CN111490961B - 通信连接的阻断***、方法、装置和设备 - Google Patents

Abstract

本发明实施例提供一种通信连接的阻断***、方法、装置和设备，该***包括：阻断设备、镜像处理设备以及处于VPC的网络中的客户端和内容提供服务器。客户端会生成对应于内容获取请求的通信报文。阻断设备接收并确定此通信报文对应的镜像报文的合法性。若镜像报文为非法报文，则阻断设备会生成包括网络标识的阻断报文，此网络标识对应于内容提供服务器所属网络。阻断设备能够根据此网络标识将阻断报文发送至正确的内容提供服务器中，以断开二者之间的通信连接。基于阻断设备具有的确定网络标识的能力，可以使得阻断报文直接发送至内容提供服务器，使阻断报文的传输路径大大缩短，从而避免网络状态对阻断报文传输的影响，提高通信连接阻断的成功率。

Description

通信连接的阻断***、方法、装置和设备

技术领域

本发明涉及通信技术领域，尤其涉及一种通信连接的阻断***、方法、装置和设备。

背景技术

专有网络(Virtual Private Cloud，简称VPC)是基于云服务构建的一个隔离的网络环境，每个VPC网络都是独立的。为了保证每个VPC网络中各通信设备之间的安全通信，在基于VPC网络的通信***中，除了通信设备之外，还会配置有阻断设备。其中，阻断设备用于监听通信***中是否存在非法访问请求。若存在非法访问请求，则阻断设备会通过阻断通信设备之间连接的方式来避免非法访问请求对通信***造成的不良影响。

在现有技术中，常用的通信连接阻断方法包括串联阻断和旁路阻断。但在使用这两种方法时，通信连接的阻断成功率很容易受到网络状态的影响，从而导致阻断成功率较低。因此，如何提高通信连接的阻断成功率就成为一个亟待解决的问题。

发明内容

有鉴于此，本发明实施例提供一种通信连接的阻断***、方法、装置和设备，用以提高通信连接的阻断成功率。

第一方面，本发明实施例提供一种通信连接的阻断***，包括：客户端、镜像处理设备、阻断设备以及内容提供服务器；

所述客户端，用于生成并发送原始通信报文至所述镜像处理设备；

所述镜像处理设备，用于对所述原始通信报文进行镜像处理，以得到所述原始通信报文对应的镜像报文；

所述阻断设备，用于接收所述镜像处理设备发送的所述镜像报文，若所述镜像报文为非法报文，则确定所述内容提供服务器对应的网络标识；根据所述网络标识生成第一阻断报文；发送所述阻断报文至所述内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作。

第二方面，本发明实施例提供一种通信连接的阻断方法，包括：

接收与客户端产生的原始通信报文对应的镜像报文；

若所述镜像报文为非法报文，则确定内容提供服务器对应的网络标识，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作；

根据所述网络标识生成第一阻断报文；

发送所述第一阻断报文至内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接。

第三方面，本发明实施例提供一种通信连接的阻断装置，包括：

接收模块，用于接收与客户端产生的原始通信报文对应的镜像报文；

第一确定模块，用于若所述镜像报文为非法报文，则确定内容提供服务器对应的网络标识，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作；

生成模块，用于根据所述网络标识生成第一阻断报文；

发送模块，用于发送所述第一阻断报文至内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接。

第四方面，本发明实施例提供一种电子设备，包括处理器和存储器，所述存储器用于存储一条或多条计算机指令，其中，所述一条或多条计算机指令被所述处理器执行时实现上述第二方面中的通信连接的阻断方法。该电子设备还可以包括通信接口，用于与其他设备或通信网络通信。

本发明实施例提供了一种计算机存储介质，用于储存存储计算机程序，所述计算机程序使计算机执行时实现上述第二方面中的通信连接的阻断方法。

本发明实施例提供的通信连接的阻断***，该***包括：客户端、镜像处理设备、阻断设备以及内容提供服务器。客户端用于生成并发送原始通信报文至镜像处理设备。镜像处理设备在接收到此原始通信报文后，对其进行镜像处理，并将镜像处理得到的镜像报文发送至阻断设备。其中，镜像处理也可以理解为复制，原始通信报文对应的镜像报文即为原始通信报文的副本。接着，阻断设备接收镜像报文。若接收到的镜像报文为对应于用户非法访问操作的非法报文，则阻断设备会确定内容提供服务器对应的网络标识，并根据网络标识生成第一阻断报文，并直接发送此第一阻断报文至内容提供服务器。在内容提供服务器接收到第一阻断报文后，即会断开其与客户端之间的通信连接，从而避免内容提供服务器对非法报文产生响应，从而对通信***产生不良影响。

在现有技术中，阻断报文通常需要经过很多设备才能被最终传输到内容提供服务器。因此，在网络状态不稳定时，阻断报文的传输时间就会较长，阻断报文不能及时传输到内容提供服务器上，使得其和客户端之间的通信连接不能成功被阻断，从而导致通信连接的阻断成功率大大降低。而根据上述描述可知，本发明提供的***中，阻断设备自己具有确定网络标识的能力，则其可以生成包括网络标识的第一阻断报文，并将其直接发送到内容提供服务器中，第一阻断报文的传输路径较短即在传输过程中所经过的设备数量很少，因此，网络状态的不稳定也不会对阻断报文的传输产生影响，从而提高了客户端与内容提供服务器之间通信连接阻断的成功率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种通信连接的阻断***的结构示意图；

