CN103716178A - 实时报告制网络终端管理的方法 - Google Patents

Abstract

本发明公开了一种实时报告制网络终端管理的方法，1）形成交换机端口与终端的IP地址、MAC的对应关系；2）设置终端匹配规则；3）配置核心交换机相关信息；4）获取核心交换机的端口列表信息；5）获取核心交换机每个端口下联的MAC地址信息；6）通过网络中IP地址与MAC的对应关系列表；7）根据配置的终端匹配规则，对端口、IP地址、MAC地址进行验配；8）对于不符合匹配规则的终端进行阻断，对于符合匹配规则的终端进行放行；9）阻断终端或者放行终端成功后，可以Web信息、短信、邮件、声音发送通知，可自动完成网络终端管理，节约人工管理的成本，提供了完整有效的终端管理。

Description

实时报告制网络终端管理的方法

技术领域

本发明涉及网络管理中的设备管理，尤其涉及实时报告制网络终端管理的方法。

背景技术

在金融、电信、公安等政府部门及行业中，由于其信息具有高度保密性的要求，对于部门及企业内部网络需要进行严格的管理和控制，所有未经过允许和认证的终端都不能接入到部门及企业内部网络中。 

对网络终端的接入进行管理便是一种重要的网络终端管理和控制手段，通常使用人工的方法来进行管理：人工对所有可以接入内网的网络端口进行管理和分配，对每一个允许接入的终端分配一个IP 地址，记录终端的MAC 地址，接入的网络端口地址；对网络端口进行人工管理和控制，固定接入位置，对所有可以接入内网的办公区域进行门禁及人工控制，合法的终端在配置分配的IP 地址后，在分配的固定位置接入到部门及企业内部网络； 使用人工管理和区域控制的方法对网络终端的接入进行管理存在着以下问题：管理成本较高；无法完全有效的接入终端进行控制。

本发明中提供的方法和系统，提供了一种通过SNMP 和Telnet/SSH 方式自动获取内网核心交换机上各个端口下联终端的方法，自动进行比对和匹配，对于不被允许的终端自动阻断，不允许接入部门及企业内网，对于允许的终端则自动放行，从而能够节约人工管理的成本，又提供了完整有效的终端管理。

发明内容

SNMP  Simple Network Management Protocol；

Telnet Internet 远程登陆服务的一种协议和方式；

SSH，指 Secure Shell，为建立在应用层和传输层基础上的安全协议；

IP 地址，指Internet  Protocol 地址，为每个连接在Internet 上的主机分配的一个32bit 地址；

MAC 地址，指Media Access Control 地址，用来定义网络设备的位置；

PORT 交换机的端口，也可称为接口。

本发明提供了一种网络管理中的终端管理方法，该方法包括自动对终端进行阻断和自动进行放行的方法。

本发明中，所述自动对终端进行阻断和自动进行放行的方法，其步骤为：

1）通过自动导入或者人工编辑的方法录入交换机端口与终端的IP 地址、MAC 的对应关系；

2）设置终端匹配规则；

3）手工录入需要进行管理的内网的子网地址、子网掩码、读团体字，获取网络中的核心交换机信息，手工配置核心交换机的读团体字；或者手工录入每台核心交换机的IP 地址、Telnet/SSH 的帐号、Telnet/SSH 的端口号、Telnet/SSH 的密码、Telnet 的特权模式提示符、Telnet 的特权密码、Telnet 的命令提示符；  

4）获取核心交换机的端口列表信息；

5）获取核心交换机每个端口下联的MAC 地址信息；

6）获取网络中IP 地址与MAC 的对应关系列表； 

7）根据配置的终端匹配规则，对步骤3）、4）、5）中获取到核心交换机端口、IP地址、MAC 地址与步骤1）中自动导入或者人工录入的交换机端口、IP 地址、MAC 地址信息进行匹配；

