CN113922982A - 登录方法、电子设备及计算机可读存储介质 - Google Patents

Abstract

本申请公开了一种登录方法、电子设备及计算机可读存储介质，通过登录管理服务器、业务服务器和VPN服务端之间的交互，使得用户只需要输入一次业务服务器的账号密码就能够同时登录VPN服务和业务服务器，简化登录过程，降低出错率，提高用户体验。

Description

登录方法、电子设备及计算机可读存储介质

技术领域

本申请涉及网络安全技术领域，特别涉及一种登录方法、电子设备及计算机可读存储介质。

背景技术

随着互联网技术的飞速发展，各个企业建立企业内部网络，利用企业内部网络部署多种业务***以提高办公效率。常见的业务***包括邮件***、办公自动化***(officeautomation，OA)等。

通常情况下，用户在公司办公时，若用户想要访问某个业务***，则输入该业务***的账号密码进行验证，验证通过后才能进行业务访问。然而，有时候用户出差、在家时需要办公。为了方便公网用户访问企业内部网络中的各个***的同时保证访问安全，虚拟专用网络(Virtual Private Network，VPN)应运而生，考虑到运营成本和服务专业度等因素，大部分企业会选择购买网络服务提供商的VPN服务来实现公网用户访问内网业务。

在该应用场景中，网络服务提供商为了识别用户合法性，会对用户身份进行验证，而内网中的业务***自身也需要对用户身份进行合法性验证。如此一来，如果企业用户通过公网访问内网中的各业务***，那么至少需要输入两次登录信息才能顺利访问，过程繁琐、容易出错，用户体验差。

发明内容

本申请通过提供一种登录方法、电子设备及计算机可读存储介质，可使得用户只需要输入一次登录业务服务器的账号密码就能够同时登录VPN服务和业务服务器，简化登录过程，降低出错率，提升用户体验。

第一方面，本申请实施例提供一种登录方法，应用于部署在公网中的登录管理服务器，所述方法包括：在确定用户为业务服务器的合法用户后，通过所述业务服务器获取所述用户的身份标识，所述登录管理服务器与所述业务服务器之间基于VPN网络进行通信；基于所述用户的身份标识确定所述用户是否为VPN服务的合法用户，以生成登录响应，所述登录响应用于指示所述用户是否通过所述终端设备的浏览器成功登录所述业务服务器和所述VPN服务；向所述终端设备发送所述登录响应。

在一实施中，所述在确定用户为业务服务器的合法用户后，通过所述业务服务器获取所述用户的身份标识，包括：接收所述用户通过所述浏览器发送的登录页面请求，所述登录页面请求用于请求登录所述业务服务器和所述VPN服务；向所述终端设备发送重定向响应，以使得所述浏览器根据所述重定向响应向所述业务服务器发送所述登录页面请求，并基于所述业务服务器反馈的登录页面提交登录信息，以供所述业务服务器确认所述用户是否合法；接收来自所述浏览器的携带登录成功参数的适配页面请求；向所述浏览器发送用于显示适配页面的数据流，以使得所述浏览器显示所述适配页面，并根据所述登录成功参数向所述业务服务器请求所述用户的身份标识。

在一实施中，所述基于所述用户的身份标识确定所述用户是否为VPN服务的合法用户以生成登录响应，包括：基于本地保存的合法用户信息对所述用户的身份标识进行验证，基于验证结果生成所述登录响应；或者，向部署在公网中的虚拟专用网络VPN服务端发送信任请求，所述信任请求携带所述用户的身份标识，所述VPN服务端用于提供所述VPN服务；接收来自所述VPN服务端的信任响应，根据所述信任响应生成所述登录响应。

在一实施中，所述向所述终端设备发送所述登录响应，包括：当所述信任响应携带针对所述用户的令牌时，向所述浏览器发送携带所述令牌、用于显示登录成功页的登录响应，所述令牌用于指示所述用户为所述VPN服务的合法用户。

第二方面，本申请实施例提供一种登录方法，应用于部署在公网中的虚拟专用网络VPN服务端，所述方法包括：接收来自部署在公网中的登录管理服务器的信任请求，所述信任请求携带用户的身份标识，所述信任请求是所述登录管理服务器确定所述用户为业务服务器的合法用户后发送的；基于所述身份标识对所述用户进行合法性验证，以得到合法性验证结果，所述合法性验证结果用于指示所述用户是否为所述VPN服务的合法用户；向所述登录管理服务器发送携带所述合法性验证结果的信任响应。

在一实施中，所述方法还包括：当所述合法性验证结果指示所述用户为所述VPN服务的合法用户时，针对所述用户生成令牌，并在所述信任响应中携带所述令牌。

在一实施中，所述向所述登录管理服务器发送携带所述合法性验证结果的信任响应之后，还包括：接收所述终端设备通过VPN客户端应用发送的鉴权请求，所述鉴权请求携带所述令牌；验证所述令牌是否合法以得到反馈结果，所述反馈结果用于指示所述用户是否通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务；向所述终端设备的应用程序VPN客户端应用发送所述反馈结果。

在一实施中，所述验证所述令牌是否合法以得到反馈结果，包括：验证所述令牌是否由所述VPN服务端生成，且所述令牌的状态是否正常；若所述令牌由所述VPN服务端生成且状态正常，则生成用于指示所述令牌合法的反馈结果；否则，生成用于指示所述令牌不合法的反馈结果。

在一实施中，所述向所述VPN客户端应用发送所述反馈结果之后，还包括：若所述反馈结果指示所述VPN客户端应用成功登录业务服务器和所述VPN服务，则与所述VPN客户端应用建立VPN隧道，以通过所述VPN隧道接收所述用户通过所述VPN客户端应用发送的业务请求。