图2为图1所示***中各设备之间的交互过程的信令图；

图3为本发明实施例提供的另一种通信连接的阻断***的结构示意图；

图4为本发明实施例提供的一种通信连接的阻断方法的流程图；

图5为图4所示实施例中步骤103的一种可选地实现方式的流程图；

图6为本发明实施例提供的另一种通信连接的阻断方法的流程图；

图7为本发明实施例提供的通信连接的阻断装置的结构示意图；

图8为与图7所示实施例提供的通信连接的阻断装置对应的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义，“多种”一般包含至少两种，但是不排除包含至少一种的情况。

应当理解，本文中使用的术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

取决于语境，如在此所使用的词语“如果”、“若”可以被解释成为“在……时”或“当……时”或“响应于确定”或“响应于识别”。类似地，取决于语境，短语“如果确定”或“如果识别(陈述的条件或事件)”可以被解释成为“当确定时”或“响应于确定”或“当识别(陈述的条件或事件)时”或“响应于识别(陈述的条件或事件)”。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的商品或者***不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种商品或者***所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的商品或者***中还存在另外的相同要素。

在实际应用中，客户端与服务器之间通常是要保持通信连接的。但为了保证通信的安全，当通信的一方出现非法访问操作时，就需要断开通信双方之间的通信连接。其中，用户可以通过客户端来触发访问操作。而对于访问操作的合法性：

当用户通过客户端触发访问操作来向服务器获取内容时，若获取内容中包含敏感信息，则表明用户触发的此访问操作为非法访问操作；若获取内容中不包含敏感信息，则用户触发的访问操作为合法访问操作。当用户账号出现异常时，此用户通过客户端触发的任何操作，比如客户端的开启操作或者在客户端界面中的点击操作，都可以认为是非法访问操作。

基于上述描述，图1为本发明实施例提供的一种通信连接的阻断***的结构示意图。如图1所示，该***可以包括：客户端11、镜像处理设备12、阻断设备13和内容提供服务器14。

客户端11可以生成原始通信报文，并将此原始通信报文发送至镜像处理设备12。可选地，客户端11可以安装于用户使用的终端设备中，则一种情况，客户端11可以响应于用户触发的客户端开启操作，生成原始通信报文。常见地，客户端11和内容提供服务器14之间可以采用三次握手的方式建立起通信连接。在建立连接的过程中，上述的原始通信报文即可以对应于某一次握手信号。另一种情况，客户端11还可以响应于用户在客户端提供的操作界面中触发的点击操作，生成原始通信报文。上述的开启操作和点击操作实际上都可以理解成用户触发的访问操作，也即是原始通信报文是对应于用户触发的访问操作的。然后，客户端11会将生成的原始通信报文发送至镜像处理设备12。

当然，无论是在哪种情况下生成的原始通信报文，可选地，其都可以包括发送方标识和接收方标识，这两种标识用以分别指明报文对应的收发双方。在实际应用中，发送方标识具体可以表现为发送方的IP地址，也可以称为源IP地址，接收方标识具体可以表现为接收方的IP地址即目的IP地址。且通常来讲，发送方可以为客户端，接收方可以为内容提供服务器。当然二者的角色也可以互换。

镜像处理设备12，用于接收并对接收到的原始通信报文进行镜像处理，以生成原始通信报文对应的镜像报文，此镜像处理可理解为对原始通信报文的复制，则镜像报文也即是原始通信报文的副本。此时，镜像报文同样对应于用户触发的访问操作。

可选地，在实际应用中，镜像处理设备12具体可以由分光器和分流器组成。由于在VPC网络中，数据通常都是以光信号为载体传输于光纤中的，也即是不同设备生成的各种报文所对应的信息均会包含于光信号中。因此，分光器可以先接收包含有原始通信报文对应信息的原始光信号，再对此原始光信号进行分光，从而得到第一光信号和第二光信号。这两路光信号与原始光信号相比，其包含的信息全部相同，只是信号强度减半。然后，分流器会将两路光信号分别发送至阻断设备13和内容提供服务器14中。在内容提供服务器14接收到第二光信号中原始通信报文对应的信息后，即可向客户端返回相应的内容。

阻断设备13，用于接收第二光信号中的镜像报文，并进一步判断此镜像报文是否为非法报文。由于镜像报文为原始通信报文的副本，因此，上述判断实际上就是确定原始通信报文是否为非法报文。报文的合法性，其实体现的就是用户触发的访问操作的合法性，合法访问操作对应于合法报文，非法访问操作对应于非法报文。

若镜像报文为非法报文，表明用户触发的访问操作是非法访问操作，则阻断设备13会确定客户端11和内容提供服务器14所属的VPC网络的网络标识，网络标识具体可以包括网络ID和网络IP。其中，对于可以通信的客户端和内容提供服务器来说，二者通常是位于同一VPC网络中的。并且在实际应用中，

