CN103051609B

CN103051609B - 网关设备及由其执行的网络访问控制的可视化交互方法

Info

Publication number: CN103051609B
Application number: CN201210523994.6A
Authority: CN
Inventors: 夏羽
Original assignee: Neusoft Corp
Current assignee: Neusoft Corp
Priority date: 2012-12-07
Filing date: 2012-12-07
Publication date: 2015-11-18
Anticipated expiration: 2032-12-07
Also published as: CN103051609A

Abstract

本发明提供了一种网关设备及由其执行的网络访问控制的可视化交互方法，其中的方法包括：在接收到对网络拓扑结构中的第一设备实体的访问权限查询请求后，根据第一设备实体的IP地址，在网关设备中预先存储的网络拓扑结构的网络访问控制规则中查找与该IP地址对应的网络访问控制规则；根据规则确定第一设备实体的访问权限并在网络拓扑结构中显示；根据对第一设备实体的访问权限的修改请求而修改其网络访问控制规则，以及在网络拓扑结构中显示根据修改后的网络访问控制规则确定的第一设备实体的访问权限。本发明能够有效提高网络访问控制规则的可维护性，用户不必再维护复杂晦涩的访问控制规则，而能够直接在拓扑中直观、随意地进行修改。

Description

网关设备及由其执行的网络访问控制的可视化交互方法

技术领域

本发明涉及网络安全技术领域，更为具体地，涉及一种网关设备及由其执行的网络访问控制的可视化交互方法。

背景技术

可视化（Visualization）是利用计算机图形技术，将数据转换成图形、图像在屏幕上显示，并进行交互处理的方法和技术。在网络安全领域，多基于网络拓扑进行可视化的配置交互。在可视化的网络拓扑上进行配置，显然更直观、更符合用户的心理模型，可简化学习、易于操作。

图1为基于网络拓扑的可视化交互示意图。如图1所示，本地的分设于多个办公地点（Office311、Office421、Office417、Office321和DMZ）的网络终端通过共同的网关设备与外部Internet连通。作为本地网络与外界网络之间的一道防御系统，网关设备依照特定的规则，允许或是限制传输的数据通过，从而使企业内部（本地）局域网与Internet之间或者与其他外部网络互相隔离、限制网络互访，达到保护内部网络目的。DMZ（demilitarizedzone，隔离区）

网络访问控制是网关设备最基本的功能之一，用于控制哪些主机可以访问哪些服务器，借助于预先设定的访问控制规则，在一定程度上描述了某些主机对网络资源的访问权限。

例如下面两条规则，1号规则是2号规则的子集：

序号源IP目的IP服务动作

1192.168.1.100/32→10.1.1.100/32HTTP阻止

2192.168.1.0/24→10.1.1.100/32HTTP允许

其中，序号表示该条规则在整个规则集中的顺序位置；源IP表示发送请求的客户机的IP地址；目的IP表示要访问的服务器的IP地址；动作表示在该条规则命中时，对当前访问请求所做的处理动作，其中，“阻止”表示不允许访问，“允许”表示可以访问。

上述两条规则表示，除了192.168.1.100这台客户机，192.168.1.0网段的其他所有客户机可以访问服务器10.1.1.100/32的HTTP服务。

网络数据包通过防火墙时需要顺序匹配所有访问控制规则，命中则不再继续向下匹配，所以，在配置访问控制规则时，需要考虑规则之间的相互关系。如果将上述两条规则的示例的顺序作如下的颠倒：

序号源IP目的IP服务动作

1192.168.1.0/24→10.1.1.100/32HTTP允许

2192.168.1.100/32→10.1.1.100/32HTTP阻止

则由于1号规则包含了2号规则，所以2号规则永远不会被命中。它们表示：192.168.1.0网段的所有客户机可以访问服务器10.1.1.100/32的HTTP服务。可见，规则顺序的调换会导致这些规则所限定的意义完全改变。上述示例仅涉及两条规则，而当规则数目达到100条时（这是实际网络环境中非常常见的），规则间的关系会更加复杂、不显而易见，从而变得极难维护。

