CN103716325A - 访问网络的安全控制方法、装置及系统 - Google Patents

Abstract

本发明公开了一种访问网络的安全控制方法、装置及系统。其中，该系统包括：用户终端，用于接收用户的登录请求；认证端，与用户终端连接，用于从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，并在接收到验证结果之后，控制用户登录系统；安全网关，与认证端连接，用于验证接收到的用户名和密码得到验证结果。通过本发明，解决了现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，实现了方便快捷地登录windows服务器的效果。

Description

访问网络的安全控制方法、装置及系统

技术领域

本发明涉及网络安全领域，具体而言，涉及一种访问网络的安全控制方法、装置及系统。

背景技术

随着智能终端设备的普及，移动办公的需求日益迫切。越来越多的企业需要将企业内部的windows系统以远程桌面（RDP）的方式通过安全桌面发布平台（安全网关、SSLVPN网关）进行发布，供企业移动办公人员随时随地通过智能终端进行访问。如图1所示，在这种应用场景下，移动办公人员需要使用智能终端先登录安全网关（需要为每一个使用系统的人员在安全网关上配置一个账号，属于互联网的范畴），移动办公人员登录安全网关后访问windows服务器（远程桌面方式）时（属于企业内网的范畴），基于windows对用户的认证要求，移动办公人员需要再次输入windows账号，在大多数应用场景下，这个windows账号和安全网关账号是一致的。为了保证安全网关的账号和windows服务器的账号一致，现有的方案一般如下解决：在windows服务器上运行一个专门的账号同步、管理软件，首先将安全网关的账号全部在windows服务器上重新创建一份，然后周期性的和安全网关进行账号同步，如果这些账号变更了（如密码被修改了），则在windows服务器上进行相应的修改。

上述方案有如下缺点：1）、为了保证用户能以安全网关的账号登录windows服务器，需要事先在windows服务器上把安全网关的账号创建一份。即，需要将安全网关上的所有账号全部在windows服务器上创建一份，这些账号中可能很大一部分是不需要的（用户不会使用这些账号在windows服务器上登录），这样会导致windows服务器上账号太多，不便管理。2）、账号同步独立的、周期性的定时进行，会给安全网关和windows服务器增加额外的运算压力。3）、账号一旦在windows服务器上创建了，除非人工干预将其删除，否则这些账号会一直存在，导致账号管理混乱。4）、账号同步只能周期性定时完成，不能做到账号变更后实时生效。如果账号同步周期过长，会导致安全网关上账号或密码已经无效的情况下，用户还能使用此账号访问windows服务器，造成安全隐患；如果更新周期过短，会增加安全网关和windows服务器的运算压力。

针对现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术在windows服务器上创建账号增加windows服务器的运算压力的问题，目前尚未提出有效的解决方案，为此，本发明的主要目的在于提供一种访问网络的安全控制方法、装置及系统，以解决上述问题。

为了实现上述目的，根据本发明的一个方面，提供了一种访问网络的安全控制系统，该系统包括：用户终端，用于接收用户的登录请求；认证端，与用户终端连接，用于从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，并在接收到验证结果之后，控制用户登录系统；安全网关，与认证端连接，用于验证接收到的用户名和密码得到验证结果。

进一步地，安全网关还用于在用户名和密码符合预设条件的情况下，向认证端发送第一验证结果，在用户名和密码不符合预设条件的情况下，向认证端发送第二验证结果。

进一步地，认证端还用于在获取到第一验证结果的情况下，在认证端添加用户名，以供用户使用用户名登录系统；在获取到第二验证结果的情况下，禁止用户登录系统。

为了实现上述目的，根据本发明的一个方面，提供了一种访问网络的安全控制方法，该方法包括：接收用户的登录请求，其中，登录请求包括：用户名和密码；将用户名和密码发送至安全网关进行身份认证并获取验证结果；根据验证结果控制用户登录系统。

进一步地，将用户名和密码发送至安全网关进行身份认证并获取验证结果的步骤包括：在安全网关对用户名和密码的验证通过情况下，获取第一验证结果；在安全网关对用户名和密码的验证不通过情况下，获取第二验证结果。

进一步地，根据验证结果控制用户登录系统的步骤包括：在获取到第一验证结果的情况下，在认证端添加用户名，以供用户使用用户名登录系统；在获取到第二验证结果的情况下，禁止用户登录系统。

进一步地，在认证端添加用户名的步骤包括：检测认证端是否存在用户名；在认证端存在用户名的情况下，用户使用用户名直接登录系统；在认证端不存在用户名的情况下，添加用户名。