接着，阻断设备13还会根据网络标识生成第一阻断报文，并将此第一阻断报文发送至内容提供服务器14中。其中，第一阻断报文中也包括与封装报文相同的收发方标识、网络标识和网络地址。可选地，在发送第一阻断报文至内容提供服务器14的同时，阻断设备13还可以将第一阻断报文发送至客户端11。在实际应用中，第一阻断报文具体可以是一个rst(reset)报文。当客户端11或内容提供服务器14收到第一阻断报文后，则会自动断开与另一方之间的通信连接，从而避免非法报文对此通信***带来的不良影响。

需要说明的是，本实施例以及下述各实施例中提供的阻断设备13以及镜像处理设备12均可以同时服务于多个VPC网络。因此，当第一阻断报文中包括与封装报文相同的网络标识以及网络地址时，可以使阻断设备13更准确地将此第一阻断报文发送至对应的内容提供服务器14中。

而对于镜像报文合法性的判断，一种可选地方式，阻断设备13可以根据镜像报文中包括的收发双方的标识即发送方标识和接收方标识确定报文的合法性。具体来说，若镜像报文中包括的发送方标识与接收方标识满足预设的禁止连接关系，则表明收发双方已经具有了预设的禁止连接关系，则阻断设备13会确定此镜像报文为非法报文。此禁止连接关系可以预先存储于阻断设备13本地。

另一种可选地方式，镜像报文中还可以包括URL链接，此链接用以表明用户的访问请求。阻断设备13还可以根据镜像报文中包括的URL链接确定报文的合法性。具体来说，若镜像报文中包括的URL链接为预设的禁止***，表明此URL链接本身是一个非法链接，对它进行访问很容易对通信***造成不良影响，则阻断设备13会确定此镜像报文为非法报文。同样地，预设的禁止访问连接可以预先存储于阻断设备13本地。

当然，阻断设备13也可以同时根据收发方标识以及URL链接来确定镜像报文的合法性。

上述描述都是针对镜像报文为非法报文的情况。而对于合法报文的情况：镜像设备12中的分流器还是会将第一光信号和第二光信号分别发送至阻断设备13和内容提供服务器14中，当阻断设备13确定出此当镜像报文为合法报文时，则阻断设备13不会生成第一阻断报文。同时，第二光信号也会继续传输，在内容提供服务器14接收到第二光信号也即是接收到原始通信报文后，则会建立起自身与客户端11之间的通信连接。并且内容提供服务器14也可以对客户端11发送的访问请求给出相应反馈。

本实施例中，客户端11用于生成并发送原始通信报文至镜像处理设备12。镜像处理设备接收到此原始通信报文后，对其进行镜像处理，并将镜像处理得到的镜像报文发送至阻断设备13。其中，镜像处理也可以理解为复制，原始通信报文对应的镜像报文即为原始通信报文的副本。接着，阻断设备13接收镜像报文。若接收到的镜像报文为对应于用户非法访问操作的非法报文，则阻断设备13会确定内容提供服务器对应的网络标识，再根据此网络标识生成第一阻断报文。最终，直接发送此第一阻断报文至内容提供服务器14。在内容提供服务器14接收到第一阻断报文后，可以断开其与客户端之间的通信连接，从而避免内容提供服务器14对非法报文产生响应，从而对通信***产生不良影响。

在现有技术中，阻断报文通常需要经过很多设备才能被最终传输到内容提供服务器14。因此，在网络状态不稳定时，阻断报文的传输时间就会较长，阻断报文不能及时传输到内容提供服务器上14，使得其和客户端11之间的通信连接不能成功被阻断，通信连接的阻断成功率大大降低。而根据上述描述可知，本发明提供的***中，基于阻断设备13具有的确定网络标识的能力，可以使得第一阻断报文直接发送至内容提供服务器14，第一阻断报文在传输过程中所经过的设备数量很少，即阻断报文的传输路径大大缩短，因此，即使网络状态不稳定也不会对阻断报文的传输产生影响，从而提高了客户端11与内容提供服务器14之间通信连接阻断的成功率。

需要说明的有，在上述描述的基础上，图2为图1所示***实施例中各设备之间交互的信令图，也可以结合此信令图对上述实施例进行理解。

图3为本发明实施例提供的另一种通信连接的阻断***的结构示意图，如图3所示。由于每个VPC网络中，都可以包含多个客户端以及多个内容提供服务器，为了能够保证各客户端和内容提供服务器之间的正常通信，同时也能够保证成功阻断二者之间的通信连接，在图1所示***的基础上，该***还可以包括：第一交换设备21和通信网络22。

其中，在实际应用中，可选地，第一交换设备21具体可以为交换机(Switch)。通信网络22具体可以为城域网(Metropolitan Area Network，简称MAN)交换网络。

此时，在阻断设备13生成第一阻断报文后，此第一阻断报文会依次经过阻断设备13、通信网络22、第一交换设备21，并最终发送至内容提供服务器14。上述传输路径可以称为第一路径。可见，第一阻断报文在传输到内容提供服务器14过程中所经过的设备数量比较少，这样可以大大缩短第一阻断报文的传输时间，使内容提供服务器14能够及时收到第一阻断报文，并及时与客户端11之间断开通信连接，从而提高通信连接的阻断成功率。

