CN101582882B - 一种接入方法、网络系统和装置 - Google Patents

Abstract

本发明实施例公开了一种接入方法、网络系统和装置，所述接入方法包括：接收来自端点的身份标识，所述身份标识中包括所述端点的安全域信息；根据所述端点的安全域信息，获取所述端点的安全状态；根据所述端点的安全状态，对所述端点做出合适的访问控制决策。本发明实施例实现了根据端点发送的安全域信息，确定该端点的安全域，获取该端点的安全状态，并根据该端点的安全状态，进行后续的接入决策，可以很好地把本地可信网络连接流程和联合可信网络连接流程衔接在一起。

Description

一种接入方法、网络系统和装置 

技术领域

本发明涉及网络通信技术领域，特别涉及一种接入方法、网络系统和装置。 

背景技术

TNC(Trusted Network Connect，可信网络连接)标准定义了一个开放的架构，使网络运营者能够实施与端点安全状态相关的策略，以决定是否允许该端点接入网络。TNC架构中的实体有AR(Access Requestor，接入请求者)、PEP(Policy Enforcement Point，策略执行点)、流量控制器和传感器、MAP(Metadata Access Point，元数据访问点)和PDP(Policy DecisionPoint，策略决策点)。当AR请求接入一个受保护的网络，PDP把AR的信任状(如用户证书，密码等)和关于自身安全状态的信息与特定的网络接入策略相对比，然后决定是否网络接入应该授权给AR。如果一个PEP是存在的，那么PDP将该PCP的决策传给PEP，PEP负责同意或拒绝接入。 

FTNC(Federated Trusted Network Connect，联合可信网络连接)定义了ASD(Asserting Security Domain，断言安全域)与RSD(Relying SecurityDomain，依赖安全域)之间交互的消息，当端点要访问的网络域RSD无法或无权评估端点的状态时，需要通过拥有评估端点权限的网络域ASD(AssertingSecurity Domain，断言安全域)来间接评估端点。 

现有技术中，FTNC分为“Network Assessment Profile”和“Web AssessmentProfile”两种模式，Network Assessment Profile模式允许网络运营者根据端点的安全状态信息对端点接入网络出接入控制。 

认证期间，SP(Service Provider，服务提供者)必须给ASD的Radius服务器发送RADIUS Access-Request消息，并且消息里面可以包含属性请求者和IF-FTNC协议版本等属性信息。

ASD的Radius服务器成功认证端点身份后，必须向SP返回RadiusAccess-Accept消息，该消息里包含端点的Name ID、端点的属性权威和IF-FTNC协议版本等属性信息。SP向端点的SAML(Security Assertion MarkupLanguage，安全断言标记语言)属性权威请求断言。在获得断言之后，SP依据获取的断言，对端点访问网络做出合适的授权。 

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：现有技术在端点向网络发送接入请求时，被请求接入的网络并不能判断端点属于哪个ASD，缺乏一个统一的用来识别端点ASD的机制，在当今各类网络互通、融合的趋势下，会对该技术的可行性造成一定影响。 

发明内容

本发明实施例提供一种接入方法、网络系统和装置，以实现根据端点的身份标识，确定端点的安全域，进行接入。 

为达到上述目的，本发明实施例一方面提供一种接入方法，包括： 

接收来自端点的身份标识，所述身份标识中包括所述端点的安全域信息； 

根据所述端点的安全域信息，获取所述端点的安全状态； 

根据所述端点的安全状态，对所述端点做出合适的访问控制决策。 

另一方面，本发明实施例还提供一种接入方法，包括： 

向服务提供者发送端点的身份标识，所述身份标识中包括所述端点的安全域信息，以使所述服务提供者根据所述端点的安全域信息，获取所述端点的安全状态，根据所述端点的安全状态，对所述端点做出访问控制决策。 

