CN102404325A - 报文访问控制方法及交换机 - Google Patents

Abstract

本发明实施例公开了一种报文访问控制方法及交换机，涉及通信技术领域，所述方法包括：交换机接收接入所述交换机的客户端发送的广播报文；将访问权限控制字封装在所述广播报文中；将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配；向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。本发明适用于报文的访问控制。

Description

报文访问控制方法及交换机

技术领域

本发明涉及通信技术领域，特别涉及一种报文访问控制方法及交换机。

背景技术

在过去的十年中，以太网技术得到了迅速的发展，由于其高带宽和低成本的特点，以太网有很强的竞争力。但城域以太网通常只提供点到点的服务，并且不能跨广域网提供服务。为了能在城域网和广域网上提供与以太网类似的多点服务，VPLS(Virtual Private LAN Service，虚拟专用局域网服务)应运而生。

VPLS是一种基于MPLS(Multi-Protocol Label Switching，多协议标签交换)和以太网技术的二层VPN(Virtual Private Network，虚拟专用网络)技术。不同于普通的二层VPN的点到点业务，利用VPLS可以实现通过MPLS骨干网向用户提供基于以太网的多点业务，通过分组交换网络连接多个以太网LAN(localarea network，局域网)网段，使它们像一个LAN那样工作。

在VPLS组网中，客户端和服务器处于同一个VSI(Virtual Switch Instance，虚拟交换实例)下，客户端除了能够访问服务器之外，客户端之间也能够互相访问。

在实现本发明的过程中，发明人发现现有技术中至少存在如下问题：客户端的信息安全不能够得到保证。

发明内容

本发明的实施例提供一种报文访问控制方法及交换机，能够保证客户端的信息安全。

本发明实施例采用的技术方案为：

一种报文访问控制方法，包括：

交换机接收接入所述交换机的客户端发送的广播报文；

将访问权限控制字封装在所述广播报文中；

将广播报文中的访问权限控制字与处于相同交换机下的其他客户端的访问权限进行匹配；

向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。

一种交换机，包括：

接收器，用于接收接入交换机的客户端发送的广播报文；

第一处理器，用于将访问权限控制字封装在所述广播报文中；

第二处理器，用于将广播报文中的访问权限控制字与处于相同交换机下的其他客户端的访问权限进行匹配；

发送器，用于向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。

本发明实施例提供的报文访问控制方法及交换机，交换机接收接入所述交换机的客户端发送的广播报文；将访问权限控制字封装在所述广播报文中；将广播报文中的访问权限控制字与处于相同交换机下的其他客户端的访问权限进行匹配；向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。与现有技术相比，本发明实施例通过为广播报文封装访问权限控制字并且为客户端配置访问权限，交换机只将广播报文发送给拥有与所述广播报文的访问权限控制字相匹配的访问权限的客户端，保证了客户端的信息安全，并且避免了客户端之间自由访问造成的客户带宽的浪费。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例一提供的报文访问控制方法流程图；

图2为本发明实施例二提供的报文访问控制方法流程图；

图3为本发明实施例三提供的交换机的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

为使本发明技术方案的优点更加清楚，下面结合附图和实施例对本发明作详细说明。

实施例一

本实施例提供一种报文访问控制方法，如图1所示，所述方法包括：

101、交换机接收接入所述交换机的客户端发送的广播报文。

102、交换机将访问权限控制字封装在所述广播报文中。

103、交换机将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配。

104、交换机向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。

进一步的，交换机为接入所述交换机的客户端配置访问权限。

其中，所述访问权限控制字根据客户端所要访问的目标客户端的访问权限进行配置，与所述目标客户端的访问权限相匹配。所述访问权限控制字可以为4字节或8字节的字符，例如1A、1B等，客户端的访问权限也使用相同格式的字符进行配置，例如1A、1B等。

