CN103916412A

CN103916412A - 一种it设备远程运维的方法和***

Info

Publication number: CN103916412A
Application number: CN201210591686.7A
Authority: CN
Inventors: 李俊
Original assignee: Shenzhen Skybility Software Co Ltd
Current assignee: Shenzhen Xingyun blooming Technology Co., Ltd
Priority date: 2012-12-31
Filing date: 2012-12-31
Publication date: 2014-07-09
Anticipated expiration: 2032-12-31
Also published as: CN103916412B

Abstract

本发明公开了一种IT设备远程运维的方法和***，所述***包括协议分发设备、协议适配设备、至少一个受控设备和至少一个用户终端，协议适配设备通过局域网与受控设备连接，协议分发设备通过广域网与用户终端连接，协议适配设备与协议分发设备间为网络通信连接。实施本发明的方法和***，可将协议适配设备部署于内网以保证数据安全；并可通过一个web浏览器来访问不同的远程协议，而无须安装各种协议的专有客户端，降低对于客户端和操作***的需求；同时提供多用户协同运维的手段。

Description

一种IT设备远程运维的方法和***

技术领域

本发明涉及通信方法及***，尤其涉及一种提供IT设备远程运维的方法及***。

背景技术

现有的IT设备的远程访问方案中，协议的适配及分发集中在一台中转服务器上，因为协议分发的缘故，服务器端口需要暴露在互联网上，提供对外接口。此外由于协议的适配及分发功能集中在一起，对计算资源要求较高，受此限制，对于中转设备必须是符合一定的要求的服务器或PC机，而且在实际的使用中，需要提前在访问的服务器内网进行部署，才能确保用户的远程访问或远程运维的正常进行。因此这种方案适用于长期、持续、频繁的远程运维。

进一步的在上述远程访问过程中，可支持多用户同时访问同一台受控的服务器，由于缺失协同交互的功能，用户只能通过线上的第三方协同工具（例如QQ、MSN等）或者线下的电话或手机等保持沟通。

由上可知，上述访问方案存在以下缺陷：1、端口暴露在外网，这样对于数据的安全性是一个潜在的安全隐患，安全性得不到有效的保障；2、对于一些只需要应对突发状况的远程运维或远程访问环境来说，这种需要提前部署、采用服务器这种计算资源的方案，对于事前部署要求较高，缺乏事后应急的能力，不够灵活；3、多用户同时访问同一台受控的服务器时，各自的运维或访问状态是一个实时变化的过程，在采用第三方的工具沟通的过程中，很难确保沟通与实际操作的同步性，并且可能因为沟通不畅而导致误操作，如重复操作、无人控制、多人抢占控制权等。

发明内容

本发明要解决的技术问题在于，针对现有技术的远程访问方案存在安全隐患、灵活度差和缺失协同交互的缺陷，提供一种可确保数据安全性、应对突发状况和支持多用户协同运维的IT设备远程运维的方法和***。

