi)網(wǎng)。

在本發(fā)明實施例中，客戶端22通過反向代理設(shè)備23訪問服務(wù)器25，具體的，客戶端22主動向反向代理設(shè)備23發(fā)送第一連接請求，該第一連接請求具體可以為超文本傳輸協(xié)議(HyperText Transfer Protocol，簡稱HTTP)請求。

步驟S102、緩存所述第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求；

反向代理設(shè)備23接收到客戶端22發(fā)送的第一連接請求具體為HTTP請求后，將HTTP請求緩存到本地的同步隊列中，不向服務(wù)器25轉(zhuǎn)發(fā)該HTTP請求，也不向客戶端22反饋任何響應(yīng)信息，而是進(jìn)入等待服務(wù)器25主動發(fā)起第二連接請求的狀態(tài)。

步驟S103、若接收到所述服務(wù)器發(fā)送的第二連接請求，則向所述服務(wù)器發(fā)送第一連接請求；

本發(fā)明實施例在傳輸控制協(xié)議(Transmission Control Protocol，簡稱TCP)的握手方向上，將反向代理設(shè)備23改進(jìn)成了被動握手方，將服務(wù)器25改進(jìn)成了主動握手方，具體的，當(dāng)服務(wù)器25通過防火墻24主動向反向代理設(shè)備23發(fā)起第二連接請求后，反向代理設(shè)備23將本地的同步隊列中的HTTP請求通過防火墻24發(fā)送給服務(wù)器25。

步驟S104、接收所述服務(wù)器依據(jù)所述第一連接請求反饋的響應(yīng)信息，并將所述響應(yīng)信息發(fā)送給所述客戶端。

服務(wù)器25依據(jù)HTTP請求產(chǎn)生HTTP響應(yīng)，將HTTP響應(yīng)通過防火墻24發(fā)送給反向代理設(shè)備23，反向代理設(shè)備23將該HTTP響應(yīng)轉(zhuǎn)發(fā)給客戶端22。

如圖3所示，本發(fā)明實施例提供的反向被動代理方法適用的信令圖包括的具體步驟如下：

步驟S11、客戶端向反向代理設(shè)備發(fā)送第一連接請求；

步驟S12、反向代理設(shè)備緩存第一連接請求；

步驟S13、服務(wù)器向防火墻發(fā)送第二連接請求；

步驟S14、防火墻向反向代理設(shè)備發(fā)送第二連接請求；

步驟S15、反向代理設(shè)備向防火墻發(fā)送第一連接請求；

步驟S16、防火墻向服務(wù)器發(fā)送第一連接請求；

步驟S17、服務(wù)器依據(jù)第一連接請求生成響應(yīng)信息；

步驟S18、服務(wù)器向防火墻發(fā)送響應(yīng)信息；

步驟S19、防火墻向反向代理設(shè)備發(fā)送響應(yīng)信息；

步驟S20、反向代理設(shè)備向客戶端發(fā)送響應(yīng)信息。

步驟S11-S20與步驟S101-S104的方法步驟一致，此處不再贅述。另外，如圖2中的步驟S11、S13、S14、S15、S16、S18、S19、S20分別與圖3中的相應(yīng)步驟一致。

本發(fā)明實施例通過反向代理設(shè)備接收客戶端發(fā)送的第一連接請求，緩存該第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求，當(dāng)服務(wù)器主動向反向代理設(shè)備發(fā)送第二連接請求后，反向代理設(shè)備再將第一連接請求發(fā)送給服務(wù)器，在TCP的握手方向上，將反向代理設(shè)備改進(jìn)成了被動握手方，將服務(wù)器改進(jìn)成了主動握手方，實現(xiàn)了內(nèi)網(wǎng)主動連接外網(wǎng)，防止內(nèi)網(wǎng)受到外網(wǎng)的攻擊，大大提高了內(nèi)網(wǎng)的安全性。