本发明实施例提供的报文访问控制方法，交换机接收接入所述交换机的客户端发送的广播报文；将访问权限控制字封装在所述广播报文中；将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配；向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。与现有技术相比，本发明实施例通过交换机为广播报文封装访问权限控制字并且为客户端配置访问权限，交换机只将广播报文发送给拥有与所述广播报文的访问权限控制字相匹配的访问权限的客户端，保证了客户端的信息安全，避免了客户端之间自由访问造成的客户带宽的浪费。

实施例二

本实施例提供一种报文访问控制方法，如图2所示，第一客户端、第二客户端和第三客户端为接入第一交换机的三个客户端，第四客户端和第五客户端为接入第二交换机的客户端，第一交换机和第二交换机处于同一个VPLS(VirtualPrivate LAN Service，虚拟专用局域网服务)中，所述方法包括：

201、第一交换机接收第一客户端发送的广播报文。

所述第一客户端需要访问VPLS网络中的第二客户端和第五客户端。

202、第一交换机为所述广播报文封装访问权限控制字。

其中，所述访问权限控制字根据第一客户端所要访问的第二客户端和第五客户端的访问权限进行配置，与所述第二客户端和第五客户端的访问权限相匹配。具体的，所述访问权限控制字可以为4字节或8字节的字符，例如1A、1B等。

其中，所述访问权限由交换机为接入所述交换机的客户端配置，配置信息保存在交换机中，具体的，访问权限使用4字节或8字节的字符进行配置，例如1A、1B等，如果第一交换机将第二客户端的访问权限配置为1A、第三客户端的访问权限配置为1C，第二交换机将第四客户端的访问权限配置为1D、第五客户端的访问权限配置为1B，则所述第一交换机在封装访问权限控制字时，封装1A以及1B两种字符。

进一步的，访问权限还可以配置为空或全局。例如，当客户端的访问权限配置为00时，表示所述客户端的访问权限为空，所述客户端发送的广播报文不会在网络中进行广播，所述客户端被默认为不处于运行状态，所述客户端与网络中所有客户端不能互相访问；当客户端的访问权限配置为11时，表示所述客户端的访问权限为全局，所述客户端与网络中所有客户端能够互相访问，当访问权限为11的客户端向网络中的所有客户端发送广播报文时，交换机不为所述广播报文封装访问权限控制字或者将所述访问权限控制字配置为11，对于不封装访问权限控制字的广播报文以及所述访问权限控制字配置为11的广播报文，默认为向网络中所有处于运行状态的客户端发送；当网络中处于运行状态的客户端向访问权限为11的客户端发送广播报文时，交换机将所述广播报文的访问权限控制字配置为11；当客户端出现故障时，将所述客户端的访问权限配置为空。

203、第一交换机将广播报文中的访问权限控制字与处于第一交换机下的其他客户端的访问权限进行匹配。

在交换机将接收到的广播报文中的访问权限控制字与接入所述交换机的客户端的访问权限进行匹配之前，所述交换机对发送所述广播报文的源客户端的访问权限和所述源客户端的目标客户端的访问权限进行判断：

当源客户端的访问权限为空时，交换机不对所述源客户端发送的广播报文进行广播；当目标客户端的访问权限为空时，交换机收到源客户端发送的广播报文后不向所述目标客户端进行广播；当源客户端的访问权限为全局时，交换机机收到源客户端发送的广播报文后，向所有访问权限不为空的客户端发送所述广播报文；当目标客户端的访问权限为全局时，交换机向所述目标客户端发送所述交换机接收到的源客户端的访问权限不为空的所有广播报文。

所述广播报文的访问权限控制字包括1A和1B两种字符，第一交换机将存储的处于第一交换机下的第二客户端以及第三客户端的访问权限配置与所述广播报文的访问权限控制字进行匹配，如果第二客户端或第三客户端的访问权限配置为1A或1B，表示广播报文的访问权限控制字与所述客户端的访问权限匹配，如果第二客户端或第三客户端的访问权限配置不为1A或1B，表示广播报文的访问权限控制字与所述第二客户端或第三客户端的访问权限不匹配。

