一種遠程主機接入的控制方法
【專利摘要】本發(fā)明公開了一種遠程主機接入的控制方法，該方法在傳統(tǒng)的VPN客戶端和服務(wù)端加上對遠程主機進行合法性檢查和身份驗證的功能，傳輸?shù)臄?shù)據(jù)由驅(qū)動層轉(zhuǎn)化為IP包后，不會直接發(fā)出去，而是先把IP包加密，再進行主機合法性檢查，然后加入收集到的主機的身份信息，再和服務(wù)端的數(shù)據(jù)庫進行比較驗證，如果驗證成功則把加密的IP包和一些必要的交換驗證數(shù)據(jù)一起通過驅(qū)動層，再一次發(fā)送到物理網(wǎng)絡(luò)中去。如果網(wǎng)絡(luò)中存在未驗證的主機的話，接收到加密后的IP數(shù)據(jù)包都不能解密，即不能接入內(nèi)網(wǎng)，但是如果存在驗證成功的主機，則可以進行解密，實現(xiàn)網(wǎng)絡(luò)通信，通過本發(fā)明做到遠程主機能跨外網(wǎng)接入，對通信數(shù)據(jù)進行加密，從而實現(xiàn)了高強度驗證的遠程主機接入的目的。
【專利說明】一種遠程主機接入的控制方法

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及網(wǎng)絡(luò)安全【技術(shù)領(lǐng)域】，尤其涉及一種遠程主機接入的控制方法。

【背景技術(shù)】
[0002] 當(dāng)前隨著企業(yè)信息化程度越來越高，IP網(wǎng)絡(luò)的建設(shè)也在企業(yè)當(dāng)中越來越深入，幾 乎在企業(yè)的任何地方人們都可以通過網(wǎng)線或無線網(wǎng)將終端遠程接入到企業(yè)網(wǎng)中，實現(xiàn)信息 的獲取或傳送。但是由于以太網(wǎng)的特性決定了這些終端在接入到網(wǎng)絡(luò)中是沒有經(jīng)過任何身 份認(rèn)證的，由此會帶來巨大的安全隱患。
[0003] 現(xiàn)有的遠程主機接入方法是先要檢查主機的合法性，包括接入的帳號是否異常， 有無安裝違規(guī)軟件和有無安裝殺毒軟件等，然后再進行主機身份驗證，包括驗證主板信息， CPU型號，硬盤序列號，網(wǎng)卡MAC地址，IP地址，終端主機名等，驗證成功后就可以連接入內(nèi) 網(wǎng)，過程簡單。但是上述方法有缺點，由于以太網(wǎng)的特性決定了內(nèi)網(wǎng)是明文傳輸數(shù)據(jù)的，并 且只能在內(nèi)網(wǎng)傳輸，不能跨外網(wǎng)傳輸，所以該方法不能保證數(shù)據(jù)的安全性，也不能跨外網(wǎng)接 入。
[0004] 另外一種遠程主機接入的方法是通過VPN接入，VPN可以跨外網(wǎng)組建一個虛擬的 局域網(wǎng)，并且通信可以加密，這樣可以保證數(shù)據(jù)的安全性。但是通過VPN接入，只能驗證賬 號和密碼，不能對遠程主機進行合法性檢查和身份驗證，驗證過程過于簡單。


