CN101867579A - 一种用户网络访问权限切换方法及其装置 - Google Patents

Abstract

本发明公开了一种用户网络访问权限切换方法及其装置，应用于包含有Portal服务器、认证服务器、安全策略服务器和认证客户端的Portal系统，该方法包括：安全策略服务器为认证通过的客户端分配访问权限后，将该访问权限的权限控制信息发送给Portal服务器，并将该客户端所能够使用的所有访问权限标识发送给该客户端；当安全策略服务器接收到该客户端发送的请求更换访问权限的报文后，获取其中的访问权限标识，并将与该标识对应的权限控制信息发送给Portal服务器，其中，访问权限标识是该客户端从其接收到所能够使用的所有访问权限标识中选择出的。采用本发明可实现在不重新认证的情况下进行用户网络访问权限的切换。

Description

一种用户网络访问权限切换方法及其装置

技术领域

本发明涉及通信技术领域的用户认证技术，特别是涉及一种用户网络访问权限切换方法及其装置。

背景技术

一台PC在同一个时刻只能访问一个权限的网络，这样做是为了防止PC成为内外网联通的节点，造成安全的隐患。但目前在用户认证领域，存在以下需求：当用户使用安全认证获取其安全权限后，能够实时的切换其访问网络的权限。

针对该需求，目前的一种解决方式是：使用户再次进行认证，并在认证通过后，通过修改其登录的用户名称来获取不同的用户权限，从而实现用户访问网络权限的切换。

相应的，有部分厂商实现了一种认证网关，该网关可根据用户访问数据的目的IP地址进行识别，当用户访问某一权限的网络时，根据用户访问的目的地址，弹出相应的WEB页面对用户进行认证。当用户访问了其他权限的网络时，重新弹出相应的认证页面，对用户进行认证。

发明人在实现本发明的过程中，发现现有技术至少存在以下缺陷：

上述认证网关需要部署在网络的交界处，或者部署在网络的接入层，需要对网络进行改动，部署成本较高，并且使用WEB认证只能使用HTTP(HyperText Transfer Protocol，超文本传输协议)进行触发，使用起来存在部分限制。

发明内容

本发明提供了一种用户网络访问权限切换方法及其装置，用以实现用户网络访问权限的切换。

本发明提供的用户网络访问权限切换方法，应用于包含有Portal服务器、认证服务器、安全策略服务器和认证客户端的Portal系统，该方法包括：

安全策略服务器为认证通过的认证客户端分配访问权限后，将所述访问权限的权限控制信息发送给Portal服务器，并将所述认证客户端所能够使用的所有访问权限标识信息发送给所述认证客户端；

当安全策略服务器接收到所述认证客户端发送的请求更换访问权限的报文后，获取其中携带的访问权限标识信息，并将与所述访问权限标识信息对应的权限控制信息发送给Portal服务器，其中，所述访问权限标识信息是所述认证客户端从其接收到所能够使用的所有访问权限标识信息中选择出的。

上述方法中，所述安全策略服务器分配的访问权限是所述安全策略服务器为所述认证客户端分配的默认访问权限；或者，是所述安全策略服务器根据从所述认证客户端获取的安全状态信息，为所述认证客户端所分配的相适应的访问权限。

上述方法中，安全策略服务器将与所述请求更换访问权限的报文中携带到的访问权限标识信息所对应的权限控制信息发送给Portal服务器之后，还包括：将所述请求更换访问权限的报文中携带的访问权限标识信息所对应的权限描述信息发送给所述认证客户端；和/或，通知所述认证客户端更换了访问权限。

上述方法中，安全策略服务器将与所述请求更换访问权限的报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器，具体为：

安全策略服务器判断其所记录的所述认证客户端当前使用的访问权限，与所述请求更换访问权限的报文中携带的访问权限标识信息所标识的访问权限是否相同，在两者不相同时，将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器。

上述方法中，所述权限控制信息为访问控制列表ACL。

本发明提供的安全策略服务器，应用于Portal系统，包括权限分配单元、获取单元、确定单元和收发单元，其中：

权限分配单元，用于为认证通过的认证客户端分配访问权限；

获取单元，与所述权限分配单元和所述收发单元连接，用于根据所述权限分配单元分配的访问权限获取对应的权限控制信息；以及，根据所述收发单元接收到的来自于所述认证客户端的请求更换访问权限的报文中携带的访问权限标识信息，获取对应的权限控制信息；

