CN102244867A

CN102244867A - 一种网络接入控制方法和系统

Info

Publication number: CN102244867A
Application number: CN2010101797906A
Authority: CN
Inventors: 陈洋
Original assignee: Sina Technology China Co Ltd
Current assignee: Sina Technology China Co Ltd
Priority date: 2010-05-14
Filing date: 2010-05-14
Publication date: 2011-11-16
Anticipated expiration: 2030-05-14
Also published as: CN102244867B

Abstract

本发明的实施例提供了一种网络接入控制方法和系统，可解决现有的网络接入控制方法中因需要定制和安装客户端软件而引起的使用受限的问题。所述方法包括：终端通过交换机接入网络，交换机生成启用日志，启用日志包括交换机标识、交换机端口标识、端口状态，所述端口状态包括启用；交换机向第一服务器发送启用日志；第二服务器通过第一服务器获得启用日志，若端口状态为启用，第二服务器通过交换机标识、交换机端口标识到交换机上获得接入的终端的地址信息；第二服务器根据述地址信息控制该终端的网络接入。由于在用户终端上不需要安装任何软件，从而使得本发明的网络接入控制方法可适合使用任何操作系统的终端。

Description

一种网络接入控制方法和系统

技术领域

本发明涉及一种网络接入控制(NAC，Net Access Control)技术，尤其涉及一种网络接入控制方法和系统。

背景技术

网络接入控制技术在现代网络安全领域起着越来越重要的作用。下面简单介绍现有技术中的网络接入控制方法：基于802.1x协议(其全称为基于端口的访问控制协议)实现网络接入控制的方法，该方法基于端口的控制来控制终端的网络接入，简称基于802.1X协议接入控制方法。

802.1x协议是标准化的一个符合IEEE 802协议集的局域网接入控制协议。它能够在利用IEEE 802局域网提供一种对连接到局域网的用户进行认证和授权的手段，以接受合法用户的接入，从而达到保护网络安全的目的。

在基于802.1X协议接入控制方法中，终端如果期望成功接入网络，终端必须定制并且安装802.1x客户端程序。该802.1x客户端程序可实现基于端口的MAC(介质接入控制，Media Access Control)地址锁定功能，即，只允许信任的MAC地址向网络中发送数据。来自任何“不信任”的终端的数据流会被自动丢弃，从而确保最大限度的安全性。

基于802.1X协议接入控制方法的执行过程为：当终端接入网络时，系统会提示终端进行认证，终端通过定制的客户端软件输入已经登记的终端信息，该终端信息包括申请到的用户名和口令，同时发起连接请求。交换机接受到请求后，将要求客户端程序向交换机提交终端信息。客户端程序响应交换机请求，将终端信息发送给交换机。交换机将终端信息转发给认证服务器进行处理。认证服务器收到交换机转发的终端信息后，与数据库中的信息相比对，判断终端是否合法，即，若查找到对应的终端信息后，则认为该终端是合法的，向交换机发送认证通过的消息，交换机收到信息后，打开终端对应的端口，允许终端通过端口访问网络；否则，即没有查找到对应的终端信息后，则认为该终端是非法的，则向交换机发送认证失败消息，交换机收到认证失败的消息后，就会将该端口设置为关闭状态，不允许数据通过。

对于基于802.1X协议接入控制方法，由于需要在用户的终端中安装客户端软件，而该软件往往不支持使用linux、Mac等操作系统的终端，因而其兼容性差，从而导致该接入控制方法无法适用使用linux、Mac等操作系统的终端，使使用linux、Mac等操作系统的终端在基于该接入控制方法的控制下无法接入网络。另外，没有安装客户端软件的电脑在这种接入控制方法的控制下也无法接入网络，从而使得该接入控制方法使用受限。如果不使用基于802.1X协议接入控制方法，即，客户端电脑接上网线就可以进入网络，又存在安全性差的问题。

发明内容

本发明的实施例提供了一种网络接入控制方法和系统，可解决现有技术的网络接入控制方法中因需要定制和安装客户端软件而引起的使用受限的问题。

本发明提供了一种网络接入控制方法，包括：终端通过交换机的端口请求接入网络，交换机生成启用日志，所述启用日志包括交换机标识、交换机端口标识、端口状态，所述端口状态包括启用和停用；交换机向第一服务器发送启用日志；第二服务器通过第一服务器获得启用日志，若端口状态为启用，则第二服务器通过交换机标识、交换机端口标识到交换机上获得接入的终端的地址信息，所述地址信息包括终端的介质接入控制地址；第二服务器根据介质接入控制地址控制该终端的网络接入。

