CN109005179A - 基于端口控制的网络安全隧道建立方法 - Google Patents

Abstract

本发明涉及一种基于端口控制的网络安全隧道建立方法，包括：建立桥接主控；远程客户端与桥接主控建立连接；网络映射器与桥接主控建立连接；网络映射器向桥接主控发送映射请求命令；桥接主控向对应远程客户端的发送启动连接命令；远程客户端接收到连接命令，向目标地址发起连接；连接成功后，远程客户端与桥接主控建立新连接，桥接主控将远程客户端新创建的数据连接与网络映射器发起的数据连接逻辑上关联起来，并负责数据转发。该基于端口控制的网络安全隧道建立方法通过端口远程映射技术，来访问原本无法直连，跨内网段，跨防火墙的网络服务，采用集中化管理，在安全性方面可提供高约束性的映射管理，也可以使用高度灵活的按需动态配置功能。

Description

基于端口控制的网络安全隧道建立方法

技术领域：

本发明涉及网络领域，尤其涉及一种主要应用在“对被隔离的内网中的网络服务进行访问”或者“不同内网之间的程序互相进行访问”的基于端口控制的网络安全隧道建立方法。

背景技术：

目前为了让内网的网络服务能被公开访问，主要依赖于防火墙和路由上建立端口映射，这样会造成一些缺乏安全保障的网络服务被公开到互联网而导致安全隐患。而在跨不同内网互访的技术方案主要依赖VPN，标准的VPN在一些复杂环境中会受到协议限制，而非标准的方案又依赖于模拟网卡等底层驱动方案，多网卡的模式下也会部分程序存在兼容性问题，此外VPN环境下也会导致连入的客户端访问权限过大导致安全隐患。上述方案虽然可以通过IP策略，多重防火墙来进行约束，但是同时大大增加了部署的复杂性。

发明内容：

本发明的目的是针对现有技术的缺陷，提供一种基于端口控制的网络安全隧道建立方法，采用集中化管理，在安全性方面可提供高约束性的映射管理，也可以使用高度灵活的按需动态配置功能。

本发明是通过如下技术方案实现的：一种基于端口控制的网络安全隧道建立方法，包括：

在远程客户端和网络映射器之间建立桥接主控；

远程客户端与桥接主控建立安全连接；

应用程序连接网络映射器，网络映射器收到请求后获得目标远程客户端ID和对应目标地址，网络映射器与桥接主控建立安全连接；

网络映射器向桥接主控发送映射请求命令，桥接主控对该命令进行权限检测，并检测远程客户端ID是否连接；

桥接主控为当前的网络映射器请求连接动态生成包含对应关系的随机数，向对应远程客户端的命令通道发送启动连接命令，并等待远程客户端连接；

远程客户端接收到桥接主控发送的启动连接命令，向目标地址发起连接；

连接成功后，远程客户端与桥接主控建立新的连接，桥接主控将远程客户端新创建的数据连接与之前网络映射器发起的数据连接逻辑上关联起来，并负责为两个连接进行数据转发。

作为优选，应用程序通过TCP协议连接网络映射器。所述应用程序连接网络映射器映射的本地端口，网络映射器收到连接请求后，查询配置信息，获得目标远程客户端ID和对应目标地址。

另外，所述应用程序也可通过UDP协议连接网络映射器。所述应用程序向网络映射器映射的本地端口发送UDP数据包，网络映射器获取该数据包的源信息，维护一个内存映射表，记录该UDP源与安全隧道的关系，如果已经存在，那么获取该隧道句柄，如果不存在，查询配置信息，获得目标远程客户端ID和对应目标地址。所述远程客户端为每一个创建的UDP应用程序提供一个接受超时记录，当该UDP应用程序在单位时间内没有接收到数据的情况下，将强制关闭远程客户端与桥接主控建立的新连接。

本发明的远程客户端RC与桥接主控BC建立安全连接时，远程客户端发送包含远程客户端ID和密码的登录命令，桥接主控通过验证后发送验证成功回复，并保持这个连接并把该远程客户端ID和隧道的网络通讯句柄保存在内存记录中，作为该远程客户端的命令通道。

