[go: up one dir, main page]

CN111031067A - 分布式系统的监控数据传输方法、装置及电子设备 - Google Patents

分布式系统的监控数据传输方法、装置及电子设备 Download PDF

Info

Publication number
CN111031067A
CN111031067A CN201911364926.8A CN201911364926A CN111031067A CN 111031067 A CN111031067 A CN 111031067A CN 201911364926 A CN201911364926 A CN 201911364926A CN 111031067 A CN111031067 A CN 111031067A
Authority
CN
China
Prior art keywords
monitoring
client
distributed system
legal
host
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201911364926.8A
Other languages
English (en)
Inventor
张曙华
杨安荣
李仡
徐丽
李刚
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Zhongxin Information Development Co ltd
Original Assignee
Shanghai Zhongxin Information Development Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Zhongxin Information Development Co ltd filed Critical Shanghai Zhongxin Information Development Co ltd
Priority to CN201911364926.8A priority Critical patent/CN111031067A/zh
Publication of CN111031067A publication Critical patent/CN111031067A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H04L67/025—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP] for remote control or remote monitoring of applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供了一种分布式系统的监控数据传输方法、装置及电子设备，获取分布式系统的监控数据后，根据预设的客户端的基本信息及监控数据，生成监控结果；根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。本发明确保了分布式系统的监控数据传输的安全性，并降低了传输成本，提高了稳定性。

