CN102594818A - 网络访问权限控制方法、装置及相关设备 - Google Patents

Abstract

本发明公开了一种网络访问权限控制方法、装置及相关设备，该方法包括步骤：认证服务器确定用户的网络访问权限；并将确定出的网络访问权限的权限标识和用户的用户标识携带在授权报文中发送给网络转发设备；网络转发设备在权限标识和局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识；并将用户标识和局域网标识对应存储；网络转发设备在用户标识与局域网标识之间的对应关系中，查找用户标识对应的局域网标识；并将用户的数据报文在查找到的局域网标识对应的VLAN中传输。采用本发明技术方案，解决了现有技术中无法实现对用户的网络访问权限进行控制的问题。

Description

网络访问权限控制方法、装置及相关设备

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络访问权限控制方法、装置及相关设备。

背景技术

当前，互联网为用户提供了大量的网络资源，其中，某些网络资源只有具有相应网络访问权限的用户才可以访问，而不同的用户通常具有不同的网络访问权限，例如有些用户只能访问其所在局域网内的某个特定网络，有些用户能访问其所在局域网内的所有网络。

为了对用户的网络访问权限进行控制，现有技术通常预先设置多个虚拟局域网(VLAN，Virtual Local Area Network)，每个VLAN对应一种网络访问权限，且网络转发设备(例如交换机)中的每个转发端口(例如交换机中的交换机端口)对应一种网络访问权限，网络管理员预先将对应相同网络访问权限的交换机端口分配给同一个VLAN，即预先设置交换机端口和VLAN之间的对应关系。具有某网络访问权限的用户想要接入网络时，先使用终端设备与该网络访问权限对应的交换机端口连接，那么该用户的数据流就会在该网络访问权限对应的VLAN内传输。

由上可见，现有技术在控制用户的网络访问权限时，是通过设置交换机端口和VLAN之间的对应关系来实现的，连接到同一交换机端口的各用户必须对应相同的网络访问权限，那么交换机才能根据交换机端口与VLAN之间的对应关系，将连接到同一交换机端口的用户分配给同一VLAN，从而对用户的网络访问权限进行控制。

但是在实际应用中，连接到同一交换机端口的多个用户很有可能具有不同的网络访问权限，例如，终端设备1与交换机端口a连接，用户A使用终端设备1访问网络时，交换机根据用户A连接的交换机端口a，确定出对应的VLAN，那么该用户A访问网络时发送的数据报文均在该VLAN中传输，后续用户B使用终端设备1访问网络时，交换机根据用户B连接的交换机端口a，确定出同一VLAN，那么该用户B访问网络时发送的数据报文也会在该VLAN中传输，但是用户A和用户B可能具有不同的网络访问权限，也就是说应该将用户A和用户B分配给不同的VLAN。或者，用户C使用的终端设备2、用户D使用的终端设备3和用户E使用的终端设备4均连接到交换机端口b中，那么交换机就会根据交换机端口b确定出对应的VLAN，用户C、用户D和用户E访问网络时发送的数据报文均在该VLAN中传输，但是用户C、用户D和用户E可能具有不同的网络访问权限，也就是说应该将用户C、用户D和用户E分配给不同的VLAN。

由上可见，即使连接到同一交换机端口的多个用户具有不同的网络访问权限，此时交换机依然会根据交换机端口与VLAN之间的对应关系，将这些用户分配给同一VLAN，从而无法实现对用户的网络访问权限进行控制。

发明内容

本发明实施例提供一种网络访问权限控制方法、装置及相关设备，用以解决现有技术中连接到同一转发端口的多个用户具有不同的网络访问权限时，无法实现对用户的网络访问权限进行控制的问题。

