CN101119361B - 网络设备 - Google Patents

Abstract

在一种网络设备中，用户接口单元创建用户接口，该用户接口包括地址输入部分、允许/拒绝选择部分以及开关部分，所述地址输入部分用于向其输入地址或地址范围，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址或地址范围，所述开关部分用于向其输入是否将地址部分忽略的选择，所述地址部分对应于从网络接收的前缀的变化部分。包过滤单元根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

Description

网络设备

技术领域

本发明涉及一种网络设备，其依靠各IP(因特网协议)地址块执行从外部设备到该网络设备的访问控制。

背景技术

对于通过网络与两个或更多外部设备连接的网络设备，需要依照组织的操作规则或网络设备的特性，允许或拒绝来自预定设备对网络设备的访问。例如，对于面向公司的网络打印机(网络设备)的情况，需要只接受来自安装网络打印机的公司部门的对网络打印机的打印请求，并且拒绝来自其他公司部门的对网络打印机的打印请求。

已经提出执行这种访问控制的各种方法。其中一个简单、原始的方法是指定通信伙伴的IP地址，并且允许或拒绝网络设备与具有指定IP地址的外部设备(通信伙伴)的通信。

基本上，当根据上述方法执行访问控制时，通过指定单个IP地址只能控制网络设备和一个外部设备的通信。因此，通常是定义IP地址的特定范围(IP地址块)，并且控制网络设备和所定义IP地址块的多个外部设备的通信。包括“/”(斜线)的符号用作IP地址块的符号。

例如，当IP地址块在IPv4(因特网协议版本4)中写为“123.134.145.0/24”时，它表示定义IP地址，其前(upper)24位与所写IP地址的前24位(即“123.134.145”)一致。并且对具有所定义IP地址的各外部设备组设置访问允许或访问拒绝。作为替代，可以通过包括后面跟随“/”的IP地址的全部位数写出IP地址本身而不是IP地址范围。

图1显示当通过指定IP地址块执行访问控制时，在常规网络设备中提供的用户接口的示例。如图所示，向设备管理者(用户)提供请求用户输入IP地址块的功能，以及请求用户对每个IP地址块选择访问允许或访问拒绝的功能。

具体地，将IP地址块的值输入到“IP地址块”的输入部分。当用户希望选择拒绝网络设备和输入IP地址块之间的通信时，点击“拒绝访问”的开关，而当用户希望选择允许网络设备和输入IP地址块之间的通信时，点击“允许访问”的开关。在图1的用户接口的示例中，可以为常规网络设备指定三个IP地址块。

这样，设备管理者输入IP地址块的值作为访问控制的对象，并且设置通信允许/拒绝的选择，使得可以执行从外部设备对常规网络设备的访问控制。

上述方法是简单而原始的，并可以仅仅通过指定IP地址块而执行访问控制。该方法不但可用在IPv4(因特网协议版本4)中而且可用在IPv6(因特网协议版本6)中。到本申请的提文时为止，在涉及本发明的领域中还没有发现任何公开物或文献。

然而，当打算实现IPv6环境中的多宿主(multi-homing)状态时，使用指定IP地址块执行访问控制的上述方法具有如下问题。多宿主状态是一个网络具有与两个或更多ISP(因特网服务提供商)连接的状态。

当特定网络获取对因特网的访问时，它必须与特定ISP有连接。在许多情况下，为了一个ISP故障发生时的安全性目的，一个网络与两个或更多ISP具有连接。在这种情况下，有必要实现多宿主状态。

假设多宿主环境中用“n”标识多宿主数(与特定网络具有连接的ISP的数目)，各个ISP的不同前缀在网络中同时传输，并且分布“n”个前缀。在这种情况下，对于网络中的各个网络设备分配“n”个全局单播地址。

因此，当打算允许或拒绝从网络中的预定网络设备或设备组对相关网络设备的访问时，用户有必要为对应“n”个不同前缀的“n”类所有IP地址选择访问允许或访问拒绝。

图2显示在多宿主环境中当通过指定各IP地址块来执行访问控制时、设备管理者的操作的例子。

如图2所示，由掌握多宿主环境需要的网络管理者M1向设备管理者M2通知多宿主环境的请求。随后，设备管理者M2必须对多宿主数“n”(在该例子中，n＝3)向网络设备10(相同对象)重复IP地址块的设置。

这样，设置操作必须被重复多次，所述次数为IP地址块的数量乘以多宿主数“n”所得的数量，设置操作变得复杂，并且设置错误有可能发生。

设置错误可能引起从访问拒绝设备对相关网络设备的访问被错误地允许，或引起从访问允许设备对相关网络设备的访问被错误地禁止。为此，设置故障将导致安全性和使用可靠性的降低。

存储区域被限制，所述存储区域用于存储对网络设备10(如网络打印机)的访问控制的设置信息。可以实际设置的对象数量减少到1/n(其中n是多宿主数)，并且将不可能执行必要的设置操作。