Description

分布式系统的监控数据传输方法、装置及电子设备
技术领域
本发明涉及通信技术领域，尤其是涉及一种分布式系统的监控数据传输方法、装置及电子设备。
背景技术
相关技术中，在分布式系统的监控数据传输过程中，通常采用专线和虚拟专用网络(Virtual Private Network，VPN)技术来确保传输监控数据的安全性。具体而言，该方式通过主机监控服务器和客户端通过SSL(Secure Sockets Layer安全套接层)VPN相连，客户端强制启动，自动进行VPN连接而实现；然而，该方式的成本较高，且传输过程的稳定性较低。
发明内容
有鉴于此，本发明的目的在于提供一种分布式系统的监控数据传输方法、装置及电子设备，以确保分布式系统的监控数据传输的安全性，并降低传输成本，提高稳定性。
第一方面，本发明实施例提供了一种分布式系统的监控数据传输方法，该方法应用于客户端；客户端与主机监控服务器通信连接；该方法包括：获取分布式系统的监控数据；根据预设的客户端的基本信息及监控数据，生成监控结果；根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。
结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，该方法还包括：通过预设的第一传输控制协议端口接收主机监控服务器发送的监控指令；根据预设的第二白名单，判断监控指令是否合法；如果合法，执行监控指令。
结合第一方面的第一种可能的实施方式，本发明实施例提供了第一方面的第二种可能的实施方式，其中，上述监控指令包括主机监控服务器的IP地址；根据预设的第二白名单，判断监控指令是否合法的步骤，包括：在预设的第二白名单中查找主机监控服务器的IP地址；如果查找到，确定监控指令合法。
第二方面，本发明实施例提供了一种分布式系统的监控数据传输方法，该方法应用于主机监控服务器；主机监控服务器与客户端通信连接；该方法包括：接收客户端发送的分布式系统的监控结果；监控结果包括监控数据及客户端的基本信息；根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。
结合第二方面，本发明实施例提供了第二方面的第一种可能的实施方式，其中，上述客户端的基本信息包括客户端的IP地址及身份标识；根据基本信息及预设的第一白名单，确定监控结果是否合法的步骤，包括：在预设的白名单中查找客户端的IP地址；如果查找到，判断身份标识与客户端的预存标识是否一致；如果一致，确定监控结果合法。
结合第二方面，本发明实施例提供了第二方面的第二种可能的实施方式，其中，该方法还包括：根据预存的客户端的地址信息，向客户端发送监控指令，以使客户端根据预设的第二白名单，判断监控指令是否合法；如果合法，执行监控指令；监控指令包括主机监控服务器的IP地址；客户端的地址信息包括客户端的IP地址及第一传输控制协议端口。
第三方面，本发明实施例提供了一种分布式系统的监控数据传输装置，该装置设置于客户端；客户端与主机监控服务器通信连接；该装置包括：数据获取模块，用于获取分布式系统的监控数据；结果生成模块，用于根据预设的客户端的基本信息及监控数据，生成监控结果；结果发送模块，用于根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。
第四方面，本发明实施例提供了一种分布式系统的监控数据传输装置，该装置设置于主机监控服务器；主机监控服务器与客户端通信连接；该装置包括：结果接收模块，用于接收客户端发送的分布式系统的监控结果；监控结果包括监控数据及客户端的基本信息；合法确定模块，用于根据基本信息及预设的第一白名单，确定监控结果是否合法；数据保存模块，用于如果合法，保存分布式系统的监控数据。
第五方面，本发明实施例提供了一种电子设备，包括处理器和存储器，存储器存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现应用于客户端的上述方法。
第六方面，本发明实施例提供了一种主机监控服务器，包括处理器和存储器，存储器存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现应用于主机监控服务器的上述方法。
本发明实施例带来了以下有益效果：
本发明实施例提供了一种分布式系统的监控数据传输方法、装置及电子设备，获取分布式系统的监控数据后，根据预设的客户端的基本信息及监控数据，生成监控结果；根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。该方式确保了分布式系统的监控数据传输的安全性，并降低了传输成本，提高了稳定性。
本发明的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本发明的上述技术即可得知。
为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施方式，并配合所附附图，作详细说明如下。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种分布式系统的监控数据传输方法的流程图；
图2为本发明实施例提供的另一种分布式系统的监控数据传输方法的流程图；
图3为本发明实施例提供的另一种分布式系统的监控数据传输方法的流程图；
图4为本发明实施例提供的一种中心主监控端与代理服务端之间的信息交互示意图；
图5为本发明实施例提供的一种分布式资源监控示意图；
图6为本发明实施例提供的一种Token认证过程示意图；
图7为本发明实施例提供的一种分布式系统的监控数据传输装置的结构示意图；
图8为本发明实施例提供的另一种分布式系统的监控数据传输装置的结构示意图；
图9为本发明实施例提供的一种电子设备的结构示意图。
具体实施方式
下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
随着经济的迅猛发展，企事业单位的机房建设规模和数量也在大幅度增长，信息数据中心机房建设已经从原本的单一机房向异地多机房发展。异地多机房之间怎样进行信息交互和数据交流，管理人员怎样监管每个机房资源成为当下普遍需求。目前异地多机房主要是通过专线或VPN进行监管，存在的问题是建设成本高，相同IP地址无法监控，主监控服务端压力大。
相关技术中，多采用专线和VPN技术来保障传输监控数据的安全性。具体而言，可以基于VPN(虚拟专网)技术的全网管理监控系统实现，该系统包括主机监控服务器、至少一个控制台和客户端，服务器和每个客户端及控制台通过SSL VPN相连，其中客户端强制启动自动进行VPN连接，通过VPN技术将脱离局域网范围的主机强制纳入管理监控范围内，实现全网范围的集中监控和管理。