本发明实施例技术方案如下：

一种网络访问权限控制方法，该方法包括步骤：用户请求接入网络时，认证服务器对用户进行合法性认证，并在认证通过后，确定所述用户的网络访问权限；所述认证服务器将确定出的网络访问权限的权限标识和所述用户的用户标识携带在授权报文中发送给网络转发设备；所述网络转发设备在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识；并将接收到的授权报文中携带的用户标识和查找到的局域网标识对应存储；后续在所述用户发送数据报文时，所述网络转发设备在用户标识与局域网标识之间的对应关系中，查找所述用户标识对应的局域网标识；并将所述用户的数据报文在查找到的局域网标识对应的VLAN中传输。

一种网络访问权限控制装置，包括：合法性认证单元，用于在用户请求接入网络时，对所述用户进行合法性认证；网络访问权限确定单元，用于在所述合法性认证单元认证通过后，确定所述用户的网络访问权限；授权报文发送单元，用于将网络访问权限确定单元确定出的网络访问权限的权限标识和所述用户的用户标识携带在授权报文中发送给网络转发设备。

一种认证服务器，包括上述网络访问权限控制装置。

一种网络访问权限控制装置，包括：授权报文接收单元，用于接收认证服务器发送的授权报文，所述授权报文中携带有请求接入网络的用户的用户标识和所述用户的网络访问权限的权限标识；第一局域网标识查找单元，用于在权限标识和VLAN的局域网标识之间的对应关系中，查找授权报文接收单元接收到的授权报文中携带的权限标识对应的局域网标识；存储单元，用于将授权报文接收单元接收到的授权报文中携带的用户标识和第一局域网标识查找单元查找到的局域网标识对应存储；第二局域网标识查找单元，用于后续在所述用户发送数据报文时，在存储单元存储的用户标识与局域网标识之间的对应关系中，查找所述用户的用户标识对应的局域网标识；第一传输单元，用于将所述用户的数据报文在第二局域网标识查找单元查找到的局域网标识对应的VLAN中传输。

一种网络转发设备，包括上述网络访问权限控制装置。

本发明实施例技术方案中，当用户请求接入网络时，首先由认证服务器对用户进行合法性认证，并在认证通过后确定该用户的网络访问权限，并将确定出的网络访问权限的权限标识和该用户的用户标识携带在授权报文中发送给网络转发设备，然后由网络转发设备在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识，并将接收到的授权报文中携带的用户标识和查找到的局域网标识对应存储，后续在该用户发送数据报文时，网络转发设备在用户标识与局域网标识之间的对应关系中，查找该用户的用户标识对应的局域网标识，并将该用户的数据报文在查找到的局域网标识对应的VLAN中传输。由上可见，本发明实施例技术方案中，用户请求接入网络时，网络转发设备建立用户标识与局域网标识的对应关系，后续在用户发送数据报文时，可以直接根据建立的对应关系查找局域网标识，并将该用户的数据报文在查找到的局域网标识对应的VLAN中传输，因此即使连接到同一转发端口的多个用户具有不同的网络访问权限，本发明实施例技术方案也能够实现对用户的网络访问权限进行控制。

附图说明

图1为本发明实施例一中，网络访问权限控制方法流程示意图；

图2为本发明实施例二中，网络访问权限控制方法网络架构示意图；

图3为本发明实施例三中，网络访问权限控制方法具体实现流程示意图；

图4为本发明实施例四中，认证服务器侧的网络访问权限控制装置结构示意图；

图5为本发明实施例四中，网络转发设备侧的网络访问权限控制装置结构示意图。

具体实施方式

下面结合各个附图对本发明实施例技术方案的主要实现原理、具体实施方式及其对应能够达到的有益效果进行详细地阐述。

实施例一

如图1所示，为本发明实施例一中的网络访问权限控制方法流程示意图，其具体处理流程如下：

步骤11，用户请求接入网络时，认证服务器对用户进行合法性认证，并在认证通过后，确定该用户的网络访问权限。

本发明实施例一中，用户在请求接入网络时，可以先使用终端设备向认证服务器发起认证，即向认证服务器发送认证请求，其中，用户在使用终端设备向认证服务器发送认证请求时，先要将该认证请求发送给网络转发设备，再由网络转发设备将接收到的认证请求发送给认证服务器。

