一种应用安全接入网关系统及路由转发方法技术方案

本发明专利技术公开了一种应用安全接入网关系统及路由转发方法，系统包括后台管理系统和服务网关系统，所述服务网关系统包括前置路由器

【技术实现步骤摘要】
一种应用安全接入网关系统及路由转发方法


[0001]本专利技术属于网络数据传输的
，具体涉及一种应用安全接入网关系统及路由转发方法
。

技术介绍

[0002]在企业数字化和办公移动化建设过程中，随着各种移动平台的逐步推广运用，例如企业微信等，越来越多的核心业务实现移动化办公，这就对业务数据的安全性提出了更高的要求，必须保障业务数据在互联网传输过程中的安全性
。
[0003]现有技术中，通过在企业现有技术架构路线中统一建设的安全交互平台，可以部分满足移动平台中离线应用的业务数据网络传输安全要求
。
如图1所示，安全交互平台主要由三个模块组成：安全交互后台
、
安全交互代理
、JS
‑
SDK。
安全交互后台在企业数据中心统一部署实施，作为移动端互联网请求唯一入口，安全交互后台统一将请求路由转发到各业务应用的后台服务
。
在移动端为
APP
应用提供
JS
‑
SDK
集成组件，通过
JS
‑
SDK
提供的接口可以在手机上启动安全交互代理进程，并获得安全交互代理的访问地址
。
安全交互代理与安全交互后台负责建立安全网络通道，移动
APP
所有的业务请求地址都必须是安全交互代理的访问地址，业务请求通过建立的安全网络通道转发到业务后台服务
。
[0004]目前，常用的服务网关系统大部分都是基于
Spring Cloud Gateway
扩展实现的，使用注册中心组件动态构建路由或者通过配置文件构建静态路由，默认情况下只具备基本的请求路由转发功能，主要存在以下问题：
①
现有的服务网关系统只能以微服务为单位进行接入管理，构建的路由表也是以微服务为单位
。
在实际的生产运营和运维体系中，都是以业务系统为单位的管理模式
。
在微服务架构下，大型的业务系统都是由多个微服务组件构成，这就需要将业务系统的微服务打包为一个整体，统一管理和配置
。
[0005]②
只有基本的路由转发功能，没有完善的安全防护措施
。
网关作为业务系统的统一入口，除了基本的请求路由转发，还需要必要的安全防护措施，保障业务系统接口和数据的安全
。
[0006]③
配置参数无法在线维护并实时生效
。
传统的方式都是通过配置文件的方式维护系统参数，参数变更以后需要重启系统，参数才能生效，在高并发的网关系统中断服务是不可取的
。
[0007]④
只支持通过注册中心构建动态路由，或者通过配置文件构建静态路由
。
但是静态路由相关的配置参数无法在线编辑，修改静态路由参数后必须重启服务网关
。
[0008]⑤
无法对多种应用层网络协议提供支持，一般对网关服务只支持
HTTP/HTTPS
协议
。
支持行业上多种主流网络数据传输协议（例如
Websocket、Dubbo
等）也存在迫切的需求，通过协议解析扩展机制支持私有数据传输协议
。
[0009]⑥
在常规的基于应用请求路径的路由匹配策略之外，没有其他扩展机制实现灵活的路由匹配实现，例如根据请求元数据
、
客户端源地址匹配等策略
。
针对应用私有数据传输
协议，要能够快速的定制路由匹配策略
。
[0010]⑦
随着接入的应用越来越多，全局路由表越发庞大，导致请求数据包路由匹配效率急剧下降，严重影响应用的效率和吞吐量
。
[0011]随着各种分布式开发框架的发展，不同用途的分布式网络数据通讯协议被采用，例如应用层跨平台文本协议
HTTP
，基于
TCP/IP
协议的
RPC
二进制私有协议
、
应用层全双工通讯协议
Websocket
等
。
这就需要一种服务机制统一管理和协调各种协议的访问和数据包的路由转发
。
其次，随着接入的应用越来越多，导致全局路由表越发庞大起来，严重影响请求路由匹配效率，降低整个系统的吞吐量
。
整体的应用接入管理系统架构无法实现真正的横向服务能力扩展，分摊应用请求的流量
。

