CN109981725B - 一种跨安全域的通信方法、服务器和可读存储介质 - Google Patents

Abstract

本发明实施例涉及互联网信息技术领域，公开了一种跨安全域的通信方法、服务器和可读存储介质。本发明中，跨安全域的通信方法，应用于第一安全域中的第一主机，通信方法包括：监听供第一安全域中各客户端连接的多个端口，端口和客户端一一对应；响应于第一端口接收到的用于连接服务地址的第一连接请求，向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求，经第二主机连接至服务地址；其中，第一端口为第一主机所监听的各端口中的任意一个端口。本发明中还公开了服务器和可读存储介质，使得减少跨安全域间的端口开放数量，降低维护工作。

Description

一种跨安全域的通信方法、服务器和可读存储介质

技术领域

本发明实施例涉及互联网信息技术领域，特别涉及跨安全域的通信方法、服务器和可读存储介质。

背景技术

现有技术中，网络***庞大，可以使用安全域的概念，对网络设备进行划分，具体将所有相同安全等级、具有相同安全需求的计算机划入同一网段内，在网段的边界处进行访问控制。一般实现方法是采用防火墙部署在边界处来实现，通过防火墙策略控制允许哪些IP访问此域、不允许哪些访问此域；允许此域访问哪些IP/网段、不允许访问哪些IP/网段。一般将应用、服务器、数据库等归入最高安全域，办公网归为中级安全域，连接外网的部分归为低级安全域。在不同域之间设置策略进行控制。

发明人发现现有技术中至少存在如下问题：跨安全域访问多个应用一般需要在安全域之间打通多个网络端口，分别用于不同应用间的通讯。对于http通讯，可通过两个(正向/反向)代理服务器转换url实现使用单个端口访问，而对于https或使用socket通讯的应用则没有相应实现，只能开放多个端口。

发明内容

本发明实施方式的目的在于提供一种跨安全域的通信方法、服务器和可读存储介质，使得减少跨安全域间的端口开放数量，降低维护工作。

为解决上述技术问题，本发明的实施方式提供了一种跨安全域的通信方法，应用于第一安全域中的第一主机，所述通信方法包括：监听供所述第一安全域中各客户端连接的多个端口，所述端口和所述客户端一一对应；响应于所述第一端口接收到的用于连接服务地址的第一连接请求，向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求，经所述第二主机连接至所述服务地址；其中，所述第一端口为所述第一主机所监听的各端口中的任意一个端口。

本发明的实施方式还提供了一种服务器，包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如上述的跨安全域的通信方法。

本发明的实施方式还提供了一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现如上述的跨安全域的通信方法。

本发明的实施方式提供了一种跨安全域的通信方法，应用于第二安全域中的第二主机，包括：监听供第一安全域连接的端口；响应于所述端口接收到来自所述第一安全域中的用于确定服务地址的第二连接请求，根据所述第二连接请求确定出对应的服务地址；连接所述服务地址；其中，所述第二连接请求为所述第一主机在接收到用于连接服务地址的第一连接请求后所发出，所述第一连接请求来自所述第一安全域中的客户端。

本发明的实施方式还提供了一种服务器，包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如上述的跨安全域的通信方法。

本发明的实施方式还提供了一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现如上述的跨安全域的通信方法。

本发明实施方式相对于现有技术而言，各客户端需与对应的服务端连接时，先与所在安全域中的第一主机连接，第一主机汇聚各客户端的连接需求，在某一客户端有连接需求时，向第二安全域中的第二主机发起连接请求，由第二主机根据连接请求确定客户端真实想连的服务地址并连接，由于第一安全域中所有客户端的信息都从第一主机发出，且发送至第二安全域时，均发送至第二主机的预定端口，两个安全域间只需通过单端口连接就可实现多个客户端和多个服务器的通信连接，减少跨安全域间的端口开放数量，降低维护工作。同时，本发明实施方式不受通信协议影响，可推广性好。