而且，如果在ISP中发生前缀的重新编号，则组织中所有网络设备的访问控制设置必须相应地改变。

而且，网络管理者M1掌握多宿主环境的请求。只有当网络管理者M1明确地向设备管理者M2发出多宿主环境的请求时，才执行实现多宿主环境的设置操作。因此，如果网络管理者M1未能向设备管理者M2发出请求，则访问控制几乎是无意义的。

另一方面，使用指定IP地址块而执行访问控制的上述方法可能被执行访问控制的另一方法取代，所述另一方法中每个前缀的变化部分通过设置位掩码而被忽视。

图3显示IPv6地址的前缀的组成。前缀一般由64位作为整体组成。如图3所示，前缀的前48位主要代表FP(格式前缀)、TLA ID(顶级聚合标识符)、sTLA ID(亚顶级聚合标识符)和NLA ID(下一级聚合标识符)。由因特网服务提供商(ISP)端确定这些前缀元素的值。前缀的剩余部分：SLA ID(站点级聚合标识符)可由用户(在向其分配IP地址的组织内)自由地设置。通常，按照组织的每个内部部分确定SLA ID。因此，前缀的SLA ID是IPv6地址的前缀中依赖于用户的固定部分。

另一方面，由于ISP的差别，前缀中的元素TLA、sTLA和NLA形成IPv6地址前缀中的变化部分，并且可以通过设置位掩码忽视对应于前缀变化部分的地址部分。

图4显示当通过设置位掩码执行访问控制时、设备管理者的操作的例子。

如图4所示，掌握多宿主环境请求的网络管理者M1向设备管理者M2通知多宿主环境的请求。随后，设备管理者M2对网络设备10执行IP地址块的设置和位掩码的设置。具体地，位掩码设置的例子是“0:0:0:ffff::”。在这个例子中，前缀的第48至第63位被从匹配对象中撤除。

在多宿主环境的情况下，可以忽略形成前缀的变化部分的TLA、sTLA和NLA，并且只有前缀的SLA能形成匹配的对象。因此，对于包括两类或更多类前缀的IP地址块，可能共同地选择访问允许或拒绝。

然而，在位掩码的设置中，前缀中哪个部分是正被设置的位掩码的目标并不立即清楚。存在一个问题：为了位掩码的设置需要执行位操作的时间和精力，引起设置错误出现。

类似于之前提到的方法，网络管理者M1掌握对多宿主环境的需要。只有当网络管理者M1明确地向设备管理者M2发出多宿主环境的请求时，才执行实现多宿主环境的设置操作。因此，如果网络管理者M1未能向设备管理者M2发出请求，则访问控制几乎是无意义的。

而且，除了上述多宿主环境，也有一种情况(多前缀环境)，其中各个ISP的不同前缀在组织的网络中同时传送，并且分布“n”个前缀。那么，在此情况下，相同的问题仍然没有得到解决。

发明内容

根据本发明的一个方面，提供一种改进的网络设备，在所述网络设备中上面描述的问题被消除。

根据本发明的一个方面，提供一种网络设备，所述网络设备适合只通过指定最少数量的IP地址块，执行从外部设备对网络设备的访问控制，并且适合在不受到人工识别多前缀环境影响的情况下执行适合的网络设备的设置。

在解决或减少一个或多个上述问题的本发明的实施例中，提供一种网络设备，所述网络设备通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述网络设备包括：用于创建用户接口的用户接口单元，该用户接口包括地址输入部分、允许/拒绝选择部分以及开关部分，所述地址输入部分用于向其输入地址或地址范围，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址或地址范围，所述开关部分用于向其输入是否将地址部分忽略的选择，所述地址部分对应于从网络接收的前缀的变化部分；以及包过滤单元，用于根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

在解决或减少一个或多个上述问题的本发明的实施例中，提供一种网络设备，所述网络设备通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述网络设备包括：用于创建用户接口的用户接口单元，该用户接口包括地址输入部分和允许/拒绝选择部分，所述地址输入部分用于向其输入对应于从网络接收的前缀的依赖用户的固定部分的地址部分，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址部分；以及包过滤单元，用于根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

上述网络设备可以被配置为还包括多前缀环境识别单元，该识别单元用于检测网络设备是否处于多前缀环境，其中用户接口单元被配置为基于多前缀环境识别单元的检测结果，设置用户接口的开关部分在有效状态或无效状态。

上述网络设备可以被配置使得多前缀环境识别单元被配置为监视从网络接收的路由器通告，并且当在收到的路由器通告中包含多个前缀时，检测到网络设备处于多前缀环境。

上述网络设备可以被配置使得多前缀环境识别单元被配置为以一对前缀项和其到达时间为基础，保留并管理收到的路由器通告中的多个前缀，并在多个前缀中丢弃超出给定时间限制的旧前缀项。

