[發(fā)明專利]一種SSL VPN多服務(wù)地址共享系統(tǒng)及共享方法

有效

• 申請?zhí)枺?/td>: 202010260442.5
• 申請日: 2020-04-03
• 公開（公告）號: CN111490985B
• 公開（公告）日: 2022-02-25
• 發(fā)明（設(shè)計）人: 劉佳;范淵;吳永越;鄭學(xué)新;劉韜
• 申請（專利權(quán)）人: 成都安恒信息技術(shù)有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02
• 代理公司: 成都君合集專利代理事務(wù)所(普通合伙) 51228
• 代理人: 賈林

1.一種SSL VPN多服務(wù)地址共享方法，其特征在于： 將SSL協(xié)議SNI擴展中的ServiceName字段分為A類Service Name、B類Service Name，SSL VPN客戶端使用A類Service Name或瀏覽器使用B類Service Name與SSL VPN服務(wù)端的SNI代理模塊建立連接；SNI代理模塊選擇要使用的服務(wù)端證書及服務(wù)；SSL VPN服務(wù)端通過SNI代理模塊實現(xiàn)基于SNI字段的TCP連接分發(fā)，從而實現(xiàn)多個SSL VPN服務(wù)之間、SSL VPN服務(wù)與HTTPS服務(wù)之間的端口共享； SNI代理模塊在通信過程中，負(fù)責(zé)對于是瀏覽器客戶端請求連接還是SSL VPN客戶端請求連接進行判斷，并實現(xiàn)兩者與服務(wù)端的連接；

所述瀏覽器與SSL VPN服務(wù)端建立連接即瀏覽器訪問HTTPS服務(wù)時，將域名填入SNI字段；在SNI代理模塊的SNI代理配置表中使用域名作為B類Service Name 填寫SNI字段，通過Service Name對應(yīng)關(guān)系實現(xiàn)SNI代理模塊的連接尋路；包括：

SNI代理模塊截獲HTTPS請求的握手報文后，根據(jù)瀏覽器填寫的B類Service Name并在SNI代理模塊中查找SNI代理配置表，從而獲得HTTPS服務(wù)監(jiān)聽的真實服務(wù)地址；

所述SSL VPN客戶端與SSL VPN服務(wù)端建立連接即用戶通過SSL VPN客戶端中的SNI配置模塊設(shè)置SNI字段并與SNI代理模塊建立連接，包括：

步驟A1：設(shè)置需要連接的域名或IP、端口以及設(shè)置SSL VPN服務(wù)的A類Service Name；

步驟A2：調(diào)用SSL庫函數(shù)API進行SNI設(shè)置，將需要服務(wù)的Service Name設(shè)置到需要發(fā)起的SSL連接；

步驟A3：SSL VPN客戶端發(fā)起攜帶A類Service Name的SSL連接，通知SSL VPN服務(wù)端請求的證書和服務(wù)；

所述SSL VPN服務(wù)端通過SNI代理模塊實現(xiàn)基于SNI字段的TCP連接分發(fā)包括：

步驟C1：在SSL VPN服務(wù)端配置一個或多個SSL證書，一個SSL證書設(shè)置一個A類ServiceName；其中A類Service Name是一個符合DNS域名格式的字符串；

在HTTPS服務(wù)設(shè)置一個B類Service Name；B類Service Name是一個注冊過的真實域名，方便瀏覽器通過Internet訪問；

步驟C2：設(shè)定A類Service Name、B類Service Name和證書的“SN-服務(wù)”對應(yīng)關(guān)系，并將該“SN-服務(wù)”對應(yīng)關(guān)系設(shè)置在SNI代理模塊“SN-服務(wù)”對應(yīng)表中，所述對應(yīng)關(guān)系為：

A類Service Name - Cert ID；其中Cert ID代表SSL證書ID；

B類Service Name - IP + TCP Port； 其中IP + TCP Port代表HTTPS服務(wù)監(jiān)聽的地址；

步驟C3：SSL VPN服務(wù)端接收到SSL VPN客戶端或瀏覽器發(fā)來的握手報文時；首先查找“SN-服務(wù)”對應(yīng)關(guān)系表，獲得要使用的SSL證書ID或者一個“IP+TCP Port”二元組；

步驟C31：若查找到的是證書ID，則執(zhí)行建立SSL會話連接；

步驟C32：否則，執(zhí)行建立與HTTPS服務(wù)的通信連接。

2.根據(jù)權(quán)利要求1所述的一種SSL VPN多服務(wù)地址共享方法，其特征在于：所述步驟C31中的SSL會話連接具體是指：SNI代理模塊根據(jù)證書ID讀取證書，然后使用讀取的證書與SSL客戶端進行握手建立SSL會話連接，并開始數(shù)據(jù)通信。

3.根據(jù)權(quán)利要求1所述的一種SSL VPN多服務(wù)地址共享方法，其特征在于：所述步驟C32中的執(zhí)行建立與HTTPS服務(wù)的通信連接具體包括以下步驟：

步驟C321：根據(jù)查得的HTTPS服務(wù)監(jiān)聽地址，SNI代理模塊作為TCP代理反向代理瀏覽器客戶端發(fā)起的連接；

步驟C322：將報文的目的地址改為查得的HTTPS服務(wù)監(jiān)聽地址與HTTPS服務(wù)建立連接；

連接建立后瀏覽器通過SNI代理模塊與HTTPS服務(wù)通信。