CN107579966A - 远程访问内网的控制方法、装置、***和终端设备 - Google Patents

Abstract

本公开提供了一种远程访问内网的控制方法、装置、***和终端设备；该方法应用于终端设备，该终端设备安装有认证客户端，该认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；该方法包括：当认证客户端接收到APP的内网访问请求时，根据合法APP信息判断APP是否有权使用VPN隧道；如果是，允许该APP通过VPN隧道访问内网。本公开可以兼顾终端设备访问内网的便利性和安全性，提升***的性能。

Description

远程访问内网的控制方法、装置、***和终端设备

技术领域

本公开涉及互联网技术领域，尤其是涉及一种远程访问内网的控制方法、装置、***和终端设备。

背景技术

随着手机、平板电脑等移动终端的普及，移动终端上的APP(Application，应用软件)也日趋多样化。为了方便员工处理办公事务，很多企业、行政单位等均开发了内部办公APP，这些APP通过内网登录业务服务器(即企业内网中的服务器)进行数据通信。

如果将企业内部的业务服务器开放到公网，会对企业内网安全构成威胁；如果强制移动端APP只能在企业内网环境下访问，则会给用户使用带来很多不便。在这种情况，现有技术中引入了一种访问企业内部服务器的方式，该方式主要基于VPN(Virtual PrivateNetwork，虚拟专用网络)技术实现，首先验证移动终端的身份，验证合法后，再通过VPN隧道为该移动终端与内网服务器建立连接，这样移动终端上的各个APP都可以访问内网服务器。

上述通过身份验证控制移动端APP访问内网服务器的方式，仅从用户访问内网的便利性角度做了改进。一旦移动终端合法，其上的所有APP均可以访问内网服务器，而对于安全性要求较高的APP，因为该APP被开放于公网的VPN技术下，存在一定的安全隐患。针对这种内网访问的便利性和安全性难以兼顾实现的问题，目前尚未提出有效的解决方案。

发明内容

有鉴于此，本公开的目的在于提供一种远程访问内网的控制方法、装置、***和终端设备，以同时兼顾内网本身的安全性和用户访问内网的便捷性。

为了实现上述目的，本公开采用的技术方案如下：

第一方面，本公开提供了一种远程访问内网的控制方法，该方法应用于终端设备，该终端设备安装有认证客户端，认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；方法包括：当认证客户端接收到APP的内网访问请求时，根据合法APP信息判断APP是否有权使用VPN隧道；如果是，允许该APP通过VPN隧道访问内网。

第二方面，本公开提供了一种远程访问内网的控制方法，所述方法应用于MDM服务器，所述方法包括：当接收到终端设备的认证客户端发送的设备注册请求时，对所述认证客户端进行设备注册；所述设备注册成功后，向所述认证客户端提供所述认证客户端对应内网的VPN配置文件，以及APP与VPN隧道的关联命令，所述关联命令携带有所述VPN隧道关联的APP的标识；以使所述认证客户端根据所述VPN配置文件建立VPN隧道，并将所述关联命令中的APP的标识添加至所述VPN隧道的合法APP信息，根据所述合法APP信息确定有权使用所述VPN隧道的APP，允许所述APP通过所述VPN隧道访问内网。

第三方面，本公开提供了一种远程访问内网的控制装置，该装置设置于终端设备，该终端设备安装有认证客户端，认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；该装置包括：判断模块，用于当认证客户端接收到APP的内网访问请求时，根据合法APP信息判断APP是否有权使用VPN隧道；隧道使用模块，用于如果APP有权使用VPN隧道，允许该APP使用VPN隧道访问内网。

第四方面，本公开提供了一种远程访问内网的控制装置，所述装置应用于MDM服务器，所述装置包括：设备注册模块，用于当接收到终端设备的认证客户端发送的设备注册请求时，对所述认证客户端进行设备注册；提供模块，用于所述设备注册成功后，向所述认证客户端提供所述认证客户端对应内网的VPN配置文件，以及APP与VPN隧道的关联命令，所述关联命令携带有所述VPN隧道关联的APP的标识；以使所述认证客户端根据所述VPN配置文件建立VPN隧道，并将所述关联命令中的APP的标识添加至所述VPN隧道的合法APP信息，根据所述合法APP信息确定有权使用所述VPN隧道的APP，允许所述APP通过所述VPN隧道访问内网。

第五方面，本公开提供了一种远程访问内网的控制***，该***包括认证客户端、MDM(Mobile Device Management，移动设备管理)服务器和认证服务器；认证服务器用于对认证客户端进行认证，当认证通过后，通知MDM服务器和认证客户端；MDM服务器包括上述第四方面中的远程访问内网的控制装置；认证客户端包括上述第三方面中的远程访问内网的控制装置。

