CN101345741A - 基于互联网的代理***及代理连接方法 - Google Patents

Abstract

本发明公开了一种基于互联网的代理***及代理连接方法，可提高代理***的安全性、利于防火墙规则集的配置、提高代理***的效率，并降低复杂度。包括客户端、代理服务器端和服务器端，在客户端和代理服务器端均部署有代理协议，以使得所述代理服务器在接收到所述客户端的代理请求后，如果经判断允许代理该连接，则会直接连接代理请求中所指定的服务器端，而不必预先断开代理协商连接。在所述代理服务器端及需要获取客户端信息的服务器端还可部署客户端连接信息获取协议。为了获取客户端与服务器端直接连接时的延时情况，及客户端通过该代理服务器端代理连接到服务器端时的延时情况，在客户端、代理服务器端及服务器端还可部署测速协议。

Description

基于互联网的代理***及代理连接方法

技术领域

本发明涉及一种代理***，尤其涉及一种基于互联网的代理***。本发明还涉及一种基于互联网的代理连接方法。

背景技术

当今网络日益普及，基于互联网的服务日渐增多。在网络传输及内容服务过程中，为保证服务质量及信息安全性，经常需要采用代理***。目前存在的代理***及其实现方式主要有两种形式：

一种为采用应用层网关如HTTP代理、FTP代理等，其缺点在于特定于应用层协议，对于每个应用层协议需要与其相匹配的应用层网关软件；

另外一种为SOCKS4/SOCKS5协议***，此协议虽独立于应用层协议，但对于网络防火墙难以配置规则集，同时，服务器端也无法获取客户端的连接信息，如IP地址和端口号等。在SOCKS4/SOCKS5协议中，客户端必须首先连接代理服务器(即代理协商连接)并发送代理协商请求；协商成功后，代理服务器会在另外一个新的地址进行监听，并将该新的地址通过代理应答返回给客户端，然后关闭代理协商连接；随后，客户端通过该新的地址连接远程服务器(即代理数据连接)。根据如上所述，由于SOCK4/SOCK5协议中，代理协商连接和代理数据连接为两个独立的连接，客户端在代理请求成功后代理端会返回客户端一个新的地址，然后客户端使用这个新的地址连接服务器端，因此其存在着如下缺点：(1)在代理请求成功和客户端连接新地址之前，其他恶意程序可能直接连接该地址，从而绕过代理协商中的身份验证过程，因此其安全性难以得到有效的保证；(2)由于对于每个代理请求，都需要建立两个新的连接，因此从一定程度上增加了代理服务器的负荷，使得代理连接的建立过程所需消耗的时间较多，效率不够高；(3)由于SOCK4/SOCK5协议在代理请求成功后，需要为每个客户端分配一个新的监听地址，因此对于大量不同的代理请求，则需要分配大量不同的地址加以区分，因此不利于配置防火墙规则集；(4)由于SOCKS4/SOCKS5协议的协商连接和数据连接为两个独立的连接，因此需要某种方式将代理协商的信息和代理数据连接监听的地址相关联，从而从一定程度上增加了代理实现的复杂度；(5)通用的SOCKS4/SOCKS5服务器通常会被代理猎手等软件发现，从而导致滥用，造成资源和网络的浪费，因此其隐蔽性也不够高。

发明内容

本发明所要解决的技术问题是提供一种基于互联网的代理***，可提高代理***的安全性、利于防火墙规则集的配置、提高代理***的效率，降低其复杂度。为此本发明还提供一种基于互联网的代理连接方法。

为解决上述技术问题，本发明提供一种基于互联网的代理***，包括客户端、代理服务器端和服务器端，在所述客户端和代理服务器端均部署有代理协议，所述代理协议用于：使得所述代理服务器在接收到所述客户端的代理请求后，如果经判断允许代理该连接，则直接由所述代理服务器去连接代理请求中所指定的服务器端，然后再向所述客户端发送代理应答表明代理连接是否成功；其中，所述代理请求至少包括：所述代理协议的版本号、需要连接的服务器端地址和端口、认证方式、认证数据；所述代理应答至少包括：所述代理协议的版本号、错误码。

本发明还提供一种基于互联网的代理连接方法，包括以下步骤：

(1)在客户端与代理服务器端间建立代理协商连接并发送代理请求；

(2)代理服务器端接收到该代理请求后，判断是否允许代理该连接，如果经判断允许代理该连接，则由该代理服务器直接去连接代理请求中所指定的服务器端，并在根据服务器端返回的信息，判断连接是否成功后向客户端发送代理应答；否则，即如果经判断不允许代理该连接，则直接向客户端发送代理应答；