确定单元，用于在所述认证客户端认证通过后，确定所述认证客户端所能够使用的所有访问权限标识信息；

收发单元，用于将所述获取单元获取到的权限控制信息发送给Portal服务器，并将所述确定单元确定出的访问权限标识信息发送给所述认证客户端；以及，接收所述认证客户端发送的请求更换访问权限的报文，其中携带有所述认证客户端从其所接收到的访问权限标识信息中选择出的访问权限标识信息。

上述服务器中，所述权限分配单元具体用于，为所述认证通过的认证客户端分配默认设置的访问权限；或者，根据从所述认证客户端获取到的安全状态信息，为所述认证客户端分配的相适应的访问权限。

上述服务器中，所述收发单元还用于，将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器之后，将与所述报文中携带的访问权限标识信息对应的权限描述信息发送给所述认证客户端；和/或，通知所述认证客户端更换了访问权限。

上述服务器中，所述获取单元具体用于，判断其所记录的所述认证客户端当前使用的访问权限，与所述请求更换访问权限的报文中携带的访问权限标识信息所标识的访问权限是否相同，并在两者不相同时，将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器。

上述服务器中，所述获取单元获取到的访问权限信息为ACL。

本发明提供的客户端设备，应用于Portal系统，该设备包括收发单元和选择单元，其中：

收发单元，用于接收所述认证客户端设备所能够使用的所有访问权限标识信息；以及，将所述选择单元选择出的权限标识信息携带于请求更换访问权限的报文，并将该报文发送给安全策略服务器；

选择单元，与所述收发单元连接，用于从所述收发单元接收到的所述访问权限标识信息中选择权限标识信息。

上述客户端设备中，所述收发单元还用于，在所述安全策略服务器根据所述请求更换访问权限的报文为所述客户端设备更换访问权限后，接收所述安全策略服务器发送的更换后的访问权限标识信息所对应的权限描述信息，和/或，更换了访问权限的通知信息。

本发明的有益技术效果包括：

本发明通过在认证客户端认证通过后，由安全策略服务器将该认证客户端所能够使用的所有访问权限的标识信息发送给该认证客户端，使该认证客户端可以在需要切换访问权限时，从其中选择访问权限提交给安全策略服务器，由安全策略服务器进行相应的安全策略部署后，使用相应的访问权限对该认证客户端的网络访问行为进行控制。与现有技术相比，无需要求客户端重新登录或认证，从而节省了网络交互过程，进而节省了网络资源开销。

附图说明

图1为本发明实施例提供的用户网络访问权限切换流程示意图；

图2为本发明实施例提供的认证服务器的结构示意图；

图3为本发明实施例提供的客户端设备的结构示意图。

具体实施方式

为了解决现有技术存在的上述问题，本发明实施例提出了一种用户网络访问权限切换的技术方案。该技术方案，通过在认证客户端认证通过后，由安全策略服务器将该认证客户端所能够使用的访问权限列表发送给该客户端，从而使该客户端能够根据在其中选择访问权限进行权限切换。

下面结合附图对本发明实施例进行详细描述。

本发明实施例所涉及的网络架构为Portal网络架构，其中可包括如下网络实体：认证客户端、Portal服务器、认证服务器和安全策略服务器，其中：

Portal服务器，主要负责对认证客户端的网络访问行为进行控制；

认证服务器可以是Radius(Remote Authentication Dial In User Service，远程用户拨号认证服务)服务器，主要负责对认证客户端进行身份认证；

安全策略服务器，主要负责进行安全策略部署。

基于上述网络架构，以认证服务器为Radius服务器为例，图1示出了本发明实施例提供的用户网络访问权限切换流程示意图。如图1所示，该流程可包括：

步骤101、认证客户端开始进行认证。

具体的，认证客户端向Portal服务器发送认证请求，以触发用户认证流程。

步骤102、Portal服务器和Radius服务器之间进行认证协议交互，以对该认证客户端进行认证。

具体的，Portal服务器将认证请求转发给Radius服务器，Radius服务器对该认证客户端进行认证。

步骤103、Radius服务器在对该认证客户端认证通过后，将安全策略服务器信息(如IP地址)发送给该认证客户端。

步骤104、认证客户端根据获得到的安全策略服务器的地址，与安全策略服务器交互安全认证报文，以使安全策略服务器能够获取或确定认证客户端的安全状态。

具体的，安全策略服务器与认证客户端之间通过安全认证报文交换安全状态信息，以使安全策略服务器可以获取或进一步确定认证客户端的安全状态。安全状态可包括：认证客户端上一次使用的访问权限、认证客户端上的系统配置信息，如认证客户端的操作系统类型、认证客户端上的防病毒系统版本等。