作为进一步改进，所述第一主机所监听的各所述端口预设有识别信息，所述识别信息分别对应一服务地址；所述第二连接请求包括所述第一端口的识别信息。本实施例利用端口的识别信息和服务地址的对应关系，使得第二主机快速准确地确定出实际的服务地址，减少通信时的数据传输量。

作为进一步改进，所述识别信息包括：字符串和/或数字。本实施例利用字符串和或数字组成识别信息，实现简便，可推广性佳。

作为进一步改进，各所述端口预设的识别信息和所述服务地址的对应关系通过配置方式保存于所述第一主机。

作为进一步改进，所述向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求之后，还包括：在通信连接建立后，将所述第一端口接收到的数据转发至所述第二主机的所述预定端口，或者，在接收到来自所述第二主机的反馈数据时，将所述反馈数据反馈至所述第一端口。本实施例在通信连接建立后，实现客户端和服务地址的数据通信。

作为进一步改进，所述第一主机中预设有多个监听线程，每个所述监听线程对应监听一个所述端口。本实施例利用多线程分别监听，避免互相干扰。

附图说明

一个或多个实施例通过与之对应的附图中的图片进行示例性说明，这些示例性说明并不构成对实施例的限定，附图中具有相同参考数字标号的元件表示为类似的元件，除非有特别申明，附图中的图不构成比例限制。

图1是根据本发明第一实施方式中跨安全域的通信方法的流程图；

图2是根据本发明第三实施方式中跨安全域的通信方法的流程图；

图3是根据本发明第四实施方式中跨安全域的通信方法中跨安全域的通信***的示意图；

图4是根据本发明第四实施方式中跨安全域的通信方法的流程图；

图5是根据本发明第五实施方式中服务器的示意图；

图6是根据本发明第七实施方式中服务器的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的各实施方式进行详细的阐述。然而，本领域的普通技术人员可以理解，在本发明各实施方式中，为了使读者更好地理解本申请而提出了许多技术细节。但是，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请所要求保护的技术方案。以下各个实施例的划分是为了描述方便，不应对本发明的具体实现方式构成任何限定，各个实施例在不矛盾的前提下可以相互结合相互引用。

本发明的第一实施方式涉及一种跨安全域的通信方法，应用于第一安全域中的第一主机，第一主机上可以部署专用软件，用于实现本实施方式中的通信方法。

本实施方式的流程如图1所示，具体如下：

步骤101，监听供第一安全域中各客户端连接的多个端口。

具体的说，端口和客户端一一对应。更具体的说，在第一主机上启动n个线程，每个线程监听一个端口，用于供本安全域中各应用的客户端连接，同时，每个端口预先配置有识别信息，客户端在使用时，需访问对应的服务地址，上述识别信息和服务地址一一对应。可以看出，第一主机中预设有多个监听线程，每个监听线程对应监听一个端口，避免监听过程互相干扰。

更具体的说，上述识别信息可以是端口的唯一标识，可以包括：字符串或数字或以上两者的组合。本实施方式以字符串为例进行说明，实际应用中还可以采用其他形式，在此不做限定。继续说明，各端口预设的识别信息和服务地址的对应关系通过配置方式保存于第一主机，如保存包含识别信息和服务地址的对应关系的配置文件。配置内容举例如下：

配置

Id-redis： 端口6379

Id-zk： 端口2181

其中，“6379”和“2181”为端口号，“Id-redis”为端口6379的识别信息，“Id-zk”为端口2181的识别信息。

步骤102，判断是否接收到第一连接请求；若是，则继续执行步骤103；若否，则返回执行步骤102。

具体的说，本实施方式中的第一连接请求来自本安全域中的客户端，且第一连接请求用于连接服务地址。客户端在执行命令时，需访问对应的服务地址，也就需要请求连接真实的服务地址。本实施方式中，可以将客户端的配置中的目标地址设置为对应端口的地址，而不是真实的服务地址，所以客户端在发送第一连接请求后，第一连接请求被发送到对应的端口，第一主机通过监听端口从而判断是否收到第一连接请求。