用户发送的认证请求中携带有该用户的认证信息，其中，用户的认证信息可以但不限于为用户预先注册的用户名和密码等，认证服务器接收到用户的认证请求后，从接收到的认证请求中提取出用户的认证信息，并根据提取出的认证信息对用户接入网络的合法性进行认证，认证服务器中存储有各用户预先注册的用户名和密码，认证服务器在对用户接入网络的合法性进行认证时，查看是否存储有提取出的认证信息中携带的用户名和密码，若存储有，则确认认证通过，即该用户为接入网络的合法用户，否则，确认认证失败，即该用户为接入网络的非法用户。

认证服务器在确认认证通过时，在该用户的网络账户中查看该用户的网络访问权限设置，从而确定该用户的网络访问权限。

步骤12，认证服务器将确定出的网络访问权限的权限标识和用户的用户标识携带在授权报文中发送给网络转发设备。

认证服务器在确认对用户的合法性认证的认证结果为认证通过时，向网络转发设备和用户所使用的终端设备发送授权报文，认证服务器在确认对用户的合法性认证的认证结果为认证失败后，向网络转发设备和用户所使用的终端设备发送拒绝报文。其中，由于用户使用的终端设备不能直接和认证服务器通信，需要由网络转发设备进行转发，因此认证服务器可以直接将授权报文或拒绝报文发送给网络转发设备，网络转发设备可以将接收到的授权报文或拒绝报文转发给终端设备。

本发明实施例一中，认证服务器发送给网络转发设备的授权报文中不仅携带有该用户的用户标识，还携带有步骤11确定出的网络访问权限对应的权限标识，具体的：预先在授权报文中设置用于承载权限标识的权限标识字段和用于承载用户标识的用户标识字段，认证服务器在向网络转发设备发送授权报文时，将步骤21确定出的网络访问权限对应的权限标识和用户标识分别插入到预先设置的权限标识字段和用户标识字段中，然后再将授权报文发送给网络转发设备。其中，用户的用户标识可以为该用户所使用的终端设备的介质访问控制(MAC，Media Access Control)地址，还可以为该用户所使用的终端设备的唯一设备序列号。

步骤13，网络转发设备在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识。

本发明实施例一中，网络转发设备若接收到认证服务器发送的拒绝报文，则确认该用户无法访问任何网络，若接收到认证服务器发送的授权报文，则确认该用户可以访问网络。

预先创建多个VLAN，每个VLAN对应一种网络访问权限，网络转发设备预先设置每个VLAN对应的网络访问权限，将VLAN的局域网标识与网络访问权限的权限标识对应存储，形成如表一所示的局域网标识与权限标识之间的对应关系。

表一：

VLAN的局域网标识	网络访问权限的权限标识
		VLAN1	局域网内的网络一
VLAN2	局域网内的网络二
		VLAN3	局域网内的所有网络

若网络转发设备接收到的授权报文中携带的权限标识为“局域网内的所有网络”，则网络转发设备经过查找表一可知，该用户的网络访问权限对应的VLAN的局域网标识为VLAN3。

步骤14，网络转发设备将接收到的授权报文中携带的用户标识和查找到的局域网标识对应存储。

本发明实施例一中，若用户的用户标识为用户使用的终端设备的MAC地址，则MAC地址和VLAN的局域网标识之间的对应关系可以称为VLAN_MAC表项，网络转发设备将该VLAN_MAC表项存储在网络转发设备使用的专用集成电路(ASIC，Application Specific Intergrated Circuits)交换芯片中。