然而在实际应用中，若只存在一条阻断报文的传输路径，则当此路径失效时，就无法成功的阻断客户端11和内容提供服务器14之间的通信连接。因此，该***还可以包括：第二交换设备23和网关设备24。利用上述设备可以提供另一条阻断报文的传输路径。

在确定出镜像报文为非法报文时，阻断设备13在生成第一阻断报文的同时，还会根据镜像报文中的收发方标识生成第二阻断报文，此第二阻断报文中包括与镜像报文相同的收发方标识。并且此第二阻断报文又会依次通过通信网络22以及第二交换设备23发送至网关设备24。其中，实际应用中，可选地，第二交换设备23可以是一个与第一交换设备相同的交换机，也可以是负载均衡交换机(Loadblance Switch,，简称LSW)。

网关设备24接收并会对此第二阻断报文进行封装，以得到第三阻断报文。此封装过程可以理解为确定内容提供服务器对应的网络标识，并将其添加到阻断报文中的过程。封装后得到的第三阻断报文中同样包括收发方标识、客户端11和内容提供服务器14所属的VPC网络的网络标识。可见，第三阻断报文与第一阻断报文中所包含的内容是完全相同的，名称的不同只是为了区别其的生成设备不同。然后，此第三阻断报文会依次经过网关设备24、第二数据交换设备23、镜像处理设备12、通信网络22、第一数据交换设备21，并最终到达内容提供服务器14。上述传输路径可以称为第二路径。其中，可选地，镜像处理设备12可以不对接收到的阻断报文进行镜像处理。在实际应用中，封装后得到的第三阻断报文具体可以是一个vxlan报文，则vxlan报文的ID可以表示网络标识中的网络ID。与第一路径相比，第二路径所经过的设备数量增加了不少，这就导致第三阻断报文的传输时间要大于第一阻断报文此传输时间。

在正常情况下，第一阻断报文和第三阻断报文均会发送至内容提供服务器14中。由于第一阻断报文会先到达内容提供服务器14，因此，其与客户端11之间通信连接的阻断通常是通过第一路径来完成的。而当第一路径失效时，则第三阻断报文仍会沿第二路径传输至内容提供服务器14中，这样内容提供服务器14仍然可以在接收到此第三阻断报文后，断开自身与客户端11之间的通信连接，从而保证可以正常阻断二者之间的通信连接，这样第二路径也即是起到了备用路径的效果。

根据上述描述可知，在第一阻断报文和第三阻断报文分别经由第一路径和第二路径传输到内容提供服务器14的过程中，都涉及到了确定内容提供服务器对应的网络标识的过程，只不过执行的主体不同。

对于网关设备24的封装处理，一种可选地方式，网关设备24本地可以存储有收发方标识和网络标识之间的预设对应关系，网关设备24可以根据此预设对应关系对第二阻断报文进行封装，也即是将网络标识添加到第二阻断报文中，以得到第三阻断报文。并且此预设的对应关系可以是人为为网关设备进行配置的。

对于阻断设备13的封装处理，一种可选地方式，阻断设备13可以先接收历史原始通信报文和历史封装报文各自对应的镜像报文，其中，历史原始通信报文对应的镜像报文中包括收发方标识，历史封装报文对应的镜像报文中包括收发方标识和网络标识。为了描述简洁，将历史原始通信报文对应的镜像报文称为第一镜像报文，将历史封装报文对应的镜像报文称为第二镜像报文，并且第一镜像报文和第二镜像报文都是由镜像处理设备12发送过来的。

然后，将具有相同收发方标识的第一镜像报文和第二镜像报文进行关联，再进一步根据镜像报文之间的关联关系确定收发方标识和网络标识之间的预设对应关系。此时，确定出的此预设对应关系与网络设备24本地存储的预设对应关系是相同的。最终，阻断设备13再根据建立起的预设对应关系确定内容提供服务器对应的网络标识。其中，对于第一镜像报文和第二镜像报文，一种可选获取方式，对于客户端11在预设时间段内，生成的任一个历史原始通信报文，其都会通过通信网络22发送至镜像处理设备12中。经过镜像处理后，镜像处理设备12则可以生成原始通信报文对应的镜像报文即第一镜像报文。同时，此历史原始通信报文又会通过第二数据交换设备23被传输至网关设备24中。这时网关设备24又会对历史原始通信报文进行封装，以得到历史封装报文，此历史封装报文会经过第二数据交换设备23传输至镜像处理设备12，则镜像处理设备12会对此历史封装报文进行镜像处理，以得到第二镜像报文。镜像处理设备12可以将此第一镜像报文和第二镜像报文都发送至阻断设备13，以使阻断设备13接收到这些镜像报文。需要说明的是，上述的历史原始通信报文均为合法报文。

根据上述描述可知，阻断设备确定网络标识的过程，其本质上也是根据收发方标识和网络标识之间的预设对应关系来进行的，只不过此预设对应关系是阻断设备13利用历史原始通信报文和历史封装报文各自对应的镜像报文学习得到的。

