CN110661858A - 基于websocket的内网穿透方法及*** - Google Patents

Abstract

本发明公开了一种基于websocket的内网穿透方法，其包括以下步骤：向第一代理端发送请求信息以使第一代理端将所述请求信息透传至第二代理端，再由第二代理端将所述请求信息发送至应用端；所述第一代理端和第二代理端建立websocket连接，所述第一代理端位于外网，所述第二代理端位于内网；在建立长连接时，所述第一代理端为服务器模式，第二代理端为客户端模式，由客户端向服务器端发起连接。本发明还公开了一种基于websocket的内网穿透***。本发明易于部署且部署成本低。

Description

基于websocket的内网穿透方法及***

技术领域

本发明涉及一种内网访问技术领域，尤其涉及一种基于websocket的内网穿透方法及***。

背景技术

在办公室、家庭使用网络的场景中，由于公网ip资源的限制，我们一般使用内网ip建立网络环境(以下称为局域网、或内网)，每一台电脑连接在局域网中，另外配置一台路由器连接外网。局域网内的电脑借助这台路由器上网。

请参照图1所示，当用户主动从内网发起请求时，路由器能够建立NAT地址映射关系，实现联网功能；如果反过来就不行，如果没有对路由器额外配置，一个用户无法从外网访问内网的主机，原因是内网ip在互联网上是不能路由的，而如果借助路由器对外的地址，则所请求的报文到达路由器时，后者无法确定转给内部哪一台主机(1对多的关系)；另一方面，出于安全的考虑，防火墙也是限制从外部主动发起、访问内网主机的。

为了能够从外部网络访问局域网内的主机，一般有如下的方法：

1、给路由器做映射配置，比如当访问路由器的外网地址、以及指定端口时，配置为转给内部局域网的特定ip和端口；

2、通过建立vpn虚拟局域网实现异地的局域网互联；

3、通过ssh在局域网内主机跟公网的服务器建立反向隧道实现连接。

以上方法理论上都能够实现从外网访问局域网内的主机，差异在于实施难度、维护代价、部署购置的成本。第1种需要有路由器的管理权限、一般只能从内网进行连接管理，而且需要管理员有专业的运维知识，后期出现主机变动还需要继续维护，约束条件比较多；第2种部署成本太高，包括设备购置、外部服务器资源、内部主机的安装部署、整***的调试，而且也需要专人维护；第3种需要把服务器的22端口给任意ip开放，连接的账号密码也需要分发给各个连接方，非常不安全，而且有一定的技术门槛，不适合推广使用，只能是开发人员局部使用。

发明内容

为了克服现有技术的不足，本发明的目的之一在于提供一种基于websocket的内网穿透方法，其易于部署、成本低。

本发明的目的之一采用以下技术方案实现：

一种基于websocket的内网穿透方法，其包括以下步骤：

向第一代理端发送请求信息以使第一代理端将所述请求信息透传至第二代理端，再由第二代理端将所述请求信息发送至应用端；

所述请求信息包括目的地信息；所述第二代理端根据所述目的地信息将所述请求信息发送至应用端；

所述第二代理端通过websocket连接第一代理端，并建立长连接，所述第一代理端位于外网，所述第二代理端位于内网；在建立长连接时，所述第一代理端为服务器模式，第二代理端为客户端模式。

进一步地，所述方法还包括：

向第三代理端发送请求信息，所述第三代理端将所述请求信息透传至第一代理端；所述第三代理端通过websocket连接第一代理端，并建立长连接，所述第三代理端位于内网；在建立长连接时，所述第三代理端为客户端模式；所述第三代理端与第二代理端位于同一内网中，或者位于不同的内网中。

进一步地，所述请求信息还包括目标节点信息，所述第一代理端根据所述目标节点信息将所述请求信息透传至目标第二代理端，所述目标第二代理端为目标节点信息对应的第二代理端。