MAC地址和VLAN的局域网标识之间的对应关系可以但不限于如表二所示。

表二：

MAC地址	VLAN的局域网标识
		MAC地址1	VLAN1
MAC地址2	VLAN2
		MAC地址3	VLAN3

步骤15，后续在用户发送数据报文时，网络转发设备在用户标识与局域网标识之间的对应关系中，查找用户标识对应的局域网标识。

用户发送的数据报文中携带有该用户的用户标识，网络转发设备从接收到的数据报文中提取出用户标识，然后在存储的用户标识与局域网标识之间的对应关系中，查找该用户的用户标识对应的局域网标识。

若用户标识为用户所使用的终端设备的MAC地址，则网络转发设备接收到用户的数据报文之后，从接收到的数据报文的报文头的源MAC地址字段中提取出该用户所使用的终端设备的MAC地址，并在MAC地址和VLAN的局域网标识之间的对应关系中，查找与提取出的MAC地址对应的VLAN的局域网标识。

步骤16，网络转发设备将用户的数据报文在查找到的局域网标识对应的VLAN中传输。

用户的各种类型的数据报文(例如，单址帧数据报文、多址帧数据报文、以及广播帧数据报文)，都将被限制在查找到的局域网标识对应的VLAN中传输。

其中，在步骤15中，若网络转发设备未查找到用户标识对应的局域网标识，则网络转发设备可以确定该用户连接的转发端口，并根据预先设定的转发端口和VLAN的局域网标识之间的对应关系，查找确定出的转发端口对应的局域网标识，并将该用户的数据报文在查找到的局域网标识对应的VLAN中传输。本发明实施例一中，网络转发设备可以预先设置每个转发端口的默认VLAN的局域网标识，得到上述转发端口和VLAN的局域网标识之间的对应关系，其中，网络转发设备可以将各转发端口的默认VLAN的局域网标识统一设置为对应的网络访问权限最小的VLAN的局域网标识。

本发明实施例一中，网络转发设备可以但不限于为交换机，此时与用户连接的转发端口为交换机端口。

本发明实施例一中，若用户想要进行网络下线，则可以向认证服务器发送网络下线请求，其中，用户在使用终端设备向认证服务器发送网络下线请求时，先要将该网络下线请求发送给网络转发设备，再由网络转发设备将接收到的网络下线请求发送给认证服务器。认证服务器接收到用户的网络下线请求后，向网络转发设备发送该用户的网络下线报文，该用户的网络下线报文中携带有该用户的用户标识，网络转发设备接收到该用户的网络下线报文后，删除存储的该用户的用户标识与VLAN的局域网标识之间的对应关系。若用户的用户标识为用户使用的终端设备的MAC地址，则网络转发设备可以从接收到的网络下线报文中确定出该用户所使用的终端设备的MAC地址，然后删除存储的该用户所使用的终端设备的MAC地址与VLAN的局域网标识之间的对应关系。

网络转发设备将该用户的数据报文在查找到的局域网标识对应的VLAN中传输之前，可以在数据报文中插入该VLAN的局域网标识，后续该VLAN中的各网络设备可以根据数据报文中携带的局域网标识，将该数据报文在该VLAN中传输。

