CN102378115A - 组播接入控制方法、系统和装置 - Google Patents

Abstract

本发明提供了组播接入控制方法、系统和装置，其中，该方法包括以下步骤：A.接入设备接收到主机请求点播组播频道的报文时，对该主机进行本地认证，如果认证未通过，执行步骤B；如果认证通过，执行步骤C；B.所述接入设备请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限；之后执行步骤C；C.所述接入设备根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。采用本发明，能够解决现有在端口上静态配置组播权限所带来的问题。

Description

组播接入控制方法、系统和装置

技术领域

本发明涉及组播技术，特别涉及组播接入控制方法、系统和装置。

背景技术

在组播技术中，组播接入控制的目的是对用户进行权限控制，让经过授权的用户收到对应的组播流，即收看授权的节目，而未经过授权的用户不能收看节目。目前的组播接入控制方案主要是基于端口的用户区分机制，具体为：静态为每个端口配置组播组权限。一旦权限被赋予端口，不管该端口下接入什么设备，都可以接收到该权限允许的组播流。

但是，现有的组播接入控制方案需要在端口上静态配置组播权限，配置方式非常不灵活。并且，在实际应用中，用户并非固定在某个端口接入网络，比如，校园网、企业网甚至运营商的用户都可以在不同的端口接入网络，这种情况下，为了方便用户顺利接入网络，需要网络管理员重新为该用户当前接入的端口配置对应的组播组权限，这导致用户不能灵活接入网络，并出现网络管理员配置复杂问题。

发明内容

本发明提供了组播接入控制方法、系统和装置，以便解决现有在端口上静态配置组播权限所带来的问题。

本发明提供的技术方案包括：

一种组播接入控制方法，该方法包括以下步骤：

A，接入设备接收到主机请求点播组播频道的报文时，对该主机进行本地认证，如果认证未通过，执行步骤B；如果认证通过，执行步骤C；

B，所述接入设备请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限；之后执行步骤C；

C，所述接入设备根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

一种组播接入控制装置，该装置包括：

认证单元，用于接收到主机请求点播组播频道的报文时，对该主机进行本地认证；

请求单元，用于在所述认证单元未通过主机的认证时，请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限，并发送第一控制通知至控制单元；

控制单元，用于在所述认证单元通过主机的认证时，或者接收到所述第一控制通知时，根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

一种组播接入控制系统，其特征在于，该系统包括认证服务器和如上所述的装置；

其中，所述装置接收到主机请求点播组播频道的报文时，对该主机进行本地认证，如果认证未通过，请求所述认证服务器对该主机进行认证；如果认证通过，则根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制；

所述认证服务器接收到所述请求时，对该主机进行认证，如果认证通过，发送对应该主机的组播业务权限给所述装置。

由以上技术方案可以看出，本发明在认证服务器上对主机的组播业务权限进行集中控制，并在认证服务器通过主机的认证时，动态下发到接入设备，由接入设备进行本地MAC认证，这解决了现有静态配置端口的组播权限所带来的配置不灵活、复杂等问题；

并且，由于本发明并非每次针对同一个主机的认证都需要远端认证服务器来认证，而是只要远端认证服务器对主机进行首次认证，后续由接入设备对该主机进行本地认证，这能加快用户接入网络的时间，优化了网络结构。

附图说明

图1为本发明实施例提供的基本流程图；

图2为本发明实施例提供的详细流程图；

图3为本发明实施例提供的装置结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

参见图1，图1为本发明实施例提供的基本流程图。如图1所示，该流程可包括以下步骤：

步骤101，接入设备接收到主机请求点播组播频道的报文时，对该主机进行本地认证，如果认证未通过，执行步骤102；如果认证通过，执行步骤103。

步骤102，接入设备请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限；之后执行步骤103。

步骤103，所述接入设备根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

至此，实现了本发明实施例提供的组播接入控制流程。

在步骤101中的报文可为组播技术中的网络管理协议(IGMP：InternetGroup Management Protocol/组播侦听发现(MLD：Multicast ListenerDiscovery)报文。并且，步骤101中，接入设备对主机的本地认证实质上为本地MAC认证，下面结合具体实施例进行详述。

参见图2，图2为本发明实施例提供的详细流程图。该流程中，集中在远端网络中的认证服务器上配置该网络中主机的组播业务权限，这可以方便网络管理员增加或者删除主机的组播业务权限，便于维护。在组播业务权限的控制上，本发明将主机的标识作为索引，而把主机的组播业务权限比如传送组播业务的组播频道的名称、地址等对应该主机的标识。其中，主机的标识可为主机的MAC地址，或者其他能够唯一识别该主机的标识，本实施例以MAC地址为例描述，其他标识实现原理类似。本实施例将主机标识和组播业务权限建立对应关系，即绑定在一起，可以有效防止主机账号被盗用的问题。并且，这种绑定能够保证不管主机移动到网络中的哪个位置，都可以随时、自由点播其标识对应的组播业务权限中的组播频道，非常适合当今的移动办公、校园网络以及移动网络。

在组播业务中，当某一用户主机比如主机A需要点播组播频道比如组播频道A时，其首先向接入设备发送IGMP/MLD报文；之后如图2所示，该流程可包括以下步骤：

步骤201，接入设备接收主机A发送的IGMP/MLD报文。

步骤202，接入设备判断当前是否启动了本地MAC认证功能，如果是，执行步骤203；否则，按照现有方式处理。

步骤203，接入设备对主机A进行本地MAC认证，如果认证未通过，则执行步骤204；如果认证通过，执行步骤210。

本步骤203由接入设备对主机A进行MAC认证，完全不需要在主机A的客户端上安装客户端软件，所以开通组播业务对该主机A的客户端没有任何影响。

至于接入设备如何对主机A进行本地MAC认证，其具体可包括：判断当前是否存在从所述认证服务器接收的对应主机A的组播业务权限，如果是，确定该主机通过认证，否则，确定该主机未通过认证。

步骤204，接入设备暂时缓存该IGMP/MLD报文，并发送认证请求报文至认证服务器。

该认证请求报文中携带了主机A的MAC地址。

步骤205，认证服务器接收到认证请求报文后，根据该认证请求报文携带的信息对该用户主机进行认证，在认证通过时，执行步骤206，在认证未通过时，执行步骤208。

由于本实施例预先集中在认证服务器上配置网络中主机的组播业务权限，具体为主机的MAC地址和该主机被授权的组播业务权限之间的对应关系。如此，执行到本步骤205时，可以直接判断当前是否存在该认证请求报文携带的源MAC地址对应的组播业务权限，如果是，确定该主机通过认证；否则，确定该主机未通过认证。

需要说明的是，本实施例还可以基于实际情况对某主机增加额外的权限，比如限制移动，如此，在上述配置该主机对应的组播业务权限时，需要配置该主机的源MAC地址、该主机的IP地址、该主机所属的VLAN和对应的端口号和该主机被授权的组播业务权限之间的对应关系。如此，执行到本步骤204时，可以直接判断当前是否存在该认证请求报文携带的源MAC地址和辅助信息共同对应的组播业务权限，如果是，确定该主机通过认证；否则，确定该主机未通过认证，其中，该辅助信息可为或者携带了主机A的MAC地址和一些辅助信息，其中，该辅助信息具体可包含主机A的IP地址、主机A点播的组播频道A的源组地址、主机A所属的VLAN和端口号等。

步骤206，将该主机A被授权的所有组播业务权限下发给接入设备。

这里，组播业务权限下发的过程可以使用现有的MIB流程，也可使用RADIUS协议的扩展属性，这里不具体限定。

步骤207，接入设备接收到主机A被授权的组播业务权限后，记录该主机A的源MAC地址和该接收的主机A被授权的组播业务权限之间的对应关系。之后执行步骤210。

由于步骤207接收到主机A被授权的组播业务权限后，记录该主机A的源MAC地址和该接收的主机A被授权的组播业务权限之间的对应关系，因此，步骤203中的判断当前是否存在从所述认证服务器接收的对应主机A的组播业务权限具体可为：判断当前是否存在主机A的MAC地址，如果存在MAC地址，则表示存在该主机A被授权的组播业务权限；否则，表示不存在该主机A被授权的组播业务权限。

步骤208，认证服务器发送主机A认证未通过的通知至接入设备。

步骤209，接入设备接收到所述通知时，将所述主机设定为已创建的默认用户，将该默认用户被授权的组播业务权限确定为该主机对应的组播业务权限。之后执行步骤210。

由于组播业务开通时，往往会赠送许多免费频道，本步骤209中默认用户的组播业务权限实质上为免费频道的权限。也就是说，本步骤209中，统一为认证不通过的主机增加了观看免费频道节目的权限，无需针对每一用户主机增加免费频道的权限，设置非常简单。

这里，步骤209中将该默认用户被授权的组播业务权限确定为该主机对应的组播业务权限实质上为记录该主机A的源MAC地址和该默认用户被授权的组播业务权限之间的对应关系。

步骤210，判断主机A的源MAC地址对应的组播业务权限中是否存在主机A点播的组播频道A，如果是，执行步骤211；否则，丢弃该步骤201接收IGMP/MLD报文。

步骤211，创建组播业务表项即ICMP/MLD表项，该表项中包含了发送组播频道的流量至主机A的出端口，以通过该出端口发送该组播流量至主机A。

这里，该出端口实质上为接入设备在步骤201中接收到IGMP/MLD报文的端口。

至此，通过上述步骤实现了本发明实施例提供的流程。

以上对本发明实施例提供的方法进行了描述，下面对本发明实施例提供的系统和装置进行描述。

本发明实施例提供的系统包括：认证服务器和组播接入控制装置，其中，所述组播接入控制装置接收到主机请求点播组播频道的报文时，对该主机进行本地认证；在未通过主机的认证时，请求所述认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限，之后根据已接收的所述主机对应的组播业务权限对主机点播的组播频道进行控制；

而在通过主机的认证时，根据从认证服务器接收的该主机对应的组播业务权限对主机点播的组播频道进行控制。

其中，该组播接入控制装置在具体实现时，可参见图3所示的结构。

如图3所示，该装置可包括：

认证单元301，用于接收到主机请求点播组播频道的报文时，对该主机进行本地认证；

请求单元302，用于在所述认证单元未通过主机的认证时，请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限，并发送第一控制通知至控制单元303；

控制单元303，用于在认证单元301通过主机的认证时，或者接收到所述第一控制通知时，根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

优选地，请求单元302请求认证服务器对该主机进行认证可包括：

接入设备发送认证请求报文至所述认证服务器，以使所述认证服务器接收所述认证请求报文，并判断当前是否存在该认证请求报文携带的主机标识所对应的组播业务权限，如果是，确定该主机通过认证；否则，确定该主机未通过认证。

其中，所述主机标识为主机的MAC地址、IP地址、主机所属的VLAN和对应的端口号中的至少一个。

优选地，该装置进一步包括：处理单元304。

其中，处理单元304在获知所述认证服务器未通过所述主机的认证时，将所述主机设定为已创建的默认用户，将该默认用户被授权的组播业务权限确定为该主机对应的组播业务权限，并发送第二控制通知至控制单元303。

控制单元303，在接收到所述第二控制通知时，根据该主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

其中，控制单元303根据主机对应的组播业务权限对主机点播的组播频道的流量进行控制包括：

判断主机点播的所述组播频道是否在该主机对应的组播业务权限中，如果是，创建组播业务表项，该表项中包含了发送该组播频道的流量至所述主机的出端口，以通过所述出端口发送该组播频道的流量至所述主机；如果否，丢弃认证单元301接收的报文。

至此，对本发明实施例提供的系统和装置进行了描述。

从上述方案可以看出，本发明在认证服务器上对主机的组播业务权限进行集中控制，并在认证服务器通过主机的认证时，动态下发到接入设备，由接入设备进行本地MAC认证，这解决了现有静态配置端口的组播权限所带来的配置不灵活、复杂等问题；并且，由于本发明并非每次针对同一个主机的认证都需要远端认证服务器来认证，而是只要远端认证服务器对主机进行首次认证，后续由接入设备对该主机进行本地认证，这能加快用户接入网络的时间，优化了网络结构。