第三方面，本申请实施例提供一种登录方法，应用于部署在内网中的业务服务器，所述方法包括：接收用户通过终端设备上的浏览器发送的登录页面请求，其中，所述登录页面请求是所述浏览器基于登录管理服务器发送的重定向响应生成并发出的；向所述终端设备发送用于显示登录页面的数据流；接收所述终端设备基于所述登录页面提交的登录信息；根据所述登录信息对所述用户进行合法性验证；若所述用户为所述业务服务器的合法用户，则向所述终端设备发送携带登录成功参数的重定向响应，所述重定向响应用于指示所述终端设备的浏览器向所述登录管理服务器发送携带所述登录成功参数的适配页面请求。

第四方面，本申请实施例提供一种登录方法，应用于终端设备，该方法包括：通过浏览器获取用于显示登录页面的数据流并显示所述登录页面，所述登录页面用于登录业务服务器和VPN服务；基于所述登录页面向所述业务服务器发送登录信息；接收来自所述业务服务器的、携带登录成功参数的重定向响应；通过所述浏览器向所述登录管理服务器发送携带所述登录成功参数的适配页面请求；接收来自所述登录管理服务器的用于显示适配页面的数据流并显示所述适配页面；接收来自所述登录管理服务器的登录响应，所述登录响应用于指示用户是否通过浏览器成功登录所述业务服务器和所述VPN服务。

第五方面，本申请实施例提供一种电子设备，包括：处理器、存储器及存储在所述存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时使得所述电子设备实现如上第一方面或第一方面各种可能的实现方式所述的方法；或者，所述处理器执行所述计算机程序时使得所述电子设备实现如上第二方面或第二方面各种可能的实现方式所述的方法；或者，所述处理器执行所述计算机程序时使得所述电子设备实现如上第三方面或第三方面各种可能的实现方式所述的方法；或者，所述处理器执行所述计算机程序时使得所述电子设备实现如上第四方面或第四方面各种可能的实现方式所述的方法。

第六方面，本申请实施例提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机指令，所述计算机指令在被处理器执行时用于实现如上第一方面或第一方面各种可能的实现方式所述的方法；或者，所述计算机指令在被处理器执行时用于实现如上第二方面或第二方面各种可能的实现方式所述的方法；或者，所述计算机指令在被处理器执行时用于实现如上第三方面或第三方面各种可能的实现方式所述的方法；或者，所述计算机指令在被处理器执行时用于实现如上第四方面或第四方面各种可能的实现方式所述的方法。

第七方面，本申请实施例提供一种包含计算程序的计算机程序产品，所述计算机程序被处理器执行时实现如上第一方面或第一方面各种可能的实现方式所述的方法；或者，所述计算机程序被处理器执行时实现如上第二方面或第二方面各种可能的实现方式所述的方法；或者，所述计算机程序被处理器执行时实现如上第三方面或第三方面各种可能的实现方式所述的方法；或者，所述计算机程序被处理器执行时实现如上第四方面或第四方面各种可能的实现方式所述的方法。

本申请实施例提供的登录方法、电子设备及计算机可读存储介质，登录管理服务器确定出用户为业务服务器的合法用户后，通过业务服务器获取用户的身份标识，向部署在公网中的VPN服务端发送携带身份标识的信任请求。VPN服务端根据身份标识对用户进行合法性验证并向登录管理服务器发送携带合法性验证结果的信任响应。登录管理服务器根据信任响应，向用户的终端设备发送登录响应，该登录响应用于指示用户是否通过浏览器成功登录业务服务器和VPN服务。采用该种方案，通过登录管理服务器、业务服务器和VPN服务端之间的交互，使得用户只需要输入一次登录业务服务器的账号密码就能够同时登录VPN服务和业务服务器，简化登录过程，降低出错率，提高用户体验。而且，登录信息为业务服务器独立管理，业务服务器无需将用户登录信息同步给VPN服务端，从而保证了客户内部数据的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的登录方法的一个实施环境示意图；

图2是本申请实施例提供的登录方法的流程图；

图3是本申请实施例提供的登录方法中终端设备的界面变化过程示意图；

图4是本申请实施例提供的登录方法中令牌的鉴定过程示意图；

图5是本申请实施例提供的登录方法的过程示意图；

图6为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

在现有技术中，特别是企业客户购买网络服务提供商的VPN服务的应用场景中，为了保证数据安全，VPN***和业务***各自单独管理自己的账号体系，如此，用户通过VPN客户端登录VPN服务之前，VPN***利用自带的用于用户身份认证的功能模块对用户进行身份认证。身份认证通过之后，用户才能使用VPN服务。其中，VPN客户端应用包括安卓(Android)客户端应用、IOS客户端应用、window PC客户端应用等。

公网中的用户登录VPN***后，通过VPN服务访问内网中的业务***时，业务***同样需要对用户身份进行合法性验证。

上述登录业务***的过程中，第一次输入登录信息用于VPN***的身份验证，第二次输入登录信息用于业务***的身份验证。以用户在公网中访问公司内网中的业务***为例，访问过程中，首先，输入VPN服务的账号、密码等认证信息登录VPN服务端。成功登录VPN服务后，进入公司的一些业务***的主页，在主页上选择要访问的业务***进行登录。比如，访问OA***，此时，又会跳出登录页面要求用户输入OA***的认证信息。

