CN105122750A

CN105122750A - 管理对网络的访问

Info

Publication number: CN105122750A
Application number: CN201380075317.5A
Authority: CN
Inventors: 绍拉卜·古普塔; 曼朱纳特·巴拉德瓦杰
Original assignee: Lonza AG
Current assignee: Lonza AG; Longsand Ltd
Priority date: 2013-02-04
Filing date: 2013-02-04
Publication date: 2015-12-02
Also published as: EP2951967A1; WO2014118795A1; EP2951967A4; US20150373027A1

Abstract

用于管理对网络的访问的示例方法包括：在网络上的计算机的用户界面中显现按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项；以及使用在网络上的动态主机配置协议(DHCP)服务器，至少部分地基于请求访问的设备是否属于所指定的一个或多个类别来允许或拒绝对网络的访问。

Description

管理对网络的访问

背景技术

公用网络是为了向公众提供数据传输服务的特定目的而建立的网络。客户端设备，例如桌上型计算机、膝上型计算机、智能电话和平板计算机使用户能够连接到公用网络。一旦客户端设备连接到公用网络，用户例如就可检查电子邮件、观看网页并在线购物。

世界上存在试图始终连接到公用网络的数十亿客户端设备。连接到公用网络的客户端设备越多，流量在公用网络上增加得就越多。有连接到公用网络的太多的客户端设备最大限度地装满公用网络，这可能使网络超载。如果公用网络被超载，则网络经历拥塞和差性能。

附图说明

附图示出本文所述的原理的各种示例，且是说明书的一部分。示例并不限制权利要求的范围。

图1是根据本文所述的原理的一个示例示出连接到网络的多种类别的客户端设备的图。

图2是根据本文所述的原理的一个示例示出管理对网络的访问的方法的流程图。

图3是根据本文所述的原理的一个示例示出使用互联网名称与数字地址分配机构(ICANN)服务器来管理对网络的访问的方法的图。

图4是根据本文所述的原理的一个示例示出管理对网络的访问的方法的流程图。

图5是根据本文所述的原理的一个示例示出使用服务器来管理对网络的访问的方法的图。

图6是根据本文所述的原理的一个示例示出管理对网络的访问的方法的流程图。

在全部附图中，相同的附图标记表示相似的但不一定相同的元件。

具体实施方式

如上面提到的，连接到公用网络的客户端设备越多，流量在公用网络上增加得就越多。应通过限制连接到网络的客户端设备的数量来避免最大限制地装满公用网络或将公用网络装得太满。限制连接到公用网络的客户端的数量允许合法用户，例如网络所有者或网络所有者的雇员、客户、顾客或伙伴连接到公用网络而不经历拥塞和差性能。

为了限制连接到网络的客户端设备的数量，网络可依赖于例如媒体访问控制(MAC)过滤的方法。MAC过滤使用被分配到客户端设备的网络硬件(例如网卡)的唯一的48位MAC地址。客户端设备的网卡是用于将这个客户端设备连接到网络的收发器。一旦MAC地址被分配到客户端设备的网卡，这个客户端设备于是就可在其它所有客户端设备当中是唯一可识别的。

使用MAC过滤的方法来控制对网络的访问，人类用户，也许网络管理员，手动地输入在白名单上的每个经授权客户端设备的MAC地址。白名单是被允许连接到网络的客户端设备的MAC地址的列表或寄存器。在网络管理员手动地输入在白名单上的每个客户端设备的MAC地址之后，这些客户端设备接着可连接到网络。因此，如果MAC地址没有在试图连接到网络的特定客户端设备的白名单上被手动地输入，则不在白名单上的这个客户端设备将被禁止连接到网络。因此，MAC过滤可限制连接到网络的客户端设备的数量，从而允许合法用户连接到网络而不经历拥塞和差性能。

如所提到的，MAC过滤依赖于网络管理员将MAC地址事先手动地添加到白名单来允许客户端设备连接到网络。因此，以前未添加到白名单的任何新的客户端设备必须在能够连接到网络之前被添加到白名单。将客户端设备手动地添加到白名单对网络管理员是繁重的任务。此外，将客户端设备手动地添加到白名单可对连接到网络的客户端设备导致不准确性和延迟。特别是在大网络的情况下，网络管理员必须在每日基础上添加或移除数百客户端设备。

MAC过滤的可选方法是使用密码保护的网络。密码保护的网络是限制在网络上的客户端设备的数量的最常见和简单的方式。使用密码保护的网络，每个用户使用用户名和密码被唯一地识别。每个用户可选择唯一的用户名和密码。可选地，用户可由例如网络管理员分配唯一的用户名和密码。只有具有有效的用户名和密码的用户可将它们的客户端设备连接到网络。在这样的系统中，在客户端设备可连接到网络之前，用户被提示用户名和密码。如果网络的用户名和密码匹配由网络存储的证书，则客户端设备可连接到网络。可选地，如果用户名和密码不匹配对网络批准的证书，则客户端设备被禁止连接到网络。

