CN101515868A - 一种网络权限管理方法、装置和系统 - Google Patents

Abstract

本发明公开了一种网络权限管理方法、装置和系统，涉及电信网络技术，能够使终端随时随地对被管理帐号进行管理，实现了对被管理帐号方便、灵活地管理。本发明实施例提供的一种网络权限管理方法包括：终端通过网络管理系统接收被管理账号的管理请求；所述终端向绿色上网系统发送指令对被管理帐号进行管理。本发明适用于任何需要监控账号的场景。

Description

一种网络权限管理方法、装置和系统

技术领域

本发明涉及电信网络技术，尤其涉及一种网络权限管理方法、装置和系统。

背景技术

随着电脑和宽带网络的普及，家庭上网用户越来越多，学生通过家庭宽带网络，可以开阔视野、加强对外交流、促进个性发展、开拓了教育的空间。但是，大量含有色情、暴力、反动等不良信息的网页充斥着整个网络空间，并且愈演愈烈，使学生的身心健康受到威胁，甚至诱发青少年犯罪。另外，众多学生长期沉湎于网络中，不计时间的上网，会导致精神和躯体上产生各种病症，影响健康成长，这已成为学生家长颇为头疼的问题。

为了杜绝学生访问不良网站，应运而生的是绿色上网技术，通过绿色上网技术可以有效地控制学生在家上网的时间并限制其对不良网站的访问。

绿色上网业务可以通过“父子帐号”的形式实现，用户原有的上网帐号作为父账号，为父账号生成子帐号，通过对子帐号的设置，可实现对子帐号访问互联网时不同权限的定制。

父子帐号具有两级不同的访问权限，使用父帐号上网与普通宽带用户一样，没有任何访问权限控制，而通过子帐号上网则会被限制访问含有不良信息的网站。子帐号禁止访问的网址类别由父帐号管理设定，可通过登录自助服务系统自行选择不希望子帐号访问的分类/网站，并可设定允许子帐号上网的时间段。

在实现本发明的过程中，发明人发现现有技术中至少存在如下问题：父账号对子帐号的管理是一种静态的在线管理方式，父账号如果想调整子帐号的权限，必须上网，登录自助服务系统后才能进行调整，这种管理方式存在对管理时间和地点的限制，带来诸多不便，例如，因特网上的网页数量巨大，家长很难一次性的屏蔽掉所有不良网页；且孩子上网的需求也会随时发生变化，如临时性的访问某个被限制的网页，目前绿色上网系统的静态在线管理方式，不能满足这种需求，也无法避免不良网页中的漏网之鱼，这种静态的在线管理方式不能方便、灵活地对子帐号进行管理，亟待改善。

发明内容

为解决现有技术中存在的问题，本发明的实施例提供了一种网络权限管理方法、装置和系统，能够随时随地对被管理帐号进行管理，不受时间和地点的限制。

为达到上述目的，本发明的实施例采用如下技术方案：

一种网络权限管理方法，所述方法包括：

终端通过网络管理系统接收被管理账号的管理请求；

所述终端根据所述管理请求向网络管理系统发送指令，利用所述网络管理系统对所述被管理账号的权限进行管理。

一种网络权限管理装置，所述装置包括：

发送单元，用于向终端发送被管理账号的管理请求；

管理单元，用于接收终端根据来自所述发送单元的管理请求所发送的指令，利用所述指令对所述被管理账号的权限进行管理。

一种网络权限管理系统，所述系统包括终端和网络权限管理装置，

所述网络权限管理装置，用于将被管理账号的管理请求发送给终端；

所述终端，用于根据所述管理请求向所述网络权限管理装置发送指令，利用所述网络权限管理装置对所述被管理账号的权限进行管理。

本发明实施例提供的技术方案，通过将终端和被管理帐户进行绑定，利用终端发送的指令对被管理帐号进行管理，用户只需携带该终端，即可对被管理帐号进行实时管理，且终端可以在离线状态下对被管理帐号进行管理，即可对被管理帐号进行离线管理，解决了现有技术中对帐号进行管理时，必需必须上网且登录自助服务系统所带来的问题。本发明实施例的技术方案，能够随时随地对被管理帐号进行管理，不受时间和地点的限制，从而实现了对被管理帐号方便、灵活地管理。