上述网络设备可以被配置使得多前缀环境识别单元被配置为响应来自用户接口单元的确认请求，返回当前保留的前缀的条目数量。

上述网络设备可以被配置使得多当用户输入的地址是全局单播地址以及网络设备处于多前缀环境时，用户接口单元被配置为设置用户接口的开关部分在有效状态。

上述网络设备可以被配置使得当忽略地址部分的选择被输入而用户输入的地址不是全局单播地址时，所述地址部分对应于从网络接收的前缀的变化部分，用户接口单元被配置为向用户发出表示用户执行不合适的设置的警报。

上述网络设备可以被配置使得用户接口单元被配置为基于地址头部端各预定位的值，确定用户输入地址是否是全局单播地址。

上述网络设备可以被配置使得用户接口单元被配置为依靠输入地址是否在预定地址块的范围内，确定用户输入地址是否是全局单播地址。

在解决或减少一个或多个上述问题的本发明的实施例中，提供一种访问控制方法，所述访问控制方法通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述网络设备包括：用于创建用户接口的用户接口单元，该用户接口包括地址输入部分、允许/拒绝选择部分以及开关部分，所述地址输入部分用于向其输入地址或地址范围，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址或地址范围，所述开关部分用于向其输入是否将地址部分忽略的选择，所述地址部分对应于从网络接收的前缀的变化部分；以及包过滤单元，用于根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

在解决或减少一个或多个上述问题的本发明的实施例中，提供一种访问控制方法，所述访问控制方法通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述网络设备包括：用于创建用户接口的用户接口单元，该用户接口包括地址输入部分和允许/拒绝选择部分，所述地址输入部分用于向其输入对应于从网络接收的前缀的依赖用户的固定部分的地址部分，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址部分；以及包过滤单元，用于根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

根据本发明的网络设备的各实施例，自动检测当前网络条件处于多宿主环境，并创建用户接口，该用户接口包含关于是否忽略受多宿主环境影响的变化的地址部分的输入部分。可能通过指定最少数量的IP地址块，执行从外部设备对网络设备的访问控制。并且可能在不受人工识别多宿主环境影响的情况下执行网络设备的合适设置。

附图说明

当结合附图阅读时，本发明的其他目的、特征和优点从如下详细描述中将变得明显。

图1是显示当通过指定IP地址块执行访问控制时、在常规网络设备中提供的用户接口的例子的示意图。

图2是显示当通过在多宿主环境中指定IP地址块执行访问控制时、设备管理者的操作的例子的顺序示意图。

图3是显示IPv6地址的前缀的组成的示意图。

图4是显示当通过设置位掩码执行访问控制时、设备管理者的操作的例子的顺序示意图。

图5是显示在本发明实施例中的网络设备的组成的方块图。

图6是用于解释由设备管理者执行的访问控制设置的处理的顺序示意图。

图7是用于解释由本实施例的多宿主环境自动识别单元执行的处理的流程图。

图8是用于解释由本实施例的访问控制用户接口单元执行的开关控制的处理的流程图。

图9是显示用户接口的例子的示意图。

图10是显示存储的设置信息的例子的示意图。

图11是用于解释由本实施例的包过滤单元执行的处理的流程图。

图12是显示当不执行开关控制时用户接口的例子的示意图。

图13是用于解释向已输入不合适设置信息的用户发出警报的处理的流程图。

图14是显示警报信息的例子的示意图。

图15是显示当直接设置SLA ID时用户接口的例子的示意图。

图16是显示存储的安装信息的例子的示意图。

图17是用于解释当直接设置SLA ID时由包过滤单元执行的处理的流程图。

图18是显示在本发明的实施例中的网络设备的组成的示意图。

图19A和图19B是用于解释由本实施例的多前缀环境自动识别单元执行的处理的流程图。

图20是用于解释由本实施例的访问控制用户接口单元执行的开关控制的处理的流程图。

具体实施方式

将参照附图给出本发明的实施例的描述。

图5表示在本发明实施例中网络设备的组成。如图5所示，网络设备1包括如下元件。提供多宿主环境指定用户接口单元2用于接收手动输入命令，以设置网络设备的当前状态是否处于多宿主环境。

提供多宿主环境自动识别单元3，用于自动检测网络设备的当前状态是否处于多宿主环境。

提供访问控制用户接口单元4，用于根据来自多宿主环境指定用户接口单元2或多宿主环境自动识别单元3识别的环境(多宿主环境/非多宿主环境)，创建用于访问控制的用户接口。

网络设备1的操作系统(OS)5包括包(packet)过滤单元6，该单元根据由用户通过由访问控制用户接口单元4创建的用户接口所设置的信息，过滤来自外部网络设备的进入IP包。

网络设备1的硬件7包括网络接口部分8，该部分在包过滤单元6的控制下执行IP包的接收。为了检测网络设备的当前状态是否处于多宿主环境，将网络接口部分8收到的包提供给多宿主环境自动识别单元3。