当使用密码保护的网络时，为每个用户建立用户名和密码可能是耗时的任务。例如，在大网络的情况下，网络管理员可能必须在每日基础上添加或移除数百个用户名和密码。此外，如果用户名和密码被未授权用户危害和得到，则具有这个用户名和密码的任何数量的用户接着可将它们的客户端设备连接到网络。如上面提到的，有连接到公用网络的太多的客户端设备最大限度地装满公用网络，这可能使网络超载。如果公用网络被超载，则网络经历拥塞和差性能。

本说明书公开了只允许某些类别的客户端设备连接到网络的系统和方法。因此，对网络的访问按照设备的类别而不是按照单独的设备证书来区分。这使管理对网络的访问更容易。

在一个示例中，设备由制造商分类。因此，来自特定的制造商的设备可基于设备制造商被允许或拒绝对网络的访问。然而，可使用用于将设备划分成可由网络确定的经授权和未授权设备类别的任何其它标准。

在一个示例中，用于管理对网络的访问的方法包括：在网络上的计算机的用户界面中显现按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项；以及使用在网络上的动态主机配置协议(DHCP)服务器，至少部分地基于请求访问的设备是否属于所指定的一个或多个类别来允许或拒绝对网络的访问。

该方法还可包括：使用动态主机配置协议(DHCP)服务器来确定客户端设备的类别以得到客户端设备的媒体访问控制(MAC)地址；以及确定客户端设备的MAC地址是否落在被指定为批准访问对网络的访问的MAC地址的范围内。在这样的示例中，该方法也可只有在客户端设备的MAC地址落在被指定为批准对网络的访问的MAC地址的范围内时，才允许客户端设备连接到网络。基于客户端设备的类别来允许客户端设备连接到网络包括：将配置信息和可用互联网协议(IP)地址发送到客户端设备。可选地，基于客户端设备的类别拒绝对网络的访问包括：将互联网协议(IP)地址发送到通向指示对网络的访问被拒绝的页面的客户端设备。本说明书还描述用于从由互联网名称与数字地址分配机构(ICANN)操作的服务器接收被分配到特定的设备制造商的媒体访问控制(MAC)地址的列表；以及将列表转换成动态主机配置协议(DHCP)服务器的指令，使得DHCP服务器使请求对网络的访问的设备的MAC地址与这个设备的制造商匹配以确定这个设备的类别。

本说明书还描述一种系统，其用于从网络设备的一个或多个制造商接收由这些制造商采用的媒体访问控制(MAC)地址的列表；以及利用动态主机配置协议(DHCP)服务器，使用MAC地址的列表来确定请求对网络的访问的设备的类别。

在这些示例中，控制对网络的访问可以通过基于客户端设备属于的类别确定该客户端设备是否应由动态主机配置协议(DHCP)服务器给予可用互联网协议(IP)地址来实现。DHCP是用于配置客户端设备使得它们可在互联网协议(IP)网络上通信的网络协议。DHCP服务器维持可用IP地址和配置信息的数据库。客户端设备使用DHCP协议来获取配置信息，例如存储在DHCP服务器上的IP地址数据库中的可用IP地址。DHCP服务器使用这个信息来配置客户端设备。一旦配置过程完成，客户端设备就使用所配置的信息，例如IP地址来在网络上通信。

为了确定客户端设备是否应被给予可用的IP地址，网络上的计算机的用户界面显现按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项。接着，在网络上的DHCP服务器确定请求对网络的访问的客户端设备是否属于所指定的一个或多个类别。

为了确定请求对网络的访问的客户端设备是否属于所指定的一个或多个类别，当DHCP服务器得到DHCP请求时，DHCP服务器得到客户端设备的MAC地址。接着，DHCP服务器通过比较网络硬件的各种制造商所使用的MAC地址的范围与网络硬件的相应消费者来检查客户端设备的MAC地址落入的范围。DHCP服务器基于这个设备的制造商来维持被允许连接到网络的多个类别的客户端设备的MAC地址的有效范围的白名单。使用上面的比较，DHCP服务器识别试图连接到网络的客户端设备的类别。

如所指示的，客户端设备的类别可由设备制造商定义。因此，客户端设备的类别可以是例如设备；设备，包括桌上型计算机、平板计算机和/或电话；设备，包括平板计算机和/或电话，以及其它设备。一旦连接到网络的客户端设备的类别被识别出，只有当这个特定类别的客户端设备由网络所有者或操作员指定为被允许连接到网络时，客户端设备才被给予可用IP地址以连接到网络。可选地，如果这个特定类别的客户端设备不被允许连接到网络，则客户端设备被给予IP地址和静止路线，其通到向用户通知连接到网络的客户端设备被禁止的网页。

本说明书还描述了用于管理对网络的访问的计算机程序产品，其包括在非临时介质上的计算机可读指令，指令在被处理器执行时引起：包括按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项的用户界面的显现，用户界面列出用于由用户指定的多个设备类别；以及至少部分地基于请求访问的设备是否属于所指定的一个或多个类别来准予或拒绝对网络的访问。如在本文使用的，“非临时”介质是本身不包括信号和其它临时介质的存储介质。然而，易失性存储设备是非临时介质。