本发明还提供了一种网络接入控制系统，包括终端、交换机、第一服务器、第二服务器；所述终端，用于通过交换机的端口请求接入网络；所述交换机，用于生成启用日志，并向第一服务器发送启用日志；所述启用日志包括交换机标识、交换机端口标识、端口状态，所述端口状态包括启用和停用；第一服务器，用于接收交换机发送的启用日志；第二服务器，其包括：第一获取单元，用于通过第一服务器获取启用日志；第一判断单元，用于判断端口状态是否为启用，若是，则启动第二获取单元；第二获取单元，用于通过交换机标识、交换机端口标识到交换机上获取接入的终端的地址信息，并启动控制单元，所述地址信息包括终端的介质接入控制地址；控制单元，用于根据介质接入控制地址控制该终端的网络接入。

根据本发明，由于在用户终端上不需要安装任何软件，从而使得本发明的网络接入控制方法可适合使用任何操作系统的终端，因此，本发明的网络接入控制可使这些终端经过安全认证后正常接入网络。

附图说明

图1示出了本发明实施例一的网络接入控制方法；

图2示出了本发明实施例二的网络接入控制系统；

图3示出了本发明实施例二的网络接入控制系统的第二服务器。

具体实施方式

为了便于本领域一般技术人员理解和实现本发明，现结合附图描绘本发明的实施例。

实施例一

如图1所示，本实施例提供了一种网络接入控制方法，包括如下步骤：

步骤11、终端通过交换机的端口请求接入网络，交换机获得该终端的MAC地址，并为该终端确定一个IP(互联网协议，Internet Protocol)地址，及生成启用日志。然后，交换机向第一服务器发该启用日志，所述启用日志包括交换机标识、交换机端口标识、端口状态，端口状态包括启用和停用。

步骤12、第二服务器定时或隔一预定时间到第一服务器上去读取启用日志，以便通过启用日志的端口状态探测到有新的终端接入到网络。

步骤13、若端口状态为启用，则第二服务器通过交换机标识、交换机端口标识去交换机抓取该终端的地址信息，所述地址信息包括终端的MAC地址。若端口状态为停用，则忽略该条启用日志。

步骤14、第二服务器根据MAC地址控制该终端的网络接入。具体而言，第二服务器判断MAC地址是否在端口信息库中，若是，进入步骤15，否则，进入步骤16。所述端口信息库包括最近成功接入网络的终端的MAC地址、上次接入时间、上次登出时间。

步骤15、如果MAC在端口信息库中，则根据终端的接入时间确定是否允许终端接入。具体而言，第二服务器判断该终端的本次接入时间与上次接入时间的间隔是否大于预定时间，若是，则结束接入控制，用终端的本次接入时间更新终端的上次接入时间，并认为该终端合法，不必对该终端进行认证，即，该终端在规定的时间内作为可信的合法终端，再次接入网络时候不用认证，从而为用户提供最大程度的便捷性，否则，如果超时，执行步骤16，使该终端暂时不能成功接入网络。

步骤16、第二服务器将该终端所在的VLAN(虚拟局域网，Visual Local areanet)修改为防火墙所处的VLAN，以阻止该终端访问网络，并重启端口，以使终端重新获得该VLAN对应的IP地址。这样，不合法的终端的所有网络接入请求会被防火墙重定向到第三服务器，以便第三服务器对该终端进行身份认证。

步骤17、终端的网络接入请求被防火墙重定向到第三服务器，这时，终端向第三服务器提供用户名和密码。

步骤18、第三服务器根据用户名和密码对终端进行认证，即，第三服务器判断用户名和密码是否正确，若用户名和密码正确，即，终端身份认证成功，第三服务器根据用户名确定用户所处的部门(即，组名))，然后将该组名返回给第二服务器。第二服务器根据组名确定其对应的VLAN，并根据该VLAN为该终端确定一个IP地址。接着，第二服务器根据该IP地址去交换机上获得该IP地址对应的MAC地址和交换机端口号，从而将该交换机端口对应的终端划到该VLAN中，并重启端口，以使终端重新获得VLAN中的IP地址。