图6是用于解释由设备管理者执行的访问控制设置的处理的顺序示意图。

如图6所示，网络设备1通过使用多宿主环境指定用户接口单元2或多宿主环境自动识别单元3，识别网络设备的当前状态是否处于多宿主环境(步骤S1)。

图7是用于解释由本实施例的多宿主环境自动识别单元3执行的处理的流程图。当网络设备1的多宿主环境自动识别单元3通过网络接口部件8从网络收到路由器通告(RA)时，开始图7所示的处理(步骤S11)。

开始图7的处理的时候，多宿主环境自动识别单元3确定是否已经存储包括在所接收的RA中的前缀(步骤S12)。

当前缀已存储时(步骤S12的是)，终止处理(步骤S16)。另一方面，当前缀还没有存储时(步骤S12的否)，存储前缀(步骤S13)。并且多宿主环境自动识别单元3确定前缀是否是正存储的第一个前缀项(步骤S14)。

当确定它是第一前缀项时(步骤S14的是)，终止图7的处理(步骤S16)。

另一方面，当确定它不是第一前缀项时(步骤S14的否)，这表示多个前缀在网络上传送。在这种情况下，多宿主环境自动识别单元3确定网络设备1的当前状态处于多宿主环境(步骤S15)。随后，终止图7的处理(步骤S16)。

返回参照图6，设备管理者M2请求网络设备1提供用于访问控制的用户接口(步骤S2)。响应该请求，网络设备1的访问控制用户接口单元4创建访问控制用户接口(步骤S3)。

随后，设备管理者M2通过使用创建的用户接口设置IP地址块(步骤S4)。此时，网络设备1的访问控制用户接口单元4根据用户输入的地址格式控制是否忽略TLA、sTLA和NLA的开关(步骤S5)。

图8是用于解释由本实施例的访问控制用户接口单元4执行的开关控制的处理的流程图。当访问控制用户接口单元4接收到对用户接口的任何输入操作(字符输入、按钮选择等)或聚焦移动(选择部分移动)(作为开始触发被执行)时，开始图8所示的处理(步骤S51)。

开始图8的处理的时候，访问控制用户接口单元4确定网络设备的当前状态是否处于多宿主环境(步骤S52)。

当确定当前状态处于多宿主环境时(步骤S52的是)，访问控制用户接口单元4确定用户输入的地址(包括包含“/”的IP地址块)是否是全局单播地址(步骤S53)。基于地址头部端的预定位(FP)的值确定用户输入的地址是否是全局单播地址。

当确定用户输入地址是全局单播地址时(步骤S53的是)，访问控制用户接口单元4设置TLA忽略开关到忽略用户接口的TLA、sTLA和NLA的有效状态(步骤S54)。并且终止图8的处理(步骤S56)。

当确定当前环境不是处于多宿主环境(步骤S52的否)或确定用户输入地址不是全局单播地址时(步骤S53的否)，访问控制用户接口单元4设置TLA忽略开关到忽略用户接口的TLA、sTLA和NLA的无效状态(步骤S55)。并终止图8的处理(步骤S56)。

返回参照图6，设备管理者M2通过使用用户接口执行TLA忽略开关的设置和访问允许/拒绝开关的设置(步骤S6)。

图9显示根据本实施例的用户接口的例子。图9的用户接口适配于使用户可以在顶部、中间和底部行设置三个IP地址块。

在图9的例子中，在顶行和底行的用户输入的IP地址块是全局单播地址。在用户接口的这些行，显示向其输入是否忽略对应于TLA ID、sTLA ID和NLA ID的地址部分的选择的TLA忽略开关(忽略TLA、sTLA、NLA匹配)、和向其输入允许还是拒绝来自IP地址组的访问的选择的访问允许/拒绝开关(拒绝访问/允许访问)。

另一方面，在图9的例子的中间行的用户输入的IP地址块不是全局单播地址。在用户接口的这行，只显示访问允许/拒绝开关而不显示TLA忽略开关。因此，当用户输入地址不是全局单播地址时，可以防止用户不正确地检查用户接口的TLA忽略开关。而且可以防止安全性由于用户的设置错误而降低。

在上面实施例中，当用户输入地址不是全局单播地址时，避免在用户接口中显示TLA忽略开关。作为替代，用户接口中的TLA忽略开关可以灰暗状态显示，其亮度低于其他显示部分。

返回参照图6，当完成使用用户接口的开关设置时，网络设备1的访问控制用户接口单元4存储该设置信息，并且执行包过滤单元6的设置(步骤S7)。

图10显示存储的设置信息的例子。如图10所示，在网络设备1中存储的设置信息包括IP地址块、访问允许/拒绝开关(1位)以及TLA忽略开关(1位)。

图11是用于解释在存储访问控制的设置信息之后、由本实施例的包过滤单元6执行的处理的流程图。

如图11所示，收到IP包的时候开始处理(步骤S101)。首先，包过滤单元6确定收到的包与所有设置的IP地址块的比较是否完成(步骤S102)。

当确定没有完成比较时(步骤S102的否)，包过滤单元6指定一个用户设置的IP地址块作为与收到的包比较的对象(步骤S103)，并确定指定的IP地址块是否包括TLA忽略开关，所述TLA忽略开关对忽略对应于前缀的TLA ID、sTLA ID和NLA ID的地址部分是有效的(步骤S104)。

