CN103607374A - 基于身份认证和数据包过滤技术的网络资源访问控制方法 - Google Patents

Abstract

本发明公开了一种基于身份认证和数据包过滤技术的网络资源访问控制方法。在网络资源访问请求客户端和服务端过滤网络访问请求，在客户端上拦截用户发起的网络请求，并要求用户完成身份认证，认证成功后，客户端将用户身份信息和访问请求转发给服务端；服务端拦截网络请求，验证该请求是否通过身份认证，如果已经通过，则允许该用户访问指定的网络资源。通过Windows Sockets提供的SPI编程接口，在Socket中插入一层，过滤网络数据包，实现网络连接请求过滤的目标；结合第三方身份认证系统，通过其提供的接口，实现身份认证等功能。本发明将访问网络资源的请求与用户身份结合在一起，能够实现细粒度的网络资源访问。

Description

基于身份认证和数据包过滤技术的网络资源访问控制方法

技术领域

本发明属于网络安全技术领域，涉及一种基于身份认证和数据包过滤技术的网络资源访问控制方法。

背景技术

随着信息技术的发展，信息成为组织机构的重要资产。针对信息资产的保护越来越受到重视，尤其是在网络技术飞速发展的今天，多数组织机构都会通过网络完成数据交互等操作，信息成为网络资源，在提高工作效率的同时，也面临着信息被非法访问和使用的风险，如何实现网络资源访问控制成为迫切的需求。

目前，主要的网络访问控制手段是基于路由器、交换机、防火墙等设备的策略配置，能够在一定程度上起到访问控制的目的和作用。但是，这些访问控制手段通常都是基于主机，通过主机地址等特征实现访问控制，没有考虑到资源访问发起者的身份。这种访问控制主要存在以下不足：

一是访问控制过程中缺乏对网络资源访问者身份的确认，仍然存在网络资源被非法使用的风险；

二是不能防范内部网络中网络资源的非法访问控制；

三是不利于对网络资源进行细粒度的访问控制。

发明内容

针对现有技术中存在的上述问题，本发明提出一种基于身份认证和数据包过滤技术的网络资源访问控制方法，将访问网络资源的请求与用户身份结合在一起，能够实现细粒度的网络资源访问，以及有效的事后审计分析。

本发明的基本原理是，在网络资源访问请求发起端（客户端）和网络资源访问接收端（服务端）过滤网络访问请求，在客户端上拦截用户发起的网络请求，并要求用户完成身份认证，认证成功后，客户端将用户身份信息和访问请求转发给服务端；服务端拦截网络请求，验证该请求是否通过身份认证，如果该请求已经通过身份认证，则允许该用户访问指定的网络资源。通过Windows Sockets提供的SPI编程接口，在Socket中插入一层，过滤网络数据包，实现网络连接请求过滤的目标；结合第三方身份认证系统，通过其提供的接口，实现身份认证等功能。

一种基于身份认证和数据包过滤技术的网络资源访问控制方法，包括以下步骤：

步骤1：用户通过客户端请求访问服务端上的指定资源。

步骤2：客户端拦截该请求，要求用户进行身份认证，并与身份认证服务器交互，完成身份认证过程。如果通过身份认证，客户端将用户身份信息和用户请求转发给服务器端；否则，通知用户身份认证失败，不能访问服务端。

步骤3：服务端拦截访问请求，并与身份认证服务器交互，验证该用户是否通过身份认证。如果该用户已经通过认证，则结合资源访问控制规则设置，允许其访问指定的网络资源；否则，不允许该用户访问网络资源。

与现有技术相比，本发明具有以下优点：

（1）在用户访问网络资源前进行身份认证，能够有效防范非法用户通过客户端访问网络资源；

（2）能够结合用户身份设置资源访问控制规则，实现网络资源细粒度的访问控制；

（3）能够实现内部网络中的资源访问控制，有效防范网络内部的非法访问行为；

（4）通过记录访问网络资源的用户身份等信息，能够实现准确的事后审计分析，为网络行为溯源和审计分析提供技术支撑。

附图说明

图1为本发明所涉及的设备连接图；

图2为本发明所涉及的网络资源访问控制方法流程图；

图3为客户端拦截用户请求的工作流程图；

图4为服务端拦截用户请求的工作流程图。

具体实施方式

下面结合附图和实施例对本发明做进一步说明。

实施例的设备连接图如图1所示。本发明中参与通信的客户端和服务端基于windows操作系统，支持Windows Sockets的2.0版本程序开发。其中，用户通过客户端发出网络资源访问请求，服务端接收客户端的网络资源访问请求并提供指定资源，身份认证服务器用于完成用户的身份认证。

