CN105429933A - 一种局域网中网络设备的访问方法、接入设备及系统 - Google Patents

Abstract

本发明公开了一种局域网中网络设备的访问方法、接入设备及系统，包括：无线接入设备接收到用户终端发送的访问网络设备的请求；无线接入设备从用户认证服务器获取用户终端的访问权限；无线接入设备基于访问权限控制用户终端对网络设备的访问。本发明的局域网中网络设备的访问方法、接入设备及系统，通过用户认证服务器设置用户的访问权限，提供用户对网络设备访问的认证，并在无线接入设备上自动更改访问控制列表实现实时自动控制，能够实现用户对摄像头、打印机等网络设备安全可控的访问，并为使用这些设备提供可经营的公共服务提供技术方案。

Description

一种局域网中网络设备的访问方法、接入设备及系统

技术领域

本发明涉及互联网技术领域，尤其涉及一种局域网中网络设备的访问方法、接入设备及系统。

背景技术

近年来，随着智能手机的广泛使用，智能Wifi开始普及，即通过集中的Wifi用户认证和管理平台，对分散的Wifi接入点的Wifi上网行为进行统一管理和记录。此项技术使得无线路由器具备了用户识别能力，使得基于无线路由器的差异化服务成为可能。BYOD(自带办公设备)的流行以及公共区域人群使用的各种智能终端设备的增加，使得原本使用网络摄像头和打印机等网络设备的客户端逐渐从传统的PC转移到移动终端上来，出于安全考虑，部署这些设备的所有者往往采用限制接入、VLAN隔离和门户认证等方法加以控制。如图1所示，现有的局域网中网络设备的访问方法包括：步骤1，终端通过Wifi用户集中认证管理平台或服务器、内网用户认证平台进行认证；步骤2，通过认证后，终端接入Wifi网络并获得门户提供的访问列表和所需的网络参数；步骤3，客户端根据设备列表提供的网络参数访问该设备。但是，由于这些网络设备一般不具备或不开启身份认证功能，使得这些传统方法只能固定某几个终端，访问不够灵活，或者是基于应用的控制存在安全隐患，一旦被具有一定网络知识的人员知道了网络配置，可绕过认证服务器直接访问网络设备，并且，不在同一个VLAN下的客户端永远不能访问另一VLAN下的网络设备，因此，缺少一种安全的基于身份认证的自动化机制来灵活的控制对这些网络设备的访问。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种局域网中网络设备的访问方法，在用户认证服务器中设置用户终端的访问权限。

一种局域网中网络设备的访问方法，包括：无线接入设备接收到用户终端发送的访问网络设备的请求；所述无线接入设备从用户认证服务器获取所述用户终端的访问权限；所述无线接入设备基于所述访问权限控制所述用户终端对所述网络设备的访问。

根据本发明的一个实施例，进一步的，所述无线接入设备判断所述用户终端的IP地址是否在访问控制列表的黑、白名单中，如果没有，则向所述用户认证服务器查询所述用户终端对应的访问权限；当判断所述用户终端对所述网络设备有访问权限时，所述无线接入设备将所述用户终端的IP地址添加到访问控制列表的白名单中；当判断所述用户终端对所述网络设备无访问权限时，所述无线接入设备将所述用户终端的IP地址添加到所述访问控制列表的黑名单中。

根据本发明的一个实施例，进一步的，所述无线接入设备向所述用户认证服务器发送所述用户终端的Mac地址，查询所述用户终端对应的访问权限；当判断所述用户终端的IP地址在所述白名单中时，所述无线接入设备将所述访问网络设备的请求转发到所述网络设备进行连接；当判断所述用户终端的IP地址在所述黑名单中时，所述无线接入设备禁止所述用户终端访问并向所述用户终端发送提示信息。

根据本发明的一个实施例，进一步的，当判断所述用户终端与所述网络设备的连接断开时，所述无线接入设备向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

