CN101056178B

CN101056178B - 一种控制用户网络访问权限的方法和系统

Info

Publication number: CN101056178B
Application number: CN2007101031007A
Authority: CN
Inventors: 丁柏; 潘大乾; 解华国
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2007-05-28
Filing date: 2007-05-28
Publication date: 2010-07-07
Anticipated expiration: 2027-05-28
Also published as: CN101056178A

Abstract

本发明提供一种控制用户网络访问权限的方法和系统，包括预先设置阶段：网络设备配置地址段与网络访问权限的对应关系；RADIUS服务器和DHCP服务器配合配置用户设备唯一标识与地址池信息的对应关系。用户认证后动态地址请求及网络访问权限选择、控制用户网络访问权限的IP地址分配阶段：DHCP服务器及RADIUS服务器根据用户设备的唯一标识获取地址池信息并返回给用户设备，用户设备根据该地址池信息得到相应的网络设备配置的网络访问权限。采用本发明的技术方案后，直接在认证、动态地址获取的动作中进行控制，针对具体的用户简单、有效地实现对不同类型用户实现认证后的网络访问权限控制，简化了对网络设备的依赖。

Description

一种控制用户网络访问权限的方法和系统

技术领域

本发明涉及RADIUS(远程验证用户拨入服务)认证结合DHCP(动态主机配置协议)地址管理控制用户认证后网络访问权限的方法。

背景技术

随着互联网应用高速发展，运营商管理的网络中存在各种用户，而对于不同类型用户认证后网络访问权限的控制存在着管理复杂、网络访问权限过分依赖硬件设备、无法针对具体用户进行访问控制等问题。目前的客户端认证后，如根据NAT转换对端口进行地址转换控制，无法具体到某一个用户；也有的是根据防火墙进行具体的地址访问控制，这种方式增加了防火墙的压力，同时防火墙的成本也相对较高。

发明内容

本发明所要解决的技术问题是：提供一种控制用户网络访问权限的方法和系统，实现对不同类型用户认证后网络访问权限的控制。

本发明提供了一种控制用户网络访问权限的方法，包括网络访问权限的预先配置、用户认证后动态地址请求及网络访问权限选择、控制用户网络访问权限的IP地址分配；

其中预先配置阶段包括：

(a)网络设备配置地址段与网络访问权限的对应关系；

(b)远程验证用户拨入服务服务器和动态主机配置协议服务器配合配置用户设备唯一标识与地址池信息的对应关系，具体为：远程验证用户拨入服务服务器配置用户设备唯一标识与网络访问权限级别的对应关系，动态主机配置协议服务器配置网络访问权限级别与动态主机配置协议地址池的对应关系；步骤(a)、(b)不分先后；

用户认证后动态地址请求及网络访问权限选择、控制用户网络访问权限的IP地址分配阶段：

(c)动态主机配置协议服务器及远程验证用户拨入服务服务器根据用户设备的唯一标识获取地址池信息并返回给用户设备，具体为：

(c1)动态主机配置协议服务器根据用户动态请求获取该用户设备唯一标识，并将其发送给远程验证用户拨入服务服务器的固定接收端口；

(c2)远程验证用户拨入服务服务器根据动态主机配置协议服务器发来的唯一标识从用户设备唯一标识与网络访问权限级别的对应关系中查询与该唯一标识对应的网络访问权限级别并将其发送到动态主机配置协议服务器的固定接收端口；

(c3)动态主机配置协议服务器获得远程验证用户拨入服务服务器发来的网络访问权限级别后，从网络访问权限级别与动态主机配置协议地址池的对应关系中找到对应的地址池，并将地址池信息作为请求响应消息分配给用户；

用户设备根据该地址池信息得到相应的网络设备配置的网络访问权限。

进一步地，所述步骤(a)中的网络访问权限包括内部网络访问权限和外部Internet访问权限。

进一步地，步骤(b)中所述的方法具体包括：

进一步地，所述的用户设备唯一标识包括物理地址、用户设备接入电路标识。

进一步地，所述的地址池信息包含控制用户网络访问权限的IP地址和选项参数信息。

进一步地，所述的选项参数包括掩码、网关、路由、域名解析服务器等。

进一步地，步骤(c1)中动态主机配置协议服务器是以用户数据报协议消息将用户设备的唯一标识发送给远程验证用户拨入服务服务器的固定接收端口；步骤(c2)中远程验证用户拨入服务服务器也是以用户数据报协议消息将网络访问权限级别发送到动态主机配置协议服务器的固定接收端口。