8）对于不符合匹配规则的终端进行阻断，对于符合匹配规则的终端进行放行。 

本发明中，所述步骤1）中自动导入交换机端口与终端的IP 地址、MAC 的对应关系，采用但不限于以下的文件格式：EXCEL、XML、TXT。 

本发明中，所述步骤2）中的终端匹配规则可以采用三种规则：核心交换机端口与终端IP 地址绑定、核心交换机端口与终端MAC 地址绑定、核心交换机端口与终端IP 地址以及MAC 地址绑定。 

本发明中，所述步骤4）获取网络中的核心交换机的端口列表信息，采用SNMP 方式自动对网络进行扫描，通过.iso.org.dod.internet.mgmt.mib-2.interfaces.ifTable MIB 项，获取核心交换机的端口列表信息；同时，支持通过Telnet/SSH 方式，自动远程登录到核心交换机上，执行命令，获取核心交换机的端口列表信息。

本发明中，所述步骤1）、2）、3），其顺序可以任意交换。

本发明中，所述步骤5）获取核心交换机每个端口下联的MAC 地址信息，通过SNMP方式获取地址转发表信息中类型为3(learned) 的端口ID 与MAC 地址信息，并获取端口ID与端口索引号的对应信息，对应得到端口索引与MAC 地址信息的对应关系，并根据生成树算法过滤掉其中的交换机互联的端口；同时，也可以通过Telnet/SSH 方式，根据命令获取端口下联的MAC 地址信息。

本发明中，所述步骤4）、5），在使用Telnet/SSH 方式时，则为一个步骤，通过一个命令，获取到核心交换机的端口列表及端口下联的MAC 信息。

本发明中，所述步骤6）获取网络中IP 地址与MAC 的对应关系列表，通过SNMP 方式获取IP 表中.iso.org.dod.internet.mgmt.mib-2.ip.ipNetToMediaTable 表项的内容，获得IP 地址与MAC 地址的对应关系，对于其中一个IP 地址对应多个MAC 的情况，对IP 地址进行PING 测试，取其中可以IP 地址作为有效的IP 地址；同时，也可以通过Telnet/SSH方式，通过命令获取IP 地址和MAC 地址的对应关系，对IP 地址进行PING 测试，取其中可以IP 地址作为有效的IP 地址。 

本发明中，所述步骤8）对于不符合匹配规则的终端进行阻断/ 对于符合匹配规则的终端进行放行，通过SNMP 方式设置端口管理状态为down，则对不匹配的终端进行阻断；通过SNMP 方式设置端口管理状态为up，则对匹配的终端进行放行；同时，也可以通过Telnet/SSH 方式，通过命令设置端口的管理状态为down，阻断不匹配的终端，设置端口的

管理状态为up，放行匹配的终端。 

本发明中，所述步骤8）中，阻断终端或者放行终端成功后，并且终端的连接状态有变化时，将发送阻断/ 放行成功提示，提示形式可以为Web 信息、短信、邮件、声音；当阻断失败或者放行失败后，将发送阻断/ 放行失败告警通知，通知形式可以为Web 信息、短信、邮件、声音。 

本发明中，所述步骤5）、6）、7）、8）采用定时任务的方式，定时进行该4 个步骤的执行，其定时任务执行时间、执行时间间隔、执行时间间隔单位可以进行设置。 

综上所述，由于采用了上述技术方案，本发明的有益效果是：可以完整、自动的对部门和企业的网络进行管理，管理所有接入网络的终端，既节约了人工管理的成本，又能自动、及时、准确的对终端进行阻断和放行，有效保证了部门及企业网络和信息的安全性、保密性。 

附图说明

本发明将通过例子并参照附图的方式说明，其中： 

图1. 网络终端管理原理；

图2. 网络终端管理消息交互图；

图3. 网络终端管理步骤；

图4. SNMP 方式核心交换机端口下联IP/MAC 发现步骤；

图5. Telnet 方式核心交换机端口下联IP/MAC 发现步骤；

图6. 网络终端匹配及阻断／放行步骤。

具体实施方式

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/ 或步骤以外，均可以以任何方式组合。 

本说明书（包括任何附加权利要求、摘要和附图）中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。 

具体实施方式1：下面将结合附图对本发明做进一步的说明。

如图1 所示，本发明网络终端管理方法工作原理为进行网络中IP/MAC/PORT 信息、匹配规则的存储，发送指令到核心交换机，获取交换机信息，进行匹配处理，根据匹配结果发送指令到核心交换机管理交换机端口，通过核心交换机管理交换机下联的网络终端。

