CN100571188C - 一种提高ssl网关处理效率的方法及ssl网关 - Google Patents

Abstract

本发明提供了一种提高SSL网关处理效率的方法，该方法包括：在SSL网关上设置虚拟IP地址，该虚拟IP地址与SSL网关所保护网络中的server IP地址相同，或者，将SSL网关的IP地址设置为与所述server域名对应的IP地址；SSL网关收到client发起的访问server的web请求后，不对该web请求中的URL进行替换，直接根据自身配置的规则对收到的web请求进行处理；并且，对于server发送给client的URL信息，SSL网关也不进行URL替换，直接将原始URL信息发送给client。另外，本发明还提供了一种SSL网关。采用本发明所提供的技术方案，能够减轻SSL网关的处理负担，提高SSL网关的处理效率。

Description

一种提高SSL网关处理效率的方法及SSL网关

技术领域

本发明涉及网络通信技术，尤其涉及一种提高安全套接层(SSL，SecureSockets Layer)网关处理效率的方法及SSL网关。

背景技术

SSL协议是一种在两台设备之间提供安全通道的协议，通过加密方式保护在互联网上传输的数据安全性，SSL的诞生为基于超文本传输协议(HTTP，Hypertext Transfer Protocol)的网络传输提供了安全保障。虚拟专用网络(VPN，Virtual Private Network)则主要应用于虚拟连接网络，它可以确保数据的机密性并且具有一定的访问控制功能。以HTTPS(以SSL为基础的HTTP)为基础的VPN称为SSL VPN，SSL的独特性以及VPN所能提供的安全远程访问控制能力，使得SSL VPN成为解决远程用户访问敏感企业数据的最简单最安全的解决技术。

支持SSL VPN功能的设备称为SSL网关，图1示出了典型的SSL网关组网图，受保护的局域网通过SSL网关与广域网连接。SSL网关的工作原理如图2所示，对于用户(client)侧，SSL网关模拟一个服务器(server)的行为，为client提供服务；对于server侧，SSL网关模拟一个client的行为，从server获取信息并传递给真正的client。当外网中的client想要访问受保护的server上的web应用时，首先client需要和SSL网关建立SSL连接并进行身份认证，然后再将相关web请求发给SSL网关；SSL网关收到client发起的web请求后，根据自身配置的过滤及转换规则，对client的web请求进行处理。如果用户权限不够，SSL网关则直接拒绝用户的web请求；如果用户有足够的权限，SSL网关则根据收到的web请求向真正的server发起请求，获取相应的数据，然后再通过已经建立的SSL连接将获取的数据发送给client。为了保证数据传输的安全性，SSL网关与client之间的通讯使用SSL协议进行加密，采用密文传输。

其中，SSL网关在将server提供的数据发送给client时，需要将server开发给client的web页面上的所有统一资源定位符(URL，Uniform ResourceLocator)全部搜索出来，并对这些URL进行转换，以保证client下次使用这些URL访问server时，访问请求会经过SSL网关，而不是直接被发送到server上。比如，SSL网关将server提供给client的URL连接http://101.3.205.1/defect/defectList.do？fileID＝930替换为https://1.1.3.202/http/p/101.3.205.1/defect/defectList.do？fileID＝930；或者，将http://www.myspace.com/defect/defectList.do？fileID＝930替换为https://svpn.myspace.com/http/0/www.myspace.com/defect/defectList.do？fileID＝930。其中，SSL网关在URL替换中添加的1.1.3.202或svpn.myspace.com为SSL网关的IP地址或域名。一个URL通常由前缀、域名/IP地址、后缀三部分组成，在SSL网关的转换过程中，后缀一般保持不变。如果server提供给client的URL是相对URL，即只有后缀而不包括前缀和域名/IP地址的URL，则SSL网关无需进行转换，因为client在访问时会自动添加上次访问时使用的前缀和域名/IP地址。

