[發明專利]一種實現融合網關http和https URL過濾的方法

有效

• 申請號: 202011126839.1
• 申請日: 2020-10-20
• 公開（公告）號: CN112261039B
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 李俊畫;馬劍;白云波
• 申請（專利權）人: 四川天邑康和通信股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02;G06F16/955
• 代理公司: 成都時譽知識產權代理事務所(普通合伙) 51250
• 代理人: 何悅

1.一種實現融合網關http和https URL過濾的方法，其特征在于，包括下列步驟：

步驟1：管理頁面配置URL過濾規則，其中包括設備MAC地址，過濾模式黑、白名單、URL列表和過濾時間段，進行應用層配置接口，執行步驟2；

步驟2：融合網關收到頁面配置數據，經由CGI接口處理，生成與內核約定的URL Filter變量，通過/proc/寫入內核URL過濾模塊，完成應用層配置接口，執行步驟3；

步驟3：加載URL過濾模塊，進行初始準備工作，包括URL規則鏈表，鏈表自旋鎖初始化，執行步驟4；

步驟4：創建/proc/net/xx文件，提供與應用層交互的接口，包括添加，刪除，查看URL過濾規則，應用層配置過濾規則時通過/proc文件系統對內核URL規則鏈表配置，執行步驟5；

步驟5：內核網橋模塊接收到數據幀后，將數據幀交由URL過濾模塊，進入URL過濾模塊進行解析和規則匹配，結束；

所述步驟5中，URL過濾模塊的工作原理包括下列步驟：

步驟21：解析報文得到源mac，繼續解析，若是非IP，TCP報文則設置target標志為ACCEPT，執行步驟25，若是IP，TCP按照HTTP報文格式解析TCP數據部分獲取HTTP頭Host字段，若解析成功，則執行步驟22，若解析失敗，執行步驟23；

步驟22：遍歷URL過濾規則鏈表，進行匹配規則處理，若全部匹配條件匹配完成，則設置match標志1，跳出遍歷循環，執行步驟24，否則繼續執行步驟22；

步驟23：解析HTTPS，通過解析SSL握手過程，下掛設備發送的ClientHello包中的擴展字段SNI得到訪問HTTPS URL時的Host字段，執行步驟21；

步驟24：根據match標志和黑白名單模式設置target字段，默認ACCEPT，執行步驟25；

步驟25：根據target標志判斷數據包是否丟棄。

2.根據權利要求1所述的一種實現融合網關http和https URL過濾的方法，其特征在于,所述步驟22中，匹配條件包括有匹配源Mac、匹配當前時間和時間段、模糊匹配Host和URL。

3.根據權利要求2所述的一種實現融合網關http和https URL過濾的方法，其特征在于，所述步驟24中，黑名單模式match=1，設置target DROP，白名單模式 match=0， 設置target ACCEPT。

4.根據權利要求3所述的一種實現融合網關http和https URL過濾的方法，其特征在于，所述步驟25，若target為DROP，則組裝發送tcp reset報文到下掛設備，使瀏覽器輸出訪問URL失敗，不會再重復嘗試訪問，若target為ACCEPT，則跳出URL過濾模塊繼續經內核協議棧處理轉發。

5.根據權利要求1所述的一種實現融合網關http和https URL過濾的方法，其特征在于，所述步驟23中，SNI定義在RFC 4366，在SSLv3/TLSv1中被啟用，允許客戶端在發起SSL握手請求時，就提交請求的Host信息，使得服務器能夠切換到正確的域并返回相應的證書。