CN114143056A - 一种终端访问方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明公开了一种终端访问方法、装置、电子设备及存储介质。该方法包括：通过客户端网关接收终端发送的访问请求；验证客户端网关是否可信；在客户端网关可信时，根据访问请求确定服务端网关；向服务端网关发送访问请求和客户端网关的地址信息，以使得服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求，链路建立请求用于请求客户端网关与服务端网关建立通信链路。本发明实施例解决了服务端处于开放状态的端口通信安全性问题，可以根据验证服务器对客户端网关和服务端网关可信验证，将可信的客户端网关和服务端网关之间建立通信链路，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

Description

一种终端访问方法、装置、电子设备及存储介质

技术领域

本发明实施例涉及计算机技术，尤其涉及一种终端访问方法、装置、电子设备及存储介质。

背景技术

随着计算技术的发展，互联网与人类的生活方式和工作方式已经密不可分，大量信息通过网络传输的同时，互联网通信技术漏洞也会导致信息泄露，信息安全传输成为关注的焦点。目前使用网络协议保障信息在互联网上的安全传输，进行云端资源访问时，云端的资源端口处于开放状态，以便于终端根据访问请求获取对应的资源信息，但是一直处于开放状态的资源端口，极易受到恶性攻击和探测，无法保证云端资源的安全性。

发明内容

本发明提供一种终端访问方法、装置、电子设备及存储介质，以解决服务端网关处于开放状态的端口通信安全性问题，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

第一方面，本发明实施例提供了一种终端访问方法,应用于验证服务器，该方法包括：

通过客户端网关接收终端发送的访问请求；

验证所述客户端网关是否可信；

在所述客户端网关可信时，根据所述访问请求确定服务端网关；

向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

进一步的，在所述客户端网关可信时，根据所述访问请求确定服务端网关，包括：

根据在线通知确定各服务端网关的区域距离和负载状态；

根据所述各服务端网关的区域距离和负载状态确定所述各服务端网关对应的优先等级；

根据所述各服务端网关对应的优先等级和所述访问请求确定所述服务端网关。

进一步的，根据在线通知确定在线的所述各服务端网关的区域距离和负载状态，包括：

间隔预设时段接收所述各服务端网关发送的在线通知，所述在线通知包括所述服务端网关的区域地址和负载状态。

进一步的，所述验证所述客户端网关是否可信，包括：

确定已注册客户端网关信息中是否存在所述客户端网关的标识信息；

当所述已注册客户端网关信息中存在所述客户端网关的标识信息，确定所述客户端网关可信。

进一步的，通过客户端网关接收终端发送的访问请求之前，还包括：

启动所述验证服务器；

接收所述客户端网关发送的注册信息，基于所述客户端网关发送的注册信息对所述客户端网关进行验证，并在验证通过时，将所述客户端网关的标识信息添加至所述已注册客户端网关信息；以及接收所述服务端网关发送的注册信息，基于所述服务端网关发送的注册信息对所述服务端网关进行验证，并在验证通过时，将所述服务端网关的标识信息添加至已注册服务端网关信息。

第二方面，本发明实施例提供了一种终端访问装置，应用于验证服务器，该装置包括：

第一请求接收模块，用于通过客户端网关接收终端发送的访问请求；

第一可信验证模块，用于验证所述客户端网关是否可信；

网关确定模块，用于在所述客户端网关可信时，根据所述访问请求确定服务端网关；

信息发送模块，用于向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

第三方面，本发明实施例提供了一种终端访问方法，应用于客户端网关，

包括：

接收终端发送的访问请求，并向验证服务器发送所述访问请求；

接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；

验证所述服务端网关是否可信；

在所述服务端网关可信时，与所述服务端网关建立通信链路。

进一步的，所述验证所述服务端网关是否可信，包括：

确定从所述验证服务器中获取的已注册服务端网关信息中是否存在所述服务端网关的标识信息；

当所述已注册服务端网关信息中存在所述服务端网关的标识信息，确定所述服务端网关可信。

进一步的，所述验证所述服务端网关是否可信，包括：

向所述验证服务器发送所述服务端网关的标识信息，以使得所述验证服务器根据所述服务端网关的标识信息验证所述服务端网关是否可信，并接收所述验证服务器发送的可信验证消息，所述可信验证消息用于指示所述服务端网关是否可信。

