CN117938408A - 一种在Android设备中实施动态访问控制的方法和系统 - Google Patents

Abstract

本发明涉及一种在Android设备中实施动态访问控制的方法和系统。该方法包括：VPN客户端与动态访问控制客户端通过协商确定数据交互端口与兴趣流；VPN客户端从TUN网卡第一次读取数据包，根据协商的数据交互端口与兴趣流将数据包转发至动态访问控制客户端；动态访问控制客户端进行第一次封装，由操作系统将封装后的数据包转发至TUN网卡；VPN客户端从TUN网卡第二次读取数据包，进行第二次封装，由操作系统将封装后的数据包转发至物理网卡，进而发送至VPN网关；VPN网关将第一次解封装后的数据包转发至动态访问控制网关；动态访问控制网关将第二次解封装后的数据包转发至应用服务端。本发明能够在Android设备虚拟网卡已被VPN客户端占用的情况下实现动态访问控制。

Description

一种在Android设备中实施动态访问控制的方法和系统

技术领域

本发明属于计算机技术领域，具体涉及一种在Android设备中实施动态访问控制的方法和系统。

背景技术

在Android系统中，现有的动态访问技术基于虚拟网卡技术与云端动态访问控制网关协作来实现。如图1所示，其基本思想是在Android设备中安装一个客户端程序，利用该客户端程序与动态访问控制网关建立数据传输隧道，以隧道为粒度进行动态访问控制。基本原理是客户端程序读取Android系统TUN虚拟网卡中的数据，根据隧道封装格式对数据包进行封装，从而与动态访问控制网关建立数据传输隧道，使Android系统中的应用数据经由传输隧道发送至动态访问控制网关，并由动态访问控制网关转发/代理至应用服务端。

现有方案的基本流程如下：

a)系统启动时动态访问控制客户端启动TUN网卡，并绑定该网卡，同时在操作系统中配置路由表项，指明需要路由至TUN网卡的数据包；

b)应用app客户端发起业务访问时，终端操作系统根据路由表信息将数据包转发至TUN网卡；

c)动态访问控制客户端监听TUN网卡并读取数据包，根据自身与动态访问控制网关之间的通讯协议格式对数据包进行封装；

d)动态访问控制客户端将封装完成的数据包再次经由操作系统协议栈发送出去；

e)终端操作系统根据路由信息将动态访问控制客户端封装后的数据包转发至物理网卡；

f)数据通过物理网卡发送至动态访问控制网关；

g)动态访问控制网关根据协议格式对数据包进行解封装，并由动态访问控制网关将业务数据转发或代理至应用服务端。

现有的Android动态访问控制技术在用户设备TUN网卡已被其他应用程序占用的情况下将无法正常工作。由于Android操作系统的限制，Android设备上同时只能有1块TUN网卡处于工作状态，若动态访问控制客户端再启动一块TUN网卡，将导致原先的TUN网卡停止工作，从而影响业务正常运行。

例如，在Android设备使用VPN远程访问企业内部网络时，将导致动态访问控制技术无法与VPN技术同时正常运行。因为VPN技术的实现也依赖于TUN网卡，其基本原理是在Android设备中运行VPN客户端，该客户端读取Android系统TUN虚拟网卡中的数据，将数据按照VPN协议格式进行封装，最终经由Android设备物理网卡发送至VPN网关，从而建立VPN安全传输通道。但是，由于Android操作系统的限制，系统同一时刻只能使用一个TUN网卡，这使得在已运行VPN客户端的Android设备中，无法进行动态访问控制。然而在企业日常生产工作中，由于员工可能会出差等原因，需要借助VPN技术实现在企业外部通过互联网接入企业内部网络的场景十分常见，因此需要解决动态访问控制客户端与VPN客户端同时工作的问题。

发明内容

本发明的目的是解决在Android设备中TUN网卡已被VPN客户端占用的情况下，如何实现动态访问控制的问题。

本发明采用的技术方案如下：

一种在Android设备中实施动态访问控制的方法，包括以下步骤：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关。

进一步地，上述方法还包括以下步骤：

VPN网关收到数据包后，进行第一次解封装操作，将第一次解封装后的数据包转发至动态访问控制网关；

动态访问控制网关对数据包进行第二次解封装操作，并将第二次解封装后的数据包转发至应用服务端。

进一步地，所述动态访问控制客户端对数据包进行所述第一次封装时，将数据包目的地址填写为动态访问控制网关地址，然后将封装后的数据包经由操作系统协议栈发送出去；所述VPN客户端对数据包进行所述第二次封装后，将封装后的数据包经由操作系统协议栈发送出去。

进一步地，在所述TUN网卡已被所述VPN客户端占用的情况下，所述动态访问控制客户端采用普通用户态App与所述VPN客户端交互的方式，依次封装数据包。

进一步地，所述VPN客户端与所述动态访问控制客户端交互的方式为AIDL或本地Socket通信等；所述VPN客户端与所述动态访问控制客户端交互的信息包括兴趣流、数据交互端口号、动态访问控制网关IP地址信息。