该方式在一定程度上提升了监控范围，脱离局域网实现全网范围的几种监管。但在实际使用过程中也存在一定的限制和缺陷。首先需要在主监控端部署VPN server，再由异地机房通过VPN拨入，需要额外增加成本。其次运行过程中，一旦VPN服务中断将直接影响异地监控数据的传输。此外在实际监控时，使用VPN技术无法监控相同IP地址的资源，也会增加主监控服务端的压力。
基于上述技术问题，本发明实施例提供了一种分布式系统的监控数据传输方法、装置及电子设备，可以应用于各种分布式系统。
为便于对本实施例进行理解，首先对本发明实施例所公开的一种分布式系统的监控数据传输方法进行详细介绍。
本发明实施例提供了一种分布式系统的监控数据传输方法，该方法应用于客户端；客户端与主机监控服务器通信连接；如图1所示，该方法包括以下步骤：
步骤S100，获取分布式系统的监控数据。
上述分布式系统在多个地点都会设有子设备，如由计算机组成的机房等。某个地点的第一客户端可以获取到该地点的子设备的监控数据；该监控数据可以由子设备对其自身进行监控得到，也可以由外部设备对子设备进行监控得到。客户端可以以一定的频率获取上述监控数据。
步骤S102，根据预设的客户端的基本信息及监控数据，生成监控结果。
上述客户端的基本信息可以包括客户端的IP地址及身份标识等。上述身份标识可以同时保存在客户端和主机监控服务器中，可以是客户端首次与主机监控服务器通信时，由主机监控服务器分配给客户端的。上述监控结果中不仅包括监控数据，还可以包括客户端的基本信息；上述基本信息和监控数据以预设的格式生成监控结果。
步骤S104，根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。
上述主机监控服务器的地址信息可以包括主机监控服务器的IP地址及TCP(Transmission Control Protocol，传输控制协议)端口。主机监控服务器和客户端之间可以通过ISP(Internet Service Provide，互联网服务提供商)运营商线路进行通信，即通常所称的互联网。在预先确定了主机监控服务器的IP地址及TCP端口时，可以将分布式系统的监控结果发送至主机监控服务器，以使主机监控器通过其TCP端口对监控结果进行接收。
主机监控服务器在接收到监控结果时，需要对监控结果的合法性进行判断；首先可以判断发送监控结果的客户端的IP地址是否在第一白名单中；如果是，再判断客户端的身份标识是否与主机监控器预存的该客户端的身份标识一致，如果一致，可以确定上述监控结果合法，主机监控器可以把该监控结果保存起来。
本发明实施例提供了一种分布式系统的监控数据传输方法，获取分布式系统的监控数据后，根据预设的客户端的基本信息及监控数据，生成监控结果；根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。该方式确保了分布式系统的监控数据传输的安全性，并降低了传输成本，提高了稳定性。
本发明实施例还提供了另一种分布式系统的监控数据传输方法，该方法在上述实施例方法的基础上实现；该方法重点描述了客户端接收到主机监控服务器发送监控指令的过程，如图2所示，该方法包括以下步骤：
步骤S200，通过预设的第一传输控制协议端口接收主机监控服务器发送的监控指令；由于主机监控服务器和客户端通过互联网通信，客户端是通过传输控制协议端口在接收主机监控服务器发送的监控指令的。
步骤S202，根据预设的第二白名单，判断监控指令是否合法；如果合法，执行步骤S204；如果不合法，结束。
具体地，上述第二白名单中保存着可以与异地控制端的主机监控服务器的IP地址；上述监控指令中通常包括主机监控服务器的IP地址；因此，可以在预设的第二白名单中查找主机监控服务器的IP地址；如果查找到，确定监控指令合法；如果没有查找到，确定监控指令不合法。
步骤S204，执行该监控指令；具体而言，可以根据监控指令的具体内容，执行相应的监控任务。
上述方法中，通过预设的第一传输控制协议端口接收主机监控服务器发送的监控指令，并根据预设的第二白名单，判断监控指令是否合法；如果合法，再执行该监控指令。该方式在保证分布式系统的监控数据传输安全性的基础上，降低了传输成本，并提高了稳定性。
对应于上述实施例，本发明实施例还提供了另一种分布式系统的监控数据传输方法，该方法应用于主机监控服务器；主机监控服务器与客户端通信连接；如图3所示，该方法包括以下步骤：
步骤S300，接收客户端发送的分布式系统的监控结果；监控结果包括监控数据及客户端的基本信息；
步骤S302，根据基本信息及预设的第一白名单，确定监控结果是否合法；
在实际实现过程中，上述客户端的基本信息包括客户端的IP地址及身份标识；上述步骤S302具体可通过以下方式实现：
(1)在预设的白名单中查找客户端的IP地址。
(2)如果查找到，判断身份标识与客户端的预存标识是否一致。
(3)如果一致，确定监控结果合法。
步骤S304，如果合法，保存分布式系统的监控数据。
在一些情况下，主机监控服务器还需要向客户端发送监控指令，该过程具体通过以下方式实现：
根据预存的客户端的地址信息，向客户端发送监控指令，以使客户端根据预设的第二白名单，判断监控指令是否合法；如果合法，执行监控指令；监控指令包括主机监控服务器的IP地址；客户端的地址信息包括客户端的IP地址及第一传输控制协议端口。
本发明实施例提供了一种分布式系统的监控数据传输方法，在接收客户端发送的分布式系统的监控结果后，根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。该方式确保了分布式系统的监控数据传输的安全性，并降低了传输成本，提高了稳定性。
本发明实施例还提供了另一种分布式系统的监控数据传输方法，完全基于ISP运营商线路，通过IP白名单和Token加解密双重安全认证方式，解决企事业单位对异地信息环境集中有效监控和统一管理的问题。该方法能够保证通过互联网传输监控数据的安全性，具有部署便捷、可扩展性强的优势。
该方法主要通过在中心机房部署中心主监控端(相当于上述实施例中的主机监控服务器)，在异地机房部署代理服务端(相当于上述实施例中的客户端，也称为异地代理服务端)；由主监控端通过互联网向异地机房的代理服务端下发监控任务(相当于上述实施例中的监控指令)，异地代理服务端在接收到监控任务后，对异地机房的信息化设备、网络进行运行状态信息采集，并将每个异地机房监控数据通过互联网实时推送到中心主监控端，实现分布式信息化资源的监控。