继续说明，如果所监听的各端口中有第一端口接收到的用于连接服务地址的第一连接请求，则继续执行步骤103，进一步说，可以启动一新线程用于处理第一连接请求，其中的第一端口为第一主机所监听的各端口中的任意一个端口。

步骤103，向第二安全域中的第二主机的预定端口发送第二连接请求。

具体的说，第二连接请求用于确定服务地址。本实施方式中，在第一端口接收到第一连接请求后，获取第一端口的识别信息，发送的第二连接请求包括所获取的识别信息，其中可以根据端口的配置文件获取识别信息。实际应用中，在发送第二连接请求之前，可以先确定第一主机和第二主机的预定端口是否连接，如果没有连接，第一主机先向第二主机的预定端口发起连接，连接上之后，再发送用于确定服务地址的第二连接请求。

以上文的配置方式为例，如第一端口为端口6379，可以找到对应的识别信息“Id-redis”，实际应用中，可以发送识别信息“Id-redis”作为第二连接请求。

继续说明，第二主机在收到第二连接请求后，根据识别信息获取对应的服务地址，也就是客户端需要连接的真实服务地址。其中，识别信息和服务地址的对应关系通过配置方式保存于第二主机。配置内容举例如下：

配置

Id-redis： 192.168.2.2:6379

Id-zk： 192.168.2.3:2181

其中，“Id-redis”和“Id-zk”为识别信息，“192.168.2.2:6379”和“192.168.2.3:2181”分别为对应的服务地址，第二主机在确定服务地址后，连接该服务地址。

也就是说，上述步骤103实际为：响应于第一端口接收到的用于连接服务地址的第一连接请求，向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求，经第二主机连接至服务地址。

本实施方式还可以进一步优化，在向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求之后，还包括：在通信连接建立后，将第一端口接收到的数据转发至第二主机的预定端口，或者，在接收到来自第二主机的反馈数据时，将反馈数据反馈至第一端口。实现通信连接建立后，实现客户端和服务地址的数据通信。实际应用中，在第一主机通过第二主机连接服务地址后，可以分别利用一线程执行第一端口和对应的服务地址间的数据交互，使客户端实现相应的命令。

本实施方式各客户端需与对应的服务端连接时，先与所在安全域中的第一主机连接，第一主机汇聚各客户端的连接需求，在某一客户端有连接需求时，向第二安全域中的第二主机发起连接请求，由第二主机根据连接请求确定客户端真实想连的服务地址并连接，由于第一安全域中所有客户端的信息都从第一主机发出，且发送至第二安全域时，均发送至第二主机的预定端口，两个安全域间只需通过单端口连接就可实现多个客户端和多个服务器的通信连接，减少跨安全域间的端口开放数量，降低维护工作。同时，本实施方式不受通信协议影响，可推广性好。

本发明的第二实施方式涉及一种跨安全域的通信方法。第二实施方式与第一实施方式大致相同，主要区别之处在于：在第一实施方式中，发送第一端口的识别信息作为第二连接请求。而在本发明第二实施方式中，发送的第二连接请求中携带真实服务地址，使得第二主机可以直接解析出真实服务地址，操作直接简便。

具体的说，本实施方式中的第一主机中预存了端口和服务地址的对应关系，第一主机监听到第一端口收到第一连接请求后，查找第一端口对应的服务地址，并在发送第二连接请求时，携带查到的服务地址，相应地，第二主机在收到第二连接请求后，解析出第二连接请求中的服务地址，并连接至该服务地址。

可见，本实施方式中第二主机可以直接获取真实的服务地址，简单直接，便于实现。

本发明的第三实施方式涉及一种跨安全域的通信方法。应用于第二安全域中的第二主机，第二主机上可以部署专用软件，用于实现本实施方式中的通信方法。

本实施方式的流程如图2所示，具体如下：

步骤201，监听预定的端口。

具体的说，该端口供第一安全域连接，第一安全域中收到的不同的第一连接请求，均通过该端口发送给第二主机。

步骤202，判断该端口是否接收到第二连接请求；若是，则继续执行步骤203；若否，则返回执行步骤202。

步骤203，根据第二连接请求确定出对应的服务地址。

具体的说，第二连接请求来自第一安全域，且用于确定服务地址。更具体的说，第二连接请求为第一主机在接收到用于连接服务地址的第一连接请求后所发出，第一连接请求来自第一安全域中的客户端。

