网络连接方法、装置、设备及存储介质与流程

1.本技术涉及网络安全技术领域，尤其涉及一种网络连接方法、装置、设备及存储介质。


背景技术：

2.软件定义的边界(software defined perimeter，sdp)是由云安全联盟(csa)开发的一种安全框架，它根据身份控制对资源的访问。每个终端在连接服务器前必须进行单播授权(spa)验证，确保每台设备都是被允许接入的。其核心思想是通过sdp架构隐藏核心网络资产与设施，使之不直接暴露在互联网下，使得网络资产与设施免受外来安全威胁。
3.目前，sdp的基本组件包括连接发起主机(sdp客户端)、连接接收主机(sdp网关)与sdp控制器，在sdp框架中连接发起主机在向连接接受主机建立连接之前需要先与sdp控制器连接并进行身份验证。其中，在向sdp控制器进行身份验证之前，连接发起主机要先向sdp控制器发送单包授权(single packet authorization，spa)数据包，只有spa数据包通过验证后连接发起主机才能与sdp控制器建立连接并进行身份验证。在验证过程中，针对不同的连接发起主机，spa验证信息均为默认一致的信息。
4.然而现有技术中，默认一致的spa验证信息泄漏后或者被窃取后，连接接受主机会存在被攻击的风险，网络连接安全性低。


技术实现要素：

5.本技术提供一种网络连接方法、装置、设备及存储介质，以解决现有技术中默认一致的spa验证信息泄漏后或者被窃取后，连接接受主机会存在被攻击的风险，网络连接安全性低的技术问题。
6.第一方面，本技术提供一种网络连接方法，应用于sdp网关，包括：
7.向sdp控制器发起注册请求，并生成唯一密码发送至所述sdp控制器；
8.接收所述sdp控制器发送的临时凭证，其中，所述临时凭证为所述sdp控制器根据所述唯一密码生成的；
9.存储所述临时凭证；
10.响应于sdp客户端发送的连接请求，根据存储的所述临时凭证与所述连接请求中携带的待验证临时凭证进行网络验证，确定是否允许所述sdp客户端进行网络连接。
11.这里，本技术提供了一种应用于sdp网关的网络连接方法，在建立安全通信的过程中，sdp网关首先向sdp控制器注册，并生成唯一密码发送至sdp控制器，从而获取sdp控制器根据唯一密码生成的临时凭证，sdp网关可以根据此临时凭证和sdp客户端携带的临时凭证进行安全验证，临时凭证的短暂性减少了客户端设备和会话通信通过证书泄露的脆弱性时间窗口，sdp客户端与sdp网关在建立连接时可采用sdp网关注册的不同临时凭证进行验证，即使历史临时凭证泄露或丢失，网络连接及访问仍然安全，避免了默认一致的spa验证信息泄漏后或者被窃取后带来的网络安全性问题，提高了连接接收主机的网络安全性，提高了
网络连接的安全性及稳定性。
12.可选地，所述临时凭证为基于量子随机数的一次性临时密钥。
13.其中，使用量子随机数生成临时密钥，量子随机数使用无法预测的量子现象来生成量子随机数，因为它们基本上是随机的。此类量子现象的示例包括测量穿过半透明镜的光子、由盖革计数器测量的辐射源的核衰变、由光电二极管或电子管测量的电子电路中的散粒噪声、穿过反射镜的隧道电子的放大。半导体的带隙、真空能量波动的零差检测和/或其他类型的量子现象。以量子随机数生成的临时密钥来建立安全连接，可以有效避免伪随机数不适用于高安全性应用程序，减少伪随机数方法生成的熵相对较低的随机数容易受到密码分析攻击的风险，进一步地提高了网络连接的安全及sdp网络通信安全。
14.可选地，所述存储所述临时凭证包括：
15.将所述临时凭证存储至进程内存中。
16.这里，本技术将临时凭证存储在进程内存中，基于非持久性存储，为了避免被对手或恶意软件读取，秘钥只能被短暂的存储在内存中，进一步地提高了网络连接的安全性。
17.可选地，在所述存储所述临时凭证之后，还包括：
18.在预设时间之后，更新临时凭证。
19.这里，本技术中的sdp网关为了保证网络连接的安全性，可以定期更换、更新临时凭证，降低临时凭证被窃取导致的网络安全危机的发生。
20.可选地，在所述根据存储的所述临时凭证与所述连接请求中携带的待验证临时凭证进行网络验证，确定是否允许所述sdp客户端进行网络连接之后，还包括：
21.若确定允许所述sdp客户端进行网络连接，则与所述sdp客户端建立网络连接。
22.其中，本技术中的sdp客户端和sdp网关可以在临时凭证验证成功之后建立连接，以实现客户端设备对相应网关的登录，实现了sdp网络的稳定连接。
23.第二方面，本技术提供了一种网络连接方法，包括：
24.接收sdp网关发送的注册请求和唯一密码；