针对现有技术中存在的上述由于访问控制规则数目较多而导致的维护难问题，亟需一种能够提高规则的可维护性的技术。

发明内容

鉴于上述问题，本发明的目的是提供一种在网络访问控制过程中能够提高规则的维护性的网关设备及由该网关设备执行的网络访问控制的可视化交互方法。

根据本发明的一个方面，提供了一种由网关设备执行的网络访问控制的可视化交互方法，包括：在接收到对所述网关设备上显示的网络拓扑结构中的第一设备实体的访问权限查询请求后，根据第一设备实体的IP地址，在所述网关设备中预先存储的所述网络拓扑结构的网络访问控制规则中查找与所述第一设备实体的IP地址对应的网络访问控制规则；根据所查找的网络访问控制规则，确定所述第一设备实体的访问权限；在所述网络拓扑结构中显示所述第一设备实体的访问权限；根据对所述第一设备实体的访问权限的修改请求而修改与被修改的访问权限对应的网络访问控制规则，以及在所述网络拓扑结构中显示根据修改后的网络访问控制规则确定的所述第一设备实体的访问权限，其中，所述网络拓扑结构在接收到所述访问权限查询请求之前建立，并且以单个设备实体为单位，将所述网络拓扑结构中的各个设备实体和所述网络访问控制规则分别对应。

根据本发明的另一方面，提供了一种网关设备，包括：

网络拓扑结构创建单元，用于建立可视化交互网络拓扑结构；

网络访问控制规则初始化单元，用于以单个终端设备为单位，将所述网络拓扑结构的局域网中的设备实体和所述网络拓扑结构的网络访问控制规则分别对应；

查询单元，用于根据对第一客户机的访问权限查询请求，在所述网络访问控制规则中查找源IP为所述第一客户机的IP地址的网络访问控制规则；

访问权限确定单元，用于根据所查找的所述第一客户机的IP地址的网络访问控制规则中的目的IP和动作确定所述第一客户机的访问权限；以及，

网络访问控制规则维护单元，用于通过在所述可视化交互网络拓扑结构中对所述第一客户机的访问权限的修改而修改所述访问控制规则。

利用上述根据本发明的网关设备和由其执行的网络访问控制的可视化交互方法，能够使通过网络访问的客户端受到访问约束，能够根据客户端的角色制定较为灵活的访问权限，从而在不同的环境下满足各种角色的合法访问需求，并且过滤和阻止非法越权的访问请求；用户不用再维护复杂晦涩的访问控制规则，而能够直接在拓扑中直观、随意地进行修改。

为了实现上述以及相关目的，本发明的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本发明的原理的各种方式中的一些方式。此外，本发明旨在包括所有这些方面以及它们的等同物。

附图说明

通过参考以下结合附图的说明及权利要求书的内容，并且随着对本发明的更全面理解，本发明的其它目的及结果将更加明白及易于理解。在附图中：

图1为基于网络拓扑的可视化交互示意图；

图2根据本发明实施例的网关设备的逻辑结构示意图；

图3为本发明实施例的由上述网关设备执行的网络访问控制的可视化交互流程示意图；

图4为根据本发明实施例的在网络拓扑中显示的第一客户机的访问权限示意图；

图5为根据本发明实施例的在图4所示的访问权限下，允许第一客户机访问第一服务器的可视化交互流程示意图；

图6为根据本发明实施例的在网络拓扑中显示的第一服务的服务范围示意图；

图7为根据本发明实施例的在图6所示的第一服务器的服务范围视图下允许第一客户机访问第一服务器的可视化交互流程示意图；

图8为根据本发明实施例的网络访问控制规则优化合并流程示意图。

在所有附图中相同的标号指示相似或相应的特征或功能。

具体实施方式

在下面的描述中，出于说明的目的，为了提供对一个或多个实施例的全面理解，阐述了许多具体细节。然而，很明显，也可以在没有这些具体细节的情况下实现这些实施例。在其它例子中，为了便于描述一个或多个实施例，公知的结构和设备以方框图的形式示出。

