[发明专利]一种WEB安全反向代理方法

说明书

本发明公开了一种WEB安全反向代理方法，该方法包括：访问者通过访问认证URL将第一访问请求发送至认证授权程序，认证授权程序判断该访问者为合法访问者；认证授权程序为合法访问者返回授权信息，确定该访问者能够访问的WEB服务，动态随机生成反向代理URL；WEB反向代理程序从反向代理URL中解析出代理端口，为每一个代理端口动态形成安全规则；并生成反向代理规则；WEB反向代理程序依据安全规则检查第二访问请求的源IP是否允许访问该反向代理URL中的代理端口；检查通过，合法访问者依据反向代理规则进入WEB反向代理。本发明在无需安装SDP客户端或者其它客户端的情况下，具备高的安全防护。

技术领域

本发明涉及WEB应用安全技术领域，具体涉及一种WEB安全反向代理方法。

背景技术

WEB反向代理是WEB服务部署时广泛使用的一种方法。如图1所示，通过使用WEB反向代理，可以隐藏真实WEB服务的服务端口和访问路径。当非法访问者发起攻击时，攻击对象是WEB反向代理程序，不能直接攻击真实WEB服务程序。但WEB反向代理存在安全隐患：虽然没有暴露真实WEB服务的服务端口，但暴露了代理服务端口给访问者(如图1的8000端口)。攻击者可以通过端口扫描侦察到WEB反向代理提供的代理端口，并对代理端口发起攻击，导致WEB反向代理无法正常提供代理服务，实质上也妨碍了正常访问者对真实WEB服务的访问。为了防止攻击者扫描侦察到WEB反向代理提供的代理端口，保护WEB反向代理程序，目前使用的技术方案有两种：

1.在WEB反向代理程序前部署防火墙进行保护。当防火墙规则是静态规则，无法适应动态变化的攻击者。

2.使用SDP方案。访问者安装SDP客户端程序，客户端程序通过SPA认证以及授权后，才能通过安全隧道访问WEB反向代理程序。该方案能够做到极高的安全防护，但代价是访问者需要安全客户端程序，易用性降低。同时客户端程序同操作系统的兼容性也是一个难题，影响使用者的体验。

综上，行业内急需研发这一种无需安装其它客户端，但具备高的安全防护的web反向代理。

发明内容

本发明的目的是为了克服以上现有技术存在的不足，提供了一种安全性更高、不需要安装其它客户端的安全反向代理方法。

本发明的目的通过以下的技术方案实现：

一种WEB安全反向代理方法包括：访问者通过访问认证URL将第一访问请求发送至认证授权程序，认证授权程序判断该访问者为合法访问者；认证授权程序为合法访问者返回授权信息，确定该访问者能够访问的WEB服务，并为每个可访问的WEB服务，动态随机生成反向代理URL；其中，所述反向代理URL包括代理端口；认证授权程序将合法访问者的IP、动态随机生成的反向代理URL和所述反向代理URL对应的WEB服务均通告到WEB反向代理程序；WEB反向代理程序从反向代理URL中解析出代理端口，为每一个代理端口动态形成安全规则；并根据反向代理URL和对应的WEB服务信息，生成反向代理规则；认证授权程序向合法访问者推送访问WEB服务的指示，合法访问者根据所述指示发送第二访问请求至WEB反向代理程序；WEB反向代理程序依据安全规则检查所述第二访问请求的源IP是否允许访问该反向代理URL中的代理端口；检查通过，合法访问者依据反向代理规则进入WEB反向代理。

优选地，所述认证授权程序判断该访问者为合法访问者包括：认证授权程序根据所述第一访问请求向访问者返回登录认证页面；访问者按照登录认证页面的要求填写所有认证信息，并提交至认证授权程序；认证授权程序根据所述认证信息，进行访问者的认证和授权，确定为合法访问者。

优选地，所述认证授权程序向合法访问者推送访问WEB服务的指示，合法访问者根据所述指示发送第二访问请求至WEB反向代理程序包括：认证授权程序向合法访问者推送包括该访问者可以访问的WEB服务图标的主页，其中，WEB服务图标隐含了该WEB服务对应的反向代理URL；该访问者点击图标发起访问，将第二访问请求被送到WEB反向代理程序。