因此，网络可按照类别限制连接到网络的客户端设备的数量。通过按照类别限制连接到网络的客户端设备的数量，网络更不可能被最大限制地装满和超载。因此，合法用户可连接到网络，而不经历拥塞和差性能。

如在本说明书中和所附权利要求中使用的，术语“类别”大体上指在不同类型的客户端设备之间的差别。例如，如上面指示的，设备的类别通过它是否由特定的组、组织、实体或公司制造来确定。例如，如上面规定的，客户端设备的类别可以是例如设备；设备，包括桌上型计算机、平板计算机和/或电话，设备，包括平板计算机和/或电话，以及其它设备。

此外，如在本说明书中和所附权利要求中使用的，术语“多个”或类似的语言意指被概括地理解为包括1到无限的任何正数；零不是数字，而是数字的缺乏。

如将在下面详细描述的，用于管理对网络的访问的例证性方法包括：在网络上的计算机的用户界面中显现按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项。该方法然后包括至少部分地基于请求访问的设备是否属于所指定的一个或多个类别来允许或拒绝对网络的访问。这可使用在所述网络上的动态主机配置协议(DHCP)服务器来完成。

现在参考附图，图1是示出根据本文所述的原理的一个示例示出连接到网络的多种类别的客户端设备的系统。如上面提到的，应通过限制连接到网络的客户端设备的数量来避免最大限制地装满网络或将网络装得太满。具有太多连接到网络的客户端设备的网络可能变得超载，从而导致差性能。

如果所示，系统(100)包括连接或试图连接到网络(140)的多个客户端设备(102到106)。网络可包括用于向客户端设备(102到106)提供服务的多个服务器(130-1,130-2,130-n)。

为了例证性目的，客户端设备(102到106)可被分类成多个类别。例如，一个类别的客户端设备(102到106)包括来自制造商X(102)的设备(102)，例如笔记本计算机(102-1)、平板计算机(102-2)或智能电话(102-3)。类别可包括特定制造商的所有设备或这个制造商的设备的仅仅一个特定模型或一系列模型。可利用任何数量的其它类别的客户端设备。

如上面提到的，DHCP服务器(112)基于设备的类别来确定哪些客户端设备(102到106)应被给予可用IP地址。DHCP服务器(112)维持可用IP地址的IP地址数据库(120)和配置信息(116)。此外，DHCP服务器(112)使用DHCP网络协议来配置客户端设备(102到106)，使得它们可在网络(140)上通信。客户端设备(102到106)使用DHCP协议来从DHCP服务器(112)获取配置信息(116)，例如存储在IP地址数据库(120)中的IP地址。DHCP服务器(112)然后使用这个信息来配置客户端设备(102到106)。一旦配置过程完成，客户端设备(102到106)就能够在网络(104)上通信。如本文公开的，DHCP服务器(112)维持可被给予可用IP地址的多个类别的客户端设备(102到104)的MAC地址的有效范围的白名单(124)。创建白名单的过程在图3到6和下面的相应正文中被进一步详述。

在一个示例中，存储在DHCP服务器(112)上的存储器(114)中的客户端设备分类例程(118)用于基于客户端设备(102到106)的类别来限制连接到网络(140)的客户端设备(102到106)的数量。关于图2和图3并在本说明书的后面部分中描述基于客户端设备(102到106)的类别来限制连接到网络(140)的客户端设备(102到106)的客户端设备分类例程(118)和方法。

在一个示例中，管理员设备(130)使用用户界面(131)来给网络管理员显现将被允许访问网络(140)的一个或多个类别的客户端设备(133)的列表。如将在下面描述的，网络管理员选择将被允许访问网络(140)的一个或多个类别的客户端设备(133)。因此，管理员不需要知道或考虑什么MAC地址可对应于被允许或排除的设备类别。

按照当前的示例，假设网络管理员只选择来自制造商X的客户端设备(102)被允许访问网络(140)。因此，只有来自制造商X的客户端设备(102)的类别被给予来自如客户端设备分类例程(118)所确定的DHCP服务器(112)的IP地址数据库(120)的可用IP地址。因此，由制造商X制造的任何设备(102)被给予可用IP地址，并可连接到网络(140)。相反，来自任何其它类别的客户端设备(104,106)的设备，例如某个其它制造商的设备被给予IP地址和静止路线，其通到向用户通知连接到网络(140)的客户端设备(104,106)被禁止的网页。

在又一示例中，来自两个或更多个不同的制造商的客户端设备可构成被授权对网络的访问的类别。例如，假设网络管理员只选择来自制造商X的客户端设备(102)和来自制造商Y的客户端设备(104)的类别被允许访问网络(140)。因此，来自制造商X的所有类别的客户端设备(102)和来自制造商Y的所有类别的客户端设备(104)被给予可用IP地址并可连接到网络(140)。因此，任何其它类别的客户端设备，例如由制造商Z制造的设备(106)被给予IP地址和静止路线，其通到向用户通知连接到网络(140)的客户端设备(106)被禁止的网页。任何组合的类别的客户端设备(102到106)可被给予来自如客户端设备分类例程(118)所确定的DHCP服务器(112)的IP地址数据库(120)的可用IP地址。