进一步地，所述VPN客户端与所述动态访问控制客户端的保活机制，包括：将动态访问控制客户端加入操作系统白名单，或者VPN客户端检查动态访问控制客户端的服务，若服务不存在则主动启动动态访问控制客户端。

进一步地，所述动态访问控制网关获取当前Android终端的环境状态变化，自动编排访问控制策略，动态地对用户访问行为进行阻断。

一种Android终端，所述Android终端包括VPN客户端、动态访问控制客户端、TUN网卡和物理网卡；其中：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关。

一种在Android设备中实施动态访问控制的系统，包括Android终端、VPN网关、动态访问控制网关和应用服务端；所述Android终端包括VPN客户端、动态访问控制客户端、TUN网卡和物理网卡；其中：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关；

VPN网关收到数据包后，进行第一次解封装操作，将第一次解封装后的数据包转发至动态访问控制网关；

动态访问控制网关对数据包进行第二次解封装操作，并将第二次解封装后的数据包转发至应用服务端。

本发明的有益效果如下：

a)在Android设备虚拟网卡已被VPN客户端占用的情况下，能够以对上层应用客户端无感知的形式，实现动态访问控制；

b)本方法不改变现有的业务访问方式，不颠覆已有的业务对接成果，应用客户端和应用系统服务端对于数据交互的调用方式不变，用户使用体验没有改变，更易于用户使用。

c)本方法中，动态访问控制网关可以支持采用旁路部署或串接方式部署。旁路方式不改变业务系统现有设备部署模式，系统改造量小；串接部署可使动态访问控制网关成为业务系统数据的必经之路，进一步增强业务系统安全性。

附图说明

图1是现有方案的总体架构图。

图2是本发明的总体架构图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实实例和附图，对本发明做进一步详细说明。

1.总体工作流程

本发明的总体架构如图2所示，在Android终端上，VPN客户端占用了TUN网卡，动态访问控制客户端以普通用户态app的形式运行。在服务端，动态访问控制网关置于VPN网关之后。本发明的一种在Android设备中实施动态访问控制的方法，其基本思想是：VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；由VPN客户端从TUN网卡第一次读取数据包，根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，之后将第一次封装之后的数据包经由操作系统协议栈发送，操作系统根据路由表信息，将第一次封装的数据包转发至TUN网卡；由VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，之后将第二次封装之后的数据包经由操作系统协议栈发送，操作系统根据路由表信息，将第二次封装的数据包转发至物理网卡，最终通过Android设备物理网卡将第二次封装后的数据包发送至VPN网关；VPN网关收到数据包后，进行第一次解封装操作，将第一次解封装后的数据包转发至动态访问控制网关，由动态访问控制网关对数据包进行第二次解封装操作，并将第二次解封装后的数据包转发/代理至应用服务端。

2.业务访问流程

a)系统启动时，动态访问控制客户端与VPN客户端进行协商，协商的内容包括但不限于数据交互端口，以及动态访问控制针对哪些数据包进行，即动态访问控制的兴趣流，并配置操作系统相关路由表项；

b)APP客户端发起业务访问请求，操作系统根据路由表信息将数据包转发至TUN网卡；

c)VPN客户端从TUN网卡中读取数据包(第一次读取数据包)；

d)VPN客户端根据步骤a)中的协商信息，将符合条件的数据包并发送至动态访问控制客户端；

e)动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式，对数据包进行第一次封装，并将数据包目的地址填写为动态访问控制网关地址，然后将数据包经由操作系统协议栈发送出去；

f)操作系统根据路由表，将第一次封装的数据包转发至TUN网卡，VPN客户端再次从TUN网卡读取数据包(第二次读取数据包)，根据VPN协议格式对数据包进行第二次封装，并将封装之后的数据包经由操作系统协议栈发送出去；VPN客户端和动态访问控制客户端不决定是由哪个网卡发送，由哪个网卡发送由操作系统根据系统路由表来决定；

g)操作系统根据路由表信息将步骤f)中的数据包转发至Android设备物理网卡，最终通过物理网卡发送出去；

h)数据包到达VPN网关，由VPN网关对数据包进行第一次解封装，并将解封装后的数据包转发至动态访问控制网关；

i)动态访问控制网关收到第一次解封装后数据包，根据自身协议格式对数据包进行第二次解封装，并将解封装后的数据包转发或者代理至应用服务端。

3.本发明的关键点

a)Android设备虚拟网卡已被VPN客户端占用的情况下，动态访问控制客户端采用普通用户态App与VPN客户端交互的方式，依次封装数据包；

b)VPN客户端与动态访问控制客户端交互的方式，包括但不限于AIDL，本地Socket通信等等；VPN客户端与动态访问控制客户端交互的信息，包括但不限于兴趣流、数据交互端口号、动态访问控制网关IP地址信息等等；

c)VPN客户端与动态访问控制客户端保活机制(VPN客户端与动态访问控制客户端的进程不能被用户杀死)，包括但不限于将动态访问控制客户端加入操作系统白名单，或者VPN客户端检查动态访问控制客户端的服务，若服务不存在则主动启动动态访问控制客户端等等；