当确定指定的IP地址块不包括TLA忽略开关时(步骤S104的否)，如常规方法一样，包过滤单元6执行指定的IP地址块与接收的IP包的源地址的比较(匹配)，而不忽略对应于前缀的TLA ID、sTLA ID和NLA ID的地址部分(步骤S105)。

当确定指定的IP地址块包括TLA忽略开关时(步骤S104的是)，包过滤单元6通过忽略对应于前缀的TLA ID、sTLA ID和NLA ID的地址部分，执行指定的IP地址块与收到的IP包的源地址的比较(匹配)(步骤S106)。

随后，确定是否出现收到的IP包的源地址和指定的IP地址块之间的匹配(步骤S107)。

当确定匹配没有发生时(步骤S107的否)，控制返回到步骤S102以确定是否完成收到的包与所有设置的IP地址块的比较。

当确定匹配发生时(步骤S107的是)，包过滤单元6确定：指定的IP地址块是否设置有允许网络设备与指定的IP地址块的通信的允许访问开关(步骤S108)。

当确定指定的IP地址块设置没有允许访问开关时(步骤S108的否)，包过滤单元6丢弃收到的IP包(步骤S109)。另一方面，当确定指定的IP地址块设置有允许访问开关时(步骤S108的是)，包过滤单元6传送收到的IP包(步骤S110)。并终止图11的处理(步骤S112)。

当确定收到的包与所有设置的IP地址块的比较完成时(步骤S102的是)，执行默认处理(例如，对设置没有访问允许/拒绝开关的所有IP地址设置访问允许或拒绝)(步骤S111)，并终止图11的处理(步骤S112)。

以这样的方式，即使当在多宿主环境中分布两个或更多前缀以及对一个网络设备分配两个或多个IP地址时，所必须做的只是对于访问控制的一个对象设置一个IP地址块，而不用考虑对应于前缀的TLA ID、sTLA ID和NLA ID(变化部分)的地址部分的差别。可能仅仅通过指定最小数量的I P地址块而执行从外部设备到网络设备的访问控制。

图12显示当不执行图8所示的开关控制的处理时用户接口的例子。

在图12的例子中，不论输入的IP地址块是否是全局单播地址，对于可能的选择一直显示TLA忽略开关。

然而，在这种情况下，当输入的IP地址块不是全局单播地址时，TLA忽略开关可能被用户选择。有必要防止用户执行这样不合适的设置。

图13是用于解释向已输入不合适设置信息的用户给出警报的处理的流程图。

当用户开始输入操作时开始图13的处理(步骤S201)。处理开始时，确定用户输入的IP地址块是否是全局单播地址(步骤S202)。

当用户输入的IP地址块是全局单播地址时(步骤S202的是)，终止图13的处理(步骤S205)。

当用户输入的IP地址块不是全局单播地址时(步骤S202的否)，访问控制用户接口单元4确定用户是否对IP地址块选择TLA忽略开关(步骤S203)。

当TLA忽略开关没有被选择时(步骤S203的否)，终止图13的处理(步骤S205)。当TLA忽略开关被选择时(步骤S203的是)，访问控制用户接口单元4向用户给出指示用户执行不合适设置以及不能选择TLA忽略开关的警报(步骤S204)，并终止处理(步骤S205)。

图14显示警报消息的例子。如图14所示，该警报对用户给出显示“虽然指定的IP地址块不是全局单播地址，但用户已选择TLA忽略开关以忽略TLA、sTLA和NLA匹配”的信息。因此，可能防止安全性因为用户的设置错误而降低。

图15显示当直接设置SLA ID时用户接口的例子。如图15所示，用户接口包括SLA ID的地址输入部分(或前缀的依赖于用户的固定部分)，以及向其输入允许还是拒绝从外部设备访问网络设备的选择的允许/拒绝选择部分。当设备管理者识别对多宿主环境的请求时，该用户接口适配于用户容易地执行访问控制操作。

即，即使当在多宿主环境中分布两个或更多前缀以及对一个设备分配两个或更多IP地址时，具有相同SLA ID的IP地址都可识别为相同种类，并且可以忽略冗余的访问控制设置操作。

图16显示存储的设置信息的例子。如图16所示，在网络设备1中存储的设置信息包括SLA ID和访问允许/拒绝开关(1位)。

图17是用于解释当直接设置SLA ID时、由包过滤单元6执行的处理的流程图。

当收到IP包时开始图17的处理(步骤S301)。开始图17的处理时，包过滤单元6检查收到的IP包的源地址的FP等于表示全局单播地址的预定值(0)，并执行收到的IP包的源地址的SLA ID和用户指定的SLA ID的比较(匹配)(步骤S302)。

