[发明专利]一种实现TCP代理完全透明的方法

说明书

本发明公开了一种实现TCP代理完全透明的方法，TCP代理服务器通过对Client流向Server的TCP Syn报文进行拦截和缓存，实现MAC地址透明；TCP代理服务器检查并拷贝Client和Server之间的互发的报文头部字段，实现IP头部TOS和TTL字段透明；TCP代理服务器为Client建立network namespace，实现TCP端口透明。本发明同时实现MAC地址透明、IP头部TOS/TTL字段透明以及TCP头部端口字段透明。

技术领域

本发明涉及网络安全技术领域，具体的说，是一种实现TCP代理完全透明的方法。

背景技术

目前广泛应用于企业网络的安全设备，如行为管理设备、Web防火墙等，都需要对TCP流量进行深度的解析处理。安全设备通常是作为“中间人”的角色部署在用户网路中，如果不对TCP连接进行代理，那么安全设备对TCP连接进行控制的粒度是很弱的。

举例来说，非代理型的WAF很难做到修改某个HTTP会话报文，而不影响TCP流中的其他报文。要想达到强控制粒度，无可避免的要使用TCP代理技术。TCP代理有很多种，包括正向代理、反向代理、透明代理等。正向代理需要配置客户端，通常不适用网络安全设备的使用场景；反向代理指的是客户端不感知代理设备，从网络角度看，代理设备要取代原来服务器的网络位置，反向代理可以是透明也可以是不透明，如果透明的话，对用户网络配置和业务影响最小。因此透明代理在网络安全设备种应用前景是非常广阔的。

实际上，TCP透明代理在安全设备种应用很广泛，原因是用户一般希望安全设备不改变原来部署好的网络环境，不影响原有业务，不引入复杂的管理。但是目前市场上的安全设备，绝大多数都没有实现真正的TCP透明代理，即同时满足MAC地址透明、IP头部透明以及TCP端口透明，而是仅仅实现了IP地址透明。首先MAC地址不透明无法使得中间设备在用户网络拓扑中像网桥一样工作，则需要修改用户网络。有的透明代理产品采用网桥抓包的方式完成代理工作，试图达到MAC地址透明的目的，但是没有Syn缓存，第一条连接还是无法做到MAC地址透明。原因是代理设备在回复Client的TCP连接请求时，Server还没有将报文发向中间设备。IP头部的TOS和TTL字段不透明，可能导致用户的诊断工具无法正常工作， 或者QoS策略出现偏差。TCP端口不透明，可能导致Server的网络设备或者TCP服务器本身负载均衡策略出现偏差，也可能使某些用户策略出现判断错误。因此，很多场景下代理设备还是会对用户的网络业务造成影响。

市场上已经存在TCP代理软件: 例如haproxy，传统的透明主要指的是IP地址的透明。其做法是中间设备收到Client的TCP连接请求后，直接伪装为服务器进行应答，建立Client与中间人的连接，然后根据Client的请求构造报文发往Server，与Server建立连接。双向连接建立后对数据内容进行代理。这种代理方式无法实现MAC地址透明、TOS和TTL透明以及TCP端口透明。有的厂商通过在代理设备中引入Bridge，试图达到TCP代理的MAC地址透明。其做法大致过程是：

1.ARP报文直接通过Bridge进行转发，使得Client和Server可以学到对方的Mac地址；

2.代理设备收到Client发送来的报文时，记录其目的Mac地址；

3.代理回复Client时，用2中记录的MAC地址替换报文中的源MAC地址，伪装为Server的Mac地址；

4.代理设备收到Server发送来的报文时，记录其目的Mac地址；

5.代理回复Server时，用4中记录的Mac地址替换报文中的源Mac地址，伪装为Client的Mac地址。