进一步地，所述第一代理端和第二代理端之间，以及第一代理端和第三代理端之间可以透传http、tcp、udp中的任一种负载类型；所述透传负载类型为http时，所述目的地信息为目标地址信息；所述透传负载类型为tcp或udp时，所述目的地信息为目标端口信息和目标ip信息。

进一步地，所述第二代理端初次启动时，第二代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接；

或/和；

所述第三代理端初次启动时，第三代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接。

进一步地，所述应用端接收到所述请求信息后，原路返回响应信息。

本发明的目的之二在于提供一种基于websocket的内网穿透***，其易于部署、成本低。

本发明的目的之二采用以下技术方案实现：

一种基于websocket的内网穿透***，其包括：

请求端，用于向第一代理端发送请求信息，所述请求信息包括目的地信息；

第一代理端，用于将所述请求信息透传至第二代理端；

第二代理端，用于根据所述目的地信息将所述请求信息发送至应用端；

应用端，用于接收所述请求信息；

所述第二代理端通过websocket连接第一代理端，并建立长连接，所述第一代理端位于外网，所述第二代理端位于内网；在建立长连接时，所述第一代理端为服务器模式，第二代理端为客户端模式。

进一步地，所述内网穿透***还包括第三代理端；

所述请求端向第三代理端发送请求信息，所述第三代理端将所述请求信息透传至第一代理端；所述第三代理端通过websocket连接第一代理端，并建立长连接，所述第三代理端位于内网；在建立长连接时，所述第三代理端为客户端模式；所述第三代理端与第二代理端位于同一内网中，或者位于不同的内网中。

进一步地，所述请求信息还包括目标节点信息，所述第一代理端根据所述目标节点信息将所述请求信息透传至目标第二代理端，所述目标第二代理端为目标节点信息对应的第二代理端。

进一步地，所述第二代理端初次启动时，第二代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接；

或/和；

所述第三代理端初次启动时，第三代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接。

相比现有技术，本发明的有益效果在于：本发明在应用层面、在内网到外网服务器之间建立长连接，从而提供反向连接到内部主机的功能。这种方法除了具备易于部署应用、低成本的优势之外，它不需要公网服务器面向任意ip开放ssh端口，不需要提供公网服务器的账号密码，不需要内网的路由器的配置权限。

附图说明

图1为现有内外网连接的原理框图；

图2为本发明实施例一的基于websocket的内网穿透方法的原理框图；

图3是本发明实施例二的基于websocket的内网穿透方法的原理框图；

图4为本发明实施例三的基于websocket的内网穿透方法的原理框图；

图5为本发明实施例四的基于websocket的内网穿透方法的原理框图之一；

图6为本发明实施例四的基于websocket的内网穿透方法的原理框图之二。

具体实施方式

以下将结合附图，对本发明进行更为详细的描述，需要说明的是，以下参照附图对本发明进行的描述仅是示意性的，而非限制性的。各个不同实施例之间可以进行相互组合，以构成未在以下描述中示出的其他实施例。

实施例一

实施例一提供了一种基于websocket的内网穿透方法，旨在解决外网向内网的计算机节点发起连接请求的问题。

请参照图2所示，其包括以下步骤：

步骤1、请求端10向第一代理端20发送请求信息，在发送请求中包括目的地信息，即对应的应用端信息；第一代理端将接收到的请求信息的全部内容原样提取，交给第二代理端30，即第一代理端和第二代理端之间实现透明传递。

步骤2、第二代理端根据目标地址信息将请求信息发送给应用端40。

第一代理端和第二代理端分别位于外网和内网中，从而实现了请求端的内网穿透，实现外网向内网发送连接请求。请求端和应用端是相对的，即发送信息的一方称为请求端，接收信息的一方称为应用端。例如，应用端40端也可以主动发起请求，经过第二代理端30透传给第一代理端20，再由后者根据路由配置转给请求端10，此种情况下，应用端40其实是请求端，而请求端10其实是应用端。