附图说明

图1为本发明实施例提供的一种绿色上网系统实现方式示意图；

图2为本发明实施例一提供的网络权限管理方法流程示意图；

图3为本发明实施例二提供的网络权限管理方法流程示意图；

图4为本发明实施例三提供的网络权限管理方法流程示意图；

图5为本发明实施例四提供的一种网络权限管理装置结构示意图；

图6为本发明实施例四提供的另一种网络权限管理装置结构示意图；

图7为本发明实施例五提供的一种网络权限管理系统结构示意图。

具体实施方式

为了更清楚地说明本发明实施例的技术方案，下面将结合附图对本发明的实施例进行详细的介绍，下面的描述仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些实施例获得本发明的其他的实施方式。

本发明实施例的网络权限管理方法，可应用于绿色上网系统，但不局限于此，也可应用于各种需要监控账号的场景，例如，企事业单位的分级限制上网等。

本发明实施例中的绿色上网业务是一种电信宽带增值业务，是为保护未成年人的健康成长提供的一种必要的技术手段。绿色上网系统通过策略路由、设置管理账号与被管理账号，如父账号与子账号，实现了对绝大部分色情、暴力、贩毒、邪教、成人、聊天、交友等信息的过滤，同时还可以关闭掉主要的即时通信应用(如QQ)、有害的网络游戏等，并能禁止孩子在搜索引擎中使用敏感关键字进行检索。绿色上网系统具有无须安装软件、操作简便、不影响上网速度和家长网络访问权限等特点。

本发明实施例提供的对被管理帐号权限进行控制的绿色上网系统，可通过如下方式实现，下面对该方式进行简单说明：

这种方式是采用截断模式结合内容过滤来实现，如图1所示，在对用户的IP包进行合法性检查时，先需要对用户的数据流进行分类，分成普通用户数据流和绿色上网用户数据流(即需要限制用户权限的数据流)。截断模式下绿色上网系统主要采用L2TP汇集“绿色上网”用户的数据，这些用户的数据经过汇集后，被送入过滤系统进行检查，最后再被送入Internet；而普通用户的数据流，不会被送入绿色上网系统做检查。

采用L2TP时，需要用户网关设备支持L2TP特性，此外，需要一台专门的网络设备，来承担L2TP的LNS功能。对于申请了绿色上网的用户，Radius Server会指定该用户属于绿色(green)域，同时LNS分配相应的IP地址给这些用户，所有的绿色上网用户的数据都将穿过LNS送入绿色上网系统做合法性检查，合法的超文本传输协议(Http)访问请求将被送到上层网络中，非法Http访问请求将得到一个Http重定向响应(即用户将得到一个“警告”页面)，非法的TCP/UDP应用请求将被绿色上网系统拦截。

下面对本发明实施例的技术方案进行描述时，主要以其应用在绿色上网系统中的场景为例进行说明，即这时的网络管理系统为绿色上网系统。

本发明实施例一提供的网络权限管理方法，如图2所示，所述方法包括：

步骤21：终端通过网络管理系统接收被管理账号的管理请求。

被管理帐号通过网络管理系统(这里为绿色上网系统，以下皆同)向终端发送管理请求。

所述被管理账号为需要进行权限控制的账号，在本发明实施例中，将该碑被管理帐号与相应的终端进行绑定，例如，被管理账号为子帐号时，将终端与子帐号进行绑定，管理账号(如父账号)和终端都可以对相应的子账号的权限进行管理；被管理账号也可以为现有的父账号，例如，终端与父账号进行绑定，终端对父账号和该父账号对应的子帐号进行管理，这时，父账号和子帐号都为该终端的被管理账号，接受终端的管理，而终端可以视为管理账号。

在描述本发明实施例提供的技术方案时，主要以被管理账号为子帐号，将终端与子帐号进行绑定，管理账号(如父账号)和终端都可以对该子账号进行管理的情况为例进行说明，但并不局限于此，包括任何适合的绑定方式，以通过绑定的终端对相应账号进行管理。相同描述同样适用于下述的相关内容。

