发明内容
鉴于以上所述现有技术的缺点,本发明的目的在于提供一种基于DHCP的服务器以及基于DHCP的终端准入控制方法及系统,用于解决现有技术中存在的终端准入管理上不足而导致的网络安全隐患等问题。
为实现上述目的及其他相关目的,本发明提供一种基于DHCP的终端准入控制方法,应用于具有服务器和客户端的局域网络中,所述终端准入控制方法至少包括:1)预设IP资源池,将所述IP资源池中所有IP地址分别与所述局域网络中各该客户端的MAC地址进行绑定,并占用所有IP地址;2)接收到所述客户端发出DHCP的报文请求后进行分析,当判断出报文请求为明文时丢弃所述报文请求;当判断出的报文请求中的IP地址为手动设置的地址时,返回报文信息给所述客户端以提示IP地址冲突;当判断出的报文请求为合法报文时依据绑定信息将所述IP资源池中预设的IP地址分配给所述客户端;3)依据预设扫描频率向所述局域网中所有客户端发送经私钥加密的扫描报文,并请求各该客户端对所述扫描报文进行解密反馈应答信息;4)检测各该客户端反馈的应答信息,检测到所述应答信息中包含的IP地址及MAC地址与所述IP资源池中的绑定信息不一致时,收回并占用该IP地址;以及对已分配IP地址且没有收到反馈应答信息的客户端的IP地址进行收回并占用。
在本发明的终端准入控制方法的步骤2)中,所述客户端发出DHCP的报文请求为经公钥加密的报文请求,所述服务器接收到所述客户端发出DHCP的报文请求后进行私钥解密。
在本发明的终端准入控制方法的步骤3)中,所述预设扫描频率为每2分钟向所述局域网中所有客户端发送一次经私钥加密的扫描报文。
在本发明的终端准入控制方法的步骤3)中,各该客户端对所述扫描报文进行公钥解密反馈应答信息,在步骤4)中,所述服务器接收到应答信息进行私钥解密。
本发明还提供一种基于DHCP的服务器,应用于具有多个客户端的局域网络中,所述服务器包括:IP资源池,其中所有IP地址分别与所述局域网络中各该客户端的MAC地址绑定,所述服务器占用所有IP地址;报文请求分析模块,接收到所述客户端发出DHCP的报文请求后进行分析,当判断出报文请求为明文时丢弃所述报文请求;当判断出的报文请求中的IP地址为手动设置的地址时,返回报文信息给所述客户端以提示IP地址冲突;当判断出的报文请求为合法报文时依据绑定信息将所述IP资源池中预设的IP地址分配给所述客户端;扫描模块,依据预设扫描频率向所述局域网中所有客户端发送经私钥加密的扫描报文,并请求各该客户端对所述扫描报文进行解密反馈应答信息;检测模块,接收各该客户端反馈的应答信息,检测到所述应答信息中包含的IP地址及MAC地址与所述IP资源池中的绑定信息不一致时,收回并占用该IP地址;以及对已分配IP地址且没有收到反馈应答信息的客户端的IP地址进行收回并占用。
在本发明的服务器中,所述报文请求分析模块接收的所述客户端发出DHCP的报文请求为经公钥加密的报文请求。
本发明的服务器中还包括加解密模块,用以接收到所述客户端发出DHCP的报文请求后进行私钥解密,以及接收到应答信息进行私钥解密。
在本发明的服务器中,所述扫描模块中的预设扫描频率为每2分钟向所述局域网中所有客户端发送一次经私钥加密的扫描报文。
本发明再提供一种基于DHCP的终端准入控制系统,应用于局域网络中,所述终端准入控制系统包括:上述的服务器;以及客户端,用于向所述服务器发出经公钥加密的报文请求,以及对所述扫描报文进行公钥解密反馈应答信息。
如上所述,本发明的一种基于DHCP的服务器以及基于DHCP的终端准入控制方法及系统,具有以下有益效果:
本发明通过对内网的服务器及合法的终端预先进行处理,使用非对称加密对二者直接的传输内容进行加密,防止MAC欺骗;通过IP资源池的管理,有效分配IP的使用,进而防止非法终端接入内网,提高了局域网络的安全性。
具体实施方式