显然，上述登录方式过程繁琐、容易出错，用户体验差，不便于用户管理登录信息。

基于此，本申请实施例提供一种登录方法、电子设备及计算机可读存储介质，通过登录管理服务器对用户登录请求进行接收和处理，使得用户只需要输入一次业务服务器的登录信息就能够同时登录VPN服务和业务服务器，简化登录过程，降低出错率，提升用户体验。

图1是本申请实施例提供的登录方法的一个实施环境示意图。请参照图1，本实施环境包括：部署在公网中的登录管理服务器11、部署在公网中的虚拟专用网络(VirtualPrivate Network，VPN)服务端12、部署在内网(如客户局域网)中的业务服务器13和用户的终端设备14。其中，登录管理服务器11和VPN服务端12之间通过网络连接，登录管理服务器11和业务服务器13之间基于VPN网络进行通信。VPN服务端12至少为一个，VPN服务端12和业务服务器13之间通过网络连接。

在一些施例中，登录管理服务器11与业务服务器13之间、登录管理服务器11与VPN服务端12之间、以及VPN服务端12与业务服务器13之间基于VPN网络进行通信，以保证数据传输的安全性。在一些实施中，VPN网络可以基于软件定义广域网(Software Defined WideArea Network，SD-WAN)技术构建，VPN服务端12部署在SD-WAN网络中的网络服务提供点(point-of-presence，POP)节点服务器上。

请参照图1，登录管理服务器11是网络服务提供商部署在公网中的，用于对用户登录请求进行接收和处理的服务应用。VPN服务端12是网络服务提供商部署在公网中的、用于提供VPN服务的服务应用。在实际应用场景中，VPN服务端12的数量可以是很多的。其中，VPN服务可包含将用户的内网请求通过VPN隧道转发至所请求的内网服务器。

在一应用场景中，业务服务器13例如为单点登录(Single Sign-On，SSO)***的服务器等，即VPN客户已基于SSO服务对其业务服务实现了单点登录功能。当业务服务器13为SSO***的服务器时，用户输入一次SSO***的账号密码，就能够同时成功登录VPN服务和SSO***的服务器，进而能够基于SSO***的登录成功状态，直接访问已接入SSO***的业务***，如办公自动化(Office Automation，OA)***、邮件***、考勤***、绩效***等。

在另一应用场景中，业务服务器13可以是OA***的服务器、邮件***的服务器等。以OA***为例，用户输入一次OA***的账号密码，就能够同时登录VPN服务和OA***的服务器，进而能够访问OA***。

另外，若一个VPN客户给内网中的多个业务***购买了VPN服务，且尚未引入SSO***，则对于每一个业务***，用户输入一次该业务***的账号和密码，就能够同时登录VPN服务和业务服务器。登录管理服务器11确定用户为该业务***的合法用户后，在进一步验证该用户是否为VPN服务的合法用户时，向业务服务器13获取用户的身份标识，并可基于用户身份标识验证其是否为VPN服务的合法用户。在验证合法后，登录管理服务器11向VPN服务端12提供用户已登录的业务服务器的信息，使得VPN服务端基于接收到的业务服务器信息确定是否要为用户请求提供VPN服务。

终端设备14例如为安装有安卓操作***、微软操作***、塞班操作***、Linux操作***或苹果iOS操作***的手机、平板电脑、个人电脑等电子设备。终端设备14上安装有浏览器和VPN客户端应用，如安卓(Android)客户端应用、IOS客户端应用或window PC客户端应用等。

图2是本申请实施例提供的登录方法的流程图。本实施例是从登录管理服务器、VPN服务端、业务服务器和终端设备交互的角度进行说明。本实施例包括：

201、登录管理服务器确定用户为业务服务器的合法用户。

202、登录管理服务器通过业务服务器获取所述用户的身份标识，登录管理服务器与所述业务服务器之间基于VPN网络进行通信。

值得说明的是，本申请实施例所提供的登录方法可适用于用户通过VPN客户端应用登录的场景，具体可参照图3所示；也可适用于用户直接基于浏览器登录的场景，即用户可直接通过浏览器访问登录页面。

图3是本申请实施例提供的登录方法中终端设备的界面变化过程示意图。请参照图3，用户点击电子设备桌面上的VPN客户端应用后，打开VPN客户端应用。VPN客户端应用的用户界面上显示联合登录和普通登录两个按钮，普通登录方式为至少输入两次登录信息的登录方式，联合登录方式为本申请实施例提供的登录方式。

用户点击联合登录按钮，从而选中本申请实施例提供的登录方式。之后，VPN客户端应用自动调起浏览器。终端设备通过浏览器向登录管理服务器请求登录页面。登录管理服务器基于向浏览器回复302跳转等方式，将浏览器重定向到业务服务器，使得浏览器从业务服务器获取用于显示登录页面的数据流并显示登录页面。

可以理解的是，在用户直接通过浏览器登录的场景下，可直接在浏览器中输入登录管理服务器的访问地址，登录管理服务器在接收到访问请求后，通过向用户浏览器回复302响应等方式，将浏览器重定向到业务服务器。

值得注意的是，由于业务服务器部署在内网中，而用户浏览器需要向业务服务器请求登录页面，那么业务服务器就需要提供公网IP，在本申请所提供的实施里中，为了保证内网业务服务器的安全，可预先对业务服务器进行设置，使其仅对向公网IP发送的登录页面请求进行响应，其他请求则拒绝响应。更进一步的，登录管理服务器在向浏览器发送重定向请求时，可携带一动态生成的验证参数，以供业务服务器进行验证识别，验证通过则对请求进行响应，否则丢弃。