本发明解决其技术问题所采用的技术方案是：一种IT设备远程运维的方法，其特征在于，所述方法包括：

S1.协议分发设备将来自用户终端web浏览器上的访问请求发送至协议适配设备；

S2.协议适配设备接收访问请求后选用预设的访问协议访问受控设备，并将访问获取的界面数据编码后发送到协议分发设备；

S3.协议分发设备将接收的编码数据二次编码后转换为符合html5标准的图像和/或文本，发送至用户终端web浏览器；

S4.协议分发设备验证运维权限后，将转换格式后的控制指令经协议适配设备传送至受控设备，从而对受控设备进行操控。

优选地，所述步骤S1还包括：

S11.协议分发设备要求用户终端输入访问凭证；

S12.用户终端通过web浏览器输入访问凭证，该访问凭证包括预先设定的用户名、密码或者密钥；

S13.协议分发设备验证来自用户终端的访问凭证，若验证失败，则拒绝来自用户终端的访问请求，若验证成功，则执行所述步骤S1。

优选地，所述步骤S4进一步包括：

S41.若没有用户终端操控受控设备，则直接通过权限验证，执行步骤S4，若有，则无法通过权限验证，执行步骤S42和/或S43和/或S44；

S42.协议分发设备允许所有通过访问验证的用户终端通过其自身的web浏览器浏览受控设备的界面数据；

S43.协议分发设备允许所有通过访问验证的用户终端上传数据进行共享和通过语音或白板进行实时通信；

S44.用户终端从当前操控受控设备的用户终端或协议分发设备获得运维权限，执行步骤S4。

优选地，在所述步骤S4中，协议分发设备根据预设的与受控设备对应的访问协议转换控制指令的格式；

优选地，验证运维权限后，所述步骤S4还包括步骤S45：协议分发设备对来自用户终端web浏览器上的控制指令进行记录备份，同时对控制指令中的危险指令进行屏蔽。

本发明的另一技术方案提供一种IT设备远程运维的***，其特征在于，所述***包括：

协议适配设备，通过局域网与至少一个受控设备连接，通过局域网或广域网与协议分发设备连接，用于为用户终端提供用于操控受控设备的适配的访问协议，并将访问受控设备获取的界面数据编码后发送到协议分发设备；

协议分发设备，通过广域网与用户终端通信连接，用于将来自用户终端web浏览器上的控制指令进行格式转换后传送至协议适配设备，并将编码后的界面数据二次编码后按html5标准进行转换格式，然后发送至用户终端web浏览器上；

至少一个用户终端,为远程用户提供用于发送访问请求和控制指令的web浏览器。

优选地，所述协议分发设备包括转换模块、认证模块和协同模块，其中：

转换模块，用于根据html5对来自协议适配设备的编码后的界面数据进行格式转换，根据预设的与受控设备对应的访问协议对控制指令进行格式转换；

认证模块，用于验证访问凭证；

协同模块，用于支持浏览受控设备的界面数据、上传数据、语音和白板。

优选地，所述协议适配设备包括检测模块、代理模块和控制模块，其中：

检测模块，用于采集和添加受控设备；

代理模块，用于提供多种访问协议，并根据受控设备解析适配访问协议；

控制模块，用于根据适配的访问协议中转控制指令，以控制受控设备。

优选地,协同模块进一步用于验证和切换运维权限。

优选地,所述协议分发设备进一步包括审计模块，用于记录控制指令，并对控制指令中的危险指令进行屏蔽。

优选地，所述协议适配设备为包括协议适配网关软件的PC、PDA、或智能手机。

优选地，所述协议分发配设备为包括协议分发网关软件的PC、PDA、或智能手机。

优选地，所述控制指令通过用户终端的鼠标、显示器和/或键盘输入。

优选地，所述访问协议包括虚拟网络协议、远程显示协议、安全外壳协议和/或Telnet协议。

实施本发明的方法和***，可将协议适配设备部署于内网以保证数据安全；并可通过一个web浏览器来访问不同的远程协议，而无须安装各种协议的专有客户端，降低对于客户端和操作***的需求；同时提供多用户协同运维的手段。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明IT设备远程运维的方法的第一实施例的流程示意图；

图2是本发明IT设备远程运维的方法的第二实施例的流程示意图；

图3是本发明IT设备远程运维的方法的第三实施例的流程示意图；

图4是本发明IT设备远程运维的***的优选实施例的结构示意图；

图5是图4中协议适配设备的优选实施例的结构示意图；

图6是图4中协议分发设备的优选实施例的结构示意图。

具体实施方式

图3为本发明的***结构示意图，在本发明中，用户终端10发起访问请求之前，协议适配设备30首先需要与受控设备40建立连接，确认两者之间采用的协议，然后将这个协议与协议分发设备20进行约定。当用户终端10发起请求及后续实施控制指令时，协议分发设备20根据访问请求进行对应的格式转换。

此外，用户通过用户终端10向协议分发设备20发送访问请求后，涉及是否执行验证访问凭证的操作，如果用户终端10在开始对受控设备40发起运维之前，若提前向前台web服务器进行过访问凭证的验证，那么协议分发设备20直接将来自用户终端10的访问请求传送到协议适配设备30，协议适配设备30接受来自用户终端的访问请求，进行后续操作。若没有提前与前台web服务器进行过访问约定，在进行运维的过程中，协议适配设备30或协议分发设备20需对用户终端进行访问凭证验证，且通过验证后方能接受来自用户终端10的访问请求。

图1示出了本发明第一实施例IT设备远程运维的方法100流程图。在本优选实时例中，用户终端10在开始对受控设备40发起运维之前，已提前与前台web服务器进行过访问验证。