第四方面，本发明实施例提供了一种终端访问装置，应用于客户端网关，该装置包括：

第二请求接收模块，用于接收终端发送的访问请求，并向验证服务器发送所述访问请求；

第三请求接收模块，用于接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；

第二可信验证模块，用于验证所述服务端网关是否可信；

链路建立模块，用于在所述服务端网关可信时，与所述服务端网关建立通信链路。

第五方面，本发明实施例提供了一种电子设备，该电子设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如所述的终端访问方法。

第六方面，本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如所述的终端访问方法。

本发明实施例中，可以通过客户端网关接收终端发送的访问请求；验证客户端网关是否可信；在客户端网关可信时，根据访问请求确定服务端网关；向服务端网关发送访问请求和客户端网关的地址信息，以使得服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求，链路建立请求用于请求客户端网关与服务端网关建立通信链路。本发明实施例解决了服务端处于开放状态的端口通信安全性问题，可以利用验证服务器验证建立链路前客户端网关和服务端网关的是否可信，保证建立通信链路的客户端网关和服务端网关身份的合法性，再将可信的客户端网关和服务端网关之间建立通信链路，没有经验证服务器建立客户端网关与服务端网关之间的通信链路，使得通信链路具有一定程度的隐蔽性，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

附图说明

图1是本发明实施例提供了终端访问方法的一个流程示意图；

图2是本发明实施例提供的终端访问方法的另一个流程示意图；

图3是本发明实施例提供了终端访问方法的另一个流程示意图；

图4是本发明实施例提供了终端访问装置的一个结构示意图；

图5是本发明实施例提供了终端访问装置的另一个结构示意图；

图6是本发明实施例提供了电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

图1为本发明实施例提供的终端访问方法的一个流程图。本实施例可适用于在终端进行服务端访问的场景下，客户端网关与服务端网关建立通信链路的情况，该方法可以由本发明实施例提供的终端访问装置来执行，该装置可采用软件和/或硬件的方式实现，并一般可集成在服务器中。如图1所示，本实施例的方法具体包括：

步骤110，通过客户端网关接收终端发送的访问请求；

示例地，访问请求可以理解为根用户侧的需求从终端发出的访问服务端数据的请求，其中，访问请求可以是由终端发送给客户端网关，客户端网关接收端终端的访问请求后转发给验证服务器。客户端网关可以是安装在用户侧的安全网关，也可以是安装在用户侧的用户认证网关，当客户端网关为用户侧的安全网关具有应用级过滤作用，根据需求设置的防止不安全因素侵入到验证服务器、服务端网关和服务端的数据资源；当客户端网关为用户的安全认证网关需要具有用户身份认证代理的功能，用于通过身份认证的方式验证终端身份，确认是否转发给验证服务器。终端可以理解为与计算***相连接的输入输出设备，用于发送根据用户需求生成的访问请求，同时也接收服务端返回的访问请求对应的服务端数据。

具体实现中，根据需求在终端生成访问请求发送给客户端网关，客户端网关确定是否根据设置需要过滤掉的访问请求，或者根据访问请求对终端进行身验证确认是否转发给验证服务器；当客户端网关确定访问请求不需要过滤掉，或终端身份验证通过需要将访问请求转发给验证服务器，验证服务器通过客户端网关接收终端发送的访问请求。

步骤120，验证所述客户端网关是否可信；

示例地，验证服务器可以理解为可以根据注册情况对客户端网关和服务端网关进行可信验证的计算机，根据存储的已注册客户端网关信息和已注册服务端网关信息对客户端网关和服务端网关进行可信验证。其中，验证服务器在开启状态下具备注册服务，可以根据客户端网关和服务端网关发送的身份验证消息确认合法性，将具备合法性的客户端网关的标识信息和服务端网关的标识信息对应存储至已注册客户端网关信息和已注册服务端网关信息，以便于根据已注册客户端网关信息和已注册服务端网关信息对客户端网关和服务端网关进行可信验证。

具体实现中，当客户端网关确定访问请求不需要过滤掉，或终端身份验证通过需要将访问请求转发给验证服务器，验证服务器通过客户端网关接收终端发送的访问请求。根据访问请求确定发送访问请求的客户端网关的标识信息，确定已注册客户端网关信息中是否存在该客户端网关的标识信息。如果已注册客户端网关信息中存在该客户端网关的标识信息，则说明客户端网关可信，通过了身份验证并在验证服务器中已注册。如果已注册客户端网关信息中不存在该客户端网关的标识信息，则说明客户端网关不可信，未通过身份验证，也未在验证服务器中注册。