204、第一交换机向访问权限与所述访问权限控制字相匹配的第二客户端发送所述广播报文。

所述第二客户端的访问权限为1A，而所述广播报文中的访问权限控制字中包括所述1A的控制字，则所述第二客户端的访问权限与所述访问权限控制字相匹配，第一交换机向所述第二客户端发送所述广播报文。

205、第一交换机拒绝向访问权限与所述访问权限控制字不相匹配的第三客户端发送所述广播报文。

所述第三客户端的访问权限为1C，而所述广播报文中的访问权限控制字中只包括1A和1B的控制字，则所述第三客户端的访问权限与所述访问权限控制字不相匹配，第一交换机拒绝向所述第三客户端发送所述广播报文。

206、向第二交换机发送封装过访问权限控制字的广播报文。

所述广播报文中封装的访问权限控制字为1A和1B两种字符。

207、第二交换机将所述广播报文中的访问权限控制字与处于第二交换机下的所有客户端的访问权限进行匹配。

所述广播报文的访问权限控制字包括1A和1B两种字符，第二交换机将存储的处于第二交换机下的第四客户端以及第五客户端的访问权限配置与所述广播报文的访问权限控制字进行匹配，如果第四客户端或第五客户端的访问权限配置为1A或1B，表示广播报文的访问权限控制字与所述客户端的访问权限匹配，如果第四客户端或第五客户端的访问权限配置不为1A或1B，表示广播报文的访问权限控制字与所述第四客户端或第五客户端的访问权限不匹配。

208、第二交换机向访问权限与所述访问权限控制字相匹配的第五客户端发送所述广播报文。

所述第五客户端的访问权限为1B，而所述广播报文中的访问权限控制字中包括所述1B的控制字，则所述第五客户端的访问权限与所述访问权限控制字相匹配，第二交换机向所述第五客户端发送所述广播报文。

209、第二交换机拒绝向访问权限与所述访问权限控制字不相匹配的第四客户端发送所述广播报文。

所述第四客户端的访问权限为1D，而所述广播报文中的访问权限控制字中只包括1A及1B的控制字，则所述第四客户端的访问权限与所述访问权限控制字不相匹配，第二交换机拒绝向所述第四客户端发送所述广播报文。

本发明实施例提供的报文访问控制方法，第一交换机接收第一客户端发送的广播报文；第一交换机为所述广播报文封装访问权限控制字；第一交换机将广播报文中的访问权限控制字与处于第一交换机下的其他客户端的访问权限进行匹配；第一交换机向访问权限与所述访问权限控制字相匹配的第二客户端发送所述广播报文；第一交换机拒绝向访问权限与所述访问权限控制字不相匹配的第三客户端发送所述广播报文。与现有技术相比，本发明实施例通过交换机为广播报文封装访问权限控制字并且为客户端配置访问权限，交换机只将广播报文发送给拥有与所述广播报文的访问权限控制字相匹配的访问权限的客户端，保证了客户端的信息安全，并且避免了客户端之间自由访问造成的客户带宽的浪费，对于出现故障的客户端，将其访问权限配置为空，避免所述客户端发送的广播报文在网络中发送，增强了网络的稳定性。