本发明的远程客户端RC或网络映射器NM与桥接主控BC建立安全连接时，包括如下步骤：

客户端向桥接主控指定端口创建连接；

客户端利用RSA算法动态生成客户端密钥和客户端公用密钥；

客户端使用服务器密钥对客户端公用密钥加密，获得客户端公用密钥编码；

将握手标识附加客户端公用密钥编码的二进制序列作为初次握手数据包以DP数据包发送给桥接主控；

桥接主控收到初次接收到的DP数据包对握手标识进行检测，并使用客户端密钥解密客户端公用密钥编码获取客户端公用密钥；

桥接主控随机生成8字节的关键密钥作为DES算法的密钥，桥接主控使用客户公用密钥对关键密钥进行加密，生成关键密钥编码；

桥接主控使用服务器密钥对关键密钥编码进行签名生成关键密钥签名；

桥接主控将关键密钥编码和关键密钥签名的二进制序列拼接并以DP数据包返回客户端；

客户端收到后使用客户端公用密钥和关键密钥签名对关键密钥编码进行校验，并使用客户端密钥解密关键密钥编码，获得关键密钥；

安全隧道初始完成，客户端和桥接主控都拥有关键密钥，后续所有的DP数据包都必须使用关键密钥按照DES算法进行加密或解密。

本发明的有益效果是：该基于端口控制的网络安全隧道建立方法通过端口远程映射技术，来访问原本无法直连，跨内网段，跨防火墙的网络服务，MPOT采用集中化管理，在安全性方面可提供高约束性的映射管理，也可以使用高度灵活的按需动态配置功能，该方案不需要使用基于操作***驱动层的VPN方案，在复杂的多层网络中也不需要在不同的防火墙或者网关上进行额外设置。

附图说明：

图1为本发明的基于端口控制的网络安全隧道的结构示意图；

图2为本发明的基于端口控制的网络安全隧道建立方法的流程图。

具体实施方式：

下面结合附图对本发明的较佳实施例进行详细阐述，以使本发明的优点和特征能更易被本领域人员理解，从而对本发明的保护范围做出更为清楚明确的界定。

如图1所示，本发明基于端口控制的网络安全隧道(MPOT)主要是建立跨网络的通讯隧道，采用可扩展的通讯协议(BridgeNetProtocal，简称BNP)，由三层的服务架构组成，包括远程客户端(RemoteClient，简称RC)、桥接主控(BridgeController，简称BC)、网络映射器(NetMapper，简称NM)。MPOT体系中，BridgeController作为公开服务器，RemoteClient和NetMapper都是连接客户端。

如图2所示，一种基于端口控制的网络安全隧道建立方法，包括：

在远程客户端和网络映射器之间建立桥接主控；

远程客户端与桥接主控建立安全连接；

应用程序连接网络映射器，网络映射器收到请求后获得目标远程客户端ID和对应目标地址，网络映射器与桥接主控建立安全连接；

网络映射器向桥接主控发送映射请求命令，桥接主控对该命令进行权限检测，并检测远程客户端ID是否连接；

桥接主控为当前的网络映射器请求连接动态生成包含对应关系的随机数，向对应远程客户端的命令通道发送启动连接命令，并等待远程客户端连接；

远程客户端接收到桥接主控发送的启动连接命令，向目标地址发起连接；

连接成功后，远程客户端与桥接主控建立新的连接，桥接主控将远程客户端新创建的数据连接与之前网络映射器发起的数据连接逻辑上关联起来，并负责为两个连接进行数据转发。

BNP可扩展网络协议说明：

1、通讯包控制规范

BNP协议使用TCP进行流式数据传递，以数据包(DP)作为最小传输单元，每个数据包使用开头2个字节(unsigned short网络字节顺序)表示数据包长度，后续紧跟实际的数据正文，如下表所述

2、安全连接规则

每个作为公开服务器的BC，需要使用RSA(2048)加密算法生成一对密钥服务器密钥ServerPriKey和服务器公用密钥ServerPubKey，并将ServerPubKey发放给连接该BC的RC和NM客户端，其数据连接步骤如下：