浏览器显示登录页面后，用户在登录页面通过语音、触摸等方式输入登录信息并发送给业务服务器。登录信息包括登录账号、密码等，还可以包括验证码、企业标识等。其中，登录账号和密码由业务服务器独立维护，一般来说，该登录账号和密码是用户在首次登录业务服务器时注册生成的，对于企业用户而言，登录账号也可以是企业为员工分配好的。

业务服务器可在用户注册过程中收集并存储合法用户的登录信息(验证码除外)以及身份标识等相关信息，用户的相关信息也可以是由企业统一管理，并下发给业务服务器。身份标识为企业用于标识用户身份的信息，例如为用户手机号码、身份证号码、工号等，具体形式可根据企业客户的实际情况设置，本发明并不一次为限。

当用户通过浏览器请求登录业务服务器和VPN服务时，登录管理服务器将浏览器重定向到业务服务器，由业务服务器为向用户浏览器提供登录页面。之后，用户在登录页面输入账号密码等登录信息并提交，业务服务器根据用户提交的登录信息验证用户是否为合法用户并反馈给终端设备，同时，将浏览器重定向到登录管理服务器。之后，浏览器向登录管理服务器上报用户是否为业务服务器的合法用户。

具体而言，业务服务器确定用户是否为业务服务器的合法用户的过程中，基于存储的合法用户信息与用户登录时提交的登录信息进行比对，若存储的信息中存在用户提交的登录信息，则确定用户为业务服务器的合法用户。另外，业务服务器还可以对用户提交的验证码进行验证，以进一步保证操作者的合法性。

若用户为业务服务器的合法用户，则业务服务器通过向浏览器回复302响应等方式，将浏览器重定向到登录管理服务器服务器，并在302响应报文中携带登录成功参数。浏览器基于302响应报文向登录管理服务器发送携带登录成功参数的适配页面请求。登录管理服务器根据登录成功参数向业务服务器获取用户的身份标识，在一实施中，登录成功参数中包含业务服务器信息以及用户登录标识，其中，业务服务器信息用于指示对用户进行合法性验证的业务服务器的地址，如内网IP，用户登录标识为业务服务器根据本次登录记录生成的唯一标识，登录管理服务器在接收到登录成功参数后，可对其进行解析，以获取业务服务器信息以及用户登录标识，并基于VPN网络向业务服务器信息指向的业务服务器请求用户登录标识对应的用户的身份标识，业务服务器接收到来自登录管理服务器的请求时，可基于用户登录标识确定出用户的身份标识，并经由VPN网络发送给登录管理服务器，基于此，登录管理服务器与业务服务器之间的数据交互基于VPN网络进行传输，可保证数据传输安全，防止信息泄露，可保证企业客户的用户信息安全。

若用户不是业务服务器的合法用户，则业务服务器触发浏览器弹出提示信息以提示用户登录失败、无法通过联合登录方式登录等。

需要说明的是，虽然上述图3中，VPN客户端应用的用户界面上同时显示联合登录和普通登录两个按钮。然而，本申请实施例并不限制，其他可行的实现方式中，VPN客户端应用的用户界面上只显示联合登录按钮，即VPN客户端应用只提供本申请实施例所述的登录方法。此时，用户点击电子设备桌面上的VPN客户端应用并请求登录后，VPN客户端应用调起浏览器向登录管理服务器请求登录页。无需用户选择联合登录方式。

203、基于所述用户的身份标识确定所述用户是否为VPN服务的合法用户，以生成登录响应，所述登录响应用于指示所述用户是否通过所述终端设备的浏览器成功登录所述业务服务器和所述VPN服务。

示例性的，当登录管理服务器确定出用户为业务服务器的合法用户后，与业务服务器交互以获得用户的身份标识。之后，登录管理服务器基于用户的身份标识确定用户是否为VPN服务的合法用户，或者，登录管理服务器将用户的身份标识发送给为用户提供VPN服务的VPN服务端，由VPN服务端确定用户是否为VPN服务的合法用户。

204、登录管理服务器向所述用户的终端设备发送所述登录响应。

示例性的，若用户为VPN服务的合法用户，则登录响应为用于生成登录成功页的数据流，登录响应用于指示所述用户通过浏览器成功登录所述业务服务器和所述VPN服务。若用户不是VPN服务的合法用户，则登录响应为用于生成登录失败页的数据流，登录响应用于指示所述用户未能通过浏览器成功登录业务服务器和所述VPN服务。

若登录成功，则表示用户能够通过VPN服务访问业务服务器。

本申请实施例提供的登录方法，登录管理服务器确定出用户为业务服务器的合法用户后，通过业务服务器获取用户的身份标识，基于用户的身份标识确定用户是否为VPN服务的合法用户，以生成登录响应并发送给终端设备。该登录响应用于指示用户是否通过浏览器成功登录业务服务器和VPN服务。

采用该种方案，通过登录管理服务器、业务服务器和VPN服务端之间的交互，使得用户只需要输入一次业务服务器的登录信息就能够同时登录VPN服务和业务服务器，简化登录过程，降低出错率，提高用户体验。而且，登录信息为业务服务器独立管理，业务服务器无需将用户登录信息同步给VPN服务端，从而保证了客户内部数据的安全性。登录管理服务器或VPN服务端可直接基于用户身份标识对用户合法性进行验证，无需再单独维护一套用户登录账号，减轻了处理压力。

可选的，上述图2步骤203中，登录管理服务器根据合法用户信息对所述用户的身份标识进行验证，基于验证结果生成所述登录响应。

具体而言，合法用户信息可以是购买VPN服务的企业客户向VPN服务提供商(即网络服务提供商)预先提供的，VPN服务提供商可将其保存在自身的服务器上，例如可以是登录管理服务器、VPN服务端或其他用于管理合法用户信息的服务器或集群上。合法用户信息可包含用户身份标识以及访问权限等相关信息，其中，访问权限是指用户访问VPN服务的权限，可以理解的是，当合法用户信息发生变化时，企业客户可将变化信息提供给VPN服务提供商，以对保存的进行更新。