下面举例说明本发明实施例一提出的网络访问权限控制方法的具体实现流程。

终端设备1与交换机端口a连接，用户A使用终端设备1请求访问网络时，认证服务器先要对用户A进行合法性认证，并在认证通过后，确定用户A的网络访问权限，然后将确定出的网络访问权限的权限标识和用户A使用的终端设备1的MAC地址携带在授权报文中发送给交换机，交换机在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识，并将接收到的授权报文中携带的用户A使用的终端设备1的MAC地址和查找到的局域网标识对应存储，后续在用户A发送数据报文时，交换机在MAC地址与局域网标识之间的对应关系中，查找终端设备1的MAC地址对应的局域网标识，并将用户A的数据报文在查找到的局域网标识对应的VLAN中传输，当用户A进行网络下线时，向认证服务器发送网络下线请求，认证服务器向交换机发送用户A的网络下线报文，交换机接收到网络下线报文后，删除存储的用户A所使用的终端设备1的MAC地址与VLAN的局域网标识之间的对应关系。后续用户B使用终端设备1请求访问网络时，认证服务器先要对用户B进行合法性认证，并在认证通过后，确定用户B的网络访问权限，然后将确定出的网络访问权限的权限标识和用户B使用的终端设备1的MAC地址携带在授权报文中发送给交换机，交换机在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识，并将接收到的授权报文中携带的用户B使用的终端设备1的MAC地址和查找到的局域网标识对应存储，后续在用户B发送数据报文时，交换机在MAC地址与局域网标识之间的对应关系中，查找终端设备1的MAC地址对应的局域网标识，并将用户B的数据报文在查找到的局域网标识对应的VLAN中传输，当用户B进行网络下线时，向认证服务器发送网络下线请求，认证服务器向交换机发送用户B的网络下线报文，交换机接收到网络下线报文后，删除存储的用户B所使用的终端设备1的MAC地址与VLAN的局域网标识之间的对应关系。由上可见，即使使用同一终端设备1的用户A和用户B具有不同的网络访问权限，本发明实施例一的技术方案也能够实现对用户的网络访问权限进行控制。

或者，用户C使用的终端设备2、用户D使用的终端设备3和用户E使用的终端设备4均连接到交换机端口b中，那么在用户C、用户D和用户E请求访问网络时，认证服务器先要对用户C、用户D和用户E分别进行合法性认证，并在认证均通过后，分别确定用户C、用户D和用户E的网络访问权限，然后将确定出的用户C的网络访问权限的权限标识和用户C使用的终端设备2的MAC地址携带在授权报文中发送给交换机，将确定出的用户D的网络访问权限的权限标识和用户D使用的终端设备3的MAC地址携带在授权报文中发送给交换机，将确定出的用户E的网络访问权限的权限标识和用户E使用的终端设备4的MAC地址携带在授权报文中发送给交换机，交换机在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识，并将用户C使用的终端设备2的MAC地址和查找到的用户C的网络访问权限的权限标识对应的局域网标识对应存储，将用户D使用的终端设备3的MAC地址和查找到的用户D的网络访问权限的权限标识对应的局域网标识对应存储，将用户E使用的终端设备4的MAC地址和查找到的用户E的网络访问权限的权限标识对应的局域网标识对应存储，后续在用户C发送数据报文时，交换机在MAC地址与局域网标识之间的对应关系中，查找终端设备2的MAC地址对应的局域网标识，并将用户C的数据报文在查找到的局域网标识对应的VLAN中传输，在用户D发送数据报文时，交换机在MAC地址与局域网标识之间的对应关系中，查找终端设备3的MAC地址对应的局域网标识，并将用户D的数据报文在查找到的局域网标识对应的VLAN中传输，在用户E发送数据报文时，交换机在MAC地址与局域网标识之间的对应关系中，查找终端设备4的MAC地址对应的局域网标识，并将用户E的数据报文在查找到的局域网标识对应的VLAN中传输。由上可见，即便连接到同一交换机端口b的用户C、用户D和用户E具有不同的网络访问权限，本发明实施例一的技术方案也能够实现对用户的网络访问权限进行控制。

由上述处理过程可知，本发明实施例技术方案中，当用户请求接入网络时，首先由认证服务器对用户进行合法性认证，并在认证通过后确定该用户的网络访问权限，并将确定出的网络访问权限的权限标识和该用户的用户标识携带在授权报文中发送给网络转发设备，然后由网络转发设备在权限标识和VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识，并将接收到的授权报文中携带的用户标识和查找到的局域网标识对应存储，后续在该用户发送数据报文时，网络转发设备在用户标识与局域网标识之间的对应关系中，查找该用户的用户标识对应的局域网标识，并将该用户的数据报文在查找到的局域网标识对应的VLAN中传输。由上可见，本发明实施例技术方案中，用户请求接入网络时，网络转发设备建立用户标识与局域网标识的对应关系，后续在用户发送数据报文时，可以直接根据建立的对应关系查找局域网标识，并将该用户的数据报文在查找到的局域网标识对应的VLAN中传输，因此即使连接到同一转发端口的多个用户具有不同的网络访问权限，本发明实施例技术方案也能够实现对用户的网络访问权限进行控制。