步骤105、当安全策略服务器获取到认证客户端的安全状态后，根据安全策略为该认证客户端分配与其当前安全状态对应的访问权限，并将该访问权限的权限控制信息发送给Portal服务器。

具体的，安全策略服务器获取认证客户端的安全状态并确定对应的访问权限后，将该访问权限的ACL(Access Control List，访问控制权限列表)发送给Portal服务器，以便Portal服务器根据该ACL控制该认证客户端对网络的访问行为。

通常，网络设备为了处理特定的数据包，需要配置一系列的匹配规则，以识别需要处理的对象。在识别出特定的对象之后，才能根据预先设定的策略允许或禁止相应的数据包通过。ACL通过一系列的匹配条件对数据包进行分类，这些条件可以是数据包的源地址、目的地址、端口号等。对于这些特定的数据包，ACL可以根据用户需要进行不同的处理策略，例如Trap(标记)、Mirror(镜像)、DSCP设置(优先级置换)、Drop(丢弃)、流量统计，流量限制等等。

例如：

本实施例中采用的ACL规则可以是：对于源地址为该认证客户端的网络地址、目标地址为指定网站的网络地址的报文，设置Deny或Permit权限，即表示拒绝或允许该报文通过，即拒绝或允许该认证客户端访问该目的地址对应的网站，从而实现对该认证客户端的访问权限控制。

步骤106、安全策略服务器通知认证客户端安全认证成功，并将该认证客户端的访问权限列表发送给该认证客户端。该访问权限列表中包括该认证客户端可使用的一个或多个访问权限，访问列表中的访问权限可由对应的权限标识或权限说明来表示。在安全策略服务器端，对应每个访问权限设置有对应的ACL。

具体的，安全策略服务器可以以字符串的方式，将认证客户端的访问权限列表或权限说明下发给认证客户端，认证客户端在接收到该访问权限列表后，可以提示用户其所拥有的网络使用权限。

在认证客户端初始认证通过后，认证客户端根据默认设置的访问权限接入默认网络进行网络访问，其间，Portal服务器根据该认证客户端的访问权限对应的ACL控制该认证客户端的网络访问行为。当认证客户端需要切换到其他访问权限的网络或使用其他访问权限时，可执行以下操作：

步骤107、认证客户端选择访问权限列表中的访问权限，并上报给安全策略服务器。

具体的，用户可通过认证客户端所在终端的屏幕操作，从屏幕上显示的访问权限列表中选择不同于当前访问权限的权限，然后通过提交命令，将选择的访问权限标识信息(如权限标识或权限说明)通过请求变更访问权限的报文发送给安全策略服务器。

步骤108、安全策略服务器接收到该认证客户端上报的访问权限标识信息后，将该访问权限标识信息所对应的权限控制信息(如该访问权限对应的ACL)发送给Portal服务器，并可进一步记录该认证客户端当前的访问权限。后续，Portal服务器可根据接收到的该认证客户端的访问权限对应的ACL对该认证客户端的网络访问行为进行控制。

步骤109、安全策略服务器通知认证客户端其新的网络使用权限，如通知其访问权限描述信息，或者通知客户端其访问权限发生了变化(该步骤可选)，使认证客户端能够知道当前使用的网络访问权限。

上述流程中，如果认证客户端所选择的访问权限与当前使用的访问权限相同，也可以按照上述流程执行。较佳地，如果认证客户端所选择的访问权限与当前使用的访问权限相同，安全策略服务器可根据其记录的该认证客户端当前所使用的访问权限判断出认证客户端所重新选择的访问权限就是其当前使用的权限，此种情况下，安全策略服务器可以不向Portal服务器发送相应的ACL，并可进一步通知认证客户端其所选择的访问权限与当前使用的访问权限相同，以节省消息开销，进而节省网络资源。