基于此，当合法用户信息保存在登录管理服务器上时，登录管理服务器即可基于本地保存的用户合法信息对从业务服务器获取到的用户身份标识进行验证，以确定该用户身份标识对应的用户是否有访问VPN服务的权限。

在另一实施中，登录管理服务器还可以通过向保存有合法用户信息的其他服务器发送用户身份标识以请求验证用户是否有访问VPN服务的权限。

在一个示例中，登录管理服务器确定出用户为业务服务器的合法用户并通过业务服务器获取到用户的身份标识后，将身份标识携带在信任请求中发送给VPN服务端。VPN服务端接收到信任请求后，将信任请求中的身份标识和本地存储的合法用户信息进行比对，若合法用户信息中存在该身份标识，则确定用户为VPN服务的合法用户；若存储的合法用户信息中不存在身份标识，则确定用户不是VPN服务的合法用户。

值得注意的是，为了保证数据传输的安全性，登录管理服务器发送的信任请求需基于VPN网络进行传输，该VPN网络部署在VPN服务端与登录管理服务器之间。而且，登录管理服务器可基于与VPN服务端预先协商好的加密方式对信任请求中携带的用户身份标识进行加密，以进一步防止用户信息的外泄。相应的，VPN服务端在接收到加密的用户身份标识时，需先对其进行解密。

可选的，上述实施例中，所述登录响应用于指示用户是否通过浏览器成功登录所述业务服务器和所述VPN服务，由于浏览器和VPN客户端应用是两个不同的程序，为了提高安全性，在用户通过VPN客户端应用登录的场景中，需进一步完成VPN客户端应用侧的登录验证。为此，登录管理服务器或VPN服务端在确定用户为VPN服务的合法用户后可生成一个令牌，用于图4所示的验证流程认证。

示例性的，请参照图4，图4是本申请实施例提供的登录方法中令牌的鉴定过程示意图。本实施例包括：

401、VPN服务端接收来自登录管理服务器的信任请求。其中，信任请求携带用户的身份标识。

402、VPN服务端基于身份标识对用户进行合法性验证，以得到合法性验证结果。该合法性验证结果用于指示所述用户是否为所述VPN服务的合法用户。

403、VPN服务端针对用户生成令牌。

示例性的，VPN服务端发现用户为VPN服务的合法用户后，针对该用户生成一个令牌(token)，令牌用于验证VPN客户端应用的合法性。

404、VPN服务端向登录管理服务器发送携带令牌的信任响应。

405、登录管理服务器向终端设备发送携带令牌的登录响应。

示例性的，登录管理服务器将令牌携带在登录响应中发送给终端设备的浏览器。

406、终端设备的浏览器显示登录成功页。

407、终端设备的浏览器利用所述登录成功页激活所述VPN客户端应用，并将所述令牌发送给所述VPN客户端应用。

本申请实施例中，浏览器通过登录成功页中的运行脚本等方式激活VPN客户端应用。例如，终端设备通过浏览器显示登录成功页，显示预设时长后，自动运行登录成功页中的脚本从而激活VPN客户端，其中，预设时长比如是3秒、4秒等，本申请实施例并不限制。

再如，终端设备通过浏览器显示登录成功页，用户点击登录成功页上的关闭按钮触发脚本运行，从而激活VPN客户端。

408、VPN客户端应用向提供所述VPN服务的VPN服务端发送携带所述令牌的鉴权请求。

示例性的，提供VPN服务的VPN服务端的地址信息可预先配置在VPN客户端应用中，VPN客户端应用被浏览器激活后，将基于接收到的令牌自动向VPN服务发送鉴权请求。在另一示例中，VPN服务端的地址可以是由登录管理服务器基于就近原则或负载均衡策略选择并下发给用户的。

409、VPN服务端验证所述鉴权请求以得到反馈结果。

示例性的，VPN服务端自身对鉴权请求携带的令牌进行验证。

例如，VPN服务端生成令牌并保存该令牌。当VPN服务端接收到VPN客户端应用向VPN服务端发送的鉴权请求时，VPN服务端基于存储的令牌，对鉴权请求携带的令牌进行验证以得到反馈结果。其中，所述反馈结果用于指示所述用户是否通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务。

图4所示的实施例中，由VPN服务端对用户的合法性进行验证，在由登录管理服务器直接对用户合法性验证的实施例中，生成令牌的操作也可由登录管理服务器完成，当登录管理服务器生成令牌后一方面会将令牌以上述相同的方式传递给用户的VPN客户端应用，另一方面，会将令牌发送给VPN服务端，使得VPN服务端在接收到VPN客户端应有的令牌验证请求时对其进行验证，在该实施例中，用户的合法性验证、令牌的生成与传递均由登录管理服务器统一实现，VPN服务端仅需根据接收到的令牌对VPN客户端应用进行验证即可，从而减轻VPN服务端的处理压力，保证了VPN服务的处理资源。

另外，鉴权请求中很有可能并未携带令牌，此时，VPN服务端直接确定VPN客户端应用非法，即用户未能通过VPN应用成功登录业务服务器和VPN服务。

采用该种方案，通过VPN服务端对鉴权请求携带的令牌进行验证，可保证VPN客户端应用的合法性，从而完成用户通过VPN客户端应用的登录过程。

可选的，上述实施例中，登录管理服务器或VPN服务端生成令牌后，可基于有效期或其他信息设置令牌的状态并存储该令牌。比如，令牌已过期，则将令牌设置为失效状态、VPN服务端接收到VPN客户端应用发送的用户已失效的通知，则将令牌设置为失效状态；再如，用户所在公司购买的VPN服务已到期，则将令牌设置为失效状态。以下将VPN服务端生成并存储的令牌称之为第一令牌。