以下将结合附图对本发明的具体实施例进行详细描述。

为了解决访问控制规则的维护难问题，本发明从可视化技术的角度出发，在图1所示的可视化界面中完成访问控制规则的配置，以改善规则的可维护性和可用性。

本发明提供的可视化交互方法由网关设备执行，图2为根据本发明实施例的网关设备的逻辑结构框图。

如图2所示，本发明提供的网关设备200包括网络拓扑结构创建单元210、网络访问控制规则初始化单元220、查询单元230、访问权限确定单元240和网络访问控制规则维护单元250。

其中，网络拓扑结构创建单元210用于建立可视化交互网络拓扑结构；网络访问控制规则初始化单元220用于以单个设备实体为单位，将网络拓扑结构的局域网中的各个设备实体和网络拓扑结构的网络访问控制规则分别对应；查询单元230用于根据对第一设备实体的访问权限查询请求，在网络访问控制规则中查找源IP为第一设备实体的IP地址的网络访问控制规则；访问权限确定单元240用于根据所查找的第一设备实体的IP地址的网络访问控制规则中的目的IP和动作确定第一设备实体的访问权限；网络访问控制规则维护单元250用于通过在可视化交互网络拓扑结构中对第一设备实体的访问权限的修改而修改上述网络访问控制规则。

可以看出，在可视化交互网络拓扑结构中，所有终端均在网关设备的管理控制下实现访问或者被访问。根据前述访问控制规则（1号规则和2号规则）的示例可以看出，当访问控制规则之间不存在包含或被包含关系时，就不会受到顺序影响，无论它们以何种顺序排列，其匹配的最终结果都是相同的。因此，在本发明提供的网络访问控制的可视化交互解决方案中，限定以单台设备为单位进行访问控制。

当规则的源IP和目的IP都是单台设备的IP（如192.168.1.100/32）时，能完全确保规则之间的顺序无关性。由于针对单台设备实体进行设置也正符合可视化交互界面的仿真需求：可视化界面是以现实世界中实际存在的物体为单位进行展示并完成交互的，那么这些实体对应到访问控制规则中，就是源IP对应的客户机，和目的IP对应的服务器，相应的网络访问控制规则包括源IP、目的IP和动作，有时还可以包括服务。

另外，为了改进网络拓扑结构中设备实体数量增多带来的网络访问控制规则数膨胀的问题，可以根据设备实体间网络访问控制规则的关联性对其进行优化，在网关设备中设置网络访问控制规则优化单元（图中未示出），用于生成所有设备实体的网络访问控制规则的副本；以及将该副本中的所具有的目的IP地址和动作（和服务）相同且源IP地址连续的网络访问控制规则进行合并，该合并后的副本供网关设备在对网络拓扑结构中的设备实体之间的访问进行控制时使用。网络访问控制规则优化单元在对副本中的所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则进行合并后，还可以进一步将进行合并后的副本中的所具有的源IP地址和动作（和服务）相同且目的IP地址连续的网络访问控制规则合并。

图3示出了根据本发明实施例的由上述网关设备执行的网络访问控制的可视化交互流程。

如图3所示，在可视化交互的网络拓扑结构中，涉及的终端均以单个设备实体为单位，各个设备实体和网关设备中预存的网络访问控制规则分别对应，在这种网络拓扑结构中，网关设备执行的网络访问控制的可视化交互流程包括如下步骤：

S310：在接收到对设备实体的访问权限查询请求后，根据第一设备实体的IP地址，在网关设备中预先存储的网络拓扑结构的网络访问控制规则中查找与第一设备实体的IP地址对应的网络访问控制规则；

