[发明专利]内网环境中的访问控制方法、装置、存储介质及电子设备

说明书

本发明公开了一种内网环境中的访问控制方法、装置、存储介质及电子设备，控制方法包括：在Haproxy中配置好访问控制规则；从客户端请求中获取来源IP、访问Host和访问url三项待匹配数据；将所述三项待匹配数据与Haproxy中的预设规则进行匹配，根据匹配结果执行相应的处理动作，所述处理动作包括拦截或放行。解决传统内网IP访问控制方法存在的权限准确度不够、无法对内网系统提供有效防护的技术问题。

技术领域

本发明是涉及网络信息技术领域，特别是涉及一种内网环境中的访问控制方法、装置、存储介质及电子设备。

背景技术

目前，内网环境常用的IP访问控制方法是基于网络连通策略在网络层进行控制，也有基于iptables等在主机层面进行访问控制，这两种方法都是依据来源IP是否匹配预设规则来决定是否放行。

但是，这两类方法的控制粒度太粗、维度太少，无法满足内网业务复杂多样的场景。通常对于一个企业而言，内网环境存在多种web系统，有给运维人员使用的运维系统，有给财务人员使用的财务系统，有给HR使用的考勤管理系统，这些系统可能部署在内网同一块逻辑网络区。如果采用传统的基于IP开放网络策略的方式，那么就会造成财务人员的终端可以访问运维系统、运维人员的终端可以访问财务管理系统。

公开于该背景技术部分的信息仅仅旨在增加对本发明的总体背景的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域一般技术人员所公知的现有技术。

发明内容

为解决上述问题，本发明的目的在于提供一种内网环境中的访问控制方法、装置、存储介质及电子设备，解决传统内网IP访问控制方法存在的权限准确度不够、无法对内网系统提供有效防护的技术问题。

第一方面，本发明提供了一种内网环境中的访问控制方法，包括：在Haproxy中配置好访问控制规则；

从客户端请求中获取来源IP、访问Host和访问url三项待匹配数据；

将所述三项待匹配数据与Haproxy中的预设规则进行匹配，根据匹配结果执行相应的处理动作，所述处理动作包括拦截或放行。

在一种可能的实现方式中，所述访问控制规则通过匹配条件以及匹配条件之间的逻辑关系来配置。

在一种可能的实现方式中，所述来源ip的匹配条件为来源ip等于指定ip，或者来源ip属于某个ip段，所述访问Host的匹配条件为访问Host等于某个域名，或者访问Host等于某个ip，所述访问url的匹配条件为访问url等于某个url。

在一种可能的实现方式中，所述匹配条件之间的逻辑关系为三项匹配条件得同时匹配。

在一种可能的实现方式中，所述来源ip、访问Host和访问url直接从Haproxy提供的接口中获取。

在一种可能的实现方式中，所述，获取所述来源ip的匹配数据的步骤中，当客户端与Haproxy直接连接时需要从tcp层数据报文获取ip，当客户端与Haproxy之间有其它代理时需要从http协议头的x-forwarded-for字段获取。

在一种可能的实现方式中，当三项匹配条件都匹配上时，放行请求；当有一项匹配条件匹配不上时，拦截请求，所述拦截动作设置为默认。

第二方面，本发明还提供了一种内网环境中的访问控制装置，包括：规则配置模块，其用来在Haproxy中配置好访问控制规则；匹配数据获取模块，其用来从客户端请求中获取来源IP、访问Host和访问url三项待匹配数据；以及处理模块，其用来将所述三项待匹配数据与Haproxy中的预设规则进行匹配，再根据匹配结果执行拦截或放行的处理动作。

第三方面，本发明还提供了一种存储介质，所述存储介质存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求上述的内网环境中的访问控制方法。