S1：客户端向BC指定端口创建TCP连接；

S2：客户端利用RSA(1024)算法动态生成的一对密钥客户端密钥ClientPriKey和客户端公用密钥ClientPubKey；

S3：客户端使用ServerPubKey加密ClientPubKey，获得客户端公用密钥编码ClientPubKeyEncocded；

S4：将握手标识附加ClientPubKeyEncocded的二进制序列作为初次握手数据包，以DP数据包发送给BC服务器；

S5：服务器BC收到初次接收到的DP包对握手标识进行检测，并使用ClientPriKey解密ClientPubKeyEncocded获取ClientPubKey；

S6：服务器随机生成8字节的关键密钥ExKey作为DES算法的密钥；

S7：服务器使用ClientPubKey对ExKey进行加密，生成关键密钥编码ExKeyEncoded；

S8：服务器使用ServerPriKey对ExKeyEncoded进行签名生成关键密钥签名ExKeySigned；

S9：服务器将ExKeyEncoded和ExKeySigned的二进制序列拼接并以DP包返回客户端；

S10：客户端收到后使用ClientPubKey和ExKeySigned对ExKeyEncoded进行校验，并使用ClientPriKey解密ExKeyEncoded，获得ExKey；

S11：安全隧道初始完成，客户端和服务端都拥有ExKey，后续所有的DP包都必须使用ExKey按照DES算法进行加密和解密。

3、可扩展命令规范

BNP命令是MPOT服务间进行控制消息传递的标准，在安全隧道内传输，每条命令都必须在一个单独的加密DP包中一次性传输完成。BNP命令采用格式化文本作为基本传输格式，包括但不限于XML、JSON等。每个可扩展命令以名称和参数列表组成，下面以JSON举例作为说明。

每个命令都对应一个返回的结果响应

后续涉及到相关命令的说明将简化为login{user,password}这样的格式。

MPOT服务说明：

1、BridgeController服务说明

BC服务为MPOT架构中的主控服务端，处于每个客户端都能访问到的网段或者互联网上，在包括上所提供的安全隧道服务功能之外，还提供了用户管理和端口管理功能。

(1)用户管理功能包括RemoteClient用户(RCID)和NetMapper用户(NMID)两种，分别对用RC客户端和NM客户端登录使用，BC服务器维护了包含RCID和NMID账号信息和密码信息的记录表。

(2)端口管理功能作为MPOT专利架构的核心，用来维护MPOT映射规范。端口管理针对每个RCID设置，分为如下几种模式：

a、全开放模式。在该模式下，RCID可以接受任意NMID对任意端口的映射请求。

b、可控性端口映射。在该模式下BC管理端给每个RCID维护一张远程端口定义表、一张NMID权限控制表、特权NMID表。这些关系表采用包括但不限于数据库、配置文件等方式进行保存。

远程端口定义表包含目标名TargetName和目标地址TargetAddress(每一个RCID都对应一张逻辑上的映射表)，如下表所示：

TargetName	TargetAddress	NetType(端口类型)
			WebA	InnerHost:80	TCP
DataBaseA	InnerIP:1433	TCP
			DataBaseB	InnerIP:1521	TCP

NMID权限控制表，如下表所示：

NMID	TargetName
		NMID1	WebA
NMID2	DataBaseA
		NMID3	DataBaseB

特权NMID映射表，如下表所示：

RCID
	NMID4
NMID5
	NMID6

在可控端口映射模式下，每个NM客户端按照预定义的TargetName申请端口映射，拥有特权模式的NMID可对该RC客户端任意端口的映射请求。

2、RemoteClient服务说明

每一个RC客户端使用RCID主动连接BC主控服务器，接收BC的访问控制命令，按照命令完成与目标端口通讯的数据交换任务。

3、NetMapper服务说明

每一个NM客户端维护一张端口映射的配置表，配置表采用包括但不限于数据库、配置文件等方式进行保存，如下表所示：

在本地监听端口，当接收本地程序的数据连接请求后，使用NMID主动连接BC主控服务器，BC根据权限和配置信息，通知RemoteClient创建映射的通讯隧道。

MPOT连接步骤说明：

MPOT所有连接都按照前文描述的安全连接规则创建连接，客户端已经拥有预先配置的服务端连接公钥ServerPubKey，下面提及的命令都按照前文可扩展命令规范进行命令传递和响应。