本发明还提供了一种控制用户网络访问权限的系统，包括网络设备、远程验证用户拨入服务服务器及动态主机配置协议服务器，其特征在于：

网络设备用于配置地址段与网络访问权限的对应关系；

动态主机配置协议服务器与远程验证用户拨入服务服务器相配合配置用户设备唯一标识与地址池信息的对应关系，具体为：动态主机配置协议服务器配置网络访问权限级别与动态主机配置协议地址池的对应关系；远程验证用户拨入服务服务器配置用户设备唯一标识与网络访问权限级别的对应关系；

动态主机配置协议服务器与远程验证用户拨入服务服务器还用于根据用户设备的唯一标识获取地址池信息并返回给用户设备，具体为：动态主机配置协议服务器根据用户动态地址请求获取该用户设备唯一标识，并将其发送给远程验证用户拨入服务服务器的固定接收端口；并于获得远程验证用户拨入服务服务器发来的网络访问权限级别后，从网络访问权限级别与动态主机配置协议地址池的对应关系中找到对应的地址池，并将地址池信息作为请求响应消息分配给用户；远程验证用户拨入服务服务器根据动态主机配置协议服务器发来的用户设备唯一标识从用户设备唯一标识与网络访问权限级别的对应关系中获取与该唯一标识对应的网络访问权限级别并将其发送到动态主机配置协议服务器的固定接收端口；

进一步地，所述的网络访问权限包括内部网络访问权限和外部Internet访问权限。

进一步地，动态主机配置协议服务器是以用户数据报协议消息将用户设备的唯一标识发送给远程验证用户拨入服务服务器的固定接收端口；远程验证用户拨入服务服务器也是以用户数据报协议消息将网络访问权限级别发送到动态主机配置协议服务器的固定接收端口。

采用本发明的用户认证后网络访问权限控制的方法和系统，直接在认证、动态地址获取的动作中进行控制，针对具体的用户简单、有效地实现对不同类型用户实现认证后的网络访问权限控制，简单的与网络设备结合简化了对网络设备的依赖。

附图说明

图1为本发明的总体流程示意图。

图2为本发明网络访问权限选择处理示意图。

具体实施方式

下面将结合附图及实施例对本发明的技术方案进行更详细的说明。

一种控制用户网络访问权限的方法，包括网络访问权限的预先配置、用户认证后动态地址请求及网络访问权限选择、控制用户网络访问权限的IP地址分配。

预先配置阶段：

(1)网络设备配置地址段与网络访问权限的对应关系，由网络设备针对不同地址段的ACL(访问控制列表)控制配置，所述网络设备包括交换机、路由器、接入服务器等。

(2)RADIUS配置用户设备唯一标识与网络访问权限级别的对应关系，该对应关系可以但不限于用户认证信息配置表，所述的用户设备唯一标识包括MAC地址(物理地址)、用户设备接入电路标识等能够唯一标识用户设备的信息；

(3)DHCP服务器配置网络访问权限级别与DHCP地址池的对应关系，该对应关系可以但不限于地址池信息配置表，即配置用户网络访问权限级别的地址池分配策略；所述地址池信息包括控制用户网络访问权限的IP地址及掩码、网关、路由、DNS(域名解析服务器)等选项参数。

上述步骤(1)、(2)、(3)不分先后。

为保证RADIUS配置的用户网络访问权限级别和DHCP服务器配置的用户网络访问权限级别一致，所述级别用阿拉伯数字表示。

配置完成后，RADIUS和DHCP服务器根据最新的配置进行工作。

(4)用户设备进行网络访问认证，根据RADIUS的配置信息，该用户通过认证，进行DHCP请求。

网络访问权限选择阶段：

(5)DHCP服务器获得用户地址动态请求消息，根据用户动态地址请求，获得用户设备唯一标识；并将该唯一标识通过UDP消息发送给RADIUS的固定接收端口，所述用户设备唯一标识包括MAC地址、用户设备接入电路标识等能够唯一标识用户设备的信息；

(6)RADIUS监听DHCP发送的消息，获得用户设备唯一标识；

(7)RADIUS根据用户设备唯一标识在用户设备唯一标识与网络访问权限级别的对应关系中查询到用户网络访问权限级别，然后将该网络访问权限级别通过UDP消息发送给DHCP服务器的固定接收端口；

(8)DHCP服务器监听RADIUS发送的消息，获得RADIUS发来的该用户网络访问权限级别；

控制用户网络访问权限的IP地址分配阶段：

(9)DHCP服务器获得该请求用户的网络访问权限级别后，从网络访问权限级别与DHCP地址池的对应关系中找到对应的地址池，将其中控制用户网络访问权限的IP地址，以及掩码、网关、路由、DNS服务器等选项参数作为请求响应消息分配给用户。