技术实现思路

[0012]本专利技术的目的在于提供一种应用安全接入网关系统及路由转发方法，旨在解决上述的问题
。
[0013]本专利技术主要通过以下技术方案实现：一种应用安全接入网关系统，包括后台管理系统和服务网关系统，所述后台管理系统用于提供
WEB
端管理界面
、
应用接入管理
、
应用配置参数维护；所述服务网关系统包括前置路由器
、
全局路由表
、
虚拟转发器
、
全局转发过滤器，所述服务网关系统设置有服务端口和管理端口，所述服务端口用于接收请求并发送至前置路由器，所述管理端口用于接入后台管理系统；网关集群分组为若干个具有独立子域名的网关集群组，每个网关集群组分别设置一个全局路由表，所述后台管理系统用于使用相应子域名的网关集群组访问应用的服务；每个接入的应用分别对应一个虚拟转发器，虚拟转发器用于负责该应用所有请求的路由转发工作，所述虚拟转发器包括应用配置模块
、
路由组表；所述前置路由器用于解析请求数据包使用的数据通讯协议并依据对应应用的网关集群组的全局路由表匹配路由对象，并将匹配成功的路由对象发送至对应应用的虚拟转发器；所述全局路由表用于维护静态路由和动态路由信息，为前置路由器提供
API
请求匹配依据和策略；所述应用配置模块用于创建静态路由并推送至全局路由表，注册中心用于获取应用服务信息并创建动态路由推送至全局路由表；所述路由组表用于负责应用所有请求的路由转发工作，并发送至全局转发过滤器；所述全局转发过滤器用于负责管理与远程应用的网络通讯，实现请求数据包的复制转发和协议转换
。
[0014]为了更好地实现本专利技术，进一步地，所述路由组表包括过滤器链模块
、
转发模块，所述过滤器链模块用于执行过滤器链，所述转发模块用于将转发请求至全局转发过滤器
。
[0015]为了更好地实现本专利技术，进一步地，所述过滤器链包括从前至后依次设置的
HTTP
检查过滤器
、
认证授权过滤器
、
加解密过滤器
、
防重过滤器
、XSS
过滤器
、SQL
注入过滤器
。
[0016]为了更好地实现本专利技术，进一步地，所述全局路由表中的路由条目按照匹配优先级由本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.
一种应用安全接入网关系统，其特征在于，包括后台管理系统和服务网关系统，所述后台管理系统用于提供
WEB
端管理界面
、
应用接入管理
、
应用配置参数维护；所述服务网关系统包括前置路由器
、
全局路由表
、
虚拟转发器
、
全局转发过滤器，所述服务网关系统设置有服务端口和管理端口，所述服务端口用于接收请求并发送至前置路由器，所述管理端口用于接入后台管理系统；网关集群分组为若干个具有独立子域名的网关集群组，每个网关集群组分别设置一个全局路由表，所述后台管理系统用于使用相应子域名的网关集群组访问应用的服务；每个接入的应用分别对应一个虚拟转发器，虚拟转发器用于负责该应用所有请求的路由转发工作，所述虚拟转发器包括应用配置模块
、
路由组表；所述前置路由器用于解析请求数据包使用的数据通讯协议并依据对应应用的网关集群组的全局路由表匹配路由对象，并将匹配成功的路由对象发送至对应应用的虚拟转发器；所述全局路由表用于维护静态路由和动态路由信息，为前置路由器提供
API
请求匹配依据和策略；所述应用配置模块用于创建静态路由并推送至全局路由表，注册中心用于获取应用服务信息并创建动态路由推送至全局路由表；所述路由组表用于负责应用所有请求的路由转发工作，并发送至全局转发过滤器；所述全局转发过滤器用于负责管理与远程应用的网络通讯，实现请求数据包的复制转发和协议转换
。2.
根据权利要求1所述的一种应用安全接入网关系统，其特征在于，所述路由组表包括过滤器链模块
、
转发模块，所述过滤器链模块用于执行过滤器链，所述转发模块用于将转发请求至全局转发过滤器
。3.
根据权利要求2所述的一种应用安全接入网关系统，其特征在于，所述过滤器链包括从前至后依次设置的
HTTP
检查过滤器
、
认证授权过滤器
、
加解密过滤器
、
防重过滤器
、XSS
过滤器
、SQL
注入过滤器
。4.
根据权利要求1所述的一种应用安全接入网关系统，其特征在于，所述全局路由表中的路由条目按照匹配优先级由高到低分为静态调整组
、
动态调整组和默认组
。5.
根据权利要求1所述的一种应用安全接入网关系统，其特征在于，所述后台管理系统包括应用接入模块
、
路由转发模块
、
安全配置模块
、
配置分发模块；所述应用接入模块用于配置国密
SM2
密钥对，实现数据加密与签名；所述路由转发模块用于配置路由转发规则，以实现构建路由；所述安全配置模块用于配置过滤器链；所述配置分发模块用于采用主动推送模式，实时分发变更的应用配置参数到所有服务网关
。6.
一种应用安全接入网关路由转发方法，采用权利要求1‑5任一项所述的网关系统进行，其特征在于，包括以下步骤：步骤
S100
：后台管理系统和服务网关系统交互，接入应用系统；步骤
S200
：在...

【专利技术属性】
技术研发人员：邓大建，张捷，黄浩，阮正平，宋卫平，高攀，田富强，谷波，席萌，
申请(专利权)人：四川中电启明星信息技术有限公司，
类型：发明
国别省市：