管理账号，如父账号，可以对应一个或多个被管理账号，如子帐号，父账号和子帐号之间存在对应关系，例如，子帐号由父帐号+@green组成，在家庭中开通绿网业务后，电信公司会给用户分配一个子帐号，子帐号形式为：“原ADSL帐号@green”，如ADSL业务的帐号为“12345678”，则分配的子帐号为：“12345678@green”。新分配的子帐号及密码供孩子上网使用，上网访问受到限制，家长上网仍使用原ADSL业务帐号及密码，上网访问不受任何限制。

可以将终端，如手机，与需要进行管理的子帐号直接进行绑定，对该子帐号进行管理；也可将终端与上述子帐号对应的父账号进行绑定，通过父账号与子帐号的对应关系，获取子帐号，对该子帐号进行管理。对终端与被管理帐号绑定的方式不进行限制，例如，可由网络运营商维护一个终端与被管理帐号的对应的关系，将终端的专有信息，如入网号码或手机号码等与被管理帐号进行绑定。

对不存在父账号的情况，例如，不采用类似上述的父子账号生成方式，直接对若干个账号进行权限管理时，将这些账号作为子帐号，将终端与该子帐号进行绑定，将终端视为这些子帐号的管理账号。

步骤22：所述终端根据所述管理请求向网络管理系统发送指令，利用所述网络管理系统对所述被管理账号的权限进行管理。

终端可根据需要，主动发送指令对子帐号进行实时管理，如家长发现一个未禁止的不良网站，主动向绿色上网系统发送指令进行禁止该网站；终端也可根据绿色上网系统发送的被管理帐号的管理请求进行管理，例如，孩子临时需要在某段被禁止的时间内访问网页，向绿色上网系统发送管理请求，如提升权限请求，绿色上网系统将该提升权限请求发送给终端，终端根据接收到的提升权限请求对子帐号进行相应的管理。

本发明实施例一提供的技术方案，通过将终端和被管理帐户进行绑定，利用终端发送的指令对被管理帐号进行管理，用户只需携带该终端，即可对被管理帐号进行实时管理，且终端可以在离线状态下对被管理帐号进行管理，即可对被管理帐号进行离线管理，解决了现有技术中对子帐号进行管理时，必需必须上网且登录自助服务系统所带来的问题。本发明实施例一的技术方案，能够随时随地对被管理帐号进行管理，不受时间和地点的限制，可以方便、灵活地对被管理帐号进行管理。

本发明实施例二通过一个具体的应用场景对本发明提供的网络权限管理方法进行说明。参见图3，在本发明实施例二中为了加强对子帐号(被管理账号)的控制能力，提高对不良网站等的过滤粒度，采用规则匹配方式对子帐号的访问信息(如访问请求或访问内容)进行匹配，例如，利用深度报文检测(DeepPackage Inspection，DPI)对访问请求或者访问内容进行规则匹配，具体规则的设置可根据管理的需要，不同的匹配结果对应不同的行为，可选的行为包括拒绝访问、允许访问和需要授权等，例如，该规则可设置为当访问请求或者访问内容包含某个关键字时，拒绝该请求；或对某类IP地址进行屏蔽；或拒绝某个时间段内的访问请求等。如图3所示，具体包括如下步骤的处理：

(1)、子帐号向绿色上网系统发送访问请求，如Http Get请求，请求访问某个页面；

通过绿色上网系统将子帐号的访问请求转发至相应终端，可选的，绿色上网系统在发送该访问请求之前，会对子帐号的访问请求进行规则匹配，例如，绿色上网系统维护一个与该子帐号相应的白名单/黑名单数据库，利用访问控制列表(ACL)对该访问请求进行匹配，判断要访问网页的类型，例如，该访问请求所请求访问的页面是属于白名单或黑名单等。

如果需要访问的页面属于黑名单，绿色上网系统直接拦截该请求，向子帐号返回一个警告消息或者拒绝页面，如405 Forbidden消息；如果需要访问的页面属于白名单，或者既不属于白名单，也不属于黑名单，绿色上网系统将该访问请求转发至网页服务器。