1、RemoteClient初始化步骤

S1、RC与BC建立安全连接；

S2、RC发送包含RCID和密码的登录命令

LOGIN{RCID，PASSWORD}；

S3、BC通过验证后发送验证成功的回复，login{succeed}，并保持这个连接并把该RCID和隧道的网络通讯句柄保存在内存记录中，作为该RC的CommandChannel。

2、NetMapper初始化步骤

S1、根据NM端的配置文件(参看NetMapper服务说明)，侦听所对应的UDP或者TCP端口。

本发明的基于TCP端口控制的网络安全隧道建立方法，包括如下步骤(TCP模式连接步骤)：

S1、应用程序(例如图示中的Web Browser、DateBase Application、RDP Client)通过各自端口连接NM映射的本地端口(参见NetMapper初始化步骤S1)；

S2、NM在收到连接请求后，查询配置信息，获得目标RCID和对应目标地址(假如当前NMID不拥有特权，则获得目标RCID和BC服务器中配置的TargetName)；

S3、NM与BC创建安全连接；

S4、NM发送包含NMID和密码的登录命令

LOGIN{NMID,PASSWORD}；

S5、BC对NMID进行验证，发送验证成功的命令login{succeed}；

S6、NM发送映射请求命令，包含目标RCID和目标地址(或TargetName)MAP{RCID,TCPMode,TargetAddress/TargetName}；

S7、BC对该NMID请求的地址和目标进行权限检测，在NMID不拥有特权模式下，BC将TargetName转换为TargetAddress；

S8、BC检测RCID是否已经连接(通过RemoteClient初始化步骤S3建立的命令通道CommandChannel)；

S9、BC为当前的NM请求连接动态生成包含对应关系的随机数ConnectionToken；

S10、向对应RC的CommandChannel，发送启动连接命令，并等待RC的启动连接StartConnect:{ConnectionToken，TargetAddress}；

S11、RC接收到BC发送的StartConnect命令，根据参数中TargetAddress，向目标地址发起TCP连接；

S12、假如S11成功连接TargetAddress，那么RC向BC建立新的连接，该连接不再发送RCID的登录请求命令，而是发送连接成功通知命令

NewConnect{ConnectionToken,Succeeded}；

S13、BC通过ConnectionToken的关系，将RC新创建的数据连接与之前NM发起数据连接逻辑上关联起来，并负责为RC两个连接进行数据转发；

S14、RC为TargetAddress的连接和与BC的NewConnect连接进行数据转发。

本发明的基于UDP端口控制的网络安全隧道建立方法，与TCP不同，UDP不存在逻辑上的链路，MPOT基于TCP的安全隧道，所以必须让UDP通过TCP转发，应用程序对于TCP和UDP的处理模式存在很大的差别，TCP基于逻辑链路，而UDP基于来源地址的记录(从哪个[IP:端口]获取，那么就回发给哪个[IP:端口])，MPOT在处理UDP的时候采用了额外的管理机制来保持UDP的兼容性。

S1、应用程序向NM映射的本地端口发送UDP数据包；

S2：NM获取该UDP数据包的源[IP:端口]信息；

S3、NM维护一个内存映射表，记录UDP源[IP:端口]和隧道的关系，NM在该表中根据UDP的源进行查询，如果已经存在，那么获取该隧道通讯句柄(或对象)，假如没有找到，那么按照TCP模式连接步骤的S3-S13基本相同；

