CN105939518A - 一种访问控制方法和网络接入设备 - Google Patents

Abstract

一种访问控制方法和网络接入设备，其中，提供一实施所述网络认证方法的网络接入设备，所述网络认证方法包括：当接收到终端的认证信息后，与所述终端建立关联；当接收到终端的数据转发请求时，要求终端进行身份认证。本发明实施例由于当收到终端的认证信息时，不是直接对终端进行认证，而是直接与终端建立关联，直到收到用户的转发数据请求时才进行认证，相当于将认证的步骤置后了，因此连接的用户并不知道在关联之前的认证是否真正认证成功，这样就可以让非法用户无法确认是否破解到正确的密码，从而可避免其利用向网络接入设备发送各种组合的密码不断进行验证，最终破解出密码。

Description

一种访问控制方法和网络接入设备

技术领域

本发明涉及网络技术领域，特别是涉及一种访问控制方法和网络接入设备。

背景技术

随着网络技术的飞速发展，信息传播和信息获取的途径都发生了前所未有的变化，使人类社会迈入了以网络技术、数字化技术为核心的信息时代。尤其是当下无线网络技术的广泛应用，因其灵活性、可扩展、可移动等优势，更是进一步地破除了实时信息获取的障碍，给人们的生活带来了巨大的便利。随着无线网络技术的日趋成熟，无线传输的速率越来越快，无线网络的用户也越来越多。

如果密码设置较简单，则无线密码容易被破解，例如，非法用户可以通过向网络接入设备发送各种组合的密码不断进行验证，从而导致无线网络被占用。这已成为很多无线网络用户担忧的问题。因此如何增强网络安全性，防范网络被非法占用，是网络设计和网络管理中需要考虑的问题。

发明内容

本发明实施例所要解决的技术问题是网络认证密码易被非法用户破解，导致无线网络被占用。

为了解决上述问题，本发明实施例提供了一种访问控制方法，提供一实施所述网络认证方法的网络接入设备，所述网络认证方法包括：当接收到终端的认证信息后，不向所述终端反馈认证结果，与所述终端建立关联；当接收到终端的数据转发请求时，要求终端进行身份认证；对终端进行身份认证，并根据认证是否通过，选择是否进行数据转发。

可选的，上述的访问控制方法，还包括：所述网络接入设备建立一合法用户列表；所述合法用户列表包括认证通过的终端；所述对终端进行身份认证后还包括：当认证通过后，所述网络接入设备将所述终端加入合法用户列表；所述要求终端进行身份认证前还包括：所述网络接入设备将所述终端于所述合法用户列表中进行匹配；如果匹配成功，则所述网络接入设备进行数据转发。

可选的，上述的访问控制方法中，所述网络接入设备将所述终端于所述合法用户列表中进行匹配后还包括：如果匹配失败，所述网络接入设备执行要求终端进行身份认证。

可选的，上述的访问控制方法，还包括：所述网络接入设备建立一非法用户列表；所述根据认证信息对终端进行身份认证后还包括：当认证失败后，所述网络接入设备将所述终端加入非法用户列表。

为了解决上述问题，本发明实施例提供了一种网络接入设备，包括：关联单元，用于当接收到终端的认证信息后，不向所述终端反馈认证结果，与所述终端建立关联；请求单元，用于当接收到终端的数据转发请求时，要求终端进行身份认证；认证单元，用于对终端进行身份认证，处理单元，用于根据认证是否通过，选择是否进行数据转发。

可选的，所述网络接入设备还包括：建立单元，用于建立一合法用户列表；所述合法用户列表包括认证通过的终端；修改单元，用于当认证通过后，所述网络接入设备将所述终端加入合法用户列表；匹配单元，用于将所述终端于所述合法用户列表中进行匹配；所述处理单元用于当所述匹配单元匹配成功时，进行数据转发。