根据本发明的一个实施例，进一步的，当判断所述用户终端与所述网络设备的连接时长超过访问权限规定的时长阈值时，所述无线接入设备将所述用户终端与所述网络设备的连接断开、向所述用户终端发送提示信息，并向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

根据本发明的一个实施例，进一步的，当判断所述用户终端与所述网络设备的连接断开或连接时长超过访问权限规定的时长阈值时，所述无线接入设备从所述白名单中将所述用户终端的IP地址删除，并通过Ping消息上报给所述用户认证服务器。

根据本发明的一个实施例，进一步的，所述无线接入设备包括：无线路由器；所述网络设备包括：打印机、摄像头。

本发明要解决的一个技术问题是提供一种无线接入设备，能够从用户认证服务器获取用户终端的访问权限。

一种无线接入设备，包括：请求接收单元，用于接收到用户终端发送的访问网络设备的请求；权限获取单元，用于从用户认证服务器获取所述用户终端的访问权限；访问控制单元，用于基于所述访问权限控制所述用户终端对所述网络设备的访问。

根据本发明的一个实施例，进一步的，所述权限获取单元，还用于判断所述用户终端的IP地址是否在访问控制列表的黑、白名单中，如果没有，则向所述用户认证服务器查询所述用户终端对应的访问权限；当判断所述用户终端对所述网络设备有访问权限时，将所述用户终端的IP地址添加到访问控制列表的白名单中；当判断所述用户终端对所述网络设备无访问权限时，将所述用户终端的IP地址添加到所述访问控制列表的黑名单中。

根据本发明的一个实施例，进一步的，所述权限获取单元，还用于向所述用户认证服务器发送所述用户终端的Mac地址，查询所述用户终端对应的访问权限；所述访问控制单元，还用于当判断所述用户终端的IP地址在所述白名单中时，将所述访问网络设备的请求转发到所述网络设备进行连接；当判断所述用户终端的IP地址在所述黑名单中时，禁止所述用户终端访问并向所述用户终端发送提示信息。

根据本发明的一个实施例，进一步的，所述访问控制单元，还用于当判断所述用户终端与所述网络设备的连接断开时，向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

根据本发明的一个实施例，进一步的，所述访问控制单元，还用于当判断所述用户终端与所述网络设备的连接时长超过访问权限规定的时长阈值时，将所述用户终端与所述网络设备的连接断开、向所述用户终端发送提示信息，并向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

根据本发明的一个实施例，进一步的，所述访问控制单元，还用于当判断所述用户终端与所述网络设备的连接断开或连接时长超过访问权限规定的时长阈值时，从所述白名单中将所述用户终端的IP地址删除，并通过Ping消息上报给所述用户认证服务器。

一种局域网系统，包括：用户认证服务器、如上所述的无线接入设备。

本发明的局域网中网络设备的访问方法、接入设备及系统，通过用户认证服务器设置用户的访问权限，提供用户对网络设备访问的认证，并在无线接入设备上自动更改访问控制列表实现实时自动控制，能够实现用户对摄像头、打印机等网络设备安全可控的访问。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中的局域网中网络设备的访问方法的流程图；

图2为根据本发明的局域网中网络设备的访问方法的一个实施例的流程图；

图3为根据本发明的局域网中网络设备的访问方法的另一个实施例的认证流程图；

图4为根据本发明的局域网中网络设备的访问方法的又一个实施例的各个网元之间的信息交互逻辑图；

图5为根据本发明的无线接入设备的一个实施例的结构示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。下面结合各个图和实施例对本发明的技术方案进行多方面的描述。

