[发明专利]一种结合零信任思想的跨云池安全接入方法和系统

说明书

本发明公开一种结合零信任思想的跨云池安全接入方法和系统，基于单包授权思想在三次握手过程后立即发送授权认证包，实现终端身份识别；无授权单包或单包无效，则不处理该链接的报文并终止连接。将终端与安全网关的长连接修改为按需连接。每个连接独立于一个SSL/TLS隧道中，提高连接稳定性及抗网络干扰能力。同时因采用隧道独立设计，支持终端可与多个独立安全网关建立连接。对多资源池的资源连接具备了天然的优势。终端能够根据连接目标资源所在的资源云池，自适应识别就近安全网关，并与之建立安全隧道，用于用户访问资源云池内的资源。本发明可随时随地安全的同时与各资源云池建立安全隧道，提供安全便捷的访问路径。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种结合零信任思想的跨云池安全接入方法和系统。

背景技术

远程安全接入目前采用的技术多为VPN技术，其通过在用户侧与VPN网关建立SSL/TLS加密隧道，将用户操作数据流在安全加密隧道中传输，实现远程服务器的安全连接访问。VPN对于终端的安全控制多采用黑名单模式，通过获取终端的硬件标识，设置黑名单拒绝连接。

现有安全接入模式，无法满足用户对多资源池（多网络隔离区）内的资源的同时访问，用户需要在各资源池的VPN上频繁切换，才能连接相应VPN内的资源；安全接入模式采用长连接方式，当网络切换或网络中断时，VPN连接状态中断，需要重连等操作，影响用户体验。、黑名单方式可拒绝黑名单终端的连接，但VPN网关存在网络暴露面，容易被恶意用户攻击，从而可能出现越权访问。

发明内容

本发明的目的在于提供一种结合零信任思想的跨云池安全接入方法和系统，多云池资源的企业或需要远程接入办公的场景下，为用户远程接入提供安全便捷的系统。

本发明采用的技术方案是：

一种结合零信任思想的跨云池安全接入系统，其包括用户终端以及与用户终端连接的若干资源云池，每个资源云池均设置接入网关，用户终端通过对应的接入网关连接资源云池；其中一个资源云池上部署独立部署策略中心和认证中心，接入网关通过策略中心连接认证中心，认证中心对接资源云池上的受控资源；接入网关与客户端交互提供SPA单包授权能力及安全隧道的建立能力；策略中心根据用户身份控制用户接入的网关及资源；认证中心提供授权用户的身份认证能力；用户终端上安装有授信客户端，授信客户端提供SPA单包授权唯一身份标识及安全隧道建立基础能力。

进一步地，认证中心提供未接入用户提供身份注册认证能力。

进一步地，授信客户端通过识别用户连接的目标IP以确定访问对象是否为受控域内的资源。

进一步地，每个资源云池均设有审计模块，接入网关经审计模块对接资源云池上的普通资源。

一种结合零信任思想的跨云池安全接入方法，采用所述一种结合零信任思想的跨云池安全接入系统，其包括以下步骤：

步骤1，授信客户端获取当前业务连接的目标IP；

步骤2，判断目标IP是否为受控域内的资源；是则，通过虚拟网卡与目标IP所在受控域的接入网关建立连接并执行步骤3；否则，用户终端与目标IP所在普通域的接入网关建立连接并执行步骤5；

步骤3，策略中心判断是否授权用户终端；是则，授权进行用户身份认证执行步骤4；否则，未授权中断连接，

步骤4，认证中心进行用户身份认证是否通过；是则，建立安全隧道并转发业务数据；否则，返回认证失败信息并中断连接；

步骤5，用户终端与资源云池上对应的资源进行数据传输交换。

进一步地，步骤2中通过虚拟网卡与目标IP所在受控域的接入网关建立连接时，向目标IP所属接入网关建立TCP连接同时发送SPA包。

进一步地，步骤3中策略中心通过校验SPA包判断是否授权用户终端。