25.响应于所述注册请求，根据所述唯一密码生成临时凭证；
26.将所述临时凭证发送至所述sdp网关，所述临时凭证用于所述sdp网关根据所述临时凭证与sdp客户端发送的连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接。
27.这里，本技术提供的sdp控制器可以根据sdp网关的注册请求，为sdp网关根据其唯一密码发放临时凭证，用于sdp网关的网络验证，避免了单一spa验证信息泄露带来的安全危机，提高了sdp网络连接的安全性。
28.第三方面，本技术提供了一种网络连接系统，包括sdp网关、sdp控制器和sdp客户端；
29.所述sdp网关向sdp控制器发起注册请求，并生成唯一密码发送至所述sdp控制器；
30.所述sdp控制器接收所述sdp网关发送的唯一密码，并根据所述唯一密码生成临时凭证，其中，所述临时凭证为所述sdp控制器根据所述唯一密码生成的；
31.所述sdp网关接收并存储所述临时凭证；
32.sdp客户端向所述sdp网关发送连接请求，其中，所述连接请求携带有待验证临时凭证；
33.所述sdp网关响应于所述sdp客户端发送的连接请求，根据存储的所述临时凭证与所述连接请求中携带的待验证临时凭证进行网络验证，确定是否允许所述sdp客户端进行网络连接。
34.第四方面，本技术提供了一种网络连接装置，包括：
35.第一处理模块，用于向sdp控制器发起注册请求，并生成唯一密码发送至所述sdp控制器；
36.第一接收模块，用于接收所述sdp控制器发送的临时凭证，其中，所述临时凭证为所述sdp控制器根据所述唯一密码生成的；
37.存储模块，用于存储所述临时凭证；
38.第二处理模块，用于响应于sdp客户端发送的连接请求，根据存储的所述临时凭证与所述连接请求中携带的待验证临时凭证进行网络验证，确定是否允许所述sdp客户端进行网络连接。
39.可选地，所述临时凭证为基于量子随机数的一次性临时密钥。
40.可选地，所述存储模块具体用于：
41.将所述临时凭证存储至进程内存中。
42.可选地，在所述存储模块存储所述临时凭证之后，上述装置还包括：
43.更新模块，用于在预设时间之后，更新临时凭证。
44.可选地，在所述第二处理模块根据存储的所述临时凭证与所述连接请求中携带的待验证临时凭证进行网络验证，确定是否允许所述sdp客户端进行网络连接之后，上述装置还包括：
45.第四处理模块，用于若确定允许所述sdp客户端进行网络连接，则与所述sdp客户端建立网络连接。
46.第五方面，本技术提供了一种网络连接装置，包括：
47.第二接收模块，用于接收sdp网关发送的注册请求和唯一密码；
48.生成模块，用于响应于所述注册请求，根据所述唯一密码生成临时凭证；
49.第三处理模块，用于将所述临时凭证发送至所述sdp网关，所述临时凭证用于所述sdp网关根据所述临时凭证与sdp客户端发送的连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接。
50.第六方面，本技术提供一种网络连接设备，包括：至少一个处理器和存储器；
51.所述存储器存储计算机执行指令；
52.所述至少一个处理器执行所述存储器存储的计算机执行指令，使得所述至少一个处理器执行如上第一方面以及第一方面各种可能的设计所述的网络连接方法。
53.第七方面，本技术提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，当处理器执行所述计算机执行指令时，实现如上第一方面以及第一方面各种可能的设计所述的网络连接方法。
54.第八方面，本技术提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时，实现如上第一方面以及第一方面各种可能的设计所述的网络连接方法。
55.第九方面，本技术提供一种网络连接设备，包括：至少一个处理器和存储器；
56.所述存储器存储计算机执行指令；
57.所述至少一个处理器执行所述存储器存储的计算机执行指令，使得所述至少一个处理器执行如上第二方面以及第二方面各种可能的设计所述的网络连接方法。
58.第十方面，本技术提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，当处理器执行所述计算机执行指令时，实现如上第二方面以及第二方面各种可能的设计所述的网络连接方法。
59.第十一方面，本技术提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时，实现如上第二方面以及第二方面各种可能的设计所述的网络连接方法。