实施例二

如图2所示，为本发明实施例二提出的网络访问权限控制方法的网络架构示意图，终端设备21和认证服务器22之间不能够直接进行通信，需要通过网络转发设备23进行报文转发。当用户请求接入网络时，可以先使用终端设备21，将认证请求发送给网络转发设备23，网络转发设备23将认证请求中转发给认证服务器22，认证请求中携带有该用户的认证信息和终端设备21的MAC地址，认证服务器22从接收到的认证请求中提取出用户的认证信息，并根据提取出的认证信息对用户接入网络的合法性进行认证，认证服务器22在确认认证通过时，根据该用户的网络账户确定用户的网络访问权限，并在授权报文中插入该用户的网络访问权限的权限标识和终端设备21的MAC地址，将授权报文发送给网络转发设备23。网络转发设备23若接收到认证服务器22发送的授权报文，则从授权报文中提取出权限标识以及终端设备21的MAC地址，在预先设定的网络访问权限的权限标识与VLAN的局域网标识之间的对应关系中查找该用户的网络访问权限对应的VLAN的局域网标识，网络转发设备23将终端设备21的MAC地址和查找到的VLAN的局域网标识对应存储，后续在该用户通过终端设备21发送数据报文时，网络转发设备23在MAC地址与VLAN的局域网标识之间的对应关系中，查找数据报文中携带的终端设备21的MAC地址对应的VLAN的局域网标识，并将该用户的数据报文在查找到的局域网标识对应的VLAN中传输。

下面给出更为具体的实施方式。

实施例三

如图3所示，为本发明实施例三中的网络访问权限控制方法具体实现流程示意图，其具体处理流程如下：

步骤31，用户使用终端设备向认证服务器发送认证请求，认证请求中除了携带终端设备的MAC地址之外，还携带有该用户的用户信息(例如用户名和密码)，终端设备先将认证请求发送给交换机，交换机再将该认证请求转发给认证服务器。

步骤32，认证服务器根据接收到的认证请求中携带的用户信息(用户名和密码)，对该用户进行合法性认证，即判断该用户是否为接入网络的合法用户。

步骤33，若步骤32的认证结果为认证通过，即该用户为接入网络的合法用户，则认证服务器确定该用户的网络访问权限。

步骤34，认证服务器将确定出的网络访问权限的权限标识插入到授权报文的用于承载权限标识的字段中，并将授权报文发送给交换机，授权报文中还携带有该用户所使用的终端设备的MAC地址；

若步骤32的判断结果为否，则认证服务器向交换机发送该用户的拒绝报文。

步骤35，交换机若接收到认证服务器发送的授权报文，则从接收到的授权报文中提取出权限标识以及该用户所使用的终端设备的MAC地址；

交换机若接收到认证服务器发送的拒绝报文，则不做任何处理。

步骤36，交换机根据提取出的权限标识，在预先设定的VLAN的局域网标识和网络访问权限的权限标识之间的对应关系中，查找该用户的网络访问权限对应的VLAN的局域网标识。

步骤37，交换机将提取出的该用户使用的终端设备的MAC地址和查找到的VLAN的局域网标识对应存储。

步骤38，后续在该用户使用该终端设备发送数据报文时，根据数据报文中携带的MAC地址，在存储的MAC地址和VLAN的局域网标识之间的对应关系中，查找对应的VLAN的局域网标识。

