[发明专利]基于端口控制的网络安全隧道建立方法

说明书

本发明涉及一种基于端口控制的网络安全隧道建立方法，包括：建立桥接主控；远程客户端与桥接主控建立连接；网络映射器与桥接主控建立连接；网络映射器向桥接主控发送映射请求命令；桥接主控向对应远程客户端的发送启动连接命令；远程客户端接收到连接命令，向目标地址发起连接；连接成功后，远程客户端与桥接主控建立新连接，桥接主控将远程客户端新创建的数据连接与网络映射器发起的数据连接逻辑上关联起来，并负责数据转发。该基于端口控制的网络安全隧道建立方法通过端口远程映射技术，来访问原本无法直连，跨内网段，跨防火墙的网络服务，采用集中化管理，在安全性方面可提供高约束性的映射管理，也可以使用高度灵活的按需动态配置功能。

技术领域：

本发明涉及网络领域，尤其涉及一种主要应用在“对被隔离的内网中的网络服务进行访问”或者“不同内网之间的程序互相进行访问”的基于端口控制的网络安全隧道建立方法。

背景技术：

目前为了让内网的网络服务能被公开访问，主要依赖于防火墙和路由上建立端口映射，这样会造成一些缺乏安全保障的网络服务被公开到互联网而导致安全隐患。而在跨不同内网互访的技术方案主要依赖VPN，标准的VPN在一些复杂环境中会受到协议限制，而非标准的方案又依赖于模拟网卡等底层驱动方案，多网卡的模式下也会部分程序存在兼容性问题，此外VPN环境下也会导致连入的客户端访问权限过大导致安全隐患。上述方案虽然可以通过IP策略，多重防火墙来进行约束，但是同时大大增加了部署的复杂性。

发明内容：

本发明的目的是针对现有技术的缺陷，提供一种基于端口控制的网络安全隧道建立方法，采用集中化管理，在安全性方面可提供高约束性的映射管理，也可以使用高度灵活的按需动态配置功能。

本发明是通过如下技术方案实现的：一种基于端口控制的网络安全隧道建立方法，包括：

在远程客户端和网络映射器之间建立桥接主控；

远程客户端与桥接主控建立安全连接；

应用程序连接网络映射器，网络映射器收到请求后获得目标远程客户端ID和对应目标地址，网络映射器与桥接主控建立安全连接；

网络映射器向桥接主控发送映射请求命令，桥接主控对该命令进行权限检测，并检测远程客户端ID是否连接；

桥接主控为当前的网络映射器请求连接动态生成包含对应关系的随机数，向对应远程客户端的命令通道发送启动连接命令，并等待远程客户端连接；

远程客户端接收到桥接主控发送的启动连接命令，向目标地址发起连接；

连接成功后，远程客户端与桥接主控建立新的连接，桥接主控将远程客户端新创建的数据连接与之前网络映射器发起的数据连接逻辑上关联起来，并负责为两个连接进行数据转发。

作为优选，应用程序通过TCP协议连接网络映射器。所述应用程序连接网络映射器映射的本地端口，网络映射器收到连接请求后，查询配置信息，获得目标远程客户端ID和对应目标地址。

另外，所述应用程序也可通过UDP协议连接网络映射器。所述应用程序向网络映射器映射的本地端口发送UDP数据包，网络映射器获取该数据包的源信息，维护一个内存映射表，记录该UDP源与安全隧道的关系，如果已经存在，那么获取该隧道句柄，如果不存在，查询配置信息，获得目标远程客户端ID和对应目标地址。所述远程客户端为每一个创建的UDP应用程序提供一个接受超时记录，当该UDP应用程序在单位时间内没有接收到数据的情况下，将强制关闭远程客户端与桥接主控建立的新连接。

本发明的远程客户端RC与桥接主控BC建立安全连接时，远程客户端发送包含远程客户端ID和密码的登录命令，桥接主控通过验证后发送验证成功回复，并保持这个连接并把该远程客户端ID和隧道的网络通讯句柄保存在内存记录中，作为该远程客户端的命令通道。