CN100456766C

CN100456766C - 一种实现网络访问控制的方法

Info

Publication number: CN100456766C
Application number: CNB031437923A
Authority: CN
Inventors: 陈国强; 郑上闽; 傅振宇
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2003-08-06
Filing date: 2003-08-06
Publication date: 2009-01-28
Anticipated expiration: 2023-08-06
Also published as: CN1581873A

Abstract

本发明提供一种实现网络访问控制的方法，包括：网络接入设备接收用户发送来的请求报文；所述网络接入设备根据所述请求报文中承载的信息确定无访问权限的用户；所述网络接入设备直接向所述无访问权限的用户发送预定数据的响应报文，限制所述用户的访问权限。利用本发明，通过建立用户与访问权限的对应关系，使网络通讯系统中的网络接入设备的CPU不必对所有的用户发送的数据报文都进行网络访问控制处理；通过网络接入设备直接与用户进行数据通讯，减少了网络接入设备的CPU由于对无访问权限的用户进行访问控制而需要处理的报文数量，从而实现了提高网络通讯系统中网络接入设备CPU的处理能力和网络接入设备工作效率的目的。

Description

一种实现网络访问控制的方法

技术领域

本发明涉及网络通讯技术领域，具体涉及一种实现网络访问控制的方法。

背景技术

随着计算机的迅速发展，计算机已经成为人们工作、生活中一种不可或缺的工具。

计算机通讯网络随着计算机的发展，已经深入到我们的生活中。计算机通讯网络以各种不同的形式为人们提供服务，人们可以利用计算机组建局域网、都市网、广域网、网间网，人们利用计算机上网，利用网络进行通讯、娱乐、工作。

在人们利用计算机上网的时侯，对于网络的管理者来说，网络访问控制则是一项非常重要的工作。

实现网络访问控制可使网络处于一种可运营、可管理的状态，而这种网络的可运营、可管理的状态是网络管理者所必须的。

实现网络访问控制要求网络接入设备能够利用访问权限控制用户访问网络中的预定节点，只有有访问权限的用户才可以访问预定节点；没有访问权限的用户不可以访问预定节点。无访问权限的用户可以通过各种形式的申请，如认证，获得访问预定节点的权限。

现有技术实现网络访问控制方法包括如下步骤：

1.用户将需要访问的预定节点的地址作为请求报文的目的地址，发送请求报文；

2.网络接入设备接收数据报文，根据访问权限确定没有访问预定节点权限的用户；

3.将没有访问预定节点权限的用户发送的数据报文的目的地址重定向到其他节点的地址，其他节点如具有认证功能的节点，将重定向后的数据报文发送；重定向的节点收到数据报文后，向用户发送回应报文，回应报文承载的信息为限制用户访问权限的报文，如向用户发送认证报文；网络接入设备接收重定向的节点发送的回应报文，并将其发送给用户。

从而完成网络访问控制。

实现上述方法需要网络接入设备对接收到的报文进行判断，确定对接收的报文的处理方法。

对接收到的报文进行判断确定处理的方法包括对用户发送来的请求报文进行判断确定处理的方法和对重定向节点发送来的数据报文进行判断确定处理的方法。

对用户发送来的数据报文进行判断确定处理的方法的过程如下：

网络接入设备根据用户权限表和用户发送来的请求报文确定用户是否有访问目的节点的权限；如果用户有访问目的节点的权限，将用户发送来的请求报文转发至目的节点；如果用户没有访问目的节点的权限，将请求报文的目的地址转换为重定向的节点的地址，发送到重定向的节点。

对重定向节点发送来的数据报文进行判断确定处理的方法的过程如下：

网络接入设备根据全局路由表判断重定向节点发送的回应报文是用户直接发给重定向的节点的请求报文的回应报文，还是由网络接入设备转换目的地址后发给重定向的节点的请求报文的回应报文；如果是用户直接发给重定向的节点的请求报文的回应报文，则直接将回应报文转发到用户；如果是经网络接入设备转换目的地址后发给重定向的节点的请求报文的回应报文，网络接入设备将回应报文的源地址转换为请求报文的原目的节点的地址后，将回应报文转发给用户。