基于上述方法，中心主监控端与代理服务端之间的信息交互示意图如图4所示，图4中的箭头指向的各个步骤实现过程如下：
1、主监控端服务器通过独立的互联网IP地址和异地代理服务端通讯的TCP端口，在互联网发布IP地址及TCP端口。在主监控服务器与其他设备通信时，需要参考简单网络管理协议(SNMP)及操作系统的进程文件(OS agent)。
2、异地代理服务端测试主监控端互联网IP及TCP端口可用性，将主监控端IP和TCP端口写入配置文件，其中主监控端IP写入异地代理服务端的IP白名单(相当于上述实施例中的第二白名单)中。
3、完成上述配置工作后，异地服务端向主监控端发起主机注册申请，通过IP白名单(相当于上述实施例中的第一白名单)认证后，发送Token认证请求。
Token认证(JSON Web Token)简称JWT，由JWT头、有效载荷和签名三部分组成。它定义了一种简洁、自包含的协议格式，用于通信双方之间传递JSON(JavaScript ObjectNotation,JS对象简谱)对象。传递的信息通过HMAC(Hash-based Message AuthenticationCode，哈希运算消息认证码)算法或RSA(RSA algorithm，RSA加密算法)的公钥/密钥进行数字签名可以被验证和信任，防止被篡改。一旦用户登录，每个后续请求都携带JWT，Token签名认证通过后，允许请求方访问该令牌允许的路由、服务和资源。HMAC算法是一种基于Hash函数和密钥进行消息认证的方法。它基于信息摘要，利用哈希算法，以一个密钥和一个消息为输入，生成一个定长的信息摘要作为输出。实际就是密钥和明文进行两轮类似于加盐处理的哈希运算。
在Token认证过程中，JWT的JWT头和有效载荷需要使用Base64 URL(UniformResource Locator，全球资源定位器)算法将JSON对象序列化字符串保存。Base64 URL算法与Base64算法类似，是一种基于64个可打印字符来表示二进制的方法。稍有差异的时，在URL(例如api.example/？token＝xxx)中存入作为令牌的JWT，Base64算法用的是“＝”，“+”，“/”三个字符，由于这三个字符在URL中有特殊含义，因此在Base64URL算法中对它们做了替换：去掉“＝”去掉，用“-”替换“+”，用“_”替换“/”。
4、主监控端接收到异地代理服务端的Token认证请求后，检验请求中携带的Token是否合法，并从中取得相关信息。Token签名认证通过后，允许主监控端接收异地代理服务端的监控数据。
5、主监控端下发监控任务，指定某个异地代理服务端进行监控。
6、异地代理服务端接收到监控任务后，使用任务中指定的协议对监控设备进行运行状态信息采集。
7、异地代理服务端本地存储上一步采集的监控数据，实时将监控数据提交主监控端。
8、主监控端接收到异地代理服务端的监控数据，进行本地存储。
上述主监控端也可以称为本地服务器，基于本地服务器、异地代理端(相当于上述客户端)及异地信息化资源(属于分布式系统)的分布式资源监控示意图如图5所示，可以简述为：通过在异地机房部署异地代理端，然后由主监控端通过互联网向异地机房的代理服务端下发采集任务(也称为监控任务)，异地代理端在接收到监控任务后，向异地机房的信息化设备(也称为异地信息化资源)进行状态监控数据采集，信息化设备向异地代理端上传数据，异地代理端收到数据后通过互联网向主监控服务端传输监控数据(也称为上传采集任务)；此外本地服务器还可以对本地信息化资源(属于分布式系统)进行数据采集，本地信息化资源向本地服务器上传数据。
该方法中，采用IP白名单和Token认证双重安全认证机制来实现监控过程中数据传输的安全性。主监控端在接收到异地代理端的请求时，会先检查请求方的IP地址，过滤拦截不属于白名单的请求，随后再进行Token签名认证来加强监控数据传输过程中的安全性。
首先，具体介绍IP白名单认证方法：异地代理服务端在数据库中管理允许访问的IP地址。异地代理端收到请求时，先通过拦截器过滤请求方的IP地址，拦截不属于白名单中IP地址的请求。
然后，对Token认证方法进行介绍：Token认证(JSON Web Token)简称JWT，它用于在服务器和客户端之间传递JSON对象，而无需在服务器保存会话数据。传递的信息通过HMAC算法或RSA的公钥/密钥进行数字签名可以被验证和信任。JWT的工作流程如图6所示，其中采用了HTTP POST请求，由该请求发送用户名和密码；客户端在接收到Token后，在发送受保护的API(Application Programming Interface，应用程序接口)请求时，可以在header中携带该Token。JWT主要由三部分组成，JWT头、有效载荷和签名，具体如下：
(1)JWT头(Header)
JWT头部分是一个描述JWT元数据的JSON对象，包含两部分，token类型和采用的加密算法。通常如下所示：
{
“alg”:“HS256”,
“typ”:“JWT”
}
在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256(写为HS256)；typ属性表示令牌的类型，JWT令牌统一写为JWT。
JWT头由Base64编码组成，使用Base64 URL算法将上述JSON对象转换成字符串保存。该算法和常见Base64算法类似，稍有差别。
在URL(例如api.example/？token＝xxx)中存入作为令牌的JWT，Base64算法用的是“＝”，“+”，“/”三个字符，由于这三个字符在URL中有特殊含义，因此在Base64URL算法中对它们做了替换：去掉“＝”去掉，用“-”替换“+”，用“_”替换“/”。
(2)有效载荷(Payload)
有效载荷作为JWT的主体内容部分，用于存放需要传递的信息，即一个JSON对象。常用的有iss(发行人)、exp(过期时间)、sub(主题)、aud(用户)、nbf(在此之前不可用)、iat(签发时间)和jti(JWT ID，用于标识该JWT)。
除此之外，还可以自定义私有字段，如下所示：
{
“sub”:“1234567890”,
“name”:“chongchong”,
“admin”:true
}
默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。
有效载荷如JWT一样，使用Base64 URL算法将JSON对象序列化为字符串保存。
(3)签名(Signature)
签名部分是通过JWT头指定的算法生成哈希，对序列化后JWT头和有效载荷进行数字签名，保证JWT头和有效载荷没有被篡改。