可选的，所述请求单元还用于当所述匹配单元匹配失败时，请求所述终端发送身份认证信息。

可选的，所述建立单元还用于建立一非法用户列表；所述修改单元还用于当认证失败后，将所述终端加入非法用户列表。

与现有技术相比，本发明的技术方案具有以下优点：

当收到终端的认证信息时，不是直接对终端进行认证，而是直接与终端建立关联，直到收到用户的转发数据请求时才进行认证，相当于将认证的步骤置后了。因此连接的用户并不知道在关联之前的认证是否真正认证成功，这样就可以让非法用户无法确认是否破解到正确的密码，从而可避免其利用向网络接入设备发送各种组合的密码不断进行验证，最终破解出密码。

进一步的，通过建立一包括所有认证通过终端的合法用户列表，并在接收到终端的数据转发请求时，将终端在所述合法用户列表中进行匹配以判断该终端是否认证通过为合法用户，进而决定是否进行数据转发，实现了对非法用户访问网络的控制。

进一步的，当终端未能在合法用户列表中匹配到对应的数据项并且认证时，要求终端再次返回进行身份认证的步骤，以避免由于用户认证信息输入错误导致无法访问网络。

进一步的，通过建立一包括所有认证失败终端的非法用户列表，可以通过登录网络接入设备看到有哪些非法客户端在无线网络中。

附图说明

图1是本发明实施例中一种访问控制方法的流程图；

图2是本发明实施例中一种网络接入设备的结构示意图。

具体实施方式

根据现有网络接入的认证机制，网络终端设备可以不断地向网络接入设备发送认证信息以进行身份认证，因此这就给网络安全造成了隐患。非法用户可以尝试以暴力破解的方式进行身份验证，最终达到密码破解，占用网络带宽的目的。对于一些设置简单的密码，目前的破解方法只需要几分钟而已。

针对上述现有技术中存在的技术问题，本发明实施例在当收到终端的认证信息时，不是直接对终端进行认证，而是直接与终端建立关联，直到收到用户的转发数据请求时才进行认证，相当于将认证的步骤置后了。因此连接的用户并不知道在关联之前的认证是否真正认证成功，这样就可以让非法用户无法确认是否破解到正确的密码，从而可避免其利用向网络接入设备发送各种组合的密码不断进行验证，最终破解出密码。

为使本发明的上述目的、特征和优点能够更为明显易懂，下面结合附图对本发明的具体实施例做详细的说明。

本发明实施例提供了一种网络认证方法，可以适用于有线网络或无线网络环境中，用于接受网络终端用户接入，并为所述网络终端用户提供数据转发服务，以实现用户上网的任何网络接入设备。例如，可以是路由器，可以是无线AP等。

本发明实施例的一种网络认证方法，通过上述的网络接入设备实施。为了说明方便起见，本发明实施例以无线网络中的无线路由器为例进行说明。但是可以理解的是，本发明实施例也可以通过无线AP来实施，或者可以适用于有线网络环境下。具体来说，如图1所示，所述网络认证方法可以包括：

步骤S101，当接收到终端的认证信息后，与所述终端建立关联。

无线终端接入AP的过程包括扫描、认证和关联三个步骤。在扫描阶段，无线终端在加入网络之前，首先需要在所处区域搜索网络，包括通过发送Probe Request帧来请求加入网络的主动扫描方式或通过侦听无线AP定期广播Beacon帧(携带自身的SSID和信道信息)的被动扫描方式。

当无线终端收到AP反馈的Probe Response帧发现无线网络后，从候选AP中选择一个向其发送认证请求信息向指定AP请求认证。在现有技术中，当AP完成对所述无线终端的验证操作后，如果验证通过，则会向STA发送Authentication response报文；如果验证失败，则由所述AP反馈验证失败的信息，由所述无线终端继续进行验证操作。

而在本发明实施例中，当AP接收到无线终端的认证信息后不会直接进行认证操作，而是向所述无线终端发送Authentication response报文，这样作为无线终端来说，都会默认为验证已经通过。因此所述无线终端会进入下一步的关联操作，即向AP发送关联请求报文Associationrequest。AP在收到该关联请求报文Association request后，会向无线终端发送关联应答报文Association response，从而完成关联操作。

步骤S102，当接收到无线终端的数据转发请求时，要求无线终端进行身份认证。

在本发明实施例中，当AP接到客户端请求访问的数据包之后，AP会首先将此请求的数据包保存于数据队列的缓冲区中。然后AP会向STA回复一个验证是否为非法用户的报文。如AP发送一个包含明文的报文Plain text challenge给所述无线终端，要求密码验证。