实现上述网络接入设备对接收到的报文进行判断处理的方法的前提是网络接入设备接收的所有报文都要由网络接入设备的CPU判断报文应如何处理，这样网络接入设备的CPU的工作负荷重，对网络接入设备的CPU的处理能力要求高，对于中低端的网络交换设备如以太网交换机等设备的CPU的性能无法达到所需的要求，因此对于中低端的网络交换设备无法以这种方式实现网络访问控制。

实现上述网络接入设备对接收到的报文进行判断处理的方法还需要网络接入设备必须有全局路由表，用全局路由表来判断重定向的节点的回应报文是直接发送到重定向的节点的请求报文的回应报文还是由网络接入设备转换目的地址后发给重定向的节点的请求报文的回应报文，同时对用户发送的请求报文和重定向的节点发送给用户的回应报文需要不断的变化IP地址头部分内容，加重了网络接入设备的CPU的工作负荷，致使网络接入设备的工作效率低。

网络访问控制在实际应用中已被广泛应用，我们举一个利用网络访问控制强制用户认证的例子来进一步说明现有技术网络访问控制的实现方法。

网络管理者通常希望只允许通过认证的用户才能访问网络，PORTAL(入口)认证以其新业务支撑能力强大、无需安装客户软件等特性，受到越来越多的运营商的欢迎。

实现强制PORTAL认证一般是利用各种网络接入设备，如交换机等，通过网络接入设备将收到的用户发往各地的报文进行控制，实现控制用户上网权限。这种对用户上网权限的控制方法包括：按照报文的原有目的地转发，将报文转发到与原有目的地不同的地址以及将报文丢弃。

现有的一种强制PORTAL认证的对用户上网权限的控制方法是，用户在通过认证之前，只能访问PORTAL网站，其它任何访问都被无条件地重定向到PORTAL服务器。在用户登录PORTAL服务器，通过认证后，才能获得访问Internet(国际互联网)的权限。

现有的一种强制PORTAL认证的对用户上网权限的控制方法如附图1所示。

在图1中，有访问权限的用户才可以访问目的节点120，没有访问权限的用户只能访问PORTAL服务器130。

没有访问权限的用户在登录PORTAL服务器130后才可以获得访问目的节点130的权限。

用户100需要访问目的节点120，所以首先需要和目的节点120建立链接。

用户100向目的节点120发送请求链接报文，网络接入设备110接收到请求链接报文后，由网络接入设备110的CPU根据用户权限表判断用户100是否具有访问目的节点120的权限；如果用户100具有访问目的节点120的权限，网络接入设备110的CPU将请求链接报文转发到目的节点120；如果用户100没有访问目的节点120的权限，网络接入设备110的CPU确定将请求链接报文的目的地址转换为PORTAL服务器130的地址，并将目的地址转换后的请求链接报文发送到PORTAL服务器130。

PORTAL服务器130接收到请求链接报文后，向用户100发送链接应答。网络接入设备110接收到从PORTAL服务器130发来的链接应答报文后，由网络接入设备110的CPU根据全局路由表判断链接应答报文是用户100直接发给PORTAL服务器130的请求链接报文的链接应答报文，还是由网络接入设备110的CPU转换目的地址后发送给PORTAL服务器130的请求链接报文的链接应答报文。如果是用户100直接发给PORTAL服务器130的请求链接报文的链接应答报文，则网络接入设备110的CPU确定并直接将链接应答报文转发到用户100；如果是网络接入设备110转换目的地址后发给PORTAL服务器130的请求链接报文的链接应答报文，则网络接入设备110的CPU确定并将链接应答报文的源地址转换为目的节点120的地址后发送到用户100。

用户100接收到链接应答后，向目的节点120发送收到链接应答报文，网络接入设备110接收到收到链接应答报文后，由网络接入设备110的CPU根据用户权限表判断用户100是否具有访问目的节点120的权限；如果用户100具有访问目的节点120的权限，网络接入设备110的CPU将请求链接报文转发到目的节点120；如果用户100没有访问目的节点120的权限，所述网络接入设备110的CPU确定将收到链接应答报文的目的地址转换为PORTAL服务器130的地址，并将目的地址转换后的收到链接应答报文发送到PORTAL服务器130。