第六方面，本公开提供了一种终端设备，包括存储器和处理器；其中，存储器用于存储一条或多条计算机指令，一条或多条计算机指令被处理器执行，以实现上述远程访问内网的控制方法。

第七方面，本公开提供了一种机器可读存储介质，机器可读存储介质存储有机器可执行指令，机器可执行指令在被处理器调用和执行时，机器可执行指令促使处理器实现上述远程访问内网的控制方法。

本公开带来了以下有益效果：

上述远程访问内网的控制方法、装置、***、终端设备和机器可读存储介质，终端设备的认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；在接收到APP的内网访问请求时，如果该认证客户端根据上述合法APP信息判断该APP有权使用VPN隧道，则开通VPN隧道以供该APP访问内网；通过该方式，即使终端设备处于公网环境，有权限的APP依然能够通过VPN隧道安全、快速地访问内网，保证了终端设备访问内网的便捷性，同时，对于安全性级别较高的APP，其没有使用VPN隧道的权限，这样这种APP仅可以在内网环境下运行，保证了该APP运行安全性，进而兼顾了终端设备访问内网的便利性和安全性，提升了***的性能。

本公开的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本公开的上述技术即可得知。

为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本公开具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本公开的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本公开实施例提供的一种远程访问内网的控制方法的应用环境示意图；

图2为本公开实施例提供的第一种远程访问内网的控制方法的流程图；

图3为本公开实施例提供的第二种远程访问内网的控制方法的流程图；

图4为本公开实施例提供的第三种远程访问内网的控制方法的流程图；

图5为本公开实施例提供的第四种远程访问内网的控制方法的流程图；

图6为本公开实施例提供的一种远程访问内网的控制装置的结构示意图；

图7为本公开实施例提供的第五种远程访问内网的控制方法的流程图；

图8为本公开实施例提供的另一种远程访问内网的控制装置的结构示意图；

图9为本公开实施例提供的第一种远程访问内网的控制***的结构示意图；

图10为本公开实施例提供的第二种远程访问内网的控制***的结构示意图；

图11为本公开实施例提供的一种终端设备的结构示意图。

具体实施方式

为使本公开实施例的目的、技术方案和优点更加清楚，下面将结合附图对本公开的技术方案进行清楚、完整地描述，显然，所描述的实施例是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

参见图1所示的一种远程访问内网的控制方法的应用环境示意图；终端设备上的多个APP(包括APP1、APP2、…、APPn等)通过VPN即可访问内网中的业务服务器(包括业务服务器1、业务服务器2、…、业务服务器n等)。

为了在用户访问内网时，兼顾内网本身的安全性和用户访问内网的便捷性，需要在用户的终端设备和内网之间建立一种机制，使得终端设备即使在公网环境下，仅部分指定的APP才能够访问企业内部的业务服务器；基于该目的，本公开实施例提供了一种远程访问内网的控制方法、装置、***、终端设备和机器可读存储介质；该技术可以普遍应用于终端设备等终端设备中，该内网可以为企业内网、单位内部办公网、校园网等局域网络；该技术可以采用相关的软件或硬件实现，下面通过实施例进行描述。

实施例一：

本实施例提供了一种远程访问内网的控制方法，该方法应用于终端设备，该终端设备安装有认证客户端，该认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；

该认证客户端可以为安装于终端设备中的应用软件或插件；该认证客户端可以与内网中的业务服务器或网关等设备之间建立上述VPN隧道，用于与该内网进行通信；上述合法APP信息可以为允许使用该VPN隧道访问内网的APP列表，该列表中保存有APP标识等信息。

参见图2所示的第一种远程访问内网的控制方法的流程图，该方法包括如下步骤：

步骤S202，当认证客户端接收到APP的内网访问请求时，根据合法APP信息判断APP是否有权使用VPN隧道；

步骤S204，如果是，允许该APP通过VPN隧道访问内网。

例如，上述认证客户端可以实时监测终端设备内启动的APP是否要访问内网；当终端设备的用户触发启动一款企业办公用APP时，或者，启动后的该APP想要与内网发生通信行为时，该认证客户端即可接收到该APP的内网访问请求；该内网访问请求中可以携带有该APP的相关信息，例如，APP标识、参数等；认证客户端可以根据内网访问请求中的该APP的相关信息，以及上述合法APP信息判断该APP是否有权使用VPN隧道；如果有，认证客户端则允许该APP使用VPN隧道；如果没有，该认证客户端拒绝该APP的内网访问请求，同时，可以向用户发送提示消息，以提示用户该APP被拒绝访问内网的原因和操作建议等。

