CN101909298B - 无线网络安全接入控制方法和装置 - Google Patents

Abstract

本发明提供了一种无线网络安全接入控制方法，包括：根据无线接入终端的MAC地址，确定所述无线接入终端的类型；根据所确定的无线接入终端的类型，利用预先设定的防火墙策略，确定所述无线接入终端的访问权限；以及允许所述无线接入终端利用所确定出的访问权限来对具有访问权限的网络进行访问。利用上述无线网络安全接入控制方法，可以保证通过无线网络访问的客户端都是可信任的，同时能够根据客户端的角色制定较为灵活的访问权限，从而在不同的环境下满足各种角色的合法访问需求，并且过滤和阻止非法越权的访问请求。

Description

无线网络安全接入控制方法和装置

技术领域

本发明涉及无线网络领域，更为具体地，涉及一种无线网络安全控制方法和装置。

背景技术

随着社会的进步和技术的发展，人们越来越多地使用接入终端来以无线的方式接入因特网或企业内部网络来获取信息。在这种情况下，企业内部网络上的机密信息很有可能被未授权用户非法进入而导致该机密信息外传，由此对企业造成很大的经济损失。因此，在企业内部网络中，需要采用无线准入控制，通过在无线接入终端上安装无线准入客户端软件，利用无线准入账户来对无线接入终端进行集中管理，从而限制未授权用户非法进入企业内部网络。

但是，在实际应用中，现有的无线准入控制机制存在有下述问题。

首先，现有的无线准入控制解决方案都是商业化的产品解决方案，并且没有其他开源或者免费的替代产品。如果在接入终端上安装客户端软件，整套产品的成本通常超过20万人民币。

其次，在企业内使用的无线接入终端通常存在多种需求，并且经常变化，而现有的无线准入控制解决方案很难在安全性和可用性上进行权衡，从而不能根据无线接入终端的角色制定较为灵活的访问权限。

此外，现有的无线准入控制解决方案通常需要专用硬件平台来支撑，这也导致该无线准入控制解决方案的成本非常高。

发明内容

鉴于上述问题，本发明的目的是提供一种无线网络安全接入控制方法和装置，其能够完全满足公司对无线网络的安全要求，提升安全等级，并且能够最大化地利用现有资源，节约公司投入成本，同时日常管理和运维成本较低且稳定可靠。

根据本发明的一个方面，提供了一种无线网络安全接入控制方法，包括：

根据无线接入终端的MAC地址，确定所述无线接入终端的类型；

根据所确定的无线接入终端的类型，利用预先设定的防火墙策略，确定所述无线接入终端的访问权限；以及

允许所述无线接入终端利用所确定出的访问权限来对具有访问权限的网络进行访问。

根据本发明的另一方面，提供了一种无线网络安全接入控制装置，包括：

无线终端类型确定单元，用于根据无线接入终端的MAC地址，确定所述无线接入终端的类型；

访问权限确定单元，用于根据所确定的无线接入终端的类型，利用预先设定的防火墙策略，确定所述无线接入终端的访问权限；以及

防火墙单元，用于允许所述无线接入终端利用所确定出的访问权限来对具有访问权限的网络进行访问。

利用上述根据本发明的无线网络安全接入控制方法及装置，可以保证通过无线网络访问的客户端都是可信任的，同时能够根据客户端的角色制定较为灵活的访问权限，从而在不同的环境下满足各种角色的合法访问需求，并且过滤和阻止非法越权的访问请求。

为了实现上述以及相关目的，本发明的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本发明的原理的各种方式中的一些方式。此外，本发明旨在包括所有这些方面以及它们的等同物。