另一方面，本发明实施例还提供一种网络系统，包括： 

端点，用于向服务提供者发送身份标识，所述身份标识中包括所述端点的安全域信息； 

服务提供者，用于接收来自所述端点的身份标识，根据所述端点的安全域信息，获得所述端点的安全状态，根据所述端点的安全状态，对所述端点做出合适的访问控制决策。 

再一方面，本发明实施例还提供一种服务提供者，包括： 

接收模块，用于接收来自端点的身份标识，所述身份标识中包括所述端点的安全域信息； 

获取模块，用于根据所述端点的安全域信息，获取所述端点的安全状态； 

决策模块，用于根据所述获取模块获取的安全状态，对所述端点做出合适的访问控制决策。 

与现有技术相比，本发明实施例具有以下优点：通过本发明实施例，服务提供者接收来自端点的身份标识，获得该端点的安全状态，并根据该端点的安全状态，对该端点做出合适的访问控制决策。从而实现了根据端点发送的安全域信息，确定该端点的安全域，获得该端点的安全状态，并根据该端点的安全状态，进行后续的接入决策，可以很好地把本地可信网络连接流程和联合可信网络连接流程衔接在一起。 

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。 

图1为本发明实施例一种接入方法的流程图； 

图2为本发明实施例另一种接入方法的流程图； 

图3为本发明实施例采用IEEE 802.1x接入控制协议进行接入的流程图； 

图4为本发明实施例一种网络系统的结构图； 

图5为本发明实施例一种服务提供者的结构图； 

图6为本发明实施例另一种服务提供者的结构图。 

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有 做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。 

本发明实施例提供一种接入方法，可以应用于可信网络连接TNC或联合可信网络连接FTNC架构中，在端点请求接入网络时，网络能够根据端点提供的安全域信息，快速准确地确定端点的安全域，如果端点的安全域属于本地网络，则按照本地网络的策略进行接入决策，例如：触发本地可信网络连接流程；如果端点的安全域不属于本地，则进行联合可信网络连接流程，并通过安全域的信息，例如：安全域的域名信息，寻找该端点的安全域并建立连接。 

如图1所示，为本发明实施例一种接入方法的流程图，包括： 

步骤S101，接收来自端点的身份标识，该身份标识中包括该端点的安全域信息。 

步骤S102，根据端点的安全域信息，获取该端点的安全状态。 

本发明实施例中，在接收到端点发送的安全域信息之后，服务提供者根据该端点的安全域信息确定该端点是否为本地端点，如果该端点不是本地端点，则进行联合可信网络连接流程；如果该端点为本地端点，则触发本地可信网络连接流程。 

当该端点不是本地端点时，根据该端点的安全域信息，获得该端点的安全状态具体可以为： 

根据端点的安全域信息，请求该端点的安全域对该端点进行身份认证，在该端点的安全域对该端点的身份认证成功之后，从该端点的安全域获得信息，根据上述信息获得该端点的安全状态。 

在具体实施过程中，服务提供者可以根据端点的安全域信息，将该端点发送的请求消息向该端点的安全域发送，请求该端点的安全域对该端点进行身份认证。在该端点的安全域对该端点的身份认证成功之后，接收该端点的安全域返回的消息，该消息包括该端点的属性权威信息，根据该端点的属性权威信息，向该端点的属性权威请求该端点的安全断言，根据该端点的安全断言获得端点的安全状态。其中，该端点的属性权威可以在该端点的安全域内，也可以在该端点的安全域之外。 

步骤S103，根据端点的安全状态，对该端点做出合适的访问控制决策。 

本发明实施例中的安全域能够提供端点属性权威信息，或者能直接对端点进行安全评估并提供端点属性信息；安全域可以由一个网络设备或逻辑功能单元，或者若干个网络设备或逻辑功能单元组成，可以是硬件或软件实现，可以部署在网络侧。 

本发明实施例中的安全状态包括但不限于端点的安全评估状态等级，或端点的接入控制建议或端点具体的安全状态信息，例如：OS(OperatingSystem，操作系统)版本、补丁安装，防火墙/AV软件的版本等情况。 

上述接入方法，服务提供者接收来自端点的身份标识，并根据该身份标识中包含的端点的安全域信息，确定该端点的安全域，获得该端点的安全状态，并根据该端点的安全状态，对该端点的请求进行接入决策。从而实现了把本地可信网络连接流程和联合可信网络连接流程很好地衔接在一起。 

本发明实施例中，端点的安全域信息包含在身份标识中，从此身份标识中，被接入的网络既能获取端点本身的身份也能获取端点安全域的域名信息。端点请求接入网络时，端点发送的请求消息中包括身份标识，通过该身份标识，网络可以快速而准确地判断该端点的安全域是否在本地网络中，从而确定该端点是否为本地端点，进而触发后续的流程。 

