[发明专利]基于负载均衡的高级访问控制系统及方法

说明书

技术领域

本发明涉及网络应用领域，特别涉及一种基于负载均衡的高级访问控制系统及方法。

背景技术

目前有两类方式来实现对客户端的访问控制。一类是QoS(Quality ofService服务质量)，它是网络的一种安全机制，是用来解决网络延迟和阻塞等问题的一种技术，QoS一般工作在网络层，是在以整个服务器为上下文的基础上，对带宽、流量做访问限制。该方式实现的短处显而易见，首先，由于其工作在网络层，只能对带宽加以限制，而不能限制传输层的连接。其次，它只能对客户端到整个主机的访问加以限制，而在实际负载均衡环境中，一台主机通常提供了多个虚拟服务，比如有两个HTTP的虚拟服务，一个FTP的虚拟服务，一个TCP虚拟服务。这时候，用户更多的是想对具体的虚拟服务加以限制。比如限制HTTP虚拟服务上的客户端，每个客户端最多同时拥有5个TCP连接，这对QoS来说都难于做到。

另一类是TCP连接访问控制，该控制工作在传输层，可以实现对某个客户端IP的可拥有最大并发连接数以及新建连接速度给予控制。基于TCP的访问控制，很多防火墙会提供这样的功能，比如让一个客户端的并发连接数不能多于限定值，或者一个客户端的新建连接速度不能多于限定值。但这类方式对于提供HTTP服务的主机来说，很难保证交易的完整性，为什么呢，因为一个HTTP的交易（Transaction）很可能由多个请求和多个响应来构成，而这些请求和响应是很可能基于多个连接的基础上的。如果在一个交易内的前某些个请求可以被服务，而其他的请求不能被服务，那么就很难保证该交易的完整性。从而引起不好的用户体验。

图1示例了一般基于QoS或者TCP进行访问控制的系统结构图，在这里能看到上述两类访问控制，都是工作在操作系统内部，这种系统结构只能以整个系统为目标做连接数限制，同时不了解系统提供的各种系统服务的逻辑，不能保证HTTP交易的完整性。

发明内容

针对上述已有技术的不足，本发明的目的是提供一种基于负载均衡的高级访问控制系统，该系统在控制TCP连接数以及新建连接速度的同时，保证HTTP交易的完整性。

本发明的另一目的是在本发明系统的基础上提供一种基于负载均衡的高级访问控制方法，该方法在控制TCP连接数以及新建连接速度的同时，保证HTTP交易的完整性。

为实现上述目的，本发明提供一种基于负载均衡的高级访问控制系统，它包括负载均衡设备硬件、操作系统和系统应用模块，其中系统应用模块包含有独立于操作系统的高级访问控制模块，所述的高级访问模块中有预先定义的高级访问控制规则，所述的高级访问控制模块用于接收来自操作系统的服务数据包，并应用预先定义的高级访问规则，生成该服务数据包的高级访问控制数据，所述的高级访问控制模块据此判断是否允许该服务数据包的访问。

所述的高级访问控制模块可以工作在虚拟服务、全局服务及NAT网络(网络地址转换)上。

在本发明系统基础上，本发明还提供了一种基于负载均衡的高级访问控制方法，包括以下步骤：

步骤一，搭建系统网络，并根据系统需求在高级访问模块中预先定义高级访问控制规则；

步骤二，当操作系统模块收到来自客户端的服务连接的请求后，将服务数据包送至高级访问控制模块；

步骤三，高级访问控制模块应用上述预先定义的高级访问规则，生成该服务数据包的高级访问控制数据，并据此判断是否允许该服务连接的访问。

进一步地，上述定义高级访问规则包括以下步骤：

步骤四，预先定义对用户范围的限制规则；

步骤五，预先定义在并发连接数和新建连接速度之间二选一的连接类型限制规则；

步骤六，预先定义逐I P限制和子网限制规则；

进一步地，对于HTTP服务的高级访问控制，还包括以下步骤：

步骤七，当并发连接数和新建连接速度超载时,通过解析HTTP交易的完整性标识判断哪些连接是“基于已有交易的后续新建连接”，是则直接通过，否则被告知拒绝访问。