如图1所示，远程运维的方法开始与步骤102。

随后，在步骤104中，协议分发设备20将来自用户终端10的web浏览器上的访问请求发送至协议适配设备30，在本步骤中，用户终端10首先通过广域网接入协议分发设备20，其次，向协议分发设备20发送访问请求，再次，协议分发设备20将来自web浏览器的访问请求发送到协议适配设备30。

随后，在步骤106中，协议适配设备30接收用户终端10的访问请求，并选用预先设定的且与受控设备40匹配的访问协议链接访问受控设备40，并将访问获取的界面数据编码后发送到协议分发设备20。其中，访问协议包括虚拟网络协议、远程显示协议、安全外壳协议和/或Telnet协议等。

随后，在步骤108中，协议分发设备20将接收的编码界面数据二次编码后转换为web浏览器接收的数据格式，并以图像和/或文本方式发送至所述用户终端10的web浏览器上。在本步骤中，由于用户终端10是以web浏览器的方式传输数据，因此须将来自协议适配设备30的界面数据转换为符合html5标准的图像和/或文本，并通过websocket协议发送至用户终端10的浏览器上。当用户接受到该界面数据后，可利用web浏览器显示该界面数据，从而为实现用户终端10与受控设备40间的直接交互提供了先决条件。

随后，在步骤110中，协议分发设备30对用户终端10的运维权限进行验证，若当前没有用户终端10操控受控设备40，则直接通过权限验证，执行步骤114，若用户终端11正在操控受控设备40，则其它用户终端10无法通过权限验证，但用户终端10还可选择执行步骤116至120中的任意项或全部。本步骤中运维权限的验证可在发送控制指令之前进行尝试验证，也可以发送控制指令后，再验证。上述运维权限即用户终端10对受控设备40的操作和控制权限。

步骤114，协议分发设备30将用户终端10的web浏览器上基于界面数据发送的控制指令转换格式后发送至协议适配设备30，协议适配设备30将转换格式后的控制指令发送至受控设备40，从而对受控设备40进行操作和控制。在本步骤中协议分发设备20依据预先设定的与受控设备40对应的访问协议对来自web浏览器的控制指令进行格式转换。本步骤中的控制指令可通过用户终端10的鼠标、显示器和/或键盘输入。

本发明方法还可选择在步骤114之前执行步骤112：协议分发设备20对来自用户终端10的web浏览器上的控制指令进行记录备份，同时对控制指令中的危险指令进行屏蔽，屏蔽后用户终端10无法对受控设备40进行危险操作，常见的危险指令如rm-f/*，format c:等。

步骤116：协议分发设备20允许所有通过访问验证的用户终端通过web浏览器浏览受控设备40的界面数据，在本步骤中，没有运维权限的用户终端12和用户终端13等可通过自身的web浏览器查看其将操控的受控设备40的界面，也可浏览当前用户终端11对受控设备40进行的具体操作。

步骤118：协议分发设备20允许所有通过访问验证的用户终端10上传数据进行共享和通过语音或白板进行实时通信，在本步骤中没有运维权限的用户终端12和用户终端13等可通过语音或白板彼此沟通或与正在进行操控的用户终端11沟通，还可以上传数据，彼此进行数据共享。

步骤120：用户终端12从当前正在操做和控制受控设备40的用户终端11或协议分发设备20处获得运维权限，执行步骤114，在本步骤中，没有运维权限的用户中终端12可通过两种方式获得运维权限：1、等待协议分发设备20按照预设顺序分发运维权限；2、通过语音或白板与当前进行运维（操控受控设备40）的用户终端11协商沟通获得运维权限。用户终端12获得运维权限后可直接进行权限验证。

步骤116、步骤118和步骤120使得本发明方法可提供多用户的协调运维，此外由于运维权限的验证步骤，使得多用户可实时沟通，可避免误操作。

最后，远程用户通过用户终端10完成IT设备（受控设备40）的远程运维，进入步骤122。

在上述优选实施例中，由于将协议的适配和分发部分进行了分割，降低了对计算资源的要求，协议适配设备30可为包括协议适配网关软件的PC、PDA、或智能手机。协议分发配设备20可为包括协议分发网关软件的PC、PDA、或智能手机。进而可将协议适配设备30部署于内网，确保数据的安全。

