CN101188604A

CN101188604A - 一种网络用户权限鉴定方法

Info

Publication number: CN101188604A
Application number: CNA2006101457541A
Authority: CN
Inventors: 缪伟
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2006-11-16
Filing date: 2006-11-16
Publication date: 2008-05-28

Abstract

本发明涉及一种网络用户权限鉴定方法，利用内置用户权限数据库及其管理系统的网关或路由器(2)，包括：通过用户登陆获取用户信息；判断该用户信息正确、绑定其终端(4)IP地址或MAC地址与对应权限；网关或路由器根据所述绑定和到达它数据报文的源IP地址或源MAC地址拒绝或向外转发该报文。这种方法，利用绑定结合用户鉴定码和终端报文的IP/MAC地址，能通过网关或路由器管理网络用户的使用权限，无须限制网路用户终端的环境，也无须在终端设备上安装任何软件和设备，只要终端通过本发明网关或路由器连接外部网络，利用Http，Telnet或UPNP等协议就可以实现网络用户的识别、认证和管理，成本更低且使用方便。

Description

一种网络用户权限鉴定方法

技术领域

本发明涉及计算机网络信息安全和使用，具体涉及一种网络用户权限鉴定方法。

背景技术

随着网络技术的发展，网络用户逐步增加，网络已经成为人们生活、工作中不可或缺的重要因素，在我们的家庭，公司都存在各种各样的局域网，如公司网络，家庭网络等。在这些局域网内，如何区分不同的网络用户，并根据不同的网络用户分配对应的权限，成为一个重要的内容，如公司网络，希望能够区别老板，管理员，员工等不同用户，并对这些用户，分别分配不同的权限，以及对家庭用户，能否区别小孩，父母，客人等多种用户呢。

对这个问题，目前业界采用了一种解决方案，就是通过终端的系统和网关，路由器或交换机的共同配合，实现用户的识别以及鉴定，但这种方法需要终端设备，包括PC或接入设备，安装额外的软件或系统本身就支持，安装复杂，且对终端的系统有限制，同时扩展性不高。

发明内容

本发明需要解决的技术问题是提供一种网络用户权限鉴定方法，能够根据不同的网络用户分配对应的访问权限，同时无须安装额外的软件或需要终端设备本身支持，对终端的系统没有限制，同时扩展性高。

本发明的上述技术问题这样解决，提供一种网络用户权限鉴定方法，利用内置用户权限数据库及其管理系统的网关或路由器管理局域网，包括以下步骤：

1.1)用户通过局域网终端设备登陆；

1.2)网关或路由器通过所述登陆获取该用户信息；

1.3)网关或路由器根据该用户信息比较所述用户权限数据库中用户验证信息的一致判断结果绑定该用户的终端设备IP地址或MAC地址与其包含在所述用户权限数据库中的对应权限；

1.4)网关或路由器根据所述绑定和到达它的内部数据报文源IP地址或源MAC地址拒绝或向外转发该报文。

按照本发明提供的鉴定方法，所述步骤1.4)包括：

1.4.1)来源于内部网络的数据报文到达网关或路由器；

1.4.2)网关或路由器获取该报文的源IP地址或源MAC地址；

1.4.3)根据该源IP地址或源MAC地址依所述绑定搜索其对应权限，并根据其对应权限拒绝或向外转发该报文。

按照本发明提供的鉴定方法，所述用户权限包括全部禁止、部分禁止和全部允许中的一种或多种；全部允许可以是等级最高，全部禁止可以是等级最低。

按照本发明提供的鉴定方法，所述部分禁止还分为若干登记。

按照本发明提供的鉴定方法，所述步骤1.2)中若所述用户信息错误，不进行任何绑定，所述步骤1.3)中数据报文的源IP地址或源MAC地址不存在于所述绑定中，按等级最低的配置拒绝或向外转发该报文。

按照本发明提供的鉴定方法，所述部分禁止包括但不限制于分时间、目标URL地址或目标IP地址进行限制或允许。

按照本发明提供的鉴定方法，还包括网关或路由器根据用户主动注销或用户长时间不访问外部网络清除所述绑定。

按照本发明提供的鉴定方法，所述用户可以是一个或多个，同时通过所述网关或路由器访问外网，所述对应权限不同或相同。

按照本发明提供的鉴定方法，所述外网是INTERNET网络。

按照本发明提供的鉴定方法，所述用户信息包括用户名和密码，即用户鉴定码。

按照本发明提供的鉴定方法，所述登陆可以是Http，Ftp，Telnet或Upnp方式。

按照本发明提供的鉴定方法，所述Http方式可以是Http重定向至输入用户名和密码的用户权限管理界面。

按照本发明提供的鉴定方法，所述终端设备包括PC、机顶盒、网络电话或传真。

本发明提供的网络用户权限鉴定方法，利用绑定结合用户鉴定码和终端报文的IP/MAC地址，能通过网关或路由器管理网络用户的网络使用权限，无须限制网路用户终端的环境，也无须在终端设备上安装任何软件和设备，只要用户的终端通过安装有本发明用户权限系统及其管理系统的网关或路由器连接外部网络，利用Http，Telnet或UPNP等协议就可以实现网络用户的识别、认证和管理，成本更低且使用方便。

附图说明

下面结合附图和具体实施例进一步对本发明进行详细说明。

图1是本发明网络用户权限鉴定方法所使用的网络系统结构示意图。

图2是图1中网关或路由器内用户权限管理系统框架示意图。

图3是本发明网络用户权限鉴定方法对应的网络权限管理流程示意图。

具体实施方式

首先，说明本发明方法所应用的网络系统，结构如图1所示，整个系统由局域网1内的用户终端4，安装了用户权限数据库及其管理系统的位于局域网1和INTERNER网2之间的网关或路由设备2构成。其中，用户权限管理系统，内部架构如图2所示，该系统包括用户权限鉴定模块21、网络控制模块23、计划任务模块22、监控过滤模块24，其中：

