CN101304372B - 一种配置访问控制列表的方法、设备及系统 - Google Patents

Abstract

本发明实施例提供了一种配置访问控制列表的方法、设备及系统。本发明实施例提供的配置访问控制列表的方法包括，当用户申请IP地址成功时，根据绑定表中所述用户的用户信息，生成所述用户的访问控制列表ACL表项；当用户申请释放IP地址或用户IP地址租期到期时，根据绑定表中所述用户的用户信息，删除所述用户的ACL表项。本发明实施例提供的配置访问控制列表的设备，包括接口模块和处理模块。本发明实施例提供的配置访问控制列表的系统包括配置设备，所述配置设备与用户通信。通过应用本发明，动态配置ACL，能够有效避免手工配置ACL工作量很大。

Description

一种配置访问控制列表的方法、设备及系统

技术领域

本发明涉及访问控制列表，特别是涉及一种配置访问控制列表的方法、设备及系统。

背景技术

在小区网络规划和建设中，为了给不同需求的用户提供相应的带宽保证，常常需要满足以下条件：对于不同的楼道划分共享VLAN(Virtual Local AreaNetwork，虚拟局域网)，同一个楼道的用户在同一个VLAN中实行带宽共享；同时对于VLAN中的每一个用户都要保证其CIR(Committed Information Rate，承诺访问速率)；整个VLAN给一个总带宽限制，不同VLAN之间，保证流量互相不影响；用户的IP地址则采用DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)进行动态分配。

基于以上需求，出现了一种基于流的H-QoS(Hierarchical Quality of Service，层次化服务质量)技术，该技术扩展了QoS(Quality of Service，服务质量)模型，根据预先知道的用户的源MAC地址(Source Media Access Control)或源IP地址(Source IP)，支持在二层接口上配置基于二层信息(源MAC地址)和三层信息(源IP地址)匹配的流量策略(Traffic Policy)，同时在流量行为(TrafficBehavior)中又支持H-QoS的动作，从而达到H-QoS层次化的流量监管的目的。该技术不仅能够在三层网络中应用，而且通过识别并匹配用户的源MAC(MediaAccess Control，介质接入控制)地址和源IP地址实现了在纯二层网络中的应用。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

基于流的H-QoS必须预先知道用户的MAC地址或者IP地址，但是ACL(Access Control List，访问控制列表)中和用户匹配的源MAC地址或者源IP地址是静态配置的。而在网络中，用户的IP地址往往是通过DHCP动态配置的，这样，当用户的MAC地址或IP地址发生变化时，就必须手工修改ACL中用户的源MAC地址或源IP地址，使它们相匹配，才能够满足用户的H-QoS需求，这种手工配置ACL耗时耗力，成本巨大。

发明内容

本发明实施例要解决的技术问题是改变传统的静态配置访问控制列表，提供一种配置访问控制列表的方法、设备及系统，避免手工配置ACL所耗费的巨大成本。

为解决上述技术问题，本发明实施例一方面，提供了一种配置访问控制列表的方法，包括：

当用户申请IP地址成功时，根据绑定表中所述用户的用户信息，生成所述用户的访问控制列表ACL表项；

当用户申请释放IP地址或用户IP地址租期到期时，根据绑定表中所述用户的用户信息，删除所述用户的ACL表项；

当生成所述用户的ACL表项时，启动所述用户的ACL表项的定时器，当定时器到期时，遍历绑定表，并作如下操作，

如果未在绑定表中找到所述用户的ACL表项对应的绑定表项，则删除所述用户的ACL表项；

如果在绑定表中找到所述用户的ACL表项对应的绑定表项，则重启定时器。

为解决上述技术问题，本发明实施例另一方面，提供了一种配置访问控制列表的设备，包括：

接口模块，用于当用户申请IP地址成功时，获取绑定表中所述用户的用户信息，以及，当用户申请释放IP地址或用户IP地址租期到期时，获取绑定表中所述用户的用户信息；

处理模块，用于当用户申请IP地址成功时，利用所述接口模块中的所述用户的用户信息，生成所述用户的ACL表项，以及当用户申请释放IP地址或用户IP地址租期到期时，利用所述接口模块中的所述用户的用户信息，删除所述用户的ACL表项；

定时器，用于监控所述处理模块生成的所述用户的ACL表项的时间；

比较模块，用于在所述定时器到期时遍历绑定表，如果未在绑定表中找到所述用户的ACL表项对应的绑定表项，则通知所述处理模块删除所述用户的ACL表项；如果在绑定表中找到所述用户的ACL表项对应的绑定表项，则通知定时器重启。