步骤130，在所述客户端网关可信时，根据所述访问请求确定服务端网关；

示例地，服务端网关用于接收验证服务器发送的访问请求转发给服务端，具备网络应用安全防御和管控能力，其中，服务端网关可以是安全网关，也可以是统一威胁管理(Unified Threat Management，UTM)，都具有防病毒处理能力，通过双向的过滤扫描处理协议流量，达到对服务器的保护；当服务端网关为服务侧的安全网关具有应用级过滤作用，根据需求设置的防止不安全因素侵入服务端的数据资源。

具体实现中，如果已注册客户端网关信息中不存在该客户端网关的标识信息，则说明客户端网关不可信，未通过身份验证，也未在验证服务器中注册。根据访问请求确定服务端网关可以是根据访问请求确定已注册服务端网关信息中可以提供给访问请求对应的数据资源的服务端网关；也可以是根据服务端网关的性能确定已注册服务端网关信息中访问请求优选的服务端网关；还可以是根据已注册服务端网关信息中各服务端网关的区域距离和负载状态确定访问请求优选的服务端网关，以便于达到提高访问速度，快速获取数据资源的目的。

步骤140，向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

示例地，客户端网关的地址信息可以理解为客户端网关在网络中的访问信息，作为网络中其他网关或者设备对客户端网关进行访问的访问地址，用于指示在网络中客户端网关设备的位置或根据实际需求生成访问连接，客户端网关的地址信息包括客户端网关的内存地址、网络中的位置序号等。链路建立请求可以理解为服务端网关用于建立与客户端网关之间的其他设备未知的隐蔽通信链路的请求，其中，链路建立请求用于服务端网关与客户端网关在未经其他设备建立通信链路的请求，具有很强的隐蔽性。通信链路可以理解为服务端网关与客户端网关之间的传输信息的链路。

具体实现中，验证服务器在客户端网关可信时，根据访问请求确定服务端网关，并向服务端网关发送访问请求和客户端网关的地址信息，服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求。服务端网关根据客户端网关的地址信息将链路建立请求发送给客户端网关，客户端网关根据链路建立请求对服务端网关建立通信链路，以便于客户端网关接到终端的访问请求后，根据访问请求通过通信链路成功获取数据资源。

本发明实施例中，可以通过客户端网关接收终端发送的访问请求；验证客户端网关是否可信；在客户端网关可信时，根据访问请求确定服务端网关；向服务端网关发送访问请求和客户端网关的地址信息，以使得服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求，链路建立请求用于请求客户端网关与服务端网关建立通信链路。本发明实施例解决了服务端处于开放状态的端口通信安全性问题，可以利用验证服务器验证建立链路前客户端网关和服务端网关的是否可信，保证建立通信链路的客户端网关和服务端网关身份的合法性，再将可信的客户端网关和服务端网关之间建立通信链路，没有经验证服务器建立客户端网关与服务端网关之间的通信链路，使得通信链路具有一定程度的隐蔽性，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

下面进一步描述本发明实施例提供的终端访问方法，如图2所示，该方法具体可以包括如下步骤：

步骤210，通过客户端网关接收终端发送的访问请求；

进一步的，通过客户端网关接收终端发送的访问请求之前，还包括：

启动所述验证服务器；

接收所述客户端网关发送的注册信息，基于所述客户端网关发送的注册信息对所述客户端网关进行验证，并在验证通过时，将所述客户端网关的标识信息添加至所述已注册客户端网关信息；以及接收所述服务端网关发送的注册信息，基于所述服务端网关发送的注册信息对所述服务端网关进行验证，并在验证通过时，将所述服务端网关的标识信息添加至已注册服务端网关信息。

示例地，在通过客户端接收终端发送的访问请求的前提是验证服务器处于已启动状态，验证服务器允许客户端网关和服务端网关进行注册，并接收客户端网关和服务端网关发送的注册消息。