如图2、图3 所示，网络终端管理的步骤为：1）通过EXCEL/XML/TXT 文件方式导入IP/MAC/PORT 信息，并进行手工编辑管理；2）设置匹配规则为：IP-MAC-PORT 完整匹配；3）手工编辑需要发现的核心交换机子网IP 地址、子网掩码、读团体字，通过SN MP 方式获取核心交换机信息；通过SNMP 方式获取核心交换机端口列表；4）通过SNMP 方式获取核心交换机端口下联MAC 地址信息；5）通过SNMP 获取IP 地址与MAC 的对应关系；6）获取设置的匹配规则，获取设置的匹配信息；7）对获取到的所有IP、MAC、PORT，根据匹配规则，与设置的匹配信息进行比对，符合设置的匹配信息则匹配成功，进行放行标识；不符合设置的匹配信息则匹配失败，进行阻断标识；8）通过SNMP 方式发送消息给核心交换机，对标识为放行的核心交换机端口进行放行；对标识为阻断的核心交换机端口进行阻断；9）阻断/ 放行成功后，并且网络终端的连接状态发送变化，发送阻断/ 放行成功WEB 消息告警；阻断/ 放行失败，发送阻断/ 放行失败WEB 消息告警。 

如图5 所示，SNMP 方式核心交换机端口下联IP/MAC 发现步骤为：1）通过给核心交换机发送SNMP  GET 命令，使用OID ：1.3.6.1.2.1.2.2，获取核心交换机端口列表ifTable ；2）通过给核心交换机发送SNMP  GET 命令，使用OID ： 1.3.6.1.2.1.17.4.4，获取地址转发信息dot1dTpFdbTable 列表，列表信息中包括以下三项：dot1dTpFdbPort、dot1dTpFdbAddress、dot1dTpFdbStatus ；3）根据dot1dTpFdbStatus 状态对地址转发信息进行过滤，只保留dot1dTpFdbStatus 为3(learned) 的地址转发信息；4）通过给核心交换机发送SNMP  GET 命令，使用OID ：1.3.6.1.2.1.17.1.4，获取端口ID/ 索引映射关系dot1dBasePortTable 列表，列表信息中包括以下两项：dot1dBasePort、dot1dB asePortIfIndex ；5）根据ID/ 索引映射关系，结合步骤3）中的地址转发信息，获得端口索引、下联MAC 地址对应关系列表；6）根据生成树算法过滤掉交换机互联端口；7）通过给核心交换机发送SNMP  GET 命令，使用OID ：1.3.6.1.2.1.4.22，获取到IP/MAC 对应关系ipNetToMediaTable 列表，列表信息中包括以下两项：ipNetToMediaNetAddress、ipNetToMediaPhysAddress ；8）过滤其中一个MAC 对应多个IP 的IP/MAC 对，对IP 进行ICMP PING 操作，只保留可以PING 通的IP 地址；9）根据步骤6）、7）中的信息进行关联，得到交换机端口索引与下联的IP 地址、MAC 地址关联关系列表。 

如图6 所示，网络终端匹配及阻断／放行步骤为：1）获取自动导入的IP-MAC-PORT匹配信息列表，其中PORT 为端口索引；2）轮询处理在核心交换机中发现的IP/MAC/PORT 对，与步骤1）中的IP-MAC-PORT 匹配信息列表进行比对；3）匹配成功，并且当前端口管理状态为down 的，则通过给核心交换机发送SNMP  SET 命令开通端口，使用OID ：1.3.6.1.2.1.2.2.1.7.ifindex（ifindex 为端口索引）放行网络终端设备；匹配失败，并且当前端口管理状态为up 的，则通过核心交换机发送SNMP  SET 命令关闭端口，使用OID ：1.3.6.1.2.1.2.2.1.7.ifindex（ifindex 为端口索引），阻断网络终端设备；4）操作成功，则发送阻断/ 放行成功WEB 告警；操作失败，则发送阻断/ 放行失败WEB 告警。 