由以上技术方案可以看出，由于本发明实施例提供的技术方案根据绑定表中的用户信息，生成或删除所述用户的ACL表项，因而能够不需要人工干预自动生成和删除ACL表项，避免手工配置ACL所耗费的巨大成本。

附图说明

图1为本发明方法实施例一的应用场景示意图；

图2为本发明方法实施例一中DHCP Server直接给DHCP Client分配IP地址的过程示意图；

图3为本发明提供的配置访问控制列表的方法实施例一的流程图；

图4为本发明方法实施例二的应用场景示意图；

图5为本发明方法实施例二、三中DHCP Server通过DHCP Relay给DHCPClient分配IP地址的过程示意图；

图6为本发明提供的配置访问控制列表的方法实施例二的流程图；

图7为本发明方法实施例三的应用场景示意图；

图8为本发明提供的配置访问控制列表的方法实施例三的流程图；

图9为本发明提供的配置访问控制列表的设备实施例的结构图。

具体实施方式

本发明实施例提供了一种配置访问控制列表的方法、设备及系统，能够不需要人工干预自动生成和删除ACL，避免手工配置ACL所耗费的巨大成本。

在本说明书中，绑定表指的是动态主机配置协议(DHCP)绑定表或动态主机配置协议侦听(DHCP Snooping)绑定表。

下面以DHCP绑定表为例，在本发明方法实施例一中进行详细说明。

图1为本发明方法实施例一的应用场景示意图，图中包括DHCP Server(服务器)和DHCP Clients(客户端)，二者直接相连，处于同一网络中。图2为本发明方法实施例一中DHCP Server直接给DHCP Client分配IP地址的过程示意图。Client首先向网内所有的DHCP Server发送一个DHCP DISCOVER的消息，等待DHCP Server的回答；收到消息后，DHCP Server返回一个DHCP OFFER的消息；Client接到第一个DHCP OFFER消息后向网内所有的DHCP Server发送一个DHCP REQUEST消息，这个消息里包括了提供OFFER包的DHCP Server的IP；收到DHCP REQUEST消息后，提供OFFER信息的DHCP Server发送给Client一个DHCP ACK消息，此时Client即获得IP地址。根据该图，可知当DHCP Server端发出DHCP_ACK报文时，即标志着IP地址分配过程的完成。此时，会在DHCP Server上生成一个IP地址的DHCP绑定表项，该绑定表项中包含了用户的IP地址和MAC地址以及该用户IP地址的租期。本发明方法实施例一中就是利用DHCP绑定表项中的用户信息来完成ACL表项的自动生成。

如图3所示，在本发明提供的一种配置访问控制列表的方法实施例一中，当用户向DHCP Server申请IP地址成功，在DHCP Server上生成该用户的DHCP绑定表项时，则：

301，获取生成的DHCP绑定表项中的用户信息，包括用户的IP地址、MAC地址以及IP地址租期等；

302，利用在301中获取的用户信息，在DHCP Server上生成该用户的ACL表项。

当用户向DHCP Server申请释放IP地址或DHCP Server发现用户的IP地址租期到期，在DHCP Server上删除该用户的DHCP绑定表项时，则

306，获取删除的DHCP绑定表项中的用户信息，包括用户的IP地址或MAC地址等；

307，在DHCP Server上删除该用户的ACL表项。具体而言，可以根据用户的IP地址或者MAC地址，遍历ACL表，找到该IP地址或者MAC地址对应的ACL表项，然后将其删除。

通过以上几个步骤，即能够实现ACL表的动态配置。

由于DHCP Server的处理能力或实际网络的原因，在动态生成ACL表项后，可能出现DHCP绑定表中已经将用户信息删除，而其对应的ACL表项并未删除的情况。为了解决这个问题，本发明的方法实施例一中，在302之后，还将作如下操作：

303，启动在302中生成的用户的ACL表项的定时器。

304，当定时器到期时，遍历DHCP绑定表，判断是否找到该用户的ACL表项对应的DHCP绑定表项，具体而言，可以根据ACL表项中用户的IP地址或者MAC地址，遍历DHCP绑定表，判断是否找到该IP地址或者MAC地址对应的DHCP绑定表项；如果判断的结果为是，则执行305；如果判断的结果为否，则执行307，即在DHCP Server上删除该用户的ACL表项；