图2为根据本发明的局域网中网络设备的访问方法的一个实施例的流程图，如图2所示：

步骤101，无线接入设备接收到用户终端发送的访问网络设备的请求。

步骤102，无线接入设备从用户认证服务器获取用户终端的访问权限。

步骤103，无线接入设备基于访问权限控制用户终端对网络设备的访问。

无线接入设备包括：无线路由器等。用户终端可以包括：PC、移动终端、笔记本电脑或在其上设置的多种应用客户端。用户终端可以采用wifi、蓝牙等方式通过无线接入设备接入局域网并访问网络设备。网络设备包括：打印机、摄像头等。

本发明的局域网中网络设备的访问方法，将Wifi用户的认证与上网管理功能扩展到网络设备访问，从而实现wifi用户对摄像头、打印机等网络设备安全可控的访问，并为使用这些设备提供可经营的公共服务提供技术方案。扩展了用户认证服务器或平台的权限管理，通过在用户认证服务器或平台增加服务及权限管理数据，以及在接入认证流程后增加服务权限查询流程，将单一的用户认证服务器变为网络设备服务权限管理服务器

在一个实施例中，无线接入设备判断用户终端的IP地址是否在访问控制列表的黑、白名单中，如果没有，则向用户认证服务器查询用户终端对应的访问权限。当判断用户终端对网络设备有访问权限时，无线接入设备将用户终端的IP地址添加到访问控制列表的白名单中。当判断用户终端对网络设备无访问权限时，无线接入设备将用户终端的IP地址添加到访问控制列表的黑名单中。

在一个实施例中，无线接入设备向用户认证服务器发送用户终端的Mac地址，查询用户终端对应的访问权限。当判断用户终端的IP地址在白名单中时，无线接入设备将访问网络设备的请求转发到网络设备进行连接。当判断用户终端的IP地址在黑名单中时，无线接入设备禁止用户终端访问并向用户终端发送提示信息。

在一个实施例中，当判断用户终端与网络设备的连接断开时，无线接入设备向用户认证服务器发送用户终端与网络设备的连接时长。

当判断用户终端与网络设备的连接时长超过访问权限规定的时长阈值时，无线接入设备将用户终端与网络设备的连接断开、向用户终端发送提示信息，并向用户认证服务器发送用户终端与网络设备的连接时长。

当判断用户终端与网络设备的连接断开或连接时长超过访问权限规定的时长阈值时，无线接入设备从白名单中将用户终端的IP地址删除，并通过Ping消息上报给用户认证服务器。

上述实施例提供的局域网中网络设备的访问方法，通过实时改变无线接入设备本身的访问控制列表，实现在网络层上对终端的访问加以控制，在用户终端与网络设备连接停止后可以将该用户使用设备的时长上报给平台为计费收费提供依据，如图3所示：

步骤21，用户终端的客户端发起访问网络设备的请求。

步骤22，增加平台权限查询：如果是首次访问，访问控制名单中没有该IP地址，无线路由器向平台查询该客户端对应的权限。

步骤23，增加自动修改访问列表：如果有访问权限，则无线路由器将客户端的IP地址加入访问控制列表的白名单中。

步骤24，无线路由器增加使用情况上报：增加当客户端与网络设备的连接断掉后，无线路由器将连接时长上报给平台。

步骤25，增加限制时长：如果连接时长超过白名单规定时间，则强制终端连接并发送提示信息给客户端，同时将连接时间上报平台。

无线接入设备通过用户认证服务器或平台代理进行权限管理，将传统手工配置的静态访问控制列表变为动态的访问控制列表，以白名单控制对网络设备的访问，以黑名单保存验证过的无效地址，使得无线接入设备以很小的改动即可实现网络设备访问的分用户管理，并增加了有效时间管理，以防单一用户长时间占用设备。连接终止后，上报平台连接时长，作为计费依据。

图4为根据本发明的局域网中网络设备的访问方法的又一个实施例的各个网元之间的信息交互逻辑图，如图4所示：

步骤31、用户终端的客户端发起访问网络设备的请求。

步骤32、无线路由器查看该地址不在访问控制列表的黑、白名单中，通过HTTPGet向平台上报客户端Mac地址。

步骤33、该Mac地址已通过认证并拥有访问权限，平台回复OK并在<body>中携带允许访问时间，否则回复401禁止访问。无线路由器收到响应后修改访问控制列表将该地址加入白名单或黑名单。