步骤39，交换机将该用户的数据报文在步骤38查找到的局域网标识对应的VLAN中传输。

此外，若步骤38中交换机未查找到MAC地址对应的局域网标识，则确定与该用户连接的交换机端口，并根据预先设定的交换机端口和VLAN的局域网标识之间的对应关系，查找确定出的转发端口对应的局域网标识，交换机将该用户的数据报文在查找到的局域网标识对应的VLAN中传输。

步骤310，用户想要进行网络下线时，通过使用的终端设备向认证服务器发送网络下线请求，网络下线请求中携带有该用户所使用的终端设备的MAC地址，终端设备先将网络下线请求发送给交换机，交换机将接收到的网络下线请求转发给认证服务器。

步骤311，认证服务器向交换机发送网络下线报文，网络下线报文中携带有该用户所使用的终端设备的MAC地址。

步骤312，交换机接收到网络下线报文后，从网络下线报文中提取出该用户所使用的终端设备的MAC地址。

步骤313，交换机将提取出的MAC地址与VLAN的局域网标识之间的对应关系进行删除。

实施例四

相应的，本发明实施例四提供了一种认证服务器侧的网络访问权限控制装置，其结构如图4所示，包括：

合法性认证单元41，用于在用户请求接入网络时，对所述用户进行合法性认证；

网络访问权限确定单元42，用于在所述合法性认证单元41认证通过后，确定所述用户的网络访问权限；

授权报文发送单元43，用于将网络访问权限确定单元42确定出的网络访问权限的权限标识和所述用户的用户标识携带在授权报文中发送给网络转发设备。

较佳地，还包括：

拒绝报文发送单元，用于在合法性认证单元41对所述用户进行合法性认证的认证结果为认证不通过时，向网络转发设备发送拒绝报文。

相应的，本发明实施例四提供了一种认证服务器，至少包括上述网络访问权限控制装置。

相应的，本发明实施例四还提供了一种网络转发设备侧的网络访问权限控制装置，其结构如图5所示，包括：

授权报文接收单元51，用于接收认证服务器发送的授权报文，所述授权报文中携带有请求接入网络的用户的用户标识和所述用户的网络访问权限的权限标识；

第一局域网标识查找单元52，用于在权限标识和VLAN的局域网标识之间的对应关系中，查找授权报文接收单元51接收到的授权报文中携带的权限标识对应的局域网标识；

存储单元53，用于将授权报文接收单元51接收到的授权报文中携带的用户标识和第一局域网标识查找单元52查找到的局域网标识对应存储；

第二局域网标识查找单元54，用于后续在所述用户发送数据报文时，在存储单元53存储的用户标识与局域网标识之间的对应关系中，查找所述用户的用户标识对应的局域网标识；

第一传输单元55，用于将所述用户的数据报文在第二局域网标识查找单元54查找到的局域网标识对应的VLAN中传输。

较佳地，还包括：

拒绝报文接收单元，用于接收认证服务器发送的拒绝报文。

较佳地，还包括：

转发端口确定单元，用于在第二局域网标识查找单元54未查找到所述用户的用户标识对应的局域网标识时，确定与所述用户连接的转发端口；

第三局域网标识查找单元，用于根据预先设定的转发端口和VLAN的局域网标识之间的对应关系，查找转发端口确定单元确定出的转发端口对应的局域网标识；

第二传输单元，用于将所述用户的数据报文在第三局域网标识查找单元查找到的局域网标识对应的VLAN中传输。

较佳地，还包括：

网络下线报文接收单元，用于接收认证服务器发送的、所述用户的网络下线报文，所述网络下线报文中携带有所述用户的用户标识；

删除单元，用于在网络下线报文接收单元接收到所述用户的网络下线报文时，删除所述用户的用户标识与VLAN的局域网标识之间的对应关系。

相应的，本发明实施例四提供了一种网络转发设备，至少包括上述网络访问权限控制装置。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种网络访问权限控制方法，其特征在于，包括：