圖4為本發(fā)明另一實施例提供的反向被動代理方法流程圖。該方法的具體步驟如下：

步驟S401、獲取客戶端發(fā)送的第一連接請求；

本步驟與步驟S101一致，此處不再贅述。

步驟S402、解析所述第一連接請求，所述第一連接請求包括頭部和數(shù)據(jù)部；

反向代理設(shè)備接收到第一連接請求具體為HTTP請求后解析該HTTP請求，HTTP請求的幀格式如下表1所示：

表1

如表1所示，HTTP請求包括頭部即請求頭、數(shù)據(jù)部即請求體，請求頭包括請求行、實體頭和頭部結(jié)束標(biāo)識。

步驟S403、依據(jù)所述第一連接請求的頭部和數(shù)據(jù)部判斷所述第一連接請求是否需要發(fā)送給所述服務(wù)器；

反向代理設(shè)備依據(jù)該HTTP請求的頭部和數(shù)據(jù)部對該HTTP請求進(jìn)行過濾處理，符合過濾條件的HTTP請求需要發(fā)送給服務(wù)器，不符合過濾條件的HTTP請求則不需發(fā)送給服務(wù)器；過濾條件具體可以包括如下：HTTP請求的頭部是否包括特定的字節(jié)或bit；HTTP請求的數(shù)據(jù)部是否包括特定的字節(jié)或bit；HTTP請求的數(shù)據(jù)部是否可以進(jìn)一步分解為更具體的幀格式，分解后的幀格式是否包括特定的字段等。

步驟S404、將所述第一連接請求放入同步隊列并阻塞向所述客戶端發(fā)送數(shù)據(jù)的隊列；

進(jìn)一步的，反向代理設(shè)備將通過過濾條件的HTTP請求放入同步隊列，以便后續(xù)發(fā)送給服務(wù)器，同時阻塞向所述客戶端發(fā)送數(shù)據(jù)的隊列即客戶端向反向代理設(shè)備發(fā)送HTTP請求后，反向代理設(shè)備不向客戶端返回任何消息，以使客戶端處于阻塞狀態(tài)。

步驟S405、若接收到所述服務(wù)器發(fā)送的第二連接請求，則向所述服務(wù)器發(fā)送第一連接請求；

步驟S406、接收所述服務(wù)器依據(jù)所述第一連接請求反饋的響應(yīng)信息，并將所述響應(yīng)信息發(fā)送給所述客戶端。

步驟S405和步驟S406分別與步驟S103和步驟S104對應(yīng)，具體方法不再描述。

本發(fā)明實施例通過對客戶端發(fā)送的第一連接請求進(jìn)行過濾，將符合過濾條件的第一連接請求發(fā)送給服務(wù)器，降低了服務(wù)器的數(shù)據(jù)處理量。

圖5為本發(fā)明另一實施例提供的反向被動代理方法流程圖。在圖4對應(yīng)的實施例的基礎(chǔ)上，本發(fā)明實施例提供的反向被動代理方法的具體步驟如下：

步驟S501、監(jiān)測所述客戶端發(fā)送的請求信息；

在本發(fā)明實施例中，客戶端可以向反向代理設(shè)備發(fā)送多種請求信息，反向代理設(shè)備實時監(jiān)測客戶端發(fā)送的請求信息。

步驟S502、判斷所述請求信息是否為第一連接請求，若是，則接收所述第一連接請求；

若服務(wù)器只處理HTTP請求，反向代理設(shè)備只用于向服務(wù)器被動發(fā)送HTTP請求，則當(dāng)反向代理設(shè)備接收到客戶端發(fā)送的請求信息后，判斷該請求信息是否為第一連接請求具體為HTTP請求，若是，則接收該HTTP請求，否則，丟棄該請求信息。

步驟S503、解析所述第一連接請求，所述第一連接請求包括頭部和數(shù)據(jù)部；

步驟S504、依據(jù)所述第一連接請求的頭部和數(shù)據(jù)部判斷所述第一連接請求是否需要發(fā)送給所述服務(wù)器；

步驟S505、將所述第一連接請求放入同步隊列并阻塞向所述客戶端發(fā)送數(shù)據(jù)的隊列；

步驟S503-S505分別與上述步驟S402-S404對應(yīng)一致，具體方法此處不再贅述。

步驟S506、若等待時間超出閾值時間，則向所述客戶端發(fā)送連接超時信息；

由于反向代理設(shè)備被動等待服務(wù)器主動向反向代理設(shè)備發(fā)送第二連接請求后，反向代理設(shè)備才向服務(wù)器發(fā)送其本地的同步隊列中的第一連接請求，如果在預(yù)先設(shè)定的閾值時間內(nèi)，服務(wù)器沒有向反向代理設(shè)備發(fā)送第二連接請求，則反向代理設(shè)備向客戶端發(fā)送連接超時信息，以便客戶端放棄連接服務(wù)器，或者重新發(fā)送第一連接請求。

步驟S507、若在所述閾值時間內(nèi)接收到所述服務(wù)器發(fā)送的第二連接請求，則向所述服務(wù)器發(fā)送第一連接請求；

如果在預(yù)先設(shè)定的閾值時間內(nèi)，服務(wù)器主動向反向代理設(shè)備發(fā)送了第二連接請求，則反向代理設(shè)備向服務(wù)器發(fā)送其本地的同步隊列中的第一連接請求。