本发明所述方法的流程图如图2所示，包括以下步骤：

步骤1：用户通过客户端请求访问服务端的指定资源。

步骤2：客户端拦截用户请求，要求用户进行身份认证，通过身份认证后，客户端转发用户身份信息和用户请求。

步骤2.1：客户端拦截用户的请求。

当用户通过客户端提出网络请求时，通过socket或WSASocket函数等完成网络通信，Windows操作系统会根据地址家族和套接字类型选择第一个符合条件的服务提供者，并将相应的DLL程序加载到内存中。在本发明中通过替换Windows操作系统的关于TCP/IPv4的所有基础服务提供者，实现拦截所有基于TCP/IPv4的网络请求。

客户端拦截用户请求的工作流程图如图3所示，具体包括以下步骤：

（1）在Winsock2应用程序调用SPI程序的初始化函数WSAStartup中调用自定义的WSPConnect函数，拦截用户网络访问请求，并在自定义的WSPConnect函数中完成用户身份认证等；

（2）在自定义WSPConnect函数中，要求用户提供身份信息，并与身份认证服务器交互，完成用户身份认证。

步骤2.2：进行身份认证。

在本发明中可以集成第三方身份认证软件，通过其开放的开发接口完成身份认证。

步骤2.3：客户端转发用户身份信息和访问请求。

如果用户身份认证成功，在WSPConnect函数中调用系统基础提供者的WSPConnect函数完成用户身份信息和访问请求的中转；否则，通知用户身份认证失败，不能访问指定的网络资源。

步骤3：服务端拦截用户请求，并与身份认证服务器交互，验证该用户是否通过身份认证，如果已经通过认证，结合网络资源访问控制规则，允许其访问指定的网络资源；否则，不允许该用户访问网络资源。

步骤3.1：服务端拦截用户请求。

服务端拦截访问请求的工作流程图如图4所示，包括以下步骤：

（1）在WSAStartup函数中调用自定义的WSPAccept函数，拦截用户网络访问请求，并在自定义的WSPAccept函数中完成用户身份认证结果验证和网络资源访问控制规则匹配等；

（2）在自定义WSPAccept函数中，根据用户身份信息，与身份认证服务器交互，验证该用户是否已经通过身份认证。

步骤3.2：验证该用户是否已经通过身份认证。

服务端与第三方身份认证软件交互，验证该用户是否已经通过身份认证。

步骤3.3：根据设置的网络资源访问控制规则，判断该用户是否能够访问指定的网络资源。

如果该用户已经通过身份认证，且符合设置的网络资源访问控制规则，则允许该用户访问指定的网络资源；如果该用户没有通过身份认证，或者通过身份认证，但不符合设置的访问控制规则，都不能访问指定的网络资源。

Claims (3)

1.一种基于身份认证和数据包过滤技术的网络资源访问控制方法，其特征在于包括以下步骤：

步骤1：用户通过客户端请求访问服务端的指定资源；

步骤2：客户端拦截用户请求，要求用户进行身份认证，通过身份认证后，客户端转发用户身份信息和用户请求；

步骤2.1：客户端拦截用户的请求；

步骤2.2：进行身份认证；

集成第三方身份认证软件，通过其开放的开发接口完成身份认证；

步骤2.3：客户端转发用户身份信息和访问请求；

如果用户身份认证成功，在WSPConnect函数中调用系统基础提供者的WSPConnect函数完成用户身份信息和访问请求的中转；否则，通知用户身份认证失败，不能访问指定的网络资源；

步骤3：服务端拦截用户请求，并与身份认证服务器交互，验证该用户是否通过身份认证，如果已经通过认证，结合网络资源访问控制规则，允许其访问指定的网络资源；否则，不允许该用户访问网络资源；

步骤3.1：服务端拦截用户请求；

步骤3.2：验证该用户是否已经通过身份认证；

服务端与第三方身份认证软件交互，验证该用户是否已经通过身份认证；

步骤3.3：根据设置的网络资源访问控制规则，判断该用户是否能够访问指定的网络资源；

如果该用户已经通过身份认证，且符合设置的网络资源访问控制规则，则允许该用户访问指定的网络资源；如果该用户没有通过身份认证，或者通过身份认证，但不符合设置的访问控制规则，都不能访问指定的网络资源。

2.根据权利要求1所述的一种基于身份认证和数据包过滤技术的网络资源访问控制方法，其特征在于，步骤2.1所述客户端拦截用户请求的方法如下：

（1）在Winsock2应用程序调用SPI程序的初始化函数WSAStartup中调用自定义的WSPConnect函数，拦截用户网络访问请求，并在自定义的WSPConnect函数中完成用户身份认证；

（2）在自定义WSPConnect函数中，要求用户提供身份信息，并与身份认证服务器交互，完成用户身份认证。

3.根据权利要求1所述的一种基于身份认证和数据包过滤技术的网络资源访问控制方法，其特征在于，步骤3.1所述服务端拦截访问请求的方法如下：

（1）在WSAStartup函数中调用自定义的WSPAccept函数，拦截用户网络访问请求，并在自定义的WSPAccept函数中完成用户身份认证结果验证和网络资源访问控制规则匹配；

（2）在自定义WSPAccept函数中，根据用户身份信息，与身份认证服务器交互，验证该用户是否已经通过身份认证。

Images