(2)、网页服务器(Web Server)根据接收到的访问请求返回应答消息，如200 OK消息；

网页服务器接收到访问请求之后，返回应答消息，该应答消息中携带有子帐号要访问网页的访问内容。

(3)、绿色上网系统将应答消息重定向到规则匹配模块(例如：DPI模块)进行规则匹配；

在本发明实施例中，绿色上网系统对子帐号的访问内容进行规则匹配。

可选的，本发明实施例中的绿色上网系统的规则匹配模块可以采用DPI模块对子帐号的访问内容进行规则匹配，但不局限于此，例如，也可采用ACL模块按照ACL方式进行匹配。

(4)、规则匹配模块将匹配结果返回给绿色上网系统，该匹配结果可以包括拒绝访问、允许访问和需要授权；

例如，当访问内容中包含被禁止的关键字，如色情、暴力等，匹配结果设置为拒绝访问；当访问内容的访问时间不属于预定时间段时，匹配结果为需要授权。

(5)、绿色上网系统根据不同的匹配结果采取不同的动作：

(5a)、匹配结果如果是允许访问，则绿色上网系统将应答消息发送给子帐号，同时更新子帐号的权限，例如：将该网页加入到白名单(即允许该子帐号访问的网页名单)；

(5b)、匹配结果如果是拒绝访问，则绿色上网系统给子帐号返回一个警告消息或者拒绝页面，如405 Forbidden消息，同时更新子帐号的权限，例如：将该网页加入黑名单(即拒绝该子帐号访问的网页名单)；在后续访问该网页时，绿色上网系统根据子帐号的访问请求，发现要访问的网页属于黑名单，则直接拒绝该访问请求，结束操作；

(5c)、匹配结果如果是需要授权，则绿色上网系统给子帐号返回一个需要授权的消息或页面，如权限提升页面；

(6)、子帐号可通过该权限提升页面向绿色上网系统发送管理请求，如提升权限请求。

(7)、绿色上网系统判断父账号是否在线，如果父帐号在线，绿色上网系统则直接向父帐号(如家长)推送一个管理请求页面，让父帐号选择是否允许子帐号访问相应的网页；

在本发明实施例二中，为了充分利用资源，简化管理操作，当父账号在线时，采用了利用在线的父账号进行管理的方式。显而易见的，步骤7为可选的步骤，可以利用终端对子帐号的权限进行调整。

对不存在父账号的情况，则不执行步骤7直接跳至步骤9。

这里的父账号在线，指父账号成功登陆网络，父帐号在线时，绿色上网系统向父账号推送管理请求页面，父账号通过推送的管理请求页面，对子账号的权限进行调整，父账号无需登陆绿色上网系统的自助服务系统即可对子帐号进行管理；

(8)、父账号将对管理请求页面的选择应答反馈给绿色上网系统；

(9)、如果父帐号不在线，绿色上网系统判断与账号绑定的终端，如手机，是否在线，利用该终端对子帐号进行管理：

网络运营商会记录终端的运行状态信息，如终端是否接入网络等，绿色上网系统可通过终端的运行状态信息来判断终端是否在线。

(9a)、终端离线时，绿色上网系统则向该绑定的终端发送管理请求信息(如短信/彩信)，让终端选择是否允许子帐号访问相应的网页；

(9b)、终端(例如：家长)发送信息(例如：短信/彩信)将选择应答反馈给绿色上网系统；

(9c)、终端在线时，绿色上网系统则直接向该终端推送一个管理请求页面，让终端选择是否允许子帐号访问相应的网页；

(9d)、终端通过该管理请求页面，选择允许子帐号访问的页面，调整子帐户的权限，将选择应答反馈给绿色上网系统；

由上述可知，根据终端的状态不同，采用具体处理方式也不同。当终端离线时，采用上述步骤9a和步骤9b对子帐号的权限进行调整；当终端在线时，采用上述步骤9c和9d对子帐号的权限进行调整。