第一代理端和第二代理端通过代理程序实现。代理程序可以根据配置工作在客户端模式或服务器模式，还配置代理程序开启支持http、tcp、udp中的哪几种以及相应参数。

在建立长连接过程中，第一代理端为服务器模式，第二代理端为客户端模式。其中，第一代理端部署于外网服务器，第二代理端部署于内网服务器。请求端和应用端为需要透传请求的应用(例如app等)、服务或数据等。在实施例一中，请求端经由第一代理端、第二代理端向应用端发送请求信息，请求端可以是第一代理端的应用，应用端可以是第二代理端的应用(或服务或数据等)。

对于http实现透传的方式：

代理端(第一代理端和第二代理端之间，对于后面的实施例而言，也涉及到第三代理端和第一代理端之间)之间发送的管理命令字：心跳发送、心跳响应，鉴权发送、鉴权响应；

代理端之间发送的http命令字包括：http请求报文、http响应报文；

http透传消息参数包括：命令字,全局唯一消息id,源wsid,目标wsid,http的目标地址、method、url、headers、body。这种方式下，目的地信息为目标地址信息。

代理端之间发送的内容包括功能命令字、全局唯一的消息id、路由信息，连同http的协议内容一起打包发到代理的另一端。

对于tcp实现透传的方式：

代理端之间发送的tcp透传命令字包括：tcp建链、tcp正文发送、tcp拆链；

tcp透传消息参数包括命令字,全局唯一消息id,源wsid,目标wsid,目标ip、目标端口、tcp正文内容。这种方式下，目的地信息为目标端口信息和目标ip信息。

其中一个代理端接收请求端的连接请求之后接受并维持该连接，同时发送命令到所配置的目的端代理程序，目的端代理程序根据配置、所请求的目的端口，跟应用端进行tcp连接。后续“请求端”发送tcp请求会被透明传递到“应用端”。

对于udp实现透传的方式：

代理端之间发送的udp透传命令字包括：udp正文发送；

udp透传消息参数包括命令字,全局唯一消息id,源wsid,目标wsid,目标ip、目标端口、udp正文内容。这种方式下，目的地信息为目标端口信息和目标ip信息。

其情况跟tcp类似，只是没有长连接，仅进行端口监听、收报文和传递报文。

本发明对公网服务器没有特殊配置要求，不需要开放ssh管理端口；代理节点(运行代理程序的节点)通过websocket连接，只需开放https端口、配置相应https证书(跟普通网站一样)，如果不具备https证书也可以使用http端口链接。在这个过程中请求端、应用端感知不到代理程序的存在，就像请求端把请求内容直接发给应用端一样。

这种方式依赖常见的基础配置，部署、使用门槛低，包括直接使用一般网站服务器已配置开通的https相关防火墙设置，nginx路由配置。无需开放ssh管理端口。这种连接方式不需要改变服务器原有的安全策略，包括ip白名单等。

第二代理端首次启动与第一代理端建立长连接时，需要进行鉴权，只有通过鉴权的客户端(第二代理端)才加入到第一代理端的链接池，加强安全保障。代理端之间的文本可选加密，当然也可以不加密，如果使用普通http端口连接的，建议使用加密。第一代理端为每个第二代理端独立配置相应的鉴权参数，并为每个第二代理端配置可以转发的目标节点列表(即可以连接的内网代理端)和目的地列表(即可以连接的内网应用端)，对于下述实施例中涉及的第三代理端与第一代理端之间的鉴权与此类似。

实施例二

实施例二为在上述任意实施例的基础上进行的改进，在第一代理端在外网，第二代理端在内网的情况下。

请参照图3所示，请求端10还可以通过第三代理端50发送请求信息，然后第三代理端将请求信息透传给第一代理端20，第二代理端再将请求信息透传给第二代理端30，最后，第二代理端将请求信息发送给应用端40。

第三代理端与第二代理端类似，也通过websocket与第一代理端建立连接并完成鉴权，三者之间的透传方式相同。

在实施例二中，第三代理端和第二代理端位于同一个内网(局域网)中，此种情况可以应用于分布式部署中。在分布式部署的数据敏感的应用场景中，可以在数据存储部署于内网某节点(即第二代理端)中，然后基于第一代理端在鉴权时设置的可以转发的目标节点对访问该第二代理端的第三代理端进行限制，允许部分第三代理端访问第二代理端的数据，这些部分第三代理端借助于第一代理端(例如公网的应用服务器)对第二代理端的数据(数据即为应用端)进行访问。