S320：根据所查找的网络访问控制规则，确定第一设备实体的访问权限；

S330：在网络拓扑结构中显示第一设备实体的访问权限；

S340：根据对第一设备实体的访问权限的修改请求而修改与被修改的访问权限对应的网络访问控制规则；

S350：在网络拓扑结构中显示根据修改后的网络访问控制规则确定的第一设备实体的访问权限。

具体地，作为示例，图4示出了根据本发明实施例的在网络拓扑中显示的第一客户机的访问权限示意图。

如图4所示，当在网络拓扑结构的可视化界面中选中客户机Manager1来查看访问权限时，网关设备会在预存的网络访问控制规则中查找源IP是192.168.1.100/24的规则，并根据目的IP和动作，在界面中相应的服务器图标上显示“×”或“√”来表示客户机Manager1是否可以访问该服务器。

如果想对客户机的访问权限进行修改，以Server1为例，原来Manager1不可以访问Server1，而在网络拓扑结构的可视化界面中单击Server1上面的“×”图标，即可直接将其改为“√”，这样Manager1就可以访问Server1了。具体处理流程如图5所示。

图5为根据本发明实施例的在图4所示的访问权限下，允许第一客户机访问第一服务器的可视化交互流程示意图。如图所示，如果第一客户机Manager1具有如图4所示的访问权限，则允许Manager1访问Server1的可视化交互流程包括如下步骤：

S510：网关设备等待用户的界面操作；

S520：用户在网络拓扑结构的可视化界面中选中客户机“Manager1”；

S530：网关设备根据用户的选择查找用户选中的“Manager1”对应的网络访问控制规则；

S540：网关设备在网络拓扑结构的可视化界面中找到该规则“目的IP”对应的服务器，如果在规则中与该服务器对应的动作是阻断，则在该服务器上显示“×”；如果动作是允许，则在该服务器上显示“√”；

S550：判断查找是否完毕，如果查找完毕，则进入步骤S560，否则，返回步骤S530继续查找；

S560：用户在网络拓扑结构的可视化界面中点击客户机“Server1”的“×”图标以修改客户机“Manager1”对客户机“Server1”的访问权限；

S570：网关设备在网络访问控制规则中查找Manager1访问Server1的访问控制规则，并将该规则的动作由“阻止”修改为“允许”；

S580：网关设备根据用户对网络拓扑结构的可视化界面中对客户机“Server1”的访问权限的修改将“Server1”的图标由“×”变为“√”。

类似地，在网络拓扑结构的可视化界面中从服务器的服务范围视图进行查看和操作如图6所示，当在网络拓扑结构的可视化界面中选中服务器Server1来查看服务范围时，网关设备会在访问控制规则中查找目的IP是10.1.1.100/32的规则，并根据源IP和动作，在网络拓扑结构的可视化界面中相应的客户机图标上显示“×”或“√”来表示谁可以访问Server1。

如果想进行修改，同样的例子，原来Manager1不可以访问Server1，而在界面中单击Manager1上面的“×”图标，即可直接将其改为“√”，这样Manager1就可以访问Server1了。具体处理流程如图7所示。

在图7所示的流程中，如果第一客户机Manager1具有如图4所示的访问权限，则允许Manager1访问Server1的可视化交互流程包括如下步骤：

S710：网关设备等待用户的界面操作；

S720：用户在网络拓扑结构的可视化界面中选中客户机“Sevrer1”；

S730：网关设备根据用户的选择查找用户选中的“Server1”对应的网络访问控制规则；

S740：网关设备在网络拓扑结构的可视化界面中找到该规则“源IP”对应的客户机，如果动作是阻断，则在该客户机上显示“×”；如果动作是允许，则在该客户机上显示“√”；

S750：判断查找是否完毕，如果查找完毕，则进入步骤S760，否则，返回步骤S730继续查找；

S760：用户在网络拓扑结构的可视化界面中点击客户机“Manager1”的“×”图标以修改客户机“Manager1”对客户机“Server1”的访问权限；

S770：网关设备在网络访问控制规则中查找Manager1访问Server1的访问控制规则，并将该规则的动作由“阻止”修改为“允许”；S780：网关设备根据用户对网络拓扑结构的可视化界面中对客户机“Manager1”的访问权限的修改将“Manager1”的图标由“×”变为“√”。