其中，S6步骤中的参数改为UDPMode：MAP{RCID,UDPMode,TargetAddress/TargetName}；

S11步骤中，RC只需要创建一个UDP客户端套接字Socket，而不需要向TargetAddress完成连接；

与TCP模式连接步骤的S14步骤不同，RC客户端为TargetAddress和BC的NewConnect连接数据转发采用了超时记录机制，为避免UDP包导致的TCP连接的资源消耗，RC客户端给每一个创建的UDP客户端Socket提供一个接受超时记录，当改UDP客户端在5-10分钟(这个超时时间可根据需要调整)没有接收到数据的情况下，将强制关闭RC与BC的NewConnect连接。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。

Claims (8)

1.一种基于端口控制的网络安全隧道建立方法，其特征在于，包括：

在远程客户端和网络映射器之间建立桥接主控；

远程客户端与桥接主控建立安全连接；

应用程序连接网络映射器，网络映射器收到请求后获得目标远程客户端ID和对应目标地址，网络映射器与桥接主控建立安全连接；

网络映射器向桥接主控发送映射请求命令，桥接主控对该命令进行权限检测，并检测远程客户端ID是否连接；

桥接主控为当前的网络映射器请求连接动态生成包含对应关系的随机数，向对应远程客户端的命令通道发送启动连接命令，并等待远程客户端连接；

远程客户端接收到桥接主控发送的启动连接命令，向目标地址发起连接；

连接成功后，远程客户端与桥接主控建立新的连接，桥接主控将远程客户端新创建的数据连接与之前网络映射器发起的数据连接逻辑上关联起来，并负责为两个连接进行数据转发。

2.根据权利要求1所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述应用程序通过TCP协议连接网络映射器。

3.根据权利要求2所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述应用程序连接网络映射器映射的本地端口，网络映射器收到连接请求后，查询配置信息，获得目标远程客户端ID和对应目标地址。

4.根据权利要求1所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述应用程序通过UDP协议连接网络映射器。

5.根据权利要求4所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述应用程序向网络映射器映射的本地端口发送UDP数据包，网络映射器获取该数据包的源信息，维护一个内存映射表，记录该UDP源与安全隧道的关系，如果已经存在，那么获取该隧道句柄，如果不存在，查询配置信息，获得目标远程客户端ID和对应目标地址。

6.根据权利要求5所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述远程客户端为每一个创建的UDP应用程序提供一个接受超时记录，当该UDP应用程序在单位时间内没有接收到数据的情况下，将强制关闭远程客户端与桥接主控建立的新连接。

7.根据权利要求2或4所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述远程客户端与桥接主控建立安全连接时，远程客户端发送包含远程客户端ID和密码的登录命令，桥接主控通过验证后发送验证成功回复，并保持这个连接并把该远程客户端ID和隧道的网络通讯句柄保存在内存记录中，作为该远程客户端的命令通道。

8.根据权利要求2或4所述的基于端口控制的网络安全隧道建立方法，其特征在于，所述远程客户端或网络映射器与桥接主控建立安全连接时，包括如下步骤：

客户端向桥接主控指定端口创建连接；

客户端利用RSA算法动态生成客户端密钥和客户端公用密钥；

客户端使用服务器密钥对客户端公用密钥加密，获得客户端公用密钥编码；

将握手标识附加客户端公用密钥编码的二进制序列作为初次握手数据包以DP数据包发送给桥接主控；

桥接主控收到初次接收到的DP数据包对握手标识进行检测，并使用客户端密钥解密客户端公用密钥编码获取客户端公用密钥；

桥接主控随机生成8字节的关键密钥作为DES算法的密钥，桥接主控使用客户公用密钥对关键密钥进行加密，生成关键密钥编码；

桥接主控使用服务器密钥对关键密钥编码进行签名生成关键密钥签名；

桥接主控将关键密钥编码和关键密钥签名的二进制序列拼接并以DP数据包返回客户端；

客户端收到后使用客户端公用密钥和关键密钥签名对关键密钥编码进行校验，并使用客户端密钥解密关键密钥编码，获得关键密钥；

安全隧道初始完成，客户端和桥接主控都拥有关键密钥，后续所有的DP数据包都必须使用关键密钥按照DES算法进行加密或解密。