零信任中保护应用流量的方法、装置及计算设备与流程

1.本发明实施例涉及计算机技术领域，具体涉及一种零信任中保护应用流量的方法、装置及计算设备。


背景技术：

2.在零信任网络运行场景下，通常会同时使用公共应用和受零信任保护的应用，比如说同时使用百度网站与自己的办公自动化(office automation，oa)系统，而且可能在同一浏览器中，也可能在不同应用软件上，那么如何区分流量并且实现保护成为需要解决的问题。区分流量很简单，因为它们的地址不一样，或者说域名不一样，难点在于如何把受保护的应用流量和非受保护流量分开实现保护应用流量安全进入接入网关，公众应用流量直接走本机出口。
3.现有技术中可以通过修改主机hosts，因为在设备访问网络的过程中首先在hosts里找到命名主机对应的ip进行访问的。只要在这里进行重定向，就可以把对应受保护的流量指向需要流向的主机。这种方法缺陷很多，特别不适用于零信任网络。首先，在零信任网络中，虽然受保护流量能被重定向，但是这个流量无法被封装加密，被中间劫持怎么办，所以它无法解决中间人攻击问题。其次，很多杀毒软件会禁止软件改这个的。还有应该最主要的问题，如果该主机是通过代理上网的，这样做将无法上网。因此，这种方法无法在零信任环境中顺利使用。
4.现有技术中也可以是修改dns，就是把主机的dns改成特定的dns服务器，然后这个dns进行受保护和非受保护的流量的主机解析，这种方法效果等同于第一种。这种方法基本上等同于前一种，不过比前一种的好处是杀毒软件不会提拦截修改dns的。


技术实现要素：

5.鉴于上述问题，本发明实施例提供了一种零信任中保护应用流量的方法、装置及计算设备，克服了上述问题或者至少部分地解决了上述问题。
6.根据本发明实施例的一个方面，提供了一种零信任中保护应用流量的方法，所述方法包括：终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流。
7.在一种可选的方式中，所述接收到应用流量数据时，获取流量主机地址之前，包括：在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口；所述代理开机时，从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。
8.在一种可选的方式中，所述获取流量主机地址，包括：根据代理协议从代理的指令中获取所述流量主机地址。
9.在一种可选的方式中，所述根据判断结果对应用流量进行区分和分流，包括：如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零
信任网关与应用服务器进行流量交互；如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
10.在一种可选的方式中，所述将受保护的应用流量放入零信任网关，包括：建立代理与所述零信任网关之间的流量通道；应用所述流量通道将受保护的所述应用流量放入所述零信任网关。
11.根据本发明实施例的另一个方面，提供了一种零信任中保护应用流量的方法，包括：零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
12.根据本发明实施例的另一个方面，提供了一种零信任中保护应用流量的装置，所述装置包括：第一流量接收单元，用于终端侧的代理接收到应用流量数据，并获取流量主机地址；第一判断单元，用于判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；流量区分单元，用于如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
13.根据本发明实施例的另一个方面，提供了一种零信任中保护应用流量的装置，所述装置包括：第二流量接收单元，用于零信任网关接收从终端侧传输的受保护的应用流量；第二判断单元，用于确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；地址获取单元，用于如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；通道建立单元，用于根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
14.根据本发明实施例的另一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
15.所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述零信任中保护应用流量的方法的步骤。
16.根据本发明实施例的又一方面，提供了一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使所述处理器执行上述零信任中保护应用流量的方法的步骤。
17.本发明实施例通过终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流，能够正确识别保护和非保护应用流量并进行分流，算法简单。
18.上述说明仅是本发明实施例技术方案的概述，为了能够更清楚了解本发明实施例的技术手段，而可依照说明书的内容予以实施，并且为了让本发明实施例的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
19.通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通
技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
20.图1示出了本发明实施例提供的零信任中保护应用流量的方法的流程示意图；
21.图2示出了本发明实施例提供的又一零信任中保护应用流量的方法的流程示意图；
22.图3示出了本发明实施例提供的另一零信任中保护应用流量的方法示意图；
23.图4示出了本发明实施例提供的零信任中保护应用流量的装置的结构示意图；
24.图5示出了本发明实施例提供的又一零信任中保护应用流量的装置的结构示意图；
25.图6示出了本发明实施例提供的计算设备的结构示意图；
26.图7示出了本发明实施例提供的又一计算设备的结构示意图。
具体实施方式
27.下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。
28.图1示出了本发明实施例提供的零信任中保护应用流量的方法的流程示意图。该方法由终端执行。如图1所示，零信任中保护应用流量的方法包括：
