[發(fā)明專利]一種提升WEB安全網(wǎng)關(guān)并發(fā)性能的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201010533176.5
• 申請(qǐng)日: 2010-11-05
• 公開(kāi)（公告）號(hào): CN102469045A
• 公開(kāi)（公告）日: 2012-05-23
• 發(fā)明（設(shè)計(jì)）人: 楊婧;宋勁松;翟征德;李佳玥
• 申請(qǐng)（專利權(quán)）人: 中科正陽(yáng)信息安全技術(shù)有限公司
• 主分類號(hào): H04L12/66
• 分類號(hào): H04L12/66;H04L29/06;H04L29/08
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.一種提升WEB安全網(wǎng)關(guān)并發(fā)性能的方法，在一臺(tái)物理網(wǎng)關(guān)設(shè)備上運(yùn)行宿主主機(jī)系統(tǒng)，宿主主機(jī)系統(tǒng)中運(yùn)行數(shù)據(jù)分發(fā)組件和多個(gè)虛擬機(jī)，每個(gè)虛擬機(jī)中運(yùn)行WEB安全檢測(cè)引擎從而構(gòu)成一個(gè)虛擬網(wǎng)關(guān)，客戶端發(fā)往被保護(hù)WEB站點(diǎn)的HTTP數(shù)據(jù)包都經(jīng)由數(shù)據(jù)分發(fā)組件處理，步驟如下：

數(shù)據(jù)分發(fā)組件攔截客戶端發(fā)往被保護(hù)WEB站點(diǎn)的HTTP請(qǐng)求數(shù)據(jù)包，根據(jù)源地址散列負(fù)載調(diào)度算法選擇同一物理網(wǎng)關(guān)上的某一虛擬網(wǎng)關(guān)，修改數(shù)據(jù)包的目的IP地址與目的端口為該虛擬網(wǎng)關(guān)的IP地址以及監(jiān)聽(tīng)端口，將數(shù)據(jù)包發(fā)送至該虛擬網(wǎng)關(guān)；

虛擬網(wǎng)關(guān)接收到HTTP請(qǐng)求后，首先根據(jù)獲取當(dāng)前數(shù)據(jù)包的監(jiān)聽(tīng)端口得到對(duì)應(yīng)的WEB站點(diǎn)的IP地址和端口，然后檢查請(qǐng)求中是否存在安全威脅，如果存在，向客戶端發(fā)出中止響應(yīng)，中斷本次連接，其中響應(yīng)數(shù)據(jù)包的源IP地址及源端口為WEB站點(diǎn)的IP地址與端口，如果不存在威脅，則向?qū)?yīng)的WEB站點(diǎn)發(fā)送相同的HTTP請(qǐng)求，其中源IP地址為虛擬網(wǎng)關(guān)自身的IP地址；

虛擬網(wǎng)關(guān)收到WEB站點(diǎn)的HTTP響應(yīng)后，向客戶端轉(zhuǎn)發(fā)HTTP響應(yīng)，其中響應(yīng)數(shù)據(jù)包的源IP地址及源端口為WEB站點(diǎn)的IP地址與端口。

2.如權(quán)利要求1所述的方法，其特征在于所述方法在一臺(tái)物理網(wǎng)關(guān)設(shè)備上通過(guò)虛擬機(jī)運(yùn)行多個(gè)虛擬網(wǎng)關(guān)。

3.如權(quán)利要求1所述的方法，其特征在于所述方法中的物理網(wǎng)關(guān)設(shè)備部署于客戶端與WEB站點(diǎn)服務(wù)器之間。

4.如權(quán)利要求1所述的方法，其特征在于所述方法中的宿主主機(jī)系統(tǒng)與多個(gè)虛擬網(wǎng)關(guān)之間通過(guò)虛擬網(wǎng)絡(luò)通信，虛擬網(wǎng)絡(luò)的建立可以采用橋接方式也可以采用地址轉(zhuǎn)換方式，每個(gè)虛擬網(wǎng)關(guān)配置不同的IP地址，可以與物理網(wǎng)關(guān)所處網(wǎng)絡(luò)環(huán)境中的設(shè)備通信。

5.如權(quán)利要求1所述的方法，其特征在于所述方法中的WEB安全檢測(cè)引擎通過(guò)套接字接口接收數(shù)據(jù)分發(fā)組件轉(zhuǎn)發(fā)的HTTP請(qǐng)求數(shù)據(jù)包，檢測(cè)HTTP數(shù)據(jù)流的安全情況，同時(shí)它可以主動(dòng)連接WEB站點(diǎn)，發(fā)送HTTP請(qǐng)求并獲取響應(yīng)。

6.如權(quán)利要求1所述的方法，其特征在于所述方法中的虛擬網(wǎng)關(guān)對(duì)于每一個(gè)被保護(hù)的WEB站點(diǎn)的IP地址和端口有唯一一個(gè)監(jiān)聽(tīng)端口。

7.如權(quán)利要求1所述的方法，其特征在于所述方法中位于一臺(tái)物理網(wǎng)關(guān)設(shè)備上的多個(gè)虛擬網(wǎng)關(guān)對(duì)于同一個(gè)被保護(hù)的WEB站點(diǎn)采用相同的監(jiān)聽(tīng)端口。

8.如權(quán)利要求1所述的方法，其特征在于所述方法中的數(shù)據(jù)分發(fā)組件攔截客戶端發(fā)往被保護(hù)WEB站點(diǎn)的HTTP請(qǐng)求數(shù)據(jù)包，不包括虛擬網(wǎng)關(guān)發(fā)往被保護(hù)WEB站點(diǎn)的HTTP請(qǐng)求數(shù)據(jù)包。

9.如權(quán)利要求1所述的方法，其特征在于所述方法中的數(shù)據(jù)分發(fā)組件根據(jù)源地址散列負(fù)載調(diào)度算法選擇接收數(shù)據(jù)包的虛擬網(wǎng)關(guān)，以保證HTTP會(huì)話的完整性。

10.如權(quán)利要求1所述的方法，其特征在于所述方法中的數(shù)據(jù)分發(fā)組件工作在傳輸層，將發(fā)往被保護(hù)WEB站點(diǎn)的HTTP請(qǐng)求數(shù)據(jù)包的目的IP地址與目的端口修改為所選擇虛擬網(wǎng)關(guān)的IP地址及與該WEB站點(diǎn)對(duì)應(yīng)的監(jiān)聽(tīng)端口。