具体实现中，启动验证服务器，允许客户端网关和服务端网关进行注册；接收客户端网关发送的注册信息，验证服务器根据客户端网关发送的注册消息对客户端网关进行身份验证，确定客户端网关在网络中身份的安全性(即合法性)，如果客户端网关通过身份验证，则说明在网络中该客户端网关具备安全性，将客户端网关的标识信息添加至验证服务器中的已注册客户端网关信息；如果客户端网关未通过身份验证，则说明在网络中该客户端网关不具备安全性，则不能在验证服务器中进行注册。另外，如果验证服务器接收服务端网关发送的注册信息，验证服务器根据服务端网关发送的注册消息对服务端网关进行身份验证，确定服务端网关在网络中身份的安全性(即合法性)，如果服务端网关通过身份验证，则说明在网络中该服务端网关具备安全性，将服务端网关的标识信息添加至验证服务器中的已注册服务端网关信息；如果服务端网关未通过身份验证，则说明在网络中该服务端网关不具备安全性，则不能在验证服务器中进行注册。

步骤220，验证所述客户端网关是否可信；

进一步的，所述验证所述客户端网关是否可信，包括：

确定已注册客户端网关信息中是否存在所述客户端网关的标识信息；

当所述已注册客户端网关信息中存在所述客户端网关的标识信息，确定所述客户端网关可信。

示例地，客户端网关的标识信息可以理解为客户端网关在网络中的标识，用于区分网络中不同的客户端网关，可以是网关的IP地址(IP地址包括网络号和网关主机号)，也可以是网关名称和地址生成的唯一标识。已注册客户端网关信息可以理解为验证服务器中存储的确定身份的客户端网关的标识信息的集合。

具体实现中，根据访问请求确定发送访问请求的客户端网关的标识信息，确定已注册客户端网关信息中是否存在该客户端网关的标识信息。如果已注册客户端网关信息中存在该客户端网关的标识信息，则说明客户端网关可信，通过了身份验证并在验证服务器中已注册。如果已注册客户端网关信息中不存在该客户端网关的标识信息，则说明客户端网关不可信，未通过身份验证，也未在验证服务器中注册。

步骤230，根据在线通知确定各服务端网关的区域距离和负载状态；

示例地，在线通知可以理解为已注册的服务端网关处于在线状态发送给验证服务器，该在线通知根据实际需求设置在线通知包含的消息，比如服务端网关的区域地址和服务端网关的负载状态等。服务端网关的区域距离可以理解为根据发送访问请求的客户端网关区域地址与服务端网关的区域地址计算出的区域距离，用于衡量服务端网关与客户端网关网络传输距离的长短。服务端网关的负载状态可以理解为根据当前服务端网关处理访问请求的数量与处理访问请求速度确定服务端网关处理的饱和度，其中，服务端网关的负载状态可以是满载状态、超载状态、空载状态和正常运行状态，满载状态可以是服务端网关处理访问请求的数量处于饱和状态，在未处理完当前正在处理的访问请求中任一个时，不能处理处理别的访问请求；超载状态可以是服务端网关处理访问请求的数量处于饱和状态，且有等待处理的访问请求在排队等待处理；空载状态可以是服务端网关当前未处理访问请求；正常运行状态可以是服务端网关处理访问请求的数量未处于饱和状态，还可以接收访问请求进行处理。

具体实现中，启动验证服务器，允许客户端网关和服务端网关进行注册，根据注册信息对客户端网关和服务端网关进行注册，确定出已注册客户端网关信息和已注册服务端网关信息，验证客户端网关可信时，确定出已注册服务端网关信息中接收到在线通知消息的在线服务端网关，根据各在线服务端网关的在线通知确定各服务端网关的区域距离和负载状态。

进一步的，根据在线通知确定在线的所述各服务端网关的区域距离和负载状态，包括：

间隔预设时段接收所述各服务端网关发送的在线通知，所述在线通知包括所述服务端网关的区域地址和负载状态。

具体实现中，根据实际需求和实验数据预设时间段接收各服务端网关发送的在线通知给验证服务器，验证服务器确定各服务端网关中在线通知中区域地址和负载状态根据客户端的地址信息确定出各服务端网关对应的区域距离和负载状态。其中，区域距离可以根据客户端地址信息和区域地址确定出客户端和服务端之间的网络传输距离，以便于找到正常运行状态服务端网关与客户端网关距离最小的传输距离，建立服务端网关与客户端网关之间的通信链路。