附图说明

通过参考以下结合附图的说明及权利要求书的内容，并且随着对本发明的更全面理解，本发明的其它目的及结果将更加明白及易于理解。在附图中：

图1示出了根据本发明的无线网络安全接入控制方法的流程图；以及

图2示出了根据本发明的无线网络安全接入控制装置的方框示意图。

在所有附图中相同的标号指示相似或相应的特征或功能。

具体实施方式

以下将结合附图对本发明的具体实施例进行详细描述。

图1示出了根据本发明的无线网络安全接入控制方法的流程图。

如图1所示，在无线接入终端希望在企业内接入无线网络时，首先，在步骤S110中，根据无线接入终端的MAC地址，确定所述无线接入终端的类型。例如，可以根据无线接入终端的MAC地址来将无线接入终端分为移动终端或笔记本计算机。当然，还可以将无线接入终端细分为多个其它类型，例如将移动终端分为企业测试移动终端、企业员工测试移动终端，以及将笔记本计算机分为企业笔记本计算机、企业员工笔记本计算机或临时来宾笔记本计算机。然后，流程进行到步骤S120。

在步骤S120中，根据所确定的无线接入终端的类型，利用预先设定的防火墙策略，确定所述无线接入终端的访问权限。

具体地，作为示例，可以首先根据所确定出的无线接入终端的类型，为无线接入终端分配IP地址。然后，根据所分配的IP地址，确定所述无线接入终端的访问权限。

例如，如果无线接入终端的类型被确定为是临时来宾笔记本计算机，则由于临时来宾笔记本计算机是供企业外部的来访人员使用，其不能访问企业内部网络，因此DHCP服务器将A-B之间的网段IP分配给该临时来宾笔记本计算机。然后，根据预先设定的防火墙策略，将具有A-B之间的网段IP的无线接入终端只能访问企业内部网络以外的IP地址，即，只能通过例如访问端口DNS、http、smtp、POP3、GKE等，访问公共网络，例如因特网，而不能访问企业内部网络，例如OA。

如果无线接入终端的类型被确定为是登记过MAC地址的移动终端，例如企业测试移动终端、企业员工测试移动终端，则由于企业测试移动终端、企业员工测试移动终端需要利用企业内部网络来进行测试，同时需要访问外部公共网络，因此DHCP服务器将C-D之间的网段IP分配给该企业测试移动终端或企业员工测试移动终端。然后，根据预先设定的防火墙策略，具有C-D之间的网段IP的无线接入终端的访问不受限制，其既能访问企业内部网络，也能访问公共网络，例如因特网。

作为另一示例，如果无线接入终端的类型被确定为是企业笔记本计算机或企业员工笔记本计算机，其需要访问企业内部网络，则通过在客户端新建一个PPTP拨号连接，通过拨号到无线网关服务器，进行FreeRADIUS认证和授权，授权成功后将企业笔记本计算机或企业员工笔记本计算机的角色转换为PPTP客户端。然后，利用防火墙策略，将其访问权限设置为不受限制，即，既能访问企业内部网络，也能访问公共网络，例如因特网。

在确定所述无线接入终端的访问权限后，流程进行到步骤S130。在步骤S130中，允许所述无线接入终端利用所确定出的访问权限访问对具有访问权限的网络进行访问。

如上参照图1描述了根据本发明的无线网络安全接入控制方法。本发明的上述无线网络安全接入控制方法，可以采用软件实现，也可以采用硬件实现，或采用软件和硬件组合的方式实现。

图2示出了根据本发明的无线网络安全接入控制装置200的方框示意图。如图2所示，无线网络安全接入控制装置200包括无线终端类型确定单元210、访问权限确定单元220和防火墙单元230。其中，访问权限确定单元220可以包括IP地址分配单元(未示出)。

在无线接入终端希望在企业内接入无线网络时，首先，无线终端类型确定单元210根据无线接入终端的MAC地址，确定所述无线接入终端的类型。在确定出无线接入终端的类型后，访问权限确定单元220根据所确定的无线接入终端的类型，利用预先设定的防火墙策略，确定所述无线接入终端的访问权限。具体地，作为示例，可以首先由IP地址分配单元根据所确定出的无线接入终端的类型，为无线接入终端分配IP地址。然后，访问权限确定单元220根据所分配的IP地址，确定所述无线接入终端的访问权限。或者，作为另一示例，如果无线接入终端的类型被确定为是企业笔记本计算机或企业员工笔记本计算机，其需要访问企业内部网络，则通过在客户端新建一个PPTP拨号连接，通过拨号到无线网关服务器，进行FreeRADIUS认证和授权，授权成功后将企业笔记本计算机或企业员工笔记本计算机的角色转换为PPTP客户端。然后，利用防火墙策略，将其访问权限设置为不受限制，即，既能访问企业内部网络，也能访问公共网络，例如因特网。