本文为便于描述，将server提供的URL称作原始URL，将经SSL网关转换后的URL称作网关URL。当client使用网关URL来访问server上的资源时，SSL网关需要将client发起的网关URL替换成server能够认识的原始URL；对于访问后获得的server向client推出的web页面，SSL网关需要将web页面上的所有URL全部搜索出来，并将这些原始URL替换成网关URL，然后再将替换后的网关URL发送给client。

可见，在现有的SSL网关处理过程中，SSL网关需要进行大量的替换工作，不仅需要将client发来的网关URL替换成原始URL，还需要将server发给client的web页面中的所有原始URL全部搜索出来替换成网关URL，这些替换工作将耗费大量的处理资源。由于SSL网关本身做SSL加密认证及用户规则匹配就已经负担很重了，因此，再增加这些URL替换操作，会导致SSL网关处理效率的降低。

发明内容

有鉴于此，本发明的主要目的在于提供一种提高SSL网关处理效率的方法及SSL网关，以提高SSL网关的处理效率。

为达到上述目的，本发明提供的技术方案如下：

一种提高SSL网关处理效率的方法，包括：

在SSL网关上设置虚拟IP地址，该虚拟IP地址与SSL网关所保护网络中的server IP地址相同；或者，将SSL网关的IP地址设置为与所述server域名对应的IP地址；

SSL网关收到client发起的访问server的web请求后，不对该web请求中的URL进行替换，直接根据自身配置的规则对收到的web请求进行处理；并且，对于server发送给client的URL信息，SSL网关也不进行URL替换，直接将原始URL信息发送给client。

当SSL网关旁路在自身所保护网络与外网连接的路径上时，该方法进一步包括：

所述路径上的转发设备收到client发起的访问server的web请求后，将该web请求重定向给SSL网关。

所述将SSL网关的IP地址设置为与所述server域名对应的IP地址包括：

在向域名服务器申请所述server域名对应的IP地址时，直接将SSL网关的IP地址申请为与所述server域名对应的IP地址。

所述将SSL网关的IP地址设置为与所述server域名对应的IP地址包括：

当SSL网关所保护网络内存在内网域名服务器时，SSL网关截取内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的server域名与serverIP地址的对应关系修改为server域名与SSL网关IP地址的对应关系，并将修改后的DNS报文发送给外网域名服务器。

当SSL网关旁路在内网域名服务器与外网域名服务器连接的路径上时，

所述SSL网关截取内网域名服务器向外网域名服务器发出的DNS报文包括：所述路径上的转发设备收到内网域名服务器发往外网域名服务器的DNS报文后，将该DNS报文重定向给SSL网关。

所述将SSL网关的IP地址设置为与所述server域名对应的IP地址包括：

当SSL网关所保护网络内存在内网域名服务器时，内网域名服务器与外网域名服务器相连的必经路径上的域名服务器代理截取内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的server域名与server IP地址的对应关系修改为server域名与SSL网关IP地址的对应关系，并将修改后的DNS报文发送给外网域名服务器。

所述server上的所有URL连接都使用https作为前缀。

当所述client发起的访问server的web请求中的URL以http为前缀时，该方法进一步包括：

SSL网关在收到所述以http作为URL前缀的web请求后，向所述cilent发送http重定向报文，引导该client以https作为URL的前缀发起web请求。

一种SSL网关，该SSL网关的虚拟IP地址与SSL网关所保护网络中的serverIP地址相同，或者，该SSL网关的IP地址与所述server的域名相对应，并且，该SSL网关包括：

HTTP报文正向处理单元，用于接收外网client发起的访问所述server的web请求，并根据自身配置的规则对收到的web请求进行处理，不对该web请求中的URL进行替换；

HTTP报文反向处理单元，用于接收server发送给所述client的URL信息，并直接将该原始URL信息转发给所述client，不进行URL替换。

该SSL网关进一步包括：DNS报文修改单元，用于在所述SSL网关所保护网络内存在内网域名服务器时，截取所述内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的与所述server域名对应的IP地址修改为SSL网关的IP地址，并将修改后的DNS报文发送给外网域名服务器。