通过按照类别限制能够连接到网络(140)的客户端设备(102到106)的数量，较少的客户端设备(102到106)能够连接到网络(140)。因此，网络(140)更不可能被最大限度地装满并超载。因此，网络(140)可避免拥塞和差性能，以允许合法用户更好地使用网络(140)。

图2是根据本文所述的原理的一个示例示出管理对网络的访问的方法的流程图。如上所提到的，应通过限制连接到网络的客户端设备的数量来避免最大限制地装满网络或将网络装得太满。

如关于图1提到的，通过确定客户端设备(图1，102到106)是否应被给予可用IP地址以连接到网络(图1，140)，基于该设备属于的类别来限制连接到网络(图1，140)的客户端设备(图1，102到106)。限制网络上的客户端设备的数量允许合法用户，例如网络所有者连接到网络而不经历拥塞和差性能。

如上面提到的，DHCP服务器(图1，112)存储被允许连接到网络(图1，140)的客户端设备(图1，102到106)的类别的MAC地址的范围。此外，为了基于MAC地址的范围将客户端设备(图1，102到106)分类成各种类别，MAC地址可被划分成两个部分。由前6个数字组成的第一部分属于网卡的卖方。由最后6个数字组成的第二部分规定这个接口控制器卖方的接口序列号。根据某些例证性原理，制造商X(图1，102)的设备的MAC地址的范围不同于制造商Y(图1，104)或制造商Z等的设备的MAC地址的范围。因此，可使用识别被允许连接到网络(图1，140)的任一个或多个类别的客户端设备(图1，102到106)的MAC地址的范围来形成白名单(图1，124)。

虽然本文给出的示例示出由制造商定义的设备的类别，其它标准可用于描绘不同的设备类别。用于区分设备的类别的任何标准落在本公开和权利要求的范围内。

特别转到图2，显现(201)按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项。如上面提到的，管理员设备(图1，130)使用用户界面(图1，131)来给网络管理员显现(201)将被允许访问网络(140)的一个或多个类别的客户端设备(图1，133)的列表。为了限制连接到网络(图1，140)的客户端设备(图1，102到106)的数量，网络管理员选择将被允许访问网络(图1，140)的一个或多个类别的客户端设备(图1，133)。如将在图3到图6中描述的，对应于选定类别的客户端设备(133)的一定范围的MAC地址被上传到DHCP服务器(图1，112)白名单(图1，124)以允许选定类别的客户端设备访问网络(图1，140)。

接着，DHCP服务器确定(201)客户端设备的类别。例如，如果客户端设备的MAC地址落在被批准的MAC地址的范围内，则DHCP服务器将客户端设备的类别识别(201)为被批准的并允许(202)设备访问网络。可选地，如果客户端设备的MAC地址落在未批准的MAC地址的范围内，则DHCP服务器将客户端设备的类别识别(201)为未批准或未授权的。因此，服务器拒绝(203)设备访问网络。

在一个示例中，假设只有制造商X的客户端设备被允许连接到网络。因此，制造商X的客户端设备的MAC地址的一个或多个范围存储在白名单上。如果制造商X的客户端设备被识别出(201)连接到网络，则这个客户端设备被DHCP服务器给予可用IP地址。因此，客户端设备被允许(202)连接到网络。

可选地，如果这个类别的客户端设备不在白名单上，则客户端设备不被DHCP服务器给予可用IP地址。因此，客户端设备被禁止(203)连接到网络。

此外，DHCP服务器具有为这样的客户端设备分配的一小批IP地址和静止路线。这一小批IP地址和静止路线将未授权客户端设备引导到说明对网络的访问被拒绝的网页。

如上面提到的，在图3到图6中进一步详述创建白名单的过程。在一个示例中，可通过手动地输入每个类别的客户端设备的MAC地址的有效范围来创建白名单。此外，人，也许网络管理员，可手动地输入每个类别的客户端设备的MAC地址的有效范围以创建白名单。手动地输入白名单的每个类别的客户端设备的MAC地址的有效范围对于网络管理员是繁重的任务。此外，手动地输入白名单的每个类别的客户端设备的MAC地址的有效范围对连接到网络的客户端设备导致不准确性和延迟。因此，图3到图6公开了维持多个类别的客户端设备的MAC地址的范围的系统和方法。如上面提到的，类别可包括特定制造商的所有设备或这个制造商的设备的仅仅一个特定模型或一系列模型。可利用任何数量的其它类别的客户端设备。

现在将关于图3和图4描述用于基于客户端设备的类别来创建白名单以限制连接到网络的客户端设备的系统和方法。此外，将在图5和图6中描述用于基于客户端设备的类别来创建白名单以限制连接到网络的客户端设备的可选的系统和方法。

图3是根据本文所述的原理的一个示例示出使用互联网名称与数字地址分配机构(ICANN)服务器来管理对网络的访问的方法的图。如上面提到的，DHCP服务器(312)维持可被给予可用IP地址的多个类别的客户端设备(图1，102到104)的MAC地址的有效范围的白名单(324)。如果一个类别的客户端设备(图1，102到104)被允许连接到网络，则DHCP服务器(312)将配置信息(316)和可用IP地址发送到客户端设备(图1，102到104)。可选地，如果一个类别的客户端设备(图1，102到104)基于客户端设备的类别被拒绝访问网络，则DHCP服务器(312)将通到指示对网络的访问被拒绝的页面的IP地址发送到客户端设备。