(3)客户端根据代理应答中的错误代码，判断代理连接是否成功，如果代理连接成功则通过代理服务器在客户端和服务器端之间使用该代理连接发送后续数据；如果代理连接失败，则断开客户端与代理服务器端间的代理协商连接。

本发明由于采用了上述技术方案，具有这样的有益效果，即通过使得客户端和代理服务器端都实现对代理协议的支持，该代理协议使得代理服务器在向客户端返回协商结果后，并不关闭代理协商连接，而是复用该连接用于客户端的后续应用数据传输，也就是说通过所述代理协议使得代理协商连接和代理数据连接共用同一个连接，客户端在代理协商成功后，直接使用该连接传输代理数据，因此具有如下效果：(1)由于协议实现了统一连接，因此客户端通过代理服务器连接到服务器端的网络连接具有唯一性，从而避免了遭到其他恶意程序攻击的可能性；(2)减小了代理服务器的负荷，缩短了代理连接建立过程所需要的时间，从而提高了效率；(3)由于客户端只需要连接代理端的唯一监听端口即可实现代理协商和代理数据的传输，因此只需在防火墙上开放代理段的监听地址即可，更利于防火墙规则集的配置；(4)由于本发明所述代理***中，代理协商连接和数据连接共用同一个连接，因此使得如上两者的关联过程更加容易实现，从而减少了实现的复杂性；(5)由于代理端只能与特定的服务器端进行连接，因此避免了被第三方利用的可能性，从而提高了隐蔽性。另外，通过在本发明所述代理***的代理服务器端和需要获取客户端信息的服务器端分别使用本发明所述客户端连接信息获取协议，实现了可向服务器端提供客户端连接信息，如客户端连接IP地址、端口号等。通过在客户端、代理服务器端和服务器端部署本发明所述测速协议，使得客户端能够对直接连接和代理连接的效果进行判断，从而动态选择较好的连接方式，并且所述测速协议还可有效地避免代理服务器由于访问量太大，而有可能产生的代理服务器瓶颈现象。

附图说明

下面结合附图与具体实施方式对本发明作进一步详细的说明：

图1为本发明所述代理***的一个实施例的***架构示意图；

图2为本发明所述代理***的一个实施例的实现方框图；

图3为本发明所述代理***进行代理连接建立时的顺序图；

图4为本发明所述代理***进行网络测速时的顺序图。

具体实施方式

如图1和图2所示，在一个实施例中，本发明所述代理***包括客户端、代理服务器端和服务器端，其中在客户端和代理服务器端都部署有代理协议。所述客户端代理协议可通过如下两种方式来部署：1、通过修改客户端代码的方式来实现对代理协议的支持；2、为了最小化客户端代码的改动，除了采用宏替换方式外，对于Windows***，还可以利用WinSock2所提供的LSP(Layered Service Provider，网络连接劫持)来扩展接口，从而实现一个支持代理连接的LSP，此时客户端代码不需要任何改动即可实现对代理连接的支持。所述服务器端代理协议的部署方式包括：实现一个支持代理协议的服务器软件，在实现过程中应该注意***资源的正确释放、协议状态的维护及对恶意客户程序的防范等。

客户端和代理服务器端通过所述代理协议，可共同完成如下从客户端到所需访问的服务器端的代理连接的过程：

第一步，在客户端与代理服务器端间建立代理协商连接并发送代理请求，在一个实施例中，本发明所述代理协议中的代理请求包括：代理协议的版本号、需要连接的服务器端地址和端口、认证方式、认证数据等信息。

第二步，代理服务器端接收到该代理请求后，判断是否允许代理该连接，如果经判断允许代理该连接，则由该代理服务器直接去连接代理请求中所指定的服务器端(但不关闭所述代理协商连接)，并根据服务器端返回的信息，在判断连接是否成功后向客户端发送代理应答，表明此代理连接是否成功；否则，即如果经判断不允许代理该连接，则直接向客户端发送代理应答，表明代理服务器端不允许代理该连接；所述代理应答包括代理协议的版本号、错误码等信息，通过所述错误码客户端可知道连接是否成功以及连接失败的原因等信息。

第三步，客户端根据代理应答中的错误代码，判断该代理连接是否成功，如果代理连接成功则可通过代理服务器在客户端和服务器端之间使用该连接发送后续数据；如果代理连接失败，则断开客户端与代理服务器端间的代理协商连接。

在现有代理技术中，客户端对服务器端都是透明的，即服务器端无法区分直接连接和代理连接，因此服务器端无法获取客户端的连接信息。但是，有些服务器端需要知道客户端的一些连接信息，如客户端的IP地址、端口号等。因此，在另一个实施例中，本发明所述代理服务器端部署有客户端连接信息获取协议，同时在需要客户端连接信息的服务器端也部署有客户端连接信息获取协议，而不需要客户端连接信息的服务器端则不需要配置客户端连接信息获取协议。当客户端请求与部署有客户端连接信息获取协议的服务器端间建立代理连接时，如图3所示，从客户端到所需访问的服务器端的代理连接的过程变为：