进一步说明，本实施方式中的第二连接请求中包括识别信息，识别信息分别对应一服务地址，其中，识别信息和服务地址的对应关系可以通过配置方式保存于第二主机。本实施方式中，本步骤根据第二连接请求中的识别信息确定出服务地址。实际应用中，可以接收识别信息作为第二连接请求，这样的话，第二主机在接收到识别信息后，根据对应关系确定出真实的服务地址。

可见，上述步骤203实际执行：响应于端口接收到来自第一安全域中的用于确定服务地址的第二连接请求，根据第二连接请求确定出对应的服务地址。

步骤204，连接服务地址。

可见，本实施方式各客户端需与对应的服务端连接时，先与所在安全域中的第一主机连接，第一主机汇聚各客户端的连接需求，在某一客户端有连接需求时，向第二安全域中的第二主机发起连接请求，由第二主机根据连接请求确定客户端真实想连的服务地址并连接，由于第一安全域中所有客户端的信息都从第一主机发出，且发送至第二安全域时，均发送至第二主机的预定端口，两个安全域间只需通过单端口连接就可实现多个客户端和多个服务器的通信连接，减少跨安全域间的端口开放数量，降低维护工作。同时，本实施方式不受通信协议影响，可推广性好。

可以看出，本实施方式是和第一实施方式相对应的跨安全域的通信方法，因此本实施方式可与第一实施方式互相配合实施。第二实施方式中提到的相关技术细节在本实施方式中依然有效，在第一实施方式中所能达到的技术效果在本实施方式中也同样可以实现，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

本发明的第四实施方式涉及一种跨安全域的通信方法。

本实施方式应用于如图3所示的跨安全域的通信***，在执行redis服务和zookeeper服务时，本实施方式中的跨安全域的通信方法如图4所示，具体如下：

步骤401，在第一安全域执行redis/zookeeper客户端命令时，指定第一主机所在ip及端口作为服务端，具体采用可以如下操作：

redis-cli-h 192.168.1.1-p 6379

zkCli.sh-server 192.168.1.1:2181

步骤402，第一主机根据配置分别查找到两个端口的唯一标识(Id-redis和Id-zk)，启动两个处理线程分别连接第二安全域的第二主机并发送相应的唯一标识。

步骤403，第二安全域中的第二主机接收第一主机的连接，启动两个处理线程，分别接收到唯一标识，根据配置查找到真实服务地址并发起连接。

真实的服务地址分别是：192.168.2.2:6379和192.168.2.3:2181。

步骤404，建立连接后，从redis-cli/zkCli.sh执行相关命令时，请求经第一主机、第二主机转发给第二安全域的redis/zookeeper服务器。

步骤405，第二安全域的redis/zookeeper服务器处理请求，响应报文经第二主机、第一主机传送给第一安全域的redis-cli/zkCli.sh客户端。

可见，本实施方式是同时执行redis/zookeeper客户端命令时的通信方法，可以同时响应多个客户端的请求，避免相互干扰。

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包括相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

本发明第五实施方式涉及一种服务器，如图5所示，包括：

至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行如第一实施方式或第二实施方式中的跨安全域的通信方法。

其中，存储器和处理器采用总线方式连接，总线可以包括任意数量的互联的总线和桥，总线将一个或多个处理器和存储器的各种电路连接在一起。总线还可以将诸如***设备、稳压器和功率管理电路等之类的各种其他电路连接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口在总线和收发机之间提供接口。收发机可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器处理的数据通过天线在无线介质上进行传输，进一步，天线还接收数据并将数据传送给处理器。处理器负责管理总线和通常的处理，还可以提供各种功能，包括定时，***接口，电压调节、电源管理以及其他控制功能。而存储器可以被用于存储处理器在执行操作时所使用的数据。