上述流程中，在安全策略服务器上为认证客户端配置访问权限时，可针对每一个用户名，配置一个默认或初始权限，作为优先的权限下发给Radius服务器，并可进一步下发给认证客户端，以使认证客户端根据该权限进行网络访问。

上述流程中，当认证客户端使用初始访问权限时，在认证客户端上能够根据情况由用户实时的对其所使用的权限进行动态切换，在切换后，从认证客户端侧、Portal服务器侧到Radius服务器侧，所有涉及到该认证客户端当前信息的内容都将被修改，从而实现使用新的访问权限对该认证客户端的网络访问行为进行控制。

上述流程可采用安全认证报文与RADIUS报文进行交互，为避免Portal与802.1X的兼容性问题，还可支持Portal与802.1X报文交互。

根据以上描述可以看出，本发明的上述实施例中，在认证客户端认证通过后，由安全策略服务器将该认证客户端的访问权限列表(其中包括有该认证客户端所能够使用的所有访问权限标识信息)发送给该认证客户端，使该认证客户端可以在需要切换访问权限时，从该访问权限列表中选择新的访问权限提交给安全策略服务器，由安全策略服务器进行相应的安全策略部署后，使用新的访问权限对该认证客户端的网络访问行为进行控制。与现有技术相比，无需要求客户端重新登录或认证，从而节省了网络交互过程，进而节省了网络资源开销。

基于相同的技术构思，本发明实施例还提供了一种安全策略服务器，可应用于如图1所示的流程。

如图2所示，该安全策略服务器可包括：权限分配单元201、获取单元202、确定单元203和收发单元204，其中：

权限分配单元201，用于为认证通过的认证客户端分配访问权限；

获取单元202，与权限分配单元201和收发单元204连接，用于根据权限分配单元201分配的访问权限获取对应的权限控制信息；以及，根据收发单元204接收到的来自于所述认证客户端的请求更换访问权限的报文中携带的访问权限标识信息，获取对应的权限控制信息；

确定单元203，用于在所述认证客户端认证通过后，确定所述认证客户端所能够使用的所有访问权限标识信息；

收发单元204，与确定单元203连接，用于将获取单元202获取到的权限控制信息发送给Portal服务器，并将确定单元203确定出的访问权限标识信息发送给所述认证客户端；以及，接收所述认证客户端发送的请求更换访问权限的报文，其中携带有所述认证客户端从其所接收到的访问权限标识信息中选择出的访问权限标识信息。

上述安全策略服务器中，权限分配单元201可为所述认证通过的认证客户端分配默认设置的访问权限；或者，根据从所述认证客户端获取到的安全状态信息，为所述认证客户端分配的相适应的访问权限。

上述安全策略服务器中，收发单元204还可将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器之后，将与所述报文中携带的访问权限标识信息对应的权限描述信息发送给所述认证客户端；或者，通知所述认证客户端更换了访问权限。

上述安全策略服务器中，获取单元202可先判断其所记录的所述认证客户端当前使用的访问权限，与所述请求更换访问权限的报文中携带的访问权限标识信息所标识的访问权限是否相同，并在两者不相同时，再将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器。

上述安全策略服务器中，获取单元202所获取到的访问权限信息为ACL。

本发明实施例还提供了一种客户端设备，该客户端设备可应用于上述的Portal系统以及处理流程。

如图3所示，该客户端设备可包括：收发单元31和选择单元32，其中：

收发单元31，用于接收所述认证客户端设备所能够使用的所有访问权限标识信息；以及，将选择单元32选择出的权限标识信息携带于请求更换访问权限的报文，并将该报文发送给安全策略服务器；

选择单元32，与收发单元31连接，用于从收发单元31接收到的所述访问权限标识信息中选择权限标识信息。

上述客户端设备中，收发单元31还可用于，在所述安全策略服务器根据所述请求更换访问权限的报文为所述客户端设备更换访问权限后，接收所述安全策略服务器发送的更换后的访问权限标识信息所对应的权限描述信息，和/或，更换了访问权限的通知信息，并可进一步将接收到的信息通过显式单元进行显示。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (12)

1.一种用户网络访问权限切换方法，应用于包含有Portal服务器、认证服务器、安全策略服务器和认证客户端的Portal系统，其特征在于，该方法包括：

安全策略服务器为认证通过的认证客户端分配访问权限后，将所述访问权限的权限控制信息发送给Portal服务器，并将所述认证客户端所能够使用的所有访问权限标识信息发送给所述认证客户端；