具体实施方式2，下面将结合附图对本发明做进一步的说明。

如图1 所示，本发明网络终端管理方法工作原理为进行网络中IP/MAC/PORT 信息、匹配规则的存储，发送指令到核心交换机，获取交换机信息，进行匹配处理，根据匹配结果发送指令到核心交换机管理交换机端口，通过核心交换机管理交换机下联的网络终端。

如图2、图3 所示，网络终端管理的步骤为：1）通过EXCEL/XML/TXT 文件方式导入IP/MAC/PORT 信息，并进行手工编辑管理，其中PORT 为端口名称；2）设置匹配规则：IP-MAC-PORT 完整匹配；3）手工编辑核心交换机的IP 地址、Telnet 端口号、Telnet 用户、Telnet 密码、操作命令提示符、特权模式命令、特权密码、特权命令提示符；4）通过elnet方式获取核心交换机端口下联MAC 地址信息；5）通过Telnet 方式获取IP 地址与MAC的对应关系；6）获取设置的匹配规则，获取设置的匹配信息；7）对获取到的所有IP、MAC、PORT，根据匹配规则，与设置的匹配信息进行比对，符合设置的匹配信息则匹配成功，进行放行标识；不符合设置的匹配信息则匹配失败，进行阻断标识；8）通过Telnet 方式发送命令到核心交换机，对标识为放行的核心交换机端口进行放行；对标识为阻断的核心交换机端口进行阻断；9）阻断/ 放行成功后，并且网络终端的连接状态发送变化，发送阻断/ 放行成功WEB 消息告警；阻断/ 放行失败，发送阻断/ 放行失败WEB 消息告警。 

如图4 所示，以cisco3524 为例，Ｔｅｌｎｅｔ方式核心交换机端口下联IP/MAC发现步骤为：1）与核心交换机建立Telnet 连接，传入用户名、密码，进行登录；2）登录成功后，切换到特权模式；3）特权模式登录；4）特权模式登录成功后，传入命令sh  mac，取核心交换机端口及端口下联MAC 信息；5）解析命令结果，获取Destination AddressMAC 地址）、Destination Port（端口名称），得到交换机的端口列表及端口下联的MAC 地址；6）

入命令sh  arp，获取Address、Hardware  Addr，获取IP/MAC 对应信息列表；7）过滤其中一个MAC 对应多个IP 的IP/MAC 对，对IP 进行ICMP  PING 操作，只保留可以PING 通的IP 地址；8）根据步骤5）、6）中的信息进行关联，得到交换机端口名称与下联的IP地址、MAC 地址关联关系列表。 

如图6 所示，网络终端匹配及阻断／放行步骤为：1）获取自动导入的IP-MAC-PORT匹配信息列表；2）轮询处理在核心交换机中发现的IP/MAC/PORT 对，与步骤1）中的IP-MAC-PORT 匹配信息列表进行比对；3）匹配成功，并且当前端口管理状态为down 的，则通过命令交换机名(config)#interface 端口名，进入核心交换机接口配置模式中对应端口，发送no  shutdown 命令，打开端口放行网络终端设备；匹配失败，并且当前端口管理状态为up 的，则通过命令交换机名(config)#interface 端口名，进入核心交换机接口配置模式中对应端口，发送shutdown 命令，关闭端口阻断网络终端设备；4）操作成功，则发送阻断/ 放行成功WEB 告警；操作失败，则发送阻断/ 放行失败WEB 告警。 

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。

Claims (9)

1.实时报告制网络终端管理的方法，其特征在于步骤包括：

1）通过自动导入或者人工编辑的方法录入交换机端口与终端的IP地址、MAC的对应关系；

2）设置终端匹配规则；

3）手工录入需要进行管理的内网的子网地址、子网掩码、读团体字， 获取网络中的核心交换机信息，手工配置核心交换机的读团体字；或者手工录入每台核心交换机的IP地址、Telnet/SSH的帐号、Telnet/SSH的端口号、Telnet/SSH的密码、Telnet的特权模式提示符、 Telnet的特权密码、Telnet的命令提示符； 