在本发明以下实施例的描述中，TNC服务器指网络中可以对端点进行安全评估的服务器，是一个逻辑组件，适用于所有类别的网络。根据网络的安全策略要求，可以在该网络内执行访问控制决策的设备例如：AAA(Authentication Authorization and Accounting，认证、鉴权和计费)服务器中，部署一个执行端点安全评估的服务器。端点可以是指那些寻求接入网络的终端设备，包括固定终端(如计算机)和移动终端(如智能手机)等，也可以是接入设备(如无线访问点和基站)或转发设备(如路由器和交换机)等。端点的安全域可以对端点的安全状态进行评估，在以下实施例的描述中以ASD为例进行说明。 

在FTNC的应用场景中，假设端点所请求的服务提供者是不能直接对端点进行安全评估的，即服务提供者一般可以位于RSD内，服务提供者可以为 网络接入服务的提供者，可以由一个网络设备或逻辑功能单元，或者若干个网络设备或逻辑功能单元组成，可以是硬件或软件实现，例如：网络接入提供商、小区宽带接入提供商或企业网接入控制服务器；还可以为应用服务器，如Web服务器等。服务提供者可以部署在网络侧。 

如图2所示，为本发明实施例另一种接入方法的流程图，可以应用于可信网络连接TNC或联合可信网络连接FTNC架构中，本实施例中的身份标识采用IETF(Internet Engineering Task Force，因特网工程任务组)标准组织发布的NAI(IETF RFC 4282-Network Address Identifier，网络地址标识)格式。具体包括： 

步骤S201，端点向服务提供者(Service Provider)发送访问请求。在端点所发送的请求消息中，包含NAI格式的身份标识。 

步骤S202，服务提供者确定该端点是否为本地端点。 

如果端点发送的NAI格式的身份标识中没有“@realm”字段，或者该身份标识中有“@realm”字段，并且与服务提供者的域名一致，那么服务提供者就可以确定该端点是一个本地端点，并进行本地端点的接入控制措施(如触发TNC流程对端点进行安全评估)。否则，服务提供者执行步骤S203进行FTNC流程。 

步骤S203，ASD对端点身份进行认证。 

FTNC流程开始后，需要由ASD对端点进行身份认证。在ASD对端点进行身份认证期间，服务提供者必须把Radius Access-Request消息发送给ASD的Radius服务器，该Radius Access-Request消息里包含端点的属性权威和IF-FTNC协议版本。根据NAI格式的身份标识，服务提供者可以找到相应的路由把Radius Access-Request消息发送给端点的ASD。 

步骤S204，TNC服务器对端点进行评估。 

在接收到Radius Access-Request消息之后，ASD的TNC服务器可能会对端点的状态进行评估，以更新最新的状态。步骤S204为可选步骤。 

步骤S205，ASD向RSD返回IF-FTNC属性信息。 

ASD的Radius服务器认证端点的身份成功之后，必须向服务提供者返回 Radius Access-Accept消息，该Radius Access-Accept消息里面包含端点的NameID、端点的属性权威和IF-FTNC协议版本等属性信息。 

步骤S206，服务提供者向端点的属性权威(attribute authority)请求断言。 

服务提供者可以根据ASD的Radius服务器返回的IF-FTNC属性信息，向端点的属性权威请求该端点的断言，在请求断言时可以使用SAML 2.0Assertion Query/Request模式，或者Shibboleth Attribute Exchange模式。 

步骤S207，服务提供者授权端点访问网络。 

在获得端点的断言之后，服务提供者可以对端点访问网络做出合适的授权。 

上述接入方法，服务提供者接收端点发送的身份标识，并根据该身份标识中包含的端点的ASD信息，确定该端点的ASD，对端点做出合适的访问控制决策，从而实现了把本地TNC连接流程和FTNC流程很好地衔接在一起。 

本实施例中，Radius服务器与TNC服务器可以集成在一个物理实体内，也可以为独立的物理实体。 

本发明实施例提供的技术方案可以应用于任何部署有TNC和FTNC的网络，且适用于各种有线和无线接入技术，例如：LAN(Local Area Network，局域网)、ADSL(Asymmetric Digital Subscriber Line，非对称数字用户线)、WLAN(Wireless Local Area Network，无线局域网)/WiFi(Wireless Fidelity，无线保真)、WiMax(World Interoperability for Microwave Access，全球微波接入互操作性)，甚至UMTS(Universal Mobile Telecommunication System，通用无线通信系统)等等。 