之后，VPN客户端应用向VPN服务端发送携带令牌的鉴权请求，VPN服务端根据之前生成并存储的令牌对鉴权请求携带的令牌进行验证。以下，将之前生成并存储的令牌称之为第一令牌，将鉴权请求中携带的令牌称之为第二令牌。若VPN服务端从存储的多个第一令牌中确定出与第二令牌相同的令牌，则确定第二令牌为VPN服务端生成的令牌，并进一步判断第二令牌的状态是否正常。若第二令牌状态正常，VPN服务端生成用于指示第二令牌合法的反馈结果。若第二令牌不是VPN服务端生成或状态异常，如已失效，则VPN服务端生成用于指示第二令牌不合法的反馈结果。

采用该种方案，通过进一步验证令牌的状态是否正常，可实现实时、准确的验证令牌的合法性的目的。

410、VPN服务端向所述终端设备的VPN客户端应用发送所述反馈结果。

VPN服务端基于反馈结果确定是否为该VPN客户端应用提供VPN服务。具体而言，若反馈结果指示用户通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务，则执行步骤411。

411、VPN服务端与所述VPN客户端应用建立VPN隧道。

VPN服务端对VPN客户端应用发出的VPN隧道建立请求进行正常响应，以建立VPN客户端应用与VPN服务端之间的VPN隧道，该VPN隧道将用于传输用户通过VPN客户端应用发出的针对业务服务器的业务请求；或者，VPN隧道将用于传输用户通过VPN客户端应用向接入业务服务器的其他业务服务器发送的业务请求，VPN服务端从VPN隧道接收到业务请求后，可基于VPN网络将业务请求发送至所述业务服务器。

可以理解的是，在业务服务器为SSO***服务器的场景下，用户针对业务服务器发出的业务请求包含用户针对接入SSO***服务器的所有业务发出的业务请求。

若反馈结果指示用户并未通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务，则VPN服务端将拒绝与VPN客户端应用建立VPN隧道，从而拒绝接收用户的内网访问请求。同时，终端设备的VPN客户端应用弹出提示信息以提示用户登录失败，并拒绝与VPN客户端应用建立VPN隧道。

上述实施例中，用户通过浏览器成功登录业务服务器和VPN服务后，调起VPN客户端应用，并基于令牌确认VPN客户端应用的合法性，从而确定用户是否通过VPN客户端端应用成功登录业务服务器和VPN服务，整个操作过程中，VPN客户端应用与浏览器之间的切换均为自动实现的，无需用户手动切换，对于用户来说操作简单，体验度好，且用户只需输入一次登录信息即可通过VPN客户端应用登录VPN服务和业务服务器。

以下将结合图5对基于VPN客户端应用实现登录的完整过程进行示例说明。

图5是本申请实施例提供的登录方法的过程示意图。请参照图5，本实施例包括：

501、终端设备识别出用户在VPN客户端应用上的点击操作，确定用户选中联合登录方式。

示例性的，用户打开终端设备桌面上的VPN客户端应用，在VPN客户端应用的用户界面上点击以选中联合登录方式。具体可参见图3的描述，此处不再赘述。

502、终端设备弹出浏览器。

示例性的，VPN客户端应用响应于用户选择的联合登录方式操作，自动调起浏览器，指定其访问登录管理服务器，登录管理服务器部署在公网中。

503、浏览器向登录管理服务器发送登录页面请求，所述登录页面请求用于请求登录业务服务器和VPN服务。

504、浏览器接收来自所述登录管理服务器的重定向响应。

示例性的，登录管理服务器基于向浏览器回复http 302跳转等方式，向浏览器发送重定向响应，从而向浏览器提供业务服务器的访问地址，以将浏览器重定向到业务服务器。

505、浏览器根据所述重定向响应向所述业务服务器发送所述登录页面请求。示例性的，浏览器基于接收到的302跳转，即上述的重定向响应，向业务服务器发送登录页面请求。

506、浏览器接收来自所述业务服务器的、用于显示登录页面的数据流并显示所述登录页面。

示例性的，业务服务器接收到登录页面请求后向浏览器反馈数据流。浏览器接收到数据流后，渲染并显示登录页面。

507、浏览器获取用户在登录页面输入的登录信息。

示例性的，用户在登录页面输入账号、密码、企业标识、验证码等登录信息。

508、浏览器向业务服务器提交登录信息。

509、业务服务器根据登录信息对用户进行合法性验证。

示例性的，若用户是业务服务器的合法用户，则执行步骤510；若用户不是业务服务器的合法用户，则业务服务器触发浏览器显示提示信息，以提示用户登录失败。

510、业务服务器向浏览器发送携带登录成功参数的重定向响应。

示例性的，若用户是业务服务器的合法用户，业务服务器向浏览器发送302跳转，即携带登录成功参数的重定向响应，从而将浏览器重定向到登录管理服务器。

511、浏览器向所述登录管理服务器发送携带所述登录成功参数的适配页面请求。

浏览器接收到步骤510中的302跳转后，携带接收到登录成功参数向登录管理服务器发送适配页面请求。登录成功参数包含业务服务器根据本次用户登录生成的用户登录标识，用于唯一识别用户登录记录。