本实施例提供的一种远程访问内网的控制方法，终端设备的认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；在接收到APP的内网访问请求时，如果该认证客户端根据上述合法APP信息判断该APP有权使用VPN隧道，则允许该APP使用VPN隧道访问内网；通过该方式，即使终端设备处于公网环境，有权限的APP依然能够通过VPN隧道安全、快速地访问内网，保证了终端设备访问内网的便捷性。同时，对于安全性级别较高的APP，其没有使用VPN隧道的权限，这样这种APP仅可以在内网环境下运行，保证了该APP运行安全性，进而兼顾了移动终端访问内网的便利性和安全性，提升了***的性能。

实施例二：

参见图3所示的第二种远程访问内网的控制方法的流程图，该方法在实施例一提供的远程访问内网的控制方法的基础上，还包括：

认证客户端向MDM服务器进行设备注册，设备注册成功后，从MDM服务器获取VPN配置文件，以及APP与VPN隧道的关联命令，该关联命令携带有VPN隧道关联的APP的标识；

根据VPN配置文件建立VPN隧道，并将关联命令中的APP的标识添加至VPN隧道的合法APP信息中，用以判断APP有无使用VPN隧道的权限。例如：当认证客户端接收到APP的内网访问请求时，在合法APP信息中查找是否有该APP的标识；如果有，确定该APP有权使用VPN隧道。

上述关联命令可以设置在VPN配置文件中，也可以不设置在VPN配置文件中，而是单独获取，获取的时机可以在认证客户端下载APP并安装该APP之后，也可以在安装APP之前。VPN配置文件和关联命令的具体获取方式，可以是认证客户端主动下载，也可以是MDM服务器主动推送等，本实施例对此不进行限定。

参见图3，该方法以终端设备首次加入内网为例进行说明，该方法包括如下步骤：

步骤S302，认证客户端向MDM服务器进行设备注册；

一般来说，在网络搭建时，通常可以一个内网配置一个MDM服务器，但该MDM服务器可以设置于内网中，可以设置于外网，对于MDM服务器所处的位置并不加以限定。

该MDM服务器中预先保存有该内网的多个APP的安装包，并为每个APP配置有是否可以使用VPN隧道的权限，该MDM服务器还预存有内网的VPN配置文件。

上述步骤S302中，认证客户端可以使用认证客户端的账户信息，或者该认证客户端所处的终端设备的设备信息(例如，终端设备的MAC地址等)作为唯一的认证客户端的标识进行注册。

步骤S304，设备注册成功后，从MDM服务器下载内网的APP和VPN配置文件；

步骤S306，安装APP；

步骤S308，根据VPN配置文件建立访问内网的VPN隧道；

步骤S310，当接收到MDM服务器下发的关联APP与VPN隧道命令时，将APP的标识添加至VPN隧道的合法APP信息中。

当该APP在MDM服务器中配置为可以使用VPN隧道的权限时，则MDM服务器向认证客户端下发关联该APP与VPN隧道命令；当该APP在MDM服务器中配置为不可以使用VPN隧道的权限时，则MDM服务器不向认证客户端下发关联该APP与VPN隧道命令。

此外，对于步骤306、步骤308以及步骤310的执行顺序并不加以限定。即也可以在APP安装前，接收到MDM服务器下发的关联APP与VPN隧道命令。

步骤S312，当认证客户端接收到APP的内网访问请求时，在合法APP信息中查找是否有该APP的标识；如果有，执行步骤S314；如果没有，执行步骤S316；

考虑到网络处理的延时性原因，当上述APP的标识添加至VPN隧道的合法APP信息中后，或者，当认证客户端接收到APP的内网访问请求时，可以设置一段等待时长并开始计时，当计时达到该等待时长后，认证客户端可以在合法APP信息中查找该APP的标识，以保证查找动作在APP标识添加至合法APP信息中生效之后进行，提升查找结果的准确性。

步骤S314，确定该APP有权使用VPN隧道，允许该APP通过VPN隧道访问内网；

步骤S316，确定该APP没有权使用VPN隧道，拒绝为该APP开通VPN隧道。

本发明实施例提供的一种远程访问内网的控制方法，终端设备的认证客户端向内网的MDM服务器进行设备注册、安装APP后，根据下载的VPN配置文件可以建立访问内网的VPN隧道，并根据MDM服务器下发的关联命令将该APP的标识添加至合法APP信息中；在接收到APP的内网访问请求时，如果在合法APP信息中查找到该APP的标识时，则允许该APP使用VPN隧道访问内网；通过该方式，即使终端设备处于公网环境，有权限的APP依然能够通过VPN隧道安全、快速地访问内网，保证了终端设备访问内网的便捷性，同时，对于安全性级别较高的APP，其没有使用VPN隧道的权限，这样这种APP仅可以在内网环境下运行，保证了该APP运行安全性，进而兼顾了终端设备访问内网的便利性和安全性，提升了***的性能。