在确定出无线接入终端的访问权限后，防火墙单元230允许所述无线接入终端利用所确定出的访问权限来对具有访问权限的网络进行访问。

如上参照图1和图2以示例的方式描述根据本发明的无线网络安全接入控制方法和装置。但是，本领域技术人员应当理解，对于上述本发明所提出的网络安全接入控制方法及装置，还可以在不脱离本发明内容的基础上做出各种改进。因此，本发明的保护范围应当由所附的权利要求书的内容确定。

Claims (4)

1.一种无线网络安全接入控制方法，包括：

根据无线接入终端的MAC地址，确定所述无线接入终端的类型；

根据所确定的无线接入终端的类型，为所述无线接入终端分配IP地址或转换为PPTP客户端；

利用预先设定的防火墙策略，根据分配给所述无线接入终端的IP地址或者所述无线接入终端是否转换为PPTP客户端，确定所述无线接入终端的访问权限；以及

允许所述无线接入终端利用所确定出的访问权限来对具有访问权限的网络进行访问，

其中，所述预先设定的防火墙策略包括：如果无线接入终端的IP属于A-B网段之间的网段IP，则该无线接入终端只能访问企业内部网络之外的IP地址；如果无线接入终端的IP属于C-D网段之间的网段IP，则该无线接入终端的访问不受限制；以及如果无线接入终端被转换为PPTP客户端，则该无线接入终端的访问不受限制，

其中，根据所确定的无线接入终端的类型，为所述无线接入终端分配IP地址或转换为PPTP客户端包括：

如果无线接入终端的类型是临时来宾笔记本计算机，则将A-B网段之间的网段IP分配给该无线接入终端；

如果无线接入终端的类型是登记过MAC地址的移动终端，则将C-D网段之间的网段IP分配给该无线接入终端；以及

如果无线接入终端的类型是企业笔记本计算机或企业员工笔记本计算机，则通过在客户端新建PPTP拨号连接，通过拨号到企业内部网络，进行FreeRADIUS认证和授权，并且经过授权成功后转换为PPTP客户端。

2.如权利要求1所述的无线网络安全接入控制方法，其中，所述IP地址是由DHCP服务器来分配的。

3.一种无线网络安全接入控制装置，包括：

无线终端类型确定单元，用于根据无线接入终端的MAC地址，确定所述无线接入终端的类型；

访问权限确定单元，用于根据所确定的无线接入终端的类型，利用预先设定的防火墙策略，确定所述无线接入终端的访问权限；以及

防火墙单元，用于允许所述无线接入终端利用所确定出的访问权限来对具有访问权限的网络进行访问，

其中，所述预先设定的防火墙策略包括：如果无线接入终端的IP属于A-B网段之间的网段IP，则该无线接入终端只能访问企业内部网络之外的IP地址；如果无线接入终端的IP属于C-D网段之间的网段IP，则该无线接入终端的访问不受限制；以及如果无线接入终端被转换为PPTP客户端，则该无线接入终端的访问不受限制，

其中，所述访问权限确定单元被配置为根据无线接入终端的类型，为所述无线接入终端分配IP地址或者转换为PPTP客户端，

其中，如果无线接入终端的类型是临时来宾笔记本计算机，则将A-B网段之间的网段IP分配给该无线接入终端；

如果无线接入终端的类型是登记过MAC地址的移动终端，则将C-D网段之间的网段IP分配给该无线接入终端；以及

如果无线接入终端的类型是企业笔记本计算机或企业员工笔记本计算机，则通过在客户端新建PPTP拨号连接，通过拨号到企业内部网络，进行FreeRADIUS认证和授权，并且经过授权成功后转换为PPTP客户端。

4.如权利要求3所述的无线网络安全接入控制装置，其中，所述IP地址是由DHCP服务器来分配的。

Images