首先需要指定一个密码(secret)，该密码仅仅保存在服务器中，不能向用户公开。然后使用JWT头中指定的签名算法(默认情况下为HMAC SHA256)生成签名。公式如下：
HMACSHA256(base64UrlEncode(header)+“.”+base64UrlEncode(payload),secret)
其中HMACSHA256是一种带有SHA-256的HMAC算法。HMAC算法基于信息摘要算法，以一个密钥和一个消息为输入，生成一个定长的信息摘要作为输出。实际就是对密钥和明文进行两轮类似于加盐处理的哈希运算。其中密钥可以是任意长度，如果长度超过信息摘要算法信息分组的长度，则要使用摘要算法计算密钥的摘要作为新密钥。由于密钥长度与安全强度相关，一般不建议使用太短的密钥，建议使用长度大于信息摘要输出值的长度。
HMAC算法要用到一个哈希函数和一个密钥，分别记为H和K。通过信息摘要函数对信息分组，每个信息块的长度记为B。通过信息摘要算法输出的固定长度的信息摘要，将信息摘要的长度记为L。其中密钥K的长度理论上是任意的，但为了安全强度考虑，建议密钥选取不小于L的长度。
JWT数字签名的HMAC算法公式如下：
HMAC(K，M)＝H(K⊕opad∣H(K⊕ipad∣M))
其中，ipad为一个字节的0x36重复B次,opad为一个字节的0x5c重复B次,M代表一个消息输入。
根据上面的算法公式，可以描述HMAC算法的运算步骤：
(1)检查密钥K的长度。如果K的长度大于B则先使用摘要算法计算出一个长度为L的新密钥。如果后K的长度小于B，则在其后面追加0来使其长度达到B。
(2)将上一步生成的B字长的密钥字符串与ipad做异或运算。
(3)将需要处理的数据流text填充至第二步的结果字符串中。
(4)使用哈希函数H计算上一步中生成的数据流的信息摘要值。
(5)将第一步生成的B字长密钥字符串与opad做异或运算。
(6)再将第四步得到的结果填充到第五步的结果之后。
(7)使用哈希函数H计算上一步中生成的数据流的信息摘要值，输出结果就是最终的HMAC值。
当计算出签名哈希后，通过“.”分隔符将JWT头、有效载荷和签名三部分组合成一个字符串，就构成整个JWT对象。
在计算出签名哈希后，JWT头、有效载荷和签名哈希的三个部分组合成一个字符串，每个部分用“.”分隔，就构成整个JWT对象。
该方法提出了一种安全、低成本、部署便捷的分布式系统的监控数据传输方法。在中心主监控端与代理服务端对接过程中采用IP白名单+Token签名算法认证的双重安全认证方式，在不增加成本与降低服务可用性的情况下，有效提升监控数据传输过程中的安全性。该方法完全基于ISP运营商线路，无需部署专线或VPN，避免了传输过程中VPN服务不稳定造成的监控传输中断的可能；利用IP白名单+Token签名算法的安全机制，有效规避了数据泄露与黑客窃取风险，保证互联网数据传输的安全性。
对应于上述分布式系统的监控数据传输方法实施例，本发明实施例还提供一种分布式系统的监控数据传输装置，该装置设置于客户端；客户端与主机监控服务器通信连接；如图7所示，该装置包括：
数据获取模块700，用于获取分布式系统的监控数据；
结果生成模块702，用于根据预设的客户端的基本信息及监控数据，生成监控结果；
结果发送模块704，用于根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。
本发明实施例提供了一种分布式系统的监控数据传输装置，获取分布式系统的监控数据后，根据预设的客户端的基本信息及监控数据，生成监控结果；根据预存的主机监控服务器的地址信息，将分布式系统的监控结果发送至主机监控服务器，以使主机监控服务器根据基本信息及预设的第一白名单，确定监控结果是否合法；如果合法，保存分布式系统的监控数据。该方式确保了分布式系统的监控数据传输的安全性，并降低了传输成本，提高了稳定性。
进一步地，上述装置还包括：指令接收模块，用于通过预设的第一传输控制协议端口接收主机监控服务器发送的监控指令；指令合法性判断模块，用于根据预设的第二白名单，判断监控指令是否合法；指令执行模块，用于如果合法，执行监控指令。
进一步地，上述监控指令包括主机监控服务器的IP地址；上述指令合法性判断模块还用于：在预设的第二白名单中查找主机监控服务器的IP地址；如果查找到，确定监控指令合法。
本发明实施例提供的分布式系统的监控数据传输装置，与上述实施例提供的分布式系统的监控数据传输方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。
对应于上述另一种分布式系统的监控数据传输方法实施例，本发明实施例还提供另一种分布式系统的监控数据传输装置，该装置设置于主机监控服务器；主机监控服务器与客户端通信连接；如图8所示，该装置包括：
结果接收模块800，用于接收客户端发送的分布式系统的监控结果；监控结果包括监控数据及客户端的基本信息；
合法确定模块802，用于根据基本信息及预设的第一白名单，确定监控结果是否合法；
数据保存模块804，用于如果合法，保存分布式系统的监控数据。
进一步地，上述客户端的基本信息包括客户端的IP地址及身份标识；上述合法确定模块802还用于：在预设的白名单中查找客户端的IP地址；如果查找到，判断身份标识与客户端的预存标识是否一致；如果一致，确定监控结果合法。
进一步地，上述装置还包括：指令发送模块，用于根据预存的客户端的地址信息，向客户端发送监控指令，以使客户端根据预设的第二白名单，判断监控指令是否合法；如果合法，执行监控指令；监控指令包括主机监控服务器的IP地址；客户端的地址信息包括客户端的IP地址及第一传输控制协议端口。
本发明实施例提供的分布式系统的监控数据传输装置，与上述实施例提供的分布式系统的监控数据传输方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。
本发明实施例还提供一种电子设备，参见图9所示，包括处理器和存储器，存储器存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现上述分布式系统的监控数据传输方法。
本发明实施例还提供一种主机监控服务器，其结构与上述电子设备相同，参见图9所示，包括处理器和存储器，存储器存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现上述分布式系统的监控数据传输方法。
进一步地，图9所示的主机监控服务器还包括总线132和通信接口133，处理器130、通信接口133和存储器131通过总线132连接。