为了实现上述目的，根据本发明的一个方面，提供了一种访问网络的安全控制装置，该装置包括：接收模块，用于接收用户的登录请求，其中，登录请求包括：用户名和密码；认证模块，用于将用户名和密码发送至安全网关进行身份认证并获取验证结果；控制模块，用于根据验证结果控制用户登录系统。

进一步地，认证模块包括：第一获取子模块，用于在安全网关对用户名和密码的验证通过情况下，获取第一验证结果；第二获取子模块，用于在安全网关对用户名和密码的验证不通过情况下，获取第二验证结果。

进一步地，控制模块包括：登录模块，用于在获取到第一验证结果的情况下，在认证端添加用户名，以供用户使用用户名登录系统；禁止模块，用于在获取到第二验证结果的情况下，禁止用户登录系统。

通过本发明，用户终端接收登录请求之后，认证端从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，安全网关对用户名和密码进行验证得到验证结果，认证端根据验证结果控制用户登录系统。在上述实施例中当用户访问windows服务器时，认证端会接管windows认证机制，将用户访问windows服务器时提交的账号（即用户名）、密码实时提交至安全网关进行认证，根据认证结果控制用户登录windows服务器，而不需要事先在windows服务器上创建账号，也不需要周期性的从安全网关同步账号，从而减少了windows服务器的运算压力。解决了现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，实现了方便快捷地登录windows服务器的效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据现有技术的访问网络的安全控制系统的结构示意图；

图2是根据本发明实施例的访问网络的安全控制系统的结构示意图；

图3是根据本发明实施例的访问网络的安全控制装置的结构示意图；

图4是根据本发明实施例的访问网络的安全控制方法的流程图；以及

图5是根据图4所示实施例的访问网络的安全控制方法的流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

图2是根据本发明实施例的访问网络的安全控制系统的结构示意图。如图2所示，该系统可以包括：用户终端1，用于接收用户的登录请求；认证端3，与用户终端1连接，用于从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，并在接收到验证结果之后，控制用户登录系统；安全网关5，与认证端3连接，用于验证接收到的用户名和密码得到验证结果。

采用本发明，用户终端接收登录请求之后，认证端从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，安全网关对用户名和密码进行验证得到验证结果，认证端根据验证结果控制用户登录系统。在上述实施例中当用户访问windows服务器时，认证端会接管windows认证机制，将用户访问windows服务器时提交的账号（即用户名）、密码实时提交至安全网关进行认证，根据认证结果控制用户登录windows服务器，而不需要事先在windows服务器上创建账号，也不需要周期性的从安全网关同步账号，从而减少了windows服务器的运算压力。解决了现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，实现了方便快捷地登录windows服务器的效果。

在本发明的上述实施例中，安全网关还用于在用户名和密码符合预设条件的情况下，向认证端发送第一验证结果，在用户名和密码不符合预设条件的情况下，向认证端发送第二验证结果。

具体地，认证端还用于在获取到第一验证结果的情况下，在认证端添加用户名，以供用户使用用户名登录系统；在获取到第二验证结果的情况下，禁止用户登录系统。

在上述实施例中，通过认证端接管windows认证可以实时的保证只要是安全网关的合法账号，都可以登录windows系统（无论此账号是否在windows系统上事先存在），通过认证端对用户的用户名和密码进行管理，则用户登录windows服务器后，不会在系统留下账号信息，并且安全网关账号发生变更后会实时生效，也不需要windows服务器为创建新的账户或者更新账户进行运算，减小了windows服务器的运算压力，加快了windows服务器的处理速度。

图2是根据本发明实施例的访问网络的安全控制装置的结构示意图。如图2所示，该装置可以包括：接收模块10，用于接收用户的登录请求，其中，登录请求包括：用户名和密码；认证模块30，用于将用户名和密码发送至安全网关进行身份认证并获取验证结果；控制模块50，用于根据验证结果控制用户登录系统。

采用本发明，接收模块接收登录请求之后，认证模块从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，在获取验证结果之后，控制模块根据验证结果控制用户登录系统。在上述实施例中当用户访问windows服务器时，认证模块可以设置在认证端上，认证端接管windows认证机制，将接收模块接收到的用户访问windows服务器时提交的账号（即用户名）、密码实时提交至安全网关进行认证，控制模块根据认证结果控制用户登录windows服务器，而不需要事先在windows服务器上创建账号，也不需要周期性的从安全网关同步账号，从而减少了windows服务器的运算压力。解决了现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，实现了方便快捷地登录windows服务器的效果。

在本发明的上述实施例中，认证模块可以包括：第一获取子模块，用于在安全网关对用户名和密码的验证通过情况下，获取第一验证结果；第二获取子模块，用于在安全网关对用户名和密码的验证不通过情况下，获取第二验证结果。