通过本发明实施例，由于终端的用户无法知道密码是否真正验证通过，因此非法用户难以通过不断尝试不同密码组合的方式破解出密码，阻止了想占用无线网络的非法用户上网，增加了破解密码的难度，在很大程度上增加了网络的安全性。

步骤S103，对终端进行身份认证，并根据认证是否通过，选择是否进行数据转发。

具体来说，在本发明实施例中，当所述无线终端用认证密码KEY加密明文，形成Cipher text challenge报文，发送给AP校验后，AP将密文解密和明文比较。如果相同，则判定验证成功，如果不相同，则判定验证失败，从而完成验证操作。

如果认证通过，则查看缓冲区的报文目的MAC地址进行数据转发，如果不通过，丢弃此报文。

在具体实施中，所述AP可以预先建立一合法用户列表，所述合法用户列表包括认证通过的无线终端。当所述无线终端认证通过后，所述网络接入设备会将所述无线终端加入合法用户列表，这样以后当AP收到无线终端的数据转发请求时，就会首先将该无线终端在该合法用户列表中进行匹配，如果匹配成功，则所述网络接入设备进行数据转发。这样对于合法用户，就不需要每次数据转发前都执行用户身份认证，提高了执行效率。而如果匹配失败，未找到相应的匹配项，则AP执行要求无线终端进行身份验证的步骤。

在上述的具体实施中，AP将所述终端于所述合法用户列表中进行匹配后还可包括：如果匹配失败，所述网络接入设备执行要求终端进行身份认证。匹配失败，说明用户可能是首次进行身份验证，或者验证信息错误。这样如果验证信息错误，导致没能在所述合法用户列表中找到对应的匹配项而匹配失败，所述网络接入设备可以要求终端再次进行身份认证，如再次发送一个包含明文的报文Plain text challenge给所述无线终端，进行密码验证，因此避免了由于用户认证信息输入错误导致无法访问网络。

通过建立一包括所有认证通过终端的合法用户列表，并在接收到终端的数据转发请求时，将终端在所述合法用户列表中进行匹配以判断该终端是否认证通过为合法用户，进而决定是否进行数据转发或者要求进行身份验证，提高了系统执行效率，并实现了对非法用户访问网络的控制。

在上述的具体实施中，所述合法用户列表可以是一张关联了所述无线终端设备MAC地址的映射表。当把认证通过的无线终端的MAC地址存入该映射表中，而当AP接收到无线终端请求转发的数据包时，首先解析数据包，查看源MAC地址，如果源MAC地址在所述映射表中，则查看相对应的目的地址，做相对应的转发处理。如果源MAC地址不在所述映射表中，则丢弃此数据包。

在另一种具体实施中，为了进一步实现对网络情况的实时监控，所述网络接入设备还可以预先建立一非法用户列表。当所述网络接入设备根据认证信息对终端进行身份认证后，如果所述身份认证认证失败，则所述网络接入设备将所述终端加入非法用户列表。这样，网络管理人员可以通过登录网络接入设备看到有哪些非法客户端在无线网络中，进而选择进行进一步的处理。

具体来说，可以在AP上设置一与所述非法用户列表关联的访问控制指令，对非法用户列表中的网络终端的访问权限进行限制。例如，可以是直接丢弃数据包从而拒绝终端的任何数据转发请求；或者在所述访问控制指令中设置拒绝访问的目标地址，或者在所述访问控制指令中设置拒绝的网络端口，从而过滤网络终端所提出的特定网络服务请求(例如设置拒绝14000端口，以过滤语音文件发送的请求)等。通过设置所述访问控制指令，可以实现网络管理的优化。例如，在公司内部，如果并非要禁止所有未授权的一般访客的连网请求，而只是禁止其对特定地址的访问，则通过在所述访问控制指令中设置拒绝访问的目标地址，就可以实现禁止其对特定目标地址的访问，而不影响其他的正常上网，从而实现了授权用户网络和访客网络的区分，进一步地提高了本实施例的应用范围。

