一種基于預連接的Web反向代理方法
【專利說明】一種基于預連接的Web反向代理方法
[0001]
技術領域
[0002]本發(fā)明針對不同網(wǎng)絡連接之間存在防火墻隔離的網(wǎng)絡環(huán)境，具體的隔離策略是安全等級高的一方可以訪問等級低的一方，反之不可以。本發(fā)明涉及一種Web反向代理技術，特別是一種基于預連接的Web反向代理方法。
【背景技術】
[0003]在電力二次系統(tǒng)中，根據(jù)不同業(yè)務系統(tǒng)的重要性，劃分了不同的安全工作區(qū)，比如生產(chǎn)區(qū)(I區(qū)、II區(qū))、管理區(qū)(III區(qū)、IV區(qū))。不同的安全工作區(qū)明確了不同的安全防護要求，提出了不同的安全等級和防護水平。在不同工作區(qū)之間部署的正/反向隔離裝置，提高了電力通信網(wǎng)絡的安全性，但同時也在一定程度上給不同工作區(qū)之間的通信帶來了不便。隨著通信與網(wǎng)絡的發(fā)展，以及電力改革的推進和電力市場的建立，電網(wǎng)的調(diào)度中心與變電站、電廠、用戶等之間進行的數(shù)據(jù)交換越來越頻繁。但一些變電站、電廠在規(guī)劃和設計時由于經(jīng)濟原因或者對網(wǎng)絡安全重視程度不同的原因，沒有建設安全的網(wǎng)絡環(huán)境，因此對電網(wǎng)的安全運行構成了隱患。
[0004]為了能夠?qū)ν馓峁╇娋W(wǎng)管理應用系統(tǒng)，需要將服務設施對外發(fā)布。在建設網(wǎng)絡時，考慮到網(wǎng)絡安全，建設了隔離區(qū)(DMZ區(qū))，作為內(nèi)部網(wǎng)絡和外部網(wǎng)絡之間的緩沖區(qū)，可以放置用于公開的服務設施。
[0005]DMZ區(qū)與III區(qū)之間的防火墻規(guī)則是JII區(qū)應用可以主動向DMZ區(qū)應用發(fā)起訪問請求，且建立的連接可以雙向通信，而DMZ區(qū)應用不可以直接向III區(qū)應用發(fā)起訪問請求。外部網(wǎng)絡的訪問請求在經(jīng)過防火墻過濾之后可以到達DMZ區(qū)應用。
[0006]部署在III區(qū)的Web服務為了讓外網(wǎng)能夠訪問，目前的做法是將該Web服務在DMZ區(qū)也相同地部署一份，同時，對于外網(wǎng)提交的數(shù)據(jù)，在DMZ區(qū)與III區(qū)之間進行數(shù)據(jù)同步和流程同步。
[0007]然而，目前的這種部署方式存在很大的不足，主要是如下兩點:(I)需在DMZ區(qū)部署相同的服務，包括Web服務器、數(shù)據(jù)庫服務器、存儲整列等，成本較高；(2)對于復雜的工作流通過文件進行交換的方式進行數(shù)據(jù)同步，軟件開發(fā)的工作量很大。

【發(fā)明內(nèi)容】

[0008]本發(fā)明針對這對這種網(wǎng)絡環(huán)境下的外網(wǎng)訪問需求，提出了一種簡便、穩(wěn)定而且經(jīng)濟的反向代理方法。
[0009]本發(fā)明的基于預連接的反向代理方法，主要涉及到如下幾個部分:
位于III區(qū)的后臺Web服務器會主動向位于DMZ區(qū)的反向代理服務器發(fā)起建立連接的請求，其中，后臺Web服務器在啟動時讀取配置文件中設置的反向代理服務器IP地址和端口信息，向反向代理服務發(fā)出建立socket連接的請求。反向代理服務器會一直監(jiān)聽預設的端口，當收到建立連接的請求后，與后臺Web服務器建立預設數(shù)量的socket連接，并將這些socket存儲到socket存儲池中，用于反向代理服務器轉(zhuǎn)發(fā)請求時直接使用與后臺Web服務器建立好的socket通信連接。