与图1所示实施例中相似的，当客户端11生成的原始通信报文沿通信网络22传输至镜像处理设备12时，镜像设备12中的分光器和分流器可以生成第一光信号和第二光信号，其中，第一光信号对应于镜像报文，第二光信号对应于原始通信报文，当然这两个报文中包括完全相同的信息。这两路光信号可以被分别发送至阻断设备13和内容提供服务器14中。当阻断设备13确定出接收到的镜像报文为合法报文时，则不会生成第一阻断报文。同时，原始通信报文在已经经过客户端11、通信网络22以及镜像处理设备12之后，还会依次经过第二数据交换设备23、网关设备24、第二数据交换设备23、通信网络22、第一数据交换设备21、内容提供服务器14。上述传输路径可以称为第三路径，所有合法的报文都会通过此第三路径传输至内容提供服务器14中。

可选地，在实际应用中，当客户端11生成原始通信报文后，此报文可以是通过客户端11所安装于的终端设备所属的运营商网络传输至通信网络22中的。

本实施例中，在图1～图3所示实施例的基础上，该***还可以包括第一数据交换设备21、通信网络22、第二数据交换设备23和网关设备24。这些设备的加入，可以为阻断报文提供两条传输路径即第一路径和第二路径，并且沿第一路径对阻断报文进行传输的过程中所经过的设备数量较少，其所需的传输时间比较短，这样可以使阻断报文能及时传输到内容提供服务器上14，使得其和客户端11之间的通信连接成功被阻断，大大提高通信连接的阻断成功率。而当第一路径失效时，还可以通过第二路径传输阻断报文，从而阻断客户端11和内容提供服务器14之间的通信连接。也就是说，在不同的情况下，可以通过使用不同的路径来传输阻断报文，以阻断客户端11和内容提供服务器14之间的通信连接，从而提高通信连接阻断的成功率。

另外，下述各方法实施例中的步骤时序仅为一种举例，而非严格限定。

图4为本发明实施例提供的一种通信连接的阻断方法的流程图。本发明实施例提供的该通信连接的阻断方法可以由图1～图3所示实施例中的阻断设备13来执行，如图4所示，该方法包括如下步骤：

S101，接收与客户端产生的原始通信报文对应的镜像报文。

S102、若镜像报文为非法报文，则确定内容提供服务器对应的网络标识。

S103，根据网络标识生成第一阻断报文。

S104，发送第一阻断报文至内容提供服务器，以使内容提供服务器在接收到第一阻断报文后断开与客户端之间的通信连接。

具体来说，可选地，客户端11可以安装于用户使用的终端设备中。用户可以通过触发客户端的开启操作或者通过在客户端提供的操作界面中触发的点击操作，来使客户端11产生原始通信报文。此原始通信报文也即是对应于用户通过客户端11触发的访问操作。客户端11会将此原始通信报文会发送至镜像处理设备12。然后，镜像处理设备12会对接收到的原始通信报文进行镜像处理，以生成镜像报文，并进一步地将此镜像报文发送至阻断设备13。此时，阻断设备13也即是获取到了与原始通信报文对应的镜像报文。对原始通信报文的镜像处理可以理解为对原始报文的复制，因此，镜像处理设备12得到的镜像报文和原始通信报文是完全相同的报文，其中都可以包括收发方标识。可选地，镜像报文和原始通信报文中处理收发方标识，还可以包括URL链接，此链接用以指明用户的访问请求。与原始通信报文相同的，镜像报文同样对应于用户通过客户端11触发的访问操作。

在接收到镜像报文后，阻断设备13还会判断此镜像报文是否为非法报文。若确定此镜像报文为非法报文，表明用户触发的访问操作为非法访问操作，则会进一步确定内容提供服务器对应的网络标识，其中网络标识可以包括内容提供服务器所属的VPC网络的网络ID和网络地址。接着，阻断设备13可以根据封装报文中包括的收发方标识、网络标识和网络地址生成第一阻断报文，并最终发送此第一阻断报文至内容提供服务器14，以使内容提供服务器14接收到第一阻断报文后，根据第一阻断报文中包括的收发方标识、网络标识，断开自身与客户端11之间的通信连接。

其中，对于镜像报文合法性的验证，可选地，可以根据镜像报文中包括的收发送方标识和URL链接中的至少一种来进行，具体过程可以参见图1所示实施例中的相关描述，在此不再赘述。

并且在阻断设备13发送第一阻断报文至内容提供服务器14的同时，可选地，阻断设备13还可以将此第一阻断报文也发送至客户端11。当客户端11接收到此第一阻断报文后，也可以断开自身与内容提供服务器14之间的通信连接。

另外，对于本实施例中其他未详细描述的部分，可以参见图1～图2所示实施例中的相关描述，在此不再赘述。

本实施例中，阻断设备13接收由镜像处理设备12发送的镜像报文。若接收到的镜像报文为非法报文，则阻断设备13会确定内容提供服务器对应的网络标识，再进一步根据网络标识生成第一阻断报文。最终，直接发送此第一阻断报文至内容提供服务器14。在内容提供服务器14接收到第一阻断报文后，便可以断开其与客户端11之间的通信连接，从而避免内容提供服务器14对非法报文产生响应，从而对通信***产生不良影响。根据上述描述可知，阻断设备13自身生成的第一阻断报文会直接发送到内容提供服务器14，第一阻断报文在传输过程，传输路径较短也即是所经过的设备数量很少，因此，即使网络状态不稳定也不会对阻断报文的传输产生影响，从而提高了客户端11与内容提供服务器14之间通信连接阻断的成功率。