由此可见，本发明通过在SSL网关上设置与server IP地址相同的虚拟IP地址，或者将与server域名对应的IP地址设置为SSL网关IP地址的方式，使得SSL网关无需进行原始URL与网关URL的替换操作，就可以拦截广域网用户发起的访问server的web请求，从而避免了由于大量的URL替换操作而造成的SSL网关处理负担增加的问题，提高了SSL网关的处理效率。

附图说明

图1为现有技术中典型的SSL网关组网图。

图2为现有技术中SSL网关的应用示意图。

图3为本发明实施例中SSL网关的组网示意图。

图4为本发明实施例中旁路方式下SSL网关的组网示意图。

图5为本发明实施例中SSL网关守护的网络内部有DNS服务器的组网示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，下面参照附图并举实施例，对本发明作进一步详细说明。

由背景技术描述可见，在现有技术中，SSL网关不仅需要将server提供给client的原始URL替换成网关URL，还需要将client发来的网关URL替换成原始URL，这种原始URL与网关URL之间的替换会耗费SSL网关大量的处理资源，导致SSL网关处理效率的降低。

为了克服上述问题，本发明提供了两种不同的解决方案。

一、在SSL网关上设置一个虚拟的IP地址，使其等于server的IP地址，以保证外网中的client发起的以server IP地址作为URL或者以server域名作为URL的访问server的web请求都被路由到SSL网关处理。比如，图3中，server的域名为www.myspace.com，IP地址为202.31.99.6；SSL网关的域名为svpn.myspace.com，IP地址为202.31.75.2。这里，可以在SSL网关上设置一个虚拟IP地址202.31.99.6。

如果SSL网关串联在内网与外网连通的唯一路径上，那么，所有来自外网侧的报文首先被SSL网关截取这一点显然可以保证。如图3中，client发出的http://202.31.99.6/这样的web请求必然会被SSL网关处理。

如果SSL网关不是串联在内网与外网连接的唯一路径上，而只是旁路在这条路径上，如图4所示，那么，则需要对应关键路径上的路由器(router)或交换机等转发设备做策略路由，将来自外网的到server上的报文重定向给SSL网关，而不是直接发送给server。这样，client访问server的数据同样会先被SSL网关所截取。其中，所述关键路径上的转发设备是指内网与外网通信时必经的转发设备。

二、通过修改域名服务器(DNS)上的域名和IP地址之间的对应关系，使得对外界网络而言，server域名所对应的IP地址就是SSL网关的IP地址，而不是真实的server地址。这样，client发起的以server域名作为URL的访问server的web请求就会被发送给SSL网关处理。

比如，在图3中，将www.myspace.com对应的IP地址修改为202.31.75.2，而不是真实的server地址202.31.99.6，这样可以使client发向www.myspace.com的报文被发送给SSL网关。要达到这一目的，可以在向DNS申请server域名对应的IP地址时，直接就使用SSL网关的IP地址进行申请，而不是使用server的IP地址，也就是说，将SSL网关的IP地址申请为与server域名相对应的IP地址。

另外，当SSL网关守护的网络内部有DNS服务器时，对外界的DNS欺骗还可以通过拦截穿越SSL网关的DNS报文，并修改其中的server域名所对应的IP地址来实现。比如，参见图5所示，在外网中有一个外网域名服务器Foreign Name Server，在SSL网关守护的网络内部有一个内网域名服务器Name Server，SSL网关串联在内外网域名服务器Name Server和ForeignName Server相连的唯一路径上。其中，Name Server上保存的与server域名www.myspace.com对应的IP地址是server的IP地址202.31.99.6。在图5中，SSL网关拦截内部Name Server向外部Foreign Name Server发出的DNS报文，如维护请求(maintenance queries)报文，并修改其中携带的域名和IP地址的对应关系，将与server域名www.myspace.com对应的IP地址修改为SSL网关的IP地址，然后再将修改后的DNS报文发送给Foreign NameServer。这样，外网域名服务器Foreign Name Server上所记录的域名和IP地址的对应关系就是被SSL网关修改过的，所有的外部访问都会指向SSL网关。

