CN104780147B - 一种byod访问控制的方法及装置 - Google Patents

Abstract

本发明公开了一种BYOD访问控制方法及装置。利用SDN网络中控制平面和转发平面相分离的特点，并根据SDN网络中控制平面对全网拓扑的了解和对全网的控制能力，实现SDN网络中对BYOD终端设备的接入访问权限、访问路径和SDN转发设备的精细化控制。

Description

一种BYOD访问控制的方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种基于SDN网络BYOD（Bring Your Device，自带设备）访问控制的方法及装置。

背景技术

在现有技术中，提到BYOD概念，人们就会想到用户使用自己的设备（个人电脑、手机、平板电脑等）接入公司网络及办公应用系统。对于BYOD技术，虽然方便了人们办公，但与此同时，也给公司的网络安全带来了更大的风险，如何识别个人设备，并赋予个人设备给予精确的访问路径和接入权限成了网络管理中的难题。

发明内容

有鉴于此，本发明提供一种BYOD访问控制的方法及装置，以解决上述问题。

本发明提供一种BYOD访问控制方法，应用于包含有控制平面和转发平面的SDN网络中，用户终端设备通过转发平面与控制平面交互，其中所述方法包括：

所述控制平面接收来自用户终端设备的访问请求；

所述控制平面判断用户终端设备是否具有访问权限；

当判断用户终端设备具有访问权限之后，为所述用户终端设备选择访问路径并开放接入访问权限。

进一步地，在所述控制平面接收来自用户终端设备的访问请求之前，还包括：

所述用户终端设备向网管服务器进行接入认证注册，并在所述用户终端设备接入认证注册完成后，所述网管服务器会将该用户终端设备的识别信息、接入访问权限以及其他相应的网络配置信息翻译成SDN网络对应的流规则后上传给所述控制平面。

进一步地，所述控制平面确定用户终端设备是否具有访问权限，具体为：

所述控制平面接收到用户终端设备接入访问请求后，获取该终端设备的识别信息，并根据其上是否保存有该用户终端设备的识别信息与接入访问权限、其他相应的网络配置信息对应关系确定用户终端设备是否具有访问权限。

进一步地，所述控制平面为用户终端设备提供访问路径，具体为：

获取所述终端设备访问的应用类型，根据所述访问的应用类型，为终端设备选择满足该应用类型的最佳访问路径。

进一步地，所述控制平面具体为SDN控制器及其上层应用；所述转发平面是指为终端设备提供业务流转发路径的SDN交换机。

本发明同时提供一种BYOD访问控制装置，应用于包含有控制平面和转发平面的SDN网络中，用户终端设备通过转发平面与控制平面交互，其中所述装置包括：

接收模块，用于接收来自用户终端设备的访问请求；

判断模块，用于判断用户终端设备是否具有访问权限；

处理模块，用于当判断用户终端设备具有访问权限之后，为所述用户终端设备选择访问路径并开放接入访问权限。

进一步地，在所述接收模块在接收来自用户终端设备的访问请求之前，还用于：

所述接收模块在用户终端设备向网管服务器进行接入认证注册，并在所述用户终端设备接入认证注册完成后，接收网管服务器上送的对应该用户终端设备的识别信息、接入访问权限以及其他相应的网络配置信息的SDN流规则。

进一步地，所述判断模块判断用户终端设备是否具有访问权限，具体为：

所述接收模块接收到用户终端设备的接入访问请求后，将之传送给判断模块，所述判断模块获取该终端设备的识别信息，并根据其上是否保存有该用户终端设备的识别信息与接入访问权限、其他相应的网络配置信息对应关系确定用户终端设备是否具有访问权限。

进一步地，所述处理模块为用户终端设备提供访问路径，具体为：

获取所述终端设备访问的应用类型，根据所述访问的应用类型，为终端设备选择满足该应用类型的最佳访问路径。

进一步地，所述控制平面具体为SDN控制器及其上层应用；所述转发平面是指为终端设备提供业务流转发路径的SDN交换机。

与现有技术相比，本发明利用SDN网络中控制平面和转发平面相分离的特点，并根据控制平面对全网拓扑的了解和对全网的控制能力，实现SDN网络中控制平面对BYOD终端设备的接入访问权限、访问路径和SDN转发设备的精细化控制。

附图说明

图1是本发明示例性实施例提供的一种BYOD访问控制的方法流程示意图；

图2是本发明示例性实施例提供的一种BYOD访问控制的逻辑装置结构示意图。

具体实施方式

下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述。显然，本申请文件所描述的实现方式仅仅是本发明的示例性实施例。任何基于本发明的构思，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实现方案，均应属于本发明保护的范围。