为了使DHCP服务器(312)维持可被允许连接到网络的多个类别的客户端设备(图1，102到104)的MAC地址的有效范围的白名单(324)，白名单(324)以一致的方式被不断地更新。如果白名单(324)以一致的方式被不断地更新，则被释放到市场内的新客户端设备可连接到网络。

在一个示例中，ICANN服务器(302)维持所有类别的客户端设备(图1，102到104)的所有MAC地址(306)的数据库。进一步，所有MAC地址(306)的数据库存储在ICANN服务器(302)上的存储器中。因此，每当制造新客户端设备时，将新客户端设备的MAC地址上传到ICANN服务器(306)。根据某些原理，存储在ICANN服务器(302)上的存储器中的MAC地址(306)不是以与DHCP服务器(312)所使用的相同的格式。如将在图4中描述的，白名单例程(308)将存储在ICANN服务器(302)上的存储器中的MAC地址(306)转换成DHCP服务器(312)的可用格式。

在一个示例中，白名单例程(308)使用解析技术来将ICANN服务器(302)的MAC地址(306)转换成DHCP服务器(312)的可用格式。将ICANN服务器(302)的MAC地址(306)解析成DHCP服务器(312)的可用格式可包括将客户端设备(图1，102到106)分类成各种类别。此外，为了基于MAC地址的范围将客户端设备(图1，102到106)分类成各种类别，MAC地址可被划分成两个部分。由前6个数字组成的第一部分属于网卡的卖方。由最后6个数字组成的第二部分规定这个接口控制器卖方的接口序列号。因此，白名单例程(308)使用解析技术来将ICANN服务器(302)的MAC地址(306)分类和转换成DHCP服务器(312)的可用格式。

此外，管理员设备(330)使用白名单例程(308)来访问ICANN服务器(302)以接收MAC地址(306)的列表。在图4中详细描述使用白名单例程(308)来接收MAC地址(306)的列表的过程。如将在图4中描述的，白名单例程(308)根据客户端设备的类别，例如按照制造商，来将每个MAC地址(306)分类。在一个示例中，管理员设备(330)将制造商X的客户端设备(332)的MAC地址、制造商Y的客户端设备(333)的MAC地址和制造商X的客户端设备(334)的MAC地址存储在存储器(332)中。

按照给定示例，管理员设备(330)使用用户界面(331)来给网络管理员显现将被允许访问网络(图1，140)的一个或多个类别的客户端设备(333)的列表。网络管理员选择被允许访问网络的多个类别的客户端设备。如将在图4中描述的，被允许访问网络的选定类别的客户端设备的MAC地址被上传到DHCP服务器(312)以形成白名单(324)。在一个示例中，假设网络管理员选择制造商X的客户端设备(图1，102)。因此，只有制造商X的客户端设备(图1，102)被允许访问网络(图1，140)。在另一示例中，假设网络管理员选择制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)。因此，只有制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)被允许访问网络(图1，140)。

具体地转到图4，图4是根据本文所述的原理的一个示例示出管理对网络的访问的方法的流程图。该方法包括访问(401)ICANN服务器。如上面提到的，ICANN服务器(图3，302)包括多个客户端设备的MAC(图3，306)。

接着，管理员设备从ICANN服务器接收(401)MAC地址的列表。如上面提到的，存储在ICANN服务器(图3，302)上的存储器中的MAC地址(图3，306)不以与DHCP服务器(图3，312)所使用的相同的格式。因此，存储在ICANN服务器上的存储器中的MAC地址的列表被转换(403)成DHCP服务器的可用格式。如上所述，将存储在ICANN服务器(图3，306)上的存储器中的MAC地址的列表转换(403)成DHCP服务器(图3，312)的可用格式包括解析MAC地址(图3，306)的列表。接着，MAC地址的所转换的列表存储(404)在管理员设备上。在另一示例中，MAC地址的所转换的列表存储(404)在服务器上。因此，MAC地址的所转换的列表现在以DHCP服务器(图3，312)的可用格式。接着，给网络管理员显现(405)按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项。如上面提到的，管理员设备(图1，130)使用用户界面(图1，131)来显现(405)被允许访问网络(140)的一个或多个类别的客户端设备(图1，133)的列表。

在一个示例中，为了限制连接到网络(图1，140)的客户端设备(图1，102到106)的数量，网络管理员选择(406)将被允许访问网络(图1，140)的一个或多个类别的客户端设备(图1，133)。按照给定示例中，假设网络管理员选择制造商X的客户端设备(图1，102)。在另一示例中，假设网络管理员选择制造商Y的客户端设备(图1，104)和制造商Z的客户端设备图1，106)。如下面将描述的，只有选定客户端设备被允许访问网络。