步骤34、如果不允许访问则回复客户端相应内容。

步骤35、请求转发给网络设备进行连接。

步骤36、网络设备响应建立连接，后续用户终端访问无线路由器按照白名单功能直接转发。

步骤37、连接中断或连接时间到，无线路由器从白名单中删除该客户端IP并通过Ping消息上报平台，平台进行记录。

步骤38、无线路由器发送提示信息给客户端。

无线接入设备设置动态的访问控制列表，以白名单控制对网络设备的访问，以黑名单保存验证过的无效地址，实现了用户对摄像头、打印机等网络设备安全可控的访问。

如图5所示，本发明提供一种无线接入设备4，包括：请求接收单元41、权限获取单元42和访问控制单元43。请求接收单元41接收到用户终端发送的访问网络设备的请求。权限获取单元42从用户认证服务器获取用户终端的访问权限。访问控制单元43基于访问权限控制用户终端对网络设备的访问。

在一个实施例中，权限获取单元42判断用户终端的IP地址是否在访问控制列表的黑、白名单中，如果没有，则权限获取单元42向用户认证服务器查询用户终端对应的访问权限。

当判断用户终端对网络设备有访问权限时，权限获取单元42将用户终端的IP地址添加到访问控制列表的白名单中。当判断用户终端对网络设备无访问权限时，权限获取单元42将用户终端的IP地址添加到访问控制列表的黑名单中。

在一个实施例中，权限获取单元42向用户认证服务器发送用户终端的Mac地址，查询用户终端对应的访问权限。当判断用户终端的IP地址在白名单中时，访问控制单元43将访问网络设备的请求转发到网络设备进行连接。当判断用户终端的IP地址在黑名单中时，访问控制单元43禁止用户终端访问并向用户终端发送提示信息。

在一个实施例中，当判断用户终端与网络设备的连接断开时，访问控制单元43向用户认证服务器发送用户终端与网络设备的连接时长。当判断用户终端与网络设备的连接时长超过访问权限规定的时长阈值时，访问控制单元43将用户终端与网络设备的连接断开、向用户终端发送提示信息，并向用户认证服务器发送用户终端与网络设备的连接时长。

在一个实施例中，当判断用户终端与网络设备的连接断开或连接时长超过访问权限规定的时长阈值时，访问控制单元43从白名单中将用户终端的IP地址删除，并通过Ping消息上报给用户认证服务器。

在一个实施例中，本发明提供一种局域网系统，包括：用户认证服务器、如上的无线接入设备。

上述实施例提供的局域网中网络设备的访问方法、接入设备及系统，通过无线接入设备与用户认证服务器或平台的交互，在无线接入设备上增加控制模块自动更改访问控制列表实现实时自动控制，而不需要硬件设备做任何改动。现有技术方案中，被访问设备通过终端读取平台权限文档后进行会话层的访问控制，而本发明的局域网中网络设备的访问方法、接入设备及系统，不需要被访问设备的任何支持，通过无线接入设备在网络层进行访问控制，能够实现用户对摄像头、打印机等网络设备安全可控的访问，并为使用这些设备提供可经营的公共服务提供技术方案。

可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (14)