实施例三

实施例三与实施例二的主要区别在于第三代理端和第二代理端位于不同的内网(局域网)中。其余基本相同：请参照图4所示，在第一代理端在外网，第二代理端在内网的情况下。请求端10还可以通过第三代理端50发送请求信息，然后第三代理端将请求信息透传给第一代理端20，第二代理端再将请求信息透传给第二代理端30，最后，第二代理端将请求信息发送给应用端40。

实施例三可以应用于远程运维或监控等应用场景。通过办公室、家庭网络借助于该代理程序所建立的隧道(依次由第三代理端、第一代理端以及第二代理端进行透传)，对远程的服务进行管理，这个远程的服务部署于内网中。

实施例四

实施例四为在上述任意实施例的基础上进行的改进，由于可能存在多个第二代理端的情况，因此，在请求信息中还包括目标节点信息。请参照图5所示，请求端10向第三代理端50(对于实施例一而言，可以不采用第三代理端)发送请求信息，第三代理端向第一代理端20透传请求信息，第一代理端则会根据目标节点信息将请求信息透传至目标第二代理端，目标第二代理端为目标节点信息对应的第二代理端(在本实施例中，第二代理端为三个，分别为第二一代理端31、第二二代理端32和第二三代理端33，第二二代理端32即为目标节点信息对应的第二代理端)。然后，目标第二代理端再根据目的地信息将请求信息发送给应用端。

请参照图6所示，如果请求信息中不包括目标节点信息，则第一代理端直接将请求信息发送给目的地信息对应的外网中的应用端，称为外应用端61。

同样地，应用端也可能有多个，因此，只有请求信息中包括目标节点信息和目的地信息时，才能完成请求端和具体的应用端之间的交互。如果请求信息中不包括目的地信息，则第一代理端直接将请求信息发送给外网中的缺省应用端62。

其整体过程是：第一代理端则会根据目标节点信息将请求信息透传至目标第二代理端。然后，目标第二代理端再根据目的地信息将请求信息发送给目标应用端(在图6中，示出了应用端为三个，分别为第一应用端41、第二应用端42和第三应用端43，第二应用端42即为目的地信息对应的应用端)。

实施例五

实施例五为在上述任意实施例的基础上进行的改进，第二代理端、第三代理端或其中之一也可以不在内网，例如第二代理端不在内网。这种情况用于借助透传功能，将请求从第一代理端所在服务器(称为第一服务器)透传到第二代理端所在服务器(称为第二服务器)的应用端。这种用法解决了第一服务器到第二服务器之间复杂的网络基础配置，可以将应用端拉远到其他服务器运行。

实施例六

实施例六提供了一种基于websocket的内网穿透***，其包括：

请求端，用于向第一代理端发送请求信息，所述请求信息包括目的地信息；

第一代理端，用于将所述请求信息透传至第二代理端；

第二代理端，用于根据所述目的地信息将所述请求信息发送至应用端；

应用端，用于接收所述请求信息；

所述第二代理端通过websocket连接第一代理端，并建立长连接，所述第一代理端位于外网，所述第二代理端位于内网；在建立长连接时，所述第一代理端为服务器模式，第二代理端为客户端模式。

进一步地，所述内网穿透***还包括第三代理端；

所述请求端向第三代理端发送请求信息，所述第三代理端将所述请求信息透传至第一代理端；所述第三代理端通过websocket连接第一代理端，并建立长连接，所述第三代理端位于内网；在建立长连接时，所述第三代理端为客户端模式；所述第三代理端与第二代理端位于同一内网中，或者位于不同的内网中。

进一步地，所述请求信息还包括目标节点信息，所述第一代理端根据所述目标节点信息将所述请求信息透传至目标第二代理端，所述目标第二代理端为目标节点信息对应的第二代理端。