60.本技术提供的网络连接方法、装置、服务器及存储介质，其中该方法在建立安全通信的过程中，sdp网关首先向sdp控制器注册，并生成唯一密码发送至sdp控制器，从而获取sdp控制器根据唯一密码生成的临时凭证，sdp网关可以根据此临时凭证和sdp客户端携带的临时凭证进行安全验证，临时凭证的短暂性减少了客户端设备和会话通信通过证书泄露的脆弱性时间窗口，sdp客户端与sdp网关在建立连接时可采用sdp网关注册的不同临时凭证进行验证，即使历史临时凭证泄露或丢失，网络连接及访问仍然安全，避免了默认一致的spa验证信息泄漏后或者被窃取后带来的网络安全性问题，提高了连接接收主机的网络安全性，提高了网络连接的安全性及稳定性。
附图说明
61.为了更清楚地说明本技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
62.图1为本技术实施例提供的一种sdp网络的架构示意图；
63.图2为本技术实施例提供的一种网络连接方法的流程示意图；
64.图3为为本技术实施例提供的另一种网络连接方法的流程示意图；
65.图4为本技术实施例提供的又一种网络连接方法的流程示意图；
66.图5为本技术实施例提供的一种网络连接装置的结构示意图；
67.图6为本技术实施例提供的一种网络连接设备的结构示意图；
68.图7为本技术实施例提供的另一种网络连接装置的结构示意图。
69.通过上述附图，已示出本公开明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本公开构思的范围，而是通过参考特定实施例为本领域技术人员说明本公开的概念。
具体实施方式
70.这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。
71.本技术的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”及“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理
解这样使用的数据在适当情况下可以互换，以便这里描述的本技术的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
72.sdp作为零信任的最佳实践落地技术架构，在“移动 云”的时代背景下，旨在通过网络隐身技术，为企业构建起一个云安全边界，确保只有合法的身份、设备和网络环境才能接入，对其他工具完全不可见，由于看不到目标，因此有效地规避了各种安全风险。同时，sdp还有一个很重要的零信任机制，就是在访问过程中对用户行为持续进行安全等级评估，并对风险行为进行动态控制，从而有效保护企业的数据资产的安全。零信任sdp安全模型由3部分组成：sdp控制端(sdp控制器)、sdp网关(连接接收主机)和sdp客户端(连接发起主机)。该模型采用三角架构，sdp客户端发起连接请求，sdp控制端认证客户端请求，并控制sdp客户端与sdp网关建立数据通道。
73.示范性地，图1为本技术实施例提供的一种sdp网络的架构示意图，如图1所示，该架构包括软件定义的边界控制器101、连接发起主机102和连接接收主机103，这里的软件定义的边界控制器101在sdp架构中执行sdp控制器的功能，连接发起主机102为sdp客户端，连接接收主机103为sdp网关。在sdp框架中连接发起主机在向连接接受主机建立连接之前需要先与sdp控制器连接并进行身份验证。其中在向sdp控制器进行身份验证之前，连接发起主机要先向sdp控制器发送spa数据包，只有spa数据包通过验证后连接发起主机才能与sdp控制器建立连接并进行身份验证。现有技术中存在如下问题：在初次登录sdp控制器时，连接发起主机还没有进行任何的身份验证，此时各个不同的连接发起主机均使用默认一致的spa验证信息，那么，当该默认一致的spa验证信息泄漏后或者被窃取后，攻击者就可以通过该默认一致的spa验证信息从sdp控制器处获取对连接接受主机的访问授权，进而会导致连接接受主机存在被攻击的风险，带来网络不安全问题。
74.为了解决上述技术问题，本技术实施例提供一种网络连接方法、装置、服务器及存储介质，sdp网关在建立连接之前首先向sdp服务器注册以获取临时凭证，通过临时凭证的短暂性减少了客户端设备和/或会话通信通过证书泄露的脆弱性时间窗口。