图2示出了本发明第二实施例IT设备远程运维的方法200流程图。

在本实施例中，用户终端10在开始对受控设备40发起运维之前，没有提前向前台web服务器进行过访问凭证的验证。远程运维的方法200包括以下步骤：

S201、远程用户通过用户终端10的web浏览器向协议分发设备20发送访问请求。

S202、协议分发设备20要求用户终端10输入访问凭证。

S203、

S204、协议分发设备20将协议适配设备30的要求转达给用户终端10。

S205、远程用户通过用户终端10的web浏览器返回访问凭证。

S206、协议分发设备20将返回的访问凭证传送至协议适配设备30。

S207、访问凭证验证通过后，接受访问请求，协议适配设备30选用预设访问协议中与受控设备40匹配的访问协议访问受控设备40。

S208、返回访问受控设备40获取的界面数据。

S209、协议适配设备30将访问获取的界面数据编码后传送至协议分发设备20。

S210、协议分发设备20将接收到的界面数据二次编码后转换为web浏览器接收的数据格式，传送至用户终端10的浏览器上。

S211、远程用户基于受控设备40的界面数据通过用户终端10的web浏览器发送控制指令至协议分发设备20。

S212、若没有用户操控受控设备，则通过权限验证，协议分发设备20将控制指令转换格式后传送至协议适配设备30。

S213、协议适配设备30将转换后的控制指令传送至受控设备40，从而操控受控设备40。

图3示出了本发明第三实施例IT设备远程运维的方法300流程图。

在本实施例中，用户终端10在开始对受控设备40发起运维之前，没有提前向前台web服务器进行过访问凭证的验证。远程运维的方法300包括以下步骤：

S301、远程用户通过用户终端10的web浏览器向协议分发设备20发送访问请求。

S302、协议适配设备30要求输入访问凭证。

S303、远程用户通过用户终端10上的web浏览器输入访问凭证。

S304、访问凭证验证成功后，协议分发设备20将来自用户终端10的访问请求传送至协议适配设备30。

S305、接受访问请求，协议适配设备30选用预设访问协议中与受控设备40匹配的访问协议访问受控设备40。

S306、返回访问受控设备40获取的界面数据。

S307、协议适配设备30将访问获取的界面数据编码后传送至协议分发设备20。

S308、协议分发设备20将接收到的界面数据二次编码后转换为web浏览器接收的数据格式，传送至用户终端10的浏览器上。

S309、远程用户基于受控设备40的界面数据通过用户终端10的web浏览器发送控制指令至协议分发设备20。

S310、若没有用户操控受控设备，则通过权限验证，协议分发设备20将控制指令转换格式后传送至协议适配设备30。

S311、协议适配设备30将转换后的控制指令传送至受控设备40，从而操控受控设备40。

如图4所示，本发明的IT设备远程运维的***，包括至少一个受控设备40、协议适配设备30、协议分发设备20和至少一个用户终端10，其中：

协议适配设备30，通过局域网分别与至少一个受控设备40连接，通过局域网或广域网与协议分发设备20通信连接，以进行数据交换，为用户终端10与控制受控设备40适配的访问协议，协议适配设备30包括合适的接口、电路和/或逻辑，可分别与协议分发设备20和受控设备40进行数据交互。另外，协议适配设备30可以是包括协议适配网关软件的PC、PDA、或智能手机中的一个或多个。

协议适配设备30还可以对来自用户终端10的访问凭证进行验证。

协议分发设备20，通过广域网与用户终端10通信连接，用于将来自用户终端10的web浏览器上控制指令转换格式后传送至协议适配设备30；并将来自协议适配设备30的受控设备40的界面数据按html5标准转换格式后发送至所述用户终端10的web浏览器上。另外，协议分发设备20可以是包括协议分发网关软件的PC、PDA、或智能手机中的一个或多个。

协议分发设备20也可以对来自用户终端10的访问凭证进行验证。

至少一个用户终端10,为直接与用户交互的设备终端，可为用户提供用于输入访问请求和控制指令的web浏览器，包括合适的接口、电路和/或逻辑。用户终端10可以是台式机11，通过其防火墙与协议分发设备20通信连接，也可以是笔记本电脑12、平板电脑13和/或智能终端14（诸如移动终端）。以上仅用作举例，并不是对本发明的限制。另外，用户终端10可以包括以上例子中的一个或多个。