29.步骤s11：终端侧的代理接收到应用流量数据时，获取流量主机地址。
30.在本发明实施例中，在步骤s11之前，在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口。该代理agent有代理应用上网功能，可以通过应用的代理服务器设定这个agent的本机地址和端口。
31.所述代理开机时，零信任网关在确认终端可信之后，agent从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。其中，保护应用虚拟地址表如表1所示，包括虚拟地址信息、真实地址信息、所属用户、应用名以及协议类型等。其中真实地址信息包括ip地址和端口。
32.表1保护应用虚拟地址表
[0033][0034]
在步骤s11中，根据代理协议从代理的指令中获取所述流量主机地址。具体地，当应用流量经过agent的时候，据代理协议，一定会有一个访问地址会出现在代理的指令里的目标地址里(不同代理当然可能格式不一)，该访问地址即为流量主机地址。
[0035]
步骤s12：判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中。
[0036]
将流量主机地址与保护应用虚拟地址表中的虚拟地址进行对比，确定流量主机地址是否存在于预存的保护应用虚拟地址表中。
[0037]
步骤s13：根据判断结果对应用流量进行区分和分流。
[0038]
在本发明实施例中，如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互。具体地，建立代理与所述零信任网关之间的流量通道；应用所述流量通道将与该流量主机地址相关的受保护的所述应用流量经封装加密后放入所述零信任网关。如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。如此可以自动区分流量，并进行分流，不改变用户的使用习惯，将受保护的应用流量放入零信任网关，非受保护的应用流量走原有通道，可以兼容原有流量使用通道，并且能实现对受保护流量的封装加密，实现简单、无需对在终端侧整个流量进行分析，只需要在代理协议指令中的目标地址做比对，进行流量解析，算法简单，计算量极少；且在终端实施无需受到系统限制，并且受到杀毒软件的限制较少。
[0039]
本发明实施例通过终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流，能够正确识别保护和非保护应用流量并进行分流，算法简单。图2示出了本发明实施例提供的零信任中保护应用流量的方法的流程示意图。该方法由零信任网关执行。如图2所示，零信任中保护应用流量的方法包括：
[0040]
步骤s21：零信任网关接收从终端侧传输的受保护的应用流量。
[0041]
在步骤s21之前，添加受保护应用的虚拟地址信息和实际地址信息的条目，并存储在所述保护应用虚拟地址表中。
[0042]
所有的应用流量在终端侧通过设置的代理agent进行区分和分流，其中受保护的应用流量经封装加密后放入零信任网关，零信任网关接收该受保护的应用流量。
[0043]
步骤s22：确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中。
[0044]
受保护的应用流量到达零信任网关之后，零信任网关经过包分析处理确认安全性。具体根据接收的受保护的应用流量获取流量主机地址，将获取的流量主机地址与预存的保护应用虚拟地址表进行比对，确定应用流量的流量主机地址是否在预存的保护应用虚拟地址表中。
[0045]
步骤s23：如果是，则根据所述保护应用虚拟地址表找到应用的真实地址。
[0046]
在本发明实施例中，如果应用流量的流量主机地址在预存的保护应用虚拟地址表中，则根据保护应用虚拟地址表找到应用的真实地址，具体根据流量主机地址查找保护应用虚拟地址表中对应的真实地址信息，从而获取应用的真实地址。如果应用流量的流量主机地址不在预存的保护应用虚拟地址表中，则丢弃应用流量，直接结束。
[0047]
步骤s24：根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
[0048]
根据应用的直接地址建立零信任网关与应用服务器之间的流量通道，将网关对接的受保护的应用流量应用建立的流量通道与应用服务器进行流量交互。
[0049]
本发明实施例通过识零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互，能够自动区分流量，算法简单，计算量极少。
[0050]
完整的零信任中保护应用流量的方法如图3所示，包括：
[0051]
步骤s301：在终端侧通过代理判断流量主机地址是否在保护应用虚拟地址表中。如果否，则执行步骤s302，否则，跳转至执行步骤s304。
[0052]
在步骤s301之前，在终端侧设置一个代理，该代理agent有代理应用上网功能，支持socks5和http代理协议，可以通过应用的代理服务器设定这个agent的本机地址和端口。
[0053]
所有应用流量经过代理agent时，根据代理协议，一定会有一个访问地址会出现在代理的指令里的目标地址里，该访问地址即为流量主机地址。判断该流量主机地址是否在保护应用虚拟地址表中。
[0054]
步骤s302：应用流量直接走原有通道并进行流量交互。
[0055]
如果流量主机地址不在保护应用虚拟地址表中，说明该应用流量是非受保护的应用流量，则直接走原有通道并处理流量交互。
[0056]
步骤s303：完成交互过程。
[0057]
完成非受保护的应用流量的交互，结束。
[0058]
步骤s304：建立与零信任网关之间的流量通道。
[0059]
如果流量主机地址在保护应用虚拟地址表中，说明该应用流量是受保护的应用流量，则建立代理与零信任网关之间的流量通道。
[0060]
步骤s305：将受保护的应用流量放入零信任网关。
[0061]
通过代理应用流量应用步骤s304中建立的流量通道将受保护的放入零信任网关。此过程中需要对受保护的应用流量进行封装加密。
[0062]
步骤s306：零信任网关接收受保护的应用流量。
[0063]
步骤s307：在零信任网关侧判断流量主机地址是否在保护应用虚拟地址表中。如果否，则执行步骤s308，否则，跳转至执行步骤s309。
[0064]
步骤s308：丢弃并结束。
[0065]
判断到流量主机地址不在保护应用虚拟地址表中，则直接丢弃对应的流量包，并结束本流程。
[0066]
步骤s309：找到对应的实际地址，并建立流量通道。
[0067]
判断到流量主机地址在保护应用虚拟地址表中，则根据流量主机地址查找保护应用虚拟地址表中对应的真实地址信息，从而获取应用的真实地址。并根据该真实地址建立零信任网关与应用服务器之间的流量通道。