步骤240，根据所述各服务端网关的区域距离和负载状态确定所述各服务端网关对应的优先等级；

示例地，各服务端网关对应的优先等级可以理解为根据区域距离和负载状态确定各服务端网关的等级得分，其中，等级得分可以根据区域距离值的大小和负载状态对应的访问请求的数量确定各服务端网关的等级得分，等级得分越高的优先等级越低，从而客户端网关可以选择传输速度快和响应访问请求快的服务端网关用于建立通信链路。

具体实现中，根据实际需求和实验数据预设时间段接收各服务端网关发送的在线通知给验证服务器，验证服务器确定各服务端网关中在线通知中区域地址和负载状态根据客户端的地址信息确定出各服务端网关对应的区域距离和负载状态。根据各服务端网关的区域距离和负载状态确定各服务端网关的等级得分，根据等级得分确定各服务端网关的推荐优先等级。

步骤250，根据所述各服务端网关对应的优先等级和所述访问请求确定所述服务端网关；

具体实现中，根据实际需求和实验数据预设时间段接收各服务端网关发送的在线通知给验证服务器，验证服务器确定各服务端网关中在线通知中区域地址和负载状态根据客户端的地址信息确定出各服务端网关对应的区域距离和负载状态。根据各服务端网关的区域距离和负载状态确定各服务端网关的等级得分，根据等级得分确定各服务端网关的推荐优先等级。根据各服务端网关对应的优先等级和访问请求确定服务端网关，可以是根据实际需求选取推荐优先等级最高的，也可是根据实际需求选取推荐优先等级最低的，选取优先等级越高服务端网关建立通信链路之后传输信息的速度越快，选取优先等级越低服务端网关建立通信链路之后传输信息的速度越慢。

步骤260，向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

本发明实施例中，可以通过客户端网关接收终端发送的访问请求；验证客户端网关是否可信；在客户端网关可信时，根据访问请求确定服务端网关；向服务端网关发送访问请求和客户端网关的地址信息，以使得服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求，链路建立请求用于请求客户端网关与服务端网关建立通信链路。本发明实施例解决了服务端处于开放状态的端口通信安全性问题，可以利用验证服务器验证建立链路前客户端网关和服务端网关的是否可信，保证建立通信链路的客户端网关和服务端网关身份的合法性，再将可信的客户端网关和服务端网关之间建立通信链路，没有经验证服务器建立客户端网关与服务端网关之间的通信链路，使得通信链路具有一定程度的隐蔽性，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

图3为本发明实施例提供的终端访问方法的另一个流程图。本实施例可适用于在终端进行服务端访问的场景下，客户端网关与服务端网关建立通信链路的情况，该方法可以由本发明实施例提供的通信装置来执行，该装置可采用软件和/或硬件的方式实现，并一般可集成在客户端网关中。如图1所示，本实施例的方法具体包括：

步骤310，接收终端发送的访问请求，并向验证服务器发送所述访问请求；

具体实现中，当终端生成访问请求发送给客户端网关，客户端网关确定是否根据设置需要过滤掉的访问请求，或者根据访问请求对终端进行身验证确认是否转发给验证服务器；当客户端网关确定访问请求不需要过滤掉，或终端身份验证通过向验证服务器发送访问请求，验证服务器通过客户端网关接收终端发送的访问请求，以便于验证服务器对客户端网关进行可信验证。

步骤320，接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；

具体实现中，当验证服务器验证客户端网关可信时，根据访问请求确定服务端网关，并向服务端网关发送访问请求和客户端网关的地址信息，服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求。客户端网关接收服务端网关发送的链路建立请求，其中，链路建立请求由服务端网关根据访问请求和客户端网关的地址信息生成，根据链路建立请求对服务端网关建立通信链路，以便于客户端网关接到终端的访问请求后，根据访问请求通过通信链路成功获取数据资源。

步骤330，验证所述服务端网关是否可信；

具体实现中，客户端网关接收服务端网关发送的链路建立请求，客户端网关需要根据链路建立请求中服务端网关的标识信息，确定已注册服务端网关信息中是否存在该服务端网关的标识信息。如果已注册服务端网关信息中存在该服务端网关的标识信息，则说明服务端网关可信，通过了身份验证并在验证服务器中已注册。如果已注册服务端网关信息中不存在该服务端网关的标识信息，则说明服务端网关不可信，未通过身份验证，也未在验证服务器中注册，该服务端网关存在安全隐患。