随后，包过滤单元6确定匹配是否出现(步骤S303)。当匹配出现时(步骤S303的是)，包过滤单元6确定指定的SLA ID是否设置有允许访问开关(步骤S304)。当确定指定的SLA ID设置没有允许访问开关时(步骤S304的否)，包过滤单元6丢弃收到的IP包(步骤S305)，并终止图17的处理(步骤S310)。

当确定指定的SLA ID设置有允许访问开关时(步骤S304的是)，包过滤单元6传送收到的IP包(步骤S306)，并终止图17的处理(步骤S310)。

另一方面，当确定收到的IP包的源地址的SLA ID与用户指定的SLA ID不匹配时(步骤S303的否)，包过滤单元6确定收到的IP包与所有设置的SLA ID的比较是否完成(步骤S307)。当比较还没有完成时(步骤S307的否)，包过滤单元6执行收到的IP包与用户设置的下一个SLA ID的比较(步骤S308)。并且控制返回到匹配的确定(步骤S303)。

当完成与所有设置的SLA ID的比较时(步骤S303的是)，包过滤单元6执行默认处理(步骤S 309)，并终止图17的处理(步骤S310)。

图18显示在本发明的实施例中网络设备1的组成。该实施例应用于包括多宿主环境的更一般的多前缀环境。

如图18所示，网络设备1包括如下元件。提供多前缀环境指定用户接口单元2A，用于接收手动输入命令以设置网络设备的当前状态是或不是处于多前缀环境。

提供多前缀环境自动识别单元3A，用于自动检测网络设备的当前状态是否处于多前缀环境。

提供访问控制用户接口单元4，以便根据来自指定用户接口单元2A的多前缀环境或多前缀环境自动识别单元3A的识别的环境(多前缀环境/非多前缀环境)，创建用于访问控制的用户接口。

在多前缀环境自动识别单元3A中，提供收到的RA(路由器通告)信息列表L1，用于保存从网络收到的RA信息项(基于一对到达时间和收到的前缀项存储)。

开始处理时，访问控制用户接口单元4确定输入地址是否是全局单播地址，并且访问地址块列表L2用于检测控制TLA忽略开关的开关控制。

在制造或维护网络设备1之前，预先设置用于开关控制检测的该地址块列表L2，并且其可以灵活地更新以响应于IPv6的规范的变化(识别全局单播地址的各位)。

网络设备1的操作系统(OS)5包括包过滤单元6，其根据由用户通过访问控制用户接口单元4创建的用户接口设置的信息，过滤来自外部网络设备的进入IP包。操作系统5包括向多前缀环境自动识别单元3A提供当前时间的时间管理单元9。

网络设备1的硬件7包括在包过滤单元6的控制下执行IP包接收的网络接口部分8。为了检测网络设备1的当前状态是否处于多前缀环境，将网络接口部分8收到的包提供给多前缀环境自动识别单元3A。

由设备管理者M2使用网络设备1执行的访问控制设置的处理，基本上与上面参照图6所描述的相同(除了术语“多宿主环境”被“多前缀环境”取代以外)。

即，由设备管理者M2使用网络设备1执行的处理包括：识别网络设备1中的多前缀环境(步骤S1)，从设备管理者M2到网络设备1的访问控制用户接口请求(步骤S2)，在网络设备1中的访问控制用户接口的创建(步骤S3)，从设备管理者M2到网络设备1的地址选择(步骤S4)，网络设备1中的开关控制(步骤S5)，从设备管理者M2到网络设备1的访问允许/拒绝设置和开关设置(步骤S6)，以及在网络设备1中的包过滤单元设置(步骤S7)，以该次序顺序地执行。

图19A和图19B显示由本实施例的多前缀环境自动识别单元3A执行的处理。图19A是用于解释稳定监视处理的流程图。图19B是用于解释响应确认请求(主要来自访问控制用户接口单元4)执行的应答处理的流程图。

如图19A所示，多前缀环境自动识别单元3A通过网络接口部分8监视来自于网络的路由器通告(RA)(步骤S401)，并确定是否收到RA(步骤S402)。

当没有收到任何RA时(步骤S402的否)，控制返回到RA监视步骤S401。

当收到RA时(步骤S402的是)，多前缀环境自动识别单元3A从时间管理单元9获得当前时间(步骤S403)。

随后，多前缀环境自动识别单元3A确定：在收到的RA中包括的前缀(收到的前缀)是否包括在收到的RA信息列表L1中(步骤S404)。

当收到的前缀包括在列表L1中时(步骤S404的是)，收到的RA信息列表L1中的对应前缀项的到达时间变为从时间管理单元9获取的当前时间(步骤S405)。

当收到的前缀没有包括在收到的RA信息列表L1中时(步骤S404的否)，将收到的前缀和当前时间添加到收到的RA信息列表L1中(步骤S406)。

随后，多前缀环境自动识别单元3A访问在收到的RA信息列表L1中的每个收到的前缀项的到达时间，并确定是否有其到达时间超出给定时间限制的旧前缀项包括在列表L1中(步骤S407)。当包括旧前缀项时(步骤S407的是)，多前缀环境自动识别单元3A丢弃在列表L1中的对应的收到的前缀项(步骤S408)，并且控制返回到RA监视步骤S401。