步驟S508、接收所述服務(wù)器依據(jù)所述第一連接請求反饋的響應(yīng)信息，并將所述響應(yīng)信息發(fā)送給所述客戶端。

服務(wù)器根據(jù)第一連接請求生成響應(yīng)信息例如HTTP響應(yīng)，并將該HTTP響應(yīng)通過防火墻發(fā)送給反向代理設(shè)備，該反向代理設(shè)備將該HTTP響應(yīng)發(fā)送給所述客戶端。

本發(fā)明實施例通過預(yù)先設(shè)定的閾值時間，當(dāng)反向代理設(shè)備等待服務(wù)器主動發(fā)起請求的時間超出了該閾值時間，則向客戶端發(fā)送超時信息，當(dāng)反向代理設(shè)備等待服務(wù)器主動發(fā)起請求的時間沒有超出該閾值時間，則向服務(wù)器發(fā)送其本地的同步隊列中的第一連接請求，以使客戶端只在閾值時間內(nèi)處于阻塞狀態(tài)，避免客戶端一直處于阻塞狀態(tài)。

圖6為本發(fā)明實施例提供的反向被動代理裝置的結(jié)構(gòu)圖。本發(fā)明實施例提供的反向被動代理裝置可以執(zhí)行反向被動代理方法實施例提供的處理流程，該反向被動代理裝置具體設(shè)置在上述方法實施例的反向代理設(shè)備中，如圖6所示，反向被動代理裝置60包括獲取模塊61、緩存模塊62、接收模塊63和發(fā)送模塊64，其中，獲取模塊61用于獲取客戶端發(fā)送的第一連接請求；緩存模塊62用于緩存所述第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求；接收模塊63用于接收到所述服務(wù)器發(fā)送的第二連接請求；接收所述服務(wù)器依據(jù)所述第一連接請求反饋的響應(yīng)信息；發(fā)送模塊64用于向所述服務(wù)器發(fā)送第一連接請求；將所述響應(yīng)信息發(fā)送給所述客戶端。

本發(fā)明實施例通過反向代理設(shè)備接收客戶端發(fā)送的第一連接請求，緩存該第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求，當(dāng)服務(wù)器主動向反向代理設(shè)備發(fā)送第二連接請求后，反向代理設(shè)備再將第一連接請求發(fā)送給服務(wù)器，在TCP的握手方向上，將反向代理設(shè)備改進(jìn)成了被動握手方，將服務(wù)器改進(jìn)成了主動握手方，實現(xiàn)了內(nèi)網(wǎng)主動連接外網(wǎng)，防止內(nèi)網(wǎng)受到外網(wǎng)的攻擊，大大提高了內(nèi)網(wǎng)的安全性。

圖7為本發(fā)明另一實施例提供的反向被動代理裝置的結(jié)構(gòu)圖。在上述實施例的基礎(chǔ)上，緩存模塊62具體用于將所述第一連接請求放入同步隊列并阻塞向所述客戶端發(fā)送數(shù)據(jù)的隊列。

反向被動代理裝置60還包括：解析模塊65和判斷模塊66，其中，解析模塊65用于解析所述第一連接請求，所述第一連接請求包括頭部和數(shù)據(jù)部；判斷模塊66用于依據(jù)所述第一連接請求的頭部和數(shù)據(jù)部判斷所述第一連接請求是否需要發(fā)送給所述服務(wù)器。

反向被動代理裝置60還包括監(jiān)測模塊67，監(jiān)測模塊67用于監(jiān)測所述客戶端發(fā)送的請求信息；判斷模塊66還用于判斷所述請求信息是否為第一連接請求，若是，則接收所述第一連接請求。

發(fā)送模塊64具體用于若等待時間超出閾值時間，則向所述客戶端發(fā)送連接超時信息；若接收模塊63在所述閾值時間內(nèi)接收到所述服務(wù)器發(fā)送的第二連接請求，則向所述服務(wù)器發(fā)送第一連接請求。

本發(fā)明實施例提供的反向被動代理裝置可以具體用于執(zhí)行上述圖1所提供的方法實施例，具體功能此處不再贅述。

本發(fā)明實施例通過對客戶端發(fā)送的第一連接請求進(jìn)行過濾，將符合過濾條件的第一連接請求發(fā)送給服務(wù)器，降低了服務(wù)器的數(shù)據(jù)處理量；通過預(yù)先設(shè)定的閾值時間，當(dāng)反向代理設(shè)備等待服務(wù)器主動發(fā)起請求的時間超出了該閾值時間，則向客戶端發(fā)送超時信息，當(dāng)反向代理設(shè)備等待服務(wù)器主動發(fā)起請求的時間沒有超出該閾值時間，則向服務(wù)器發(fā)送其本地的同步隊列中的第一連接請求，以使客戶端只在閾值時間內(nèi)處于阻塞狀態(tài)，避免客戶端一直處于阻塞狀態(tài)。