本发明第六实施方式涉及一种计算机可读存储介质，存储有计算机程序。计算机程序被处理器执行时实现上述第一实施方式或第二实施方式。

本发明第七实施方式涉及一种服务器，如图6所示，包括：

至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行如第三实施方式中的跨安全域的通信方法。

其中，存储器和处理器采用总线方式连接，总线可以包括任意数量的互联的总线和桥，总线将一个或多个处理器和存储器的各种电路连接在一起。总线还可以将诸如***设备、稳压器和功率管理电路等之类的各种其他电路连接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口在总线和收发机之间提供接口。收发机可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器处理的数据通过天线在无线介质上进行传输，进一步，天线还接收数据并将数据传送给处理器。处理器负责管理总线和通常的处理，还可以提供各种功能，包括定时，***接口，电压调节、电源管理以及其他控制功能。而存储器可以被用于存储处理器在执行操作时所使用的数据。

本发明第八实施方式涉及一种计算机可读存储介质，存储有计算机程序。计算机程序被处理器执行时实现上述第三实施方式。

即，本领域技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域的普通技术人员可以理解，上述各实施方式是实现本发明的具体实施例，而在实际应用中，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (8)

1.一种跨安全域的通信方法，其特征在于，应用于第一安全域中的第一主机，所述通信方法包括：

第一主机中预设有多个监听线程，每个监听线程对应监听一个端口，用于供本安全域中各应用的客户端连接；其中，所述第一主机所监听的各所述端口预设有识别信息，所述识别信息是端口的唯一标识并和服务地址一一对应，各所述端口预设的识别信息和服务地址的对应关系通过配置方式保存于第一主机；

监听供所述第一安全域中各客户端连接的多个端口，所述端口和所述客户端一一对应，其中客户端的目标地址为对应端口的地址；

响应于第一端口接收到的来自第一安全域客户端用于连接服务地址的第一连接请求，在确定第一主机和第二主机的预定端口连接后，向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求，并将所述第一端口接收到的数据转发至所述第二主机的所述预定端口，经所述第二主机连接至所述服务地址；

其中，所述第一端口为所述第一主机所监听的各端口中的任意一个端口，所述第二连接请求包括所述第一端口的识别信息。

2.根据权利要求1所述的跨安全域的通信方法，其特征在于，所述识别信息包括：字符串和/或数字。

3.根据权利要求1所述的跨安全域的通信方法，其特征在于，所述向第二安全域中的第二主机的预定端口发送用于确定服务地址的第二连接请求之后，还包括：

在接收到来自所述第二主机的反馈数据时，将所述反馈数据反馈至所述第一端口。

4.一种跨安全域的通信方法，其特征在于，应用于第二安全域中的第二主机，包括：

监听供第一安全域连接的第一端口，所述第一端口为所述第一安全域中的第一主机所监听的各端口中的任意一个端口，其中第一主机中预设有多个监听线程，每个监听线程对应监听一个端口，用于供本安全域中各应用的客户端连接；其中，所述第一主机所监听的各所述端口预设有识别信息，所述识别信息是端口的唯一标识并和服务地址一一对应；

响应于所述端口接收到来自所述第一安全域中的用于确定服务地址的第二连接请求，根据所述第二连接请求确定出对应的服务地址；其中，所述第二连接请求中包括识别信息，所述识别信息分别对应一服务地址；根据所述第二连接请求中的所述识别信息确定出所述服务地址；所述识别信息和服务地址的对应关系通过配置方式保存于所述第二主机

连接所述服务地址；

其中，所述第二连接请求为所述第一主机在接收到用于连接服务地址的第一连接请求后所发出，所述第一连接请求来自所述第一安全域中的客户端。

5.一种服务器，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1至3中任一项所述的跨安全域的通信方法。

6.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至3中任一项所述的跨安全域的通信方法。

7.一种服务器，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求4所述的跨安全域的通信方法。

8.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求4所述的跨安全域的通信方法。

Images