当安全策略服务器接收到所述认证客户端发送的请求更换访问权限的报文后，获取其中携带的访问权限标识信息，并将与所述访问权限标识信息对应的权限控制信息发送给Portal服务器，其中，所述访问权限标识信息是所述认证客户端从其接收到所能够使用的所有访问权限标识信息中选择出的。

2.如权利要求1所述的方法，其特征在于，所述安全策略服务器分配的访问权限是所述安全策略服务器为所述认证客户端分配的默认访问权限；或者，是所述安全策略服务器根据从所述认证客户端获取的安全状态信息，为所述认证客户端所分配的相适应的访问权限。

3.如权利要求1所述的方法，其特征在于，安全策略服务器将与所述请求更换访问权限的报文中携带到的访问权限标识信息所对应的权限控制信息发送给Portal服务器之后，还包括：

将所述请求更换访问权限的报文中携带的访问权限标识信息所对应的权限描述信息发送给所述认证客户端；和/或，通知所述认证客户端更换了访问权限。

4.如权利要求1所述的方法，其特征在于，安全策略服务器将与所述请求更换访问权限的报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器，具体为：

安全策略服务器判断其所记录的所述认证客户端当前使用的访问权限，与所述请求更换访问权限的报文中携带的访问权限标识信息所标识的访问权限是否相同，在两者不相同时，将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器。

5.如权利要求1至4任一项所述的方法，其特征在于，所述权限控制信息为访问控制列表ACL。

6.一种安全策略服务器，应用于Portal系统，其特征在于，包括权限分配单元、获取单元、确定单元和收发单元，其中：

权限分配单元，用于为认证通过的认证客户端分配访问权限；

获取单元，与所述权限分配单元和所述收发单元连接，用于根据所述权限分配单元分配的访问权限获取对应的权限控制信息；以及，根据所述收发单元接收到的来自于所述认证客户端的请求更换访问权限的报文中携带的访问权限标识信息，获取对应的权限控制信息；

确定单元，用于在所述认证客户端认证通过后，确定所述认证客户端所能够使用的所有访问权限标识信息；

收发单元，用于将所述获取单元获取到的权限控制信息发送给Portal服务器，并将所述确定单元确定出的访问权限标识信息发送给所述认证客户端；以及，接收所述认证客户端发送的请求更换访问权限的报文，其中携带有所述认证客户端从其所接收到的访问权限标识信息中选择出的访问权限标识信息。

7.如权利要求6所述的服务器，其特征在于，所述权限分配单元具体用于，为所述认证通过的认证客户端分配默认设置的访问权限；或者，根据从所述认证客户端获取到的安全状态信息，为所述认证客户端分配的相适应的访问权限。

8.如权利要求6所述的服务器，其特征在于，所述收发单元还用于，将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器之后，将与所述报文中携带的访问权限标识信息对应的权限描述信息发送给所述认证客户端；和/或，通知所述认证客户端更换了访问权限。

9.如权利要求6所述的服务器，其特征在于，所述获取单元具体用于，判断其所记录的所述认证客户端当前使用的访问权限，与所述请求更换访问权限的报文中携带的访问权限标识信息所标识的访问权限是否相同，并在两者不相同时，将与所述报文中携带的访问权限标识信息所对应的权限控制信息发送给Portal服务器。

10.如权利要求6至9任一项所述的服务器，其特征在于，所述获取单元获取到的访问权限信息为ACL。

11.一种客户端设备，应用于Portal系统，其特征在于，包括收发单元和选择单元，其中：

收发单元，用于接收所述认证客户端设备所能够使用的所有访问权限标识信息；以及，将所述选择单元选择出的权限标识信息携带于请求更换访问权限的报文，并将该报文发送给安全策略服务器；

选择单元，与所述收发单元连接，用于从所述收发单元接收到的所述访问权限标识信息中选择权限标识信息。

12.如权利要求11所述的客户端设备，其特征在于，所述收发单元还用于，在所述安全策略服务器根据所述请求更换访问权限的报文为所述客户端设备更换访问权限后，接收所述安全策略服务器发送的更换后的访问权限标识信息所对应的权限描述信息，和/或，更换了访问权限的通知信息。

Images