[0068]
步骤s310：将零信任网关对接的应用流量与服务器交互。
[0069]
在步骤s309的流量通道建成之后，将零信任网关对接的受保护和应用流量应用建立的流量通道与应用服务器进行流量交互。此过程中同样需要对受保护的应用流量进行封装加密。
[0070]
步骤s311：完成交互过程。
[0071]
至此完成受保护的应用流量的交互。
[0072]
图4示出了本发明实施例的零信任中保护应用流量的装置的结构示意图。该零信任中保护应用流量的装置应用于终端。如图4所示，该零信任中保护应用流量的装置包括：第一流量接收单元401、第一判断单元402、流量区分单元403以及设置单元404。其中：
[0073]
第一流量接收单元401用于终端侧的代理接收到应用流量数据，并获取流量主机地址；第一判断单元402用于判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；流量区分单元403用于如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
[0074]
在一种可选的方式中，设置单元404用于：在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口；所述代理开机时，从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。
[0075]
在一种可选的方式中，第一流量接收单元401用于：根据代理协议从代理的指令中获取所述流量主机地址。
[0076]
在一种可选的方式中，流量区分单元403用于：如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
[0077]
在一种可选的方式中，流量区分单元403用于：建立代理与所述零信任网关之间的流量通道；应用所述流量通道将受保护的所述应用流量放入所述零信任网关。
[0078]
本发明实施例通过终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流，能够正确识别保护和非保护应用流量并进行分流，算法简单。
[0079]
图5示出了本发明实施例的又一零信任中保护应用流量的装置的结构示意图。该零信任中保护应用流量的装置应用于零信任网关。如图5所示，该零信任中保护应用流量的装置包括：第二流量接收单元501、第二判断单元502、地址获取单元503以及通道建立单元504。其中：
[0080]
第二流量接收单元501用于零信任网关接收从终端侧传输的受保护的应用流量；第二判断单元502用于确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；地址获取单元503用于如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；通道建立单元504用于根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
[0081]
本发明实施例通过识零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互，能够自动区分流量，算法简单，计算量极少。
[0082]
本发明实施例提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的零信任中保护应用流量的方法。
[0083]
可执行指令具体可以用于使得处理器执行以下操作：
[0084]
终端侧的代理接收到应用流量数据时，获取流量主机地址；
[0085]
判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；
[0086]
根据判断结果对应用流量进行区分和分流。
[0087]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0088]
在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口；
[0089]
所述代理开机时，从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。
[0090]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0091]
根据代理协议从代理的指令中获取所述流量主机地址。
[0092]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0093]
如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；
[0094]
如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
[0095]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0096]
建立代理与所述零信任网关之间的流量通道；
[0097]
应用所述流量通道将受保护的所述应用流量放入所述零信任网关。
[0098]
本发明实施例通过终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流，能够正确识别保护和非保护应用流量并进行分流，算法简单。
[0099]
本发明实施例还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的零信任中保护应用流量的方法。
[0100]
可执行指令具体可以用于使得处理器执行以下操作：
[0101]
零信任网关接收从终端侧传输的受保护的应用流量；
[0102]
确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；
[0103]
如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；
[0104]
根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
[0105]
本发明实施例通过识零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互，能够自动区分流量，算法简单，计算量极少。
[0106]
本发明实施例提供一种零信任中保护应用流量的装置，用于执行上述零信任中保护应用流量的方法。