当没有包括超出给定时间限制的旧前缀项时(步骤S407的否)，控制返回到RA监视步骤S401。

在该实施例中，在收到的RA信息列表L1中管理每个包括到达时间的收到的前缀项，并从列表L1丢弃超出给定时间限制的旧前缀项。因此，本实施例可能防止因为使用超出给定时间限制的旧前缀项而错误识别网络设备1中的多前缀环境。该机制也可以应用于上述图5的处理和图7的处理。

当在多前缀环境自动识别单元3A收到来自外部单元的确认请求时，开始如图19B所示的处理(步骤S411)。开始处理时，多前缀环境自动识别单元3A通过访问在收到的RA信息列表L1中每个前缀项的到达时间，确定超出给定时间限制的旧前缀项是否包括在收到的RA信息列表L1中(步骤S412)。

当包括超出给定时间限制的旧前缀项时(步骤S412的是)，丢弃对应前缀项(步骤S413)。在本实施例中，接收确认请求时执行对超出时间限制的旧前缀项的存在的检查并丢弃旧前缀项。这是因为图19A的处理只在接收前缀时才执行检查超出时间限制的旧前缀项的存在并丢弃旧前缀项，并且当没有收到RA时，旧前缀项可保留在列表L1中。

随后，多前缀环境自动识别单元3A向请求外部单元返回在收到的RA信息列表L1中的接收的条目数量(步骤S414)，并且终止图19的处理(步骤S415)。

图20是用于解释由本实施例的访问控制用户接口单元4执行的开关控制的处理的流程图。假设本实施例中的用户接口与图9所示的相同。

如图20所示，当访问控制用户接口单元4接收到对用户接口的任何输入操作(字符输入、按钮选择等)或聚焦移动(选择部分移动)(作为开始触发被执行)时，开始处理(步骤S421)。

开始处理时，访问控制用户接口单元4通过向多前缀环境发送确认请求并接收来自多前缀环境自动识别单元3A的响应，确定网络设备1的当前状态是否处于多前缀环境(步骤S422)。

当确定当前状态处于多前缀环境时(步骤S422的是)，访问控制用户接口单元4确定用户是否已输入IP地址(包括伴随“/”的IP地址块)(步骤S423)。

当由用户输入地址时(步骤S423的是)，访问控制用户接口单元4确定：输入的地址是否落入用于开关控制检测的地址块列表L2中设置的IP地址块的范围内(步骤S424)。

当输入的地址落入用于开关控制检测的地址块列表L2中设置的IP地址块的范围内时(步骤S424的是)，这显示输入的地址是有效的全局单播地址。在这种情况下，访问控制用户接口单元4设置用户接口的TLA忽略开关在有效状态(步骤S425)。并且终止图20的处理(步骤S427)。

当确定当前状态不是处于多前缀环境(步骤S422的否)时，当地址不是由用户输入时(步骤S423的否)，或当输入地址没有落入用于开关控制检测的地址块列表L2中设置的IP地址块的范围内时(步骤S424的否)，访问控制用户接口单元4设置用户接口的TLA忽略开关在无效状态(步骤S426)。并且终止图20的处理(步骤S427)。

作为替代，如果在图20的示例中，省略关于当前状态是否处于多前缀环境的确定(步骤S422)、和关于输入地址是否落入用于开关控制检测的地址块列表L2中设置的IP地址块的范围内的确定(步骤S424)，则在用户输入地址之后立即设置用户接口的TLA忽略开关为有效状态。在这种可选实施例中，可以指定仅依赖于为各个公司部门分配的SLA ID的访问控制，与网络设备的当前状态是否处于多前缀环境无关。

Claims (16)

1.一种网络设备，其通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述网络设备包括：

用于创建用户接口的用户接口单元(4)，该用户接口包括地址输入部分、允许/拒绝选择部分以及开关部分，所述地址输入部分用于向其输入地址或地址范围，所述允许/拒绝选择部分向其用于输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址或地址范围，所述开关部分用于向其输入是否将地址的一部分忽略的选择，所述地址的一部分对应于从网络接收的同一外部设备的地址的前缀的变化部分；

多前缀环境识别单元(3A)，用于检测网络设备是否处于多前缀环境；以及

包过滤单元(6)，用于基于多前缀环境识别单元的检测结果，根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包

其中用户接口单元(4)被配置为基于多前缀环境识别单元的检测结果，设置用户接口的开关部分在有效状态或无效状态，以进行是否忽略与所述前缀的变化部分对应的地址的一部分的选择，以及