第一步，在客户端与代理服务端间建立代理协商连接并发送代理请求，在一个实施例中，本发明所述代理协议中的代理请求包括：代理协议的版本号、需要连接的服务器端地址和端口、认证方式、认证数据等信息。

第二步，代理服务器端接收到该代理请求后，判断是否允许代理该连接，如果经判断允许代理该连接，则该代理服务器取得客户端的IP地址和端口号等连接信息，随后由该代理服务器直接去连接代理请求中所指定的服务器端，并根据服务器端返回的信息判断代理连接是否成功，如果该代理连接成功则在向服务器端发送其所取得的客户端的连接信息后再向客户端发送代理应答，表明连接服务器端成功；如果判断该代理连接不成功，则直接向客户端发送代理应答，表明连接服务器端不成功；

如果经判断不允许代理该连接，则直接向客户端发送代理应答，表明代理服务器端不允许代理该连接；

所述代理应答包括版本号、错误码等信息，通过所述错误码客户端可知道连接是否成功，如果连接失败则通过该错误码客户端还可知道具体连接失败的原因等信息。

第三步，客户端根据代理应答中的错误代码，判断该代理连接是否成功；如果连接成功，则可通过该代理服务器在客户端和服务器端之间传送后续的数据，因此一切数据发送过程对客户端和服务器端来说都是透明；而如果连接失败，则断开客户端与代理服务器端间的代理协商连接。

在上述情况下，在一个实施例中，代理服务器端可提供若干默认格式的客户端信息数据包，对于没有特殊格式要求的服务端可以使用此种格式的数据包；但是，如果不同的服务器端需要不同的数据包格式，则在另一个实施例中，代理端还可使用动态库的方式予以扩展，使得各个服务器端可以配置其信息包的格式。

为了使得客户端在与其所要访问的服务器端进行连接之前，能够预先准确判断出究竟是不通过代理服务器端直接连接到其所要访问的服务器端的效果好，还是通过代理服务器端来间接连接到其所要访问的服务器端的效果好，从而使得客户端能够根据实际情况动态地选择较好的连接方式，实现对代理服务器端资源的有效利用，因此在另一个优选实施例中，在客户端、代理服务器端和服务器端还都部署有测速协议，通过所述测速协议不仅可测试出客户端与服务器端直接连接时的延时情况，还可测试出客户端通过该代理服务器端代理连接到服务器端时的延时情况。

所述测速协议使用数据报协议(在TCP/IP中为UDP)来实现，包括测速请求和测速应答两部分，其参与方包括测速客户、测速服务和目标服务。其中测速请求中的信息包括时间戳和目标服务地址；而测速应答则返回该时间戳以及测速服务和目标服务之间的网络延时。

下面详细讨论测速服务和目标服务为不同服务的情形，对于测速服务和目标服务为同一服务的情形是前者的特例。

假设测速客户C需要通过测速服务S测试其与目标服务T之间的网络延时，在T1时刻，C向S发送测速请求，其中的时间戳为T1，目标服务地址为T的地址；S在收到该请求后，取得其中请求的时间戳T1，以及自身与目标服务T之间的延时D，并将T1和D作为测速应答返回客户端。假设客户端收到该测速应答的时间为T2，则客户端通过测速服务测得的其与目标服务之间的延时M可以计算如下：

M＝T2-T1+D

当测速服务和目标服务不在同一地址时，上述测试过程对应于测试客户端通过代理服务器端代理连接到服务器端时的延时情况。这时，所述测速客户为客户端，所述测速服务为代理服务器端，所述测速目标为服务器端。

当测速服务和目标服务在同一地址时，测速服务可以返回延时值D为0，此时有：

M＝T2-T1

因此，上述测试过程对应于测试客户端与服务器端直接连接时的延时的情况。这时，所述测速客户为客户端，所述测速服务为服务器端，所述测速目标也为服务器端。

在本发明中，测速服务需要维护其相对于各个测速目标的延时值，这个延时值同样可以使用上述测速协议获取。(这时测速服务作为测速目标的测速客户，而测速目标作为测速服务的测速服务)具体实现过程中，测速服务可以定时向各个测速目标发送测速请求，从而在每个测速请求到来的时候都有立即可用的测速目标延时。另外，由于测速协议是使用数据报协议来实现的，不可避免会有丢包情况出现；而且测速服务在维护其相对于各个测速目标网络延时过程中，可能出现每次延时不一致的情况，因此，应注意进行相应的处理。其中，可选的处理方式有：计算多次测速结果的加权平均值、采用类似TCP协议中的超时重传机制或只取最近一次的测速结果等。