綜上所述，本發(fā)明實施例通過反向代理設(shè)備接收客戶端發(fā)送的第一連接請求，緩存該第一連接請求，并等待服務(wù)器發(fā)送的第二連接請求，當(dāng)服務(wù)器主動向反向代理設(shè)備發(fā)送第二連接請求后，反向代理設(shè)備再將第一連接請求發(fā)送給服務(wù)器，在TCP的握手方向上，將反向代理設(shè)備改進(jìn)成了被動握手方，將服務(wù)器改進(jìn)成了主動握手方，實現(xiàn)了內(nèi)網(wǎng)主動連接外網(wǎng)，防止內(nèi)網(wǎng)受到外網(wǎng)的攻擊，大大提高了內(nèi)網(wǎng)的安全性；通過對客戶端發(fā)送的第一連接請求進(jìn)行過濾，將符合過濾條件的第一連接請求發(fā)送給服務(wù)器，降低了服務(wù)器的數(shù)據(jù)處理量；通過預(yù)先設(shè)定的閾值時間，當(dāng)反向代理設(shè)備等待服務(wù)器主動發(fā)起請求的時間超出了該閾值時間，則向客戶端發(fā)送超時信息，當(dāng)反向代理設(shè)備等待服務(wù)器主動發(fā)起請求的時間沒有超出該閾值時間，則向服務(wù)器發(fā)送其本地的同步隊列中的第一連接請求，以使客戶端只在閾值時間內(nèi)處于阻塞狀態(tài)，避免客戶端一直處于阻塞狀態(tài)。

在本發(fā)明所提供的幾個實施例中，應(yīng)該理解到，所揭露的裝置和方法，可以通過其它的方式實現(xiàn)。例如，以上所描述的裝置實施例僅僅是示意性的，例如，所述單元的劃分，僅僅為一種邏輯功能劃分，實際實現(xiàn)時可以有另外的劃分方式，例如多個單元或組件可以結(jié)合或者可以集成到另一個系統(tǒng)，或一些特征可以忽略，或不執(zhí)行。另一點，所顯示或討論的相互之間的耦合或直接耦合或通信連接可以是通過一些接口，裝置或單元的間接耦合或通信連接，可以是電性，機械或其它的形式。

所述作為分離部件說明的單元可以是或者也可以不是物理上分開的，作為單元顯示的部件可以是或者也可以不是物理單元，即可以位于一個地方，或者也可以分布到多個網(wǎng)絡(luò)單元上?？梢愿鶕?jù)實際的需要選擇其中的部分或者全部單元來實現(xiàn)本實施例方案的目的。

另外，在本發(fā)明各個實施例中的各功能單元可以集成在一個處理單元中，也可以是各個單元單獨物理存在，也可以兩個或兩個以上單元集成在一個單元中。上述集成的單元既可以采用硬件的形式實現(xiàn)，也可以采用硬件加軟件功能單元的形式實現(xiàn)。

上述以軟件功能單元的形式實現(xiàn)的集成的單元，可以存儲在一個計算機可讀取存儲介質(zhì)中。上述軟件功能單元存儲在一個存儲介質(zhì)中，包括若干指令用以使得一臺計算機設(shè)備(可以是個人計算機，服務(wù)器，或者網(wǎng)絡(luò)設(shè)備等)或處理器(processor)執(zhí)行本發(fā)明各個實施例所述方法的部分步驟。而前述的存儲介質(zhì)包括：U盤、移動硬盤、只讀存儲器(Read-Only Memory，ROM)、隨機存取存儲器(Random Access Memory，RAM)、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。

本領(lǐng)域技術(shù)人員可以清楚地了解到，為描述的方便和簡潔，僅以上述各功能模塊的劃分進(jìn)行舉例說明，實際應(yīng)用中，可以根據(jù)需要而將上述功能分配由不同的功能模塊完成，即將裝置的內(nèi)部結(jié)構(gòu)劃分成不同的功能模塊，以完成以上描述的全部或者部分功能。上述描述的裝置的具體工作過程，可以參考前述方法實施例中的對應(yīng)過程，在此不再贅述。

最后應(yīng)說明的是：以上各實施例僅用以說明本發(fā)明的技術(shù)方案，而非對其限制；盡管參照前述各實施例對本發(fā)明進(jìn)行了詳細(xì)的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當(dāng)理解：其依然可以對前述各實施例所記載的技術(shù)方案進(jìn)行修改，或者對其中部分或者全部技術(shù)特征進(jìn)行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實施例技術(shù)方案的范圍。