由于在目前的环境中，FTNC可以在Intranet(企业网)中应用，而其常用的有线接入控制方式的为IEEE(Institute for Electrical and ElectronicEngineers，电气和电子工程师学会)802.1x协议。 

下面以IEEE 802.1x接入控制协议为例，对本发明实施例通过身份标识中的安全域信息，识别端点的ASD，进行接入的过程进行详细描述。具体流程如图3所示，包括： 

步骤S301，端点向交换机发送EAPOL(Extensible Authentication Protocol over LAN，基于局域网的扩展认证协议)-start消息，发起802.1x连接请求。 

步骤S302，交换机返回EAP(Extensible Authentication Protocol，扩展认证协议)-Request/identity消息，请求端点的身份信息。 

步骤S303，端点返回EAP-Response/identity消息，在此消息中携带NAI格式的身份标识，例如：FTNC-Client@huawei.com。 

步骤S304，交换机向RSD的Radius服务器发送Radius-access-request消息，发起Radius接入请求。该Radius-access-request消息中包含了端点发给交换机的NAI格式的身份标识。 

步骤S305，RSD的Radius服务器根据NAI格式的身份标识确定该端点是否为本地端点。若该端点的ASD在RSD本地，则Radius服务器确定该端点为本地端点，按照RSD本地的策略进行接入决策，例如：触发本地TNC流程；若该端点的ASD不在RSD本地，则Radius服务器确定该端点不是本地端点，启动FTNC流程，转发Radius-access-request消息给该端点的ASD，由该端点的ASD对该端点进行身份认证。 

本发明实施例引入身份标识，通过该身份标识中的安全域信息，使RSD能快速而准确地判断端点的ASD，使得协议能够适用各种接入场景。并且通过判断端点的ASD是否在RSD本地，可以很好地把TNC和FTNC的流程衔接在一起。 

与NAI格式类似，本发明实施例还可以采用URI(Universal ResourceIdentifier，通用资源标识符)等格式，或者由实施者自行定义一种身份标识，只要该身份标识能够标识端点安全域的信息，均应落入本发明实施例的保护范围。 

如图4所示，为本发明实施例一种网络系统的结构图，可以应用于可信网络连接TNC或联合可信网络连接FTNC架构中，包括： 

端点41，用于向服务提供者发送身份标识，该身份标识中包括端点41的安全域信息； 

服务提供者42，用于接收来自端点41的身份标识，根据端点41的安全域信息，获得端点41的安全状态，根据端点41的安全状态，对端点41做出 合适的访问控制决策。 

该网络系统还可以包括： 

端点的安全域43，用于对端点41进行身份认证，在对端点41的身份认证成功之后，向服务提供者42提供信息，由服务提供者42根据上述信息获得端点41的安全状态。 

上述网络系统，服务提供者42接收端点41发送的身份标识，并根据该身份标识中包含的端点的安全域信息，确定该端点41的安全域，获得该端点41的安全状态，并根据该端点41的安全状态，对该端点41做出合适的访问控制决策。从而实现了把本地可信网络连接流程和联合可信网络连接流程很好地衔接在一起。 

如图5所示，为本发明实施例一种服务提供者的结构图，可以作为上述实施例中的服务提供者，可以应用于可信网络连接TNC或联合可信网络连接FTNC架构中，包括： 

接收模块421，用于接收端点41发送的身份标识，该身份标识中包括端点41的安全域信息； 

获取模块422，用于根据端点41的安全域信息，获取端点41的安全状态； 

决策模块423，用于根据获取模块422获取的安全状态，对端点41做出合适的访问控制决策。 

如图6所示，服务提供者42还可以包括： 

确定模块424，用于根据端点41的安全域信息确定端点41是否为本地端点。 

获取模块422可以包括： 

请求子模块4221，用于当确定模块424确定端点41不是本地端点时，根据端点41的安全域信息，请求端点41的安全域对端点41进行身份认证； 

状态获取子模块4222，用于在端点的安全域对端点41的身份认证成功之后，从端点41的安全域获取信息，根据上述信息获取端点41的安全状态。 

上述服务提供者42，接收模块421接收端点41发送的身份标识，获取模块422根据端点41的安全域信息，获取端点41的安全状态，决策模块422 根据获取模块422获取的安全状态，对端点41做出合适的访问控制决策。从而实现了把本地可信网络连接流程和联合可信网络连接流程很好地衔接在一起。 