75.可以理解的是，本技术实施例示意的结构并不构成对网络连接系统架构的具体限定。在本技术另一些可行的实施方式中，上述架构可以包括比图示更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置，具体可根据实际应用场景确定，在此不做限制。图1所示的部件可以以硬件，软件，或软件与硬件的组合实现。
76.另外，本技术实施例描述的网络架构以及业务场景是为了更加清楚的说明本技术实施例的技术方案，并不构成对于本技术实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本技术实施例提供的技术方案对于类似的技术问题，同样适用。
77.下面以几个实施例为例对本技术的技术方案进行描述，对于相同或相似的概念或过程可能在某些实施例不再赘述。
78.图2为本技术实施例提供的一种网络连接方法的流程示意图，本技术实施例的执行主体为sdp网关，可以为图1所示实施例中的连接接收主机103或者连接接收主机103的服
务器，具体执行主体可以根据实际应用场景确定。如图2所示，该方法包括如下步骤：
79.s201：向sdp控制器发起注册请求，并生成唯一密码发送至sdp控制器。
80.可选地，临时凭证为基于量子随机数的一次性临时密钥。
81.使用量子随机数生成临时密钥，量子随机数使用无法预测的量子现象来生成量子随机数，因为它们基本上是随机的。此类量子现象的示例包括测量穿过半透明镜的光子、由盖革计数器测量的辐射源的核衰变、由光电二极管或电子管测量的电子电路中的散粒噪声、穿过反射镜的隧道电子的放大。半导体的带隙、真空能量波动的零差检测和/或其他类型的量子现象。以量子随机数生成的临时密钥来建立安全连接。
82.可选地，sdp控制器从sdp客户端设备接收对量子随机数的请求；通过sdp控制器建立与sdp客户端设备的安全通信信道；sdp控制器从量子随机数发生器获取量子随机数流；sdp控制器经由所建立的安全通信信道向客户端设备提供来自所获得的量子随机数流的一组量子随机数。
83.其中，使用量子随机数生成临时密钥，量子随机数使用无法预测的量子现象来生成量子随机数，因为它们基本上是随机的。以量子随机数生成的临时密钥来建立安全连接，可以有效避免伪随机数不适用于高安全性应用程序，减少伪随机数方法生成的熵相对较低的随机数容易受到密码分析攻击的风险，进一步地提高了网络连接的安全及sdp网络通信安全。
84.s202：接收sdp控制器发送的临时凭证。
85.其中，临时凭证为sdp控制器根据唯一密码生成的。
86.可选地，向sdp控制器发起注册请求之前，系统在用户数据库中添加客户端设备(连接发起网关)作为客户端/用户(sdp客户端)，在客户端设备上安装包含唯一密码加密的定制客户端包，定制客户端包用于根据唯一密码生成注册的一次性临时凭证，这里的一次性临时凭证为待验证临时凭证。
87.sdp网关可以在连接之前向sdp控制器发起注册获取临时凭证。
88.具体地，客户端设备生成包含适当主题字段的证书签名请求(csr)；客户端设备将csr消息(连同与会话相关的其他对象)发送到sdp控制器；sdp控制器接收csr消息，读取csr中的主题字段并将其提交给适当的中间证书颁发机构(ca，certificate authority)以进行签名。并将临时凭证发送至sdp客户端，并且将临时凭证的对象发送至sdp网关。
89.使用spa确保安全通信仅接受具有有效spa密钥的客户端设备的请求。这些spa密钥被临时分配给每个新会话，从而消除未授权终端设备使用密钥。使用spa可以实现以下好处：
90.运行sdp网关的sdp控制器和/或应用服务器对于未授权的客户端设备和攻击者都是不可见的——所有开放端口都受到动态防火墙的保护，以阻止所有未授权网络访问。
91.客户端授权通过单个spa数据报传输进行验证。
92.处理所有spa消息(例如，在linux内核中处理)比网络速度更快。spa消息包含比特币式的“工作量证明”，使伪造行为变得任意昂贵，以及需要访问客户端特定密钥的数字签名。它们还包含使重放攻击不可能的时间戳和全局唯一标识符(guid)。攻击者发送的任何伪造或重放的spa消息都将根据：a)时间戳进行检测；b)随机数；c)工作量证明；d)数字签名。如果攻击者要重放捕获的spa消息，则需要在数据包过期之前重放数据包，即使如此，前
一次传输的guid也用于过滤重放。这些攻击是无效的，并被记录以备可能的缓解措施。
93.授权后在后端(目标服务器)安装客户端特定的防火墙规则。对手(具有不同ip流特征的)将始终被静默阻止，从而保持隐身。
94.s203：存储临时凭证。
95.可选地，存储临时凭证包括：
96.将临时凭证存储至进程内存中。