接着，选定客户端网络的MAC地址被上传(407)到DHCP服务器。如上面提到的，DHCP服务器(412)维持可被给予可用IP地址的多个类别的客户端设备(图1，102到104)的MAC地址的有效范围的白名单(424)。如果一个类别的客户端设备(图1，102到104)被允许连接到网络，则DHCP服务器(412)将配置信息(416)和可用IP地址发送到客户端设备(图1，102到104)。可选地，如果一个类别的客户端设备(图1，102到104)基于客户端设备的类别被拒绝访问网络，则DHCP服务器(412)将通到指示对网络的访问被拒绝的页面的IP地址发送到客户端设备。

按照上面的给定示例，如果网络管理员选择(406)制造商X的客户端设备(图1，102)。制造商X(图3，332)的MAC地址被上传(407)到DHCP服务器(图3，312)并存储在白名单(图3，324)中。因此，只有制造商X的客户端设备(图1，102)被允许访问网络，如将在下面描述的。

在另一示例中，假设网络管理员选择制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)。制造商Y(图3，333)和制造商Y(图3，334)的MAC地址被上传(407)到DHCP服务器(图3，312)并存储在白名单(图3，324)中。因此，只有制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)被允许访问网络。

因此，对应于选定类别的客户端设备的一定范围的MAC地址被上传(407)到DHCP服务器(图3，312)的白名单(图3，324)以允许选定类别的客户端设备访问网络(图1，140)。因此，白名单被创建以只允许选定类别的客户端设备连接到网络。

为了管理连接到网络的客户端设备的类别，当DHCP服务器从连接到网络的客户端设备得到请求时，DHCP服务器得到(408)客户端设备的MAC地址。接着，DHCP服务器检查(409)客户端设备(图1，102到106)的MAC地址落入的范围。如在图2中提到的，制造商X的客户端设备的MAC地址的范围不同于其它制造商的客户端设备的MAC地址的范围。因此，DHCP服务器确定(410)请求访问的客户端设备是否属于一个或多个指定的类别。如上面提到的，客户端设备的类别可基于客户端设备的MAC地址。

如果客户端设备的MAC地址落在被指示为被授权访问网络的范围内，则DHCP服务器将客户端设备(图1，102)的类别确定(410)为被批准。因此，客户端设备被允许(411)连接到网络。此外，如果客户端设备的MAC地址落在被指示为未授权的范围内，则DHCP服务器将客户端设备(图1，102)的类别确定(410)为未授权。因此，客户端设备被禁止(412)连接到网络。如所指示的，被允许连接到网络的每个被批准类别的客户端设备的MAC地址的范围存储在DHCP服务器上的白名单上或其它地方。

如上面提到的，如果一个类别的设备在白名单上，则这些客户端设备被DHCP服务器给予可用IP地址。因此，这些客户端设备被允许连接到网络。

如果这个类别的设备不在白名单上，则这些客户端设备不被DHCP服务器给予可用IP地址。因此，这些客户端设备被禁止(412)连接到网络。在这些情况下，DHCP服务器具有为这样的客户端设备分配的一小批IP地址和静止路线。这一小批IP地址和静止路线将客户端设备(图1，104到106)引导到说明对网络的访问不被允许的网页。

因此，通过按照类别限制能够连接到网络(图1，140)的客户端设备(图1，102)的数量，较少的客户端设备(图1，102)能够连接到网络(图1，140)。因此，网络(图1，140)不被最大限度地装满且不超载。因此，网络(图1，140)不经历拥塞和差性能，以允许合法用户连接到网络(图1，140)。

现在将关于图5和图6描述用于创建白名单以基于客户端设备的类别来限制连接到网络的客户端设备的可选方法。

图5是根据本文所述的原理的一个示例示出使用服务器来管理对网络的访问的方法的图。如上面提到的，DHCP服务器(512)维持可被给予可用IP地址的多个类别的客户端设备(图1，102到104)的MAC地址的有效范围的白名单(524)。如果一个类别的客户端设备(图1，102到104)被允许连接到网络，则DHCP服务器(512)将配置信息(516)和可用IP地址发送到客户端设备(图1，102到104)。可选地，如果一个类别的客户端设备(图1，102到104)基于客户端设备的类别被拒绝访问网络，则DHCP服务器(512)将通到指示对网络的访问被拒绝的页面的IP地址发送到客户端设备。

此外，为了使DHCP服务器(512)维持被允许连接到网络的多个类别的客户端设备(图1，102到104)的MAC地址的有效范围的白名单(524)，白名单(524)以一致的方式被不断地更新。如果白名单(524)以一致的方式被不断地更新，则被释放到市场内的新客户端设备可连接到网络。

在一个示例中，服务器(502)使用白名单例程(508)来从制造商的多个服务器(540)接收MAC地址(542)的列表。在图6中和下面的相应部分中详细描述从制造商的多个服务器(540)取回多个MAC地址的过程。

在一个示例中，假设多个制造商的服务器(540)包括由每个制造商制造的每个客户端设备的MAC地址(542)。例如，假设三个制造商，即制造商X、制造商Y和制造商Z制造客户端设备。此外，假设制造商X使用服务器(540-1)来存储它的客户端设备的MAC地址(542-1)。此外，假设制造商Y使用服务器(540-2)来存储它的客户端设备的MAC地址(542-2)。此外，假设制造商Z使用服务器(540-3)来存储它的客户端设备的MAC地址(542-3)。如下面将描述的，白名单例程(508)用于从每个制造商的服务器(540)接收MAC地址(542)的列表。