进一步的，所述验证所述服务端网关是否可信，包括：

确定从所述验证服务器中获取的已注册服务端网关信息中是否存在所述服务端网关的标识信息；

当所述已注册服务端网关信息中存在所述服务端网关的标识信息，确定所述服务端网关可信。

示例地服务端网关信息的标识信息可以理解为服务端网关信息在网络中的标识，用于区分网络中不同的服务端网关，可以是网关的IP地址(IP地址包括网络号和网关主机号)，也可以是网关名称和地址生成的唯一标识。

具体实现中，根据链路建立请求确定服务端网关的标识信息，确定已注册服务端网关信息中是否存在该服务端网关的标识信息。如果已注册服务端网关信息中存在该服务端网关的标识信息，则说明服务端网关可信，通过了身份验证并在验证服务器中已注册。如果已注册服务端网关信息中不存在该服务端网关的标识信息，则说明服务端网关不可信，未通过身份验证，也未在验证服务器中注册。其中，客户端网关上的已注册服务端网关信息是在注册时或者验证服务端网关可信时从验证服务器上获取到的。

进一步的，所述验证所述服务端网关是否可信，包括：

向所述验证服务器发送所述服务端网关的标识信息，以使得所述验证服务器根据所述服务端网关的标识信息验证所述服务端网关是否可信，并接收所述验证服务器发送的可信验证消息，所述可信验证消息用于指示所述服务端网关是否可信。

具体实现中，验证服务端网关是否可信，也可以是将发送链路建立请求的服务端网关的标识信息发送给验证服务器进行验证，验证服务器根据接收的服务端网关的标识信息确定在已注册服务端网关信息中是否存在该服务端网关的标识信息，如果已注册服务端网关信息中存在该服务端网关的标识信息，则说明服务端网关可信，通过了身份验证并在验证服务器中已注册，服务端网关可信作为可信验证消息发送给客户端网关；如果已注册服务端网关信息中不存在该服务端网关的标识信息，则说明服务端网关不可信，未通过身份验证，也未在验证服务器中注册，服务端网关不可信作为可信验证消息发送给客户端网关。

步骤340，在所述服务端网关可信时，与所述服务端网关建立通信链路。

具体实现中，客户端网关确定服务端网关可信时，根据链路建立请求对服务端网关与客户端网关建立之间通信链路，以便于客户端网关接到终端的访问请求后，根据访问请求通过通信链路成功获取数据资源。

本发明实施例中，可以步骤接收终端发送的访问请求，并向验证服务器发送所述访问请求；接收服务端网关发送的链路建立请求，链路建立请求由服务端网关根据访问请求和客户端网关的地址信息生成，访问请求和客户端网关的地址信息由验证服务器对客户端网关进行验证并确定客户端网关可信时向服务端网关发送；验证服务端网关是否可信；在服务端网关可信时，与服务端网关建立通信链路。本发明实施例解决了服务端处于开放状态的端口通信安全性问题，可以利用验证服务器验证建立链路前客户端网关和服务端网关的是否可信，保证建立通信链路的客户端网关和服务端网关身份的合法性，再将可信的客户端网关和服务端网关之间建立通信链路，没有经验证服务器建立客户端网关与服务端网关之间的通信链路，使得通信链路具有一定程度的隐蔽性，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