[0107]
本发明实施例提供了一种计算机程序，所述计算机程序可被处理器调用使基站设备执行上述任意方法实施例中的零信任中保护应用流量的方法。
[0108]
本发明实施例提供了一种计算机程序产品，所述计算机程序产品包括存储在计算
机存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行上述任意方法实施例中的零信任中保护应用流量的方法。
[0109]
可执行指令具体可以用于使得处理器执行以下操作：
[0110]
终端侧的代理接收到应用流量数据时，获取流量主机地址；
[0111]
判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；
[0112]
根据判断结果对应用流量进行区分和分流。
[0113]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0114]
在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口；
[0115]
所述代理开机时，从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。
[0116]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0117]
根据代理协议从代理的指令中获取所述流量主机地址。
[0118]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0119]
如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；
[0120]
如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
[0121]
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
[0122]
建立代理与所述零信任网关之间的流量通道；
[0123]
应用所述流量通道将受保护的所述应用流量放入所述零信任网关。
[0124]
本发明实施例通过终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流，能够正确识别保护和非保护应用流量并进行分流，算法简单。
[0125]
本发明实施例提供了一种计算机程序产品，所述计算机程序产品包括存储在计算机存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，使所述计算机执行上述任意方法实施例中的零信任中保护应用流量的方法。
[0126]
可执行指令具体可以用于使得处理器执行以下操作：
[0127]
零信任网关接收从终端侧传输的受保护的应用流量；
[0128]
确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；
[0129]
如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；
[0130]
根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
[0131]
本发明实施例通过识零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互，能够自动区分流量，算法简单，计算量极少。
[0132]
图6示出了本发明实施例提供的计算设备的结构示意图，本发明具体实施例并不对设备的具体实现做限定。
[0133]
如图6所示，该计算设备可以包括：处理器(processor)602、通信接口(communications interface)604、存储器(memory)606、以及通信总线608。
[0134]
其中：处理器602、通信接口604、以及存储器606通过通信总线608完成相互间的通信。通信接口604，用于与其它设备比如客户端或其它服务器等的网元通信。处理器602，用于执行程序610，具体可以执行上述零信任中保护应用流量的方法实施例中的相关步骤。
[0135]
具体地，程序610可以包括程序代码，该程序代码包括计算机操作指令。
[0136]
处理器602可能是中央处理器cpu，或者是特定集成电路asic(application specific integrated circuit)，或者是被配置成实施本发明实施例的一个或各个集成电路。设备包括的一个或各个处理器，可以是同一类型的处理器，如一个或各个cpu；也可以是不同类型的处理器，如一个或各个cpu以及一个或各个asic。
[0137]
存储器606，用于存放程序610。存储器606可能包含高速ram存储器，也可能还包括非易失性存储器(non
‑
volatile memory)，例如至少一个磁盘存储器。
[0138]
程序610具体可以用于使得处理器602执行以下操作：
[0139]
终端侧的代理接收到应用流量数据时，获取流量主机地址；
[0140]
判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；
[0141]
根据判断结果对应用流量进行区分和分流。
[0142]
在一种可选的方式中，所述程序610使所述处理器执行以下操作：
[0143]
在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口；
[0144]
所述代理开机时，从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。
[0145]
在一种可选的方式中，所述程序610使所述处理器执行以下操作：
[0146]
根据代理协议从代理的指令中获取所述流量主机地址。
[0147]
在一种可选的方式中，所述程序610使所述处理器执行以下操作：
[0148]
如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；
[0149]
如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。
[0150]
建立代理与所述零信任网关之间的流量通道；
[0151]
应用所述流量通道将受保护的所述应用流量放入所述零信任网关。
[0152]
本发明实施例通过终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流，能够正确识别保护和非保护应用流量并进行分流，算法简单。
[0153]