其中，存储器131可能包含高速随机存取存储器(RAM，Random Access Memory)，也可能还包括非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。通过至少一个通信接口133(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。总线132可以是ISA总线、PCI总线或EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。
处理器130可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器130中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器130可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DigitalSignal Processing，简称DSP)、专用集成电路(Application Specific IntegratedCircuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器131，处理器130读取存储器131中的信息，结合其硬件完成前述实施例的方法的步骤。
本发明实施例还提供了一种机器可读存储介质，该机器可读存储介质存储有机器可执行指令，该机器可执行指令在被处理器调用和执行时，该机器可执行指令促使处理器实现上述分布式系统的监控数据传输方法，具体实现可参见方法实施例，在此不再赘述。
本发明实施例所提供的分布式系统的监控数据传输方法及装置和网关主机监控服务器的计算机程序产品，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，主机监控服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种分布式系统的监控数据传输方法，其特征在于，所述方法应用于客户端；所述客户端与主机监控服务器通信连接；所述方法包括：
获取所述分布式系统的监控数据；
根据预设的所述客户端的基本信息及所述监控数据，生成监控结果；
根据预存的所述主机监控服务器的地址信息，将所述分布式系统的监控结果发送至所述主机监控服务器，以使所述主机监控服务器根据所述基本信息及预设的第一白名单，确定所述监控结果是否合法；如果合法，保存所述分布式系统的监控数据。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
通过预设的第一传输控制协议端口接收所述主机监控服务器发送的监控指令；
根据预设的第二白名单，判断所述监控指令是否合法；
如果合法，执行所述监控指令。
3.根据权利要求2所述的方法，其特征在于，所述监控指令包括所述主机监控服务器的IP地址；根据预设的第二白名单，判断所述监控指令是否合法的步骤，包括：
在预设的第二白名单中查找所述主机监控服务器的IP地址；
如果查找到，确定所述监控指令合法。
4.一种分布式系统的监控数据传输方法，其特征在于，所述方法应用于主机监控服务器；所述主机监控服务器与客户端通信连接；所述方法包括：
接收所述客户端发送的所述分布式系统的监控结果；所述监控结果包括监控数据及所述客户端的基本信息；
根据所述基本信息及预设的第一白名单，确定所述监控结果是否合法；
如果合法，保存所述分布式系统的监控数据。
5.根据权利要求4所述的方法，其特征在于，所述客户端的基本信息包括所述客户端的IP地址及身份标识；
根据所述基本信息及预设的第一白名单，确定所述监控结果是否合法的步骤，包括：
在预设的白名单中查找所述客户端的IP地址；
如果查找到，判断所述身份标识与所述客户端的预存标识是否一致；
如果一致，确定所述监控结果合法。
6.根据权利要求4所述的方法，其特征在于，所述方法还包括：
根据预存的所述客户端的地址信息，向所述客户端发送监控指令，以使所述客户端根据预设的第二白名单，判断所述监控指令是否合法；如果合法，执行所述监控指令；所述监控指令包括所述主机监控服务器的IP地址；所述客户端的地址信息包括所述客户端的IP地址及第一传输控制协议端口。
7.一种分布式系统的监控数据传输装置，其特征在于，所述装置设置于客户端；所述客户端与主机监控服务器通信连接；所述装置包括：
数据获取模块，用于获取所述分布式系统的监控数据；
结果生成模块，用于根据预设的所述客户端的基本信息及所述监控数据，生成监控结果；
结果发送模块，用于根据预存的所述主机监控服务器的地址信息，将所述分布式系统的监控结果发送至所述主机监控服务器，以使所述主机监控服务器根据所述基本信息及预设的第一白名单，确定所述监控结果是否合法；如果合法，保存所述分布式系统的监控数据。
8.一种分布式系统的监控数据传输装置，其特征在于，所述装置设置于主机监控服务器；所述主机监控服务器与客户端通信连接；所述装置包括：
结果接收模块，用于接收所述客户端发送的所述分布式系统的监控结果；所述监控结果包括监控数据及所述客户端的基本信息；
合法确定模块，用于根据所述基本信息及预设的第一白名单，确定所述监控结果是否合法；
数据保存模块，用于如果合法，保存所述分布式系统的监控数据。
9.一种电子设备，其特征在于，包括处理器和存储器，所述存储器存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令以实现权利要求1至3任一项所述的方法。
10.一种主机监控服务器，其特征在于，包括处理器和存储器，所述存储器存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令以实现权利要求4至6任一项所述的方法。
CN201911364926.8A 2019-12-24 2019-12-24 分布式系统的监控数据传输方法、装置及电子设备 Pending CN111031067A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911364926.8A CN111031067A (zh) 2019-12-24 2019-12-24 分布式系统的监控数据传输方法、装置及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911364926.8A CN111031067A (zh) 2019-12-24 2019-12-24 分布式系统的监控数据传输方法、装置及电子设备