(10)、绿色上网系统根据父账号或终端的反馈结果，对子帐号的权限进行调整。

例如，当反馈结果为拒绝访问时，将相应的网页添加到黑名单中，同时也可以对该网页在黑名单中的时间设置一定的限制，当超出该时间限制时，该网页不再属于黑名单中，子帐户需要访问该网页时，重复执行上述步骤1至步骤9；当反馈结果为允许访问时，则将相应的网页添加到白名单中，同时也可以该网页在白名单中的时间设置一定的限制，当超出该时间限制时，该网页不再属于白名单中，子帐户需要访问该网页时，重复执行上述步骤1至步骤9；

(11)、绿色上网系统向子帐号发送提升权限应答，例如，允许/拒绝子帐号访问请求的网页，或允许/拒绝子帐号在某段时间访问网页。

上述的本发明实施例二主要对终端接收到管理请求后，对子帐号的管理进行了说明，本发明实施例三提供的绿色上网管理方法主要对终端主动对子帐号进行管理的情况进行说明，对子账号的管理包括调整子帐号的权限、调整匹配规则等，如图4所示，可以包括如下步骤的处理：

对子帐号权限的调整：

(1)终端通过发送信息的方式对子帐号的权限进行调整，例如，终端(如手机)主动发送信息(包括彩信/短信)调整子帐号权限，所述信息可以包含：允许/拒绝的网页地址/名称，或者允许/拒绝上网的时间段，或者需要屏蔽的关键词等等；

(2)、绿色上网系统根据上述信息的内容调整子帐号权限；

对匹配规则的调整：

(3)终端通过发送信息的方式对匹配规则进行调整，例如，终端(如手机)主动发送信息(包括彩信/短信)调整匹配规则，所述信息可以包括：对允许/拒绝上网的时间段的规定，对允许/拒绝的网页地址/名称的规定等等。

(4)、绿色上网系统的规则匹配模块根据上述信息更新匹配规则。

当采用规则匹配模块(例如：DPI模块)进行规则匹配时，如图4所示，绿色上网系统将上述信息发送至规则匹配模块，规则匹配模块根据该信息对匹配规则进行相应的调整，更新匹配规则。

图4及上述描述只是示例性地给出了终端主动发起进行的一些操作，但并不局限于此，例如，终端还可以主动发送信息查询子帐号的上网记录、上网费用等。

本发明实施例四提供了一种网络权限管理装置，如图5所示，所述装置包括：

发送单元51，用于向终端发送被管理账号的管理请求；

管理单元52，用于接收终端根据来自所述发送单元51的管理请求所发送的指令，利用所述指令对所述被管理账号的权限进行管理。

进一步的，如图6所示，上述装置还包括：

绑定单元53，用于将所述终端与所述被管理帐号进行绑定。

匹配单元54，用于将被管理帐号的访问信息与当前的匹配规则进行匹配；

发送单元51，还用于根据匹配单元54的匹配结果向终端发送被管理帐号的管理请求，以使终端根据该管理请求，对被管理帐号发送指令进行管理；

所述发送单元51，还用于当终端在线时，通过发送管理请求页面发送所述管理请求为管理请求页面，所述在线终端通过所述管理请求页面向所述管理单元52发送指令对被管理账号进行管理；

所述发送单元51，还用于当终端离线时，所述管理请求为管理请求信息，所述离线终端根据所述管理请求信息向所述管理单元52发送响应信息对被管理账号进行管理，所述管理请求信息或响应信息包括短信和彩信。

上述绿色上网管理装置中各功能模块的具体工作方法可参见本发明的方法实施例。

本发明实施例五提供了一种网络权限管理系统，所述系统包括终端71和网络权限管理装置72，

所述网络权限管理装置72，用于将被管理账号的管理请求发送给终端71；

所述终端71，用于根据所述管理请求向所述网络权限管理装置72发送指令，利用所述网络权限管理装置72对所述被管理账号的权限进行管理。

进一步的，所述网络权限管理装置72还用于将所述终端与该网络权限管理装置进行绑定。

上述网络权限管理系统中各功能模块的具体工作方法可参见本发明的方法实施例。

由上所述，本发明实施例提供的技术方案，通过将终端和帐户进行绑定，利用终端发送的指令对被管理帐号进行管理，用户只需携带该终端，即可对被管理帐号进行实时管理，且终端可以在离线状态下对被管理帐号进行管理，即可对被管理帐号进行离线管理，解决了现有技术中对子帐号进行管理时，必需必须上网且登录自助服务系统所带来的问题。本发明实施例的技术方案，能够随时随地对被管理帐号进行管理，不受时间和地点的限制，从而实现了对被管理帐号方便、灵活地管理。