实际上，在图5和图7所示的流程中，最后一步（步骤S570和步骤S770）修改的是同一条访问控制规则。

但是，不容忽视的事实是，以单台设备为单位的访问控制规则势必会造成规则数的膨胀，相同的运行环境下，规则数越多性能自然越差。

然而，客户机数量总是要多于服务器的数量，所以对目的IP（服务器地址）相同的访问控制规则进行合并所得到的总规则数，往往会小于对源IP（客户机地址）相同的规则进行合并所得到的总规则数。

因此，在本发明的一个优选实施方式中，为了对网络访问控制规则进行合并，首先建立网络拓扑结构的可视化界面中的所有设备实体的网络访问控制规则的副本，然后将这些副本中所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则合并，该合并后的副本供网关设备在对网络拓扑结构中的设备实体之间的访问进行控制时使用。

另外，在将这些副本中所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则合并后，还可以进一步将进行合并后的副本中的所具有的源IP地址和动作相同且目的IP地址连续的网络访问控制规则合并。

在网络访问控制规则包括源IP、目的IP、服务和动作时，合并的对象就相应变为副本中的所具有的目的IP地址、动作和服务相同且源IP地址连续的网络访问控制规则，然后将合并后的副本供网关设备在对网络拓扑结构中的设备实体之间的访问进行控制时使用。

具体地，作为示例，图8示出了根据本发明实施例的网络访问控制规则优化合并流程示意图。

如图8所示，查找“目的IP（服务器地址）相同”且“服务相同”且“源IP（客户机地址）是同一IP子网”的访问控制规则（步骤S810）时，将“源IP连续”且“动作相同”的规则合并成一条规则（步骤S820）；然后判断是否查找完毕（步骤S830），如果查找完毕，则在上述合并后的规则中查找“目的IP是同一IP子网”且“服务相同”且“源IP相同”的访问控制规则（步骤S840）；如果没有查找完毕，则返回步骤S810继续查找。

在步骤S840之后，将“目的IP连续”且“动作相同”的规则合并为一条规则（步骤S850），然后继续判断在上述合并后的规则中的查找是否完毕（S860），如果查找完毕，则结束规则优化合并流程，否则，返回步骤S840继续查找。

通过上述对规则的优化合并，能够大幅缩减规则数，提升规则的匹配效率，从而提升网关设备的性能。

通过上述实施例可以看出，利用本发明提供的网关设备执行的网络访问控制的可视化交互方法，用户不用再维护复杂晦涩的网络访问控制规则，而能够直接在网络拓扑结构中直观、随意地进行修改，有效提高了网络访问控制规则的可维护性。

如上参照附图以示例的方式描述根据本发明的网关设备及由其执行的网络访问控制的可视化交互方法。但是，本领域技术人员应当理解，对于上述本发明所提出的网关设备及由其执行的网络访问控制的可视化交互方法，还可以在不脱离本发明内容的基础上做出各种改进。因此，本发明的保护范围应当由所附的权利要求书的内容确定。

Claims

1.一种由网关设备执行的网络访问控制的可视化交互方法，包括：

在接收到对所述网关设备上显示的网络拓扑结构中的第一设备实体的访问权限查询请求后，根据第一设备实体的IP地址，在所述网关设备中预先存储的所述网络拓扑结构的网络访问控制规则中查找与所述第一设备实体的IP地址对应的网络访问控制规则；

根据所查找的网络访问控制规则，确定所述第一设备实体的访问权限；

在所述网络拓扑结构中显示所述第一设备实体的访问权限；

根据对所述第一设备实体的访问权限的修改请求而修改与被修改的访问权限对应的网络访问控制规则；以及

在所述网络拓扑结构中显示根据修改后的网络访问控制规则确定的所述第一设备实体的访问权限；

其中，所述网络拓扑结构在接收到所述访问权限查询请求之前建立，并且以单个设备实体为单位，将所述网络拓扑结构中的各个设备实体和所述网络访问控制规则分别对应。

2.如权利要求1所述的可视化交互方法，其中，所述网络拓扑结构至少包括充当服务器的设备实体和充当客户机的设备实体，并且根据第一设备实体的IP地址，在所述网关设备中预先存储的所述网络拓扑结构的网络访问控制规则中查找与所述第一设备实体的IP地址对应的网络访问控制规则包括：