Publications (1)

Publication Number Publication Date
CN111031067A true CN111031067A (zh) 2020-04-17

Family

ID=70213697

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911364926.8A Pending CN111031067A (zh) 2019-12-24 2019-12-24 分布式系统的监控数据传输方法、装置及电子设备

Country Status (1)

Country Link
CN (1) CN111031067A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113946451A (zh) * 2021-08-31 2022-01-18 度小满科技(北京)有限公司 一种微服务调用方法、装置、系统及计算机设备
CN114116373A (zh) * 2021-10-20 2022-03-01 百度在线网络技术（北京）有限公司 一种网络请求监控方法、装置、电子设备及存储介质
CN116155486A (zh) * 2022-12-01 2023-05-23 杭州安恒车联网安全技术有限公司 一种27服务的安全性检测方法、装置以及介质

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20110017173A (ko) * 2009-08-13 2011-02-21 이니텍(주) 화이트 리스트를 모니터링하는 네트워크 필터와 더미 웹 서버를 이용한 분산서비스거부 공격 차단 방법
CN102724186A (zh) * 2012-06-06 2012-10-10 珠海市君天电子科技有限公司 一种钓鱼网站检测系统和检测方法
CN105872850A (zh) * 2015-12-07 2016-08-17 乐视云计算有限公司 基于白名单的直播数据推送方法及设备
CN106304141A (zh) * 2015-06-10 2017-01-04 美的集团股份有限公司 基于ZigBee网络的入网管理方法和系统
CN107172020A (zh) * 2017-04-28 2017-09-15 湖北微源卓越科技有限公司 一种网络数据安全交换方法及系统
CN107438074A (zh) * 2017-08-08 2017-12-05 北京神州绿盟信息安全科技股份有限公司 一种DDoS攻击的防护方法及装置
CN108156043A (zh) * 2018-02-24 2018-06-12 浙江远望通信技术有限公司 一种基于白名单和约束集流控的视频监控安全接入方法
CN108521399A (zh) * 2018-02-24 2018-09-11 浙江远望通信技术有限公司 一种基于设备特征识别和白名单的视频监控安全接入方法
CN109639811A (zh) * 2018-12-21 2019-04-16 北京金山云网络技术有限公司 数据传输方法、数据存储方法、装置、服务器及存储介质
CN110166459A (zh) * 2019-05-24 2019-08-23 深圳前海微众银行股份有限公司 一种反序列化漏洞的防护方法及装置