[0010]另外，當客戶端發(fā)起Http/Https的網(wǎng)頁請求時，該請求經(jīng)過網(wǎng)絡傳輸?shù)竭_反向代理服務器時，反向代理服務器會首先根據(jù)規(guī)則，確定該請求是否需要反向代理方式處理，若需要反向代理方式處理，則從socket存儲池中取出可用的socket連接，通過該連接將客戶端的請求轉(zhuǎn)發(fā)給后臺Web服務器。在處理完該請求后，將當前使用的socket存儲到socket存儲池中，以循環(huán)利用，減少每次連接都需要新建socket的開銷。
[0011]進一步地，反向代理服務器會定期地向后臺Web服務器發(fā)出心跳信息，以告知后臺Web服務器這些預連接的socket的狀態(tài)。反向代理服務器是在網(wǎng)絡協(xié)議棧的第七層，即應用層發(fā)出心跳信息，后臺Web服務器收到心跳信息后，會返回固定的標識符。同時，后臺Web服務器會維護一個所有預連接的socket的最后收到心跳的時間列表，若發(fā)現(xiàn)某個socket的最后心跳時間距離當前時間超過預設的一個閾值，則在Web服務器端會主動關閉該socket連接，同時遞補地創(chuàng)建一個新的socket連接。
[0012]進一步地，定期心跳的步驟為:
反向代理服務器定時地對socket資源池中的每個socket，從資源池中取出，向后臺發(fā)出AJP協(xié)議格式的請求內(nèi)容為空的Cping/Cpong心跳信息；
若心跳測試發(fā)出，立刻將該socket存儲到socket資源池中；若心跳測試失敗，則再嘗試發(fā)送N次心跳，若其中有一次發(fā)送成功則將對應的socket放入socket資源池中，若直到第N次發(fā)送仍失敗，則關閉該socket ；
后臺Web服務器記錄每個已建立的socket的最后收到心跳的時間，若超過一個預先設定的時間閾值，則在后臺Web服務器端主動關閉該socket連接。
[0013]本發(fā)明具有如下的優(yōu)點:
(I)相對于傳統(tǒng)解決方案，本發(fā)明對應用系統(tǒng)透明，即無需應用系統(tǒng)做任何DMZ區(qū)網(wǎng)絡的適應性開發(fā)，應用系統(tǒng)依然部署在III區(qū)，只需在DMZ區(qū)部署代理服務，外網(wǎng)用戶就能通過代理服務訪問到III區(qū)的應用系統(tǒng)；可以將III區(qū)的應用系統(tǒng)大規(guī)模應用到DMZ區(qū)網(wǎng)絡，讓外網(wǎng)用戶訪問。
[0014](2)在實現(xiàn)讓外部網(wǎng)絡通過DMZ區(qū)訪問位于內(nèi)部網(wǎng)絡的應用系統(tǒng)服務時，滿足網(wǎng)絡方面所要求的安全性。
[0015](3)相對于在DMZ區(qū)部署一套跟內(nèi)部網(wǎng)絡上的后臺應用一樣的系統(tǒng)，采用基于預連接的反向代理方案，由于在DMZ區(qū)只需部署反向代理服務器，所需硬件資源少，能夠有效地降低硬件和軟件上的成本；同時，由于應用系統(tǒng)只在III區(qū)單邊部署，系統(tǒng)升級操作簡單。
【附圖說明】
[0016]圖1為本發(fā)明針對的網(wǎng)絡環(huán)境的示意圖；
圖2為本發(fā)明的創(chuàng)建預連接的socket的過程示意圖；
圖3為用戶發(fā)出請求后，反向代理服務器和后臺Web服務器的處理流程示意圖；
圖4為對預連接的socket進行定期心跳檢測和無效socket釋放的過程示意圖。
【具體實施方式】
[0017]為