确定被查询的第一设备实体是客户机还是服务器；

在被查询的第一设备实体是客户机时，在所述网络访问控制规则中查找所包含的源IP地址为所述第一设备实体的IP地址的网络访问控制规则，以及根据所查找的网络访问控制规则中的目的IP地址和动作，确定所述第一设备实体的访问权限，以及

在被查询的第一设备实体是服务器时，在所述网关设备中预先存储的网络访问控制规则中查找所包含的目的IP地址为所述第一设备实体的IP地址的网络访问控制规则，以及根据所查找的网络访问控制规则中的源IP地址和动作，确定所述第一设备实体的访问权限。

3.如权利要求1所述的可视化交互方法，在根据对所述第一设备实体的访问权限的修改请求而修改与被修改的访问权限对应的网络访问控制规则后，所述方法还包括：

生成所有设备实体的网络访问控制规则的副本；以及

将该副本中的所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则进行合并，该合并后的副本供所述网关设备在对所述网络拓扑结构中的设备实体之间的访问进行控制时使用。

4.如权利要求3所述的可视化交互方法，其中，对该副本中的所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则进行合并后，所述方法还包括：

将进行合并后的副本中的所具有的源IP地址和动作相同且目的IP地址连续的网络访问控制规则合并。

5.如权利要求1所述的可视化交互方法，其中，所述网络访问控制规则还包括服务，以及在根据对所述第一设备实体的访问权限的修改请求而修改与被修改的访问权限对应的网络访问控制规则后，所述方法还包括：

生成所有设备实体的网络访问控制规则的副本；以及

将该副本中的所具有的目的IP地址、动作和服务相同且源IP地址连续的网络访问控制规则合并，该合并后的副本供所述网关设备在对所述网络拓扑结构中的设备实体之间的访问进行控制时使用。

6.一种网关设备，包括：

网络访问控制规则初始化单元，用于以单个设备实体为单位，将所述网络拓扑结构的局域网中的各个设备实体和所述网络拓扑结构的网络访问控制规则分别对应；

查询单元，用于根据对第一设备实体的访问权限查询请求，在所述网络访问控制规则中查找源IP为所述第一设备实体的IP地址的网络访问控制规则；

访问权限确定单元，用于根据所查找的所述第一设备实体的IP地址的网络访问控制规则中的目的IP和动作确定所述第一设备实体的访问权限；以及，

网络访问控制规则维护单元，用于通过在所述可视化交互网络拓扑结构中对所述第一设备实体的访问权限的修改而修改所述访问控制规则。

7.如权利要求6所述的网关设备，进一步包括：

网络访问控制规则优化单元，用于生成所有设备实体的网络访问控制规则的副本；以及，将该副本中的所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则进行合并，该合并后的副本供所述网关设备在对所述网络拓扑结构中的设备实体之间的访问进行控制时使用。

8.如权利要求7所述的网关设备，其中，所述网络访问控制规则优化单元在对该副本中的所具有的目的IP地址和动作相同且源IP地址连续的网络访问控制规则进行合并后，进一步将进行合并后的副本中的所具有的源IP地址和动作相同且目的IP地址连续的网络访问控制规则合并。

9.如权利要求6所述的网关设备，进一步包括：

网络访问控制规则优化单元，用于

生成所有设备实体的网络访问控制规则的副本；以及，将该副本中的所具有的目的IP地址、动作和服务相同且源IP地址连续的网络访问控制规则合并，该合并后的副本供所述网关设备在对所述网络拓扑结构中的设备实体之间的访问进行控制时使用。