以下通过特定的具体实例说明本发明的实施方式,本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用,本说明书中的各项细节也可以基于不同观点与应用,在没有背离本发明的精神下进行各种修饰或改变。
需要说明的是,本实施例中所提供的图示仅以示意方式说明本发明的基本构想,遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制,其实际实施时各组件的型态、数量及比例可为一种随意的改变,且其组件布局型态也可能更为复杂。
请参阅图1,显示为基于DHCP的终端准入控制系统架构示意图,如图所示,本发明提供一种基于DHCP(Dynamic Host Configuration Protocol,即动态主机设定协议,简称DHCP)的终端准入控制系统,应用于局域网络中,所述终端准入控制系统包括:服务器1以及客户端2。
所述客户端2用于向所述服务器1发出经公钥加密的报文请求,以及对所述扫描报文进行公钥解密反馈应答信息。具体地,所述客户端2包括加解密模块21,所述加解密模块21用于向所述服务器1发出经公钥加密的报文请求,以及对所述扫描报文进行公钥解密反馈应答信息。
请参阅图2,显示为本发明中基于DHCP的服务器及客户端的原理框图,如图所示,所述服务器1包括:IP资源池11,报文请求分析模块12,扫描模块13,检测模块14,以及加解密模块15。
所述IP资源池11中所有IP地址分别与所述局域网络中各该客户端2的MAC(Medium/Media Access Control,即介质访问控制,简称MAC)地址绑定,所述服务器1占用所有IP地址。
所述报文请求分析模块12接收到所述客户端2发出DHCP的报文请求后进行分析,当判断出报文请求为明文时丢弃所述报文请求;当判断出的报文请求中的IP地址为手动设置的地址时,返回报文信息给所述客户端2以提示IP地址冲突;当判断出的报文请求为合法报文时依据绑定信息将所述IP资源池11中预设的IP地址分配给所述客户端2;于本实施例中,所述报文请求分析模块12接收的所述客户端2发出DHCP的报文请求为经公钥加密的报文请求。具体地,所述客户端2包括加解密模块21,所述加解密模块21用于向所述服务器1发出经公钥加密的报文请求。
所述扫描模块13依据预设扫描频率向所述局域网中所有客户端2发送经私钥加密的扫描报文,并请求各该客户端2对所述扫描报文进行解密反馈应答信息;具体地,所述扫描模块13依据预设扫描频率对全网的ARP(address resolution protocol,即地址解析协议,简称ARP)扫描,向所述局域网中所有客户端2发送经私钥加密的扫描报文。于本实施例中,所述扫描模块13中的预设扫描频率为每2分钟向所述局域网中所有客户端2发送一次经私钥加密的扫描报文。
所述检测模块14接收各该客户端2反馈的应答信息,检测到所述应答信息中包含的IP地址及MAC地址与所述IP资源池11中的绑定信息不一致时,收回并占用该IP地址;以及对已分配IP地址且没有收到反馈应答信息的客户端2的IP地址进行收回并占用。
所述加解密模块15用以私钥加密向所述局域网中所有客户端2发送的扫描报文,用以接收到所述客户端2发出DHCP的报文请求后进行私钥解密,以及接收到应答信息进行私钥解密。
本发明通过对内网的服务器及合法的客户端预先进行处理,使用非对称加密对二者直接的传输内容进行加密,防止伪MAC地址欺骗;通过IP资源池的管理,有效分配IP的使用,进而防止非法客户端接入内网进而提高了局域网络的安全性。
请参阅图3,显示为本发明的基于DHCP的终端准入控制方法流程图,如图所示,本发明提供一种基于DHCP的终端准入控制方法,应用于具有服务器和客户端的局域网络中,所述终端准入控制方法至少包括以下步骤:
步骤S1,于所述服务器中预设IP资源池,并将所述IP资源池中所有IP地址分别与所述局域网络中各该客户端的MAC地址进行绑定,并占用所有IP地址;具体地,将所述IP资源池中所有IP地址分别与所述局域网络中各该客户端的MAC地址进行一对一绑定,即一个IP地址对应一个该客户端的MAC地址,并令所述服务器占用所有IP地址。
步骤2,所述客户端发出DHCP的报文请求为经公钥加密的报文请求,具体地,所述客户端包括加解密模块,所述加解密模块用于向所述服务器发出经公钥加密的报文请求。所述公钥加密使用非对称加密技术。
步骤3,所述服务器接收到所述客户端发出DHCP的报文请求后进行私钥解密,具体地,所述服务器包括有加解密模块,用于接收到所述客户端发出DHCP的报文请求后进行私钥解密。
步骤4,所述服务器接收到所述客户端发出DHCP的报文请求后进行分析,具体分析详见步骤5至步骤7。
步骤5,所述服务器判断出的报文请求为合法报文时依据绑定信息将所述IP资源池中预设的IP地址分配给所述客户端,以令所述客户端接入局域网。
步骤6,所述服务器判断出报文请求为明文时丢弃所述报文请求,即所述服务器判断出报文请求为明文时直接丢弃明文报文,对无效的客户端非配隔离的IP地址,阻止其接入内网。
步骤7,所述服务器判断出的报文请求中的IP地址为手动设置的地址时,返回报文信息给所述客户端以提示IP地址冲突,对无效的客户端非配隔离的IP地址,阻止其接入内网。
步骤8,所述服务器依据预设扫描频率向所述局域网中所有客户端发送经私钥加密的扫描报文,并请求各该客户端对所述扫描报文进行解密反馈应答信息;具体地,所述预设扫描频率为每2分钟向所述局域网中所有客户端发送一次经私钥加密的扫描报文。所述服务器包括有加解密模块,用以将扫描报文经私钥加密后发送给所述局域网中所有客户端,所述私钥加密使用非对称加密技术。
步骤9,各该客户端对所述扫描报文进行公钥解密反馈应答信息,具体地,所述客户端包括加解密模块,用以对所述扫描报文进行公钥解密并反馈应答信息。
步骤10,所述服务器对已分配IP地址且没有收到反馈应答信息的客户端的IP地址进行收回并占用,具体地,所述服务器没有收到反馈应答信息的客户端的IP地址时判定该客户端处于离线状态,并对该离线的客户端的IP地址进行收回并占用。
步骤11,所述服务器接收到应答信息,并进行私钥解密。具体地,所述服务器包括加解密模块,用以对接收到的应答信息进行私钥解密。
步骤12,所述服务器检测各该客户端反馈的应答信息.
步骤13,所述服务器检测到所述应答信息中包含的IP地址及MAC地址与所述IP资源池中的绑定信息不一致时,收回并占用该IP地址;具体地,所述服务器检测到所述应答信息中包含的IP地址及MAC地址与所述IP资源池中该客户端的MAC地址及分配给该客户端的IP地址不一致时,认定该客户端的MAC地址为伪MAC地址或者异常的MAC地址,所述服务器便收回并占用该IP地址,进而阻止该客户端接入所述局域网。
综上所述,本发明一种服务器以及基于DHCP的终端准入控制方法及系统,通过对内网的服务器及合法的客户端预先进行处理,使用非对称加密对二者直接的传输内容进行加密,防止伪MAC地址欺骗;通过IP资源池的管理,有效分配IP的使用,进而防止非法客户端接入内网进而提高了局域网络的安全性。所以,本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。
上述实施例仅例示性说明本发明的原理及其功效,而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下,对上述实施例进行修饰或改变。因此,举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变,仍应由本发明的权利要求所涵盖。