CN101132344A - 一种两个独立网络间的安全互通方法及装置 - Google Patents

Abstract

本发明涉及一种两个独立网络间的安全互通方法，其中访问对象和受访对象通过一互通代理进行信息中转，互通代理首先验证访问对象所请求的特定操作，验证通过后，为访问对象和受访对象建立安全通讯通道，同时设置访问时间限制的定时器，当访问操作时间超过定时器的间隔时间，安全通讯通道被强制断开；该安全通讯通道还受到访问对象的访问权限级别限制，具高级权限访问用户需要立即访问受访对象进行操作时，受访对象会立即切断低级权限用户对其的访问，而当具有高级权限的访问用户正在与受访对象进行访问，其他访问对象无权干涉；上述方法具有更高的安全系数，管理更加人性化；实现互通代理的装置，功能齐全，且各功能模块集中在同一个装置中，具有携带、安装方便的好处。

Description

一种两个独立网络间的安全互通方法及装置

技术领域

本发明涉及一种两个独立网络间的安全互通方法及实现该方法装置。

背景技术

通常，网络浏览器如Netscape Navigator或Microsoft Explorer等被用于访问诸如因特网之类的公共网络，因为这些网络浏览器可以显示和再现远端服务器设备提供的超文本标记语言(HTML)文档，允许客户机用户经由因特网而从远端服务器设备中请求并检索资源，同时执行HTML文档中嵌入的脚本程序，以便给用户提供某种本地功能。

但是对于一些专用网络来说，其内部的资源和信息是保密的，不允许外部网络轻易就能访问和浏览，更不允许被修改，为了安全起见，专用网络通常受到防火墙的保护，因此处于专用网络外部的计算设备上的浏览器不能访问专用网络上的任何资源。

虽然防火墙在防止外部访问专用网络方面是非常有效的，但是如果两个独立网络之间完全“与世隔绝”，既不允许外部计算设备访问其内部资源，自己也不能访问另外一个独立网络内的资源，这样就很容易形成资源和信息的浪费，不利于需要共享信息的互通和统一管理，特别是对同一个管理***内的两个独立的网络之间，需要共享和互通的信息较频繁，这就需要两个独立网络之间进行某些信息的互通。

现有比较常规的做法就是，某个独立网络的防火墙为外部设备进入独立网络之前设置访问权限，允许外部设备经由公共网络穿过防火墙来访问独立网络，在访问权限被允许以后，外部设备就能自由浏览独立网络内的资源和信息；这种做法将会在防火墙中提供一个严重危及独立网络安全的“空穴”，如果独立网络非常关注安全，一般不允许使用这种常规的做法。

公开号为CN 1605181A的中国发明专利“用于为专用网络上的资源提供安全访问的方法和***”公开了一种经由中间服务器来对专用网络上的资源进行访问的方法，该方法包括(a)接收来自用户的访问中间服务器的登录请求；(b)对用户进行验证；(c)随后在中间服务器上接收来自用户的资源请求，其中所述资源请求要求对来自专用网络的资源执行特定操作；(d)获取用户的访问权限；(e)确定用户的访问权限是否允许用户在专用网络上执行所述特定操作；(f)当所述确定步骤(e)确定用户的访问权限不允许其在专用网络上执行所述特定操作时，阻止在专用网络上执行所述特定操作，由此不会具有针对所述资源请求的响应；如访问权限通过，则允许其在专用网络上执行所述特定操作。上述方法中，需要一专门的中间服务器***来实现上述方法中的各操作请求，而该服务器***包括有万维网服务器，协议处理机，内容变换器，验证管理器，数据存储器等一些列单独的具有信息处理功能的设备，该服务器***耗资庞大；并且，上述方法中，当用户的访问权限通过验证，用户可以一直允许其在专用网络上执行特定操作，而不受访问时间长短的限制，当其他外部设备也需要对专用网络执行相同的特定操作时，就只能等待上一个用户执行操作完成并退出专用网络以后才有资格进行访问操作，当有紧急情况出现，另一个外部设备需要立即对专网进行某项特定操作时，该方法将会对操作者和管理者带来非常的不利的后果。