(一)用户权限鉴定模块21：用于接受用户的权限鉴定，用户可以用多种方式登录，如Http，Ftp，Telnet，Upnp等，该模块一方面鉴定用户注册的用户名和密码是否正确，同时分析用户注册的IP地址；

(二)网络控制模块23：该模块用于配置和用户相关的策略任务，如家庭父亲策略，小孩策略等；

(三)计划任务模块22，该模块用于管理策略的执行，如当计划任务收到用户鉴定模块的消息，得到了一种用户名和IP或MAC的绑定关系后，计划任务模块将所有和该用户相关的策略扫描一遍，并用重新下达任务，更新策略任务中的IP/MAC地址；

(四)监控过滤模块24，该模块位于网络层，用于根据IP或MAC对报文进行过滤，所有报文将根据过滤策略进行分析判断。

本发明除了要求网关或路由设备具有网络用户权限管理功能外，对局域网终端/内部网络终端没有任何要求。

第二步，以利用http重定向，即WEB重定向，的方式管理网络使用权限为例，描述本发明优选具体实施方式，过程如图3所示，包括步骤：

301)管理人员在网路控制模块23上进行配置，如用户数目，等级，并设置该用户所能使用的网络权限，配置完成后，网络控制模块23将该配置信息传递到计划任务模块22中；

302)当某用户首次使用网络时，需要登陆到用户鉴定模块21上，并选择使用网络的时间，永久访问、网关重起前访问、规定时间内访问。这样，用户在这个设定时间内，将不用再次注册。用户鉴定模块21一方面鉴定用户输入的用户名和密码是否正确，同时分析用户注册终端的IP或MAC地址；

303)用户权限鉴定模块21将该用户，IP或MAC的绑定关系，以及用户使用网络的期限下达到计划任务模块22；

304)计划任务模块22检查和该用户名相关的任务策略，并利用新的IP或MAC地址修改任务策略；

305)计划任务模块22将修改后的任务策略下达到监控过滤模块24；

306)用户开始使用网络，监控模块24根据新的策略任务对用户报文进行控制管理；

307)当监控模块24发现该报文的使用超越了用户的权限，于是向用户对应的终端4发出Web重定向报文，将用户的WEB访问重定向到网关2的权限管理界面；

308)如果该用户没有高级用户权限，则只好停止本次网络访问，如果用户具有高级用户权限，则用户输入高级用户鉴定信息，并发送给网关设备2；

309)网关设备2分析该用户鉴定信息是否正确，如果正确，就分析鉴定信息对应得IP或MAC地址，并将用户信息和该IP或MAC地址的绑定关系再次发送到计划任务模块22中；

310)计划任务模块22再次检查和该用户名相关的任务策略，并利用新的IP或MAC地址修改任务策略；

311)计划任务模块22再次将修改后的任务策略下达到监控过滤模块24；

312)当该用户再次访问网络时，监控模块22采用新的任务策略进行过滤，由于高级用户的限制策略少于低级用户，所以用户可以正常访问。

313)当用户使用网络的时间到期，(该时间在用户到用户监控模块22注册时配置)计划任务将该用户所对应得过滤策略取消，并限制该用户的访问，这样下次用户访问时，需要重复步凑2的工作，用户也可以主动登陆用户权限鉴定模块21，注销自己的访问，从而计划任务模块22将用户所对应的过滤策略取消，并限制用户的访问，下次用户访问时，也需要重复步骤302)的工作。

Claims

1.一种网络用户权限鉴定方法，其特征在于，利用内置用户权限数据库及其管理系统的网关或路由器(2)管理局域网，包括以下步骤：

1.1)用户通过局域网(1)终端设备(4)登陆；

1.2)网关或路由器(2)通过所述登陆获取该用户信息；

1.3)网关或路由器(2)根据该用户信息比较所述用户权限数据库中用户验证信息的一致判断结果绑定该用户的终端设备(4)IP地址或MAC地址与其包含在所述用户权限数据库中的对应权限；

1.4)网关或路由器(2)根据所述绑定和到达它的内部数据报文源IP地址或源MAC地址拒绝或向外转发该报文。

2.根据权利要求1所述鉴定方法，其特征在于，所述步骤1.4)包括：

1.4.1)来源于内部网络的数据报文到达网关或路由器(2)；

1.4.2)网关或路由器(2)获取该报文的源IP地址或源MAC地址；

3.根据权利要求1所述鉴定方法，其特征在于，所述用户权限包括全部禁止、部分禁止和全部允许中的一种或多种。

4.根据权利要求3所述鉴定方法，其特征在于，所述部分禁止分时间、目标URL地址或目标IP地址进行允许或限制。

5.根据权利要求4所述鉴定方法，其特征在于，所述用户可以是一个或多个，同时通过所述网关或路由器(2)访问外网，所述对应权限可以不同或相同。

6.根据权利要求1所述鉴定方法，其特征在于，还包括网关或路由器(2)根据用户主动注销或用户长时间不访问外部网络清除所述绑定。

7.根据权利要求6所述鉴定方法，其特征在于，所述外网是INTERNET网络(3)。

8.根据权利要求1所述鉴定方法，其特征在于，所述用户信息包括用户名和密码。

9.根据权利要求1所述鉴定方法，其特征在于，所述登陆可以是Http，Ftp，Telnet或Upnp方式；所述Http方式可以是Http重定向至输入用户名和密码的用户权限管理界面。

10.根据权利要求1所述鉴定方法，其特征在于，所述终端设备(4)包括PC、机顶盒、网络电话或传真。