用户请求接入网络时，认证服务器对用户进行合法性认证，并在认证通过后，确定所述用户的网络访问权限；

所述认证服务器将确定出的网络访问权限的权限标识和所述用户的用户标识携带在授权报文中发送给网络转发设备；

所述网络转发设备在权限标识和虚拟局域网VLAN的局域网标识之间的对应关系中，查找接收到的授权报文中携带的权限标识对应的局域网标识；并

将接收到的授权报文中携带的用户标识和查找到的局域网标识对应存储；

后续在所述用户发送数据报文时，所述网络转发设备在用户标识与局域网标识之间的对应关系中，查找所述用户标识对应的局域网标识；并

将所述用户的数据报文在查找到的局域网标识对应的VLAN中传输。

2.如权利要求1所述的方法，其特征在于，还包括：

若网络转发设备未查找到所述用户标识对应的局域网标识，则确定与所述用户连接的转发端口；并

根据预先设定的转发端口和VLAN的局域网标识之间的对应关系，查找确定出的转发端口对应的局域网标识；并

将所述用户的数据报文在查找到的局域网标识对应的VLAN中传输。

3.如权利要求1所述的方法，其特征在于，还包括：

网络转发设备接收认证服务器发送的、所述用户的网络下线报文；

所述网络转发设备删除所述用户的用户标识与VLAN的局域网标识之间的对应关系。

4.如权利要求1～3中任一权利要求所述的方法，其特征在于，用户的用户标识为用户所使用的终端设备的介质访问控制MAC地址。

5.一种网络访问权限控制装置，其特征在于，包括：

合法性认证单元，用于在用户请求接入网络时，对所述用户进行合法性认证；

网络访问权限确定单元，用于在所述合法性认证单元认证通过后，确定所述用户的网络访问权限；

授权报文发送单元，用于将网络访问权限确定单元确定出的网络访问权限的权限标识和所述用户的用户标识携带在授权报文中发送给网络转发设备。

6.一种认证服务器，其特征在于，包括权利要求5所述的网络访问权限控制装置。

7.一种网络访问权限控制装置，其特征在于，包括：

授权报文接收单元，用于接收认证服务器发送的授权报文，所述授权报文中携带有请求接入网络的用户的用户标识和所述用户的网络访问权限的权限标识；

第一局域网标识查找单元，用于在权限标识和虚拟局域网VLAN的局域网标识之间的对应关系中，查找授权报文接收单元接收到的授权报文中携带的权限标识对应的局域网标识；

存储单元，用于将授权报文接收单元接收到的授权报文中携带的用户标识和第一局域网标识查找单元查找到的局域网标识对应存储；

第二局域网标识查找单元，用于后续在所述用户发送数据报文时，在存储单元存储的用户标识与局域网标识之间的对应关系中，查找所述用户的用户标识对应的局域网标识；

第一传输单元，用于将所述用户的数据报文在第二局域网标识查找单元查找到的局域网标识对应的VLAN中传输。

8.如权利要求7所述的装置，其特征在于，还包括：

转发端口确定单元，用于在第二局域网标识查找单元未查找到所述用户的用户标识对应的局域网标识时，确定与所述用户连接的转发端口；

第三局域网标识查找单元，用于根据预先设定的转发端口和VLAN的局域网标识之间的对应关系，查找转发端口确定单元确定出的转发端口对应的局域网标识；

第二传输单元，用于将所述用户的数据报文在第三局域网标识查找单元查找到的局域网标识对应的VLAN中传输。

9.如权利要求7所述的装置，其特征在于，还包括：

网络下线报文接收单元，用于接收认证服务器发送的、所述用户的网络下线报文；

删除单元，用于在网络下线报文接收单元接收到所述用户的网络下线报文时，删除所述用户的用户标识与VLAN的局域网标识之间的对应关系。

10.一种网络转发设备，其特征在于，包括权利要求7～9中任一权利要求所述的网络访问权限控制装置。

Images