d)动态访问控制网关可获取当前Android终端如手机的环境状态变化，自动编排访问控制策略，动态的对用户访问行为进行阻断。

其中，“自动编排访问控制策略，动态的对用户访问行为进行阻断”具体是指：通过移动终端设备管理(MDM)，移动应用管理(MAM)，移动病毒扫描、漏洞扫描等模块，采集Android终端的设备信息、用户信息、安全风险信息、地理位置信息、网络连接信息等，上传至与动态访问控制网关配套工作的访问控制策略中心，由访问控制策略中心根据采集到的终端信息，编排访问控制策略，并将访问控制策略下发至动态访问控制网关，由动态访问控制网关根据访问控制策略决定是否阻断某些用户行为。

本发明中，动态访问控制网关可以支持采用旁路部署或串接部署两种方式。其中串接是指动态访问控制网关部署在用户访问服务端的必经之路上，旁路是指动态访问控制网关不是部署在必经之路上。

本发明的另一实施例提供一种Android终端，所述Android终端包括VPN客户端、动态访问控制客户端、TUN网卡和物理网卡；其中：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关。

本发明的另一实施例提供一种在Android设备中实施动态访问控制的系统，包括Android终端、VPN网关、动态访问控制网关和应用服务端；所述Android终端包括VPN客户端、动态访问控制客户端、TUN网卡和物理网卡；其中：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关；

VPN网关收到数据包后，进行第一次解封装操作，将第一次解封装后的数据包转发至动态访问控制网关；

动态访问控制网关对数据包进行第二次解封装操作，并将第二次解封装后的数据包转发至应用服务端。

以上公开的本发明的具体实施例，其目的在于帮助理解本发明的内容并据以实施，本领域的普通技术人员可以理解，在不脱离本发明的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书的实施例所公开的内容，本发明的保护范围以权利要求书界定的范围为准。

Claims (9)

1.一种在Android设备中实施动态访问控制的方法，其特征在于，包括以下步骤：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关。

2.根据权利要求1所述的方法，其特征在于，还包括以下步骤：

VPN网关收到数据包后，进行第一次解封装操作，将第一次解封装后的数据包转发至动态访问控制网关；

动态访问控制网关对数据包进行第二次解封装操作，并将第二次解封装后的数据包转发至应用服务端。

3.根据权利要求1或2所述的方法，其特征在于，所述动态访问控制客户端对数据包进行所述第一次封装时，将数据包目的地址填写为动态访问控制网关地址，然后将封装后的数据包经由操作系统协议栈发送出去；所述VPN客户端对数据包进行所述第二次封装后，将封装后的数据包经由操作系统协议栈发送出去。

4.根据权利要求1或2所述的方法，其特征在于，在所述TUN网卡已被所述VPN客户端占用的情况下，所述动态访问控制客户端采用普通用户态App与所述VPN客户端交互的方式，依次封装数据包。

5.根据权利要求1所述的方法，其特征在于，所述VPN客户端与所述动态访问控制客户端交互的方式为AIDL或本地Socket通信；所述VPN客户端与所述动态访问控制客户端交互的信息包括兴趣流、数据交互端口号、动态访问控制网关IP地址信息。

6.根据权利要求1所述的方法，其特征在于，所述VPN客户端与所述动态访问控制客户端的保活机制，包括：将动态访问控制客户端加入操作系统白名单，或者VPN客户端检查动态访问控制客户端的服务，若服务不存在则主动启动动态访问控制客户端。

7.根据权利要求1所述的方法，其特征在于，所述动态访问控制网关获取当前Android终端的环境状态变化，自动编排访问控制策略，动态地对用户访问行为进行阻断。

8.一种Android终端，其特征在于，所述Android终端包括VPN客户端、动态访问控制客户端、TUN网卡和物理网卡；其中：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关。

9.一种在Android设备中实施动态访问控制的系统，其特征在于，包括Android终端、VPN网关、动态访问控制网关和应用服务端；所述Android终端包括VPN客户端、动态访问控制客户端、TUN网卡和物理网卡；其中：

VPN客户端与动态访问控制客户端进行协商，确定数据交互端口与兴趣流；

VPN客户端从TUN网卡第一次读取数据包，并根据与动态访问控制客户端协商的兴趣流通过协商的数据交互端口将对应数据包转发至动态访问控制客户端；

动态访问控制客户端根据自身与动态访问控制网关的通讯协议格式对数据包进行第一次封装，操作系统根据路由表信息将第一次封装后的数据包转发至TUN网卡；

VPN客户端从TUN网卡第二次读取数据包，根据VPN格式进行第二次封装，操作系统根据路由表信息将第二次封装后的数据包转发至物理网卡，通过物理网卡将第二次封装后的数据包发送至VPN网关；

VPN网关收到数据包后，进行第一次解封装操作，将第一次解封装后的数据包转发至动态访问控制网关；

动态访问控制网关对数据包进行第二次解封装操作，并将第二次解封装后的数据包转发至应用服务端。