图4为本发明实施例提供的一个终端访问装置的结构示意图。如图4所示，应用于验证服务器，所述通信装置包括：

第一请求接收模块410，用于通过客户端网关接收终端发送的访问请求；

第一可信验证模块420，用于验证所述客户端网关是否可信；

网关确定模块430，用于在所述客户端网关可信时，根据所述访问请求确定服务端网关；

信息发送模块440，用于向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

一实施例中，所述网关确定模块430在所述客户端网关可信时，根据所述访问请求确定服务端网关，包括：

根据在线通知确定各服务端网关的区域距离和负载状态；

根据所述各服务端网关的区域距离和负载状态确定所述各服务端网关对应的优先等级；

根据所述各服务端网关对应的优先等级和所述访问请求确定所述服务端网关。

一实施例中，所述网关确定模块430根据在线通知确定在线的所述各服务端网关的区域距离和负载状态，包括：

间隔预设时段接收所述各服务端网关发送的在线通知，所述在线通知包括所述服务端网关的区域地址和负载状态。

一实施例中，第一可信验证模块420验证所述客户端网关是否可信，包括：

确定已注册客户端网关信息中是否存在所述客户端网关的标识信息；

当所述已注册客户端网关信息中存在所述客户端网关的标识信息，确定所述客户端网关可信。

一实施例中，所述第一请求接收模块410通过客户端网关接收终端发送的访问请求之前，还包括：

启动所述验证服务器；

接收所述客户端网关发送的注册信息，基于所述客户端网关发送的注册信息对所述客户端网关进行验证，并在验证通过时，将所述客户端网关的标识信息添加至所述已注册客户端网关信息；以及接收所述服务端网关发送的注册信息，基于所述服务端网关发送的注册信息对所述服务端网关进行验证，并在验证通过时，将所述服务端网关的标识信息添加至已注册服务端网关信息。

本发明实施例中，可以通过客户端网关接收终端发送的访问请求；验证客户端网关是否可信；在客户端网关可信时，根据访问请求确定服务端网关；向服务端网关发送访问请求和客户端网关的地址信息，以使得服务端网关根据访问请求和客户端网关的地址信息生成链路建立请求，链路建立请求用于请求客户端网关与服务端网关建立通信链路。本发明实施例解决了服务端处于开放状态的端口通信安全性问题，可以利用验证服务器验证建立链路前客户端网关和服务端网关的是否可信，保证建立通信链路的客户端网关和服务端网关身份的合法性，再将可信的客户端网关和服务端网关之间建立通信链路，没有经验证服务器建立客户端网关与服务端网关之间的通信链路，使得通信链路具有一定程度的隐蔽性，避免了服务端端口受到恶性攻击和探测，保证服务端资源的安全性。

图5为本发明实施例提供的另一个终端访问装置的结构示意图，如图5所示应用于客户端网关，该装置包括：

第二请求接收模块510，用于接收终端发送的访问请求，并向验证服务器发送所述访问请求；

第三请求接收模块520，用于接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；

第二可信验证模块530，用于验证所述服务端网关是否可信；

链路建立模块540，用于在所述服务端网关可信时，与所述服务端网关建立通信链路。

一实施例中，所述第二可信验证模块530验证所述服务端网关是否可信，包括：

确定从所述验证服务器中获取的已注册服务端网关信息中是否存在所述服务端网关的标识信息；

当所述已注册服务端网关信息中存在所述服务端网关的标识信息，确定所述服务端网关可信。

一实施例中，所述第二可信验证模块530验证所述服务端网关是否可信，包括：

向所述验证服务器发送所述服务端网关的标识信息，以使得所述验证服务器根据所述服务端网关的标识信息验证所述服务端网关是否可信，并接收所述验证服务器发送的可信验证消息，所述可信验证消息用于指示所述服务端网关是否可信。

图6为本发明实施例提供的一种电子设备的结构示意图。图6示出了适于用来实现本发明实施方式的示例性电子设备12的框图。图6显示的电子设备12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图6所示，电子设备12以通用计算设备的形式表现。电子设备12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，***存储器28，连接不同***组件(包括***存储器28和处理单元16)的总线18。

总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，***总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及***组件互连(PCI)总线。

电子设备12典型地包括多种计算机***可读介质。这些介质可以是任何能够被电子设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

***存储器28可以包括易失性存储器形式的计算机***可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。电子设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机***存储介质。仅作为举例，存储***34可以用于读写不可移动的、非易失性磁介质(图6未显示，通常称为“硬盘驱动器”)。尽管图6中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。

电子设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该电子设备12交互的设备通信，和/或与使得该电子设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且电子设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与电子设备12的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID***、磁带驱动器以及数据备份存储***等。

处理单元16通过运行存储在***存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的终端访问方法，该方法包括：

通过客户端网关接收终端发送的访问请求；验证所述客户端网关是否可信；在所述客户端网关可信时，根据所述访问请求确定服务端网关；向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

或者，接收终端发送的访问请求，并向验证服务器发送所述访问请求；接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；验证所述服务端网关是否可信；在所述服务端网关可信时，与所述服务端网关建立通信链路。