如果SSL网关不是串联在内外网域名服务器相连的唯一路径上，而只是旁路在这条路径上，那么，则需要在对应关键路径的路由器或交换机等转发设备上做策略路由，由该转发设备将Name Server发往Foreign NameServer的DNS报文重定向到SSL网关上。SSL网关收到后，将与server域名对应的IP地址修改为SSL网关的IP地址，然后再将修改后的DNS报文发送给Foreign Name Server。

另外，上述修改域名与IP地址对应关系的功能，还可以由一个独立的位于Name Server与Foreign Name Server相连的必经路径上的域名服务器代理(DNS Proxy)来实现，而不是由SSL网关来实现。也就是说，所述DNSProxy截取Name Server发往Foreign Name Server的DNS报文，并将其中携带的与server域名对应的IP地址修改为SSL网关的IP地址，然后再将修改后的DNS报文发送给Foreign Name Server。

可见，无论是采用上述第一种方式还是第二种方式都可以让访问server的web请求被路由到SSL网关处理。

在本发明所提供的技术方案中，SSL网关在收到外网client发起的访问server的web请求后，无需对该web请求中的URL进行转换，可以直接根据自身配置的规则对client发起的web请求进行处理，比如，根据用户权限判定是否拒绝或转发client的web请求。对于server提供给client的web页面，SSL网关也无需将该web页面中的全部URL都搜索出来进行转换，SSL网关直接将server提供给client的原始URL信息转发给client即可。其中，所述SSL网关根据自身配置的规则对client发起的web请求进行处理的具体过程与现有技术一致，这里不再赘述。

另外，为了保证数据传输的安全性，一般要求所有的访问都是加密的，即前缀应该是https，而不是http。这可以通过以下两种方式解决：

1、要求server上的所有URL连接都使用https作为前缀，而不是http。这样不仅client和SSL网关之间使用SSL加密，且SSL网关和server之间也使用SSL加密。但由于并不是所有的server都支持SSL加密，因此，这种方式一般较少采用，通常可以采用第2种方式。

2、在SSL网关上同时开启http服务，SSL网关收到client发起的以http作为URL前缀的访问server的web请求后，向client发送http重定向报文，引导client以https作为URL前缀发起web请求。比如，图3中，SSL网关在收到client发起的URL为http://www.myspace.com/的web请求后，需要向client发送http重定向报文；client收到重定向报文后，以https作为URL前缀发起URL为https://www.myspace.com/的web请求，这样就会在加密通道中传输了。

另外，本发明还提供了一种SSL网关，该SSL网关的虚拟IP地址与SSL网关所保护网络中的server IP地址相同，或者，该SSL网关的IP地址与所述server的域名相对应，并且，该SSL网关还包括：HTTP报文正向处理单元和HTTP报文反向处理单元。其中，

HTTP报文正向处理单元，用于接收外网client发起的访问所述server的web请求，并根据自身配置的规则对收到的web请求进行处理，不对该web请求中的URL进行替换；

HTTP报文反向处理单元，用于接收server发送给所述client的URL信息，并直接将该原始URL信息转发给所述client，不进行URL替换。

该SSL网关还可进一步包括：DNS报文修改单元，用于在所述SSL网关所保护网络内存在内网域名服务器时，截取所述内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的与所述server域名对应的IP地址修改为SSL网关的IP地址，并将修改后的DNS报文发送给外网域名服务器。