【發(fā)明內(nèi)容】

[0005] 本發(fā)明為了解決現(xiàn)有技術(shù)中遠程主機接入驗證簡單的缺點或不足，采用了合法性 檢查和身份驗證的方法，通過虛擬物理網(wǎng)絡(luò)傳輸，實現(xiàn)從外網(wǎng)進行高強度驗證的遠程主機 接入的目的。
[0006] 一種遠程主機接入的控制方法，包括下列步驟：
[0007] 客戶端傳輸?shù)臄?shù)據(jù)從應(yīng)用層到達驅(qū)動層被攔截，由驅(qū)動層轉(zhuǎn)化為IP包并把IP包 加密，進行主機合法性檢查；然后加入收集到的主機的身份信息，再和服務(wù)端的數(shù)據(jù)庫進行 比較驗證；如果驗證成功則把加密的IP包和一些必要的交換驗證數(shù)據(jù)一起通過驅(qū)動層，再 一次發(fā)送到物理網(wǎng)絡(luò)中去；網(wǎng)絡(luò)中如果存在未驗證的主機，接收到加密后的IP數(shù)據(jù)包不能 解密，即不能接入內(nèi)網(wǎng)，如果存在驗證成功的主機，則進行解密，實現(xiàn)網(wǎng)絡(luò)通信，并且這個過 程對操作系統(tǒng)是透明的，操作系統(tǒng)并不知道底層如何實現(xiàn)。
[0008] 在該方法中進行主機合法性檢查，包括接入的帳號是否異常，有無安裝違規(guī)軟件 和有無安裝殺毒軟件。主機的身份信息，包括主板信息，CPU型號，硬盤序列號，網(wǎng)卡MAC地 址，IP地址,終端主機名。
[0009] 本發(fā)明技術(shù)方案帶來的有益效果：相比現(xiàn)有的技術(shù)方案，本方法的驗證接入過程 更加可靠穩(wěn)定，而且在網(wǎng)絡(luò)傳輸?shù)倪^程中加密，數(shù)據(jù)的安全性更加有保障，并且通過虛擬物 理網(wǎng)絡(luò)傳輸，欺騙操作系統(tǒng)，實現(xiàn)從外網(wǎng)進行遠程驗證接入，不限于內(nèi)網(wǎng)使用等優(yōu)點。

【專利附圖】

【附圖說明】
[0010] 為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對實施例或現(xiàn) 有技術(shù)描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本 發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動的前提下，還可以 根據(jù)這些附圖獲得其它的附圖。
[0011] 圖1是現(xiàn)有技術(shù)中遠程主機接入的方法架構(gòu)圖；
[0012] 圖2是本發(fā)明的遠程主機接入的方法架構(gòu)圖；
[0013] 圖3是現(xiàn)有技術(shù)中兩個客戶端通信的方法架構(gòu)圖；
[0014] 圖4是本發(fā)明的實施例中兩個客戶端通信的方法架構(gòu)圖。