参见图1，为本发明示例性实施例提供的一种BYOD访问控制的方法流程示意图。所述方法应用于包括有控制平面和转发平面的SDN网络中，用户终端设备通过转发平面与控制平面交互，所述方法包括：

步骤101、控制平面接收来自终端设备的访问请求。

具体地，当用户终端设备希望接入SDN网络中时，将通过有线或无线的方式向当前接入的SDN交换机发起接入访问请求。所述接入的SDN交换机将按照Table Miss规则将没有匹配到的报文通过转发平面上报给控制平面。其中，所谓Table Miss规则是指：SDN交换机收到一个报文后，如果该报文在当前的流表里没有找到匹配条目，则称之为一个TableMiss。对于Table Miss报文的处理取决于Flow Table的配置，在本发明示例性的实施例中，默认情况下会将该报文上报给控制平面。进一步地，在本发明示例性的实施例中，所述控制平面具体指SDN控制器及其上层应用，所述转发平面则是指报文转发路径上的所有SDN交换机。

需要说明的是，为了实现本发明，在执行本步骤之前，所述用户终端设备还需要事先向网管服务器进行接入认证注册，网管服务器根据事先配置的策略确定该用户的终端设备是否为合法用户、能否接入所述SDN网络以及具有何种接入访问权限。待所述用户的终端设备接入认证注册完成后，所述控制平面接收来自网管服务器上送的与该用户终端设备的识别信息、接入访问权限以及其他相应的网络配置信息对应的SDN流规则。其中，

所述终端设备的识别信息包括但不限于所述终端设备的MAC地址、IP地址和/或其他任何可以识别该终端设备的唯一性信息；所述接入访问权限包含但不限于根据设备类型、MAC地址、IP地址等控制的网络访问权限、访问目的范围和/或访问时段等；其他网络配置信息包括但不限于网管服务器为该用户终端设备配置的带宽、网络延迟、组播、VPN、VLAN、ACL、QOS等之一或任意组合。

步骤102，控制平面判断终端设备是否具有接入访问权限。

具体地，所述控制平面接收到来自转发平面上送的用户终端设备接入访问请求后，获取所述终端设备的识别信息，而后根据其自身是否保存有所述用户终端设备的识别信息与接入访问权限、其他网络配置信息间的对应关系，判断该用户的终端设备是否为合法用户、能否接入所述SDN网络以及具有何种接入访问权限。其中，

如果控制平面根据其保存的用户终端设备接入访问权限判断所述终端设备没有权限访问网络及目的应用，则通知SDN接入交换机终止对该访问的服务；

如果控制平面根据其上层应用预先保存的用户终端设备接入访问权限判断所述终端设备有权限访问网络及目的应用，则转入步骤103。

步骤103，控制平面为终端设备选择访问路径并开放接入访问权限。

具体地，如果控制平面在步骤102判断所述用户的终端设备有权访问网络及目的应用，所述控制平面将进一步根据该用户终端设备和其访问的目的应用的服务器设备的MAC/IP地址等信息，在计算SDN的网络拓扑并了解当前网络运行状况的状况后，为所述用户终端设备选择满足其访问要求的访问路径。在本发明示例性实施例中，所述控制平面为用户终端选择访问路径，具体为，所述控制平面为用户终端设备选择满足用访问要求的带宽、网络延迟、组播、VPN、VLAN、ACL、QOS等之一或任意组合的对应的最佳访问业务流路径及该业务流路径上的SDN交换机。

为使所属领域人员更加清楚和明白，下面仅以对带宽的要求为例描述控制平面如何为终端设备选择访问路径：

当所属控制平面依据步骤102确定终端设备具有访问权限后，根据该终端设备所需要访问的应用类型，通过在自身保存的配置策略找到访问该应用类型时所需要占用的最小带宽。然后，根据该带宽要求以及该用户终端设备和其访问的目的应用的服务器设备的MAC/IP地址等信息，在计算SDN的网络拓扑并了解当前网络运行状况的状况后，为终端设备选取最佳的访问路径。亦即，首先，在转发平面上为所述终端设备选择满足访问要求的多条业务流路径，亦即，所述业务流路径剩余的最小带宽均应大于等于访问该应用类型时所需要占用的最小带宽。然后，当同时有多条访问路径可选的情况下，根据预定策略从中选择一条最为符合的业务流路径，例如：选择整条路径上带宽资源最丰富的那条访问路径。