在一个示例中，来自每个制造商的服务器(542)的MAC地址(506)的列表被接收并根据客户端设备的制造商存储在服务器(502)上。例如，存储在制造商X的服务器(540-1)上的制造商XMAC地址(542-1)被接收并存储在服务器(502)的制造商XMAC地址数据库(506-1)中。存储在制造商Y的服务器(540-2)上的制造商YMAC地址(542-2)被接收并存储在服务器(502)的制造商YMAC地址数据库(506-2)中。存储在制造商Z的服务器(540-3)上的制造商ZMAC地址(542-3)被接收并存储在服务器(502)的制造商ZMAC地址数据库(506-3)中。因此，服务器包括每个制造商的MAC地址的有效范围。

按照给定示例，网络管理员使用如上面提到的管理员设备(530)选择被允许访问网络的一个或多个类别的客户端设备。如将在图6中描述的，被允许访问网络的选定类别的客户端设备的MAC地址被上传到DHCP服务器(512)以形成白名单(524)。在一个示例中，假设网络管理员选择制造商X的客户端设备(532)。如将在下面描述的，只有制造商X的客户端设备X(图1，102)被允许访问网络。在另一示例中，假设网络管理员选择制造商Y的客户端设备(533)和制造商Z的客户端设备(534)。如将在下面描述的，只有制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)被允许访问网络。

图6是根据本文所述的原理的一个示例示出管理对网络的访问的方法的流程图。根据某些原理，该方法包括访问(601)多个制造商的服务器。接着，服务器从多个制造商的服务器接收(602)MAC地址的列表。接着，来自每个制造商的服务器的MAC地址的所接收的列表根据客户端设备的制造商存储在服务器上。例如，存储在制造商X的服务器(640-1)上的制造商XMAC地址(642-1)被接收并存储在服务器的制造商XMAC地址数据库(606-1)中。存储在制造商Y的服务器(640-2)上的制造商YMAC地址(642-2)被接收并存储在服务器的制造商YMAC地址数据库(606-2)中。存储在制造商Z的服务器(40-3)上的制造商ZMAC地址(642-3)被接收并存储在服务器的制造商ZMAC地址数据库(606-3)中。因此，服务器(图5，502)包括每个制造商的MAC地址的有效范围。

接着，显现(604)按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项。如上面提到的，管理员设备(图1，130)使用用户界面(图1，131)来给网络管理员显现(604)将被允许访问网络(140)的一个或多个类别的客户端设备(图1，133)的列表。

在一个示例中，为了限制连接到网络(图1，140)的客户端设备(图1，102到106)的数量，网络管理员选择(605)将被允许访问网络(图1，140)的一个或多个类别的客户端设备(图1，133)。按照给定示例，假设网络管理员选择制造商X的客户端设备(图1，102)。在另一示例中，假设网络管理员选择制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)。如将在下面描述的，只有选定客户端设备被允许连接到网络。

接着，多个选定客户端设备的MAC地址被上传(606)到DHCP服务器。如上面提到的，DHCP服务器(图5，512)维持可被给予可用IP地址的多个类别的客户端设备(图1，102到104)的MAC地址的有效范围的白名单(图5，524)。如果一个类别的客户端设备(图1，102到104)被允许连接到网络，则DHCP服务器(图5，512)将配置信息(图5，516)和可用IP地址发送到客户端设备(图1，102到104)。可选地，如果一个类别的客户端设备(图1，102到104)基于客户端设备的类别被拒绝访问网络，则DHCP服务器(图5，512)将通到指示对网络的访问被拒绝的页面的IP地址发送到客户端设备。

按照上面的给定示例，如果网络管理员选择(605)制造商X的客户端设备(图1，102)。制造商X(图3，332)的MAC地址被上传(606)到DHCP服务器(图5，512)并存储在白名单(图5，524)中。因此，只有制造商X的客户端设备(图1，102)被允许访问网络，如将在下面描述的。

在另一示例中，假设网络管理员选择制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)。制造商Y(图5，533)和制造商Y(图5，534)的MAC地址被上传(606)到DHCP服务器(图5，512)并存储在白名单(图5，524)中。因此，只有制造商Y的客户端设备(图1，104)和制造商Z的客户端设备(图1，106)被允许访问网络。

对应于选定类别的客户端设备的一定范围的MAC地址被上传(606)到DHCP服务器(图5，512)的白名单(图5，524)以允许选定类别的客户端设备访问网络(图1，140)。因此，白名单被创建以只允许选定类别的客户端设备连接到网络。

为了限制连接到网络的客户端设备的类别，当DHCP服务器从连接到网络的客户端设备得到请求时，DHCP服务器得到(607)客户端设备的MAC地址。接着，DHCP服务器检查(608)客户端设备(图1，102到106)的MAC地址落入的范围。如在图2中提到的，制造商X的客户端设备的MAC地址的范围不同于其它制造商的客户端设备的MAC地址的范围。因此，DHCP服务器确定(609)请求访问的客户端设备是否属于一个或多个指定的类别。如上面提到的，客户端设备的类别可基于客户端设备的MAC地址。