我们设定用户100没有访问目的节点120的权限，经过上述过程用户100与PORTAL服务器130建立了链接，但是从用户100的角度看，用户100认为是与目的节点120建立了链接，图1中的实线表示实际建立的链接，虚线表示用户100认为建立的链接。

用户100根据已建立的链接向目的节点120发送基于超文本传输协议的请求报文，网络接入设备110接收到请求报文后，由网络接入设备110的CPU根据用户权限表确定用户100不具有访问目的节点120的权限，并将请求报文的目的地址转换为PORTAL服务器130的地址，将目的地址转换后的请求报文发送到PORTAL服务器130。

PORTAL服务器130接收到请求报文后向用户100发送包含认证页面的数据报文，网络接入设备110接收到从PORTAL服务器130发来的数据报文后，由其CPU根据全局路由表确定是转换目的地址后发送给PORTAL服务器130的请求报文的回应报文，并将数据报文的源地址转换为目的节点120的地址后发送到用户100。

采用这种网络访问控制方法实现PORTAL强制认证，网络接入设备110的CPU需要根据全局路由表和用户权限表对接收的报文进行判断并经过5次IP地址转换、10次数据报文的接收发送过程才能完成向用户100发送认证页面，网络接入设备100的CPU的工作负荷重，致使接入设备的工作效率低。

发明内容

本发明的目的在于，提供一实现网络访问控制的方法，实现提高网络通讯系统中网络接入设备CPU的处理能力和网络接入设备工作效率的目的。

为达到上述目的，本发明提供的一种实现网络访问控制的方法，包括：

a、网络接入设备接收用户发送来的请求报文；

b、所述网络接入设备根据所述请求报文中承载的信息确定无访问权限的用户；

c、所述网络接入设备直接向所述元访问权限的用户发送预定数据的响应报文，限制所述用户的访问权限。

所述的请求报文包括基于TCP协议的请求报文。

所述的方法还包括：d、在网络接入设备中建立接入用户与访问权限的对应关系。

所述的步骤b包括：所述网络接入设备根据所述请求报文和接入用户与访问权限的对应关系判断发送请求报文的用户是否有访问权限；

如果有访问权限，将所述请求报文转发；

如果没有访问权限，将所述请求报文发送到所述网络接入设备的CPU(中央处理单元)。

所述的步骤c包括：

c1、所述网络接入设备的CPU根据所述请求报文与所述发送请求报文的用户建立链接；

c2、所述网络接入设备的CPU根据已建立的链接向所述发送请求报文的用户发送预定数据的响应报文；

c3、用户根据所述预定数据的响应报文承载的信息进行访问权限的认证。

所述的步骤c2包括：

c21、所述网络接入设备通过监听已建立的链接上基于TCP协议的报文获取用户发送的基于超文本传输协议的报文；

c22、所述网络接入设备根据所述获取的基于超文本传输协议的报文向所述用户发送预定数据的响应报文。

所述预定数据的响应报文承载的信息包括：与接入用户对应的认证服务器的访问权限认证页面。

所述预定数据的响应报文承载的信息包括：与接入用户对应的认证服务器的地址信息。

利用本发明，通过建立用户与访问权限的对应关系，对没有访问权限的用户发送的数据报文由网络接入设备直接与用户进行数据通讯，由于网络接入设备的这种与用户的通讯方式，减少了网络接入设备的CPU由于对无访问权限的用户进行访问控制而需要处理的报文数量，从而实现了提高网络通讯系统中网络接入设备CPU的处理能力和网络接入设备工作效率的目的。

附图说明

图1是现有技术中实现网络访问控制的方法；

图2是本发明实现网络访问控制的方法。

具体实施方式

本发明为了减轻网络接入设备的CPU的工作负荷，设定用户与访问权限的对应关系，网络接入设备根据用户与访问权限的对应关系确定用户是否有访问目的节点的权限，如果用户有访问目的节点的权限，将用户发送的请求报文不交给网络接入设备的CPU而直接转发；如果用户没有访问目的节点的权限，将用户发送的请求报文交给网络接入设备的CPU，由网络接入设备的CPU对其进行区别于现有技术的重定向处理。这样不必由网络接入设备的CPU来对所有的用户发送的请求报文判断该怎样处理，从而减轻了网络接入设备的CPU的工作负荷。