在上述的具体实施中，同样的，所述非法用户列表可以是一张关联了所述无线终端设备MAC地址的映射表，此处不再赘述。

综上，通过本发明实施例的一种访问控制方法，在前述实施例的基础上，进一步地实现了对非法用户上网的控制，同时还可以通过对非法用户上网权限的设置，实现授权用户网络和一般访客网络的区分，进一步地提高本实施例的应用范围。

本发明实施例还提供了一种与上述实施例中网络认证方法以及访问控制方法相对应的网络接入设备。如图2所示，所述网络接入设备，如AP，可以包括：关联单元，用于当接收到终端的认证信息后，与所述终端建立关联；请求单元，用于当接收到终端的数据转发请求时，要求终端进行身份认证。

当无线终端收到AP反馈的Probe Response帧发现无线网络后，从候选AP中选择一个向其发送认证请求信息向指定AP请求认证。在现有技术中，当AP完成对所述无线终端的验证操作后，如果验证通过，则会向无线终端发送Authentication response报文；如果验证失败，则由所述AP反馈验证失败的信息，由所述无线终端继续进行验证操作。

而在本发明实施例中，当AP接收到无线终端的认证信息后不会直接进行认证操作，而是由所述关联单元向所述无线终端发送Authentication response报文，这样作为无线终端来说，都会默认为验证已经通过。因此所述无线终端会进入下一步的关联操作，即向AP发送关联请求报文Association request。AP在收到该关联请求报文Associationrequest后，会向无线终端发送关联应答报文Association response，从而完成关联操作。

通过本发明实施例，由于终端的用户无法知道密码是否真正验证通过，因此非法用户难以通过不断尝试不同密码组合的方式破解出密码，阻止了想占用无线网络的非法用户上网，增加了破解密码的难度，在很大程度上增加了网络的安全性。

在本发明实施例中，所述网络接入设备还可以包括：认证单元，用于对终端进行身份认证；处理单元，用于根据认证是否通过，选择是否进行数据转发。

在本发明实施例中，当AP接到客户端请求访问的数据包之后，AP会首先将此请求的数据包保存于数据队列的缓冲区中。然后AP会向无线终端回复一个验证是否为非法用户的报文。具体来说，在本发明实施例中，AP的认证单元与所述无线终端之间的认证步骤可以包括：

第一步：网络接入设备发送一个包含明文的报文Plain text challenge给所述无线终端，要求密码验证；

第二步：所述无线终端用认证密码KEY加密明文，形成Cipher textchallenge报文，发送给网络接入设备校验；

第三步：网络接入设备将密文解密和明文比较。如果相同，则判定验证成功，如果不相同，则判定验证失败，从而完成验证操作。

通过本发明实施例，由于终端的用户无法知道密码是否真正验证通过，因此非法用户难以通过不断尝试不同密码组合的方式破解出密码，阻止了想占用无线网络的非法用户上网，增加了破解密码的难度，在很大程度上增加了网络的安全性。

在本发明实施例中，网络接入设备还可以包括：建立单元，用于建立一合法用户列表；所述合法用户列表包括认证通过的终端；修改单元，用于当认证通过后，所述网络接入设备将所述终端加入合法用户列表；匹配单元，用于将所述终端于所述合法用户列表中进行匹配；所述处理单元用于当所述匹配单元匹配成功时，进行数据转发。

在上述的具体实施中，所述合法用户列表可以是一张关联了所述无线终端设备MAC地址的映射表。当把认证通过的无线终端的MAC地址存入该映射表中，而当AP接收到无线终端请求转发的数据包时，首先解析数据包，查看源MAC地址，如果源MAC地址在所述映射表中，则查看相对应的目的地址，做相对应的转发处理。如果源MAC地址不在所述映射表中，则丢弃此数据包。

在本发明实施例中，所述网络接入设备中，请求单元还用于当所述匹配单元匹配失败时，请求所述终端发送身份认证信息。

在本发明实施例中，所述建立单元还可以用于建立一非法用户列表；所述修改单元还用于当认证失败后，将所述终端加入非法用户列表。

在另一种具体实施中，为了进一步实现对网络情况的实时监控，所述网络接入设备还可以预先建立一非法用户列表。当所述网络接入设备根据认证信息对终端进行身份认证后，如果所述身份认证认证失败，则所述网络接入设备将所述终端加入非法用户列表。这样，网络管理人员可以通过登录网络接入设备看到有哪些非法客户端在无线网络中，进而选择进行进一步的处理。

