申请/专利权人：中国科学院信息工程研究所

申请日：2023-05-05

公开（公告）日：2024-03-01

公开（公告）号：CN116668558B

主分类号：H04L69/16

分类号：H04L69/16;H04L67/02;H04L69/329

优先权：

专利状态码：有效-授权

法律状态：2024.03.01#授权;2023.09.15#实质审查的生效;2023.08.29#公开

摘要：本公开涉及一种针对UDP协议流量实行动态访问控制的方法及系统。所述方法应用于动态访问控制网关，包括：接收隧道数据包，并对隧道数据包剥离SSLVPN隧道的封装，以得到数据包；获取该数据包的四元组信息及传输层协议类型，并基于所述传输层协议类型，对四元组信息中的IP和端口进行转换；特别地，针对承载于UDP协议的数据包，对其进行应用层解析，结合动态访问控制策略判断是否将数据包代理至服务端。本公开能够提升关键场景的生成效率。本发明在不颠覆已有的动态访问控制流程，且无需对应用客户端进行改造的同时，可实现对UDP协议流量的动态访问控制。

主权项：1.一种针对UDP协议流量实行动态访问控制的方法，应用于一动态访问控制网关，其特征在于，所述动态访问控制网关包括一HTTP解析代理模块和一UDP解析代理模块，所述方法包括：接收隧道数据包，并对所述隧道数据包剥离SSLVPN隧道的封装，以得到数据包；其中，所述隧道数据包是由控制客户端基于应用客户端发出的一访问服务端资源的请求得到；获取该数据包的四元组信息及传输层协议类型，并基于所述传输层协议类型，对四元组信息中的IP和端口进行转换；其中，所述传输层协议类型包括：TCP协议和UDP协议；所述获取该数据包的四元组信息及传输层协议类型，并基于所述传输层协议类型，对四元组信息中的IP和端口进行转换，包括：获取服务端资源对应的资源配置信息；其中，所述资源配置信息包括：资源类型、对应IP地址和端口号；根据资源配置信息添加转发规则；其中，所述转发规则包括：将基于UDP协议的数据包发送至UDP解析代理模块和将基于TCP协议的数据包发送至HTTP解析代理模块；在IP首部中获取该数据包请求的源IP、目的IP及传输层协议类型，在传输层协议首部中获取该数据包请求的源端口和目的端口；基于该传输层协议类型，对目的IP和目的端口进行转换，以使基于UDP协议的数据包发送至UDP解析代理模块，以及基于TCP协议的数据包发送至HTTP解析代理模块；在所述传输层协议类型为TCP协议的情况下，HTTP解析代理模块基于转换后的四元组信息获取并对所述数据包进行HTTP协议解析之后，结合HTTP协议解析结果、四元组信息以及策略中心的安全策略，将访问请求发送到服务端资源；在所述传输层协议类型为UDP协议的情况下，UDP解析代理模块基于转换后的四元组信息获取并对所述数据包进行应用层解析之后，结合UDP协议解析结果、四元组信息、应用层解析结果以及策略中心的安全策略，将访问请求发送到服务端资源；其中，所述UDP解析代理模块基于转换后的四元组信息获取并对所述数据包进行应用层解析之后，结合UDP协议解析结果、四元组信息、应用层解析结果以及策略中心的安全策略，将访问请求发送到服务端资源，包括：根据UDP包头中的长度信息，还原出完整的UDP数据包；从完整的UDP数据包中判断该数据包承载的应用层协议类型；根据应用层协议类型解析数据包，得到UDP协议解析结果；其中，所述UDP协议解析结果包括：数据包的四元组信息、传输层协议类型、应用层协议类型和应用层各字段内容；获取服务端资源对应的资源配置信息；其中，所述资源配置信息包括：资源类型、对应IP地址和端口号；根据所述资源配置信息添加反向代理规则，以实现应用客户端对某个服务端资源的访问请求应通过代理服务器的某个端口的配置；将UDP协议解析结果、四元组信息、应用层解析结果与策略中心的安全策略进行比对，判断是否允许访问服务端资源；在允许访问服务端资源的情况下，通过将四元组中的源IP和源端口修改为反向代理规则中配置的内容，生成访问请求，并将访问请求发送到服务端资源；在不允许访问服务端资源的情况下，返回不允许访问至应用客户端。

全文数据：

权利要求：

百度查询： 中国科学院信息工程研究所 一种针对UDP协议流量实行动态访问控制的方法及系统

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD