CN102387083A - 网络访问控制方法和系统 - Google Patents

Abstract

本发明提供一种网络访问控制方法和系统，其中，该方法包括：主用BRAS获取用户终端过载状态后，向汇聚交换机发送包含主用BRAS标识的报文检测请求；汇聚交换机根据主用BRAS标识和本地BRAS标识确定备用BRAS标识，并对用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则发送给与备用BRAS标识对应的备用BRAS；备用BRAS根据获取的报文响应指示对汇聚交换机发送的网络接入请求报文进行处理。通过本发明提供的网络访问控制方法和系统，实现了备用宽带接入服务器可以与主用宽带接入服务器共同承载用户流量，既可以减轻主用宽带接入服务器的负担，又可以提高备用宽带接入服务器的利用率。

Description

网络访问控制方法和系统

技术领域

本发明属于通信技术领域，涉及一种网络访问控制方法和系统。

背景技术

宽带接入服务器(Broadband Remote Access Server，BRAS)是面向宽带网络应用的新型接入网关，提供宽带接入服务、实现多种业务的汇聚与转发，能满足不同用户对传输容量和带宽利用率的要求，是宽带用户接入网中的核心设备。

目前，宽带接入服务器采用主备冗余的配置方式，当汇聚交换机向系统中的宽带接入服务器广播用户终端发送的网络接入请求报文后，主用宽带接入服务器进行响应，负责所有用户终端的网络接入和网络访问中的数据处理，备用宽带接入服务器对网络接入请求报文不做响应，只是进行信息的同步。当主用宽带接入服务器出现故障进行主备切换后，使用备用宽带接入服务器继续工作，从而保证了系统的安全和稳定。

但是，随着网络化步伐的加快，宽带用户迅猛增长以及网络业务的多样性，基于主用宽带接入服务器有限的数据处理能力将对用户终端访问网络的速度造成影响。

发明内容

针对现有技术的上述缺陷，本发明实施例提供一种网络访问控制方法和系统。

本发明一方面提供一种网络访问控制方法，包括：

主用宽带接入服务器获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；

所述汇聚交换机根据所述主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对所述用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将所述网络接入请求报文发送给与所述备用宽带接入服务器标识对应的所述备用宽带接入服务器；

所述备用宽带接入服务器根据获取的报文响应指示对所述汇聚交换机发送的所述网络接入请求报文进行处理。

本发明另一方面提供一种网络访问控制系统，包括：

主用宽带接入服务器，用于获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；

所述汇聚交换机，用于根据所述主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对所述用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将所述网络接入请求报文发送给与所述备用宽带接入服务器标识对应的所述备用宽带接入服务器；

所述备用宽带接入服务器，用于根据获取的报文响应指示对所述汇聚交换机发送的所述网络接入请求报文进行处理。

本发明实施例提供的网络访问控制方法和系统，通过主用宽带接入服务器获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；汇聚交换机根据主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将网络接入请求报文发送给与备用宽带接入服务器标识对应的所述备用宽带接入服务器；备用宽带接入服务器根据获取的报文响应指示对汇聚交换机发送的网络接入请求报文进行处理。实现了备用宽带接入服务器可以与主用宽带接入服务器共同承载用户流量，既可以减轻主用宽带接入服务器的负担，又可以提高备用宽带接入服务器的利用率。

附图说明

图1为本发明网络访问控制方法一个实施例的流程图；

图2为本发明网络访问控制方法另一实施例的流程图；

图3为本发明网络访问控制系统一个实施例的结构示意图；

图4为本发明网络访问控制系统另一实施例的结构示意图。

具体实施方式

图1为本发明网络访问控制方法一个实施例的流程图，如图1所示，该方法包括：

步骤100，主用宽带接入服务器获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；

汇聚交换机向主用宽带接入服务器和备用宽带接入服务器广播用户终端发送的广播报文，从而宽带接入服务器在正常工作的情况下均可以接收到用户终端的广播报文。主用宽带接入服务器对广播报文进行检测，若判断获知为网络接入请求报文时，则通过汇聚交换机向用户终端发送网络接入响应报文。而备用宽带接入服务器对广播报文进行检测，若判断获知为网络接入请求报文时不做响应，直到检测到主用宽带接入服务器出现故障时，才接替主用宽带接入服务器的工作，对网络接入请求报文做出响应。当主用宽带接入服务器响应的用户终端越多，相应的要对所响应的用户终端完成网络接入和网络数据转发的工作越多，根据系统应用的需要，当主用宽带接入服务器检测到所承接的用户终端过载后，向汇聚交换机发送报文检测请求，其中，报文检测请求包含主用宽带接入服务器标识。需要注意的是，本实施例中主用宽带接入服务器检测到所承接的用户终端过载的判断准则可以为单位时间内的数据处理流量，或者所处理的用户终端的数量，应以具体的系统需求而进行设计，本实施例对此不加以限制。

步骤101，所述汇聚交换机根据所述主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对所述用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将所述网络接入请求报文发送给与所述备用宽带接入服务器标识对应的所述备用宽带接入服务器；

汇聚交换机接收主用宽带接入服务器发送的包含主用宽带接入服务器标识的报文检测请求，将主用宽带接入服务器标识与本地存储的宽带接入服务器标识进行比较，从而对本地存储的宽带接入服务器标识进行主用宽带接入服务器标识和备用宽带接入服务器标识的区分。

汇聚交换机获取报文检测请求后，对用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文。现有技术中，当汇聚交换机检测到用户终端所发送的报文的目的地址标记为“FFFFFFFF”，则确定为广播报文直接向宽带接入服务器进行广播。本实施例中的汇聚交换机对目的地址标记为“FFFFFFFF”的广播报文进行深度包检测。由于不同的应用通常依赖于不同的协议，而不同的协议都有其特殊的特征字，这些特征字可能是特定的端口、特定的字符串或者特定的比特序列。基于特征字的深度包检测技术通过对业务流中报文中的特征字信息的检测以确定业务流承载的应用。本实施例中基于用户终端发送的网络接入请求报文符合以太网的数据帧格式，以太网帧格式包括源地址、目的地址、类型域、数据域和帧校验。其中，以太网的类型域是最重要的一个字段，通过这个字段的内容，数据包的接收方可以识别以太网的数据域中承载的是什么协议的数据报文。对于用户终端进行网络访问的两大阶段，也正是通过以太网的类型域进行区分的，具体地，在网络访问的发现阶段即用户终端发送的网络接入请求报文，以太网的类型域填充0x8863；而在网络访问的会话阶段，以太网的类型域填充为0x8864。因此，若通过汇聚交换机对广播报文的深度包检测获知，该广播报文的类型域填充0x8863，则确定该广播报文为网络接入请求报文，此时，汇聚交换机不再向所有的宽带接入服务器广播网络接入请求报文，而是将网络接入请求报文发送给与备用宽带接入服务器标识对应的备用宽带接入服务器，停止向与主用宽带接入服务器标识对应的主用宽带接入器发送网络接入请求报文。

步骤102，所述备用宽带接入服务器根据获取的报文响应指示对所述汇聚交换机发送的所述网络接入请求报文进行处理。

由于汇聚交换机不再向主用宽带接入服务器发送通过深度包检测技术检测到用户终端发送的网络接入请求报文，从而只有备用宽带接入服务器接收用户终端发送的网络接入请求报文，若备用宽带接入服务器获取报文响应指示，则通过汇聚交换机向用户终端发送网络接入响应报文，对用户终端进行网络接入和网络访问的工作。

需要说明的是，本实施例中备用宽带接入服务器可以通过多种方式获取报文响应指示，可以根据具体的应用需要进行选择，举例如下：

方式一：主用宽带接入服务器获取用户终端过载状态后，则向备用宽带接入服务器发送报文响应指示，以供备用宽带接入服务器根据报文响应指示对以后接收到的网络接入请求报文进行响应。

方式二：汇聚交换机若接收到主用宽带接入服务器发送的报文检测请求，则向备用宽带接入服务器发送报文响应指示，以供备用宽带接入服务器根据报文响应指示对以后接收到的网络接入请求报文进行响应。

本实施例提供的网络访问控制方法，通过主用宽带接入服务器获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；汇聚交换机根据主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将网络接入请求报文发送给与备用宽带接入服务器标识对应的所述备用宽带接入服务器；备用宽带接入服务器根据获取的报文响应指示对汇聚交换机发送的网络接入请求报文进行处理。实现了备用宽带接入服务器可以与主用宽带接入服务器共同承载用户流量，既可以减轻主用宽带接入服务器的负担，又可以提高备用宽带接入服务器的利用率。

图2为本发明网络访问控制方法另一实施例的流程图，如图2所示，该方法包括：

步骤200，所述主用宽带接入服务器将所响应的网络接入请求报文的数量与预设的承载阈值进行比较，若达到所述承载阈值，则确定用户终端过载，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；

主用宽带接入服务器每次响应用户终端发送的网络接入请求报文时，查看本地数据库中已经响应的用户终端的数量，并和预先设定的承载阈值M进行大小比较，若已经响应的用户终端的数量小于承载阈值M，则主用宽带接入服务器继续响应用户终端发送的网络接入请求报文，对用户终端完成网络接入和网络访问的工作；若已经响应的用户终端的数量达到承载阈值M，则向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求。

步骤201，所述汇聚交换机根据所述主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对所述用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将包含报文响应指示的网络接入请求报文发送给与所述备用宽带接入服务器标识对应的所述备用宽带接入服务器；

本实施例中的步骤201可以参见上述图1所示实施例中的步骤101，此处不再赘述。

步骤202，所述备用宽带接入服务器根据报文响应指示响应汇聚交换机发送的所述网络接入请求报文，与所述用户终端建立会话；

备用宽带接入服务器通过汇聚交换机向用户终端发送包含备用宽带接入服务器IP地址的网络接入响应报文，用户终端根据备用宽带接入服务器IP地址向备用宽带接入服务器发送网络会话请求报文，备用宽带接入服务器根据网络会话请求报文向用户终端返回包括会话标识符的网络会话响应报文，用户终端接收到网络会话响应报文后，与备用宽带接入服务器之间建立会话连接。

步骤203，所述备用宽带接入服务器接收所述用户终端发送的携带会话标识符、用户名称和密码的网络配置请求报文；

用户终端向备用宽带接入服务器发送网络配置请求报文，其中，网络配置请求报文包括会话标识符、用户名称和密码。

步骤204，所述备用宽带接入服务器将所述网络配置请求报文发送给Radius服务器，以供所述Radius服务器对所述用户终端进行认证；

备用宽带接入服务器将接收到的网络配置请求报文发送给Radius服务器，Radius服务器从网络配置请求报文中获取用户终端的用户名称和密码，查询本地存储的用户终端的用户名称和密码对所述用户终端进行认证，若两者一致则认证通过，向备用宽带接入服务器返回用户终端的认证通过消息，若两者不一致则向备用宽带接入服务器返回用户终端的认证错误消息。

步骤205，若所述备用宽带接入服务器接收到所述Radius服务器返回的认证通过消息，则向所述用户终端分配IP地址，以供所述用户终端进行网络访问。

当备用宽带接入服务器接收到Radius服务器返回的认证通过消息，则向该用户终端分配IP地址，用户终端根据备用宽带接入服务器分配的IP地址与网络建立了链接，可以向备用宽带接入服务器发送网络访问请求进行网络访问。

本实施例提供的网络访问控制方法，通过主用宽带接入服务器获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；汇聚交换机根据主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将包含报文响应指示的网络接入请求报文发送给与备用宽带接入服务器标识对应的所述备用宽带接入服务器；备用宽带接入服务器根据获取的报文响应指示对汇聚交换机发送的网络接入请求报文，完成用户终端的网络接入和网络访问的工作。实现了备用宽带接入服务器可以与主用宽带接入服务器共同承载用户流量，既可以减轻主用宽带接入服务器的负担，又可以提高备用宽带接入服务器的利用率。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图3为本发明网络访问控制系统一个实施例的结构示意图，如图3所示，该系统包括：主用宽带接入服务器1、汇聚交换机2和备用宽带接入服务器3，其中，主用宽带接入服务器1用于获取用户终端过载状态后，向汇聚交换机2发送包含主用宽带接入服务器标识的报文检测请求；汇聚交换机2用于根据主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将网络接入请求报文发送给与备用宽带接入服务器标识对应的备用宽带接入服务器3；备用宽带接入服务器3用于根据获取的报文响应指示对汇聚交换机2发送的网络接入请求报文进行处理。

本实施例提供的网络访问控制系统中各模块的功能和处理流程，可以参见上述图1所示的方法实施例，其实现原理和技术效果类似，此处不再赘述。

图4为本发明网络访问控制系统另一实施例的结构示意图，如图4所示，基于图3所示的实施例，该系统还包括：Radius服务器4，用于对用户终端的合法性进行认证。

其中，主用宽带接入服务器1具体用于：将所响应的网络接入请求报文的数量与预设的承载阈值进行比较，若未达到所述承载阈值，对用户终端发送的网络接入请求进行响应，通过Radius服务器4对用户终端的合法性进行认证，为用户终端分配IP地址，完成用户终端的网络接入和网络访问工作；若达到所述承载阈值，则确定用户终端过载。

进一步地，备用宽带接入服务器3获取报文响应指示的方式可以通过主用宽带接入服务器1若判断获知所响应的网络接入请求报文的数量达到所述承载阈值，则向备用宽带接入服务器3发送报文响应指示；或者，汇聚交换机2若接收到主用宽带接入服务器发送的报文检测请求，则向备用宽带接入服务器3发送报文响应指示。