512、浏览器接收来自所述登录管理服务器的用于显示适配页面的数据流并显示所述适配页面。

示例性的，浏览器显示“认证中”等。

513、登录管理服务器向业务服务器获取用户的身份标识。

示例性的，登录管理服务器根据登录成功参数从业务服务器获取用户的身份标识，身份标识包含用户名等。

514、针对业务服务器的合法用户，登录管理服务器和VPN服务端进行互信认证。

示例性的，登录管理服务器从业务服务器获取到用户的身份标识后，认为用户是业务服务器的合法用户，但是无法确定用户是否为VPN服务的合法用户。因此，对于业务服务器的合法用户，登录管理服务器进一步和VPN服务端进行互信认证，以确定用户是否为VPN服务的合法用户。

VPN服务端根据用户的身份标识对用户进行合法性验证。若用户具有VPN权限，即用户是VPN服务的合法用户，则VPN服务端执行步骤515生成token。若用户不具有VPN权限，则VPN服务端向登录管理服务器发送提示信息，登录管理服务器将该提示信息发送给终端设备由终端设备显示，从而提示用户登录失败。

515、VPN服务端针对用户生成令牌并向登录管理服务器发送携带令牌的信任响应，该令牌用于对所述终端设备的VPN客户端应用进行合法性验证。

示例性的，VPN服务端针对本次用户登录生成一个token，并携带在信任响应中传递给登录管理服务器。

VPN服务端基于用户的身份标识等生成令牌，令牌例如为根据用户身份标识生成的字符串。更进一步地，VPN服务端针对每个令牌设定一个有效时长，令牌仅在有效时长内有效，以避免因令牌丢失而引起的安全问题。

516、登录管理服务器向浏览器发送携带令牌的登录响应。

517、浏览器基于所述登录成功页激活所述VPN客户端应用。

浏览器显示登录成功页后，通过运行页面中的脚本激活VPN客户端应，其中，登录成功页中的脚本通过浏览器内置方法调起VPN客户端应用并带上令牌，从而将令牌传递给VPN客户端应用。其中，浏览器内置方法示例如下：appName://truthLogin？Token＝123456。

518、VPN客户端应用向提供VPN服务的VPN服务端发送携带令牌的鉴权请求。

示例性的，VPN客户端应用被激活后，接收到浏览器传递的令牌，自动将令牌携带在鉴权请求中发送给VPN服务端。

VPN服务端接收到鉴权请求后，VPN服务端对令牌进行有效性验证得到反馈结果，以确定VPN客户端应用是否合法。

519、VPN服务端向VPN客户端应用发送该反馈结果，以完成登录。若反馈结果指示VPN客户端应用成功登录业务服务器和VPN服务，则VPN客户端应用可显示登录成功信息，并展示业务服务访问界面，供用户操作；若反馈结果指示登录失败，则VPN客户端应用向用户展示登录失败信息，并拒绝用户针对业务访问界面的请求或操作。

图6为本申请实施例提供的一种电子设备的结构示意图。如图6所示，该电子设备600例如为上述的登录管理服务器、VPN认证端、VPN服务端、业务服务器或终端设备中的一种，该电子设备600包括：

处理器601和存储器602；

所述存储器602存储计算机指令；

所述处理器601执行所述存储器602存储的计算机指令，使得所述处理器601执行如上登录管理服务器、VPN认证端、VPN服务端、业务服务器或终端设备实现的登录方法。

处理器601的具体实现过程可参见上述方法实施例，其实现原理和技术效果类似，本实施例此处不再赘述。

可选地，该电子设备600还包括通信部件603。其中，处理器601、存储器602以及通信部件603可以通过总线604连接。

本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机指令，所述计算机指令被处理器执行时用于实现如上登录管理服务器、VPN认证端、VPN服务端、业务服务器或终端设备实现的登录方法。

本申请实施例还提供一种计算机程序产品，该计算机程序产品包含计算机程序，计算机程序被处理器执行时实现如上登录管理服务器、VPN认证端、VPN服务端、业务服务器或终端设备实现的登录方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本申请的其它实施方案。本申请旨在涵盖本申请的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本申请的一般性原理并包括本申请未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本申请的真正范围和精神由下面的权利要求书指出。

应当理解的是，本申请并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本申请的范围仅由所附的权利要求书来限制。

Claims (16)

1.一种登录方法，其特征在于，应用于部署在公网中的登录管理服务器，所述方法包括：

在确定用户为业务服务器的合法用户后，通过所述业务服务器获取所述用户的身份标识，所述登录管理服务器与所述业务服务器之间基于VPN网络进行通信；

基于所述用户的身份标识确定所述用户是否为VPN服务的合法用户，以生成登录响应，所述登录响应用于指示所述用户是否通过终端设备的浏览器成功登录所述业务服务器和所述VPN服务；

向所述终端设备发送所述登录响应。

2.根据权利要求1所述的方法，其特征在于，所述在确定用户为业务服务器的合法用户后，通过所述业务服务器获取所述用户的身份标识，包括：

接收所述用户通过所述浏览器发送的登录页面请求，所述登录页面请求用于请求登录所述业务服务器和所述VPN服务；

向所述终端设备发送重定向响应，以使得所述浏览器根据所述重定向响应向所述业务服务器发送所述登录页面请求，并基于所述业务服务器反馈的登录页面提交登录信息，以供所述业务服务器确认所述用户是否合法；