如果客户端设备的MAC地址落在被指示为被授权访问网络的范围内，则DHCP服务器将客户端设备(图1，102)的类别确定(609)为被批准。因此，客户端设备被允许(610)连接到网络。此外，如果客户端设备的MAC地址落在被指示为未授权的范围内，则DHCP服务器将客户端设备(图1，102)的类别确定(609)为未授权。因此，客户端设备被禁止(611)连接到网络。如所指示的，被允许连接到网络的每个被批准类别的客户端设备的该范围的MAC地址存储在DHCP服务器上的白名单上或其它地方。

可选地，如果这个类别的设备不在白名单上，则这些客户端设备不被DHCP服务器给予可用IP地址。因此，这些客户端设备被禁止(611)连接到网络。在这些情况下，DHCP服务器具有为这样的客户端设备分配的一小批IP地址和静止路线。这一小批IP地址和静止路线将客户端设备(图1，104到106)引导到说明对网络的访问不被允许的网页。

前面的描述被提出以说明并描述所述原理的示例。这个描述并没有被规定为无遗漏的或将这些原理限制成所公开的任何精确形式。按照上面的教导，很多修改和变化是可能的。

Claims

1.一种用于管理对网络的访问的方法，所述方法包括：

由所述网络上的计算机的用户界面，显现按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项；以及

使用在所述网络上的动态主机配置协议(DHCP)服务器，至少部分地基于请求访问的设备是否属于所指定的所述一个或多个类别来允许或拒绝对所述网络的访问。

2.如权利要求1所述的方法，其中请求访问的所述设备属于的类别由该设备的媒体访问控制(MAC)地址确定，所述方法还包括：只有在请求设备的MAC地址落在被指定为批准对网络的访问的MAC地址的范围内时，才允许所述请求设备连接到所述网络。

3.如权利要求1所述的方法，其中请求对所述网络的访问的设备的类别基于该设备的制造商，使得来自不同制造商的设备为了访问所述网络的目的而具有不同的类别。

4.如权利要求3所述的方法，还包括：

从网络设备的一个或多个制造商接收由这些制造商使用的媒体访问控制(MAC)地址的类别；以及

利用所述DHCP服务器，使用MAC地址的所述列表来确定请求对所述网络的访问的设备的类别。

5.如权利要求1所述的方法，还包括：

从由互联网名称与数字地址分配机构(ICANN)操作的服务器接收已被分配到特定的设备制造商的媒体访问控制(MAC)地址的列表；以及

将所述列表转换成所述DHCP服务器的指令，使得所述DHCP服务器使请求对网络的访问的设备的MAC地址与该设备的制造商匹配以确定该设备的类别。

6.如权利要求1所述的方法，其中基于所述设备的所述类别来允许所述请求设备连接到所述网络包括：将配置信息和可用互联网协议(IP)地址发送到所述请求设备。

7.如权利要求1所述的方法，其中基于所述请求设备的所述类别拒绝对所述网络的访问包括：将互联网协议(IP)地址发送到通向指示对所述网络的访问被拒绝的页面的所述请求设备。

8.一种用于管理对网络的访问的系统，所述系统包括：

管理员设备，包括用户界面，所述用户界面显现按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项；以及

与所述管理员设备通信的动态主机配置协议(DHCP)服务器，用于至少部分地基于请求访问的设备是否属于所指定的所述一个或多个类别来允许或拒绝对所述网络的访问。

9.如权利要求8所述的系统，其中请求访问的所述设备属于的类别由该设备的媒体访问控制(MAC)地址确定。

10.如权利要求8所述的系统，其中设备的类别基于该设备的制造商，使得来自不同制造商的设备为了访问所述网络的目的而具有不同的类别。

11.如权利要求8所述的系统，还包括：

在所述DHCP服务器和网络设备的一个或多个制造商的数据系统之间的接口，用于将由这些制造商采用的媒体访问控制(MAC)地址的列表下载到所述DHCP服务器。

12.如权利要求8所述的系统，还包括：

在所述DHCP服务器和由互联网名称与数字地址分配机构(ICANN)操作的服务器之间的接口，用于将已被分配到特定的设备制造商的媒体访问控制(MAC)地址的列表下载到所述DHCP服务器。

13.一种用于管理对网络的访问的计算机程序产品，所述产品包括在非临时介质上的计算机可读指令，所述指令在被处理器执行时引起：

包括按照设备类别指定网络访问将被允许的设备的一个或多个类别的选项的用户界面的显现，所述用户界面列出用于由用户指定的多个设备类别；以及

至少部分地基于请求访问的设备是否属于所指定的所述一个或多个类别来准予或拒绝对所述网络的访问。

14.如权利要求13所述的产品，其中当准予网络访问时，所述指令引起配置信息和可用互联网协议(IP)地址传输到所述请求设备。

15.如权利要求13所述的产品，其中当拒绝网络访问时，所述指令使互联网协议(IP)地址传输到通向指示对所述网络的访问被拒绝的页面的所述请求设备。