总而言之，采用本发明所提供的技术方案后，SSL网关无需进行原始URL与网关URL的替换，从而减轻了SSL网关的处理负担，提高了SSL网关的处理效率。

以上所述对本发明的目的、技术方案和有益效果进行了进一步的详细说明，所应理解的是，以上所述并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1、一种提高SSL网关处理效率的方法，其特征在于，包括：

在SSL网关上设置虚拟IP地址，该虚拟IP地址与SSL网关所保护网络中的server IP地址相同；或者，将SSL网关的IP地址设置为与所述server域名对应的IP地址；

Client发起的以Server IP地址作为URL或者以Server域名作为URL的访问Server的Web请求被路由到SSL网关，SSL网关收到该web请求后，不对该web请求中的URL进行替换，直接根据自身配置的规则对收到的web请求进行处理；并且，对于server发送给client的URL信息，SSL网关也不进行URL替换，直接将原始URL信息发送给client。

2、根据权利要求1所述的方法，其特征在于，当SSL网关旁路在自身所保护网络与外网连接的路径上时，所述Client发起的Web请求被路由到SSL网关包括：所述路径上的转发设备收到client发起的访问server的web请求后，将该web请求重定向给SSL网关。

3、根据权利要求1所述的方法，其特征在于，所述将SSL网关的IP地址设置为与所述server域名对应的IP地址包括：

在向域名服务器申请所述server域名对应的IP地址时，直接将SSL网关的IP地址申请为与所述server域名对应的IP地址。

4、根据权利要求1所述的方法，其特征在于，所述将SSL网关的IP地址设置为与所述server域名对应的IP地址包括：

当SSL网关所保护网络内存在内网域名服务器时，SSL网关截取内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的server域名与serverIP地址的对应关系修改为server域名与SSL网关IP地址的对应关系，并将修改后的DNS报文发送给外网域名服务器。

5、根据权利要求4所述的方法，其特征在于，当SSL网关旁路在内网域名服务器与外网域名服务器连接的路径上时，

所述SSL网关截取内网域名服务器向外网域名服务器发出的DNS报文包括：所述路径上的转发设备收到内网域名服务器发往外网域名服务器的DNS报文后，将该DNS报文重定向给SSL网关。

6、根据权利要求1所述的方法，其特征在于，所述将SSL网关的IP地址设置为与所述server域名对应的IP地址包括：

当SSL网关所保护网络内存在内网域名服务器时，内网域名服务器与外网域名服务器相连的必经路径上的域名服务器代理截取内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的server域名与server IP地址的对应关系修改为server域名与SSL网关IP地址的对应关系，并将修改后的DNS报文发送给外网域名服务器。

7、根据权利要求1至6任一项所述的方法，其特征在于，所述server上的所有URL连接都使用https作为前缀。

8、根据权利要求1至6任一项所述的方法，其特征在于，当所述client发起的访问server的web请求中的URL以http为前缀时，该方法进一步包括：

SSL网关在收到所述以http作为URL前缀的web请求后，向所述cilent发送http重定向报文，引导该client以https作为URL的前缀发起web请求。

9、一种SSL网关，其特征在于，该SSL网关的虚拟IP地址与SSL网关所保护网络中的server IP地址相同，或者，该SSL网关的IP地址与所述server的域名相对应，并且，该SSL网关包括：

HTTP报文正向处理单元，用于接收外网client发起的访问所述server的web请求，并根据自身配置的规则对收到的web请求进行处理，不对该web请求中的URL进行替换；

HTTP报文反向处理单元，用于接收server发送给所述client的URL信息，并直接将该原始URL信息转发给所述client，不进行URL替换。

10、根据权利要求9所述的SSL网关，其特征在于，该SSL网关进一步包括：DNS报文修改单元，用于在所述SSL网关所保护网络内存在内网域名服务器时，截取所述内网域名服务器向外网域名服务器发出的DNS报文，将其中携带的与所述server域名对应的IP地址修改为SSL网关的IP地址，并将修改后的DNS报文发送给外网域名服务器。

Images