【具體實施方式】
[0015] 下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚、完 整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；?本發(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動前提下所獲得的所有其他 實施例，都屬于本發(fā)明保護的范圍。
[0016] 本發(fā)明方法針對現(xiàn)有技術(shù)的優(yōu)缺點，在傳統(tǒng)的VPN客戶端和服務(wù)端加上對遠程主 機進行合法性檢查和身份驗證的功能，做到遠程主機可以跨外網(wǎng)接入，和對通信數(shù)據(jù)進行 加密，從而實現(xiàn)了高強度驗證的遠程主機接入的目的。
[0017] 如圖1所示為現(xiàn)有技術(shù)中遠程主機接入的方法架構(gòu)圖，現(xiàn)有的遠程主機接入方法 是在客戶端接入到內(nèi)部網(wǎng)絡(luò)的時候，客戶端的主機接入程序檢查和收集本機的信息，比如 先要檢查主機的合法性，包括接入的帳號是否異常，有無安裝違規(guī)軟件和有無安裝殺毒軟 件等，然后再收集主機的身份信息，包括主板信息，CPU型號，硬盤序列號，網(wǎng)卡MAC地址，IP 地址，終端主機名等，再和服務(wù)端的數(shù)據(jù)庫進行比較驗證，如果驗證成功，則允許客戶端接 入內(nèi)網(wǎng)，內(nèi)網(wǎng)中驗證成功的主機可以進行通信，驗證不成功的主機不能接入內(nèi)網(wǎng)。
[0018] 如圖2所示為本發(fā)明的方法架構(gòu)圖，在現(xiàn)有的遠程主機接入方法的基礎(chǔ)上，把VPN 的實現(xiàn)流程增加到本發(fā)明方法中。在客戶端訪問網(wǎng)絡(luò)的時候，傳輸?shù)臄?shù)據(jù)會由驅(qū)動層轉(zhuǎn)化 為IP包發(fā)出去，實現(xiàn)網(wǎng)絡(luò)訪問。但是由于以太網(wǎng)的特性決定了內(nèi)網(wǎng)是明文傳輸數(shù)據(jù)的，并 且只能在內(nèi)網(wǎng)傳輸，不能跨外網(wǎng)傳輸，所以傳統(tǒng)的網(wǎng)絡(luò)接入有缺陷。
[0019] 本發(fā)明方法中，傳輸?shù)臄?shù)據(jù)由驅(qū)動層轉(zhuǎn)化為IP包后，不會直接發(fā)出去，而是先把 IP包加密，再進行主機合法性檢查，包括接入的帳號是否異常，有無安裝違規(guī)軟件和有無安 裝殺毒軟件等，然后加入收集到的主機的身份信息，包括主板信息，CPU型號，硬盤序列號， 網(wǎng)卡MAC地址，IP地址，終端主機名等，再和服務(wù)端的數(shù)據(jù)庫進行比較驗證，如果驗證成功 則把加密的IP包和一些必要的交換驗證數(shù)據(jù)一起通過驅(qū)動層，再一次發(fā)送到物理網(wǎng)絡(luò)中 去。如果網(wǎng)絡(luò)中存在未驗證的主機的話，就算接收到加密后的IP數(shù)據(jù)包都不能解密，即不 能接入內(nèi)網(wǎng)，但是如果存在驗證成功的主機，則可以進行解密，實現(xiàn)網(wǎng)絡(luò)通信，并且這個過 程對操作系統(tǒng)是透明的，操作系統(tǒng)并不知道底層如何實現(xiàn)。
[0020] 這樣就能夠在現(xiàn)有的遠程主機接入方法的基礎(chǔ)上實現(xiàn)虛擬的局域網(wǎng)來傳輸數(shù)據(jù)， 并且是加密和可以跨外網(wǎng)的。
[0021] 以上就是本發(fā)明的方法流程和技術(shù)要點，下面舉例說明現(xiàn)有技術(shù)和本發(fā)明方法中 遠程主機接入方案的兩個客戶端是如何通信的，以此可以比較出本發(fā)明方法的優(yōu)越性。
[0022] 如圖3所示，現(xiàn)有的遠程主機接入方案中，客戶端A的應(yīng)用層數(shù)據(jù)先會經(jīng)過接入檢 查來確定合法性，然后通過驅(qū)動層打包，再發(fā)送到網(wǎng)絡(luò)，當(dāng)客戶端B的驅(qū)動層接收到數(shù)據(jù)包 后就會進行解包，解包后的數(shù)據(jù)通過合法性檢查之后，就會送上應(yīng)用層繼續(xù)處理。