具体来说，可以在AP上设置一与所述非法用户列表关联的访问控制指令，对非法用户列表中的网络终端的访问权限进行限制。例如，可以是直接丢弃数据包从而拒绝终端的任何数据转发请求；或者在所述访问控制指令中设置拒绝访问的目标地址，或者在所述访问控制指令中设置拒绝的网络端口，从而过滤网络终端所提出的特定网络服务请求(例如设置拒绝14000端口，以过滤语音文件发送的请求)等。通过设置所述访问控制指令，可以实现网络管理的优化。例如，在公司内部，如果并非要禁止所有未授权的一般访客的连网请求，而只是禁止其对特定地址的访问，则通过在所述访问控制指令中设置拒绝访问的目标地址，就可以实现禁止其对特定目标地址的访问，而不影响其他的正常上网，从而实现了授权用户网络和访客网络的区分，进一步地提高了本实施例的应用范围。

在上述的具体实施中，同样的，所述非法用户列表可以是一张关联了所述无线终端设备MAC地址的映射表，此处不再赘述。

关于本发明实施例的一种网络接入设备与前述实施例中的网络认证方法和访问控制方法是基于同一发明构思，因此关于本发明实施例可以参照前述实施例的相应内容，此处不再赘述。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：ROM、RAM、磁盘或光盘等。

虽然本发明披露如上，但本发明并非限定于此。任何本领域技术人员，在不脱离本发明的精神和范围内，均可作各种更动与修改，因此本发明的保护范围应当以权利要求所限定的范围为准。

Claims (8)

1.一种访问控制方法，其特征在于，提供一实施所述网络认证方法的网络接入设备，所述网络认证方法包括：

当接收到终端的认证信息后，不向所述终端反馈认证结果，并与所述终端建立关联；

当接收到终端的数据转发请求时，要求终端进行身份认证；

对终端进行身份认证，并根据认证是否通过，选择是否进行数据转发。

2.如权利要求1所述的访问控制方法，其特征在于，还包括：

所述网络接入设备建立一合法用户列表；所述合法用户列表包括认证通过的终端；

所述对终端进行身份认证后还包括：当认证通过后，所述网络接入设备将所述终端加入合法用户列表；

所述要求终端进行身份认证前还包括：所述网络接入设备将所述终端于所述合法用户列表中进行匹配；如果匹配成功，则所述网络接入设备进行数据转发。

3.如权利要求2所述的访问控制方法，其特征在于，所述网络接入设备将所述终端于所述合法用户列表中进行匹配后还包括：如果匹配失败，所述网络接入设备执行要求终端进行身份认证。

4.如权利要求1所述的访问控制方法，其特征在于，还包括：

所述网络接入设备建立一非法用户列表；

所述根据认证信息对终端进行身份认证后还包括：当认证失败后，所述网络接入设备将所述终端加入非法用户列表。

5.一种网络接入设备，其特征在于，包括：

关联单元，用于当接收到终端的认证信息后，不向所述终端反馈认证结果，与所述终端建立关联；

请求单元，用于当接收到终端的数据转发请求时，要求终端进行身份认证；

认证单元，用于对终端进行身份认证；

处理单元，用于根据认证是否通过，选择是否进行数据转发。

6.如权利要求5所述的网络接入设备，其特征在于，还包括：

建立单元，用于建立一合法用户列表；所述合法用户列表包括认证通过的终端；

修改单元，用于当认证通过后，所述网络接入设备将所述终端加入合法用户列表；

匹配单元，用于将所述终端于所述合法用户列表中进行匹配；

所述处理单元用于当所述匹配单元匹配成功时，进行数据转发。

7.如权利要求6所述的网络接入设备，其特征在于，所述请求单元还用于当所述匹配单元匹配失败时，请求所述终端发送身份认证信息。

8.如权利要求5所述的网络接入设备，其特征在于，

所述建立单元还用于建立一非法用户列表；

所述修改单元还用于当认证失败后，将所述终端加入非法用户列表。