进一步地，上述方式中，认证客户端直接接收MDM服务器下载的VPN配置文件，避免了用户手动配置VPN参数的繁琐操作，提高了VPN隧道建立的效率和便捷性。

实施例三：

参见图4所示的第三种远程访问内网的控制方法的流程图；该方法在实施例二提供的远程访问内网的控制方法的基础上，该方法还包括：认证客户端向认证服务器进行认证；当认证通过后，通过认证服务器将认证客户端的标识发送至MDM服务器，以通知MDM服务器认证客户端通过认证；相应地，上述认证客户端向MDM服务器进行设备注册的步骤，包括：向MDM服务器发送设备注册请求，该设备注册请求携带有认证客户端的标识，以使MDM服务器根据认证服务器发送的认证客户端标识确定认证客户端合法后，为认证客户端进行设备注册。

参见图4，该方法以终端设备首次加入内网为例进行说明，该方法包括如下步骤：

步骤S402，认证客户端向内网的认证服务器进行认证；

具体地，当终端设备上的认证客户端启动时，该认证客户端使用认证客户端的账户信息，或者该认证客户端所处的终端设备的设备信息(例如，终端设备的MAC地址等)作为唯一的认证客户端的标识向该认证服务器进行VPN登录认证。

步骤S404，当认证通过后，通过认证服务器获取内网的MDM服务器的地址，以及通过认证服务器将认证客户端的标识发送至MDM服务器；

步骤S406，使用上述地址向MDM服务器发送设备注册请求，设备注册请求携带有认证客户端的标识，以使MDM服务器确定认证客户端合法后，为认证客户端进行设备注册。

上述认证客户端向认证服务器认证通过后，认证服务器即向MDM服务器发送该认证客户端的标识，MDM服务器保存该认证客户端的标识；当MDM服务器接收到设备注册请求时，如果该设备注册请求携带的认证客户端的标识已保存在MDM服务器中，说明该设备注册请求对应的认证客户端为合法客户端，MDM服务器为该认证客户端进行设备注册；如果该设备注册请求携带的认证客户端的标识没有保存在MDM服务器中，说明该设备注册请求对应的认证客户端为非法客户端，MDM服务器拒绝为该认证客户端进行设备注册。

步骤S408，设备注册成功后，从MDM服务器下载内网的APP和VPN配置文件，安装该APP；

步骤S410，根据设备注册过程中的注册信息，确定内网的VPN隧道的加载参数，该加载参数包括但不限于：网关地址、用户名与密码，以及Cookies设置等信息；使用该加载参数修改VPN配置文件中的对应参数；

其中，网关地址可以是进行设备注册时，用户登录认证客户端时添加的。用户名和密码为设备注册过程中，用户填写的用户名和密码，该用户名和密码用于在使用VPN隧道时对用户进行认证。

上述从MDM服务器下载的VPN配置文件中，可能有部分参数为空白，或者与当前终端设备或认证客户端不符，因而，需要在载的VPN配置文件中补入相关参数，例如，上述网关地址、用户名与密码，以及Cookies设置信息等，以使VPN配置文件更加完整，实现自动建立VPN隧道，降低人工成本。

步骤S412，应用修改后的VPN配置文件，建立访问内网的VPN隧道。

在一种可选的实施方式中，上述认证客户端中安装有VPN插件，上述步骤S412在实现时，认证客户端启动修改后的VPN配置文件后，可以由该VPN插件接收VPN启动请求，并生成上述VPN隧道。

步骤S414，当接收到MDM服务器下发的关联APP与VPN隧道命令时，将APP的标识添加至VPN隧道的合法APP信息中。

在实际实现时，当某一APP的标识添加至VPN隧道的合法APP信息中后，认证客户端可以向上述VPN插件发送通知；当该VPN插件收到该通知后，会为该VPN隧道关联该APP，以使该APP可以使用该VPN隧道。

步骤S416，当认证客户端接收到APP的内网访问请求时，在合法APP信息中查找是否有该APP的标识；如果有，执行步骤S418；如果没有，执行步骤S420；

步骤S418，确定该APP有权使用VPN隧道，允许该APP通过VPN隧道访问内网；

步骤S420，确定该APP没有权使用VPN隧道，拒绝为该APP开通VPN隧道。

本发明实施例提供的一种远程访问内网的控制方法，终端设备的认证客户端首先向认证服务器进行认证，再向MDM服务器进行设备注册，且在注册过程中补充完善从MDM服务器下载VPN配置文件，以建立访问内网的VPN隧道，便于后续APP通过该VPN隧道访问内网；通过该方式，即使终端设备处于公网环境，有权限的APP依然能够通过VPN隧道安全、快速地访问内网，保证了终端设备访问内网的便捷性，同时，对于安全性级别较高的APP，其没有使用VPN隧道的权限，这样这种APP仅可以在内网环境下运行，保证了该APP运行安全性，进而兼顾了终端设备访问内网的便利性和安全性，提升了***的性能。