上述模块可以分布于一个装置，也可以分布于多个装置。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。 

服务提供者42可以由一个网络设备或逻辑功能单元，或者若干个网络设备或逻辑功能单元组成，可以是硬件或软件实现，例如：网络接入提供商、小区宽带接入提供商或企业网接入控制服务器；还可以为应用服务器，如Web服务器等。其可以部署在网络侧。 

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。 

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。 

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。 

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。 

Claims (5)

1.一种接入方法，其特征在于，应用于联合可信网络连接FTNC，包括：

接收来自端点的身份标识，所述身份标识中包括所述端点的断言安全域ASD信息；

根据所述端点的ASD信息，获取所述端点的安全状态；

根据所述端点的安全状态，对所述端点做出合适的访问控制决策；

所述接入方法还包括：

根据所述端点的ASD信息确定所述端点是否为本地端点，如果所述端点不是本地端点，则根据所述端点的ASD信息，获得所述端点的安全状态包括：

根据所述端点的ASD信息，请求所述端点的ASD对所述端点进行身份认证；

在所述端点的ASD对所述端点的身份认证成功之后，从所述端点的ASD获得信息，根据所述信息获得所述端点的安全状态。

2.如权利要求1所述的方法，其特征在于，所述根据所述端点的ASD信息，请求所述端点的ASD对所述端点进行身份认证包括：

根据所述端点的ASD信息，将所述端点发送的请求消息向所述端点的ASD发送，请求所述端点的ASD对所述端点进行身份认证；

所述在所述端点的ASD对所述端点的身份认证成功之后，从所述端点的ASD获得信息，根据所述信息获得所述端点的安全状态包括：

在所述端点的ASD对所述端点的身份认证成功之后，接收所述端点的ASD返回的消息，所述消息包括所述端点的属性权威信息，根据所述端点的属性权威信息，向所述端点的属性权威请求所述端点的安全断言，根据所述端点的安全断言获得所述端点的安全状态。

3.一种网络系统，其特征在于，所述网络系统应用于联合可信网络连接FTNC，包括：

端点，用于向服务提供者发送身份标识，所述身份标识中包括所述端点的断言安全域ASD信息；

服务提供者，位于依赖安全域RSD，用于接收来自所述端点的身份标识，根据所述端点的ASD信息， 

获得所述端点的安全状态，根据所述端点的安全状态，对所述端点做出合适的访问控制决策；

所述服务提供者还用于：

根据所述端点的ASD信息确定所述端点是否为本地端点，如果所述端点不是本地端点，则根据所述端点的ASD信息，获得所述端点的安全状态包括：

根据所述端点的ASD信息，请求所述端点的ASD对所述端点进行身份认证；

在所述端点的ASD对所述端点的身份认证成功之后，从所述端点的ASD获得信息，根据所述信息获得所述端点的安全状态。

4.一种服务提供者，其特征在于，应用于联合可信网络连接FTNC，位于依赖安全域RSD，包括：

接收模块，用于接收来自端点的身份标识，所述身份标识中包括所述端点的ASD信息；

获取模块，用于根据所述端点的ASD信息，获取所述端点的安全状态；

决策模块，用于根据所述获取模块获取的安全状态，对所述端点做出合适的访问控制决策；

确定模块，用于根据所述端点的ASD信息确定所述端点是否为本地端点；

所述获取模块包括：

请求子模块，用于当所述确定模块确定所述端点不是本地端点时，根据所述端点的ASD信息，请求所述端点的ASD对所述端点进行身份认证；

状态获取子模块，用于在所述端点的ASD对所述端点的身份认证成功之后，从所述端点的ASD获取信息，根据所述信息获取所述端点的安全状态。

5.一种接入方法，其特征在于，应用于联合可信网络连接FTNC，包括：

向服务提供者发送端点的身份标识，所述服务提供者位于依赖安全域RSD，所述身份标识中包括所述端点的ASD信息，以使所述服务提供者根据所述端点的ASD信息，获取所述端点的安全状态，根据所述端点的安全状态，对所述端点做出访问控制决策；

所述方法还包括： 

当所述服务提供者根据所述端点的ASD信息确定所述端点为非本地端点时，接收所述服务者的请求，对所述端点进行身份认证，从所述端点的ASD获得信息，使得所述服务提供者根据所述信息获得所述端点的安全状态。 

Images