实施例三

本实施例提供一种交换机，如图3所示，所述交换机包括：

接收器31，用于接收接入交换机的客户端发送的广播报文；

第一处理器32，用于将访问权限控制字封装在所述广播报文中；

第二处理器33，用于将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配；

发送器34，用于向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。

进一步的，所述第一处理器32还用于：

为接入所述交换机的客户端配置访问权限。

进一步的，所述发送器34还用于：

向网络中其它交换机发送所述广播报文。

进一步的，所述接收器31还用于：

接收网络中其他交换机发送的已封装的广播报文；

则所述第二处理器33还用于：

将所述已封装的广播报文中包括的访问权限控制字与接入交换机的所有客户端的访问权限进行匹配；

则所述发送器34还用于：

向访问权限与所述访问权限控制字相匹配的客户端发送所述广播报文；

拒绝向访问权限与所述访问权限控制字不相匹配的客户端发送所述广播报文。

其中，所述访问权限控制字根据客户端所要访问的目标客户端的访问权限进行配置，与所述目标客户端的访问权限相匹配。

进一步的，所述第一处理器32还用于：

当客户端出现故障时，将所述客户端的访问权限配置为空，访问权限为空表示所述客户端与所有客户端不能互相访问。

本发明实施例提供的交换机，接收器31接收接入交换机的客户端发送的广播报文；第一处理器32将访问权限控制字封装在所述广播报文中；第二处理器33将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配；发送器34向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；发送器34拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。与现有技术相比，本发明实施例通过交换机为广播报文封装访问权限控制字并且为客户端配置访问权限，交换机只将广播报文发送给拥有与所述广播报文的访问权限控制字相匹配的访问权限的客户端，保证了客户端的信息安全，避免了客户端之间自由访问造成的客户带宽的浪费。对于出现故障的客户端，将其访问权限配置为空，避免所述客户端发送的广播报文在网络中发送，增强了网络的稳定性。

本发明实施例提供的交换机可以实现上述提供的方法实施例，具体功能实现请参见方法实施例中的说明，在此不再赘述。本发明实施例提供的报文访问控制方法及交换机可以适用于报文的访问控制，但不仅限于此。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种报文访问控制方法，其特征在于，包括：

交换机接收接入所述交换机的客户端发送的广播报文；

将访问权限控制字封装在所述广播报文中；

将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配；

向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。

2.根据权利要求1所述的报文访问控制方法，其特征在于，还包括：

交换机为接入所述交换机的客户端配置访问权限。

3.根据权利要求1所述的报文访问控制方法，其特征在于，所述访问权限控制字根据客户端所要访问的目标客户端的访问权限进行配置，与所述目标客户端的访问权限相匹配。

4.根据权利要求1所述的报文访问控制方法，其特征在于，还包括：

交换机接收网络中其他交换机发送的已封装的广播报文；

将所述已封装的广播报文中包括的访问权限控制字与接入交换机的所有客户端的访问权限进行匹配；

向访问权限与所述访问权限控制字相匹配的客户端发送所述广播报文；

拒绝向访问权限与所述访问权限控制字不相匹配的客户端发送所述广播报文。

5.根据权利要求3所述的报文访问控制方法，其特征在于，当客户端出现故障时，将所述客户端的访问权限配置为空，访问权限为空表示所述客户端与所有客户端不能互相访问。

6.一种交换机，其特征在于，包括：

接收器，用于接收接入交换机的客户端发送的广播报文；

第一处理器，用于将访问权限控制字封装在所述广播报文中；

第二处理器，用于将广播报文中的访问权限控制字与接入所述交换机的其他客户端的访问权限进行匹配；

发送器，用于向访问权限与所述访问权限控制字相匹配的其他客户端发送所述广播报文；拒绝向访问权限与所述访问权限控制字不相匹配的其他客户端发送所述广播报文。

7.根据权利要求6所述的交换机，其特征在于，所述第一处理器还用于：

为接入所述交换机的客户端配置访问权限。

8.根据权利要求6所述的交换机，其特征在于，所述访问权限控制字根据客户端所要访问的目标客户端的访问权限进行配置，与所述目标客户端的访问权限相匹配。

9.根据权利要求6所述的交换机，其特征在于，所述接收器还用于：

接收网络中其他交换机发送的已封装的广播报文；

所述第二处理器还用于：

将所述已封装的广播报文中包括的访问权限控制字与接入交换机的所有客户端的访问权限进行匹配；

所述发送器还用于：

向访问权限与所述访问权限控制字相匹配的客户端发送所述广播报文；

拒绝向访问权限与所述访问权限控制字不相匹配的客户端发送所述广播报文。

10.根据权利要求6所述的交换机，其特征在于，所述第一处理器还用于：

当客户端出现故障时，将所述客户端的访问权限配置为空，访问权限为空表示所述客户端与所有客户端不能互相访问。

Images