步骤19、第二服务器将获得的MAC地址、接入时间存入端口信息库中，以方便下次接入时使用。

终端与第三服务器的通信的方式为网站网页。

实施例二

如图2所示，本实施例提供了一种网络接入控制系统，包括终端、交换机、第一服务器、第二服务器和第三服务器。

所述终端用于通过交换机的端口请求接入网络，并在认证时向第三服务器提供用户名和密码。

所述交换机用于生成启用日志，并向第一服务器发送启用日志；所述启用日志包括交换机标识、交换机端口标识、端口状态，所述端口状态包括启用和停用。

第一服务器，用于接收交换机发送的启用日志。

如图3所示，第二服务器包括：第一获取单元，用于通过第一服务器获取启用日志；第一判断单元，用于判断端口状态是否为启用，若是，则启动第二获取单元；第二获取单元，用于通过交换机标识、交换机端口标识到交换机上获取接入的终端的地址信息，并启动控制单元，所述地址信息包括终端的MAC地址；控制单元，用于根据MAC地址控制该终端的网络接入。

所述控制单元包括：第二判断单元，用于判断MAC地址是否在端口信息库中，若是，则启动确定单元，确定单元，用于根据终端的接入时间确定是否允许终端接入，所述端口信息库包括最近成功接入网络的终端的MAC地址、上次接入时间、上次登出时间。

所述确定单元包括：第三判断单元，用于判断本次接入时间与上次接入时间之间的间隔是否大于预定时间，若是，启动控制子单元，否则，启动接入单元；控制子单元，用于通过第三服务器控制该终端的网络接入；接入单元，用于使该终端接入网络。

所述系统还包括第三服务器，用于获得终端提供的的用户名和密码，并对该用户名和该密码进行认证，若认证成功，则第三服务器根据用户名确定用户所处的组名，然后将该组名返回给第二服务器的确定单元，

所述第二服务器还包括第二确定单元、第三获取单元和记录单元；所述第二确定单元用于根据该组名确定其对应的VLAN，并根据该VLAN为该终端确定一个IP地址，并启动第三获取单元；所述第三获取单元用于根据该IP地址去交换机上获取该IP地址对应的MAC地址；所述记录单元用于在认证成功时，将终端的接入时间、MAC地址记录在端口信息库中。

值得说明的是，第一服务器也可与第二服务器设置在一起。

由于本发明对终端来说不需要特别订制或安装客户端软件/程序，所以本发明可兼容任何操作系统和计算机终端环境的部署、管理，兼容易用性都比同领域内的其他现有技术或方案具有明显的优势。

现有技术或方案依赖于终端特别订制或安装的客户端软件/程序，这导致了在网络接入认证完成后，客户端软件/程序必须始终成为终端与网络间通讯的桥梁，一旦终端在网络中的流量过高，客户端软件/程序就成为整个网络的性能瓶颈，现有技术或方案本身也就成了可能引发单点故障造成网络瘫痪的重要事故点。本发明不存在这个问题，本发明仅仅是一个网络接入控制系统，当终端成功的接入到网络以后所发生的一切网络流量将不会经过本发明(的任何设备，此时，本发明处于旁路状态)；并且，本发明本身设计有很好的安全性，如果本发明本身出现故障，本发明会自动切换到bypass模式，退出认证模式，换句话说，终端此刻接入网络时不会再受到本发明的接入认证控制，从而不会成为网络的瓶颈点，不会影响网络的可用性。

本发明网络接入控制灵活，支持基于两种验证方式的网络接入控制模式，分别是基于MAC认证的网络接入控制模式和基于端口+MAC认证的网络接入模式，这方面，现有技术或方案仅支持一种。前文已经提到，MAC地址用于唯一的识别终端接入网络所使用的物理设备，因此，终端不论是人还是设备，都会在网络接入的过程中进行验证，不合法或者说不符合要求的终端将被阻止接入网络。而基于端口+MAC认证的网络接入模式还能更进一步的提高网络接入控制的严格级别，这种模式不仅要求有对终端的认证，包括人员身份认证与物理设备的MAC认证，还要求终端所处的位置(在办公局域网中通常是某个人的工位)必须是固定，否则即便是同一个人使用同样的物理设备，例如电脑，换到其他的位置也无法成功接入网络。

总之，本发明的网络接入控制方法和系统，同时实现了局域网内IP、MAC、端口和人的对应关系，将接入、身份认证、授权、追踪与审计、网络快速定位与响应整合在一起，形成动态的网络安全接入控制体系。