进一步地，上述方式中，认证客户端直接接收MDM服务器下载的VPN配置文件，并从注册信息中确定内网的VPN隧道的加载参数，进而自动修改VPN配置文件；避免了用户手动配置VPN参数的繁琐操作，提高了VPN隧道建立的效率和便捷性。

实施例四：

参见图5所示的第四种远程访问内网的控制方法的流程图；该方法在实施例一提供的远程访问内网的控制方法的基础上实现；其中，允许APP通过VPN隧道访问内网的步骤包括：通过SDK(Software Development Kit，软件开发工具包)接口接收到VPN隧道的启动消息，根据该启动消息确定VPN隧道是否可用；在确定所述VPN隧道可用时，通过VPN隧道传送APP与内网间的数据。

通过SDK接口确定VPN隧道可用与否，能够自动感知VPN隧道是否正常，提升了***性能。

参见图5，该方法包括如下步骤：

步骤S500，认证客户端接收APP的内网访问请求；

步骤S502，根据合法APP信息判断APP是否有权使用VPN隧道；如果有，执行步骤S504；如果没有，执行步骤S510；

步骤S504，启动VPN隧道，该启动VPN隧道即建立VPN隧道，具体建立过程同上，这里不再赘述；

步骤S506，当通过SDK接口接收到VPN隧道已启动完毕消息时，确定VPN隧道可用；通过VPN隧道传送APP与内网间的数据。

由上述实施例可知，该APP的安装包预先保存在MDM服务器中，该APP为专用的SDK开发；当该APP安装在终端设备上时，通过调用该SDK的接口，可以接收VPN隧道的相关信息。

步骤S508，当通过SDK接口接收到VPN隧道启动失败消息或断开连接消息时，再次启动VPN隧道，直至VPN隧道可用或者启动超时为止。

当VPN隧道启动超时时，可以以消息的形式通知用户，以使用户再次触发该APP向认证客户端发送内网访问请求。

步骤S510，拒绝为该APP开通VPN隧道。

本发明实施例提供的一种远程访问内网的控制方法，终端设备的认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；在接收到APP的内网访问请求时，如果该认证客户端根据该合法APP信息判断该APP有权使用VPN隧道，通过调用APP对应的SDK接口接收VPN隧道的启动消息，VPN隧道启动成功后，该APP可以访问内网；通过该方式，即使终端设备处于公网环境，有权限的APP依然能够通过VPN隧道安全、快速地访问内网，保证了终端设备访问内网的便捷性，同时，对于安全性级别较高的APP，其没有使用VPN隧道的权限，这样这种APP仅可以在内网环境下运行，保证了该APP运行安全性，进而兼顾了终端设备访问内网的便利性和安全性，提升了***的性能。

进一步地，在VPN启动过程中，上述SDK接口可以实时监测VPN隧道的状态，当接收到VPN隧道启动失败消息或断开连接消息时，该SDK接口可以自动重连VPN隧道，避免了用户手动重连的繁琐操作，提高了VPN隧道启动的效率和便捷性。

实施例五：

对应于上述方法实施例，参见图6所示的一种远程访问内网的控制装置的结构示意图；该装置设置于终端设备，该终端设备安装有认证客户端，该认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；该装置包括如下部分：

判断模块60，用于当认证客户端接收到APP的内网访问请求时，根据合法APP信息判断APP是否有权使用VPN隧道；

隧道使用模块62，用于如果APP有权使用VPN隧道，允许该APP通过VPN隧道访问内网。

本发明实施例提供的一种远程访问内网的控制装置，终端设备的认证客户端与内网间建立有VPN隧道，且保存有VPN隧道的合法APP信息；在接收到APP的内网访问请求时，如果该认证客户端根据该合法APP信息判断该APP有权使用VPN隧道，则允许该APP使用VPN隧道访问内网；通过该方式，即使终端设备处于公网环境，有权限的APP依然能够通过VPN隧道安全、快速地访问内网，保证了终端设备访问内网的便捷性，同时，对于安全性级别较高的APP，其没有使用VPN隧道的权限，这样这种APP仅可以在内网环境下运行，保证了该APP运行安全性，进而兼顾了终端设备访问内网的便利性和安全性，提升了***的性能。

进一步地，上述装置还包括：注册模块，用于向MDM服务器进行设备注册；文件获取模块，用于设备注册成功后，从MDM服务器获取VPN配置文件，以及APP与VPN隧道的关联命令，关联命令携带有VPN隧道关联的APP的标识；隧道建立模块，用于根据VPN配置文件建立访问内网的VPN隧道，以及确定VPN隧道关联的APP；标识添加模块，用于将关联命令中的APP的标识添加至VPN隧道的合法APP信息中。