1.一种局域网中网络设备的访问方法，其特征在于，包括：

无线接入设备接收到用户终端发送的访问网络设备的请求；

所述无线接入设备从用户认证服务器获取所述用户终端的访问权限；

所述无线接入设备基于所述访问权限控制所述用户终端对所述网络设备的访问。

2.如权利要求1所述的方法，其特征在于：

所述无线接入设备判断所述用户终端的IP地址是否在访问控制列表的黑、白名单中，如果没有，则向所述用户认证服务器查询所述用户终端对应的访问权限；

当判断所述用户终端对所述网络设备有访问权限时，所述无线接入设备将所述用户终端的IP地址添加到访问控制列表的白名单中；

当判断所述用户终端对所述网络设备无访问权限时，所述无线接入设备将所述用户终端的IP地址添加到所述访问控制列表的黑名单中。

3.如权利要求2所述的方法，其特征在于：

所述无线接入设备向所述用户认证服务器发送所述用户终端的Mac地址，查询所述用户终端对应的访问权限；

当判断所述用户终端的IP地址在所述白名单中时，所述无线接入设备将所述访问网络设备的请求转发到所述网络设备进行连接；

当判断所述用户终端的IP地址在所述黑名单中时，所述无线接入设备禁止所述用户终端访问并向所述用户终端发送提示信息。

4.如权利要求2或3所述的方法，其特征在于：

当判断所述用户终端与所述网络设备的连接断开时，所述无线接入设备向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

5.如权利要求2或3所述的方法，其特征在于：

当判断所述用户终端与所述网络设备的连接时长超过访问权限规定的时长阈值时，所述无线接入设备将所述用户终端与所述网络设备的连接断开、向所述用户终端发送提示信息，并向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

6.如权利要求2或3所述的方法，其特征在于：

当判断所述用户终端与所述网络设备的连接断开或连接时长超过访问权限规定的时长阈值时，所述无线接入设备从所述白名单中将所述用户终端的IP地址删除，并通过Ping消息上报给所述用户认证服务器。

7.如权利要求1所述的方法，其特征在于：

所述无线接入设备包括：无线路由器；

所述网络设备包括：打印机、摄像头。

8.一种无线接入设备，其特征在于，包括：

请求接收单元，用于接收用户终端发送的访问网络设备的请求；

权限获取单元，用于从用户认证服务器获取所述用户终端的访问权限；

访问控制单元，用于基于所述访问权限控制所述用户终端对所述网络设备的访问。

9.如权利要求8所述的设备，其特征在于：

所述权限获取单元，还用于判断所述用户终端的IP地址是否在访问控制列表的黑、白名单中，如果没有，则向所述用户认证服务器查询所述用户终端对应的访问权限；当判断所述用户终端对所述网络设备有访问权限时，将所述用户终端的IP地址添加到访问控制列表的白名单中；当判断所述用户终端对所述网络设备无访问权限时，将所述用户终端的IP地址添加到所述访问控制列表的黑名单中。

10.如权利要求9所述的设备，其特征在于：

所述权限获取单元，还用于向所述用户认证服务器发送所述用户终端的Mac地址，查询所述用户终端对应的访问权限；

所述访问控制单元，还用于当判断所述用户终端的IP地址在所述白名单中时，将所述访问网络设备的请求转发到所述网络设备进行连接；当判断所述用户终端的IP地址在所述黑名单中时，禁止所述用户终端访问并向所述用户终端发送提示信息。

11.如权利要求9或10所述的设备，其特征在于：

所述访问控制单元，还用于当判断所述用户终端与所述网络设备的连接断开时，向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

12.如权利要求9或10所述的设备，其特征在于：

所述访问控制单元，还用于当判断所述用户终端与所述网络设备的连接时长超过访问权限规定的时长阈值时，将所述用户终端与所述网络设备的连接断开、向所述用户终端发送提示信息，并向所述用户认证服务器发送所述用户终端与所述网络设备的连接时长。

13.如权利要求9或10所述的设备，其特征在于：

所述访问控制单元，还用于当判断所述用户终端与所述网络设备的连接断开或连接时长超过访问权限规定的时长阈值时，从所述白名单中将所述用户终端的IP地址删除，并通过Ping消息上报给所述用户认证服务器。

14.一种局域网系统，其特征在于：

包括：用户认证服务器、如权利要求8至13任意一项所述的无线接入设备。