97.这里，本技术实施例将临时凭证存储在进程内存中，基于非持久性存储，为了避免被对手或恶意软件读取，秘钥只能被短暂的存储在内存中，进一步地提高了网络连接的安全性。
98.可选地，在存储临时凭证之后，还包括：在预设时间之后，更新临时凭证。
99.可以理解的是，这里的预设时间可以根据实际情况确定，本技术实施例对此不作具体限制。
100.可选地，sdp网关可以通过策略设置为始终保持与服务器的连接，定期更新其临时凭证，或者可以在需要与对等方通信时发起与服务器的连接，或满足部署的特定要求时进行临时凭证的更新。
101.可选地，sdp网关每次与sdp控制器或对等sdp网关连接时都使用新的临时凭证进行相互认证。
102.这里，本技术实施例中的sdp网关为了保证网络连接的安全性，可以定期更换、更新临时凭证，降低临时凭证被窃取导致的网络安全危机的发生。
103.s204：响应于sdp客户端发送的连接请求，根据存储的临时凭证与连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接。
104.可选地，在根据存储的临时凭证与连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接之后，还包括：若确定允许sdp客户端进行网络连接，则与sdp客户端建立网络连接。
105.其中，本技术实施例中的sdp客户端和sdp网关可以在临时凭证验证成功之后建立连接，以实现客户端设备对相应网关的登录，实现了sdp网络的稳定连接。
106.其中，sdp网关检测sdp客户端的临时凭证与其本地存储的是否匹配，若匹配则允许sdp客户端登录到sdp网关。
107.可选地，当客户端设备注销时，与对等客户端设备的所有连接都被断开，可以删除该临时凭证。
108.本技术实施例提供了一种应用于sdp网关的网络连接方法，在建立安全通信的过程中，sdp网关首先向sdp控制器注册，并生成唯一密码发送至sdp控制器，从而获取sdp控制器根据唯一密码生成的临时凭证，sdp网关可以根据此临时凭证和sdp客户端携带的临时凭证进行安全验证，临时凭证的短暂性减少了客户端设备和会话通信通过证书泄露的脆弱性时间窗口，sdp客户端与sdp网关在建立连接时可采用sdp网关注册的不同临时凭证进行验证，即使历史临时凭证泄露或丢失，网络连接及访问仍然安全，避免了默认一致的spa验证信息泄漏后或者被窃取后带来的网络安全性问题，提高了连接接收主机的网络安全性，提高了网络连接的安全性及稳定性。
109.可选地，本技术实施例还提供了一种针对sdp控制器的网络连接方法，相应的，图3
为为本技术实施例提供的另一种网络连接方法的流程示意图，本技术实施例的执行主体为sdp控制器，可以为图1所示实施例中的软件定义的边界控制器101或者软件定义的边界控制器101的服务器，具体执行主体可以根据实际应用场景确定。如图3所示，该方法包括如下步骤：
110.s301：接收sdp网关发送的注册请求和唯一密码。
111.s302：响应于注册请求，根据唯一密码生成临时凭证。
112.s303：将临时凭证发送至sdp网关。
113.可选地，sdp控制器具体用于：从sdp客户端设备接收对量子随机数的请求；通过sdp控制器建立与sdp客户端设备的安全通信信道；sdp控制器从量子随机数发生器获取量子随机数流；sdp控制器经由所建立的安全通信信道向客户端设备提供来自所获得的量子随机数流的一组量子随机数。
114.可选地，sdp控制器还用于确定客户端设备请求的量子随机数的数量；以及经由所建立的安全通信信道向客户端设备提供所确定数量的量子随机数。
115.可选地，sdp控制器在经由所建立的安全通信信道将量子随机数集提供给客户端设备之后，从量子随机数流中移除量子随机数集。
116.这里，本技术实施例提供的sdp控制器可以根据sdp网关的注册请求，为sdp网关根据其唯一密码发放临时凭证，用于sdp网关的网络验证，避免了单一spa验证信息泄露带来的安全危机，提高了sdp网络连接的安全性。
117.在一种可能的实现方式中，本技术实施例还提供了一种网络连接系统，包括sdp网关、sdp控制器和sdp客户端。相应的，图4为本技术实施例提供的又一种网络连接方法的流程示意图，该方法的执行主体为网络连接系统，如图4所示，该方法包括：
118.s401：sdp网关向sdp控制器发起注册请求，并生成唯一密码发送至sdp控制器。
119.可选地，在步骤s401之前，还包括：