305，重启定时器，并返回304；

这里，对303中的定时器的时间长度可以根据实际网络情况和设备的处理能力灵活进行配置，建议设为用户的IP地址租期的1/2，以便与DHCP绑定表的默认刷新时间保持一致。如此，较容易取得平衡，既不会在DHCP绑定表未更新时，频繁遍历浪费资源，也可以比较及时的解决用户的诸如QoS等需求。当然，在设备处理能力能够保证时，为了节约设备的资源也可以选择不启动定时器。

下面以DHCP Snooping绑定表为例，在本发明方法实施例二、三中进行详细说明。

图4为本发明方法实施例二的应用场景示意图，图中包括DHCP Server和DHCP Clients，以及DHCP Relay(DHCP中继)设备和IP网络，DHCP Clients通过DHCP Relay接入IP网络与DHCP Server相连接。图5为现有技术中DHCPServer通过DHCP Relay给DHCP Client分配IP地址的过程示意图。Client首先向网内广播发送一个DHCP DISCOVER的消息，DHCP Relay收到该消息后，将进行适当处理并转发给相应的DHCP Server，等待DHCP Server的回答；收到消息后，DHCP Server返回给DHCP Relay一个DHCP OFFER的消息，DHCP Relay将该消息转发给Client；Client收到DHCP Relay转发的DHCP Offer这个消息后向网内广播发送一个DHCP REQUEST消息，并通过DHCP Relay转发给相应的DHCP Server；DHCP Server收到DHCP Relay转发的DHCP REQUEST消息后，返回给DHCP Relay一个DHCP ACK的消息，DHCP Relay将该消息转发给Client，此时Client即获得IP地址。根据该图，可知当DHCP Relay转发出DHCPServer的DHCP_ACK报文时，即标志着IP地址分配过程的完成。

在这种组网中，为了实现ACL的动态配置，需要DHCP Relay设备支持并部署DHCP Snooping(DHCP侦听)功能。在具备该功能的DHCP Relay设备上，当用户IP地址分配过程完成时，会在DHCP relay设备上生成相应的DHCPSnooping绑定表项。该绑定表项中包含了用户的IP地址和MAC地址以及该用户IP地址的租期等。本发明方法实施例二中就是利用DHCP Snooping绑定表项中的用户信息来完成ACL的自动生成。

本发明方法实施例二的具体实施方式，如图6所示，其与本发明方法实施例一类似，不同之处就是需要将实施例一步骤中的DHCP Server相应替换为DCHP Relay，DCHP绑定表相应替换为DHCP Snooping绑定表，此处不再赘述。

图7为本发明方法实施例三的应用场景示意图，图中包括用户网络，交换机，二层网络，DHCP Relay，三层网络和DHCP Server。用户网络连接在交换机上接入二层网络，二层网络再通过DHCP Relay接入三层网络，最终与DHCPServer相连接。在这种网络中，用户的IP地址分配过程同样如图5所示。根据该图，可知当DHCP Relay转发出DHCP Server的DHCP_ACK报文时，即标志着IP地址分配过程的完成。在这种组网中，为了实现ACL表项的动态配置，与实施例二不同的是，需要交换机，而不是DHCP Relay设备，支持并部署DHCPSnooping功能。至于在交换机上动态配置ACL表项的具体实施方式，如图8所示，与实施例二类似，不同之处就是需要将DHCP Relay设备替换为交换机，此处不再赘述。

需要说明的是，虽然在本发明的方法实施例中，均是以在具备DHCP绑定表功能的设备上(如实施例一中的DHCP Server)或DHCP Snooping绑定表功能的设备上(如实施例二中的DHCP Relay，实施例三中的交换机)实现动态配置ACL，这只是较佳方式，并不说明其它设备不能够利用DHCP绑定表或DHCPSnooping绑定表来实现动态配置ACL。例如，在实施例一中，另有一台额外的设备，该设备利用本发明方法实施例的方法，获取DHCP Server上生成的DHCP绑定表或删除的DHCP绑定表的用户信息，同样能够动态配置ACL。在本发明的方法实施例中，利用了DHCP绑定表或DHCP Snooping绑定表，这同样是较佳方式，并不表明本领域的普通技术人员不能够使用其它绑定表来实现ACL的动态配置。此外，在获取绑定表中的用户信息时，可以根据需要进行获取，MAC地址及用户的IP地址租期并非必须获取，例如，动态配置基本ACL时，仅获取绑定表中用户的IP地址信息即可。