进一步地，本发明提供的方案独立于单播认证，可以独立控制，对现有网络冲击小，特别适合与现有网络中新增组播业务的网络。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种组播接入控制方法，其特征在于，该方法包括以下步骤：

A，接入设备接收到主机请求点播组播频道的报文时，对该主机进行本地认证，如果认证未通过，执行步骤B；如果认证通过，执行步骤C；

B，所述接入设备请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限；之后执行步骤C；

C，所述接入设备根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

2.根据权利要求1所述的方法，其特征在于，所述步骤B中接入设备请求认证服务器对该主机进行认证包括：

B1，接入设备发送认证请求报文至所述认证服务器；

B2，所述认证服务器接收所述认证请求报文，判断当前是否存在该认证请求报文携带的主机标识所对应的组播业务权限，如果是，确定该主机通过认证；否则，确定该主机未通过认证。

3.根据权利要求2所述的方法，其特征在于，所述主机标识为主机的MAC地址、IP地址、主机所属的VLAN和对应的端口号中的至少一个。

4.根据权利要求2所述的方法，其特征在于，如果步骤B2中所述认证服务器未通过该主机的认证，则该方法进一步包括：

D，所述认证服务器发送认证未通过的通知至所述接入设备；

E，所述接入设备接收到所述通知时，将所述主机设定为已创建的默认用户，将该默认用户被授权的组播业务权限确定为该主机对应的组播业务权限，并根据该主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

5.根据权利要求1或4所述的方法，其特征在于，步骤C或者步骤E中根据主机对应的组播业务权限对主机点播的组播频道的流量进行控制包括：

判断主机点播的组播频道是否在该主机对应的组播业务权限中，如果是，创建组播业务表项，该表项中包含了发送所述组播频道的流量至所述主机的出端口，以通过所述出端口发送该组播频道的流量至所述主机；如果否，丢弃步骤A接收的报文。

6.根据权利要求1所述的方法，其特征在于，所述步骤A的认证包括：

判断当前是否存在从所述认证服务器接收的对应所述主机的组播业务权限，如果是，确定该主机通过认证，否则，确定该主机未通过认证。

7.一种组播接入控制装置，其特征在于，该装置包括：

认证单元，用于接收到主机请求点播组播频道的报文时，对该主机进行本地认证；

请求单元，用于在所述认证单元未通过主机的认证时，请求认证服务器对该主机进行认证，并接收所述认证服务器在该主机通过认证时发送的对应该主机的组播业务权限，并发送第一控制通知至控制单元；

控制单元，用于在所述认证单元通过主机的认证时，或者接收到所述第一控制通知时，根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

8.根据权利要求7所述的装置，其特征在于，该装置进一步包括：处理单元，

所述处理单元在获知所述认证服务器未通过所述主机的认证时，将所述主机设定为已创建的默认用户，将该默认用户被授权的组播业务权限确定为该主机对应的组播业务权限，并发送第二控制通知至控制单元；

所述控制单元，在接收到所述第二控制通知时，根据该主机对应的组播业务权限对主机点播的组播频道的流量进行控制。

9.根据权利要求7或8所述的装置，其特征在于，所述控制单元根据主机对应的组播业务权限对主机点播的组播频道的流量进行控制包括：

判断主机点播的组播频道是否在该主机对应的组播业务权限中，如果是，创建组播业务表项，该表项中包含了发送该组播频道的流量至所述主机的出端口，以通过所述出端口发送该组播频道的流量至所述主机；如果否，丢弃所述认证单元接收的报文。

10.一种组播接入控制系统，其特征在于，该系统包括认证服务器和权利要求1至9任一所述的装置；

其中，所述装置接收到主机请求点播组播频道的报文时，对该主机进行本地认证，如果认证未通过，请求所述认证服务器对该主机进行认证；如果认证通过，则根据已接收的所述主机对应的组播业务权限对主机点播的组播频道的流量进行控制；

所述认证服务器接收到所述请求时，对该主机进行认证，如果认证通过，发送对应该主机的组播业务权限给所述装置。

Images