发明内容

本发明所要解决的第一个技术问题是针对上述现有技术提供一种当两个独立网络之间的安全通道被打开以后具有对该安全通道进行安全管制的两个独立网络间的安全互通方法。

本发明所要解决的第二个技术问题是提供一种实现两个独立网络间的安全互通方法的装置，该装置既可以处在任何一个独立网络之内，也可以处在两个独立网络之外。

本发明解决上述第一个技术问题所采用的技术方案为：该两个独立网络间的安全互通方法，至少包括有一处于访问网络***内的具有第一网络端口的访问对象，一处于另一个独立的被访网络***内的具有第二网络端口的被访对象，其特征在于：还包括有一具有至少两个网络端口的互通代理，其中一个网络端口与所述的访问对象的第一网络端口相连；另一个网络端口与被访对象的第二网络端口相连，所述的两个独立网络间的安全互通方法包括以下步骤：

步骤一：访问对象提出访问请求，提交被访对象参数及资源请求要求；

步骤二：互通代理接收访问对象的访问权限及资源请求要求；

步骤三：互通代理验证访问对象的访问权限及资源请求要求，确认访问对象是否具有连接到被访对象的权限及对被访对象进行所述的资源请求要求的特定操作，如访问对象没有访问被访对象的访问权限或访问对象不允许其在被访设备上执行所述的特定操作，则本次访问请求不予建立；当访问对象具有访问被访对象的访问权限并且同时具有在被访设备上执行所述的特定操作时，本次访问请求建立成功。

步骤四：如本次访问请求建立成功，互通代理为本次访问指定路由路径，并为访问建立通讯通道，同时，互通代理为该次访问设定有一固定时间间隔的定时器，当本次访问开始，所述的固定时间间隔的定时器开始计时，计时完毕，本次访问被强制断开，如需继续访问，则需重新提出访问请求；

步骤五：路由路径建立成功后，访问对象的第一网络端口和被访对象的第二网络端口之间开始通讯；

步骤六：互通代理为访问对象和被访对象建立数据交换，访问对象执行对被访对象的资源请求操作，操作完成后，结束本次访问。

当访问对象所请求的特定操作通过验证以后，两个独立网络之间的安全通道被打开，为了对该安全通道进行安全管制，互通代理为安全通道设置有一访问时间限制的定时器；当有紧急情况出现，另一个外部对象需要立即对独力网络内的被访对象进行某项特定操作时，作为进一步改进，上述步骤五中访问对象的第一网络端口和被访对象的第二网络端口之间的通讯方法包括以下步骤：

步骤(一)：访问对象的访问权限分为一级访问权限和二级访问权限；

步骤(二)：互通代理检测访问对象的访问权限；如访问对象的访问权限为一级访问权限，互通代理检测被访对象具有的第二网络端口占用情况，如第二网络端口空闲，则允许本次访问，如第二网络端口被占用，则切断正在进行的二级访问权限用户的访问，允许本次访问；如访问对象的访问权限为二级访问权限，互通代理检测被访对象具有的第二网络端口占用情况，如第二网络端口空闲，则允许本次访问，如第二网络端口被占用，则本次访问失败。

当然，上述访问对象的访问权限的级别不仅仅限于两级，也可以设置成级别不同的多级访问权限，互通代理在检测访问对象的访问权限时，只要是高级别的访问对象需要访问受访对象时，而过第二网络端口被占用了，互通代理就会切断低一级访问权限用户的访问，允许高级访问权限的访问对象访问受访对象。

上述步骤六中的互通代理的数据交换方式可以为硬交换，也可以为软交换；当交换方式为硬交换时，所述的互通代理设有交换芯片组，交换数据通过交换芯片组的硬件实现；当交换方式为软交换时，所述的互通代理设有数据交换软件程序，交换数据通过软件程序实现。

所述的互通代理事先保存有多个访问对象的访问权限记录数据库，当互通代理接收到访问对象的资源请求要求后，互通代理将接收到的访问对象访问权限及资源请求要求与事先保存在数据库中相应对象的访问权限及资源请求要求进行比较从而验证访问对象是否具有连接到被访对象的权限及是否有权利对被访对象进行所述的资源请求要求的特定操作，如两者比较结果相同，则本次访问请求通过验证，如有访问对象的访问权限及资源请求要求有任何一项比较结果不相同，则本次访问请求不能通过验证。