根据本发明的上述实施例，控制模块包括：登录模块，用于在获取到第一验证结果的情况下，在认证端添加用户名，以供用户使用用户名登录系统；禁止模块，用于在获取到第二验证结果的情况下，禁止用户登录系统。

本发明上述实施例中提供的自定义的windows认证模块（即认证模块），可以在用户登录windows操作系统时获得控制，得到用户登录的用户名和密码，并且将这个用户名、密码提交至安全网关进行外部认证，认证通过后再在windows操作系统中添加此账号，从而不需要事先在windows服务器上创建账号，不需要周期性的从安全网关同步账号；用户登录windows服务器后，不会在系统留下账号信息；安全网关账号发生变更后会实时生效，减少了windows服务器的运算，加快windows服务器的处理速度。

图3是根据本发明实施例的访问网络的安全控制方法的流程图，如图3所示该方法包括如下步骤：

步骤S102，接收用户的登录请求，其中，登录请求包括：用户名和密码。

步骤S104，将用户名和密码发送至安全网关进行身份认证并获取验证结果。

步骤S106，根据验证结果控制用户登录系统。

采用本发明，用户终端接收登录请求之后，认证端从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，安全网关对用户名和密码进行验证得到验证结果，认证端根据验证结果控制用户登录系统。在上述实施例中当用户访问windows服务器时，认证端会接管windows认证机制，将用户访问windows服务器时提交的账号（即用户名）、密码实时提交至安全网关进行认证，根据认证结果控制用户登录windows服务器，而不需要事先在windows服务器上创建账号，也不需要周期性的从安全网关同步账号，从而减少了windows服务器的运算压力。解决了现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，实现了方便快捷地登录windows服务器的效果。

根据本发明的上述实施例，将用户名和密码发送至安全网关进行身份认证并获取验证结果的步骤可以包括：在安全网关对用户名和密码的验证通过情况下，获取第一验证结果；在安全网关对用户名和密码的验证不通过情况下，获取第二验证结果。

具体地，根据验证结果控制用户登录系统的步骤可以包括：在获取到第一验证结果的情况下，在认证端添加用户名，以供用户使用用户名登录系统；在获取到第二验证结果的情况下，禁止用户登录系统。

在本发明的上述实施例中，在认证端添加用户名的步骤可以包括：检测认证端是否存在用户名；在认证端存在用户名的情况下，用户使用用户名直接登录系统；在认证端不存在用户名的情况下，添加用户名。

如图4所示，本发明的上述实施例具体可以通过如下步骤实现：

步骤S202：接收登录请求。具体地，用户通过移动终端访问Windows服务器，提交用户名和密码，尝试登陆Windows服务器。

步骤S204：从登录请求中提取用户名和密码。具体地，这个步骤在认证端上实现。

步骤S206：判断认证端上是否已经存在该用户名。具体地，通过检测认证端上是否存在与用户名一致的账户，在认证端上存在与用户名一致的账户的情况下，确认认证端上已经存在该用户名，在认证端上不存在与用户名一致的账户的情况下，确认认证端上不存在该用户名。在认证端已经存在该用户名的情况下，执行步骤S208；在认证端不存在该用户名的情况下，执行步骤S210。

步骤S210：将用户名和密码发送至安全网关。

步骤S212：安全网关对用户名和密码进行验证获取验证结果。具体地，在安全网关中存在与该用户名和密码一致的身份信息的情况下，确认认证通过，获取第一验证结果；在安全网关中不存在与该用户名和密码一致的身份信息的情况下，确认认证失败，获取第二验证结果。

步骤S214：检测用户名和密码是否验证通过。具体地，检测接收到的验证结果，在验证结果为第一验证结果的情况下，确认用户名和密码验证通过，执行步骤S216；在验证结果为第二验证结果的情况下，确认用户名和密码验证没有通过，执行步骤S218。

步骤S216：在系统中创建此账号。

步骤S218：登录失败。也即禁止用户登录系统。

步骤S208：登录系统。

本发明的上述实施例适用于任何需要将windows的认证过程托管至外部设备的应用场景，适用于任何需要同步windows和外部设备（或系统）账号的应用场景。由于Windows操作系统提供了图形化身份与认证（Graphical Identification and Authentication，GINA）机制和凭证提供者（Credential Provider），其中GINA适用于windows vista之前的版本，凭证提供者适合windows vista之后的版本。这两种机制用于对windows登录过程进行控制和管理，并允许开发人员开发定制的模块来替换或扩充系统默认模块，从而实现对windows登录过程的功能扩充。