进一步地，所述第二代理端初次启动时，第二代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接；

或/和；

所述第三代理端初次启动时，第三代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接。

对本领域的技术人员来说，可根据以上描述的技术方案以及构思，做出其它各种相应的改变以及形变，而所有的这些改变以及形变都应该属于本发明权利要求的保护范围之内。

Claims (10)

1.一种基于websocket的内网穿透方法，其特征在于，其包括以下步骤：

向第一代理端发送请求信息以使第一代理端将所述请求信息透传至第二代理端，再由第二代理端将所述请求信息发送至应用端；

所述请求信息包括目的地信息；所述第二代理端根据所述目的地信息将所述请求信息发送至应用端；

所述第二代理端通过websocket连接第一代理端，并建立长连接，所述第一代理端位于外网，所述第二代理端位于内网；在建立长连接时，所述第一代理端为服务器模式，第二代理端为客户端模式。

2.如权利要求1所述的基于websocket的内网穿透方法，其特征在于，所述方法还包括：

向第三代理端发送请求信息，所述第三代理端将所述请求信息透传至第一代理端；所述第三代理端通过websocket连接第一代理端，并建立长连接，所述第三代理端位于内网；在建立长连接时，所述第三代理端为客户端模式；所述第三代理端与第二代理端位于同一内网中，或者位于不同的内网中。

3.如权利要求2所述的基于websocket的内网穿透方法，其特征在于，所述请求信息还包括目标节点信息，所述第一代理端根据所述目标节点信息将所述请求信息透传至目标第二代理端，所述目标第二代理端为目标节点信息对应的第二代理端。

4.如权利要求2所述的基于websocket的内网穿透方法，其特征在于，所述第一代理端和第二代理端之间，以及第一代理端和第三代理端之间可以透传http、tcp、udp中的任一种负载类型；所述透传负载类型为http时，所述目的地信息为目标地址信息；所述透传负载类型为tcp或udp时，所述目的地信息为目标端口信息和目标ip信息。

5.如权利要求2所述的基于websocket的内网穿透方法，其特征在于，所述第二代理端初次启动时，第二代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接；

或/和；

所述第三代理端初次启动时，第三代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接。

6.如权利要求1-3任一项所述的基于websocket的内网穿透方法，其特征在于，所述应用端接收到所述请求信息后，原路返回响应信息。

7.一种基于websocket的内网穿透***，其特征在于，其包括：

请求端，用于向第一代理端发送请求信息，所述请求信息包括目的地信息；

第一代理端，用于将所述请求信息透传至第二代理端；

第二代理端，用于根据所述目的地信息将所述请求信息发送至应用端；

应用端，用于接收所述请求信息；

所述第二代理端通过websocket连接第一代理端，并建立长连接，所述第一代理端位于外网，所述第二代理端位于内网；在建立长连接时，所述第一代理端为服务器模式，第二代理端为客户端模式。

8.如权利要求7所述的基于websocket的内网穿透***，其特征在于，所述内网穿透***还包括第三代理端；

所述请求端向第三代理端发送请求信息，所述第三代理端将所述请求信息透传至第一代理端；所述第三代理端通过websocket连接第一代理端，并建立长连接，所述第三代理端位于内网；在建立长连接时，所述第三代理端为客户端模式；所述第三代理端与第二代理端位于同一内网中，或者位于不同的内网中。

9.如权利要求8所述的基于websocket的内网穿透***，其特征在于，所述请求信息还包括目标节点信息，所述第一代理端根据所述目标节点信息将所述请求信息透传至目标第二代理端，所述目标第二代理端为目标节点信息对应的第二代理端。

10.如权利要求8所述的基于websocket的内网穿透***，其特征在于，

所述第二代理端初次启动时，第二代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接；

或/和；

所述第三代理端初次启动时，第三代理端通过websocket连接第一代理端并向第一代理端发送鉴权请求，完成鉴权后二者建立长连接。

Images