至少一个受控设备40，为用户终端10将访问的远程终端设备，包括合适的接口、电路和/或逻辑，可使用各自的通信协议与协议适配设备30进行数据交换，例如，远程计算机41可使用VNC协议与协议适配设备30进行数据交换，远程计算机42可使用RDP协议与协议适配设备30进行数据交换，远程计算机43可使用SSH协议与协议适配设备30进行数据交换，以及另一远程计算机可使用Telnet协议与协议适配设备30进行数据交换。当然，也可使用相同的通信协议与协议适配设备30进行数据交换；以及也可以是其它的终端协议，包括Freenx、xdmcp、ica、pcoip、spice等终端协议。

如图5所示，协议适配设备30包括检测模块31、代理模块33和控制模块34，其中：

检测模块31，用于自动搜索待受控的受控设备40采集，还可自动添加受控设备40。代理模块33，用于预存和提供多种与访问协议，并根据受控设备40对访问协议进行适配，以实现访问协议的代理中转；控制模块34，用于根据适配的访问协议中转控制指令，将协议适配设备30接收到的控制指令传送到受控设备40，以操作和控制受控设备40。

此外，协议适配设备30还可包括认证模块，用于验证由协议分发设备20转发的来自用户终端10的访问凭证，该凭证可以是预先设定的用户名、密码或密钥等，该用户名、密码或密钥已经与用户终端10提前进行了约定。

如图6所示，协议分发设备20包括转换模块21和协同模块22，其中：

转换模块21，用于根据html5或与所述受控设备40对应的访问协议转换来自用户终端10和/或协议适配设备30的数据信息的数据格式。

协同模块22，用于支持用户终端10浏览受控设备40的界面数据、上传数据、语音和白板。协协同模块22进一步用于验证和切换运维权限。该模块的存在使得本发明***可支持多用户协同运维受控设备，协同运维过程中多用户可实时沟通和共享数据。此外，该模块使得每次只能由一个用户终端11对受控设备40进行操作和控制，其它用户终端12或13等只能浏览上述受控设备40的界面数据。可避免各种误操作，如，重复操作、无人控制、多人抢占控制权等。

在本发明的优选实施例中，协议分发设备20进一步可包括审计模块23，用于记录操作和控制过程，并对操作和控制过程中的危险指令进行屏蔽。

在本发明的优选实施例中，协议分发设备20进一步可包括认证模块24，用于验证由协议分发设备20转发的来自用户终端10的访问凭证，该凭证可以是预先设定的用户名、密码或密钥等，该用户名、密码或密钥已经与用户终端10提前进行了约定。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims

1.一种IT设备远程运维的方法，其特征在于，所述方法包括：

2.根据权利要求1所述的IT设备远程运维的方法，其特征在于，所述步骤S1还包括：

S11.协议分发设备要求用户终端输入访问凭证；

3.根据权利要求1所述的IT设备远程运维的方法，其特征在于，所述步骤S4进一步包括：

4.根据权利要求1所述的IT设备远程运维的方法，其特征在于，在所述步骤S4中，协议分发设备根据预设的与受控设备对应的访问协议转换控制指令的格式。

5.根据权利要求1-4中任意一项所述的IT设备远程运维的方法，其特征在于，验证运维权限后，所述步骤S4还包括步骤S45：协议分发设备对来自用户终端web浏览器上的控制指令进行记录备份，同时对控制指令中的危险指令进行屏蔽。

6.一种IT设备远程运维的***，其特征在于，所述***包括：

7.根据权利要求6所述的IT设备远程运维的***，其特征在于，所述协议分发设备包括转换模块、认证模块和协同模块，其中：

认证模块，用于验证访问凭证；

8.根据权利要求6所述的IT设备远程运维的***，其特征在于，所述协议适配设备包括检测模块、代理模块和控制模块，其中：

检测模块，用于采集和添加受控设备；

9.根据权利要求7所述的IT设备远程运维的***，其特征在于,协同模块进一步用于验证和切换运维权限。

10.根据权利要求6-9中任意一项所述的IT设备远程运维的***，其特征在于,所述协议分发设备进一步包括审计模块，用于记录控制指令，并对控制指令中的危险指令进行屏蔽。