虽然通过实施例描绘了本发明，但本领域普通技术人员知道，在不脱离本发明的精神和实质的情况下，就可使本发明有许多变形和变化，本发明的范围由所附的权利要求来限定。

Claims

1.一种网络接入控制方法，其特征在于，包括：

终端通过交换机的端口请求接入网络，交换机生成启用日志，所述启用日志包括交换机标识、交换机端口标识、端口状态，所述端口状态包括启用和停用；

交换机向第一服务器发送启用日志；

第二服务器通过第一服务器获得启用日志，若端口状态为启用，则第二服务器通过交换机标识、交换机端口标识到交换机上获得接入的终端的地址信息，所述地址信息包括终端的介质接入控制地址；

第二服务器根据介质接入控制地址控制该终端的网络接入。

2.根据权利要求1所述的方法，其特征在于，所述第二服务器根据介质接入控制地址控制该终端的网络接入的步骤，具体包括：

第二服务器判断介质接入控制地址是否在端口信息库中，若是，则根据终端的接入时间确定是否允许终端接入，所述端口信息库包括介质接入控制地址、上次接入时间。

3.根据权利要求2所述的方法，其特征在于，所述根据终端的接入时间确定是否允许终端接入的步骤，具体包括：

判断本次接入时间与上次接入时间之间的间隔是否大于预定时间，若是，则通过第三服务器控制该终端的网络接入，否则，允许该终端接入网络。

4.根据权利要求3所述的方法，其特征在于，所述通过第三服务器控制该终端的网络接入的步骤，具体包括：

第三服务器获得终端提供的的用户名和密码，并对该用户名和该密码进行认证，若认证成功，则第三服务器根据用户名确定用户所处的组名，然后将该组名返回给第二服务器，第二服务器根据该组名确定其对应的虚拟局域网，并根据该虚拟局域网为该终端确定一个IP地址；接着，第二服务器根据该IP地址去交换机上获得该IP地址对应的介质接入控制地址。

5.根据权利要求3所述的方法，其特征在于，所述通过第三服务器控制该终端的网络接入步骤中还包括：

若认证成功，第二服务器将终端的接入时间、介质接入控制地址记录在端口信息库中。

6.一种网络接入控制系统，其特征在于，包括终端、交换机、第一服务器、第二服务器；

所述终端，用于通过交换机的端口请求接入网络；

所述交换机，用于生成启用日志，并向第一服务器发送启用日志；所述启用日志包括交换机标识、交换机端口标识、端口状态，所述端口状态包括启用和停用；

第一服务器，用于接收交换机发送的启用日志；

第二服务器，其包括：第一获取单元，用于通过第一服务器获取启用日志；第一判断单元，用于判断端口状态是否为启用，若是，则启动第二获取单元；第二获取单元，用于通过交换机标识、交换机端口标识到交换机上获取接入的终端的地址信息，并启动控制单元，所述地址信息包括终端的介质接入控制地址；控制单元，用于根据介质接入控制地址控制该终端的网络接入。

7.根据权利要求6所述的网络接入控制系统，其特征在于，所述控制单元包括：第二判断单元，用于判断介质接入控制地址是否在端口信息库中，若是，则启动确定单元，确定单元，用于根据终端的接入时间确定是否允许终端接入，所述端口信息库包括介质接入控制地址、上次接入时间。

8.根据权利要求7所述的网络接入控制系统，其特征在于，所述确定单元包括：第三判断单元，用于判断本次接入时间与上次接入时间之间的间隔是否大于预定时间，若是，启动控制子单元，否则，启动接入单元；控制子单元，用于通过第三服务器控制该终端的网络接入；接入单元，用于使该终端接入网络。

9.根据权利要求8所述的网络接入控制系统，其特征在于，所述第二服务器还包括第二确定单元和第三获取单元；所述系统还包括第三服务器，用于获得终端提供的的用户名和密码，并对该用户名和该密码进行认证，若认证成功，则第三服务器根据用户名确定用户所处的组名，然后将该组名返回给第二服务器的确定单元，

所述第二确定单元，用于根据该组名确定其对应的虚拟局域网，并根据该虚拟局域网为该终端确定一个IP地址，并启动第三获取单元；

所述第三获取单元，用于根据该IP地址去交换机上获取该IP地址对应的介质接入控制地址。

10.根据权利要求10所述的网络接入控制系统，其特征在于，所述第二服务器还包括记录单元，用于在认证成功时，将终端的接入时间、介质接入控制地址记录在端口信息库中。