120.客户端设备生成包含适当主题字段的csr。客户端设备将csr消息(连同与会话相关的其他对象)发送到sdp控制器。sdp控制器接收csr消息，读取csr中的主题字段并将其提交给适当的中间ca以进行签名。并将临时凭证发送至sdp客户端，并且将临时凭证的对象发送至sdp网关。
121.临时凭证的短暂性减少了客户端设备和/或会话通信通过证书泄露的脆弱性时间窗口。例如，临时凭证生存期提供了“完美的前向认证”，因为被破坏的客户端设备不能加入sdp网关，因为其私钥可能仅被用于认证一次。
122.s402：sdp控制器接收sdp网关发送的唯一密码，并根据唯一密码生成临时凭证。
123.其中，临时凭证为sdp控制器根据唯一密码生成的。
124.s403：sdp网关接收并存储临时凭证。
125.s404：sdp客户端向sdp网关发送连接请求。
126.其中，连接请求携带有待验证临时凭证。
127.s405：sdp网关响应于sdp客户端发送的连接请求，根据存储的临时凭证与连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接。
128.在一些可能的实施例中，sdp客户端为软件化部署形态，pc端通过下载页面、手机端通过应用商店下载安装。
129.在一些可能的实施例中，sdp控制器支持硬件及虚拟化交付。sdp控制器硬件选用intel-x86架构，整机采用工控机设备，可发挥硬件的高效及稳定性。
130.在一些可能的实施例中，sdp网关为软硬一体机，网关硬件设计配合密码局检测通过的硬件加密卡，完全满足商用密码算法需求。同时整机采用工控机设备，可发挥硬件的高效及稳定性。
131.可选地，针对认证成功的客户端，sdp网关生成临时的防火墙允许访问策略，并在超时后立即删除。此时sdp控制端与客户端建立连接双向传输层安全性协议(transport layer security，tls)连接。
132.可选地，sdp客户端初始化后，需要预先同步用于解密和消息摘要验证的相关加密和消息摘要算法、相关密钥等，该步骤可以通过静态配置文件实现，无需在网络中传输密钥。
133.可选地，sdp客户端生成spa认证报文，并发送给sdp控制端。认证报文内容，可以由sdp控制端和客户端事先进行约定，例如可包含用户名、防火墙临时允许的策略内容、超时时长等。
134.可选地，.客户端设备生成并传输包含六个字段的spa消息：spa版本号；时间戳；全局唯一标识符(guid，globally unique identifier)；填充；工作量证明(pow)；sdp客户端的数字签名。
135.使用spa确保安全通信仅接受具有有效spa密钥的客户端设备的请求。这些spa密钥被临时分配给每个新会话，从而消除未授权终端设备使用密钥。使用spa可以实现以下好处：
136.运行sdp网关的sdp控制器和/或应用服务器对于未授权的客户端设备和攻击者都是不可见的——所有开放端口都受到动态防火墙的保护，以阻止所有未授权网络访问；客户端授权通过单个spa数据报传输进行验证；处理所有spa消息(例如，在linux内核中处理)比网络速度更快。spa消息包含比特币式的“工作量证明”，使伪造行为变得任意昂贵，以及需要访问客户端特定密钥的数字签名。它们还包含使重放攻击不可能的时间戳和全局唯一标识符(guid，globally unique identifier)。攻击者发送的任何伪造或重放的spa消息都将根据：a)时间戳进行检测；b)随机数；c)工作量证明；d)数字签名。如果攻击者要重放捕获的spa消息，则需要在数据包过期之前重放数据包，即使如此，前一次传输的guid也用于过滤重放。这些攻击是无效的，并被记录以备可能的缓解措施。授权后在后端(目标服务器)安装客户端特定的防火墙规则。对手(具有不同ip流特征的)将始终被静默阻止，从而保持隐身。
137.可选地，sdp客户端传输spa信息之后，sdp控制器接收spa消息并基于这些字段对其进行过滤。过时(或因果关系)、显示工作不足或签名无效等的非法消息将被丢弃而没有任何反馈。并记录虚假消息以进行取证分析。
138.当接收到合法的spa消息时，sdp网关创建流特定的防火墙规则，该防火墙规则将向授权的客户端设备提供对后端的访问。还创建提供对批准的应用服务器的访问的防火墙规则。使用端到端加密通信的新规则更新动态防火墙。
139.可选地，sdp控制器从sdp客户端设备接收来请求授权访问后端服务的数据包，对收到的请求授权包进行解包、验证：若允许通信，由sdp控制器生成一次性临时密钥，并将生
成的一次性临时密钥发送到sdp客户端设备；通过建立安全通信信道，其中sdp控制器和sdp客户端设备之间的通信使用一次性临时密钥进行加密和解密；以及在sdp控制器和sdp客户端设备之间的安全通信会话终止时，通过sdp控制器销毁一次性临时密钥。