(10)用户设备根据动态地址请求获得的IP地址及掩码、网关、路由、DNS等选项参数及网络设备对地址的控制获得相应的网络访问权限。

一种控制用户网络访问权限的系统，包括网络设备、RADIUS及DHCP服务器，其中：

网络设备用于针对不同地址段的ACL控制配置地址段与网络访问权限的对应关系，所述网络设备包括交换机、路由器、接入服务器等；

DHCP服务器用于配置网络访问权限级别与DHCP地址池的对应关系，该对应关系可以但不限于地址池信息配置表；并用于当用户设备发出动态请求时获取该用户设备信息，取其中唯一标识发送给RADIUS服务器的固定接收端口；还用于在获得RADIUS服务器发来的网络访问权限级别后，从网络访问权限级别与DHCP地址池的对应关系中找到对应的地址池，将其中控制用户网络访问权限的IP地址、选项参数作为请求响应消息分配给用户。其中所述地址池信息包含控制用户网络访问权限的IP地址和掩码、网关、路由、DNS服务器等选项参数；所述唯一标识包括MAC地址、用户设备接入电路标识等能够唯一标识用户设备的信息。

RADIUS用于配置用户设备唯一标识与网络访问权限级别的对应关系，该对应关系可以但不限于用户认证信息配置表；并用于通过用户认证，还用于在DHCP服务器发来用户设备唯一标识后从用户设备唯一标识与网络访问权限级别的对应关系中获取与该唯一标识对应的网络访问权限级别并将其发送到DHCP服务器的固定接收端口。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims

1.一种控制用户网络访问权限的方法，包括网络访问权限的预先配置、用户认证后动态地址请求及网络访问权限选择、控制用户网络访问权限的IP地址分配；

其中预先配置阶段包括：

(a)网络设备配置地址段与网络访问权限的对应关系；

(b)远程验证用户拨入服务服务器和动态主机配置协议服务器配合配置用户设备唯一标识与地址池信息的对应关系，具体为：远程验证用户拨入服务服务器配置用户设备唯一标识与网络访问权限级别的对应关系，动态主机配置协议服务器配置网络访问权限级别与动态主机配置协议地址池的对应关系；

步骤(a)、(b)不分先后；

(c)动态主机配置协议服务器及远程验证用户投入服务服务器根据用户设备的唯一标识获取地址池信息并返回给用户设备，具体为：

2.如权利要求1所述的方法，其特征在于，所述步骤(a)中的网络访问权限包括内部网络访问权限和外部Internet访问权限。

3.如权利要求1所述的方法，其特征在于，所述的用户设备唯一标识包括物理地址、用户设备接入电路标识。

4.如权利要求1所述的方法，其特征在于，所述的地址池信息包含控制用户网络访问权限的IP地址和选项参数信息。

5.如权利要求4所述的方法，其特征在于，所述的选项参数包括掩码、网关、路由、域名解析服务器。

6.如权利要求1所述的方法，其特征在于，步骤(c1)中动态主机配置协议服务器是以用户数据报协议消息将用户设备的唯一标识发送给远程验证用户拨入服务服务器的固定接收端口；步骤(c2)中远程验证用户拨入服务服务器也是以用户数据报协议消息将网络访问权限级别发送到动态主机配置协议服务器的固定接收端口。

7.一种控制用户网络访问权限的系统，包括网络设备、远程验证用户拨入服务服务器及动态主机配置协议服务器，其特征在于：网络设备用于配置地址段与网络访问权限的对应关系；

8.如权利要求7所述的系统，其特征在于，所述的网络访问权限包括内部网络访问权限和外部Internet访问权限。

9.如权利要求7所述的系统，其特征在于，所述的用户设备唯一标识包括物理地址、用户设备接入电路标识。

10.如权利要求7所述的系统，其特征在于，所述的地址池信息包含控制用户网络访问权限的IP地址和选项参数信息。

11.如权利要求7所述的系统，其特征在于，动态主机配置协议服务器是以用户数据报协议消息将用户设备的唯一标识发送给远程验证用户拨入服务服务器的固定接收端口；远程验证用户拨入服务服务器也是以用户数据报协议消息将网络访问权限级别发送到动态主机配置协议服务器的固定接收端口。

12.如权利要求10述的系统，其特征在于，所述的选项参数包括掩码、网关、路由、域名解析服务器。