什么是反向代理？

通常的代理服務器，只用于代理內部網絡對 Internet 的連接請求，客戶機必須指定代理服務器，并將本來要直接發(fā)送到 Web 服務器上的 http 請求發(fā)送到代理服務器中。由于外部網絡上的主機并不會配置并使用這個代理服務器，普通代理服務器也被設計為在 Internet 上搜尋多個不確定的服務器，而不是針對 Internet 上多個客戶機的請求訪問某一個固定的服務器，因此普通的 Web 代理服務器不支持外部對內部網絡的訪問請求。當一個代理服務器能夠代理外部網絡上的主機，訪問內部網絡時，這種代理服務的方式稱為反向代理服務（也稱為逆向代理）。

通過反向代理服務器，可以記錄用戶所有的訪問行為，但這也會帶來系統(tǒng)資源相當大的額外開銷。但對于不同的服務器來說，其保護的資源類型是有限的，我們只需要記錄、控制用戶對我們所關心的資源的訪問即可。比如對一個 mp3 服務提供商來說，只需要控制用戶對 .mp3 文件的請求次數即可。

從用戶訪問的角度來分，非法訪問主要有以下兩個方面：瞬間惡意多次請求和長時間持續(xù)攻擊。針對這兩種情況我們制定了以下控制策略：

1) 對抗瞬間惡意攻擊

這種情況是惡意的網上用戶使用多線程訪問同一資源，或者是在短時間內訪問多個資源。對于第一種情況，可以定義一個參數 m ，即同一用戶同時訪問的線程數量，若超過這個數量，則將他的請求暫緩發(fā)出或者廢除他的請求。為了對付第二種情況，訪問控制系統(tǒng)應定義兩個參數，一個是時間 t ，以秒為單位。第二個是資源個數 g 。用這兩個參數確定一個規(guī)則 r ，即 r=F(g, t) 。 r 的含義就是最多允許網上用戶在 t 秒內訪問 g 個資源。同時，規(guī)則 r 可以有多條，這樣為精確控制帶來方便。

2) 對抗長時間持續(xù)攻擊

用上面提到的規(guī)則 r=F(g, t) 也可以對抗長時間持續(xù)下載。這里再定義一種規(guī)則 k=F(t1,t2) 。 t1 、 t2 都是時間長度，以秒為單位。 t1 是最長持續(xù)時間。 t2 是判斷用戶是否連續(xù)訪問的間隔時間。例如可以規(guī)定網上用戶連續(xù)訪問一類資源 3 小時（參數 t1 ），若有 8 小時（參數 t2 ）未訪問此類資源，則可認為用戶是重新開始訪問。

將 t1 、 t2 定義的比較長并不能防止惡意用戶定時攻擊。比如他為了不違反上面的規(guī)則，就每隔 8 小時下載 3 個小時。對付這種情況，可以定義多條 k 規(guī)則，例如用戶每訪問 3 分鐘就必須休息 1 分鐘；每訪問 10 分鐘必須休息 3 分鐘等。

反向代理是訪問控制系統(tǒng)最核心的部分，其核心技術就是地址轉換。通過它可以保證使用者對客戶端計算機不進行任何設置的情況下就使用訪問控制系統(tǒng)。從外觀看來，也就是從普通用戶看來，反向代理就像普通的 Web 服務器一樣。而反向代理所代理的每一個 Web 服務器都好像是反向代理服務器中的一個目錄。例如反向代理服務器本身的 URL 是 http://reverse-proxy ，它可以代理清華主頁服務器（ http://www.tsinghua.edu.cn/index.html ），普通的用戶想通過反向代理服務器來訪問清華主頁服務器就只需要訪問 http://reverse-proxy/www.tsinghua.edu.cn/index.html 就行了。

反向代理的實現

在反向代理中，等于把反向代理服務器中的目錄映射到其它需要被代理的服務器上。這樣做只能解決用戶的一次訪問問題，不能做到讓用戶通過反向代理連續(xù)訪問。因為被代理的服務器上的信息是未知的，對于 HTTP 協議來講，很有可能出現絕對地址或者絕對鏈接，這樣的話，普通用戶的下一次訪問將會跳過反向代理而直接訪問真實的服務器。這是我們不希望看到的。因此，必須對服務器返回給用戶的信息進行過濾，將所有的絕對 URL 更改成為通過反向代理的相對 URL 。為此，我們使用了正則表達式對所有的鏈接進行檢測、替換。于是就實現了通過反向代理連續(xù)訪問的功能。

當用戶的請求到達反向代理服務器之后，反向代理通過一定的規(guī)則將 URL 中的目錄信息解析成服務器以及端口的信息，從而進行 socket 鏈接，即反向代理服務器模擬一個客戶端向真正的 Web 服務器發(fā)出 http 請求。當得到回應信息的時候，通過 HTTP 頭中的 Content-Type 和文件的擴展名來判斷得到的信息的類別。若是非 HTML 信息（如 jpg, gif, zip 等），則將其原樣照發(fā)還給用戶，若是 HTML(html, htm, shtml 等），則用先用正則表達式建立字符串識別自動機，查找 html 文本中所有的鏈接信息。例如， <a href="......"> 、 <img src="......"> 等。然后判定鏈接的類型，對于在代理范圍之內（代理范圍之外不予理會）的絕對 URL （以“ http:// ”打頭），則把它改寫成通過反向代理的格式。

例如

<a href="http://www.test.org">

就會被改成

<a href="http://reverse-proxy/www.test.org">

對于絕對 URI （以“ / ”打頭的），也需要更改，例如

<img src="/img/1.jpg">

就要被改成

<img src="/www.test.org/img/1.jpg"> 。

對于相對鏈接，則不需要改動。除了對 HTML 本身進行更改之外，對 HTTP 的頭信息也要解析。其中最關鍵的就是對 Cookie 路徑的改寫。例如收到 www.test.org 的 cookie 為

Set-Cookie: PART_NUMBER=ROCKET_LAUNCHER_0001; path=/

就要改寫成

Set-Cookie: PART_NUMBER=ROCKET_LAUNCHER_0001; path=/www.test.org/

此外，不僅是收到服務器的信息需要改寫，用戶發(fā)給服務器的請求信息也要改寫，其情形與上面所說的類似，這里不再舉例。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]