进一步地，上述判断模块用于在合法APP信息中查找是否有APP的标识，如果有，确定APP有权使用VPN隧道。

进一步地，装置还包括：

认证模块，用于认证客户端向认证服务器进行认证；当认证通过后，通过认证服务器将认证客户端的标识发送至MDM服务器，以通知MDM服务器认证客户端通过认证；

则，注册模块用于向MDM服务器发送设备注册请求，设备注册请求携带有认证客户端的标识，以使MDM服务器根据认证服务器发送的认证客户端标识确定认证客户端合法后，为认证客户端进行设备注册。

进一步地，上述隧道建立模块用于：根据设备注册过程中的注册信息，确定内网的VPN隧道的加载参数；使用加载参数修改VPN配置文件中对应参数；应用修改后的VPN配置文件，建立VPN隧道。

进一步地，上述隧道使用模块用于：通过SDK接口接收到VPN隧道的启动消息，根据启动消息确定VPN隧道是否可用；在确定VPN隧道可用时，通过VPN隧道传送APP与内网间的数据。在确定VPN隧道不可用时，例如：当通过SDK接口接收到VPN隧道启动失败消息或断开连接消息时，再次启动VPN隧道，直至VPN隧道可用或者启动超时为止。

上述方法和装置主要是从终端设备侧进行的描述，与之对应的，本公开实施例中，还提供了从MDM服务器侧描述的方案，参见图7所示的第五种远程访问内网的控制方法流程图，该方法应用于MDM服务器，包括以下步骤：

步骤S702，当接收到终端设备的认证客户端发送的设备注册请求时，对认证客户端进行设备注册；

步骤S704，设备注册成功后，向认证客户端提供认证客户端对应内网的VPN配置文件，以及APP与VPN隧道的关联命令，关联命令携带有VPN隧道关联的APP的标识；以使认证客户端根据VPN配置文件建立VPN隧道，并将关联命令中的APP的标识添加至VPN隧道的合法APP信息，根据合法APP信息确定有权使用VPN隧道的APP，允许APP通过VPN隧道访问内网。

对应于图7所示方法，本公开实施例中还提供了另一种远程访问内网的控制装置，该装置应用于MDM服务器，参见图8所示的远程访问内网的控制装置的结构框图，该装置包括：

设备注册模块82，用于当接收到终端设备的认证客户端发送的设备注册请求时，对认证客户端进行设备注册；

提供模块84，用于设备注册成功后，向认证客户端提供认证客户端对应内网的VPN配置文件，以及APP与VPN隧道的关联命令，关联命令携带有VPN隧道关联的APP的标识；以使认证客户端根据VPN配置文件建立VPN隧道，并将关联命令中的APP的标识添加至VPN隧道的合法APP信息，根据合法APP信息确定有权使用VPN隧道的APP，允许APP通过VPN隧道访问内网。

参见图9所示的第一种远程访问内网的控制***的结构示意图；该***包括认证客户端90、MDM服务器92和认证服务器94；认证服务器94用于对认证客户端进行认证，当认证通过后，通知MDM服务器和认证客户端；MDM服务器92包括图8所示的远程访问内网的控制装置；认证客户端90包括上述图6所示的远程访问内网的控制装置。

本发明实施例提供的一种远程访问内网的控制装置和***，与上述实施例提供的一种远程访问内网的控制方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。

参见图10所示的第二种远程访问内网的控制***的结构示意图；终端设备的认证客户端通过向认证服务器进行认证，再向MDM服务器进行设备注册，从而建立访问内网的VPN隧道且获取VPN隧道的合法APP信息；终端设备上的多个APP(包括APP1、APP2、…、APPn等)通过包含隧道功能的认证客户端，可以开启VPN隧道，进而通过VPN网关访问内网中的多个业务服务器(包括业务服务器1、业务服务器2、…、业务服务器n等)。

基于图10所述的远程访问内网的控制***，上述远程访问内网的控制方法，具体可以通过下述方式实现：

步骤1：将采用SDK开发的APP上传至MDM服务器；通常，该APP为安装于终端设备的APP；

步骤2：在MDM服务器中配置上述上传的APP中，哪些可以使用VPN隧道；例如，生成一个APP列表，该列表中保存了可以使用VPN隧道的APP标识。

步骤3：认证客户端启动后，向认证服务器进行VPN登录认证；认证通过后，认证服务器将认证客户端的信息作为认证客户端的唯一标识，发送至MDM服务器，向认证客户端发送认证通过的通知，同时向认证客户端告知MDM服务器的地址。

步骤4：认证客户端收到认证通过的通知后，向MDM服务器发送设备注册请求。

步骤5：MDM服务器收到设备注册请求后，启动设备注册流程；当设备注册成功后，向认证客户端发送通知。通常，设备注册成功后，MDM服务器就可以管理该设备，例如，向该设备安装应用、推送配置文件等。