4）获取核心交换机的端口列表信息；

5）获取核心交换机每个端口下联的MAC地址信息； 

6） 通过网络中 IP地址与MAC的对应关系列表； 

7）根据配置的终端匹配规则，对步骤3）、4）、5）中获取到核心交换机端口、IP地址、MAC地址与步骤1）中自动导入或者人工录入的交换机端口、IP地址、MAC地址信息进行匹配；

8）对于不符合匹配规则的终端进行阻断，对于符合匹配规则的终端进行放行。

2.9）阻断终端或者放行终端成功后，并且终端的连接状态有变化时，将发送阻断/放行成功提示，提示形式可以为Web信息、短信、邮件、声音；当阻断失败或者放行失败后，将发送阻断/放行失败告警通知，通知形式可以为Web信息、短信、邮件、声音。

3.根据权利要求1所述的实时报告制网络终端管理的方法，其特征在于：前述步骤5）获取核心交换机每个端口下联的MAC地址信息的具体工作流程是，通过SNMP方式获取地址转发表信息中类型为3的端口ID与MAC地址信息，并获取端口ID与端口索引号的对应信息，对应得到端口索引与MAC地址信息的对应关系， 并根据生成树算法过滤掉其中的交换机互联的端口；或者，通过Telnet/SSH方式，根据命令获取端口下联的MAC地址信息。

4.根据权利要求1所述的实时报告制网络终端管理的方法，其特征在于：所述步骤6）获取网络中IP地址与MAC的对应关系列表的具体工作流程是，通过SNMP方式获取IP表中.iso.org.dod.internet.mgmt.mib-2.ip.ipNetToMediaTable表项的内容，获得IP地址与MAC地址的对应关系，对于其中一个IP地址对应多个MAC的情况，对IP地址进行PING测试，取其中可以IP地址作为有效的IP地址；或者，通过Telnet/SSH方式，通过命令获取IP地址和MAC地址的对应关系，对IP地址进行PING测试，取其中可以IP地址作为有效的IP地址。

5.根据权利要求1所述的实时报告制网络终端管理的方法，其特征在于：所述步骤8）对于不符合匹配规则的终端进行阻断，对于符合匹配规则的终端进行放行的具体工作流程是，通过SNMP方式设置端口管理状态为down，则对不匹配的终端进行阻断；通过SNMP方式设置端口管理状态为up，则对匹配的终端进行放行；或者，通过Telnet/SSH方式，通过命令设置端口的管理状态为down，阻断不匹配的终端，设置端口的管理状态为up，放行匹配的终端。

6.根据权利要求1所述的实时报告制网络终端管理的方法，其特征在于：步骤8）对于不符合匹配规则的终端进行阻断，对于符合匹配规则的终端进行放行的具体工作流程还可以是，阻断终端或者放行终端成功后，并且终端的连接状态有变化时，将发送阻断/放行成功提示，提示形式可以为Web信息、短信、邮件、声音；当阻断失败或者放行失败后，将发送阻断/放行失败告警通知，通知形式可以为Web信息、短信、邮件、声音。

7.一种如权利要求1所述的实时报告制网络终端管理的方法，其特征在于： 步骤1）、2）、3），其顺序可以任意交换。

8.根据权利要求2所述的实时报告制网络终端管理的方法，其特征在于：前述步骤4）、5）的工作流程，在使用Telnet/SSH方式时，可以通过一个命令，同时获取到所述核心交换机的端口列表及所述端口下联的MAC信息。

9.根据权利要求1所述的实时报告制网络终端管理的方法，其特征在于：步骤5）、6）、7）、8）采用定时任务的方式，定时进行该4个步骤的执行，其定时任务执行时间、执行时间间隔、执行时间间隔单位可以进行设置。

Images