一种网桥透明代理方法、装置、存储介质及设备.pdf

(19)国家知识产权局(12)发明专利申请(10)申请公布号CN115914425A(43)申请公布日2023.04.04(21)申请号202211650671.3H04L101/622(2022.01)(22)申请日2022.12.21(71)申请人北京天融信网络安全技术有限公司地址100085北京市海淀区上地东路1号院3号楼四层申请人北京天融信科技有限公司北京天融信软件有限公司(72)发明人杜晓宇(74)专利代理机构北京超凡宏宇专利代理事务所(特殊普通合伙)11463专利代理师钟扬飞(51)Int.Cl.H04L69/16(2022.01)H04L69/163(2022.01)H04L12/46(2006.01)权利要求书2页说明书10页附图4页(54)发明名称一种网桥透明代理方法、装置、存储介质及设备(57)摘要本申请实施例提供一种网桥透明代理方法、装置、存储介质及设备，该方法中，对透明代理设备的Linux网桥进行配置，将需要用于转发的两个业务口加入该Linux网桥中，在截获到客户端发送的SYN报文时，保存该SYN报文中包括MAC地址信息及SYN入接口索引在内的以太网帧头信息，之后利用指定钩子点将保存的以太帧头信息反转源MAC地址和目的MAC地址后添加到构造的SYN‑ACK报文，并将该目标SYN报文从SYN入接口发送出去，以建立与客户端的连接，而在与服务端建立连接时，将保存的以太帧头信息添加到构造的目标SYN报文中并从Linux网桥上除SYN入接口以外的另一个业务口发送出去。如此，实现了交换网络透明网桥模式下透明代理，无需更改网络拓扑，无需配置IP和路由，且易于实现。CN115914425ACN115914425A权利要求书1/2页1.一种网桥透明代理方法，其特征在于，应用于透明代理设备，所述透明代理设备的Linux网桥上配置有两个业务口；所述方法包括：截获客户端向服务端发送的TCP的SYN报文，保存所述SYN报文中的以太网帧头信息；所述以太网帧头信息包括MAC地址信息及SYN入接口索引；构造SYN‑ACK报文，利用指定钩子点将保存的以太帧头信息中的源MAC地址和目的MAC地址反转后，添加到所述SYN‑ACK报文头部，并将所述SYN‑ACK报文从所述SYN入接口索引对应的业务口发送出去，在再次接收到所述客户端的报文时，确定与所述客户端建立连接；在与所述服务端建立连接时，构造目标SYN报文，利用所述指定钩子点将保存的以太帧头信息添加到所述目标SYN报文中，并将所述目标SYN报文从目标外出接口发送出去；所述目标外出接口是所述Linux网桥上除所述SYN入接口索引对应的业务口以外的另一个业务口。2.根据权利要求1所述的方法，其特征在于，所述透明代理设备的Linux内核中设置有ebtables扩展模块；所述截获客户端向服务端发送的TCP的SYN报文，包括：通过所述ebtables扩展模块，对进入的TCP报文进行匹配，以确定所述TCP报文是否属于已建立的Socket或者监听的透明代理Socket；所述TCP报文包括SYN报文；若匹配成功，通过策略路由将所述TCP报文发送到所述Linux内核。3.根据权利要求2所述的方法，其特征在于，所述通过策略路由将所述TCP报文发送到所述Linux内核之前，包括：将所述TCP报文打上MarkX标记；所述Linux内核中设置有：针对带有MarkX标记的报文，禁止将目的MAC地址设置为进入接口MAC地址。4.根据权利要求1所述的方法，其特征在于，所述保存所述SYN报文中的以太网帧头信息，包括：创建request_sock结构体，并在所述request_sock结构体中增加tproxy_option信息，所述tproxy_option信息用于记录所述SYN报文中的以太网帧头信息。5.根据权利要求1所述的方法，其特征在于，所述指定钩子点是Netfilter的POST_ROUTING钩子点。6.根据权利要求1所述的方法，其特征在于，所述透明代理设备的Linux内核中设置有目标套接字参数；所述方法还包括：基于接收到所述服务端返回的报文的业务口的索引，更新所述目标套接字参数。7.根据权利要求1所述的方法，其特征在于，所述方法还包括：当存在需要发送给所述服务端的透明代理报文时，使用所述目标套接字参数设置所述透明代理报文的报文头部，并将所述透明代理报文从所述目标外出接口发送出去。8.一种网桥透明代理装置，其特征在于，应用于透明代理设备，所述透明代理设备的Linux网桥上配置有两个业务口；所述装置包括：帧头保存模块，用于截获客户端向服务端发送的TCP的SYN报文，保存所述SYN报文中的以太网帧头信息；所述以太网帧头信息包括MAC地址信息及SYN入接口索引；第一外发模块，构造SYN‑ACK报文，利用指定钩子点将保存的