需要说明的是，当根据带宽要求选取访问路径时，有可能会涉及到所有业务流路径上可分配的带宽不满足承载该应用类型的情况。如，网络的带宽为4M，在终端设备访问该网络之前，网络带宽已经被其他的终端设备占用了3.9M，此时可用带宽仅剩余0.1M，而当前访问的终端设备所需求访问的应用类型所占用的带宽最小为0.2M，由于确定当前剩余带宽无法支持当前终端设备所需求的应用类型的运行，故，此时，控制平面同样会通过SDN接入交换机向终端设备发送其当前无法访问该网络的通知，告知该终端设备其目前不具备访问权限；或者，通过调整其他访问网络的用户终端的已占用网络资源，从而保证当前用户终端的访问。此时，在调整其他访问用户终端的网络资源使用量时，可能会参考各个接入设备的优先级，如，在控制平面上预先保存一优先级接入列表，该接入列表中包含有优先级信息，如根据用户终端的IP地址所划分的，当然，在对其他访问网络的用户终端设备的网络资源进行调整时，并不仅局限于本申请的上述根据用户终端的IP地址来划分优先级的方式，只要是根据优先级列表进行网络资源的调整均在本申请的保护范围之内。

在控制平面为终端设备选择好最佳的访问路径后，所述控制平面将向该选取的访问路径上所有SDN交换机通过下发与该用户终端设备的接入权限以及其他配置信息对应的流表信息，从而打通终端设备对目的应用的访问路径并达到应用对网络的要求。

基于与上述方法相同的构思，本发明实施例还提供了一种BYOD访问控制装置，应用于包括控制平面和转发平面的SDN网络中，其中，所述用户终端设备通过转发平面与控制平面交互。如图2所示，该装置包括：

接收模块21，用于接收来自终端设备的访问请求。

具体地，当用户的终端设备希望接入SDN网络中时，将通过有线或无线的方式向当前所接入的SDN交换机发起接入访问请求。所述接入的SDN交换机将按照Table Miss规则将没有匹配到的报文通过转发平面上报给本发明装置的接收模块21。其中，所谓Table Miss规则是指：SDN交换机收到一个报文后，如果该报文在当前的流表里没有找到匹配条目，则称之为一个Table Miss，对于Table Miss报文的处理取决于Flow Table的配置，在本发明中，默认情况下会将该报文上报给控制平面。进一步地，所述控制平面具体指SDN控制器及其上层应用，所述转发平面则是指报文转发路径上的所有SDN交换机。

需要说明的是，为了实现本发明，在进行本步骤之前，所述用户的终端设备还需要事先向网管服务器进行接入认证注册，网管服务器根据事先配置的策略确定该用户的终端设备是否为合法用户、能否接入所述SDN网络以及具有何种接入访问权限。待所述用户的终端设备接入认证注册完成后，所述接收模块会还用于接收来自网管服务器上送的与该用户终端设备的识别信息、接入访问权限以及其他相应的网络配置信息相对应的流规则，并将之保存在本发明装置的内存中。其中，

所述终端设备的识别信息包括但不限于所述终端设备的MAC地址、IP地址和/或其他任何可以识别该终端设备的唯一性信息；所述接入访问权限包含但不限于根据设备类型、MAC地址、IP地址等控制的网络访问权限、访问目的范围和/或访问时段等；其他网络配置信息包括但不限于网管服务器为该用户终端设备配置的带宽、网络延迟、组播、VPN、VLAN、ACL、QOS等之一或任意组合。

判断模块22，用于判断终端设备是否具有接入访问权限。

具体地，所述接收模块21在接收到来自转发平面上送的用户终端设备接入访问请求后，获取所述终端设备的识别信息，而后将之发送给判断模块22，所述判断模块22根据其自身是否保存有所述用户终端设备的识别信息与接入访问权限、其他网络配置信息间的对应关系，判断该用户的终端设备是否为合法用户、能否接入所述SDN网络以及具有何种接入访问权限。其中，

如果控制平面根据其保存的用户终端设备接入访问权限判断所述终端设备没有权限访问网络及目的应用，则通知SDN接入交换机终止对该访问的服务；

如果控制平面根据其上层应用预先保存的用户终端设备接入访问权限判断所述终端设备有权限访问网络及目的应用，则转由本发明的处理模块23进行处理。

处理模块23，用于为终端设备选择访问路径并开放接入访问权限。

具体地，如果判断模块22判断所述用户的终端设备有权访问网络及目的应用，在本发明中，所述处理模块23将根据该用户终端设备和其访问的目的应用的服务器设备的MAC/IP地址等信息，在计算SDN的网络拓扑并了解当前网络运行状况的状况后，为所述用户终端设备选择满足其访问要求的访问路径。在本发明示例性实施例中，所述控制平面为用户终端选择访问路径，具体为，所述控制平面根据预定的策略，为用户终端设备选择满足用访问要求的带宽、网络延迟、组播、VPN、VLAN、ACL、QOS等之一或任意组合的对应的最佳访问业务流路径上的SDN交换机。