其中当用户输入的地址是全局单播地址以及网络设备处于多前缀环境时，用户接口单元(4)被配置为设置用户接口的开关部分在有效状态。

2.一种网络设备，其通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述网络设备包括：

用于创建用户接口的用户接口单元(4)，该用户接口包括地址输入部分和允许/拒绝选择部分，所述地址输入部分用于向其输入对应于从网络接收的前缀的依赖用户的固定部分的地址部分，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址部分；

多前缀环境识别单元(3A)，检测网络设备是否处于多前缀环境；以及

包过滤单元(6)，用于基于多前缀环境识别单元的检测结果，根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

3.根据权利要求1所述的网络设备，其中多前缀环境识别单元(3A)被配置为监视从网络收到的路由器通告，并且当在收到的路由器通告中包含多个前缀时，检测到网络设备处于多前缀环境。

4.根据权利要求3所述的网络设备，其中多前缀环境识别单元(3A)被配置为以一对前缀项和其到达时间为基础，保留并管理收到的路由器通告中的多个前缀，并在多个前缀中丢弃超出给定时间限制的旧前缀项。

5.根据权利要求4所述的网络设备，其中多前缀环境识别单元(3A)被配置为响应来自用户接口单元的确认请求，返回当前保留的前缀的条目数量。

6.根据权利要求1所述的网络设备，其中当忽略地址的一部分的选择被输入而用户输入的地址不是全局单播地址时，所述地址的一部分对应于从网络收到的同一外部设备的地址的前缀的变化部分，用户接口单元(4)被配置为向用户给出表示用户执行不合适的设置的警报。

7.根据权利要求1所述的网络设备，其中用户接口单元(4)被配置为基于地址头部端各预定位的值，确定用户输入的地址是否是全局单播地址。

8.根据权利要求1所述的网络设备，其中用户接口单元(4)被配置为依靠输入的地址是否在预定地址块的范围内，确定用户输入的地址是否是全局单播地址。

9.一种访问控制方法，其通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述访问控制方法包括步骤：

创建用户接口，该用户接口包括地址输入部分、允许/拒绝选择部分以及开关部分，所述地址输入部分用于向其输入地址或地址范围，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址或地址范围，所述开关部分用于向其输入是否将地址的一部分忽略的选择，所述地址的一部分对应于从网络接收的同一外部设备的地址的前缀的变化部分；

检测网络设备是否处于多前缀环境；以及

基于网络设备是否处于多前缀环境的检测结果，根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包，

其中用户接口的创建被配置为基于多前缀环境识别步骤的检测结果，设置用户接口的开关部分在有效状态或无效状态，以进行是否忽略与所述前缀的变化部分对应的地址的一部分的选择，

其中当用户输入的地址是全局单播地址以及网络设备处于多前缀环境时，用户接口的创建被配置为设置用户接口的开关部分在有效状态。

10.一种访问控制方法，其通过设置从预定地址对该网络设备的访问的允许或拒绝，执行从外部设备经由网络对该网络设备的访问控制，所述访问控制方法包括步骤：

创建用户接口，该用户接口包括地址输入部分和允许/拒绝选择部分，所述地址输入部分用于向其输入对应于从网络接收的前缀的依赖用户的固定部分的地址部分，所述允许/拒绝选择部分用于向其输入允许还是拒绝从外部设备访问网络设备的选择，所述外部设备对应于输入到地址输入部分的地址部分；

检测网络设备是否处于多前缀环境；以及

基于网络设备是否处于多前缀环境的检测结果，根据用户通过用户接口输入的选择确定允许或拒绝接收进入的包。

11.根据权利要求9所述的访问控制方法，其中多前缀环境检测步骤被配置为监视从网络收到的路由器通告，并且当在收到的路由器通告中包含多个前缀时，检测到网络设备处于多前缀环境。

12.根据权利要求11所述的访问控制方法，其中多前缀环境检测步骤被配置为以一对前缀项和其到达时间为基础，保留并管理收到的路由器通告中的多个前缀，并在多个前缀中丢弃超出给定时间限制的旧前缀项。

13.根据权利要求12所述的访问控制方法，其中多前缀环境检测步骤被配置为响应确认请求，返回当前保留的前缀的条目数量。

14.根据权利要求9所述的访问控制方法，其中当忽略地址的一部分的选择被输入而用户输入的地址不是全局单播地址时，所述地址的一部分对应于从网络收到的同一外部设备的地址的前缀的变化部分，创建用户接口的步骤被配置为向用户给出表示用户执行不合适的设置的警报。

15.根据权利要求9所述的访问控制方法，其中创建用户接口的步骤被配置为基于地址头部端各预定位的值，确定用户输入的地址是否是全局单播地址。

16.根据权利要求9所述的访问控制方法，其中创建用户接口的步骤被配置为依靠输入的地址是否在预定地址块的范围内，确定用户输入的地址是否是全局单播地址。

Images