用户与访问权限的对应关系在本实施例中的实现方式为，为每一个用户建立一个ACL(访问控制列表)。ACL有两种类型，一种为有访问权限的ACL，一种为没有访问权限的ACL。为有访问权限的用户建立的ACL，其作用是将用户的报文按照报文的目的地址直接转发；为没有访问权限的用户建立的ACL，其作用是将用户的报文传输至网络接入设备的CPU，由网络接入设备的CPU对其进行重定向处理。

网络接入设备的CPU对没有访问目的节点权限的用户发送的请求报文进行重定向处理的基本原理为：

当网络接入设备的CPU接收到没有访问目的节点权限的用户发送的请求报文时，网络接入设备直接与用户进行数据通讯。由于不需要转换数据报文的IP地址，所以网络接入设备不需全局路由表，不必对非用户端发送来的回应数据报文进行判断并确定处理方法，只需将接收到的非用户端发送来的回应数据报文直接转发，从而进一步减轻了网络接入设备的CPU的工作负荷。

网络接入设备直接与用户进行数据通讯的基本原理是利用基于TCP协议建立链接的特点，网络接入设备与用户建立链接，并根据已建立的链接进行数据通讯。

由于两个设备基于TCP协议链接传送数据时，根据收发报文的两个设备的IP地址和TCP报文中的端口号来标示一条链接，如用户根据接收到回应的报文的源IP地址判断发出回应报文的设备，如果发出回应报文的设备不是请求链接的目的设备，则用户不接收回应报文；如果发出回应报文的设备是请求链接的目的设备，则用户接收回应报文。这样不同设备由于IP地址不同，以及同一对设备虽然IP地址相同但是端口号不同，从而不同的链接的数据传输不会出现混乱。

本发明利用基于TCP协议进行通讯的特点，在网络接入设备的CPU收到用户发出的基于TCP的请求报文时，并不进行转发，而是直接将相应的基于TCP协议的回应报文发送给用户，基于TCP协议的回应报文的源IP地址使用的是请求报文的目的IP地址。由于网络接入设备的回应报文的源IP地址是目的节点的IP地址，用户认为是请求报文的目的节点发送的数据报文并将其接收，在用户看来是在和目的节点进行数据通讯。

本发明利用基于TCP协议进行通讯的特点实现网络访问控制的方法由于网络接入设备直接与用户进行数据通讯，不需要对数据报文的IP地址进行反复转换，而且减少了数据报文的接收发送次数，从而更加减轻了网络接入设备的CPU的工作负荷，提高了网络接入设备的工作效率。

我们举一个利用本发明的网络访问控制方法强制用户认证的例子来进一步说明本发明的网络访问控制的实现方法。

下面结合附图详细说明。

利用本发明的网络访问控制方法实现强制用户认证如附图2所示。

在图2中，有访问权限的用户才可以访问目的节点220，没有访问目的节点220权限的用户，只能访问PORTAL服务器230。

没有访问权限的用户在登录PORTAL服务器230后才可以获得访问目的节点230的权限。

在网络接入设备210中根据用户的访问权限为每一个用户建立一个相应的ACL。网络接入设备210根据ACL确定是将用户200的请求报文发送到其CPU进行处理，还是将用户200的请求报文发送到目的节点220。

用户200需要访问目的节点220，所以首先需要和目的节点220建立链接。

用户200向目的节点220发送请求链接报文，网络接入设备210接收到请求链接报文后，根据用户200的ACL判断是否将请求链接报文发送到网络接入设备210的CPU，由网络接入设备210的CPU对其进行处理。如果用户200的ACL是有访问权限的ACL，将用户200的请求链接报文直接转发至目的节点220；目的节点220接收到请求链接报文后向用户200发送链接应答。如果用户200的ACL是没有访问权限的ACL，将用户200发送的请求链接报文交给网络接入设备210的CPU，网络接入设备210的CPU接收到用户200的请求链接报文后，给用户200发送链接应答的报文，链接应答的报文的源IP地址使用的是目的节点220的IP地址。