步骤6：MDM服务器向该设备下发VPN配置文件，直至成功下发VPN配置文件。通常，在下发配置文件过程中，认证客户端可能会向MDM服务器发送询问消息，此时，MDM服务器需要回应认证客户端，正在下发VPN配置文件，以使认证客户端等待VPN配置文件下发完成。

步骤7：VPN配置文件下发完成后，认证客户端加载VPN配置文件，并修改VPN配置文件参数；该VPN配置文件参数包含网关地址、用户名密码、Cookie信息等；参数修改完成后，向VPN插件发送启动该VPN配置文件的请求。

步骤8：认证客户端的VPN插件接收到上述VPN配置文件启动请求后，建立终端设备到VPN网关的安全隧道，用于后续的报文转发。

步骤9：MDM服务器向终端设备推送APP，以使该终端设备安装该APP；APP安装成功后，MDM服务器向该APP发送授权使用VPN隧道的命令，由于网络原因，该授权命令可能需要延迟一段时间才能生效。

步骤10：上述授权命令生效后，认证客户端通知认证客户端的VPN插件该APP可以使用VPN隧道。

步骤11：认证客户端的VPN插件收到上述通知后，为该VPN隧道关联上述APP，以便该APP可以使用该VPN隧道。

步骤12：该APP启动后，认证客户端通过调用相应的SDK接口，判断该APP是否有权使用VPN隧道，如果是，该APP可以通过VPN隧道安全的访问企业内部的业务服务器。

参见图11所示的一种终端设备的结构示意图；该终端设备包括存储器100和处理器101；其中，存储器100用于存储一条或多条计算机指令，一条或多条计算机指令被处理器执行，以实现上述远程访问内网的控制方法。

进一步，图11所示的终端设备还包括总线102和通信接口103，处理器101、通信接口103和存储器100通过总线102连接。

其中，存储器100可能包含高速随机存取存储器(RAM，Random Access Memory)，也可能还包括非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。通过至少一个通信接口103(可以是有线或者无线)实现该***网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。总线102可以是ISA总线、PCI总线或EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图11中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

处理器101可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器101中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器101可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DigitalSignal Processing，简称DSP)、专用集成电路(Application Specific IntegratedCircuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本公开实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器100，处理器101读取存储器100中的信息，结合其硬件完成前述实施例的方法的步骤。

进一步，本发明实施例还提供了一种机器可读存储介质，该机器可读存储介质存储有机器可执行指令，该机器可执行指令在被处理器调用和执行时，机器可执行指令促使处理器实现上述远程访问内网的控制方法。

本公开实施例所提供的一种远程访问内网的控制方法、装置、***、终端设备和机器可读存储介质，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本公开的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本公开各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以说明本公开的技术方案，而非对其限制，本公开的保护范围并不局限于此，尽管参照前述实施例对本公开进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本公开实施例技术方案的精神和范围，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应所述以权利要求的保护范围为准。

Claims (16)

1.一种远程访问内网的控制方法，其特征在于，所述方法应用于终端设备，所述终端设备安装有认证客户端，所述认证客户端与所述内网间建立有VPN隧道，且保存有所述VPN隧道的合法APP信息；所述方法包括：

当所述认证客户端接收到APP的内网访问请求时，根据所述合法APP信息判断所述APP是否有权使用所述VPN隧道；

如果是，允许所述APP通过所述VPN隧道访问所述内网。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述认证客户端向MDM服务器进行设备注册；

所述设备注册成功后，从MDM服务器获取VPN配置文件，以及APP与VPN隧道的关联命令，所述关联命令携带有所述VPN隧道关联的APP的标识；

根据所述VPN配置文件建立所述VPN隧道；

将所述关联命令中的APP的标识添加至所述VPN隧道的合法APP信息中。

3.根据权利要求2所述的方法，其特征在于，所述根据所述合法APP信息判断所述APP是否有权使用所述VPN隧道的步骤，包括：

在所述合法APP信息中查找是否有所述APP的标识；

如果有，确定所述APP有权使用所述VPN隧道。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：所述认证客户端向认证服务器进行认证；当认证通过后，通过所述认证服务器将所述认证客户端的标识发送至所述MDM服务器，以通知所述MDM服务器所述认证客户端通过认证；

则，所述认证客户端向所述MDM服务器进行设备注册的步骤，包括：

向所述MDM服务器发送设备注册请求，所述设备注册请求携带有所述认证客户端的标识，以使所述MDM服务器根据所述认证服务器发送的认证客户端标识确定所述认证客户端合法后，为所述认证客户端进行设备注册。