本发明解决第二个技术问题所采用的技术方案为：该装置包括有：至少两个网络端口；其中一个网络端口与一个独立网络内的访问对象的网络端口相连；另一个网络端口与另一个独立网络内的被访对象的网络端口相连；一保存访问对象的访问权限的权限管理模块；一检查访问对象的访问权限及建立访问对象和被访对象之间通讯的访问控制模块；一为访问对象建立访问路由路径的交换控制管理模块；一实现访问对象和被访对象之间数据交换的交换模块；一控制访问对象访问被访对象时间的定时器。

作为改进，上述装置还包括有一存放访问权限记录数据库的数据存储模块。

与现有技术相比，本发明的优点在于：首先，当访问对象所请求的特定操作通过验证，两个独立网络之间的安全通道被打开后，为了对该安全通道进行安全管制，互通代理为安全通道设置有一访问时间限制的定时器，当访问对象的访问操作时间超过定时器的间隔时间，所述的安全通道被强制断开，具有安全性；其次，访问对象和受访对象的两个网络端口间的通讯方法受到访问权限级别的限制，当有紧急情况出现，具有高级权限的访问用户需要立即访问受访对象进行操作时，受访对象会立即切断自身与正在对他进行访问的低级权限访问用户之间的通讯，释放自身的网络端口，与具有高级权限的访问用户之间建立安全通讯，而当具有高级权限的访问用户正在与受访对象进行安全通讯时，其他访问对象无权干涉；这样的方法使得两个独立网络之间的通讯变得更加安全，更加人性化；再次，本发明提供的实现两个独立网络间的安全互通方法的装置，由于其功能齐全，并且各功能模块集中在同一个装置中，具有携带、安装方便的好处。

附图说明

图1为本发明实施例中两个独立网络之间远程访问的***框图；

图2为本发明实施例中访问请求处理的流程图；

图3为本发明实施例中验证访问请求处理的流程图；

图4为本发明实施例中安全通道建立的流程图；

图5为本发明实施例中数据交换的流程图；

图6为本发明实施例中访问权限的处理流程图；

图7为本发明实施例中实现两个独立网络间的安全互通方法的装置的***框图。

具体实施方式

以下结合附图实施例对本发明作进一步详细描述。

本发明一方面提供一种为独立网络上保持的资源提供安全访问的改进方法，并且为两个独立网络之间的设备建立安全通讯，这种方法可以通过使用标准的网页浏览器由访问对象经由互通代理的中转从而对受访对象进行授权的特定操作。所述的互通代理可以处于两个独立网络——独立网络1、独立网络2中任何一个网络，也可以处于两个独立网络之外的公共网络，但该互通网络须通过公共网络与外界保持通讯，见图1。

如图2，如论何时，只要上述互通代理接收到访问对象的访问请求，则自动调用访问请求处理1，访问请求处理始于判断块10，所述的判断块10确定接收到的请求是否是一个***登陆请求，当判断块接收到一个请求是一个***登陆请求时，所述的请求处理1对请求者的IP地址进行验证11，检验请求者的IP地址是否有权限进行***登陆；当请求者的IP地址通过验证，则给请求者返回一个会话框12，要求请求者提交用户名及密码以判断访问对象的访问权限，请求者提交被访对象参数及资源请求要求13，以便验证是否可以对被访对象执行特定操作，并给请求者一个初始访问页面14，所述的访问请求处理1结束；当请求者的IP地址没有通过验证，则给请求者返回一个登陆页面15，这个登陆页面便于请求者重新尝试登陆，所述的访问请求处理1结束。

在访问请求处理1处理完后，互通代理进入验证访问请求处理2，互通代理事先保存有多个访问对象的访问权限记录数据库，验证访问请求处理2始于调用访问权限记录数据库21，互通代理首先判断请求者登陆的用户名和密码进行验证22，判断请求者的用户名和密码是否正确与访问权限记录数据库中已有的用户名及密码对应，如用户名和密码通过验证，获取请求者的访问权限级别23，对于请求者的访问权限级别的操作将在后文中做详细描述，然后判断请求者是否有权限连接到受访对象24，如请求者具有访问受访对象的权限，继续判断请求者否具有权利对被访对象进行所述的的资源请求要求25，如请求者再次通过验证，则本次访问通过验证，结束；当请求者的用户名及密码错误，给请求者返回一个验证页面26，以不能通过用户名密码的验证结束；当请求者没有权限连接到受访设备或者没有权力被访对象进行所述的的资源请求要求，则本次访问不能通过验证，结束，详见图3。