140.可选地，sdp控制器可以管理sdp客户端和sdp网关之间的所有连接。例如，sdp客户端和sdp网关之间的每个连接都可以通过安全连接建立，例如使用由sdp控制器生成的证书建立的tls连接。sdp连接使用spa来建立，其中单个包用于传输授权数据。spa报文校验通过后，就可以发起基于数字认证的tls握手建立tls连接。
141.可选地，建立安全通信通道的过程为：1、sdp客户端预置spa种子；2、sdp客户端向sdp控制器udp端口a发送敲门报文；如果敲门通过，控制器对敲门客户端开放tcp端口b；如果不通过不开放tcp端口；客户端在敲门后发起对控制器特定tcp端口的b的tls加密连接。
142.其中，目前sdp网络主要通过两种方式来实现种子分发：管理员下载含种子的专属客户端安装包，内部分发，这种方式可以通过比较可靠的途径将种子发给合法用户；管理员先启用spa白名单，在规定时间内及网络环境下，用户通过标准客户端登录，登录后系统自动下发种子。
143.图5为本技术实施例提供的一种网络连接装置的结构示意图，如图5所示，本技术实施例的装置包括：第一处理模块501、第一接收模块502、存储模块503和第二处理模块504。这里的网络连接装置可以是上述连接接收主机103或者连接接收主机103的服务器，或者是实现连接接收主机的功能的芯片或者集成电路。这里需要说明的是，第一处理模块501、第一接收模块502、存储模块503和第二处理模块504的划分只是一种逻辑功能的划分，物理上两者可以是集成的，也可以是独立的。
144.其中，第一处理模块，用于向sdp控制器发起注册请求，并生成唯一密码发送至sdp控制器；
145.第一接收模块，用于接收sdp控制器发送的临时凭证，其中，临时凭证为sdp控制器根据唯一密码生成的；
146.存储模块，用于存储临时凭证；
147.第二处理模块，用于响应于sdp客户端发送的连接请求，根据存储的临时凭证与连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接。
148.可选地，临时凭证为基于量子随机数的一次性临时密钥。
149.可选地，存储模块具体用于：
150.将临时凭证存储至进程内存中。
151.可选地，在存储模块存储临时凭证之后，上述装置还包括：
152.更新模块，用于在预设时间之后，更新临时凭证。
153.可选地，在第二处理模块根据存储的临时凭证与连接请求中携带的待验证临时凭证进行网络验证，确定是否允许sdp客户端进行网络连接之后，上述装置还包括：
154.第四处理模块，用于若确定允许sdp客户端进行网络连接，则与sdp客户端建立网络连接。
155.图6为本技术实施例提供的一种网络连接设备(可以为图1中的连接接收主机103或者连接接收主机103的服务器)的结构示意图。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不限制本文中描述的和/或者要求的本技术的实现。
156.如图6所示，该网络连接设备包括：处理器601和存储器602，各个部件利用不同的总线互相连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器601可以对在终端内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。图6中以一个处理器601为例。
157.存储器602作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本技术实施例中的网络连接设备的方法对应的程序指令/模块(例如，附图5所示的第一处理模块501、第一接收模块502、存储模块503和第二处理模块504)。处理器601通过运行存储在存储器602中的非瞬时软件程序、指令以及模块，从而执行网络连接设备的各种功能应用以及数据处理，即实现上述方法实施例中的网络连接设备的方法。
158.网络连接设备还可以包括：输入装置603和输出装置604。处理器601、存储器602、输入装置603和输出装置604可以通过总线或者其他方式连接，图6中以通过总线连接为例。
159.输入装置603可接收输入的数字或字符信息，以及产生与网络连接设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置604可以是网络连接设备的显示设备等输出设备。该显示设备可以包括但不限于，液晶显示器(lcd)、发光二极管(led)显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。