在所述处理模块23为终端设备选择好最佳的访问路径后，所述处理模块23进一步向该选取的访问路径上所有SDN交换机以下发其上保存的该用户终端设的接入权限以及其他配置信息对应的流表（Flow Table）信息，从而打通终端设备对目的应用的访问路径并达到应用对网络的要求。

与现有技术相比，本发明利用SDN网络中控制平面和转发平面相分离的特点，并根据控制平面对全网拓扑的了解和对全网的控制能力，实现SDN网络中控制平面对BYOD终端设备的接入访问权限、访问路径和SDN转发设备的精细化控制。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (8)

1.一种BYOD访问控制方法，应用于包含有控制平面和转发平面的SDN网络中，用户终端设备通过转发平面与控制平面交互，其特征在于，所述方法包括：

所述控制平面接收来自用户终端设备的访问请求；

所述控制平面判断用户终端设备是否具有访问权限；

当用户终端设备具有访问权限之后，所述控制平面为所述用户终端设备选择满足访问要求的最佳访问路径并开放接入访问权限；

其中，所述控制平面为用户终端设备提供访问路径，具体为：

获取所述终端设备访问的应用类型，根据所述访问的应用类型及预定的策略，为终端设备选择满足该应用类型的最佳访问路径。

2.如权利要求1所述的方法，其特征在于，在所述控制平面接收来自用户终端设备的访问请求之前，还包括：

所述用户终端设备向网管服务器进行接入认证注册，并在所述用户终端设备接入认证注册完成后，所述控制平面接收来自网管服务器会上送的与该用户终端设备的识别信息、接入访问权限以及其他相应的网络配置信息对应的SDN流规则；其中，所述接入访问权限至少包含根据设备类型、MAC地址、IP地址控制的网络访问权限、访问目的范围和/或访问时段。

3.如权利要求1所述的方法，其特征在于，所述控制平面确定用户终端设备是否具有访问权限，具体为：

所述控制平面接收到用户终端设备接入访问请求后，获取该终端设备的识别信息，并根据其上是否保存有该用户终端设备的识别信息与接入访问权限、其他相应的网络配置信息对应关系确定用户终端设备是否具有访问权限。

4.如权利要求1所述的方法，其特征在于，

所述控制平面具体为SDN控制器及其上层应用；

所述转发平面是指为终端设备提供业务流转发路径的SDN交换机。

5.一种BYOD访问控制装置，应用于包含有控制平面和转发平面的SDN网络中，用户终端设备通过转发平面与控制平面交互，其特征在于，所述装置包括：

接收模块，用于接收来自用户终端设备的访问请求；

判断模块，用于判断用户终端设备是否具有访问权限；

处理模块，用于当判断用户终端设备具有访问权限之后，为所述用户终端设备选择满足访问要求的最佳访问路径并开放接入访问权限；

其中，所述处理模块为用户终端设备提供访问路径，具体为：

获取所述终端设备访问的应用类型，根据所述访问的应用类型及预定的策略，为终端设备选择满足该应用类型的最佳访问路径。

6.如权利要求5所述的装置，其特征在于，在所述接收模块在接收来自用户终端设备的访问请求之前，所述接收模块还用于：

在用户终端设备向网管服务器进行接入认证注册，并在所述用户终端设备接入认证注册完成后，接收来自网管服务器上送的与该用户终端设备的识别信息、接入访问权限以及其他相应的网络配置信息相对应的SDN流规则；其中，所述接入访问权限至少包含根据设备类型、MAC地址、IP地址控制的网络访问权限、访问目的范围和/或访问时段。

7.如权利要求5所述的装置，其特征在于，所述判断模块判断用户终端设备是否具有访问权限，具体为：

所述接收模块接收到用户终端设备的接入访问请求后，将之传送给判断模块，所述判断模块获取该终端设备的识别信息，并根据其上是否保存有该用户终端设备的识别信息与接入访问权限、其他相应的网络配置信息对应关系确定用户终端设备是否具有访问权限。

8.如权利要求5所述的装置，其特征在于，

所述控制平面具体为SDN控制器及其上层应用；

所述转发平面是指为终端设备提供业务流转发路径的SDN交换机。