[0023] 如圖4所示，在本發(fā)明方法的實施例中，客戶端A發(fā)送的數(shù)據(jù)從應(yīng)用層到達驅(qū)動層 后就會被攔截，把整個數(shù)據(jù)包加密后，再經(jīng)過合法性檢查，然后加入一些自定義數(shù)據(jù)，就可 以發(fā)往驅(qū)動層進行打包，再發(fā)送到網(wǎng)絡(luò)中去，客戶端B的驅(qū)動層接收到數(shù)據(jù)包后，就把自定 義數(shù)據(jù)和加密的數(shù)據(jù)包解包出來，經(jīng)過接入檢查后，就進行解密，把原始的數(shù)據(jù)包解密出來 發(fā)往驅(qū)動層，驅(qū)動層再把原始數(shù)據(jù)發(fā)往應(yīng)用層，客戶端B的驅(qū)動層會誤以為這個原始的數(shù) 據(jù)包是從客戶端A的驅(qū)動層直接傳輸過來的，欺騙了操作系統(tǒng)，所以就可以實現(xiàn)跨外網(wǎng)的 虛擬局域網(wǎng)傳輸。
[0024] 以上對本發(fā)明實施例所提供的一種遠程主機接入的控制方法進行了詳細介紹，本 文中應(yīng)用了具體個例對本發(fā)明的原理及實施方式進行了闡述，以上實施例的說明只是用于 幫助理解本發(fā)明的方法及其核心思想；同時，對于本領(lǐng)域的一般技術(shù)人員，依據(jù)本發(fā)明的思 想，在【具體實施方式】及應(yīng)用范圍上均會有改變之處，綜上所述，本說明書內(nèi)容不應(yīng)理解為對 本發(fā)明的限制。
【權(quán)利要求】
1. 一種遠程主機接入的控制方法，其特征在于，包括下列步驟： 客戶端傳輸?shù)臄?shù)據(jù)從應(yīng)用層到達驅(qū)動層被攔截，由驅(qū)動層轉(zhuǎn)化為IP包并把IP包加密， 進行主機合法性檢查； 然后加入收集到的主機的身份信息，再和服務(wù)端的數(shù)據(jù)庫進行比較驗證； 如果驗證成功則把加密的IP包和一些必要的交換驗證數(shù)據(jù)一起通過驅(qū)動層，再一次 發(fā)送到物理網(wǎng)絡(luò)中去； 網(wǎng)絡(luò)中如果存在未驗證的主機，接收到加密后的IP數(shù)據(jù)包不能解密，即不能接入內(nèi) 網(wǎng)，如果存在驗證成功的主機，則進行解密，實現(xiàn)網(wǎng)絡(luò)通信，并且這個過程對操作系統(tǒng)是透 明的，操作系統(tǒng)并不知道底層如何實現(xiàn)。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于，進行主機合法性檢查，包括接入的帳號是 否異常，有無安裝違規(guī)軟件和有無安裝殺毒軟件。
3. 根據(jù)權(quán)利要求1所述的方法，其特征在于，主機的身份信息，包括主板信息，CPU型 號，硬盤序列號，網(wǎng)卡MAC地址，IP地址，終端主機名。
4. 根據(jù)權(quán)利要求1所述的方法，其特征在于，該方法中的客戶端之間通信流程如下： 發(fā)送方的客戶端發(fā)送的數(shù)據(jù)從應(yīng)用層到達驅(qū)動層后就會被攔截，把整個數(shù)據(jù)包加密后，再 經(jīng)過合法性檢查，然后加入一些自定義數(shù)據(jù)，就可以發(fā)往驅(qū)動層進行打包，再發(fā)送到網(wǎng)絡(luò)中 去，接收方的客戶端的驅(qū)動層接收到數(shù)據(jù)包后，就把自定義數(shù)據(jù)和加密的數(shù)據(jù)包解包出來， 經(jīng)過接入檢查后，就進行解密，把原始的數(shù)據(jù)包解密出來發(fā)往其驅(qū)動層，驅(qū)動層再把原始數(shù) 據(jù)發(fā)往應(yīng)用層，接收方的客戶端的驅(qū)動層會誤以為這個原始的數(shù)據(jù)包是從發(fā)送方的客戶端 的驅(qū)動層直接傳輸過來的，欺騙了操作系統(tǒng)，實現(xiàn)跨外網(wǎng)的虛擬局域網(wǎng)傳輸。
【文檔編號】H04L29/06GK104065660SQ201410299627
【公開日】2014年9月24日 申請日期:2014年6月27日 優(yōu)先權(quán)日:2014年6月27日
【發(fā)明者】楊育斌, 柯宗貴, 梁永秋 申請人:藍盾信息安全技術(shù)有限公司