此外，对于图4所示实施例中的步骤103，如图5所示，一种地可选实现方式可以为：

S201，接收预设时间段内，历史原始通信报文和历史封装报文各自对应的镜像报文，其中，历史原始通信报文对应的镜像报文中包括收发方标识，历史封装报文对应的镜像报文中包括收发方标识和网络标识。

S202，建立具有相同收发方标识的历史原始通信报文对应的镜像报文和历史封装报文对应的镜像报文之间的关联关系。

S203，根据关联关系确定收发方标识和网络标识之间的预设对应关系。

S204，根据预设对应关系确定内容提供服务器对应网络标识。

阻断设备13执行上述处理的详细过程可以参见图3所示实施例中的详细描述，在此不再赘述。

另外，对应于图3所示的实施例，阻断设备13生成的第一阻断报文可以通过第一路径传输至内容提供服务器14，以使客户端11和内容提供服务器14之间的通信连接断开。而在通过第一路径传输第一阻断报文的过程中，会依次经过阻断设备13、通信网络22、第一数据交换设备21以及内容提供服务器14。

然而在实际应用中，若只存在一条阻断报文的传输路径，则当此路径失效时，就无法成功的阻断客户端11和内容提供服务器14之间的通信连接。因此，还可以为阻断报文提供另一条传输路径。则在图4所示实施例中步骤101之后，如图6所示，该通信连接的阻断方法还可以包括如下步骤：

S301，若镜像报文为非法报文，则根据镜像报文中包括的收发送方标识生成第二阻断报文。

S302，发送第二阻断报文至网关设备，以使网关设备对第二阻断报文进行封装后得到第三阻断报文，内容提供服务器接收到第三阻断报文后断开与客户端之间的通信连接。

上述的步骤301～302与步骤102～104实际上是同时进行的。也就是说，当阻断设备13确定出镜像报文为非法报文时，一方面，阻断设备13会生成第一阻断报文，并将此阻断报文经由第一路径发送至内容提供服务器14。另一方面，阻断设备13还会生成包括收发方标识的第二阻断报文，并发送此第二阻断报文至网关设备24，以使网关设备24对第二阻断设备进行封装，以得到最终发送至内容提供服务器的第三阻断报文。其中，网关设备24具体封装并生成第三报文的过程可以参见图3所示实施例中的相关描述，在此不再赘述。

并且对于由网关设备24生成的第三阻断报文，其可以按照第二路径将阻断报文发送至内容提供服务器14。第三阻断报文沿第二路径传输过程中依次经过网关设备24、第二数据交换设备23、镜像处理设备12、通信网络22、第一数据交换设备21、内容提供服务器14。

这样的话，即使在第一路径无效时，阻断报文还是可以通过第二路径传输到内容提供服务器14中，从而使内容提供服务器14断开与客户端11之间的通信连接。也即是在第一路径的基础上提供了另一备用路径。

本实施例中，可以为阻断报文提供两条不同的传输路径即第一路径和第二路径，并且沿第一路径对阻断报文进行传输的过程中所经过的设备数量较少，其所需的传输时间比较短，这样可以使阻断报文能及时传输到内容提供服务器上14，使得其和客户端11之间的通信连接成功被阻断，大大提高通信连接的阻断成功率。而当第一路径失效时，还可以通过第二路径传输阻断报文，从而阻断客户端11和内容提供服务器14之间的通信连接。也就是说，在不同的情况下，可以通过使用不同的路径来传输阻断报文，以阻断客户端11和内容提供服务器14之间的通信连接，从而提高通信连接阻断的成功率。

以下将详细描述本发明的一个或多个实施例的通信连接的阻断装置。本领域技术人员可以理解，这些通信连接的阻断装置均可使用市售的硬件组件通过本方案所教导的步骤进行配置来构成。

图7为本发明实施例提供的通信连接的阻断装置的结构示意图，如图7所示，该装置包括：

接收模块31，用于接收与客户端产生的原始通信报文对应的镜像报文。

第一确定模块32，用于若所述镜像报文为非法报文，则确定内容提供服务器对应的网络标识，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作。

生成模块33，用于根据所述网络标识生成第一阻断报文。

发送模块34，用于发送所述第一阻断报文至内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接。

可选地，所述发送模块34具体用于：按照第一路径将所述第一阻断报文发送至所述内容提供服务器，其中，所述第一阻断报文沿所述第一路径传输过程中依次经过阻断设备、通信网络、第一数据交换设备、内容提供服务器。

可选地，所述生成模块33，还用于若所述镜像报文为非法报文，则根据所述镜像报文中包括的收发送方标识生成第二阻断报文。

所述发送模块34，还用于发送所述第二阻断报文至所述网关设备，以使所述网关设备对所述第二阻断报文进行封装后得到第三阻断报文，所述内容提供服务器接收到所述第三阻断报文后断开与所述客户端之间的通信连接，其中，所述第三阻断报文按照第二路径将所述阻断报文发送至所述内容提供服务器，所述第三阻断报文沿所述第二路径传输过程中依次经过网关设备、第二数据交换设备、镜像处理设备、通信网络、第一数据交换设备、内容提供服务器。

可选地，所述装置还包括：建立模块41和第二确定模块42。

所述接收模块31，还用于接收预设时间段内，历史原始通信报文和历史封装报文各自对应的镜像报文，其中，所述历史原始通信报文对应的镜像报文中包括收发方标识，所述历史封装报文对应的镜像报文中包括所述收发方标识和网络标识。

所述建立模块41，用于建立具有相同收发方标识的历史原始通信报文对应的镜像报文和历史封装报文对应的镜像报文之间的关联关系。

所述第二确定模块42，用于根据所述关联关系确定收发方标识和网络标识之间的所述预设对应关系。

所述第一确定模块12具体用于：根据所述预设对应关系确定内容提供服务器对应的网络标识。

可选地，所述装置还包括：第三确定模块43。

所述第三确定模块43，用于根据所述镜像报文中包括的收发方标识和URL链接中的至少一种，确定所述镜像报文是否是非法报文。

可选地，所述收发标识具体包括发送方标识和接收方标识；

所述第三确定模块43具体用于：若所述镜像报文中包括的发送方标识和接收方标识满足预设的禁止连接关系，则确定所述镜像报文为非法报文；或者，

若所述镜像报文中包括的URL链接为预设的禁止***，则确定所述镜像报文为非法报文。

图7所示装置可以执行图4至图6所示实施例的方法，本实施例未详细描述的部分，可参考对图4至图6所示实施例的相关说明。该技术方案的执行过程和技术效果参见图4至图6所示实施例中的描述，在此不再赘述。

以上描述了通信连接的阻断装置的内部功能和结构，在一个可能的设计中，通信连接的阻断装置的结构可实现为一电子设备，如图8所示，该电子设备可以包括：处理器51和存储器52。其中，所述存储器52用于存储支持该电子设备执行上述图4至图6所示实施例中提供的通信连接的阻断方法的程序，所述处理器51被配置为用于执行所述存储器52中存储的程序。

所述程序包括一条或多条计算机指令，其中，所述一条或多条计算机指令被所述处理器51执行时能够实现如下步骤：

接收与客户端产生的原始通信报文对应的镜像报文；

若所述镜像报文为非法报文，则确定内容提供服务器对应的网络标识，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作；

根据所述网络标识生成第一阻断报文；

发送所述第一阻断报文至内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接。

可选地，所述处理器51还用于执行前述图4至图6所示实施例中的全部或部分步骤。

其中，所述电子设备的结构中还可以包括通信接口53，用于该电子设备与其他设备或通信网络通信。

另外，本发明实施例提供了一种计算机存储介质，用于储存上述电子设备所用的计算机软件指令，其包含用于执行上述图4至图6所示方法实施例中通信连接的阻断方法所涉及的程序。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助加必需的通用硬件平台的方式来实现，当然也可以通过硬件和软件结合的方式来实现。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以计算机产品的形式体现出来，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (16)

1.一种通信连接的阻断***，其特征在于，包括：客户端、镜像处理设备、阻断设备以及内容提供服务器；

所述客户端，用于生成并发送原始通信报文至所述镜像处理设备；

所述镜像处理设备，用于对所述原始通信报文进行镜像处理，以得到所述原始通信报文对应的镜像报文；

所述阻断设备，用于接收所述镜像处理设备发送的所述镜像报文，若所述镜像报文为非法报文，则根据所述镜像报文中的收发方标识，以及收发方标识和网络标识之间的预设对应关系，确定所述内容提供服务器对应的网络标识；生成包含所述网络标识的第一阻断报文；发送所述第一阻断报文至所述内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作。

2.根据权利要求1所述的***，其特征在于，所述***还包括：第一数据交换设备和通信网络；

所述阻断设备具体用于：按照第一路径将所述第一阻断报文发送至所述内容提供服务器，其中，所述第一阻断报文沿所述第一路径传输过程中依次经过阻断设备、通信网络、第一数据交换设备、内容提供服务器。

3.根据权利要求2所述的***，其特征在于，所述***还包括：第二数据交换设备和网关设备；

所述阻断设备，还用于若所述镜像报文为非法报文，则根据所述镜像报文中包括的收发送方标识生成第二阻断报文，依次通过所述通信网络以及所述第二数据交换设备，发送所述第二阻断报文至所述网关设备；

所述网关设备，用于对所述第二阻断报文进行封装，以得到第三阻断报文，其中，所述第三阻断报文按照第二路径将所述阻断报文发送至所述内容提供服务器，所述第三阻断报文沿所述第二路径传输过程中依次经过网关设备、第二数据交换设备、镜像处理设备、通信网络、第一数据交换设备、内容提供服务器。

4.根据权利要求3所述的***，其特征在于，所述网关设备具体用于：根据本地存储的收发送方标识和网络标识之间的预设对应关系，确定与所述第二阻断报文中包括的收发送方标识对应的网络标识；根据所述网络标识对所述第二阻断报文进行封装，以得到所述第三阻断报文。

5.根据权利要求4所述的***，其特征在于，所述镜像处理设备，用于获取预设时间段内，历史原始通信报文和与所述历史原始通信报文对应的历史封装报文；对所述历史原始通信报文和所述历史封装报文进行镜像处理；