通过所述测速协议，还具有如下作用：即在***达到一定规模后，代理服务器可能成为瓶颈，此时除了增加代理服务器数量外，也可能需要对代理服务器的访问进行一定的控制，此步骤除了代理子***中本身的身份认证功能外，也可以在客户端和后台服务器进行。

在本发明中，出于安全方面的考虑，本发明所述代理服务器可置于防火墙的内部，对外则只开放代理服务器的代理监听端口。

Claims (9)

1、一种基于互联网的代理***，包括客户端、代理服务器端和服务器端，其特征在于，在所述客户端和代理服务器端均部署有代理协议，所述代理协议用于：使得所述代理服务器在接收到所述客户端的代理请求后，如果经判断允许代理该连接，则直接由所述代理服务器去连接代理请求中所指定的服务器端，然后再向所述客户端发送代理应答表明代理连接是否成功；其中，所述代理请求至少包括：所述代理协议的版本号、需要连接的服务器端地址和端口、认证方式、认证数据；所述代理应答至少包括：所述代理协议的版本号、错误码。

2、根据权利要求1所述的基于互联网的代理***，其特征在于，在所述代理服务器端还部署有客户端连接信息获取协议，在需要获取客户端信息的服务器端也部署有客户端连接信息获取协议；所述客户端连接信息获取协议用于：在代理连接成功后先向所述需要获取客户端信息的服务器端发送客户端的连接信息，然后再向客户端发送代理应答；所述连接信息包括：客户端的IP地址、端口号。

3、根据权利要求1或2所述的基于互联网的代理***，其特征在于，在所述客户端、代理服务器端和服务器端还都部署有测速协议，所述测速协议用于：测试客户端与服务器端直接连接时的延时情况；及测试客户端通过代理服务器端代理连接到服务器端时的延时情况。

4、根据权利要求1所述的基于互联网的代理***，其特征在于，在通过修改客户端代码的方式来实现客户端对所述代理协议的支持；对于Windows***，还可以利用WinSock 2所提供的网络连接劫持来扩展接口来实现对代理连接的支持。

5、根据权利要求3所述的基于互联网的代理***，其特征在于，所述测速协议使用数据报协议实现，包括测速请求和测速应答两部分，其参与方包括测速客户、测速服务和目标服务；其中，所述测速请求中的信息包括时间戳T1和目标服务地址T；而所述测速应答则返回该时间戳T2以及测速服务和目标服务之间的网络延时D；当所述测速服务和所述目标服务不在同一地址时，测试到的是测试客户端通过代理服务器端代理连接到服务器端时的延时情况M＝T2-T1+D，这时所述测速客户为客户端，所述测速服务为代理服务器端，所述测速目标为服务器端；当所述测速服务和所述目标服务在同一地址时，测试到的是测试客户端与服务器端直接连接时的延时情况M2＝T2-T1，这时所述测速客户为客户端，所述测速服务为服务器端，所述测速目标也为服务器端。

6、根据权利要求1、2、4或5所述的基于互联网的代理***，其特征在于，所述代理服务器置于防火墙的内部，对外则只开放代理服务器的代理监听端口。

7、一种基于互联网的代理连接方法，其特征在于，包括以下步骤：

(1)在客户端与代理服务器端间建立代理协商连接并发送代理请求；

(2)代理服务器端接收到该代理请求后，判断是否允许代理该连接，如果经判断允许代理该连接，则由该代理服务器直接去连接代理请求中所指定的服务器端，并在根据服务器端返回的信息，判断连接是否成功后向客户端发送代理应答；否则，即如果经判断不允许代理该连接，则直接向客户端发送代理应答；

(3)客户端根据代理应答中的错误代码，判断代理连接是否成功，如果代理连接成功则通过代理服务器在客户端和服务器端之间使用该代理连接发送后续数据；如果代理连接失败，则断开客户端与代理服务器端间的代理协商连接。

8、根据权利要求7所述的基于互联网的代理连接方法，其特征在于，在所述步骤(2)中，代理服务器端经判断允许代理连接后，先取得客户端连接信息，然后再由该代理服务器直接去连接代理请求中所指定的服务器端；并在经判断代理连接成功后，先向服务器端发送其所取得的客户端的连接信息，然后再向客户端发送代理应答。

9、根据权利要求7或8所述的基于互联网的代理连接方法，其特征在于，在执行步骤(1)前，还需测试出客户端与服务器端直接连接时的延时情况，及客户端通过代理服务器端代理连接到服务器端时的延时情况。

Images