图7示出了本发明实施例提供的又一计算设备的结构示意图，本发明具体实施例并不对设备的具体实现做限定。
[0154]
如图7所示，该计算设备可以包括：处理器(processor)702、通信接口(communications interface)704、存储器(memory)706、以及通信总线708。
[0155]
其中：处理器702、通信接口704、以及存储器706通过通信总线708完成相互间的通信。通信接口704，用于与其它设备比如客户端或其它服务器等的网元通信。处理器702，用
于执行程序710，具体可以执行上述零信任中保护应用流量的方法实施例中的相关步骤。
[0156]
具体地，程序710可以包括程序代码，该程序代码包括计算机操作指令。
[0157]
处理器702可能是中央处理器cpu，或者是特定集成电路asic，或者是被配置成实施本发明实施例的一个或各个集成电路。设备包括的一个或各个处理器，可以是同一类型的处理器，如一个或各个cpu；也可以是不同类型的处理器，如一个或各个cpu以及一个或各个asic。
[0158]
存储器706，用于存放程序710。存储器706可能包含高速ram存储器，也可能还包括非易失性存储器，例如至少一个磁盘存储器。
[0159]
程序710具体可以用于使得处理器702执行以下操作：
[0160]
零信任网关接收从终端侧传输的受保护的应用流量；
[0161]
确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；
[0162]
如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；
[0163]
根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。
[0164]
本发明实施例通过识零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互，能够自动区分流量，算法简单，计算量极少。
[0165]
在此提供的算法或显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明实施例也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
[0166]
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
[0167]
类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明实施例的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。
[0168]
本领域技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
[0169]
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，
不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。上述实施例中的步骤，除有特殊说明外，不应理解为对执行顺序的限定。

技术特征：
1.一种零信任中保护应用流量的方法，其特征在于，所述方法包括：终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流。2.根据权利要求1所述的方法，其特征在于，所述接收到应用流量数据时，获取流量主机地址之前，包括：在终端侧设置一个代理，支持socks5和http代理协议，设定所述代理的本机地址和端口；所述代理开机时，从所述零信任网关获取受保护的虚拟地址信息，形成所述保护应用虚拟地址表，并保存到内存中。3.根据权利要求1所述的方法，其特征在于，所述获取流量主机地址，包括：根据代理协议从代理的指令中获取所述流量主机地址。4.根据权利要求1所述的方法，其特征在于，所述根据判断结果对应用流量进行区分和分流，包括：如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。5.根据权利要求4所述的方法，其特征在于，所述将受保护的应用流量放入零信任网关，包括：建立代理与所述零信任网关之间的流量通道；应用所述流量通道将受保护的所述应用流量放入所述零信任网关。6.一种零信任中保护应用流量的方法，其特征在于，所述方法包括：零信任网关接收从终端侧传输的受保护的应用流量；确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。7.一种零信任中保护应用流量的装置，其特征在于，所述装置包括：第一流量接收单元，用于终端侧的代理接收到应用流量数据，并获取流量主机地址；第一判断单元，用于判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；流量区分单元，用于如果存在于所述保护应用虚拟地址表，则将受保护的应用流量放入零信任网关，并通过所述零信任网关与应用服务器进行流量交互；如果不存在于所述保护应用虚拟地址表，则控制所述应用流量走原有通道进行流量交互。8.一种零信任中保护应用流量的装置，其特征在于，所述装置包括：第二流量接收单元，用于零信任网关接收从终端侧传输的受保护的应用流量；第二判断单元，用于确定所述应用流量的流量主机地址是否在预存的保护应用虚拟地址表中；
地址获取单元，用于如果是，则根据所述保护应用虚拟地址表找到应用的真实地址；通道建立单元，用于根据所述真实地址建立所述零信任网关与应用服务器之间的流量通道以进行流量交互。9.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行根据权利要求1
‑
6任一项所述零信任中保护应用流量的方法的步骤。10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行根据权利要求1
‑
6任一项所述零信任中保护应用流量的方法的步骤。
技术总结
本发明实施例涉及计算机技术领域，公开了一种零信任中保护应用流量的方法、装置及计算设备，该方法包括：终端侧的代理接收到应用流量数据时，获取流量主机地址；判断所述流量主机地址是否存在于预存的保护应用虚拟地址表中；根据判断结果对应用流量进行区分和分流。通过上述方式，本发明实施例能够正确识别保护和非保护应用流量并进行分流，算法简单。算法简单。算法简单。


技术研发人员：范端胜 刘可 赵静谧
受保护的技术使用者：深圳竹云科技有限公司
技术研发日：2021.02.24
技术公布日：2021/6/29