本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如所述的终端访问方法，该方法包括：

通过客户端网关接收终端发送的访问请求；验证所述客户端网关是否可信；在所述客户端网关可信时，根据所述访问请求确定服务端网关；向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

或者，接收终端发送的访问请求，并向验证服务器发送所述访问请求；接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；验证所述服务端网关是否可信；在所述服务端网关可信时，与所述服务端网关建立通信链路。

本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如”C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种终端访问方法，其特征在于，应用于验证服务器，包括：

通过客户端网关接收终端发送的访问请求；

验证所述客户端网关是否可信；

在所述客户端网关可信时，根据所述访问请求确定服务端网关；

向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

2.根据权利要求1所述的方法，其特征在于，在所述客户端网关可信时，根据所述访问请求确定服务端网关，包括：

根据在线通知确定各服务端网关的区域距离和负载状态；

根据所述各服务端网关的区域距离和负载状态确定所述各服务端网关对应的优先等级；

根据所述各服务端网关对应的优先等级和所述访问请求确定所述服务端网关。

3.根据权利要求2所述的方法，其特征在于，根据在线通知确定在线的所述各服务端网关的区域距离和负载状态，包括：

间隔预设时段接收所述各服务端网关发送的在线通知，所述在线通知包括所述服务端网关的区域地址和负载状态。

4.根据权利要求1所述的方法，其特征在于，所述验证所述客户端网关是否可信，包括：

确定已注册客户端网关信息中是否存在所述客户端网关的标识信息；

当所述已注册客户端网关信息中存在所述客户端网关的标识信息，确定所述客户端网关可信。

5.根据权利要求4所述的方法，其特征在于，通过客户端网关接收终端发送的访问请求之前，还包括：

启动所述验证服务器；

接收所述客户端网关发送的注册信息，基于所述客户端网关发送的注册信息对所述客户端网关进行验证，并在验证通过时，将所述客户端网关的标识信息添加至所述已注册客户端网关信息；以及接收所述服务端网关发送的注册信息，基于所述服务端网关发送的注册信息对所述服务端网关进行验证，并在验证通过时，将所述服务端网关的标识信息添加至已注册服务端网关信息。

6.一种终端访问装置，其特征在于，应用于验证服务器，包括：

第一请求接收模块，用于通过客户端网关接收终端发送的访问请求；

第一可信验证模块，用于验证所述客户端网关是否可信；

网关确定模块，用于在所述客户端网关可信时，根据所述访问请求确定服务端网关；

信息发送模块，用于向所述服务端网关发送所述访问请求和所述客户端网关的地址信息，以使得所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成链路建立请求，所述链路建立请求用于请求所述客户端网关与所述服务端网关建立通信链路。

7.一种终端访问方法，其特征在于，应用于客户端网关，包括：

接收终端发送的访问请求，并向验证服务器发送所述访问请求；

接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；

验证所述服务端网关是否可信；

在所述服务端网关可信时，与所述服务端网关建立通信链路。

8.根据权利要求7所述的方法，其特征在于，所述验证所述服务端网关是否可信，包括：

确定从所述验证服务器中获取的已注册服务端网关信息中是否存在所述服务端网关的标识信息；

当所述已注册服务端网关信息中存在所述服务端网关的标识信息，确定所述服务端网关可信。

9.根据权利要求7所述的方法，其特征在于，所述验证所述服务端网关是否可信，包括：

向所述验证服务器发送所述服务端网关的标识信息，以使得所述验证服务器根据所述服务端网关的标识信息验证所述服务端网关是否可信，并接收所述验证服务器发送的可信验证消息，所述可信验证消息用于指示所述服务端网关是否可信。

10.一种终端访问装置，其特征在于，应用于客户端网关，包括：

第二请求接收模块，用于接收终端发送的访问请求，并向验证服务器发送所述访问请求；

第三请求接收模块，用于接收服务端网关发送的链路建立请求，所述链路建立请求由所述服务端网关根据所述访问请求和所述客户端网关的地址信息生成，所述访问请求和所述客户端网关的地址信息由所述验证服务器对所述客户端网关进行验证并确定所述客户端网关可信时向所述服务端网关发送；

第二可信验证模块，用于验证所述服务端网关是否可信；

链路建立模块，用于在所述服务端网关可信时，与所述服务端网关建立通信链路。

Images