访问请求通过验证以后，互通代理进入为本次访问访问对象和被访对象之间建立安全通道处理3，如图4所示，互通代理首先为访问对象分配动态IP地址31，同时，访问对象根据互通代理为其分配的动态IP地址访问受访对象，互通代理定时器开始计时32，定时器间隔时间设为M，互通代理设定有一个比定时器间隔时间小N的提醒时间，在访问对象没有主动申请结束本次访问情况下，互通代理首先判断定时器计时是否到达提醒时刻(即M-N)34，如是，提醒访问对象是否申请延长访问时间35，如果访问对象给出申请延长访问时间信号，则互通代理为访问对象延长一个定时间隔的访问时间，如果访问对象给出不需延长访问时间信号，则互通代理继续判断定时器计时是否完成36，如定时器计时完成，互通代理强行切断本次连接，释放动态IP地址37，并给请求者返回一是否需要重新建立访问请求的页面38，请求者如需继续访问39，则需重新提出访问请求，***自动调用访问请求处理1；如在定时器计时未完成时，请求者申请结束本次访问33，则互通代理释放其动态IP地址37，结束。

如图5，当访问对象和被访对象通过各自的网络端口开始通讯后，互通代理为访问对象和被访对象建立数据交换4，互通代理为本次通讯设置数据交换方式41，当设置的数据交换方式为硬交换42，交换数据通过互通代理中交换芯片组的硬件实现；当设置的数据交换方式为软交换43，设有，交换数据通过互通代理数据交换软件程序实现；访问对象执行对被访对象的资源请求操作44，被访对象响应访问对象的相应操作45，操作完成后46，结束本次访问。

访问对象和受访对象的两个网络端口间的通讯方法还受到访问权限级别的限制，其访问权限处理5的处理流程如图6所示，在验证访问请求处理2中有获取请求者的访问权限级别23操作，访问对象的访问权限分为一级访问权限和二级访问权限；受访对象的网络端口已经事先与访问对象建立了安全通道3，当其他的访问对象也在访问同一个受访对象时，互通代理首先会检测访问对象的访问权限51，如访问对象的访问权限为一级访问权限52，互通代理检测被访对象具有的第二网络端口占用情况53，如第二网络端口被占用，则切断正在进行的二级访问权限用户的访问54，允许本次访问55，进入建立安全通道处理3；如第二网络端口空闲，同样允许本次访问55，进入建立安全通道处理3；当访问对象的访问权限为二级访问权限56，互通代理检测被访对象具有的第二网络端口占用情况57，如第二网络端口空闲，则允许本次访问，进入建立安全通道处理3；如第二网络端口被占用，则本次访问失败58，结束。这样，当有紧急情况出现，具有一级权限的访问用户具有最高的访问优先权，而当具有一级权限的访问用户正在与受访对象进行安全通讯时，其他访问对象无权干涉；这样的方法使得两个独立网络之间的通讯变得更加安全，更加人性化。

本发明的另一方面是提供一种实现上述两个独立网络间的安全互通方法的装置，该装置包括有：至少两个网络端口，其中一个网络端口与一个独立网络内的访问对象的网络端口相连，另一个网络端口与另一个独立网络内的被访对象的网络端口相连；保存访问对象的访问权限的权限管理模块；检查访问对象的访问权限及建立访问对象和被访对象之间通讯的访问控制模块；为访问对象建立访问路由路径的交换控制管理模块；实现访问对象和被访对象之间数据交换的交换模块；控制访问对象访问被访对象时间的定时器，上述各功能模块设置在同一个盒子中，详见图7所示。

Claims (7)

