基于Tomcat的SSL VPN網(wǎng)關(guān)服務(wù)器的設(shè)計(jì)與實(shí)現(xiàn)

4 網(wǎng)關(guān)服務(wù)器的設(shè)計(jì)
4．1 為Tomcat配置SSL
本系統(tǒng)中，SSL VPN網(wǎng)關(guān)是基于Web服務(wù)器Tomcat實(shí)現(xiàn)的。從圖1中可知遠(yuǎn)程客戶端和VPN之間通過(guò)SSL協(xié)議安全通信，目前瀏覽器大多支持SSL，無(wú)需額外配置，則主要是為Tomcat配置SSL，包含：準(zhǔn)備安全證書以及配置Tomcat的SSL連接器(Connector)。具體配置方法如下：
(1)使用keytool命令生成證書庫(kù)文件打開命令行對(duì)話框，輸人如下命令：keytool-genkey-alias tomcat-keyalg RSA-keysize 1024-validity 365-keystore tomcat．keystore，則會(huì)在當(dāng)前目錄下生成文件tomcat．keystore。
(2)保存文件將生成的tomcat．keystore文件保存在TOM-CAT／conf目錄下。
(3)修改server．xml文件 去掉SSL Connector注釋語(yǔ)句!

(4)重新啟動(dòng)Tomcat訪問(wèn)http：／／localhost：8443，一般打開頁(yè)面前會(huì)提示確認(rèn)證書的內(nèi)容，選擇OK即可看到頁(yè)面。
遠(yuǎn)程客戶端通過(guò)瀏覽器訪問(wèn)SSL VPN，為保證兩者通信的安全性，在HTTP協(xié)議下采用SSL協(xié)議，如圖1所示。采用SSL機(jī)制的HTTP稱為HTTPS協(xié)議，HTTP使用的默認(rèn)端口為80，而HTTPS使用的默認(rèn)端口為443。
4．2 Web轉(zhuǎn)發(fā)功能模塊的設(shè)計(jì)
SSL VPN中Web轉(zhuǎn)發(fā)功能模塊主要實(shí)現(xiàn)以下功能：當(dāng)遠(yuǎn)程客戶端發(fā)出訪問(wèn)企業(yè)內(nèi)部某一服務(wù)器的請(qǐng)求時(shí)，SSL VPN中的Web轉(zhuǎn)發(fā)功能模塊分析該請(qǐng)求，得到其真正要訪問(wèn)的內(nèi)網(wǎng)URL，然后向內(nèi)網(wǎng)服務(wù)器發(fā)出該請(qǐng)求，再取回并修改遠(yuǎn)程客戶端所需信息，傳至遠(yuǎn)程客戶端，如圖2所示。

該系統(tǒng)的SSL VPN網(wǎng)關(guān)中用于實(shí)現(xiàn)Web轉(zhuǎn)發(fā)功能模塊的是一個(gè)名為WebAgent的Servlet。為訪問(wèn)WebAgent，需在Tomcat的配置文件Web．xml中配置訪問(wèn)該Servlet的URL模式，通過(guò)servlet-mapping元素實(shí)現(xiàn)：

通過(guò)上述配置，假設(shè)SSL VPN的IP地址為222．207．224．19，所有格式為https：／／222．207．224．19／agent／*的URL請(qǐng)求都將由該Servlet處理。
為實(shí)現(xiàn)代理功能，WebAgent接收到的請(qǐng)求中應(yīng)包含遠(yuǎn)程用戶真正想要訪問(wèn)的內(nèi)網(wǎng)服務(wù)器的URL信息。但如果直接暴露內(nèi)網(wǎng)服務(wù)器的URL地址可能會(huì)帶來(lái)安全隱患，故該系統(tǒng)采用加密內(nèi)網(wǎng)資源URL地址信息的方案。例如當(dāng)遠(yuǎn)程客戶要訪問(wèn)http：／／192．168．0．1／index．jsp時(shí)， WebAgent接收到的請(qǐng)求為https：／／222．207．224．19／agent／S6GH78GL／index．jsp。這里的 S6GH78GL為http：／／192．168．0．1的密文信息。WebAgent解密請(qǐng)求得到真正要訪問(wèn)的URL信息，通過(guò)HTTP客戶端工具(如 HttpClient)向內(nèi)網(wǎng)服務(wù)器發(fā)出訪問(wèn)請(qǐng)求，內(nèi)網(wǎng)服務(wù)器收到請(qǐng)求后，向WebAgent返回應(yīng)答信息。
4．3 HTML文檔中后續(xù)訪問(wèn)的處理
如果應(yīng)答對(duì)象為HTML文檔，由于該文檔中包含超鏈接以及其他引用對(duì)象。為使基于該頁(yè)面的后續(xù)訪問(wèn)請(qǐng)求仍能通過(guò)HTTP代理服務(wù)器轉(zhuǎn)發(fā)，需將應(yīng)答信息修改后再發(fā)送至遠(yuǎn)程客戶端。圖3為HTTP協(xié)議的應(yīng)答信息格式。

HTTP響應(yīng)消息分為狀態(tài)行、頭部行、附屬體3部分。其中狀態(tài)行有協(xié)議版本、狀態(tài)碼、原因短語(yǔ)3個(gè)字段，分別用于告知服務(wù)器端使用的HTTP協(xié)議版本號(hào)、本次請(qǐng)求執(zhí)行的狀態(tài)(如發(fā)生錯(cuò)誤，給出錯(cuò)誤原因等)。頭部行包含有關(guān)服務(wù)器端環(huán)境及應(yīng)答正文的有用信息(如正文字節(jié)數(shù)、發(fā)送時(shí)間、包含在附屬體中的對(duì)象類型等)。附屬體包含是應(yīng)答正文信息。