进一步地，备用宽带接入服务器3具体用于：根据获取的报文响应指示响应汇聚交换机2发送的网络接入请求报文，与用户终端建立会话；接收用户终端发送的携带会话标识符、用户名称和密码的网络配置请求报文；将网络配置请求报文发送给Radius服务器4，以供Radius服务器4对用户终端进行认证；若接收到Radius服务器4返回的认证通过消息，则向用户终端分配IP地址，以供用户终端进行网络访问。

本实施例提供的网络访问控制系统中各模块的功能和处理流程，可以参见上述图2所示的方法实施例，其实现原理和技术效果类似，此处不再赘述。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种网络访问控制方法，其特征在于，包括：

主用宽带接入服务器获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；

所述汇聚交换机根据所述主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对所述用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将所述网络接入请求报文发送给与所述备用宽带接入服务器标识对应的所述备用宽带接入服务器；

所述备用宽带接入服务器根据获取的报文响应指示对所述汇聚交换机发送的所述网络接入请求报文进行处理。

2.根据权利要求1所述的网络访问控制方法，其特征在于，所述主用宽带接入服务器获取用户终端过载状态包括：

所述主用宽带接入服务器将所响应的网络接入请求报文的数量与预设的承载阈值进行比较，若达到所述承载阈值，则确定用户终端过载。

3.根据权利要求1或2所述的网络访问控制方法，其特征在于，所述备用宽带接入服务器根据获取的报文响应指示包括：

所述主用宽带接入服务器若判断获知所响应的网络接入请求报文的数量达到所述承载阈值，则向所述备用宽带接入服务器发送所述报文响应指示。

4.根据权利要求1或2所述的网络访问控制方法，其特征在于，所述备用宽带接入服务器根据获取的报文响应指示包括：

所述汇聚交换机若接收到所述主用宽带接入服务器发送的报文检测请求，则向所述备用宽带接入服务器发送所述报文响应指示。

5.根据权利要求1或2所述的网络访问控制方法，其特征在于，所述对所述汇聚交换机发送的所述网络接入请求报文进行处理包括：

所述备用宽带接入服务器响应所述汇聚交换机发送的所述网络接入请求报文，与所述用户终端建立会话；

所述备用宽带接入服务器接收所述用户终端发送的携带会话标识符、用户名称和密码的网络配置请求报文；

所述备用宽带接入服务器将所述网络配置请求报文发送给Radius服务器，以供所述Radius服务器对所述用户终端进行认证；

若所述备用宽带接入服务器接收到所述Radius服务器返回的认证通过消息，则向所述用户终端分配IP地址，以供所述用户终端进行网络访问。

6.一种网络访问控制系统，其特征在于，包括：

主用宽带接入服务器，用于获取用户终端过载状态后，向汇聚交换机发送包含主用宽带接入服务器标识的报文检测请求；

所述汇聚交换机，用于根据所述主用宽带接入服务器标识和本地存储的宽带接入服务器标识确定备用宽带接入服务器标识，并对所述用户终端发送的广播报文进行深度包检测确定是否为网络接入请求报文，若是，则将所述网络接入请求报文发送给与所述备用宽带接入服务器标识对应的所述备用宽带接入服务器；

所述备用宽带接入服务器，用于根据获取的报文响应指示对所述汇聚交换机发送的所述网络接入请求报文进行处理。

7.根据权利要求6所述的网络访问控制系统，其特征在于，所述主用宽带接入服务器具体用于：

将所响应的网络接入请求报文的数量与预设的承载阈值进行比较，若达到所述承载阈值，则确定用户终端过载。

8.根据权利要求6或7所述的网络访问控制系统，其特征在于，所述主用宽带接入服务器还用于：

若判断获知所响应的网络接入请求报文的数量达到所述承载阈值，则向所述备用宽带接入服务器发送所述报文响应指示。

9.根据权利要求6或7所述的网络访问控制系统，其特征在于，所述汇聚交换机还用于：

若接收到主用宽带接入服务器发送的报文检测请求，则向所述备用宽带接入服务器发送所述报文响应指示。

10.根据权利要求6或7所述的网络访问控制系统，其特征在于，所述备用宽带接入服务器具体用于：

根据获取的报文响应指示响应所述汇聚交换机发送的所述网络接入请求报文，与所述用户终端建立会话；

接收所述用户终端发送的携带会话标识符、用户名称和密码的网络配置请求报文；

将所述网络配置请求报文发送给Radius服务器，以供所述Radius服务器对所述用户终端进行认证；

若接收到所述Radius服务器返回的认证通过消息，则向所述用户终端分配IP地址，以供所述用户终端进行网络访问。

Images