本领域普通技术人员可以理解实现上述实施例中的全部或部分步骤，可以通过程序指令相关硬件完成。所述实施例对应的软件可以存储在一个计算机可存储读取的介质中。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1、一种网络权限管理方法，其特征在于，所述方法包括：

终端通过网络管理系统接收被管理账号的管理请求；

所述终端根据所述管理请求向网络管理系统发送指令，利用所述网络管理系统对所述被管理账号的权限进行管理。

2、根据权利要求1所述的方法，其特征在于，在所述终端通过网络管理系统接收被管理账号的管理请求之前还包括：

将所述终端与所述被管理帐号进行绑定。

3、根据权利要求1所述的方法，其特征在于，所述终端通过网络管理系统接收被管理账号的管理请求包括：

所述终端在线时，所述终端通过管理请求页面接收所述管理请求；或者，

所述终端离线时，所述终端通过管理请求信息接收所述管理请求。

4、根据权利要求3所述的方法，其特征在于，所述终端根据所述管理请求向网络管理系统发送指令，利用所述网络管理系统对所述被管理账号的权限进行管理包括：

所述在线终端通过所述管理请求页面向网络管理系统发送指令，利用所述网络管理系统对所述被管理账号的权限进行管理；或者，

所述离线终端通过所述管理请求信息向网络管理系统发送响应信息，利用所述网络管理系统对所述被管理账号的权限进行管理，所述管理请求信息或响应信息包括短信和彩信。

5、根据权利要求1所述的方法，其特征在于，在所述终端通过网络管理系统接收被管理账号的管理请求之前还包括：

网络管理系统将被管理帐号的访问信息与当前的匹配规则进行匹配；

网络管理系统根据匹配结果发送所述管理请求。

6、根据权利要求5所述的方法，其特征在于，所述方法还包括：

当所述匹配结果为需要授权时，网络管理系统发送所述管理请求。

7、一种网络权限管理装置，其特征在于，所述装置包括：

发送单元，用于向终端发送被管理账号的管理请求；

管理单元，用于接收终端根据来自所述发送单元的管理请求所发送的指令，利用所述指令对所述被管理账号的权限进行管理。

8、根据权利要求7所述的装置，其特征在于，还包括：

绑定单元，用于将所述终端与所述被管理帐号进行绑定。

9、根据权利要求7所述的装置，其特征在于，还包括：

匹配单元，用于将被管理帐号的访问信息与当前的匹配规则进行匹配；

所述发送单元，还用于根据所述匹配单元的匹配结果向终端发送被管理帐号的管理请求。

10、根据权利要求7所述的装置，其特征在于，还包括：

所述发送单元，还用于当所述终端在线时，通过发送管理请求页面发送所述管理请求；所述在线终端通过所述管理请求页面向所述管理单元发送指令对被管理账号的权限进行管理；或者，

所述发送单元，还用于当所述终端离线时，通过发送管理请求信息发送所述管理请求，所述离线终端根据所述管理请求信息向所述管理单元发送响应信息对被管理账号的权限进行管理，所述管理请求信息或响应信息包括短信和彩信。

11、一种网络权限管理系统，其特征在于，所述系统包括终端和网络权限管理装置，

所述网络权限管理装置，用于将被管理账号的管理请求发送给终端；

所述终端，用于根据所述管理请求向所述网络权限管理装置发送指令，利用所述网络权限管理装置对所述被管理账号的权限进行管理。

12、根据权利要求11所述的系统，其特征在于，所述网络权限管理装置还用于将所述终端与该网络权限管理装置进行绑定。

Images