另外，本发明还提供了一种配置访问控制列表的设备实施例如图9所示，配置访问控制列表的设备900包括：

接口模块901，用于当用户申请IP地址成功时，获取绑定表中所述用户的用户信息，以及，当用户申请释放IP地址或用户IP地址租期到期时，获取绑定表中所述用户的用户信息；

处理模块902，用于当用户申请IP地址成功时，利用所述接口模块901中的所述用户的用户信息，生成所述用户的ACL表项，以及当用户申请释放IP地址或用户IP地址租期到期时，利用所述接口模块901中的所述用户的用户信息，删除所述用户的ACL表项。

此外，由于设备的处理能力或实际网络的原因，在设备900动态生成ACL表项后，可能会出现DHCP绑定表或DHCP Snooping绑定表中已经将用户的绑定表项删除，而其对应的ACL表项并未删除的情况。为此，设备900中还包括：

定时器903，用于监控所述处理模块902生成的所述用户的ACL表项的时间；建议设为用户的IP地址租期的1/2。

比较模块904，用于在所述定时器903到期时遍历绑定表，如果未在绑定表中找到所述用户的ACL表项对应的绑定表项，则通知所述处理模块902删除所述用户的ACL表项；如果在绑定表中找到所述用户的ACL表项对应的绑定表项，则通知定时器903重启。

当设备900处理能力能够保证时，为了节约设备的资源也可以选择不配置或不使用定时器903及处理模块904。

再者，本发明还提供了一种配置访问控制列表的系统，包括：

配置设备，所述配置设备与用户通信，用于动态配置所述用户的ACL，所述动态配置所述用户的ACL具体包括，

当用户申请IP地址成功时，根据绑定表中所述用户的用户信息，生成所述用户的ACL表项；

当用户申请释放IP地址或用户IP地址租期到期时，根据绑定表中所述用户的用户信息，删除所述用户的ACL表项。

本发明提供的配置访问控制列表的设备及系统实施例的具体运作方式，可参考上文描述的本发明提供的配置访问控制列表的方法实施例，在此不再详细描述。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质可以是ROM/RAM，磁盘或光盘等。

以上对本发明所提供的一种配置访问控制列表的方法、设备及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (6)

1.一种配置访问控制列表的方法，其特征在于，包括：

当用户申请IP地址成功时，根据绑定表中所述用户的用户信息，生成所述用户的访问控制列表ACL表项；

当用户申请释放IP地址或用户IP地址租期到期时，根据绑定表中所述用户的用户信息，删除所述用户的ACL表项；

当生成所述用户的ACL表项时，启动所述用户的ACL表项的定时器，当定时器到期时，遍历绑定表，并作如下操作，

如果未在绑定表中找到所述用户的ACL表项对应的绑定表项，则删除所述用户的ACL表项；

如果在绑定表中找到所述用户的ACL表项对应的绑定表项，则重启定时器。

2.根据权利要求1所述的方法，其特征在于，所述定时器的时间长度为所述用户的IP地址租期的1/2。

3.根据权利要求1或2所述的方法，其特征在于所述绑定表指的是动态主机配置协议DHCP绑定表或动态主机配置协议侦听DHCP Snooping绑定表。

4.一种配置访问控制列表的设备，其特征在于，包括：

接口模块(901)，用于当用户申请IP地址成功时，获取绑定表中所述用户的用户信息，以及，当用户申请释放IP地址或用户IP地址租期到期时，获取绑定表中所述用户的用户信息；

处理模块(902)，用于当用户申请IP地址成功时，利用所述接口模块(901)中的所述用户的用户信息，生成所述用户的ACL表项，以及，当用户申请释放IP地址或用户IP地址租期到期时，利用所述接口模块(901)中的所述用户的用户信息，删除所述用户的ACL表项；

定时器(903)，用于监控所述处理模块(902)生成的所述用户的ACL表项的时间；

比较模块(904)，用于在所述定时器(903)到期时遍历绑定表，如果未在绑定表中找到所述用户的ACL表项对应的绑定表项，则通知所述处理模块(902)删除所述用户的ACL表项；如果在绑定表中找到所述用户的ACL表项对应的绑定表项，则通知定时器(903)重启。

5.根据权利要求4所述的设备，其特征在于所述定时器(903)的时间长度为所述用户的IP地址租期的1/2。

6.根据权利要求4或5所述的设备，其特征在于，所述绑定表指的是DHCP绑定表或DHCP Snooping绑定表。

Images