具体地，本发明的上述实施例基于GINA和凭证提供者的可扩充方法，通过提供认证端接管windows登录认证过程，将账号的认证提交至安全网关进行，并根据安全网关的认证结果（即验证结果），对windows不存在的账号进行添加以保证用户能顺利登录。通过此方案，只要安全网关存在某个账号，即便这个账号在windows系统上不存在，用户也可以顺利登录。

并且上述实施例中的GINA和Credential Provider，前者适用于windows vista之前的操作系统；后者适用于vista及之后的操作系统版本。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

从以上的描述中，可以看出，本发明实现了如下技术效果：采用本发明，用户终端接收登录请求之后，认证端从登录请求中提取用户名和密码，然后将用户名和密码发送至安全网关，安全网关对用户名和密码进行验证得到验证结果，认证端根据验证结果控制用户登录系统。在上述实施例中当用户访问windows服务器时，认证端会接管windows认证机制，将用户访问windows服务器时提交的账号（即用户名）、密码实时提交至安全网关进行认证，根据认证结果控制用户登录windows服务器，而不需要事先在windows服务器上创建账号，也不需要周期性的从安全网关同步账号，从而减少了windows服务器的运算压力。解决了现有技术中在windows服务器上创建账号增加windows服务器的运算压力的问题，实现了方便快捷地登录windows服务器的效果。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种访问网络的安全控制系统，其特征在于，包括：

用户终端，用于接收用户的登录请求；

认证端，与所述用户终端连接，用于从所述登录请求中提取用户名和密码，然后将所述用户名和所述密码发送至安全网关，并在接收到验证结果之后，控制所述用户登录系统；

所述安全网关，与所述认证端连接，用于验证接收到的所述用户名和所述密码得到所述验证结果。

2.根据权利要求1所述的安全控制系统，其特征在于，所述安全网关还用于在所述用户名和所述密码符合预设条件的情况下，向所述认证端发送第一验证结果，在所述用户名和所述密码不符合所述预设条件的情况下，向所述认证端发送第二验证结果。

3.根据权利要求2所述的安全控制系统，其特征在于，所述认证端还用于在获取到所述第一验证结果的情况下，在所述认证端添加所述用户名，以供所述用户使用所述用户名登录系统；在获取到所述第二验证结果的情况下，禁止所述用户登录所述系统。

4.一种访问网络的安全控制方法，其特征在于，包括：

接收用户的登录请求，其中，所述登录请求包括：用户名和密码；

将所述用户名和所述密码发送至安全网关进行身份认证并获取验证结果；

根据所述验证结果控制所述用户登录系统。

5.根据权利要求4所述的安全控制方法，其特征在于，将所述用户名和所述密码发送至安全网关进行身份认证并获取验证结果的步骤包括：

在所述安全网关对所述用户名和所述密码的验证通过情况下，获取第一验证结果；

在所述安全网关对所述用户名和所述密码的验证不通过情况下，获取第二验证结果。

6.根据权利要求5所述的控制方法，其特征在于，根据所述验证结果控制所述用户登录系统的步骤包括：

在获取到所述第一验证结果的情况下，在认证端添加所述用户名，以供所述用户使用所述用户名登录系统；

在获取到所述第二验证结果的情况下，禁止所述用户登录所述系统。

7.根据权利要求6所述的安全控制方法，其特征在于，在认证端添加所述用户名的步骤包括：

检测所述认证端是否存在所述用户名；

在所述认证端存在所述用户名的情况下，所述用户使用所述用户名直接登录所述系统；

在所述认证端不存在所述用户名的情况下，添加所述用户名。

8.一种访问网络的安全控制装置，其特征在于，包括：

接收模块，用于接收用户的登录请求，其中，所述登录请求包括：用户名和密码；

认证模块，用于将所述用户名和所述密码发送至安全网关进行身份认证并获取验证结果；

控制模块，用于根据所述验证结果控制所述用户登录系统。

9.根据权利要求8所述的安全控制装置，其特征在于，所述认证模块包括：

第一获取子模块，用于在所述安全网关对所述用户名和所述密码的验证通过情况下，获取第一验证结果；

第二获取子模块，用于在所述安全网关对所述用户名和所述密码的验证不通过情况下，获取第二验证结果。

10.根据权利要求9所述的控制装置，其特征在于，所述控制模块包括：

登录模块，用于在获取到所述第一验证结果的情况下，在认证端添加所述用户名，以供所述用户使用所述用户名登录系统；

禁止模块，用于在获取到所述第二验证结果的情况下，禁止所述用户登录所述系统。

Images