接收来自所述浏览器的携带登录成功参数的适配页面请求；

向所述浏览器发送用于显示适配页面的数据流，以使得所述浏览器显示所述适配页面，并根据所述登录成功参数向所述业务服务器请求所述用户的身份标识。

3.根据权利要求1所述的方法，其特征在于，所述基于所述用户的身份标识确定所述用户是否为VPN服务的合法用户以生成登录响应，包括：

基于本地保存的合法用户信息对所述用户的身份标识进行验证，基于验证结果生成所述登录响应；或者，

向部署在公网中的虚拟专用网络VPN服务端发送信任请求，所述信任请求携带所述用户的身份标识，所述VPN服务端用于提供所述VPN服务；接收来自所述VPN服务端的信任响应，根据所述信任响应生成所述登录响应。

4.根据权利要求3所述的方法，其特征在于，所述向所述终端设备发送所述登录响应，包括：

当所述信任响应携带针对所述用户的令牌时，向所述浏览器发送携带所述令牌、用于显示登录成功页的登录响应，所述令牌用于指示所述用户为所述VPN服务的合法用户。

5.一种登录方法，其特征在于，应用于部署在公网中的虚拟专用网络VPN服务端，所述方法包括：

接收来自部署在公网中的登录管理服务器的信任请求，所述信任请求携带用户的身份标识，所述信任请求是所述登录管理服务器确定所述用户为业务服务器的合法用户后发送的；

基于所述身份标识对所述用户进行合法性验证，以得到合法性验证结果，所述合法性验证结果用于指示所述用户是否为所述VPN服务的合法用户；

向所述登录管理服务器发送携带所述合法性验证结果的信任响应。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

当所述合法性验证结果指示所述用户为所述VPN服务的合法用户时，针对所述用户生成令牌，并在所述信任响应中携带所述令牌。

7.根据权利要求6所述的方法，其特征在于，所述向所述登录管理服务器发送携带所述合法性验证结果的信任响应之后，还包括：

接收终端设备通过VPN客户端应用发送的鉴权请求，所述鉴权请求携带所述令牌；

验证所述令牌是否合法以得到反馈结果，所述反馈结果用于指示所述用户是否通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务；

向所述终端设备的应用程序VPN客户端应用发送所述反馈结果。

8.根据权利要求7所述的方法，其特征在于，所述验证所述令牌是否合法以得到反馈结果，包括：

验证所述令牌是否由所述VPN服务端生成，且所述令牌的状态是否正常；

若所述令牌由所述VPN服务端生成且状态正常，则生成用于指示所述令牌合法的反馈结果；

否则，生成用于指示所述令牌不合法的反馈结果。

9.根据权利要求7或8所述的方法，其特征在于，所述向所述VPN客户端应用发送所述反馈结果之后，还包括：

若所述反馈结果指示所述VPN客户端应用成功登录业务服务器和所述VPN服务，则与所述VPN客户端应用建立VPN隧道，以通过所述VPN隧道接收所述用户通过所述VPN客户端应用发送的业务请求。

10.一种登录方法，其特征在于，应用于部署在内网中的业务服务器，所述方法包括：

接收用户通过终端设备上的浏览器发送的登录页面请求，其中，所述登录页面请求是所述浏览器基于登录管理服务器发送的重定向响应生成并发出的；

向所述终端设备发送用于显示登录页面的数据流；

接收所述终端设备基于所述登录页面提交的登录信息；

根据所述登录信息对所述用户进行合法性验证；

若所述用户为所述业务服务器的合法用户，则向所述终端设备发送携带登录成功参数的重定向响应，所述重定向响应用于指示所述终端设备的浏览器向所述登录管理服务器发送携带所述登录成功参数的适配页面请求。

11.一种登录方法，其特征在于，应用于终端设备，所述方法包括：

通过浏览器获取用于显示登录页面的数据流并显示所述登录页面，所述登录页面用于登录业务服务器和VPN服务；

基于所述登录页面向所述业务服务器发送登录信息；

接收来自所述业务服务器的、携带登录成功参数的重定向响应；

通过所述浏览器向所述登录管理服务器发送携带所述登录成功参数的适配页面请求；

接收来自所述登录管理服务器的用于显示适配页面的数据流并显示所述适配页面；

接收来自所述登录管理服务器的登录响应，所述登录响应用于指示用户是否通过浏览器成功登录所述业务服务器和所述VPN服务。

12.根据权利要求11所述的方法，其特征在于，所述通过浏览器获取用于显示登录页面的数据流并显示所述登录页面，包括：

通过浏览器向登录管理服务器发送登录页面请求，所述登录页面请求用于请求登录业务服务器和VPN服务；

接收来自所述登录管理服务器的重定向响应；

根据所述重定向响应向所述业务服务器发送所述登录页面请求；

接收来自所述业务服务器的用于显示登录页面的数据流并显示所述登录页面。

13.根据权利要求11或12所述的方法，其特征在于，所述接收来自所述登录管理服务器的登录响应之后，还包括：

当所述登录响应携带令牌时，根据所述登录响应从所述适配页面切换到登录成功页，所述登录成功页携带所述令牌；

利用所述登录成功页激活应用程序VPN客户端应用；

利用所述VPN客户端应用向提供所述VPN服务的VPN服务端发送携带所述令牌的鉴权请求；

接收来自所述VPN服务端的反馈结果，所述反馈结果用于指示所述用户是否通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务。

14.根据权利要求13所述的方法，其特征在于，所述接收来自所述VPN服务端的反馈结果之后，还包括：

若所述反馈结果指示所述用户通过所述VPN客户端应用成功登录所述业务服务器和所述VPN服务，则通过所述VPN客户端应用请求与所述VPN服务端建立VPN隧道；

通过所述VPN隧道向所述VPN服务端发送业务请求。

15.一种电子设备，包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时使得所述电子设备实现如权利要求1至14任一所述的方法。

16.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至14任一所述的方法。

Images