1.一种两个独立网络间的安全互通方法，至少包括有一处于访问网络***内的具有第一网络端口的访问对象，一处于另一个独立的被访网络***内的具有第二网络端口的被访对象，其特征在于：还包括有一具有至少两个网络端口的互通代理，其中一个网络端口与所述的访问对象的第一网络端口相连；另一个网络端口与被访象的第二网络端口相连，所述的两个独立网络间的安全互通方法包括以下步骤：

步骤一：访问对象提出访问请求，提交被访对象参数及资源请求要求；

步骤二：互通代理接收访问对象的访问权限及资源请求要求；

步骤三：互通代理验证访问对象的访问权限及资源请求要求，确认访问对象是否具有连接到被访对象的权限及对被访对象进行所述的资源请求要求的特定操作，如访问对象没有访问被访对象的访问权限或访问对象不允许其在被访设备上执行所述的特定操作，则本次访问请求不予建立；当访问对象具有访问被访对象的访问权限并且同时具有在被访设备上执行所述的特定操作时，本次访问请求建立成功。

步骤四：如本次访问请求建立成功，互通代理为本次访问指定路由路径，并为访问建立通讯通道，同时，互通代理为该次访问设定有一固定时间间隔的定时器，当本次访问开始，所述的固定时间间隔的定时器开始计时，计时完毕，本次访问被强制断开，如需继续访问，则需重新提出访问请求；

步骤五：路由路径建立成功后，访问对象的第一网络端口和被访对象的第二网络端口之间开始通讯；

步骤六：互通代理为访问对象和被访对象建立数据交换，访问对象执行对被访对象的资源请求操作，操作完成后，结束本次访问。

2.根据权利要求1所述的两个独立网络间的安全互通方法，其特征在于：所述的步骤五中访问对象的第一网络端口和被访对象的第二网络端口之间的通讯方法包括以下步骤：

步骤(一)：访问对象的访问权限分为一级访问权限和二级访问权限；

步骤(二)：互通代理检测访问对象的访问权限；如访问对象的访问权限为一级访问权限，互通代理检测被访对象具有的第二网络端口占用情况，如第二网络端口空闲，则允许本次访问，如第二网络端口被占用，则切断正在进行的二级访问权限用户的访问，允许本次访问；如访问对象的访问权限为二级访问权限，互通代理检测被访对象具有的第二网络端口占用情况，如第二网络端口空闲，则允许本次访问，如第二网络端口被占用，则本次访问失败。

3.根据权利要求1所述的两个独立网络间的安全互通方法，其特征在于：所述的步骤六中互通代理的数据交换方式为硬交换，互通代理设有交换芯片组，交换数据通过交换芯片组的硬件实现。

4.根据权利要求1所述的两个独立网络间的安全互通方法，其特征在于：所述的步骤六中互通代理的数据交换方式为软交换，互通代理设有数据交换软件程序，交换数据通过软件程序实现。

5.根据权利要求1～4任一权利要求所述的两个独立网络间的安全互通方法，其特征在于：所述的互通代理事先保存有多个访问对象的访问权限记录数据库，所述的步骤三中，互通代理通过接收的访问对象的访问权限及资源请求要求与事先保存在数据库中相应对象的访问权限及资源请求要求进行比较从而验证访问对象是否具有连接到被访对象的权限及是否具有权利对被访对象进行所述的资源请求要求的特定操作，如两者比较结果相同，则本次访问请求通过验证，如有访问对象的访问权限及资源请求要求有任何一项比较结果不相同，则本次访问请求不能通过验证。

6.一种实现如权利要求1所述的两个独立网络间的安全互通方法的装置，其特征在于：所述的装置包括有：

至少两个网络端口；其中一个网络端口与一个独立网络内的访问对象的网络端口相连；另一个网络端口与另一个独立网络内的被访对象的网络端口相连；

一保存访问对象的访问权限的权限管理模块；

一检查访问对象的访问权限及建立访问对象和被访对象之间通讯的访问控制模块；

一为访问对象建立访问路由路径的交换控制管理模块；

一实现访问对象和被访对象之间数据交换的交换模块；

一控制访问对象访问被访对象时间的定时器。

7.根据权利要求6所述的装置，其特征在于：所述的装置包括有一存放访问权限记录数据库的数据存储模块。

Images