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20110017173A (ko) * 2009-08-13 2011-02-21 이니텍(주) 화이트 리스트를 모니터링하는 네트워크 필터와 더미 웹 서버를 이용한 분산서비스거부 공격 차단 방법
CN102724186A (zh) * 2012-06-06 2012-10-10 珠海市君天电子科技有限公司 一种钓鱼网站检测系统和检测方法
CN106304141A (zh) * 2015-06-10 2017-01-04 美的集团股份有限公司 基于ZigBee网络的入网管理方法和系统
CN105872850A (zh) * 2015-12-07 2016-08-17 乐视云计算有限公司 基于白名单的直播数据推送方法及设备
CN107172020A (zh) * 2017-04-28 2017-09-15 湖北微源卓越科技有限公司 一种网络数据安全交换方法及系统
CN107438074A (zh) * 2017-08-08 2017-12-05 北京神州绿盟信息安全科技股份有限公司 一种DDoS攻击的防护方法及装置
CN108156043A (zh) * 2018-02-24 2018-06-12 浙江远望通信技术有限公司 一种基于白名单和约束集流控的视频监控安全接入方法
CN108521399A (zh) * 2018-02-24 2018-09-11 浙江远望通信技术有限公司 一种基于设备特征识别和白名单的视频监控安全接入方法
CN109639811A (zh) * 2018-12-21 2019-04-16 北京金山云网络技术有限公司 数据传输方法、数据存储方法、装置、服务器及存储介质
CN110166459A (zh) * 2019-05-24 2019-08-23 深圳前海微众银行股份有限公司 一种反序列化漏洞的防护方法及装置

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113946451A (zh) * 2021-08-31 2022-01-18 度小满科技(北京)有限公司 一种微服务调用方法、装置、系统及计算机设备
CN114116373A (zh) * 2021-10-20 2022-03-01 百度在线网络技术（北京）有限公司 一种网络请求监控方法、装置、电子设备及存储介质
CN116155486A (zh) * 2022-12-01 2023-05-23 杭州安恒车联网安全技术有限公司 一种27服务的安全性检测方法、装置以及介质

Similar Documents

Publication Publication Date Title
US9985994B2 (en) Enforcing compliance with a policy on a client
CN112468518B (zh) 访问数据处理方法、装置、存储介质及计算机设备
CN110198297B (zh) 流量数据监控方法、装置、电子设备及计算机可读介质
CN114830572B (zh) 一种数据传输方法、装置、设备、系统及存储介质
CN111064569B (zh) 可信计算集群的集群密钥获取方法及装置
US11784993B2 (en) Cross site request forgery (CSRF) protection for web browsers
Chen et al. A full lifecycle authentication scheme for large-scale smart IoT applications
CN112491776A (zh) 安全认证方法及相关设备
CN113505382A (zh) 微服务鉴权方法、电子装置和存储介质
CN111711607B (zh) 一种基于区块链的流式微服务可信加载与验证方法
WO2023279782A1 (zh) 一种访问控制方法、访问控制系统及相关设备
US11290283B2 (en) Automated replacement of self-signed server certificates
CN110545285A (zh) 一种基于安全芯片的物联网终端安全认证方法
CN115603932A (zh) 一种访问控制方法、访问控制系统及相关设备
CN111031067A (zh) 分布式系统的监控数据传输方法、装置及电子设备
CN106603512B (zh) 一种基于sdn架构的is-is路由协议的可信认证方法
CN114244569B (zh) Ssl vpn远程访问方法、系统和计算机设备
CN112839062B (zh) 夹杂鉴权信号的端口隐藏方法和装置、设备
CN110581838B (zh) 可持续请求数据流的方法、电子装置及计算机设备
CN110892695A (zh) 在建立连接期间检查受密码保护的通信连接的连接参数的方法、设备和计算机程序产品
CN109587134B (zh) 接口总线的安全认证的方法、装置、设备和介质
CN115361136B (zh) 验证方法及装置、设备、计算机可读存储介质
CN118051934A (zh) 一种变电站的数据管理方法、装置及电子设备
CN113992734B (zh) 会话连接方法及装置、设备
CN110035041B (zh) 一种识别应用攻击源的方法和设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information
CB02 Change of applicant information

Address after: 200040, room 710, 302 Changping Road, Shanghai, Jingan District

Applicant after: Shanghai Xinlian Information Development Co.,Ltd.

Address before: 200040, room 710, 302 Changping Road, Shanghai, Jingan District

Applicant before: SHANGHAI ZHONGXIN INFORMATION DEVELOPMENT Co.,Ltd.

RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20200417