160.本技术实施例的网络连接设备，可以用于执行本技术上述各方法实施例中的技术方案，其实现原理和技术效果类似，此处不再赘述。
161.本技术实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机执行指令，计算机执行指令被处理器执行时用于实现上述任一的网络连接方法。
162.本技术实施例还提供一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时，用于实现上述任一项的网络连接方法。
163.图7为本技术实施例提供的另一种网络连接装置的结构示意图，如图7所示，本技术实施例的装置包括：第二接收模块701、生成模块702和第三处理模块703。这里的网络连接装置可以是上述软件定义的边界控制器101或者软件定义的边界控制器101的服务器，或者是实现软件定义的边界控制器101的功能的芯片或者集成电路。这里需要说明的是，第二接收模块701、生成模块702和第三处理模块703的划分只是一种逻辑功能的划分，物理上两者可以是集成的，也可以是独立的。
164.其中，第二接收模块，用于接收sdp网关发送的注册请求和唯一密码；
165.生成模块，用于响应于注册请求，根据唯一密码生成临时凭证；
166.第三处理模块，用于将临时凭证发送至sdp网关。
167.本技术实施例还提供一种网络连接设备(可以为图1中的软件定义的边界控制器101或者软件定义的边界控制器101的服务器)的结构示意图。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不限制本文中描述的和/或者要求的本技术的实现。
168.该网络连接设备包括：处理器和存储器，各个部件利用不同的总线互相连接，并且
可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在终端内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。
169.存储器作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本技术实施例中的网络连接设备的方法对应的程序指令/模块(例如，附图7所示的第二接收模块701、生成模块702和第三处理模块703)。处理器通过运行存储在存储器中的非瞬时软件程序、指令以及模块，从而执行网络连接设备的各种功能应用以及数据处理，即实现上述方法实施例中的网络连接设备的方法。
170.网络连接设备还可以包括：输入装置和输出装置。处理器、存储器、输入装置和输出装置可以通过总线或者其他方式连接。
171.输入装置可接收输入的数字或字符信息，以及产生与网络连接设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置可以是网络连接设备的显示设备等输出设备。该显示设备可以包括但不限于，液晶显示器(lcd)、发光二极管(led)显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。
172.本技术实施例的网络连接设备，可以用于执行本技术上述各方法实施例中的技术方案，其实现原理和技术效果类似，此处不再赘述。
173.本技术实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机执行指令，计算机执行指令被处理器执行时用于实现上述任一的网络连接方法。
174.本技术实施例还提供一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时，用于实现上述任一项的网络连接方法。
175.在本技术所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
176.另外，在本技术各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
177.本领域技术人员在考虑说明书及实践这里公开的申请后，将容易想到本公开的其它实施方案。本技术旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求书指出。
178.应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求书来限制。