所述阻断设备具体用于：接收所述历史原始通信报文和所述历史封装报文各自对应的镜像报文，其中，所述历史原始通信报文对应的镜像报文中包括收发方标识，所述历史封装报文对应的镜像报文中包括所述收发方标识和网络标识；

建立具有相同收发方标识的历史原始通信报文对应的镜像报文和历史封装报文对应的镜像报文之间的关联关系；

根据所述关联关系确定所述收发方标识和网络标识之间的所述预设对应关系；

根据所述预设对应关系确定所述内容提供服务器对应的网络标识。

6.根据权利要求3所述的***，其特征在于，所述阻断设备还用于：根据所述镜像报文中包括的收发方标识和URL链接中的至少一种，确定所述镜像报文是否是非法报文。

7.根据权利要求6所述的***，其特征在于，所述收发方标识具体包括发送方标识和接收方标识；

所述阻断设备具体用于：

若所述镜像报文中包括的发送方标识和接收方标识满足预设的禁止连接关系，则确定所述镜像报文为非法报文；或者，

若所述镜像报文中包括的URL链接为预设的禁止***，则确定所述镜像报文为非法报文。

8.根据权利要求3至7中任一项所述的***，其特征在于，若所述镜像报文为合法报文，则对应于所述镜像报文的所述原始通信报文沿第三路径发送至所述内容提供服务器，其中，所述原始通信报文沿所述第三路径传输过程中依次经过客户端、通信网络、镜像处理设备、第二数据交换设备、网关设备、第二数据交换设备、通信网络、第一数据交换设备、内容提供服务器。

9.一种通信连接的阻断方法，其特征在于，应用于阻断设备，包括：

接收与客户端产生的原始通信报文对应的镜像报文；

若所述镜像报文为非法报文，则根据所述镜像报文中的收发方标识，以及收发方标识和网络标识之间的预设对应关系，确定内容提供服务器对应的网络标识；生成包含所述网络标识的第一阻断报文，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作；

发送所述第一阻断报文至内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接。

10.根据权利要求9所述的方法，其特征在于，所述发送所述阻断报文至内容提供服务器，包括：

按照第一路径将所述第一阻断报文发送至所述内容提供服务器，其中，所述第一阻断报文沿所述第一路径传输过程中依次经过阻断设备、通信网络、第一数据交换设备、内容提供服务器。

11.根据权利要求10所述的方法，其特征在于，所述方法还包括：

若所述镜像报文为非法报文，则根据所述镜像报文中包括的收发送方标识生成第二阻断报文；

发送所述第二阻断报文至网关设备，以使所述网关设备对所述第二阻断报文进行封装后得到第三阻断报文，所述内容提供服务器接收到所述第三阻断报文后断开与所述客户端之间的通信连接，其中，所述第三阻断报文按照第二路径将所述阻断报文发送至所述内容提供服务器，所述第三阻断报文沿所述第二路径传输过程中依次经过网关设备、第二数据交换设备、镜像处理设备、通信网络、第一数据交换设备、内容提供服务器。

12.根据权利要求11所述的方法，其特征在于，所述方法还包括：

接收预设时间段内，历史原始通信报文和历史封装报文各自对应的镜像报文，其中，所述历史原始通信报文对应的镜像报文中包括收发方标识，所述历史封装报文对应的镜像报文中包括所述收发方标识和网络标识；

建立具有相同收发方标识的历史原始通信报文对应的镜像报文和历史封装报文对应的镜像报文之间的关联关系；

根据所述关联关系确定收发方标识和网络标识之间的所述预设对应关系；

所述根据所述网络标识生成第一阻断报文，包括：

根据所述预设对应关系确定所述内容提供服务器对应的网络标识；

根据所述网络标识生成所述第一阻断报文。

13.根据权利要求12所述的方法，其特征在于，所述方法还包括：

根据所述镜像报文中包括的收发方标识和URL链接中的至少一种，确定所述镜像报文是否是非法报文。

14.根据权利要求13所述的方法，其特征在于，所述收发方标识具体包括发送方标识和接收方标识；

所述根据所述镜像报文中包括的收发方标识和URL链接中的至少一种，确定所述镜像报文是否是非法报文，包括：

若所述镜像报文中包括的发送方标识和接收方标识满足预设的禁止连接关系，则确定所述镜像报文为非法报文；或者，

若所述镜像报文中包括的URL链接为预设的禁止***，则确定所述镜像报文为非法报文。

15.一种通信连接的阻断装置，其特征在于，包括：

接收模块，用于接收与客户端产生的原始通信报文对应的镜像报文；

第一确定模块，用于若所述镜像报文为非法报文，则根据所述镜像报文中的收发方标识，以及收发方标识和网络标识之间的预设对应关系，确定内容提供服务器对应的网络标识，其中，所述非法报文对应于用户通过所述客户端触发的非法访问操作；

生成模块，用于生成包含所述网络标识的第一阻断报文；

发送模块，用于发送所述第一阻断报文至内容提供服务器，以使所述内容提供服务器在接收到所述第一阻断报文后断开与所述客户端之间的通信连接。

16.一种电子设备，其特征在于，包括：存储器、处理器；其中，

所述存储器用于存储一条或多条计算机指令，其中，所述一条或多条计算机指令被所述处理器执行时实现如权利要求9至14中任一项所述的通信连接的阻断方法。

Images