用户200根据回应报文的源IP地址判断回应报文的发出设备，如果回应报文的源IP地址不是目的节点220的地址，则用户200不接收回应的链接应答报文；如果回应报文的源IP地址是目的节点220的地址，则用户200接收回应的链接应答报文。

不论是目的节点220发送给用户的链接应答报文，还是网络接入设备发送给用户的链接应答报文，由于报文的源IP地址都使用的是目的节点220的IP地址，所以用户200接收链接应答报文。

用户200接收到链接应答报文后，向目的节点220发送收到链接应答报文；网络接入设备210收到链接应答报文后，根据用户200的ACL判断是否将收到链接应答报文发送到网络接入设备210的CPU，由网络接入设备210的CPU对其进行处理。如果用户200的ACL是有访问权限的ACL，将用户200的收到链接应答报文直接转发至目的节点220；如果用户200的ACL是没有访问权限的ACL，将用户200发送的收到链接应答报文交给网络接入设备210的CPU，网络接入设备210的CPU收到链接应答报文后用户200与网络接入设备210成功建立链接。

我们设定用户200没有访问目的节点220的权限，经过上述过程用户200与网络接入设备210建立了链接，但是从用户200的角度看，用户200认为是与目的节点220建立了链接。

用户200与网络接入设备210建立了数据链路，用户200与网络接入设备210还可以根据已建立的数据链接进行数据报文的传输。

用户200根据已建立的链接向目的节点220发送基于HTTP(超文本传输协议)的请求报文，网络接入设备210通过监听端口为80的TCP连接，来获得用户发送的HTTP请求报文，当接入设备210监听到HTTP请求报文的GET命令请求页面的报文时，则通过回应HTTP报文的方式对用户200进行响应。

回应报文所承载的信息可以包含以下内容：

1.PORTAL服务器230需要发送给用户的认证页面；

2.告诉用户200应该到PORTAL服务器230去取正确的页面。

在本实施例中回应报文采用第一种方式由网络接入设备210向用户发送PORTAL服务器230需要发送给用户的认证页面。

用户200接收到认证页面后，只有给PORTAL服务器230回应有效的页面后才可获得访问目的节点230的权限。从而利用本发明的网络访问控制方法实现了PORTAL强制认证。

在图2中，实线表示实际成功建立的链接，虚线表示用户200认为成功建立的链接，点划线表示强制用户200到PORTAL服务器进行认证。

采用本发明的网络访问控制方法实现PORTAL强制认证，网络接入设备210的CPU不需要全局路由表，不需要对报文的IP地址进行转换，只需要5次数据报文的接收发送过程就可以完成向用户200发送认证页面。从而减轻了网络接入设备200的CPU的工作负荷，提高了网络接入设备200的CPU处理能力和网络接入设备的工作效率。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化。

Claims

1.一种实现网络访问控制的方法，其特征在于包括：

a、网络接入设备接收用户发送来的请求报文；

b、所述网络接入设备根据所述请求报文中承载的信息确定无防问权限的用户；

2.如权利要求1所述的一种实现网络访问控制的方法，其特征在于所述的请求报文包括基于TCP协议的请求报文。

3.如权利要求1或2所述的一种实现网络访问控制的方法，其特征在于所述的方法还包括：

d、在网络接入设备中建立接入用户与访问权限的对应关系。

4.如权利要求3所述的一种实现网络访问控制的方法，其特征在于所述的步骤b包括：

所述网络接入设备根据所述请求报文和接入用户与访问权限的对应关系判断发送请求报文的用户是否有访问权限；

如果有访问权限，将所述请求报文转发；

5.如权利要求1所述的一种实现网络访问控制的方法，其特征在于所述的步骤c2包括：

6.如权利要求1所述的一种实现网络访问控制的方法，其特征在于所述预定数据的响应报文承载的信息包括：与接入用户对应的认证服务器的访问权限认证页面。

7.如权利要求1所述的一种实现网络访问控制的方法，其特征在于所述预定数据的响应报文承载的信息包括：与接入用户对应的认证服务器的地址信息。