5.根据权利要求2所述的方法，其特征在于，所述根据所述VPN配置文件建立所述VPN隧道的步骤，包括：

根据所述设备注册过程中的注册信息，确定所述内网的VPN隧道的加载参数；

使用所述加载参数修改所述VPN配置文件中对应参数；

应用修改后的所述VPN配置文件，建立所述VPN隧道。

6.根据权利要求1-5任意一项所述的方法，其特征在于，所述允许所述APP通过所述VPN隧道访问所述内网的步骤，包括：

通过SDK接口接收到所述VPN隧道的启动消息，根据所述启动消息确定所述VPN隧道是否可用；

在确定所述VPN隧道可用时，通过所述VPN隧道传送所述APP与所述内网间的数据。

7.一种远程访问内网的控制方法，其特征在于，所述方法应用于MDM服务器，所述方法包括：

当接收到终端设备的认证客户端发送的设备注册请求时，对所述认证客户端进行设备注册；

所述设备注册成功后，向所述认证客户端提供所述认证客户端对应内网的VPN配置文件，以及APP与VPN隧道的关联命令，所述关联命令携带有所述VPN隧道关联的APP的标识；以使所述认证客户端根据所述VPN配置文件建立VPN隧道，并将所述关联命令中的APP的标识添加至所述VPN隧道的合法APP信息，根据所述合法APP信息确定有权使用所述VPN隧道的APP，允许所述APP通过所述VPN隧道访问内网。

8.一种远程访问内网的控制装置，其特征在于，所述装置设置于终端设备，所述终端设备安装有认证客户端，所述认证客户端与所述内网间建立有VPN隧道，且保存有所述VPN隧道的合法APP信息；所述装置包括：

判断模块，用于当所述认证客户端接收到APP的内网访问请求时，根据所述合法APP信息判断所述APP是否有权使用所述VPN隧道；

隧道使用模块，用于如果所述APP有权使用所述VPN隧道，允许所述APP通过所述VPN隧道访问所述内网。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

注册模块，用于向MDM服务器进行设备注册；

文件获取模块，用于所述设备注册成功后，从MDM服务器获取VPN配置文件，以及APP与VPN隧道的关联命令，所述关联命令携带有所述VPN隧道关联的APP的标识；

隧道建立模块，用于根据所述VPN配置文件建立访问所述内网的VPN隧道，以及确定所述VPN隧道关联的APP；

标识添加模块，用于将所述关联命令中的APP的标识添加至所述VPN隧道的合法APP信息中。

10.根据权利要求9所述的装置，其特征在于，所述判断模块用于在所述合法APP信息中查找是否有所述APP的标识，如果有，确定所述APP有权使用所述VPN隧道。

11.根据权利要求9所述的装置，其特征在于，所述装置还包括：

认证模块，用于所述认证客户端向认证服务器进行认证；当认证通过后，通过所述认证服务器将所述认证客户端的标识发送至所述MDM服务器，以通知所述MDM服务器所述认证客户端通过认证；

则，所述注册模块用于向所述MDM服务器发送设备注册请求，所述设备注册请求携带有所述认证客户端的标识，以使所述MDM服务器根据所述认证服务器发送的认证客户端标识确定所述认证客户端合法后，为所述认证客户端进行设备注册。

12.根据权利要求9所述的装置，其特征在于，所述隧道建立模块用于：

根据所述设备注册过程中的注册信息，确定所述内网的VPN隧道的加载参数；

使用所述加载参数修改所述VPN配置文件中对应参数；

应用修改后的所述VPN配置文件，建立所述VPN隧道。

13.根据权利要求8所述的装置，其特征在于，所述隧道使用模块用于：

通过SDK接口接收到所述VPN隧道的启动消息，根据所述启动消息确定所述VPN隧道是否可用；

在确定所述VPN隧道可用时，通过所述VPN隧道传送所述APP与所述内网间的数据。

14.一种远程访问内网的控制装置，其特征在于，所述装置应用于MDM服务器，所述装置包括：

设备注册模块，用于当接收到终端设备的认证客户端发送的设备注册请求时，对所述认证客户端进行设备注册；

提供模块，用于所述设备注册成功后，向所述认证客户端提供所述认证客户端对应内网的VPN配置文件，以及APP与VPN隧道的关联命令，所述关联命令携带有所述VPN隧道关联的APP的标识；以使所述认证客户端根据所述VPN配置文件建立VPN隧道，并将所述关联命令中的APP的标识添加至所述VPN隧道的合法APP信息，根据所述合法APP信息确定有权使用所述VPN隧道的APP，允许所述APP通过所述VPN隧道访问内网。

15.一种远程访问内网的控制***，其特征在于，所述***包括认证客户端、MDM服务器和认证服务器；

所述认证服务器用于对所述认证客户端进行认证，当认证通过后，通知所述MDM服务器和所述认证客户端；

所述MDM服务器包括权利要求14所述的装置；

所述认证客户端包括权利要求8-13任意一项所述的装置。

16.一种终端设备，其特征在于，包括存储器和处理器；其中，所述存储器用于存储一条或多条计算机指令，所述一条或多条计算机指令被所述处理器执行，以实现权利要求1至6任一项所述的方法。